A DORA alá tartozó pénzügyi szervezet, amely MI-t üzemeltet, két rendszer alá esik, amelyek átfedő bizonyítékokat kérnek ugyanazokról a rendszerekről. A modul rögzíti, mit lehet egyszer felépíteni, mit NEM teljesített egy DORA-kontroll, és a három incidensórát egymás mellett.
Biztonságos fizetés a Stripe-on keresztül. Azonnali kézbesítés e-mailben, névre szóló licenc.
A DORA alá tartozó pénzügyi szervezet, amely MI-rendszereket üzemeltet, két rendelet alá esik: ezeket más-más főigazgatóság írta, más-más csatornán felügyelik őket, és más-más előfeltevésre épülnek — mégis átfedő bizonyítékokat kérnek ugyanazokról a rendszerekről.
A szokásos válasz két program. Ez drága, és rosszabb a drágánál: ugyanazon rendszerek két nyilvántartása egyszer majd ellentmond egymásnak, és azon a napon, amikor ellentmond, egyiket sem lehet többé egy felügyelet elé tenni.
A két rendszer egymás mellett. A szabályozás tárgya, a dátumok, kire kötelező, mi indítja el a nehéz kötelezettségeket, a felügyelet és a szankciós kitettség. Benne azzal a rendelkezéssel, amely a megfelelési funkciók többségének elkerüli a figyelmét: az AI Act 74. cikk (6)-(7) bekezdése szerint a pénzügyi intézmények által használt MI-rendszerek közül sok esetében a piacfelügyeleti hatóság ugyanaz a pénzügyi felügyelet, amelynek már jelentenek. A két rendszer ugyanabban a beszélgetésben is megjelenhet.
Mit kér tőlük mindegyik rendszer, artefaktumként és nem elvként — a DORA-keretrendszer, az eszközök azonosítása, az incidensfolyamat, a tesztelési program, az információnyilvántartás és a szerződéses rendelkezések, szemben az AI Act kockázatkezelési rendszerével, az adatkormányzás bizonyítékaival, a IV. melléklet szerinti dokumentációval, a naplózással, az emberi felügyelettel, a megfelelőségértékeléssel és a forgalomba hozatal utáni kötelezettségekkel.
A konvergenciaelemzés, nyolc sorban. Mindegyik sor megmondja, mi szolgálhat mind a két rendszert, és — ez a hasznosabb fele — mit követel meg az AI Act továbbra is külön. Eszközazonosítás, kockázatkezelés, harmadik felek kezelése, incidenskezelés, tesztelés, naplózás, a vezetési rendszer és a szakértelem. Az ökölszabály, amelyhez eljut: a DORA azt kérdezi, fut-e még a szolgáltatás; az AI Act azt kérdezi, megalapozott volt-e a döntés, és meg tudják-e mutatni.
Tíz felhasználási eset mátrixa arra az MI-re, amelyet a pénzügyi szervezetek valóban üzemeltetnek: hitelpontozás, csalásfelderítés, pénzmosás-figyelés, algoritmikus kereskedés, biztosítási árazás, chatbotok, generatív tartalom, biometrikus ügyfélazonosítás, pályázatszűrés és belső asszisztensek. Minden sor megadja a DORA-szempontot és az AI Act eldöntendő osztályozási kérdését — köztük azt a kettőt, amely a leggyakrabban mozdít el egy költségvetést: a pénzügyi csalás felderítése kifejezetten ki van véve a III. melléklet 5. pont b) alpontjából, és a pályázatszűrés nagy kockázatú, de a VI. melléklet szerint saját értékeléssel minősül, bejelentett szervezet nélkül.
Egy szállítói szerződés kettő helyett. A DORA 30. cikke már kikényszeríti azt a szerződéses fegyelmet, amelyre az AI Act szállítói követelményeinek többsége felülhet. A modul kikötésenként leképezi, mit fed le már a meglévő IKT-melléklet, és elszigeteli az MI-deltát: négy kikötés és egy jótállás.
A három incidensóra egymás mellett. Egyetlen MI-hiba elindíthatja a DORA szerinti súlyos IKT-vonatkozású incidens bejelentését, az AI Act 73. cikke szerinti súlyos incidens bejelentését és a GDPR 33. cikke szerinti adatvédelmi incidens óráját, három különböző kiváltó esemény alapján. Egyik sem helyettesíti a másikat. Benne azzal az eljárási korláttal, amely minden üzemeltetési reflexnek ellentmond: a 73. cikk (6) bekezdése megtiltja a rendszer olyan módosítását, amely érintheti az okok értékelését, a hatóságok tájékoztatása előtt — az ellenkezője annak, amit egy DORA szerinti helyreállítási terv ugyanazoknak a mérnököknek mond.
