Een financiële entiteit onder DORA die AI gebruikt, valt onder twee regimes die overlappend bewijs over dezelfde systemen vragen. Deze module zet uiteen wat u één keer kunt bouwen, wat een DORA-maatregel NIET heeft afgedekt, en de drie incidentklokken naast elkaar.
Veilig betalen via Stripe. Directe levering per e-mail, licentie op naam.
Een financiële entiteit onder DORA die AI-systemen gebruikt, valt onder twee verordeningen die door verschillende directoraten zijn opgesteld, via verschillende kanalen worden beoordeeld en op verschillende uitgangspunten rusten — en die toch overlappend bewijs over dezelfde systemen vragen.
Het gebruikelijke antwoord is twee programma’s. Dat is duur, en het is erger dan duur: twee registers van dezelfde systemen zullen uiteindelijk van elkaar afwijken, en op de dag dat zij afwijken, kan geen van beide nog tegen een toezichthouder worden ingebracht.
De twee regimes naast elkaar. Voorwerp van de regeling, data, wie gebonden is, wat de zware verplichtingen in gang zet, toezichthouder en sanctierisico. Inclusief de bepaling die de meeste compliancefuncties missen: op grond van art. 74, leden 6 en 7, van de AI-verordening is de markttoezichtautoriteit voor veel AI-systemen die financiële instellingen gebruiken de financiële toezichthouder aan wie u al rapporteert. Beide regimes kunnen in hetzelfde gesprek opduiken.
Wat elk regime u verplicht te hebben, als artefacten en niet als beginselen — het DORA-kader, de identificatie van bedrijfsmiddelen, het incidentproces, het testprogramma, het informatieregister en de contractuele bepalingen, tegenover het risicobeheersysteem van de AI-verordening, het bewijs van databeheer, het dossier van bijlage IV, de logging, het menselijk toezicht, de conformiteitsbeoordeling en de verplichtingen na het in de handel brengen.
De convergentieanalyse, in acht regels. Elke regel benoemt wat beide regimes kan dienen en — de nuttigere helft — wat de AI-verordening daarnaast nog apart eist. Identificatie van bedrijfsmiddelen, risicobeheer, beheer van derden, incidentbeheer, testen, logging, het managementsysteem en bekwaamheid. De vuistregel waar zij op uitkomt: DORA vraagt of de dienst blijft draaien; de AI-verordening vraagt of het besluit deugdelijk was en of u dat kunt aantonen.
Een matrix met tien toepassingen voor de AI die financiële entiteiten werkelijk gebruiken: kredietscoring, fraudedetectie, AML-monitoring, algoritmische handel, verzekeringsprijsstelling, chatbots, generatieve content, biometrische onboarding, selectie van sollicitanten en interne assistenten. Elke regel geeft de DORA-invalshoek en de classificatievraag uit de AI-verordening die moet worden beslecht — waaronder de twee die het vaakst een budget verschuiven: fraudedetectie is uitdrukkelijk uitgezonderd van bijlage III, punt 5, onder b), en selectie van sollicitanten is hoog risico maar wordt zelf beoordeeld onder bijlage VI, zonder aangemelde instantie.
Eén leverancierscontract in plaats van twee. Art. 30 DORA dwingt al een contractuele discipline af waarop de meeste leverancierseisen van de AI-verordening kunnen meeliften. De module brengt clausule voor clausule in kaart wat uw bestaande ICT-bijlage al dekt, en isoleert het AI-verschil: vier clausules en één garantie.
De drie incidentklokken naast elkaar. Eén AI-storing kan de DORA-melding van een ernstig ICT-gerelateerd incident, de melding van een ernstig incident op grond van art. 73 van de AI-verordening en de inbreukklok van art. 33 AVG in gang zetten, op drie verschillende triggers. Geen daarvan vervangt een andere. Inclusief de beperking in het draaiboek die tegen elke operationele reflex ingaat: art. 73, lid 6, verbiedt het systeem te wijzigen op een wijze die de beoordeling van de oorzaken kan beïnvloeden voordat de autoriteiten zijn geïnformeerd — het omgekeerde van wat een DORA-herstelplan dezelfde ingenieurs voorschrijft.
