AML 2026 — limit przelewów 15 000 EUR, zgłoszenie banku, podejrzane transakcje

Wystarczy raz przelać większą kwotę z zagranicy albo wpłacić gotówką darowiznę od rodziców, żeby zderzyć się z procedurami AML — nawet jeśli nigdy nie miałeś do czynienia z niczym podejrzanym. Ten poradnik opisuje, jak wygląda system przeciwdziałania praniu pieniędzy w Polsce w 2026 roku, kiedy bank musi zgłosić transakcję do GIIF, jak nie dać się złapać w pułapkę „smurfingu" oraz jakimi dokumentami warto się zabezpieczyć. Tekst ma charakter informacyjny i nie stanowi porady prawnej ani podatkowej — w sytuacjach indywidualnych skonsultuj się z prawnikiem lub doradcą podatkowym.

Co to jest AML

AML (z ang. Anti-Money Laundering) to zbiór przepisów krajowych i unijnych mających przeciwdziałać praniu pieniędzy oraz finansowaniu terroryzmu (CFT — Counter-Financing of Terrorism). W Polsce kluczowym aktem jest Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. 2018 poz. 723 z późn. zm.), wdrażająca m.in. dyrektywy unijne (AMLD4, AMLD5, a od 2025–2026 stopniowo regulacje pakietu AML/CFT, w tym rozporządzenie AMLR i dyrektywę AMLD6).

Stan prawny ewoluuje, a od 2025 r. stopniowo wchodzą zmiany związane z powstaniem unijnego organu AMLA (Anti-Money Laundering Authority) z siedzibą we Frankfurcie. Niniejszy tekst odzwierciedla stan na kwiecień 2026 r. według publicznie dostępnych źródeł.

Kto podlega obowiązkom AML — instytucje obowiązane

Ustawa nazywa adresatów obowiązków „instytucjami obowiązanymi". Najważniejsze grupy:

Każda z tych instytucji ma obowiązek wdrożyć: politykę AML, system identyfikacji klienta (KYC), monitoring transakcji, procedurę zgłaszania do GIIF i szkolenie personelu.

Kluczowy próg: 15 000 EUR

Kluczową liczbą w polskim AML jest równowartość 15 000 EUR (przy kursie z 18 kwietnia 2026 to ok. 64 500 PLN — kurs zmienny, kwota jest progiem unijnym wyrażonym w euro). Powyżej tej kwoty:

• jednorazowo, lub
• w serii operacji powiązanych ze sobą (tzw. „operacje wielokrotne"), które łącznie przekraczają próg,

instytucja obowiązana musi przeprowadzić pełne środki bezpieczeństwa finansowego (m.in. identyfikację klienta i beneficjenta rzeczywistego, weryfikację źródła środków).

Niezależnie od progu — jeżeli okoliczności sugerują podejrzenie prania pieniędzy lub finansowania terroryzmu — instytucja musi zgłosić sprawę do GIIF (Generalny Inspektor Informacji Finansowej, organ przy Ministerstwie Finansów).

Dodatkowe progi

Co konkretnie robi bank

W praktyce, przy każdej transakcji bank ocenia kilka kryteriów:

1. Wartość bezwzględna — czy przekracza 15 000 EUR.
2. Częstotliwość — czy w krótkim czasie pojawia się seria transakcji o łącznej wartości przekraczającej próg.
3. Ryzyko geograficzne — kraje wysokiego ryzyka (FATF blacklist/greylist).
4. Profil klienta — czy transakcja pasuje do dotychczasowego wzorca (np. nagle 100 000 EUR na koncie osoby z miesięcznym dochodem 5 000 zł).
5. Charakter transakcji — gotówka, anonimowy nadawca, podział na drobne kwoty.

