Uma entidade financeira sujeita ao DORA que explora IA fica sob dois regimes que pedem provas sobrepostas sobre os mesmos sistemas. Este módulo estabelece o que pode construir uma só vez, o que um controlo DORA NÃO cumpriu, e os três relógios de incidente lado a lado.
Pagamento seguro por Stripe. Entrega imediata por e-mail, licença nominal.
Uma entidade financeira sujeita ao DORA que explora sistemas de IA fica sob dois regulamentos redigidos por direções-gerais diferentes, supervisionados por canais diferentes e construídos sobre premissas diferentes — e que, ainda assim, pedem provas sobrepostas sobre os mesmos sistemas.
A resposta habitual é montar dois programas. É caro, e é pior do que caro: dois registos dos mesmos sistemas acabarão por divergir, e no dia em que divergirem nenhum deles poderá ser oposto a um supervisor.
Os dois regimes lado a lado. Objeto da regulação, datas, quem fica vinculado, o que desencadeia os deveres pesados, supervisor e exposição sancionatória. Incluindo a disposição que a maioria das funções de conformidade não vê: ao abrigo do art. 74, n.os 6 e 7, do AI Act, a autoridade de fiscalização do mercado para muitos sistemas de IA usados por instituições financeiras é o supervisor financeiro a quem já presta contas. Ambos os regimes podem chegar na mesma conversa.
O que cada regime exige que detenha, como artefactos e não como princípios — o quadro DORA, a identificação dos ativos, o processo de incidentes, o programa de testes, o registo de informações e as cláusulas contratuais, face ao sistema de gestão de riscos do AI Act, às provas de governação dos dados, ao dossiê do anexo IV, ao registo de eventos, à supervisão humana, à avaliação da conformidade e aos deveres pós-comercialização.
A análise de convergência, em oito linhas. Cada uma enuncia o que pode servir a ambos os regimes e — a metade mais útil — o que o AI Act continua a exigir separadamente. Identificação dos ativos, gestão de riscos, gestão de terceiros, gestão de incidentes, testes, registo de eventos, o sistema de gestão e a competência. A regra a que chega: o DORA pergunta se o serviço continua a funcionar; o AI Act pergunta se a decisão era sólida e se a consegue demonstrar.
Uma matriz de dez casos de uso para a IA que as entidades financeiras exploram realmente: scoring de crédito, deteção de fraude, monitorização de branqueamento, negociação algorítmica, tarifação de seguros, chatbots, conteúdo generativo, onboarding biométrico, triagem de candidaturas e assistentes internos. Cada linha dá o ângulo DORA e a questão de classificação do AI Act a resolver — entre elas as duas que mais vezes deslocam um orçamento: a deteção de fraude financeira está expressamente excluída do anexo III, ponto 5, alínea b), e a triagem de candidaturas é de risco elevado mas é autoavaliada ao abrigo do anexo VI, sem organismo notificado.
Um só contrato de fornecedor em vez de dois. O art. 30 do DORA impõe já uma disciplina contratual sobre a qual a maioria dos requisitos do AI Act perante um fornecedor pode assentar. O módulo mapeia cláusula a cláusula o que o seu anexo TIC já cobre, e isola o delta de IA: quatro cláusulas e uma garantia.
Os três relógios de incidente lado a lado. Uma única falha de IA pode desencadear a comunicação DORA de um incidente grave relacionado com as TIC, a comunicação de um incidente grave do art. 73 do AI Act e o relógio de violação de dados do art. 33 do RGPD, com três gatilhos diferentes. Nenhum substitui outro. Incluindo a restrição de procedimento que contraria todos os reflexos operacionais: o art. 73, n.o 6, proíbe alterar o sistema de um modo que possa afetar a avaliação das causas antes de ter informado as autoridades — o inverso do que um plano de recuperação DORA diz aos mesmos engenheiros.
Um só registo, com camadas. Os atributos a acrescentar ao registo de informações do art. 28, n.o 3, do DORA para que passe a suportar também a classificação do AI Act, e por que razão o nível de risco deve ser derivado e não digitado.
Uma sequência de 90 dias para uma entidade hoje conforme com o DORA e que pouco avançou no AI Act, colocando à frente as duas obrigações com os prazos mais próximos e as provas mais baratas.
Às funções de conformidade, risco e TIC de instituições de crédito, empresas de seguros, empresas de investimento e instituições de pagamento já a operar sob o DORA — e aos fornecedores que lhes vendem IA e a quem estas perguntas são feitas durante as compras.
É uma análise estrutural de dois regulamentos, não um parecer jurídico. A classificação ao abrigo do anexo III depende da sua implementação: dois bancos que exploram modelos nominalmente semelhantes podem cair em lados opostos da exclusão de fraude do ponto 5, alínea b).
A sua organização está sujeita ao AI Act e também ao DORA? Os dois regulamentos cruzam-se na resiliência operacional dos sistemas de IA financeiros. O nosso site irmão regulation-dora.eu cobre o DORA em profundidade — incluindo o que o AI Act acrescenta a um programa DORA já existente.
O AI Act para instituições financeiras ↗ Explorar regulation-dora.eu ↗Sim. O DORA — Regulamento (UE) 2022/2554 — aplica-se desde 17 de janeiro de 2025 às instituições de crédito, empresas de seguros, empresas de investimento, instituições de pagamento e às restantes entidades enumeradas no seu art. 2. As mesmas entidades estão sujeitas ao AI Act pelos sistemas de IA que fornecem ou implantam. Os regimes não se substituem um ao outro: o DORA governa a resiliência das TIC que entregam os seus serviços, o AI Act governa o impacto de determinados sistemas de IA na segurança e nos direitos.
Não, e presumi-lo é o erro caro que este módulo existe para evitar. Os art. 5 a 10 do DORA tratam da resiliência operacional; o art. 9 do AI Act trata do dano à saúde, à segurança e aos direitos fundamentais decorrente da finalidade prevista de um sistema e da sua utilização indevida razoavelmente previsível. Um registo de riscos DORA não conterá uma única linha no sentido do art. 9. O módulo enuncia, área de controlo a área de controlo, exatamente o que o AI Act continua a exigir por cima.
A avaliação de impacto sobre os direitos fundamentais é habitualmente lida como um dever do setor público. O art. 27, n.o 1, estende-a aos responsáveis pela implantação que sejam instituições de crédito, para os sistemas de solvabilidade do anexo III, ponto 5, alínea b), e às empresas de seguros, para os sistemas de avaliação de riscos e tarifação em vida e saúde do ponto 5, alínea c). Não tem qualquer equivalente no DORA, pelo que nada do que já opera a cobre.
Não. A página gratuita é uma orientação curta. Este é um módulo de 9 páginas: os dois regimes comparados em seis dimensões, um inventário artefacto a artefacto do que cada um exige que detenha, uma análise de convergência em oito linhas, uma matriz de classificação de dez casos para a IA que as entidades financeiras exploram de facto, um único anexo de contrato de fornecedor a servir ambos os regimes, os relógios de incidente do DORA, do AI Act e do RGPD lado a lado, e uma sequência de 90 dias.
Um PDF de 9 páginas, entregue por e-mail imediatamente após o pagamento, licença para um utilizador nominativo. As referências ao AI Act são as do texto alterado pelo Regulamento (UE) 2026/1744 — o Digital Omnibus de julho de 2026 — que deslocou quatro das datas que a maioria das publicações ainda cita.