Una entidad financiera sujeta a DORA que explota IA queda bajo dos regímenes que piden pruebas solapadas sobre los mismos sistemas. Este módulo establece qué puede construir una sola vez, qué NO ha satisfecho un control DORA y los tres relojes de incidente en paralelo.
Pago seguro con Stripe. Entrega inmediata por correo electrónico, licencia nominal.
Una entidad financiera sujeta a DORA que explota sistemas de IA queda bajo dos reglamentos redactados por direcciones generales distintas, supervisados por canales distintos y construidos sobre premisas distintas — y que, pese a ello, piden pruebas solapadas sobre los mismos sistemas.
La respuesta habitual es montar dos programas. Es caro, y es peor que caro: dos registros de los mismos sistemas acabarán por contradecirse, y el día en que lo hagan, ninguno de los dos podrá oponerse ya a un supervisor.
Los dos regímenes en paralelo. Objeto de la regulación, fechas, quién queda obligado, qué activa los deberes pesados, supervisor y exposición sancionadora. Incluida la disposición que la mayoría de las funciones de cumplimiento pasa por alto: conforme al art. 74, apartados 6 y 7, del AI Act, la autoridad de vigilancia del mercado para muchos sistemas de IA utilizados por entidades financieras es el supervisor financiero al que ya rinde cuentas. Ambos regímenes pueden llegar en la misma conversación.
Qué le exige tener cada régimen, como artefactos y no como principios — el marco DORA, la identificación de activos, el proceso de incidentes, el programa de pruebas, el registro de información y las cláusulas contractuales, frente al sistema de gestión de riesgos del AI Act, las pruebas de gobernanza de datos, el expediente del anexo IV, el registro de eventos, la supervisión humana, la evaluación de la conformidad y los deberes posteriores a la comercialización.
El análisis de convergencia, en ocho filas. Cada una enuncia qué puede servir a ambos regímenes y — la mitad más útil — qué sigue exigiendo el AI Act por separado. Identificación de activos, gestión de riesgos, gestión de terceros, gestión de incidentes, pruebas, registro de eventos, el sistema de gestión y la competencia. La regla a la que llega: DORA pregunta si el servicio sigue funcionando; el AI Act pregunta si la decisión era sólida y si usted puede demostrarlo.
Una matriz de diez casos de uso para la IA que las entidades financieras explotan realmente: scoring de crédito, detección del fraude, vigilancia de blanqueo, negociación algorítmica, tarificación de seguros, chatbots, contenido generativo, onboarding biométrico, cribado de candidaturas y asistentes internos. Cada fila da el ángulo DORA y la cuestión de clasificación del AI Act que hay que resolver — entre ellas las dos que más a menudo mueven un presupuesto: la detección del fraude financiero está expresamente excluida del anexo III, punto 5, letra b), y el cribado de candidaturas es de alto riesgo pero se autoevalúa conforme al anexo VI, sin organismo notificado.
Un solo contrato de proveedor en lugar de dos. El art. 30 de DORA impone ya una disciplina contractual sobre la que pueden apoyarse la mayoría de los requisitos del AI Act hacia un proveedor. El módulo mapea cláusula por cláusula lo que su anexo TIC ya cubre, y aísla el delta de IA: cuatro cláusulas y una garantía.
Los tres relojes de incidente en paralelo. Un único fallo de IA puede activar la notificación DORA de un incidente grave relacionado con las TIC, la notificación de un incidente grave del art. 73 del AI Act y el reloj de violación de datos del art. 33 del RGPD, con tres desencadenantes distintos. Ninguno sustituye a otro. Incluida la restricción de procedimiento que contradice todo reflejo operativo: el art. 73, apartado 6, prohíbe modificar el sistema de un modo que pueda afectar a la evaluación de las causas antes de haber informado a las autoridades — lo contrario de lo que un plan de recuperación DORA dice a los mismos ingenieros.
Un solo registro, con capas. Los atributos que añadir al registro de información del art. 28, apartado 3, de DORA para que soporte también la clasificación del AI Act, y por qué el nivel de riesgo debe derivarse y no teclearse.
Una secuencia de 90 días para una entidad que hoy cumple DORA y ha avanzado poco en el AI Act, colocando primero las dos obligaciones con los plazos más próximos y las pruebas más baratas.
A las funciones de cumplimiento, riesgos y TIC de entidades de crédito, empresas de seguros, empresas de servicios de inversión y entidades de pago que ya operan bajo DORA — y a los proveedores que les venden IA y a quienes se plantean estas preguntas durante la compra.
Es un análisis estructural de dos reglamentos, no asesoramiento jurídico. La clasificación conforme al anexo III depende de su implementación: dos bancos que explotan modelos nominalmente similares pueden caer a lados distintos de la exclusión del fraude del punto 5, letra b).
¿Su organización está sujeta tanto al AI Act como a DORA? Los dos reglamentos se cruzan en la resiliencia operativa de los sistemas de IA financieros. Nuestro sitio hermano regulation-dora.eu cubre DORA en profundidad — incluido lo que el AI Act añade sobre un programa DORA ya existente.
El AI Act para entidades financieras ↗ Explorar regulation-dora.eu ↗Sí. DORA — Reglamento (UE) 2022/2554 — se aplica desde el 17 de enero de 2025 a las entidades de crédito, las empresas de seguros, las empresas de servicios de inversión, las entidades de pago y las demás entidades enumeradas en su art. 2. Esas mismas entidades están sujetas al AI Act por los sistemas de IA que proporcionan o despliegan. Los regímenes no se sustituyen entre sí: DORA gobierna la resiliencia de las TIC que prestan sus servicios, el AI Act gobierna el impacto de determinados sistemas de IA sobre la seguridad y los derechos.
No, y suponerlo es el error costoso que este módulo existe para evitar. Los art. 5 a 10 de DORA tratan de la resiliencia operativa; el art. 9 del AI Act trata del daño a la salud, la seguridad y los derechos fundamentales derivado de la finalidad prevista de un sistema y de su uso indebido razonablemente previsible. Un registro de riesgos DORA no contendrá una sola fila en el sentido del art. 9. El módulo enuncia, área de control por área de control, exactamente qué sigue exigiendo el AI Act por encima.
La evaluación de impacto sobre los derechos fundamentales suele leerse como un deber del sector público. El art. 27, apartado 1, la extiende a los responsables del despliegue que sean entidades de crédito, para los sistemas de solvencia del anexo III, punto 5, letra b), y a las empresas de seguros, para los sistemas de evaluación de riesgos y tarificación de vida y salud del punto 5, letra c). No tiene ningún equivalente en DORA, de modo que nada de lo que ya opera la cubre.
No. La página gratuita es una orientación breve. Esto es un módulo de 9 páginas: los dos regímenes comparados en seis dimensiones, un inventario artefacto por artefacto de lo que cada uno le pide tener, un análisis de convergencia en ocho filas, una matriz de clasificación de diez casos para la IA que las entidades financieras explotan de verdad, un único anexo de contrato de proveedor que sirve a ambos regímenes, los relojes de incidente de DORA, el AI Act y el RGPD en paralelo, y una secuencia de 90 días.
Un PDF de 9 páginas, entregado por correo electrónico inmediatamente después del pago, licencia para un usuario nominativo. Las referencias al AI Act son las del texto modificado por el Reglamento (UE) 2026/1744 — el Digital Omnibus de julio de 2026 — que desplazó cuatro de las fechas que la mayoría de las publicaciones sigue citando.