Bank & Finans — Efterlevnadsguide för EU:s AI-förordning

EU:s AI-förordnings skyldigheter för banker, kreditinstitut och fintechföretag. Kreditbedömnings-AI, AML-system, algoritmisk handel, DORA-överlapp och EBA:s riktlinjer.

Varför banksektorn har koncentrerad exponering mot EU:s AI-förordning

Bank- och finanssektorn befinner sig i skärningspunkten mellan EU:s AI-förordnings strängaste skyldigheter och den mest komplexa regleringsmiljön i EU. Finansiella institutioner är bland de största användarna av AI i Europa — inom kreditgivning, bedrägeridetektering, AML/CFT-screening, kundkännedomsåtgärder, algoritmisk handel och kapitalförvaltning. EU:s AI-förordning riktar sig direkt mot de mest konsekvensrika av dessa användningsfall genom Annex III, som klassificerar flera finansiella AI-tillämpningar som högrisk per definition.

Banksektorn verkar dessutom under ett tätt befintligt regleringslandskap: DORA, MiFID II, CRD IV/CRR, AML-direktiv, GDPR och BCBS 239. EU:s AI-förordning ersätter inte dessa ramverk — den adderar till dem. För ett kreditinstitut som driftsätter en AI-baserad kreditbedömningsmodell utlöser detta simultana skyldigheter under AI-förordningen (Annex III, Art. 9–16), DORA (IKT-riskhantering) och EBA:s riktlinjer för modellriskhantering.

Högrisk-AI-användningsfall inom bank enligt Annex III

Annex III, kategori 5(b) listar explicit AI som används för bedömning av kreditvärdighet eller kreditbedömning av fysiska personer, samt AI som används för att bedöma kreditrisk hos juridiska personer där AI bestämmer eller väsentligen påverkar utfallet. Detta fångar upp ett brett spektrum av finansiella AI-driftsättningar.

Kreditbedömnings- och garantimodeller — automatiserade system som avgör låneberättigande, kreditgränser eller räntor för privat- och SMF-kunder — är högrisk-AI enligt Art. 6(2) läst tillsammans med Annex III. Banker som agerar leverantörer av dessa system måste genomföra överensstämmelsebedömningar, upprätthålla teknisk dokumentation enligt Art. 11, implementera riskhanteringssystem enligt Art. 9, säkerställa mekanismer för mänsklig tillsyn enligt Art. 14 och registrera systemet i EU:s AI-förordningsdatabas (Art. 71) innan driftsättning.

AML- och bedrägeridetekteringssystem ger en mer nyanserad bild. System som tillämpar sanktionsscreening, transaktionsövervakning eller beteendeanalys för att flagga misstänkt aktivitet påverkar i allmänhet finansiella institutioner snarare än att direkt bestämma utfall för enskilda personer. I de fall AI-utdata är den primära grunden för negativa åtgärder mot en kund (kontospärr, vägrat tillhandahållande av tjänst) kan högriskklassificering utlösas enligt Annex III kat. 5(b) eller kat. 6 (brottsbekämpning) beroende på den nationella myndighetens roll. Banker måste genomföra en noggrann klassificeringsanalys.

GPAI-baserade verktyg — stora språkmodeller som används för kundservice, dokumentbehandling eller investeringsanalys — är föremål för transparenskrav i Art. 50 (upplysning om att användare interagerar med AI) och, där modelleverantören har systemrisk, skyldigheter i Art. 55.

Leverantörs- kontra driftsättarskyldigheter för banker

Banker kan agera som leverantörer (som bygger egna AI-modeller), driftsättare (som använder tredjeparts-AI-system), eller bådadera. Distinktionen avgör skyldighetsprofilen:

Banker som köper kreditbedömnings-AI från en fintechleverantör agerar som driftsättare enligt Art. 26. De måste verifiera att leverantören har genomfört överensstämmelsebedömning, integrera mänsklig granskning i processer för negativa beslut, upprätthålla användningsloggar i 10 år (Art. 26(6)) och säkerställa att AI-beslut förklaras för berörda personer enligt GDPR Art. 22 och EU:s AI-förordning Art. 13.