Po wykryciu transakcji „nietypowej" bank może:

• Wstrzymać transakcję na 24 h, a w razie zawiadomienia GIIF — do 96 godzin (możliwość przedłużenia decyzją prokuratora).
• Zażądać dokumentów potwierdzających źródło środków (umowa, faktura, akt darowizny).
• Zgłosić sprawę do GIIF przez system SI@.

Smurfing — czego NIE robić

„Smurfing" to celowe dzielenie dużej transakcji na mniejsze, by ominąć próg AML. Przykład: zamiast jednego przelewu 60 000 zł, pięć przelewów po 12 000 zł w ciągu tygodnia. Bank ma algorytmy wykrywające ten wzorzec — i nie chodzi tylko o algorytmy; jest to wprost wymienione w ustawie jako podstawa zgłoszenia do GIIF.

Podział transakcji w celu obejścia progu — nawet bez zamiaru przestępczego — może skutkować zatrzymaniem środków, koniecznością wyjaśnień, w skrajnych przypadkach zamknięciem konta przez bank.

Typowe scenariusze życiowe

1. Wynagrodzenie z kontraktu B2B

Stałe wpływy 30 000 zł/m-c na konto firmowe od jednego klienta z UE. Bank ma to w profilu klienta (kontrakt został przedstawiony przy otwarciu konta) — brak alarmów. Pierwszy nietypowy wpływ (np. 200 000 zł od nowego kontrahenta z innego kraju) może już uruchomić zapytanie.

2. Darowizna od rodziców 80 000 zł

Bezgotówkowo przelew z konta rodziców na Twoje. Bank nie blokuje (jest tytuł „darowizna", nadawca z bliskiej rodziny — niskie ryzyko AML). Niezależnie: musisz w ciągu 6 miesięcy złożyć w urzędzie skarbowym SD-Z2, by skorzystać ze zwolnienia podatkowego z grupy 0 (małżonek, dzieci, rodzice, rodzeństwo, dziadkowie, pasierb/pasierbica).

3. Spadek 250 000 EUR z USA

Wpływ na konto walutowe. Bank wstrzyma na 24–96 h, zażąda postanowienia sądu o stwierdzeniu nabycia spadku lub aktu poświadczenia dziedziczenia, ewentualnie tłumaczenia przysięgłego dokumentu zagranicznego (np. Letters Testamentary). Po dostarczeniu — środki odblokowane. Następnie obowiązek SD-Z2 (jeśli grupa 0) lub deklaracji SD-3 (inne grupy).

4. Sprzedaż samochodu za 90 000 zł gotówką

Dealer (lub Ty, jeśli sprzedajesz prywatnie) przyjmując gotówkę powyżej 10 000 EUR ma obowiązek identyfikacji kupującego i zgłoszenia do GIIF. Lepiej rozliczyć przelewem.

5. 100 000 zł od babci na mieszkanie

Bezgotówkowo, z tytułem „darowizna na mieszkanie". Bank odnotowuje, ale nie blokuje — to klasyczna i często spotykana operacja. Wymagane SD-Z2 do US.

6. Wpłata gotówki 80 000 zł we wpłatomacie

Przekroczenie progu — bank w terminie 7 dni przekazuje informację do GIIF (transakcja ponadprogowa). Jeśli w profilu klienta brak racjonalnego źródła takiej kwoty, bank zażąda wyjaśnień.

Sankcje

Dla instytucji obowiązanych

Dla osób fizycznych

Dla zwykłego klienta najczęstszą „sankcją" jest opóźnienie transakcji o 1–4 dni i potrzeba okazania dokumentów.

Dokumenty zabezpieczające — co warto mieć

Im więcej, tym łatwiej rozwiązać niejasność jeszcze tego samego dnia.

Dokumenty warto przechowywać co najmniej 5 lat — zarówno pod kątem AML, jak i ogólnych terminów przedawnienia zobowiązań podatkowych.

