To drugi wpis z naszego cyklu o AML 2026. W pierwszym artykule pokazaliśmy, czym jest reżim AML/CFT i jakie cztery filary obowiązków on niesie. Teraz odpowiadamy na pytanie, które w naszej praktyce pada częściej niż jakiekolwiek inne: „czy moja firma w ogóle podlega ustawie AML?" Odpowiedź wbrew pozorom nie zawsze jest oczywista — zakres podmiotowy ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. 2025 poz. 644 t.j., dalej: ustawa AML) jest szerszy niż klasyczny sektor finansowy i obejmuje wiele firm, które na co dzień nie myślą o sobie jako o „instytucjach finansowych".

Skąd wziął się katalog z art. 2 ust. 1?

Art. 2 ust. 1 ustawy AML to katalog zamknięty 26 kategorii podmiotów, które ustawodawca uznał za tzw. „strażników" systemu finansowego (FATF nazywa ich gatekeepers). Logika jest prosta: jeżeli przez Twój podmiot przepływa wartość majątkowa albo masz wgląd w istotne struktury własnościowe — masz być pierwszą linią obrony.

Katalog opiera się na transpozycji IV i V dyrektywy AML, ale Polska poszła w niektórych obszarach dalej (np. obniżenie progu gotówkowego dla obrotu dziełami sztuki). Poniżej rozkładamy kategorie tematycznie, bo katalog ustawowy wymienia je w kolejności technicznej, która utrudnia samokwalifikację.

Sektor finansowy klasyczny

Najbardziej oczywista grupa — banki, SKOK-i, fundusze, ubezpieczyciele:

  • Banki krajowe, oddziały banków zagranicznych, oddziały instytucji kredytowych, instytucje finansowe (art. 2 ust. 1 pkt 1) — w rozumieniu ustawy z 29 sierpnia 1997 r. — Prawo bankowe.
  • Spółdzielcze kasy oszczędnościowo-kredytowe oraz Krajowa SKOK (art. 2 ust. 1 pkt 2).
  • Firmy inwestycyjne, banki powiernicze, towarowe domy maklerskie (art. 2 ust. 1 pkt 4–5).
  • Fundusze inwestycyjne, alternatywne spółki inwestycyjne, towarzystwa funduszy inwestycyjnych, zarządzający ASI (art. 2 ust. 1 pkt 7).
  • Zakłady ubezpieczeń wykonujące działalność z działu I (ubezpieczenia na życie) — art. 2 ust. 1 pkt 8 — oraz pośrednicy ubezpieczeniowi w zakresie ubezpieczeń na życie (pkt 9).

Co ważne — działalność majątkowa (dział II, np. OC, AC, mienie) nie obejmuje obowiązków AML. To częsta pułapka u brokerów multiagencyjnych: jeden wycinek portfela uruchamia ustawę, a drugi nie.

Sektor płatności i pieniądza elektronicznego (FinTech klasyczny)

Tu jest najwięcej naszych Klientów:

  • Krajowe instytucje płatnicze (KIP), małe instytucje płatnicze (MIP), biura usług płatniczych (BUP), agenci rozliczeniowi (art. 2 ust. 1 pkt 3).
  • Krajowe instytucje pieniądza elektronicznego, oddziały unijnych i zagranicznych instytucji pieniądza elektronicznego (również art. 2 ust. 1 pkt 3).
  • Operatorzy pocztowi (art. 2 ust. 1 pkt 14) — w zakresie, w jakim świadczą usługi przekazu pieniężnego.

Z naszej praktyki: jeżeli prowadzisz fintech działający na podstawie wpisu do rejestru MIP albo licencji KIP — jesteś instytucją obowiązaną od pierwszego dnia działalności, niezależnie od wolumenu transakcji. Próg 1 500 000 EUR przeciętnych miesięcznych transakcji rozróżnia MIP od KIP, ale nie ma wpływu na status instytucji obowiązanej w rozumieniu ustawy AML.

Sektor kryptoaktywów (CASP)

To kategoria, która w 2026 r. najszybciej się przekształca. Aktualna ustawa AML w art. 2 ust. 1 pkt 12 obejmuje:

  • Wymianę między walutami wirtualnymi a środkami płatniczymi.
  • Wymianę między walutami wirtualnymi.
  • Pośrednictwo w wymianie wskazanej powyżej.
  • Prowadzenie rachunków (portfeli) walut wirtualnych — art. 2 ust. 2 pkt 17 lit. e ustawy.

Obowiązuje też odrębny rejestr działalności w zakresie walut wirtualnych prowadzony przez Dyrektora Izby Administracji Skarbowej w Katowicach (art. 129m–129za ustawy). Wpis ma charakter konstytutywny — bez niego działalność jest nielegalna.