Överlapp med sektorsreglering: DORA, MiFID II och Solvens II

DORA (förordning 2022/2554) gäller för banker, värdepappersföretag, försäkringsbolag och tredjeparts IKT-leverantörer. Specifikt för AI kräver DORA:

• AI-system behandlas som IKT-system underställda riskhanteringsramverk (Art. 6 DORA)
• Klassificering och rapportering av IKT-relaterade incidenter — AI-fel kan utgöra allvarliga IKT-incidenter
• Resiliensprovning av kritiska IKT-system — AI-modeller inkluderade där de är väsentliga för verksamheten
• Tredjeparts-riskhantering som täcker AI-leverantörsavtal, exitstrategier och revisionsrättigheter

MiFID II (Markets in Financial Instruments Directive) gäller för algoritmisk handel och investeringsrådgivning. AI-genererade investeringsrekommendationer utlöser krav på lämplighetsbedömning; algoritmiska handelssystem kräver förtransaktionskontroller, strömbrytare och regulatorisk anmälan.

EBA:s riktlinjer för IKT och säkerhetsriskhantering (EBA/GL/2019/04, uppdaterade 2022) föreskriver teknologiriskstyrning som täcker AI-modeller, krav på operativ kontinuitet och oberoende modellvalidering. Dessa är i stor utsträckning i linje med EU:s AI-förordnings krav på riskhantering i Art. 9.

Tillsynsmyndigheter

EU:s AI-förordnings tillsyn för bank-AI verkar genom en tvålagrad myndighetsstruktur:

Nationella behöriga myndigheter (NCA) som utsetts av varje medlemsstat enligt Art. 70 är de primära tillsynsorganen för AI-förordningen. De kan genomföra marknadskontroll, begära teknisk dokumentation och utfärda böter (upp till 30 miljoner euro eller 6 % av den globala årsomsättningen enligt Art. 99).

Europeiska bankmyndigheten (EBA) samordnar sektorsspecifik AI-tillsyn inom bankfacket, tillhandahåller tekniska standarder för IKT-risk och utfärdar riktlinjer som formar nationella tillsynsförväntningar. EBA deltar också i det europeiska AI-rådet inrättat enligt Art. 65.

ECB och nationella tillsynsmyndigheter kan begära AI-modelldokumentation som en del av SREP-bedömningar (Supervisory Review and Evaluation Process) enligt CRD IV där AI driver väsentliga kredit- eller operativa riskbeslut.

Efterlevnadsfärdplan för banker

Omedelbart (nu → augusti 2026): Genomför kontroll av efterlevnad av förbud — granska alla AI-system avseende praxis som förbjuds enligt Art. 5, inklusive social poängsättning och realtids biometrisk identifiering på offentliga platser. Dessa förbud gäller omedelbart för nya avtal.

Kvartal 3 2026 — Högriskklassificeringsrevision: Kartlägg alla driftsatta och under utveckling varande AI-system mot Annex III, specifikt kategorierna 5(b) och 5(c). Dokumentera klassificeringsgrunden. Engagera juridik och compliance för att bedöma DORA-överlapp.

Kvartal 4 2026 — Leverantörsskyldigheter för intern AI: För kreditbedömnings- och garantimodeller som byggts internt, inled förfaranden för överensstämmelsebedömning, utveckla teknisk dokumentation enligt Annex IV och implementera QMS enligt Art. 17.

2027 — Driftsättarskyldigheter för tredjeparts-AI: Revidera alla AI-leverantörsavtal avseende efterlevnad av EU:s AI-förordning. Kräv att leverantörer tillhandahåller överensstämmelsedeklarationer och registreringsnummer. Uppdatera databehandlingsavtal för att återspegla Art. 26:s loggningsskyldigheter.

Augusti 2027 — GPAI-skyldigheter träder i kraft: Säkerställ att alla tredjeparts-LLM och grundmodeller som används i banktillämpningar uppfyller Art. 51–55. Verifiera att leverantörer har publicerat transparensdokumentation enligt Art. 53.

December 2027 — Deadline för högrisk-AI: Full efterlevnad krävs för alla Annex III högrisk-AI-system. Säkerställ registrering i EU:s AI-förordningsdatabas, operativa mekanismer för mänsklig tillsyn och planer för marknadsövervakningsövervakning efter driftsättning enligt Art. 72.