Tekoälyasetus vs. DORA vs. NIS2: Vaatimustenmukaisuuden yhdentyminen rahoitusorganisaatioille

Rahoituslaitosten on hallittava tekoälyasetus, DORA ja NIS2 — kolme asetusta, joissa on päällekkäisiä velvoitteita ja aikatauluja. Tämä opas kartoittaa leikkauspisteet: missä velvoitteet ovat päällekkäisiä, missä ne ovat ristiriidassa ja miten dokumentaatio kaksoiskartoitetaan vaatimustenmukaisuustaakan vähentämiseksi.

Kolme asetusta, yksi vaatimustenmukaisuusohjelma

EU:n rahoitusorganisaatiot kohtaavat tekoälyasetuksen, DORA:n ja NIS2:n — kolme asetusta, jotka on suunniteltu itsenäisesti mutta jotka ovat merkittävästi päällekkäisiä rahoituspalveluissa käytettävien tekoälyjärjestelmien kontekstissa. Niiden hallitseminen erikseen luo päällekkäistä dokumentaatiota, epäjohdonmukaista hallintoa ja tarpeettomia kustannuksia.

Tämä opas kartoittaa päällekkäisyydet ja osoittaa, missä yksi vaatimustenmukaisuuspanos voi täyttää useita asetuksia samanaikaisesti.

Aikatauluvertailu

Missä tekoälyasetus ja DORA ovat päällekkäisiä

Riskienhallinta

Tekoälyasetuksen Art. 9 edellyttää riskinhallintajärjestelmää korkeariskiselle tekoälylle, kattaen riskien tunnistamisen, arvioinnin, analysoinnin ja lieventämisen koko elinkaaren ajan.

DORA Art. 5–16 edellyttää tieto- ja viestintätekniikan riskinhallintakehystä, joka kattaa tieto- ja viestintätekniikan riskien tunnistamisen, suojaamisen, havaitsemisen, reagoinnin ja palautumisen.

Päällekkäisyys: Molemmat soveltuvat rahoituspalveluissa käytettäviin tekoälyjärjestelmiin. Yksi riskikirjanpito ja hallintoprosessi voi täyttää molemmat, edellyttäen, että se kattaa Art. 9:n vaatimat tekoälykohtaiset riskit (tarkkuus, kestävyys, harha, perusoikeusvaikutukset) DORA:n tieto- ja viestintätekniikan riskiluokkien (saatavuus, luottamuksellisuus, eheys, todennus) lisäksi.

Kaksoiskartoituslähestymistapa: Laajenna DORA:n tieto- ja viestintätekniikan riskikirjanpitoa sisältämään tekoälykohtaiset riskidimensiot. Dokumentoi yhdistetty arviointi täyttäväksi sekä Art. 9:n että DORA Art. 5–16:n vaatimukset.

Tapahtumailmoitukset

Tekoälyasetuksen Art. 73 edellyttää korkeariskisen tekoälyn tarjoajilta vakavien tapahtumien ilmoittamista markkinavalvontaviranomaisille ilman aiheetonta viivästystä.

DORA Art. 19–23 edellyttää rahoitusyrityksiltä merkittävien tieto- ja viestintätekniikkaan liittyvien tapahtumien ilmoittamista toimivaltaisille viranomaisille tiukkojen aikataulujen mukaisesti (alustava: 4 tuntia; väliaikainen: 72 tuntia; lopullinen: 1 kuukausi).

Päällekkäisyys: Korkeariskiseen tekoälyjärjestelmään liittyvä tai sen aiheuttama tieto- ja viestintätekniikkatapahtuma voi laukaista molemmat ilmoitusvelvoitteet samanaikaisesti. Rakenna yksi tapahtuman reagointimenettely, joka arvioi molemmat kynnykset ja ohjaa molemmille sääntelyviranomaisille tarvittaessa.

Kolmannet osapuolet ja toimitusketju

Tekoälyasetus asettaa velvoitteita tarjoajille, jotka kehittävät tekoälyä. Kolmannen osapuolen korkeariskisiä tekoälyjärjestelmiä hankkivien käyttäjien on varmistettava tarjoajan vaatimustenmukaisuus.

