Ein Finanzunternehmen unter DORA, das KI betreibt, unterliegt zwei Regimen, die überlappende Nachweise über dieselben Systeme verlangen. Dieses Modul benennt, was Sie einmal bauen können, was eine DORA-Kontrolle NICHT erfüllt hat, und die drei Meldefristen nebeneinander.
Sichere Zahlung über Stripe. Sofortige Lieferung per E-Mail, Einzelplatzlizenz.
Ein Finanzunternehmen unter DORA, das KI-Systeme betreibt, unterliegt zwei Verordnungen, die von verschiedenen Generaldirektionen verfasst, über verschiedene Kanäle beaufsichtigt und auf verschiedenen Prämissen aufgebaut sind — und die dennoch überlappende Nachweise über dieselben Systeme verlangen.
Die übliche Antwort darauf sind zwei Programme. Das ist teuer, und es ist schlimmer als teuer: zwei Register derselben Systeme werden irgendwann voneinander abweichen, und an dem Tag, an dem sie abweichen, lässt sich keines von beiden mehr einer Aufsichtsbehörde vorlegen.
Die beiden Regime nebeneinander. Regelungsgegenstand, Daten, wer gebunden ist, was die schweren Pflichten auslöst, Aufsicht und Sanktionsrisiko. Einschließlich der Bestimmung, die die meisten Compliance-Funktionen übersehen: nach Art. 74(6)-(7) der KI-Verordnung ist die Marktüberwachungsbehörde für viele von Finanzinstituten genutzte KI-Systeme die Finanzaufsicht, der Sie ohnehin berichten. Beide Regime können im selben Gespräch auftreten.
Was jedes Regime von Ihnen verlangt, als Artefakte und nicht als Grundsätze — der DORA-Rahmen, die Identifizierung der Vermögenswerte, der Vorfallsprozess, das Testprogramm, das Informationsregister und die vertraglichen Bestimmungen, gegenüber dem Risikomanagementsystem der KI-Verordnung, den Nachweisen zur Daten-Governance, dem Anhang-IV-Dossier, der Protokollierung, der menschlichen Aufsicht, der Konformitätsbewertung und den Pflichten nach dem Inverkehrbringen.
Die Konvergenzanalyse, in acht Zeilen. Jede benennt, was beiden Regimen dienen kann, und — die nützlichere Hälfte — was die KI-Verordnung darüber hinaus weiterhin eigenständig verlangt. Identifizierung der Vermögenswerte, Risikomanagement, Drittparteienmanagement, Vorfallsmanagement, Tests, Protokollierung, Managementsystem und Kompetenz. Die Faustregel, auf die sie hinausläuft: DORA fragt, ob der Dienst weiterläuft; die KI-Verordnung fragt, ob die Entscheidung tragfähig war und ob Sie das belegen können.
Eine Matrix mit zehn Anwendungsfällen für die KI, die Finanzunternehmen tatsächlich betreiben: Kreditwürdigkeitsprüfung, Betrugserkennung, Geldwäscheüberwachung, algorithmischer Handel, Versicherungsbepreisung, Chatbots, generative Inhalte, biometrisches Onboarding, Bewerbervorauswahl und interne Assistenten. Jede Zeile nennt den DORA-Blickwinkel und die Einstufungsfrage der KI-Verordnung, die zu klären ist — darunter die beiden, die am häufigsten ein Budget verschieben: die Aufdeckung von Finanzbetrug ist ausdrücklich aus Anhang III Nummer 5 Buchstabe b ausgenommen, und die Bewerbervorauswahl ist hochriskant, wird aber nach Anhang VI selbst bewertet, ohne benannte Stelle.
Ein Lieferantenvertrag statt zweier. Art. 30 DORA erzwingt bereits eine vertragliche Disziplin, auf der die meisten Lieferantenanforderungen der KI-Verordnung aufsetzen können. Das Modul ordnet Klausel für Klausel zu, was Ihr bestehender IKT-Anhang schon abdeckt, und isoliert das KI-Delta: vier Klauseln und eine Garantie.
Die drei Meldefristen nebeneinander. Ein einziger KI-Ausfall kann die DORA-Meldung eines schwerwiegenden IKT-bezogenen Vorfalls, die Meldung eines schwerwiegenden Vorfalls nach Art. 73 der KI-Verordnung und die Frist für Datenschutzverletzungen nach Art. 33 DSGVO auslösen, über drei verschiedene Auslöser. Keine ersetzt die andere. Einschließlich der Vorgabe für das Runbook, die jedem betrieblichen Reflex widerspricht: Art. 73(6) verbietet es, das System in einer Weise zu verändern, die die Bewertung der Ursachen beeinflussen könnte, bevor die Behörden informiert sind — das Gegenteil dessen, was ein DORA-Wiederherstellungsplan denselben Ingenieuren sagt.
