DORAn alainen rahoitusalan toimija, joka käyttää tekoälyä, kuuluu kahden sääntelyn piiriin, jotka pyytävät päällekkäisiä todisteita samoista järjestelmistä. Moduuli kertoo, mitä voi rakentaa kerran, mitä DORA-kontrolli EI ole täyttänyt, ja kolme häiriökelloa rinnakkain.
Turvallinen maksu Stripen kautta. Toimitus heti sähköpostilla, nimetty käyttöoikeus.
DORAn alainen rahoitusalan toimija, joka käyttää tekoälyjärjestelmiä, kuuluu kahden asetuksen piiriin. Ne on laadittu eri pääosastoilla, niitä valvotaan eri kanavien kautta ja ne on rakennettu eri lähtökohdille — ja ne pyytävät silti päällekkäisiä todisteita samoista järjestelmistä.
Tavanomainen vastaus on kaksi ohjelmaa. Se on kallista, ja se on pahempaa kuin kallista: kaksi samojen järjestelmien rekisteriä alkavat jossain vaiheessa olla ristiriidassa, ja sinä päivänä kun ovat, kumpaakaan ei voi enää esittää valvojalle.
Kaksi sääntelyä rinnakkain. Sääntelyn kohde, päivämäärät, ketä se sitoo, mikä laukaisee raskaat velvoitteet, valvoja ja seuraamusriski. Mukaan lukien säännös, joka jää useimmilta vaatimustenmukaisuustoiminnoilta huomaamatta: AI Actin 74 artiklan 6-7 kohdan mukaan markkinavalvontaviranomainen monille rahoituslaitosten käyttämille tekoälyjärjestelmille on sama rahoitusvalvoja, jolle jo raportoitte. Molemmat sääntelyt voivat saapua samaan keskusteluun.
Mitä kumpikin sääntely vaatii teillä olevan, artefakteina eikä periaatteina — DORA-kehikko, omaisuuserien tunnistaminen, häiriöprosessi, testausohjelma, tietorekisteri ja sopimusmääräykset, vastaan AI Actin riskinhallintajärjestelmä, datan hallinnan todisteet, liitteen IV asiakirja-aineisto, lokitus, ihmisen suorittama valvonta, vaatimustenmukaisuuden arviointi ja markkinoille saattamisen jälkeiset velvoitteet.
Konvergenssianalyysi, kahdeksalla rivillä. Kukin rivi kertoo, mikä voi palvella kumpaakin sääntelyä ja — tämä on hyödyllisempi puoli — mitä AI Act yhä vaatii erikseen. Omaisuuserien tunnistaminen, riskinhallinta, kolmansien osapuolten hallinta, häiriöiden hallinta, testaus, lokitus, johtamisjärjestelmä ja osaaminen. Nyrkkisääntö, johon se päätyy: DORA kysyy, pyöriikö palvelu edelleen; AI Act kysyy, oliko päätös perusteltu ja pystytkö näyttämään sen.
Kymmenen käyttötapauksen matriisi sille tekoälylle, jota rahoitusalan toimijat todella käyttävät: luottoluokitus, petosten havaitseminen, rahanpesun valvonta, algoritmikauppa, vakuutushinnoittelu, chatbotit, generatiivinen sisältö, biometrinen asiakkaan tunnistus, hakemusten seulonta ja sisäiset avustajat. Kukin rivi antaa DORAn näkökulman ja AI Actin luokittelukysymyksen, joka on ratkaistava — niiden joukossa ne kaksi, jotka useimmin siirtävät budjettia: talouspetosten havaitseminen on nimenomaisesti rajattu pois liitteen III 5 kohdan b alakohdasta, ja hakemusten seulonta on suuririskinen mutta arvioidaan omalla arvioinnilla liitteen VI nojalla, ilman ilmoitettua laitosta.
Yksi toimittajasopimus kahden sijaan. DORAn 30 artikla pakottaa jo sopimuskurin, jonka päälle useimmat AI Actin toimittajavaatimukset voivat asettua. Moduuli kartoittaa lausekkeittain sen, mitä nykyinen tieto- ja viestintätekniikan (TVT) liitteenne jo kattaa, ja eristää tekoälyerotuksen: neljä lauseketta ja yksi takuu.
Kolme häiriökelloa rinnakkain. Yksi tekoälyn vikaantuminen voi käynnistää DORAn ilmoituksen merkittävästä TVT-häiriöstä, AI Actin 73 artiklan mukaisen vakavan poikkeaman ilmoituksen ja GDPR:n 33 artiklan tietoturvaloukkauskellon, kolmella eri laukaisimella. Mikään niistä ei korvaa toista. Mukaan lukien menettelyrajoite, joka on vastoin kaikkia käyttötoiminnan vaistoja: 73 artiklan 6 kohta kieltää muuttamasta järjestelmää tavalla, joka voi vaikuttaa syiden arviointiin, ennen kuin viranomaisille on ilmoitettu — päinvastoin kuin DORAn toipumissuunnitelma sanoo samoille insinööreille.
