Un ente finanziario soggetto a DORA che gestisce IA ricade sotto due regimi che chiedono prove sovrapposte sugli stessi sistemi. Il modulo stabilisce cosa potete costruire una volta sola, cosa un controllo DORA NON ha assolto e i tre orologi degli incidenti affiancati.
Pagamento sicuro con Stripe. Consegna immediata via e-mail, licenza nominativa.
Un ente finanziario soggetto a DORA che gestisce sistemi di IA ricade sotto due regolamenti redatti da direzioni generali diverse, vigilati attraverso canali diversi e costruiti su premesse diverse — e che tuttavia chiedono prove sovrapposte sugli stessi sistemi.
La risposta abituale sono due programmi. È costoso, ed è peggio che costoso: due registri degli stessi sistemi finiranno per contraddirsi, e il giorno in cui si contraddicono nessuno dei due è più opponibile a un supervisore.
I due regimi affiancati. Oggetto della disciplina, date, chi è vincolato, cosa innesca gli obblighi pesanti, autorità di vigilanza ed esposizione sanzionatoria. Compresa la disposizione che la maggior parte delle funzioni di conformità non vede: ai sensi dell’art. 74, paragrafi 6 e 7, dell’AI Act l’autorità di vigilanza del mercato per molti sistemi di IA usati dagli istituti finanziari è l’autorità di vigilanza finanziaria a cui già rendete conto. Entrambi i regimi possono arrivare nella stessa conversazione.
Cosa ciascun regime vi chiede di detenere, come artefatti e non come principi — il quadro DORA, l’identificazione degli asset, il processo sugli incidenti, il programma di test, il registro delle informazioni e le clausole contrattuali, contro il sistema di gestione dei rischi dell’AI Act, le prove di governance dei dati, il fascicolo dell’allegato IV, la registrazione dei log, la sorveglianza umana, la valutazione della conformità e gli obblighi post-commercializzazione.
L’analisi di convergenza, in otto righe. Ciascuna dice cosa può servire a entrambi i regimi e — la metà più utile — cosa l’AI Act continua a esigere separatamente. Identificazione degli asset, gestione dei rischi, gestione dei terzi, gestione degli incidenti, test, registrazione dei log, sistema di gestione e competenza. La regola a cui arriva: DORA chiede se il servizio continua a funzionare; l’AI Act chiede se la decisione era fondata e se potete dimostrarlo.
Una matrice di dieci casi d’uso per l’IA che gli enti finanziari gestiscono davvero: scoring creditizio, rilevazione delle frodi, monitoraggio antiriciclaggio, negoziazione algoritmica, tariffazione assicurativa, chatbot, contenuti generativi, onboarding biometrico, selezione delle candidature e assistenti interni. Ogni riga dà l’angolo DORA e la domanda di classificazione dell’AI Act da risolvere — tra cui le due che più spesso spostano un budget: la rilevazione delle frodi finanziarie è espressamente esclusa dall’allegato III, punto 5, lettera b), e la selezione delle candidature è ad alto rischio ma è autovalutata ai sensi dell’allegato VI, senza organismo notificato.
Un solo contratto fornitore invece di due. L’art. 30 di DORA impone già una disciplina contrattuale su cui la maggior parte dei requisiti dell’AI Act verso un fornitore può innestarsi. Il modulo mappa clausola per clausola ciò che il vostro allegato TIC già copre, e isola il delta IA: quattro clausole e una garanzia.
I tre orologi degli incidenti affiancati. Un singolo guasto dell’IA può avviare la segnalazione DORA di un incidente grave connesso alle TIC, la segnalazione di un incidente grave dell’art. 73 dell’AI Act e l’orologio della violazione dell’art. 33 del GDPR, su tre inneschi diversi. Nessuno sostituisce l’altro. Compreso il vincolo operativo che contraddice ogni istinto di esercizio: l’art. 73, paragrafo 6, vieta di modificare il sistema in un modo che possa incidere sulla valutazione delle cause prima di aver informato le autorità — l’opposto di quanto un piano di ripristino DORA dice agli stessi ingegneri.