Co zmienia rozporządzenie MiCA (2023/1114) w pełni stosowane od 30 grudnia 2024 r.? Pojęcie „dostawca usług w zakresie walut wirtualnych" jest zastępowane unijnym pojęciem CASP — Crypto-Asset Service Provider. CASP to podmiot, który profesjonalnie świadczy co najmniej jedną z 10 usług kryptoaktywowych zdefiniowanych w art. 3 ust. 1 pkt 16 MiCA. Dla AML oznacza to:

  • Wszyscy aktualni „wirtualnowalutowcy" muszą uzyskać licencję CASP (terminy przejściowe — zob. art. 143 MiCA).
  • Travel Rule (rozporządzenie 2023/1113) stosuje się do CASP od 30 grudnia 2024 r. — temat omawiamy w 14. wpisie cyklu o Travel Rule i kryptoaktywach.

Sektor zawodów regulowanych

Wbrew intuicji ustawa AML obejmuje wiele zawodów spoza klasycznego rynku finansowego:

  • Notariusze — w zakresie czynności notarialnych dotyczących m.in. obrotu wartościami majątkowymi, depozytów notarialnych (art. 2 ust. 1 pkt 13).
  • Adwokaci, radcowie prawni, prawnicy zagraniczni, doradcy podatkowi — w określonym zakresie czynności (art. 2 ust. 1 pkt 14): kupno-sprzedaż nieruchomości i przedsiębiorstwa, zarządzanie cudzymi środkami, zakładanie spółek/trustów, prowadzenie rachunków klienckich.
  • Podmioty świadczące usługi na rzecz spółek lub trustów (TCSP) — art. 2 ust. 1 pkt 16 — m.in. zakładanie spółek, zapewnianie siedziby/wirtualnego biura, pełnienie funkcji członka zarządu, działalność w charakterze powiernika.
  • Podmioty prowadzące usługowo księgi rachunkowe (art. 2 ust. 1 pkt 17).

Kategoria adwokat/radca/doradca jest tu szczególnie skomplikowana — obowiązek AML powstaje wyłącznie w zakresie określonych czynności wymienionych w art. 2 ust. 1 pkt 14 lit. a–e ustawy. Standardowe doradztwo procesowe czy reprezentacja w sprawie cywilnej nie wchodzą w zakres obowiązków.

Sektor obrotu fizycznego (kantory, lombardy, gry, dzieła sztuki)

To często niedoceniana grupa:

  • Przedsiębiorcy prowadzący działalność kantorową (art. 2 ust. 1 pkt 11) — kantory walutowe (FX, nie krypto).
  • Instytucje pożyczkowe (art. 2 ust. 1 pkt 19) — w rozumieniu ustawy z 12 maja 2011 r. o kredycie konsumenckim.
  • Przedsiębiorcy wykonujący działalność lombardową (art. 2 ust. 1 pkt 23a — po nowelizacji z 2023 r.).
  • Pośrednicy w obrocie nieruchomościami (art. 2 ust. 1 pkt 18).
  • Podmioty prowadzące działalność w zakresie gier hazardowych (art. 2 ust. 1 pkt 20).
  • Przedsiębiorcy prowadzący działalność polegającą na obrocie lub pośrednictwie w obrocie dziełami sztuki, przedmiotami kolekcjonerskimi i antykami, a także ich przechowywaniu (art. 2 ust. 1 pkt 24a) — z progiem 10 000 euro.
  • Przedsiębiorcy prowadzący działalność polegającą na udostępnianiu skrytek sejfowych (art. 2 ust. 1 pkt 23).
  • Fundacje i stowarzyszenia posiadające osobowość prawną (art. 2 ust. 1 pkt 21–22) — w określonym zakresie.

Próg „10 000 euro w gotówce" — czyli najszerszy haczyk

Art. 2 ust. 1 pkt 23 ustawy obejmuje przedsiębiorców w rozumieniu Prawa przedsiębiorców przyjmujących lub dokonujących płatności za towary w gotówce o wartości równej lub przekraczającej równowartość 10 000 euro, niezależnie od tego, czy płatność jest dokonywana jako pojedyncza operacja, czy kilka operacji, które wydają się powiązane.

Kto na to wpada? W naszej praktyce widzieliśmy:

  • Salony samochodowe sprzedające auta używane.
  • Galerie i antykwariaty (oddzielnie od pkt 24a).
  • Sklepy z biżuterią i wyrobami jubilerskimi.
  • Firmy budowlane przyjmujące zaliczki gotówkowe.
  • Sprzedawców luksusowych dóbr (zegarki, dzieła sztuki, jachty).