Yksi rekisteri, päällysteillä. Attribuutit, jotka tietorekisteriin on lisättävä DORAn 28 artiklan 3 kohdan nojalla, jotta se kantaa myös AI Actin luokittelun, ja miksi riskitaso on johdettava eikä kirjoitettava.
90 päivän järjestys toimijalle, joka on tänään DORAn mukainen ja on tehnyt AI Actin osalta vähän, asettaen eteen ne kaksi velvoitetta, joilla on lähimmät määräajat ja halvimmat todisteet.
Vaatimustenmukaisuuden, riskien ja TVT:n toiminnoille luottolaitoksissa, vakuutusyrityksissä, sijoituspalveluyrityksissä ja maksulaitoksissa, jotka jo toimivat DORAn alaisuudessa — ja toimittajille, jotka myyvät niille tekoälyä ja joilta nämä kysymykset esitetään hankinnan aikana.
Tämä on kahden asetuksen rakenteellinen analyysi, ei oikeudellinen neuvo. Luokittelu liitteen III nojalla riippuu toteutuksestanne: kaksi pankkia, jotka käyttävät nimellisesti samankaltaisia malleja, voivat päätyä 5 kohdan b alakohdan petosrajauksen eri puolille.
Koskeeko organisaatiotanne sekä AI Act että DORA? Nämä kaksi asetusta kohtaavat rahoitusalan tekoälyjärjestelmien operatiivisessa häiriönsietokyvyssä. Sisarsivustomme regulation-dora.eu käsittelee DORAa syvällisesti — mukaan lukien sen, mitä AI Act lisää olemassa olevan DORA-ohjelman päälle.
AI Act rahoituslaitoksille ↗ Tutustu sivustoon regulation-dora.eu ↗Kyllä. DORA — asetus (EU) 2022/2554 — on koskenut 17. tammikuuta 2025 lähtien luottolaitoksia, vakuutusyrityksiä, sijoituspalveluyrityksiä, maksulaitoksia ja muita sen 2 artiklassa lueteltuja toimijoita. Samoja toimijoita koskee AI Act niiden tekoälyjärjestelmien osalta, joita ne tarjoavat tai ottavat käyttöön. Sääntelyt eivät korvaa toisiaan: DORA sääntelee palvelunne toimittavan tieto- ja viestintätekniikan häiriönsietokykyä, AI Act sääntelee tiettyjen tekoälyjärjestelmien vaikutusta turvallisuuteen ja oikeuksiin.
Ei, ja sen olettaminen on se kallis virhe, jonka estämiseksi tämä moduuli on olemassa. DORAn 5-10 artikla koskevat toiminnan häiriönsietokykyä; AI Actin 9 artikla koskee terveydelle, turvallisuudelle ja perusoikeuksille aiheutuvaa haittaa, joka johtuu järjestelmän käyttötarkoituksesta ja sen kohtuudella ennakoitavasta väärinkäytöstä. DORA-riskirekisteri ei sisällä yhtäkään riviä 9 artiklan merkityksessä. Moduuli kertoo, kontrollialue kontrollialueelta, mitä AI Act vaatii tämän päälle.
Perusoikeuksiin kohdistuvan vaikutuksen arviointi luetaan tavallisesti julkisen sektorin velvoitteeksi. 27 artiklan 1 kohta ulottaa sen käyttöönottajiin, jotka ovat luottolaitoksia, liitteen III 5 kohdan b alakohdan luottokelpoisuusjärjestelmien osalta, ja vakuutusyrityksiin, 5 kohdan c alakohdan henki- ja terveysvakuutuksen riskinarviointi- ja hinnoittelujärjestelmien osalta. Sillä ei ole lainkaan vastinetta DORAssa, joten mikään siitä, mitä jo käytätte, ei kata sitä.
Ei. Maksuton sivu on lyhyt orientaatio. Tämä on 9 sivun moduuli: kaksi sääntelyä verrattuna kuudella ulottuvuudella, artefakti artefaktilta luettelo siitä, mitä kumpikin vaatii teillä olevan, konvergenssianalyysi kahdeksalla rivillä, kymmenen tapauksen luokittelumatriisi sille tekoälylle, jota rahoitusalan toimijat todella käyttävät, yksi ainoa toimittajasopimuksen liite kummallekin sääntelylle, DORAn, AI Actin ja GDPR:n häiriökellot rinnakkain, ja 90 päivän järjestys.
9 sivun PDF, toimitetaan sähköpostilla välittömästi maksun jälkeen, lisenssi yhdelle nimetylle käyttäjälle. Viittaukset AI Actiin vastaavat tekstiä sellaisena kuin se on muutettuna asetuksella (EU) 2026/1744 — heinäkuun 2026 Digital Omnibus — joka siirsi neljää niistä päivämääristä, joita useimmat julkaisut vielä mainitsevat.