Un solo registro, con sovrapposizioni. Gli attributi da aggiungere al registro delle informazioni dell’art. 28, paragrafo 3, di DORA perché porti anche la classificazione dell’AI Act, e perché il livello di rischio deve essere derivato e non digitato.
Una sequenza di 90 giorni per un ente oggi conforme a DORA e che ha fatto poco sull’AI Act, mettendo davanti i due obblighi con le scadenze più prossime e le prove meno costose.
Alle funzioni conformità, rischi e TIC di enti creditizi, imprese di assicurazione, imprese di investimento e istituti di pagamento già operanti sotto DORA — e ai fornitori che vendono loro IA e a cui queste domande vengono poste durante gli acquisti.
È un’analisi strutturale di due regolamenti, non una consulenza legale. La classificazione ai sensi dell’allegato III dipende dalla vostra implementazione: due banche che gestiscono modelli nominalmente simili possono cadere su lati opposti dell’esclusione per le frodi del punto 5, lettera b).
La vostra organizzazione è soggetta sia all’AI Act sia a DORA? I due regolamenti si incrociano sulla resilienza operativa dei sistemi di IA finanziari. Il nostro sito gemello regulation-dora.eu copre DORA in profondità — compreso ciò che l’AI Act aggiunge a un programma DORA già esistente.
L’AI Act per gli istituti finanziari ↗ Esplora regulation-dora.eu ↗Sì. DORA — regolamento (UE) 2022/2554 — si applica dal 17 gennaio 2025 agli enti creditizi, alle imprese di assicurazione, alle imprese di investimento, agli istituti di pagamento e agli altri soggetti elencati nel suo art. 2. Gli stessi soggetti sono sottoposti all’AI Act per i sistemi di IA che forniscono o utilizzano. I regimi non si sostituiscono l’uno all’altro: DORA disciplina la resilienza delle TIC che erogano i vostri servizi, l’AI Act disciplina l’impatto di determinati sistemi di IA su sicurezza e diritti.
No, e presumerlo è l’errore costoso che questo modulo esiste per evitare. Gli art. 5 a 10 di DORA riguardano la resilienza operativa; l’art. 9 dell’AI Act riguarda il danno a salute, sicurezza e diritti fondamentali derivante dalla finalità prevista di un sistema e dal suo uso improprio ragionevolmente prevedibile. Un registro dei rischi DORA non conterrà una sola riga ai sensi dell’art. 9. Il modulo enuncia, area di controllo per area di controllo, esattamente cosa l’AI Act esige in più.
La valutazione d’impatto sui diritti fondamentali si legge di solito come un obbligo del settore pubblico. L’art. 27, paragrafo 1, la estende ai deployer che sono enti creditizi, per i sistemi di affidabilità creditizia dell’allegato III, punto 5, lettera b), e alle imprese di assicurazione, per i sistemi di valutazione dei rischi e tariffazione in vita e malattia del punto 5, lettera c). Non ha alcun corrispettivo in DORA, quindi nulla di ciò che già gestite la copre.
No. La pagina gratuita è un breve orientamento. Questo è un modulo di 9 pagine: i due regimi confrontati su sei dimensioni, un inventario artefatto per artefatto di ciò che ciascuno vi chiede di detenere, un’analisi di convergenza in otto righe, una matrice di classificazione di dieci casi per l’IA che gli enti finanziari gestiscono realmente, un unico allegato contrattuale fornitore che serve entrambi i regimi, gli orologi degli incidenti di DORA, AI Act e GDPR affiancati, e una sequenza di 90 giorni.
Un PDF di 9 pagine, consegnato per e-mail immediatamente dopo il pagamento, licenza per un utente nominativo. I riferimenti all’AI Act sono quelli del testo come modificato dal regolamento (UE) 2026/1744 — il Digital Omnibus di luglio 2026 — che ha spostato quattro delle date che la maggior parte delle pubblicazioni cita ancora.