Eén register, met overlays. De kenmerken die aan het informatieregister van art. 28, lid 3, DORA moeten worden toegevoegd zodat het ook de classificatie onder de AI-verordening draagt, en waarom de risicocategorie afgeleid moet worden en niet ingetypt.
Een reeks van 90 dagen voor een entiteit die vandaag aan DORA voldoet en op de AI-verordening weinig heeft gedaan, met de twee verplichtingen met de dichtstbijzijnde termijnen en het goedkoopste bewijs vooraan.
Voor de functies compliance, risk en ICT in kredietinstellingen, verzekeringsondernemingen, beleggingsondernemingen en betalingsinstellingen die al onder DORA werken — en voor de leveranciers die AI aan hen verkopen en aan wie deze vragen tijdens de inkoop worden gesteld.
Het is een structurele analyse van twee verordeningen, geen juridisch advies. De classificatie onder bijlage III hangt af van uw uitvoering: twee banken met nominaal vergelijkbare modellen kunnen aan weerszijden van de fraude-uitzondering van punt 5, onder b), uitkomen.
Valt uw organisatie zowel onder de AI Act als onder DORA? De twee verordeningen raken elkaar bij de operationele weerbaarheid van financiële AI-systemen. Onze zustersite regulation-dora.eu behandelt DORA diepgaand — inclusief wat de AI Act toevoegt aan een bestaand DORA-programma.
De AI Act voor financiële instellingen ↗ Ontdek regulation-dora.eu ↗Ja. DORA — Verordening (EU) 2022/2554 — geldt sinds 17 januari 2025 voor kredietinstellingen, verzekeringsondernemingen, beleggingsondernemingen, betalingsinstellingen en de overige entiteiten die in art. 2 worden opgesomd. Dezelfde entiteiten vallen onder de AI-verordening voor de AI-systemen die zij aanbieden of gebruiken. De regimes vervangen elkaar niet: DORA regelt de weerbaarheid van de ICT die uw diensten levert, de AI-verordening regelt het effect van bepaalde AI-systemen op veiligheid en grondrechten.
Nee, en dat aannemen is de kostbare fout die deze module moet voorkomen. Art. 5 tot 10 DORA gaan over operationele weerbaarheid; art. 9 van de AI-verordening gaat over schade aan gezondheid, veiligheid en grondrechten door het beoogde doel van een systeem en het redelijkerwijs voorzienbare misbruik daarvan. Een DORA-risicoregister bevat geen enkele regel in de zin van art. 9. De module benoemt per beheersingsgebied precies wat de AI-verordening daarbovenop nog eist.
De beoordeling van de gevolgen voor grondrechten wordt gewoonlijk als een verplichting van de publieke sector gelezen. Art. 27, lid 1, breidt haar uit tot gebruiksverantwoordelijken die kredietinstelling zijn, voor systemen voor kredietwaardigheid van bijlage III, punt 5, onder b), en tot verzekeringsondernemingen, voor systemen voor risicobeoordeling en prijsstelling in leven en ziekte van punt 5, onder c). Zij heeft geen enkele tegenhanger in DORA, dus niets van wat u al uitvoert dekt haar.
Nee. De gratis pagina is een korte oriëntatie. Dit is een module van 9 pagina’s: de twee regimes vergeleken op zes dimensies, een inventaris artefact voor artefact van wat elk regime van u verlangt, een convergentieanalyse in acht regels, een classificatiematrix met tien gevallen voor de AI die financiële entiteiten werkelijk gebruiken, één leveranciersbijlage voor beide regimes, de incidentklokken van DORA, de AI-verordening en de AVG naast elkaar, en een reeks van 90 dagen.
Een pdf van 9 pagina’s, onmiddellijk na betaling per e-mail geleverd, één benoemde gebruiker. De verwijzingen naar de AI-verordening volgen de tekst zoals gewijzigd bij Verordening (EU) 2026/1744 — de Digital Omnibus van juli 2026 — die vier van de data heeft verschoven die de meeste publicaties nog noemen.