Bezpieczeństwo płatności — PSD2 i SCA

Niezależnie od AML, każdy bank w UE musi stosować PSD2 (Druga Dyrektywa o Usługach Płatniczych) i SCA (Strong Customer Authentication). To dotyczy płatności online — nie samych przelewów AML, ale często bywa mylone.

Banki łączą SCA z własnymi systemami fraud detection opartymi na ML (mBank, ING, Santander, Pekao). Te systemy wykrywają nie tylko fraud, ale również wzorce typowe dla AML.

Krypto i Travel Rule

Od 2024 r. (z dalszymi zmianami w pakiecie AML/CFT) dostawcy usług w zakresie aktywów wirtualnych (VASP — giełdy, kantory krypto, dostawcy portfeli kustodialnych) muszą stosować Travel Rule (FATF Recommendation 16): przy każdym transferze krypto powyżej 1 000 EUR muszą zbierać i przekazywać dane:

• nadawcy (imię, nazwisko, adres, numer rachunku/portfela),
• odbiorcy (imię, nazwisko, numer portfela).

Obejmuje to giełdy działające w PL: Zonda, Binance, Coinbase, Bitpanda i inne. Dane trafiają do KAS (Krajowej Administracji Skarbowej) i mogą być wymieniane międzynarodowo (DAC8 — od 2026 r. raportowanie krypto w UE na wzór CRS).

Pułapki, których lepiej unikać

Co robić, gdy bank wstrzymał transakcję

1. Nie panikuj — wstrzymanie do 96 h to standardowa procedura, nie wyrok.
2. Skontaktuj się z infolinią banku — w komunikacie zwykle znajdziesz numer sprawy.
3. Przygotuj dokumenty — umowa, faktura, postanowienie sądu, akt notarialny.
4. Prześlij skany przez bezpieczny kanał (najczęściej system bankowości elektronicznej, nie e-mail).
5. W razie odmowy odblokowania — możesz złożyć skargę do Rzecznika Finansowego lub KNF (w przypadku banku); ostatecznie do sądu cywilnego.
6. Dla dużych spraw — rozważ doradcę podatkowego lub prawnika specjalizującego się w AML.

Identyfikacja klienta — KYC krok po kroku

KYC (Know Your Customer) to praktyczna realizacja środków bezpieczeństwa finansowego. Otwierając konto bankowe, rachunek maklerski czy konto na giełdzie krypto, przechodzisz przez ten sam zestaw kroków:

KYC ma być proporcjonalny do ryzyka: dla zwykłego klienta osobistego — uproszczony, dla klienta z kraju wysokiego ryzyka lub PEP — wzmocniony (EDD — Enhanced Due Diligence).

CRBR — Centralny Rejestr Beneficjentów Rzeczywistych

Każda spółka prawa handlowego, fundacja, stowarzyszenie wpisane do KRS oraz część innych podmiotów (m.in. spółki cywilne od 2022 r.) musi zgłaszać do CRBR osobę fizyczną, która faktycznie ją kontroluje. Brak zgłoszenia lub fałszywe oświadczenie — kara administracyjna do 1 000 000 zł, a od 2024 r. dodatkowo odpowiedzialność karna za podanie nieprawdy. Banki przy otwieraniu rachunku firmowego sprawdzają zgodność deklaracji z CRBR.

Praktyczne wskazówki — jak żyć z AML

1. Każda darowizna na piśmie. Nawet w rodzinie. Krótka, jednostronicowa umowa z datą i kwotą rozwiązuje 90% pytań banku i US.
2. Nie dziel celowo. Jeden przelew 60 000 zł z dokumentem jest zawsze bezpieczniejszy niż cztery po 15 000 zł bez tła.
3. Aktualizuj dane. Bank prosi o aktualizację formularza KYC (źródło dochodów, miejsce zatrudnienia) co 1–3 lata. Ignorowanie kończy się czasowym zablokowaniem konta.
4. Sprawdzaj kontrahentów. Przy fakturach 50 000 zł+ od nowych firm — biały wykaz VAT, KRS, ewentualnie weryfikacja w mechanizmie podzielonej płatności (split payment).
5. Plan na długie wakacje. Jeśli wyjeżdżasz na 6 m-cy do egzotycznego kraju, uprzedź bank — masowe logowania z nietypowej lokalizacji bywają sygnałem dla systemów anty-fraud.
6. Testament i dyspozycje na wypadek śmierci. Brak dokumentów powoduje, że spadkobiercy czekają miesiącami na środki, które bank musi zatrzymać do pełnego procesu spadkowego.