To kategoria, w której najczęściej widzimy brak świadomości obowiązku AML. Jeden raz w roku transakcja gotówkowa za 50 000 zł i już jest się instytucją obowiązaną w zakresie tej transakcji — z obowiązkiem KYC, oceny ryzyka, raportowania ponadprogowego.

Czego NIE ma w katalogu (wbrew obiegowej opinii)

W naszej praktyce regularnie spotykamy klientów przekonanych, że są instytucjami obowiązanymi, choć nie są. Najczęstsze przypadki:

  • Czyste platformy AISP/PISP świadczące wyłącznie usługi inicjowania płatności i informacji o rachunku — jako takie nie są wymienione w art. 2 ust. 1 ustawy AML (są regulowane ustawą o usługach płatniczych, ale w innym reżimie). W praktyce jednak najczęściej są jednocześnie KIP/MIP i podlegają AML z tego tytułu.
  • Firmy SaaS świadczące oprogramowanie dla instytucji obowiązanych (np. KYC-as-a-service) — same nie są instytucjami obowiązanymi, chyba że wykonują czynności AML w imieniu instytucji jako outsourcer (zob. nasz 13. wpis cyklu o outsourcingu).
  • Sklepy e-commerce przyjmujące płatności wyłącznie kartą lub przelewem — nie wpadają na próg gotówkowy.
  • Pośrednicy najmu nieruchomości, jeżeli miesięczny czynsz nie przekracza równowartości 10 000 euro (wyłączenie w art. 2 ust. 1 pkt 18).

Co zmieni unijny pakiet AML 2024?

Rozporządzenie 2024/1624 (AMLR), stosowane od 10 lipca 2027 r., znacząco rozszerza katalog instytucji obowiązanych — m.in. o:

  • Wszystkich CASP w rozumieniu MiCA (zamiast obecnej kategorii „walutowo-wirtualnej").
  • Platformy finansowania społecznościowego (crowdfunding).
  • Pośredników w sprawach migracyjnych (tzw. „złote wizy" i „złote paszporty").
  • Profesjonalne kluby piłkarskie i agentów piłkarskich (jako kategoria wysokiego ryzyka).
  • Pośredników w obrocie towarami luksusowymi (z niższym progiem 10 000 EUR).

Rekomendujemy, aby firmy dziś niezakwalifikowane jako instytucje obowiązane sprawdziły, czy AMLR ich nie obejmie — okno przygotowawcze (do lipca 2027 r.) jest krótsze, niż się wydaje.

Co teraz zrobić?

Trzy kroki, które rekomendujemy każdej firmie, która ma wątpliwość co do swojego statusu:

  • Mapowanie czynności — wymień wszystkie linie biznesowe i zestaw je z 26 punktami art. 2 ust. 1 ustawy AML. Wątpliwości rozstrzygamy „w stronę objęcia" — koszt błędnej kwalifikacji „nie jestem instytucją obowiązaną" jest wielokrotnie wyższy niż koszt nadmiarowego compliance.
  • Sprawdzenie rejestrów — wpis do rejestru MIP, KIP, walut wirtualnych, działalności na rzecz spółek lub trustów to nie tylko wymóg, ale także źródło obowiązków raportowych do KAS i KNF.
  • Decyzja zarządu — jeżeli stwierdzasz status instytucji obowiązanej, formalna decyzja zarządu o uruchomieniu programu compliance powinna być pierwszym dokumentem. Bez niej trudno argumentować przed GIIF, że temat był traktowany poważnie.

W kolejnym wpisie cyklu — „Etapy prania pieniędzy i schematy: smurfing, structuring i inne czerwone flagi" — pokażemy, dlaczego ustawa wygląda tak, a nie inaczej, i jak typologia FATF przekłada się na konkretne obowiązki monitoringu w Twojej firmie.

Źródła i podstawy prawne

  • Ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, art. 2 ust. 1 — Dz.U. 2025 poz. 644 t.j. (ISAP).
  • Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2023/1114 (MiCA) z 31 maja 2023 r. (EUR-Lex).
  • Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1624 (AMLR) z 31 maja 2024 r. — rozszerzony katalog instytucji obowiązanych od 10 lipca 2027 r. (EUR-Lex).
  • Ustawa z 19 sierpnia 2011 r. o usługach płatniczych — KIP, MIP, BUP (ISAP).
  • Rejestr działalności w zakresie walut wirtualnych — Izba Administracji Skarbowej w Katowicach (gov.pl/kas).
  • Ustawa z 6 marca 2018 r. — Prawo przedsiębiorców (definicja przedsiębiorcy z pkt 23) (ISAP).

Co dalej w cyklu?