Podmiot finansowy objęty DORA, który eksploatuje AI, podlega dwóm reżimom żądającym nakładających się dowodów na temat tych samych systemów. Moduł wskazuje, co można zbudować raz, czego kontrola DORA NIE wypełniła, i trzy zegary incydentów obok siebie.
Bezpieczna płatność przez Stripe. Natychmiastowa dostawa e-mailem, licencja imienna.
Podmiot finansowy objęty DORA, który eksploatuje systemy AI, podlega dwóm rozporządzeniom napisanym przez różne dyrekcje generalne, nadzorowanym innymi kanałami i zbudowanym na innych przesłankach — a jednak żądającym nakładających się dowodów na temat tych samych systemów.
Zwykłą odpowiedzią są dwa programy. To drogie, i gorsze niż drogie: dwa rejestry tych samych systemów w końcu zaczną sobie przeczyć, a w dniu, w którym zaczną, żadnego z nich nie da się już przedstawić organowi nadzoru.
Oba reżimy obok siebie. Przedmiot regulacji, daty, kto jest związany, co uruchamia ciężkie obowiązki, organ nadzoru i ekspozycja na sankcje. Wraz z przepisem, który umyka większości funkcji compliance: na mocy art. 74 ust. 6-7 AI Act organem nadzoru rynku dla wielu systemów AI używanych przez instytucje finansowe jest ten sam nadzór finansowy, któremu już Państwo raportują. Oba reżimy mogą pojawić się w jednej rozmowie.
Czego każdy reżim wymaga, żebyście mieli, jako artefakty, a nie jako zasady — ramy DORA, identyfikacja aktywów, proces incydentów, program testów, rejestr informacji i postanowienia umowne, naprzeciw systemu zarządzania ryzykiem z AI Act, dowodów zarządzania danymi, dokumentacji z załącznika IV, rejestrowania zdarzeń, nadzoru ze strony człowieka, oceny zgodności i obowiązków po wprowadzeniu do obrotu.
Analiza zbieżności, w ośmiu wierszach. Każdy mówi, co może posłużyć obu reżimom i — to pożyteczniejsza połowa — czego AI Act wymaga nadal osobno. Identyfikacja aktywów, zarządzanie ryzykiem, zarządzanie stronami trzecimi, zarządzanie incydentami, testy, rejestrowanie zdarzeń, system zarządzania i kompetencje. Reguła, do której dochodzi: DORA pyta, czy usługa dalej działa; AI Act pyta, czy decyzja była uzasadniona i czy potrafią to Państwo wykazać.
Macierz dziesięciu przypadków użycia dla AI, którą podmioty finansowe rzeczywiście eksploatują: scoring kredytowy, wykrywanie oszustw, monitorowanie przeciwdziałania praniu pieniędzy, handel algorytmiczny, taryfikacja ubezpieczeń, chatboty, treści generatywne, biometryczne otwieranie relacji, selekcja kandydatur i asystenci wewnętrzni. Każdy wiersz podaje ujęcie DORA i pytanie klasyfikacyjne z AI Act, które trzeba rozstrzygnąć — w tym dwa, które najczęściej przesuwają budżet: wykrywanie oszustw finansowych jest wyraźnie wyłączone z załącznika III pkt 5 lit. b), a selekcja kandydatur jest wysokiego ryzyka, ale podlega samoocenie na podstawie załącznika VI, bez jednostki notyfikowanej.
Jedna umowa z dostawcą zamiast dwóch. Art. 30 DORA wymusza już dyscyplinę umowną, na której większość wymogów AI Act wobec dostawcy może się oprzeć. Moduł mapuje klauzula po klauzuli to, co Państwa istniejący załącznik ICT już pokrywa, i izoluje deltę AI: cztery klauzule i jedna gwarancja.
Trzy zegary incydentów obok siebie. Jedna awaria AI może uruchomić zgłoszenie poważnego incydentu związanego z ICT na podstawie DORA, zgłoszenie poważnego incydentu z art. 73 AI Act i zegar naruszenia z art. 33 RODO, na trzech różnych wyzwalaczach. Żaden nie zastępuje innego. Wraz z ograniczeniem w procedurze, które przeczy każdemu odruchowi eksploatacyjnemu: art. 73 ust. 6 zakazuje zmieniania systemu w sposób, który może wpłynąć na ocenę przyczyn, przed poinformowaniem organów — odwrotnie niż mówi tym samym inżynierom plan odtworzenia z DORA.