Egy nyilvántartás, rátétekkel. Azok az attribútumok, amelyeket a DORA 28. cikk (3) bekezdése szerinti információnyilvántartáshoz kell adni, hogy az AI Act szerinti osztályozást is hordozza, és hogy a kockázati szintet miért származtatni kell, nem beírni.
Egy 90 napos sorrend olyan szervezetnek, amely ma megfelel a DORA-nak, és az AI Act terén keveset tett, előre véve azt a két kötelezettséget, amelynek a legközelebbi a határideje és a legolcsóbb a bizonyítéka.
A megfelelési, kockázati és IKT-funkcióknak a DORA alatt már működő hitelintézetekben, biztosítókban, befektetési vállalkozásokban és pénzforgalmi intézményekben — és azoknak a szállítóknak, akik MI-t adnak el nekik, és akiknek ezeket a kérdéseket a beszerzés során felteszik.
Ez két rendelet szerkezeti elemzése, nem jogi tanácsadás. A III. melléklet szerinti osztályozás a megvalósításon múlik: két bank, amely névleg hasonló modelleket üzemeltet, az 5. pont b) alpontja szerinti csalási kivétel két különböző oldalára is eshet.
Az Ön szervezetére az AI Act és a DORA is vonatkozik? A két rendelet a pénzügyi AI-rendszerek működési ellenálló képességénél találkozik. Testvéroldalunk, a regulation-dora.eu, mélyen tárgyalja a DORA-t — beleértve azt is, amit az AI Act egy meglévő DORA-programra ráépít.
Az AI Act a pénzügyi intézmények számára ↗ Fedezze fel a regulation-dora.eu oldalt ↗Igen. A DORA — a 2022/2554/EU rendelet — 2025. január 17-e óta alkalmazandó a hitelintézetekre, biztosítókra, befektetési vállalkozásokra, pénzforgalmi intézményekre és a 2. cikkében felsorolt további szervezetekre. Ugyanezek a szervezetek az AI Act alá tartoznak azon MI-rendszerek tekintetében, amelyeket szolgáltatnak vagy alkalmaznak. A két rendszer nem váltja ki egymást: a DORA a szolgáltatásaikat kiszolgáló IKT ellenállóképességét szabályozza, az AI Act bizonyos MI-rendszerek biztonságra és jogokra gyakorolt hatását.
Nem, és ezt feltételezni az a költséges hiba, amelynek megelőzésére ez a modul létezik. A DORA 5-10. cikke a működési ellenállóképességről szól; az AI Act 9. cikke az egészséget, a biztonságot és az alapvető jogokat érő kárról, amely a rendszer rendeltetéséből és észszerűen előrelátható rendeltetésellenes használatából fakad. Egy DORA-kockázati nyilvántartás egyetlen sort sem fog tartalmazni a 9. cikk értelmében. A modul kontrollterületenként megmondja, pontosan mit követel meg az AI Act mindezen felül.
Az alapvető jogokra gyakorolt hatás értékelését általában közszférás kötelezettségként olvassák. A 27. cikk (1) bekezdése kiterjeszti azt azokra az alkalmazókra, amelyek hitelintézetek, a III. melléklet 5. pont b) alpontja szerinti hitelképességi rendszerek esetében, és a biztosítókra, az 5. pont c) alpontja szerinti élet- és egészségbiztosítási kockázatértékelési és árazási rendszerek esetében. Ennek egyáltalán nincs DORA-megfelelője, tehát semmi, amit már üzemeltetnek, nem fedi le.
Nem. Az ingyenes oldal rövid tájékozódás. Ez egy 9 oldalas modul: a két rendszer hat dimenzió szerint összevetve, artefaktumonkénti leltár arról, mit kér tőlük mindegyik, konvergenciaelemzés nyolc sorban, tíz esetet tartalmazó osztályozási mátrix arra az MI-re, amelyet a pénzügyi szervezetek valóban üzemeltetnek, egyetlen szállítói szerződésmelléklet mind a két rendszerhez, a DORA, az AI Act és a GDPR incidensórája egymás mellett, és egy 90 napos sorrend.
Egy 9 oldalas PDF, fizetés után azonnal e-mailben, egy névre szóló felhasználói licenc. Az AI Act hivatkozásai a 2026/1744/EU rendelettel — a 2026. júliusi Digital Omnibusszal — módosított szöveget követik, amely négy olyan dátumot mozdított el, amelyet a kiadványok többsége még idéz.