Ein Register, mit Überlagerungen. Die Attribute, die dem Informationsregister nach Art. 28(3) DORA hinzuzufügen sind, damit es auch die Einstufung nach der KI-Verordnung trägt, und warum die Risikoklasse abgeleitet und nicht eingetippt werden muss.
Eine Abfolge über 90 Tage für ein Unternehmen, das heute DORA-konform ist und bei der KI-Verordnung wenig vorangekommen ist, mit den beiden Pflichten mit den nächstliegenden Fristen und den günstigsten Nachweisen am Anfang.
An die Funktionen Compliance, Risiko und IKT in Kreditinstituten, Versicherungsunternehmen, Wertpapierfirmen und Zahlungsinstituten, die bereits unter DORA arbeiten — und an die Anbieter, die KI an sie verkaufen und denen diese Fragen in der Beschaffung gestellt werden.
Es ist eine strukturelle Analyse zweier Verordnungen, keine Rechtsberatung. Die Einstufung nach Anhang III hängt von Ihrer Umsetzung ab: zwei Banken, die nominell ähnliche Modelle betreiben, können auf verschiedenen Seiten der Betrugs-Ausnahme in Nummer 5 Buchstabe b landen.
Unterliegt Ihre Organisation sowohl der KI-Verordnung als auch DORA? Die beiden Verordnungen überschneiden sich bei der operativen Resilienz finanzieller KI-Systeme. Unsere Schwesterseite regulation-dora.eu behandelt DORA ausführlich — einschließlich dessen, was die KI-Verordnung einem bestehenden DORA-Programm hinzufügt.
Die KI-Verordnung für Finanzinstitute ↗ regulation-dora.eu entdecken ↗Ja. DORA — Verordnung (EU) 2022/2554 — gilt seit dem 17. Januar 2025 für Kreditinstitute, Versicherungsunternehmen, Wertpapierfirmen, Zahlungsinstitute und die weiteren in ihrem Art. 2 aufgeführten Unternehmen. Dieselben Unternehmen unterliegen der KI-Verordnung für die KI-Systeme, die sie anbieten oder betreiben. Die beiden Regime ersetzen einander nicht: DORA regelt die Resilienz der IKT, die Ihre Dienstleistungen erbringt, die KI-Verordnung regelt die Auswirkungen bestimmter KI-Systeme auf Sicherheit und Grundrechte.
Nein, und das anzunehmen ist der teure Fehler, den dieses Modul verhindern soll. Die Art. 5 bis 10 DORA betreffen die operationale Resilienz; Art. 9 der KI-Verordnung betrifft Schäden an Gesundheit, Sicherheit und Grundrechten aus der Zweckbestimmung eines Systems und seiner vernünftigerweise vorhersehbaren Fehlanwendung. Ein DORA-Risikoregister enthält keine einzige Zeile im Sinne des Art. 9. Das Modul benennt Kontrollbereich für Kontrollbereich, was die KI-Verordnung zusätzlich verlangt.
Die Grundrechte-Folgenabschätzung wird üblicherweise als Pflicht des öffentlichen Sektors gelesen. Art. 27(1) erstreckt sie auf Betreiber, die Kreditinstitute sind, für Systeme zur Kreditwürdigkeitsprüfung nach Anhang III Nummer 5 Buchstabe b, und auf Versicherungsunternehmen, für Systeme der Risikobewertung und Bepreisung in der Lebens- und Krankenversicherung nach Nummer 5 Buchstabe c. Sie hat überhaupt kein DORA-Gegenstück, also deckt nichts, was Sie bereits betreiben, sie ab.
Nein. Die kostenlose Seite ist eine kurze Orientierung. Dies ist ein Modul von 9 Seiten: die beiden Regime über sechs Dimensionen verglichen, eine Aufstellung Artefakt für Artefakt dessen, was jedes von Ihnen verlangt, eine Konvergenzanalyse in acht Zeilen, eine Einstufungsmatrix mit zehn Fällen für die KI, die Finanzunternehmen wirklich betreiben, ein einziger Lieferantenvertragsanhang für beide Regime, die Meldefristen von DORA, KI-Verordnung und DSGVO nebeneinander und eine Abfolge über 90 Tage.
Ein PDF von 9 Seiten, unmittelbar nach der Zahlung per E-Mail geliefert, eine namentliche Nutzerlizenz. Die Verweise auf die KI-Verordnung entsprechen dem durch die Verordnung (EU) 2026/1744 geänderten Text — dem Digital Omnibus vom Juli 2026 —, die vier der Daten verschoben hat, die die meisten Veröffentlichungen noch zitieren.