DORA Art. 28–44 edellyttää rahoitusyrityksiltä tieto- ja viestintätekniikan kolmansien osapuolten riskien hallintaa, myös tekoälyn tarjoajien ja tekoälyjärjestelmiä käyttävien pilvipalveluiden osalta.

Päällekkäisyys: Rahoitusyritysten käyttämien tekoälyjärjestelmien hankintahuolellisuuden on täytettävä molemmat: DORA:n tieto- ja viestintätekniikan kolmansien osapuolten riskiarviointi ja sopimusvaatimukset SEKÄ tekoälyasetuksen vaatimustenmukaisuuden arvioinnin ja CE-merkinnän varmentaminen.

Käytännön vinkki: Lisää tekoälyasetuksen vaatimustenmukaisuuden varmentaminen DORA:n tieto- ja viestintätekniikan kolmansien osapuolten huolellisuuden tarkistuslistaan. Vaadi tekoälyntarjoajia toimittamaan vaatimustenmukaisuuden arviointidokumentaatio ja EU:n tietokantarekisteröintinumero.

Missä tekoälyasetus ja NIS2 ovat päällekkäisiä

NIS2 koskee laajasti olennaisia ja tärkeitä toimijoita, mukaan lukien rahoituslaitokset, energiantoimittajat, terveydenhuoltoorganisaatiot ja digitaalisen infrastruktuurin toimijat.

NIS2:n Art. 21 turvallisuustoimenpiteet koskevat kaikkia tieto- ja viestintätekniikkaa — mukaan lukien tekoälyjärjestelmiä. Riskipohjaiset turvallisuustoimenpiteet, toimitusketjun turvallisuus ja liiketoiminnan jatkuvuuden suunnittelu koskevat tekoälyä tieto- ja viestintätekniikan komponentteina.

NIS2:n Art. 23 tapahtumaraportointi (24 tunnin ennakkovaroitus, 72 tunnin ilmoitus, 1 kuukauden loppuraportti) koskee merkittäviä tapahtumia, mukaan lukien tekoälyjärjestelmiin liittyvät.

Integrointimahdollisuus: NIS2:n turvallisuustoimenpiteet ja tekoälyasetuksen Art. 15 (tarkkuus, kestävyys, kyberturvallisuus) korkeariskiselle tekoälylle voidaan käsitellä samalla tietoturvallisuuden hallintajärjestelmällä (ISMS) ja kyberturvallisuusohjelmalla.

Suositeltava kaksoiskartoituskehys

1. Yksi tekoälyinventointi — luetteloi kaikki tekoälyjärjestelmät, kartoittaen kukin tekoälyasetuksen riskiluokkaan JA DORA/NIS2-soveltuvuuteen
2. Yhdistetty riskikirjanpito — laajenna tieto- ja viestintätekniikan riskikirjanpitoa sisältämään tekoälykohtaiset dimensiot (harha, läpinäkymättömyys, perusoikeusvaikutukset)
3. Yhtenäinen tapahtuman reagointi — yksi menettely kaksoiskynnyksen arviointiin tekoälyasetuksen + DORA/NIS2-raportoinnin osalta
4. Jaettu kolmannen osapuolen malli — DORA:n tieto- ja viestintätekniikan huolellisuus + tekoälyasetuksen vaatimustenmukaisuuden varmentaminen yhdessä toimittajakyselyssä
5. Yhteinen laadunhallintajärjestelmä — suunnittele tekoälyasetuksen laadunhallintajärjestelmä (Art. 17) DORA:n hallintokehyksen laajennuksena, ei erillisenä siilona

DORA-erityistä ohjausta varten katso sisarsivustomme regulation-dora.eu — kattaen DORA:n täydellisen tieto- ja viestintätekniikan riskienhallinnan, tapahtumaraportoinnin ja kolmansien osapuolten kehykset yksityiskohtaisesti.