Jeden rejestr, z nakładkami. Atrybuty, które należy dodać do rejestru informacji z art. 28 ust. 3 DORA, aby nosił także klasyfikację z AI Act, i dlaczego poziom ryzyka musi być wyliczany, a nie wpisywany.
Sekwencja na 90 dni dla podmiotu zgodnego dziś z DORA, który na AI Act zrobił niewiele, stawiająca na początku dwa obowiązki o najbliższych terminach i najtańszych dowodach.
Dla funkcji compliance, ryzyka i ICT w instytucjach kredytowych, zakładach ubezpieczeń, firmach inwestycyjnych i instytucjach płatniczych już działających pod DORA — oraz dla dostawców, którzy sprzedają im AI i którym te pytania zadaje się w trakcie zakupów.
To analiza strukturalna dwóch rozporządzeń, nie porada prawna. Klasyfikacja na podstawie załącznika III zależy od Państwa wdrożenia: dwa banki eksploatujące nominalnie podobne modele mogą wylądować po przeciwnych stronach wyłączenia oszustw z pkt 5 lit. b).
Czy Państwa organizacja podlega zarówno AI Act, jak i DORA? Oba rozporządzenia spotykają się na odporności operacyjnej finansowych systemów AI. Nasza siostrzana strona regulation-dora.eu omawia DORA szczegółowo — w tym to, co AI Act dodaje do istniejącego programu DORA.
AI Act dla instytucji finansowych ↗ Poznaj regulation-dora.eu ↗Tak. DORA — rozporządzenie (UE) 2022/2554 — stosuje się od 17 stycznia 2025 r. do instytucji kredytowych, zakładów ubezpieczeń, firm inwestycyjnych, instytucji płatniczych i pozostałych podmiotów wymienionych w jego art. 2. Te same podmioty podlegają AI Act w odniesieniu do systemów AI, które dostarczają lub stosują. Reżimy nie zastępują się wzajemnie: DORA rządzi odpornością ICT dostarczającej Państwa usługi, AI Act rządzi wpływem określonych systemów AI na bezpieczeństwo i prawa.
Nie, a założenie tego jest kosztownym błędem, któremu ten moduł ma zapobiec. Art. 5-10 DORA dotyczą odporności operacyjnej; art. 9 AI Act dotyczy szkody dla zdrowia, bezpieczeństwa i praw podstawowych wynikającej z przeznaczenia systemu i jego racjonalnie przewidywalnego niewłaściwego użycia. Rejestr ryzyka DORA nie będzie zawierał ani jednego wiersza w rozumieniu art. 9. Moduł wskazuje, obszar kontroli po obszarze kontroli, czego AI Act wymaga ponadto.
Ocena skutków dla praw podstawowych bywa zwykle czytana jako obowiązek sektora publicznego. Art. 27 ust. 1 rozciąga ją na podmioty stosujące będące instytucjami kredytowymi, w odniesieniu do systemów zdolności kredytowej z załącznika III pkt 5 lit. b), oraz na zakłady ubezpieczeń, w odniesieniu do systemów oceny ryzyka i ustalania cen w ubezpieczeniach na życie i zdrowotnych z pkt 5 lit. c). Nie ma ona żadnego odpowiednika w DORA, więc nic z tego, co już Państwo prowadzą, jej nie pokrywa.
Nie. Darmowa strona to krótkie wprowadzenie. To jest moduł na 9 stron: oba reżimy porównane w sześciu wymiarach, inwentarz artefakt po artefakcie tego, czego każdy z nich wymaga, analiza zbieżności w ośmiu wierszach, macierz klasyfikacji dziesięciu przypadków dla AI, którą podmioty finansowe naprawdę eksploatują, jeden załącznik umowny dla dostawcy obsługujący oba reżimy, zegary incydentów DORA, AI Act i RODO obok siebie oraz sekwencja na 90 dni.
PDF na 9 stron, dostarczany e-mailem natychmiast po płatności, licencja dla jednego wskazanego użytkownika. Odniesienia do AI Act odpowiadają tekstowi zmienionemu rozporządzeniem (UE) 2026/1744 — Digital Omnibus z lipca 2026 r. — które przesunęło cztery z dat wciąż przytaczanych przez większość publikacji.