En finansiel enhed under DORA, der driver AI, er omfattet af to regimer, som beder om overlappende dokumentation for de samme systemer. Modulet opstiller, hvad I kan bygge én gang, hvad en DORA-kontrol IKKE har opfyldt, og de tre hændelsesure side om side.
Sikker betaling via Stripe. Øjeblikkelig levering på e-mail, licens på navn.
En finansiel enhed under DORA, der driver AI-systemer, er omfattet af to forordninger, som er skrevet af forskellige generaldirektorater, føres tilsyn med gennem forskellige kanaler og hviler på forskellige præmisser — og som alligevel beder om overlappende dokumentation for de samme systemer.
Det sædvanlige svar er to programmer. Det er dyrt, og det er værre end dyrt: to registre over de samme systemer vil med tiden komme til at modsige hinanden, og den dag de gør det, kan ingen af dem længere lægges frem for en tilsynsmyndighed.
De to regimer side om side. Reguleringens genstand, datoerne, hvem der er bundet, hvad der udløser de tunge pligter, tilsynsmyndighed og sanktionsrisiko. Herunder den bestemmelse, de fleste compliancefunktioner overser: efter art. 74, stk. 6 og 7, i AI Act er markedsovervågningsmyndigheden for mange af de AI-systemer, finansielle institutioner anvender, den finansielle tilsynsmyndighed, I allerede rapporterer til. Begge regimer kan optræde i samme samtale.
Hvad hvert regime kræver, at I har liggende, som artefakter og ikke som principper — DORA-rammen, identifikationen af aktiver, hændelsesprocessen, testprogrammet, informationsregistret og de kontraktlige bestemmelser, over for AI Acts risikostyringssystem, dokumentationen for datastyring, akten efter bilag IV, logningen, det menneskelige tilsyn, overensstemmelsesvurderingen og pligterne efter omsætning på markedet.
Konvergensanalysen, i otte rækker. Hver række siger, hvad der kan tjene begge regimer, og — den mere nyttige halvdel — hvad AI Act fortsat kræver særskilt. Identifikation af aktiver, risikostyring, styring af tredjeparter, hændelseshåndtering, test, logning, ledelsessystemet og kompetence. Tommelfingerreglen, den bygger op til: DORA spørger, om tjenesten bliver ved med at køre; AI Act spørger, om afgørelsen var holdbar, og om I kan vise det.
En matrix med ti anvendelsestilfælde for den AI, finansielle enheder faktisk driver: kreditvurdering, svindeldetektering, hvidvaskovervågning, algoritmisk handel, forsikringsprissætning, chatbots, generativt indhold, biometrisk onboarding, screening af ansøgere og interne assistenter. Hver række giver DORA-vinklen og det klassifikationsspørgsmål i AI Act, der skal afgøres — heriblandt de to, der oftest flytter et budget: detektering af finansielt svindel er udtrykkeligt undtaget fra bilag III, punkt 5, litra b), og screening af ansøgere er højrisiko, men vurderes af udbyderen selv efter bilag VI, uden bemyndiget organ.
Én leverandørkontrakt i stedet for to. Art. 30 i DORA fremtvinger allerede en kontraktlig disciplin, som de fleste af AI Acts leverandørkrav kan køre med på. Modulet kortlægger klausul for klausul, hvad jeres eksisterende IKT-bilag allerede dækker, og isolerer AI-deltaet: fire klausuler og en garanti.
De tre hændelsesure side om side. Et enkelt AI-svigt kan sætte DORA-indberetningen af en større IKT-relateret hændelse, indberetningen af en alvorlig hændelse efter art. 73 i AI Act og fristen for brud på persondatasikkerheden efter art. 33 i GDPR i gang, på tre forskellige udløsere. Ingen af dem erstatter en anden. Herunder den begrænsning i drejebogen, der modsiger ethvert driftsinstinkt: art. 73, stk. 6, forbyder at ændre systemet på en måde, der kan påvirke vurderingen af årsagerne, før myndighederne er underrettet — det modsatte af, hvad en DORA-genopretningsplan siger til de samme ingeniører.