AML w 2026 — co się zmienia

Pakiet AML/CFT przyjęty przez UE w 2024 r. wprowadza w latach 2025–2027 m.in.:

Stan prawny może ulec zmianie — śledź komunikaty Ministerstwa Finansów i GIIF.

FAQ

1. Czy bank zablokuje przelew darowizny od rodziców 50 000 zł? Najczęściej nie — przelew bezgotówkowy z konta rodzica z tytułem „darowizna" mieści się w typowym profilu i jest poniżej progu 15 000 EUR. Niezależnie pamiętaj o zgłoszeniu SD-Z2 w ciągu 6 miesięcy do US, by skorzystać ze zwolnienia w grupie 0.

2. Co to jest GIIF? Generalny Inspektor Informacji Finansowej — organ administracji rządowej w strukturze Ministerstwa Finansów, odpowiedzialny za otrzymywanie, analizowanie i przekazywanie organom ścigania informacji o transakcjach podejrzanych. Instytucje obowiązane raportują do GIIF przez system SI@.

3. Czy wpłacając 20 000 zł gotówką zostanę zgłoszony? 20 000 zł to poniżej 15 000 EUR (~64 500 PLN), więc próg ustawowy nie jest przekroczony. Jeżeli jednak transakcja jest nietypowa (np. wpłaty osobom bez stałego dochodu), bank może wystąpić o wyjaśnienia i — w razie podejrzeń — i tak zgłosić do GIIF.

4. Czy mogę uniknąć AML płacąc kartą zamiast przelewem? Nie. AML obejmuje wszystkie formy płatności bezgotówkowych. Karta to po prostu inny instrument tego samego konta — bank widzi transakcję tak samo.

5. Czy giełda krypto musi zgłaszać każdą moją transakcję do urzędu skarbowego? Tak — w ramach DAC8 (od 2026 r. w UE) giełdy działające w UE mają raportować dane o transakcjach do administracji skarbowej kraju rezydencji klienta. Pamiętaj o samodzielnym rozliczeniu PIT-38 w razie zysku ze zbycia kryptoaktywów.

6. Co jeśli „pożyczam" pieniądze znajomemu — czy to też AML? Pożyczki prywatne podlegają PCC (z pewnymi zwolnieniami w rodzinie). Z punktu widzenia AML — pojedyncza pożyczka 5 000 zł nie wzbudzi alarmu; cykliczne, duże pożyczki bez umów mogą wyglądać podejrzanie. Zawsze zawieraj umowę pisemną i — gdy wymagane — opłać PCC w US (PCC-3).

7. Jak długo trwa „dochodzenie" GIIF? GIIF ma kilka dni roboczych na analizę zgłoszenia (w praktyce 24–96 h), z możliwością przedłużenia decyzją prokuratora. W większości przypadków sprawa kończy się bez konsekwencji dla klienta — środki wracają, a transakcja zostaje wykonana.

---

Jeśli chcesz mieć porządek w dokumentacji finansowej i łatwo wyjaśnić każdy większy ruch na koncie — sprawdź Freenance. Czytelna historia transakcji i kategoryzacja pomagają szybko sięgnąć po właściwą fakturę czy umowę, kiedy bank pyta o źródło środków. Freenance to narzędzie do organizacji finansów osobistych, nie zastępuje doradztwa prawnego ani podatkowego.