Ét register, med overlæg. De attributter, der skal føjes til informationsregistret efter art. 28, stk. 3, i DORA, så det også bærer klassifikationen efter AI Act, og hvorfor risikokategorien skal udledes og ikke skrives ind.
Et forløb på 90 dage for en enhed, der er DORA-compliant i dag og har gjort lidt på AI Act, hvor de to pligter med de nærmeste frister og den billigste dokumentation lægges først.
Til compliance-, risiko- og IKT-funktionerne i kreditinstitutter, forsikringsselskaber, investeringsselskaber og betalingsinstitutter, der allerede arbejder under DORA — og til de leverandører, der sælger AI ind til dem og får disse spørgsmål under indkøbet.
Det er en strukturel analyse af to forordninger, ikke juridisk rådgivning. Klassifikationen efter bilag III afhænger af jeres gennemførelse: to banker, der kører nominelt ensartede modeller, kan ende på hver sin side af undtagelsen for svindel i punkt 5, litra b).
Er jeres organisation omfattet af både AI Act og DORA? De to forordninger mødes i den operationelle robusthed af finansielle AI-systemer. Vores søsterside regulation-dora.eu dækker DORA i dybden — herunder hvad AI Act lægger oven på et eksisterende DORA-program.
AI Act for finansielle institutioner ↗ Udforsk regulation-dora.eu ↗Ja. DORA — forordning (EU) 2022/2554 — har gældt siden 17. januar 2025 for kreditinstitutter, forsikringsselskaber, investeringsselskaber, betalingsinstitutter og de øvrige enheder, der er nævnt i dens art. 2. De samme enheder er omfattet af AI Act for de AI-systemer, de udbyder eller ibrugtager. Regimerne træder ikke i stedet for hinanden: DORA regulerer modstandsdygtigheden af den IKT, der leverer jeres tjenester, AI Act regulerer bestemte AI-systemers indvirkning på sikkerhed og rettigheder.
Nej, og at antage det er den dyre fejl, dette modul findes for at forhindre. Art. 5 til 10 i DORA handler om operationel modstandsdygtighed; art. 9 i AI Act handler om skade på sundhed, sikkerhed og grundlæggende rettigheder som følge af et systems tilsigtede formål og dets med rimelighed forudsigelige misbrug. Et DORA-risikoregister indeholder ikke en enkelt række i art. 9-forstand. Modulet siger, kontrolområde for kontrolområde, præcis hvad AI Act stadig kræver oven i.
Vurderingen af indvirkningen på grundlæggende rettigheder læses normalt som en pligt for den offentlige sektor. Art. 27, stk. 1, udstrækker den til ibrugtagere, der er kreditinstitutter, for kreditværdighedssystemer efter bilag III, punkt 5, litra b), og til forsikringsselskaber, for systemer til risikovurdering og prissætning inden for liv og sundhed efter punkt 5, litra c). Den har slet ingen modsvarighed i DORA, så intet af det, I allerede driver, dækker den.
Nej. Den gratis side er en kort orientering. Dette er et modul på 9 sider: de to regimer sammenlignet på seks dimensioner, en opgørelse artefakt for artefakt over, hvad hvert regime beder jer om at have, en konvergensanalyse i otte rækker, en klassifikationsmatrix med ti tilfælde for den AI, finansielle enheder virkelig driver, ét leverandørbilag der tjener begge regimer, hændelsesurene i DORA, AI Act og GDPR side om side, og et forløb på 90 dage.
En PDF på 9 sider, leveret på e-mail umiddelbart efter betaling, én navngiven bruger. Henvisningerne til AI Act følger teksten som ændret ved forordning (EU) 2026/1744 — Digital Omnibus fra juli 2026 — der flyttede fire af de datoer, som de fleste udgivelser stadig citerer.