En finansiell entitet under DORA som driver AI omfattas av två regelverk som begär överlappande bevis om samma system. Modulen anger vad ni kan bygga en gång, vad en DORA-kontroll INTE har uppfyllt, och de tre incidentklockorna sida vid sida.
Säker betalning via Stripe. Omedelbar leverans via e-post, licens på namn.
En finansiell entitet under DORA som driver AI-system omfattas av två förordningar som skrivits av olika generaldirektorat, övervakas genom olika kanaler och bygger på olika premisser — och som ändå begär överlappande bevis om samma system.
Det vanliga svaret är två program. Det är dyrt, och det är värre än dyrt: två register över samma system kommer med tiden att säga emot varandra, och den dag de gör det kan inget av dem längre läggas fram för en tillsynsmyndighet.
De två regelverken sida vid sida. Regleringens föremål, datumen, vem som är bunden, vad som utlöser de tunga skyldigheterna, tillsynsmyndighet och sanktionsrisk. Inklusive den bestämmelse de flesta efterlevnadsfunktioner missar: enligt art. 74.6–74.7 i AI Act är marknadskontrollmyndigheten för många av de AI-system finansiella institut använder den finansiella tillsynsmyndighet ni redan rapporterar till. Båda regelverken kan dyka upp i samma samtal.
Vad varje regelverk kräver att ni har, som artefakter och inte som principer — DORA-ramverket, identifieringen av tillgångar, incidentprocessen, testprogrammet, informationsregistret och avtalsbestämmelserna, mot AI Acts riskhanteringssystem, bevisen för datastyrning, akten enligt bilaga IV, loggningen, den mänskliga tillsynen, bedömningen av överensstämmelse och skyldigheterna efter utsläppande på marknaden.
Konvergensanalysen, i åtta rader. Varje rad anger vad som kan tjäna båda regelverken och — den nyttigare hälften — vad AI Act fortfarande kräver separat. Identifiering av tillgångar, riskhantering, hantering av tredje parter, incidenthantering, testning, loggning, ledningssystemet och kompetens. Tumregeln den bygger upp till: DORA frågar om tjänsten fortsätter att fungera; AI Act frågar om beslutet var hållbart och om ni kan visa det.
En matris med tio användningsfall för den AI finansiella entiteter faktiskt driver: kreditbedömning, bedrägeridetektering, övervakning mot penningtvätt, algoritmisk handel, försäkringsprissättning, chattbottar, generativt innehåll, biometrisk onboarding, gallring av jobbsökande och interna assistenter. Varje rad ger DORA-vinkeln och den klassificeringsfråga i AI Act som måste avgöras — bland dem de två som oftast flyttar en budget: detektering av finansiella bedrägerier är uttryckligen undantagen från bilaga III punkt 5 b, och gallring av jobbsökande är högrisk men bedöms av leverantören själv enligt bilaga VI, utan anmält organ.
Ett leverantörsavtal i stället för två. Art. 30 i DORA framtvingar redan en avtalsdisciplin som de flesta av AI Acts leverantörskrav kan åka med på. Modulen kartlägger klausul för klausul vad er befintliga IKT-bilaga redan täcker, och isolerar AI-deltat: fyra klausuler och en garanti.
De tre incidentklockorna sida vid sida. Ett enda AI-fel kan starta DORA-rapporteringen av en större IKT-relaterad incident, rapporteringen av en allvarlig incident enligt art. 73 i AI Act och fristen för personuppgiftsincidenter enligt art. 33 i GDPR, på tre olika utlösare. Ingen av dem ersätter någon annan. Inklusive den begränsning i åtgärdsplanen som motsäger varje driftsinstinkt: art. 73.6 förbjuder att ändra systemet på ett sätt som kan påverka bedömningen av orsakerna innan myndigheterna har informerats — motsatsen till vad en DORA-återställningsplan säger till samma ingenjörer.
Ett register, med överlägg. De attribut som ska läggas till informationsregistret enligt art. 28.3 i DORA så att det också bär klassificeringen enligt AI Act, och varför riskkategorin måste härledas och inte skrivas in.
En sekvens på 90 dagar för en entitet som uppfyller DORA i dag och har gjort lite på AI Act, med de två skyldigheter som har de närmaste fristerna och de billigaste bevisen först.
För efterlevnads-, risk- och IKT-funktionerna i kreditinstitut, försäkringsföretag, värdepappersföretag och betalningsinstitut som redan arbetar under DORA — och för de leverantörer som säljer AI till dem och får dessa frågor under upphandlingen.
Det är en strukturell analys av två förordningar, inte juridisk rådgivning. Klassificeringen enligt bilaga III beror på ert genomförande: två banker som kör nominellt likartade modeller kan hamna på var sin sida av bedrägeriundantaget i punkt 5 b.
Omfattas er organisation av både AI Act och DORA? De två förordningarna möts i den operativa motståndskraften hos finansiella AI-system. Vår systersajt regulation-dora.eu täcker DORA på djupet — inklusive vad AI Act lägger till ovanpå ett befintligt DORA-program.
AI Act för finansiella institut ↗ Utforska regulation-dora.eu ↗Ja. DORA — förordning (EU) 2022/2554 — har gällt sedan den 17 januari 2025 för kreditinstitut, försäkringsföretag, värdepappersföretag, betalningsinstitut och de övriga entiteter som räknas upp i dess art. 2. Samma entiteter omfattas av AI Act för de AI-system de tillhandahåller eller använder. Regelverken ersätter inte varandra: DORA reglerar motståndskraften hos den IKT som levererar era tjänster, AI Act reglerar vissa AI-systems inverkan på säkerhet och rättigheter.
Nej, och att anta det är det kostsamma felet som den här modulen finns för att förhindra. Art. 5–10 i DORA handlar om operativ motståndskraft; art. 9 i AI Act handlar om skada på hälsa, säkerhet och grundläggande rättigheter till följd av ett systems avsedda ändamål och dess rimligen förutsebara felanvändning. Ett DORA-riskregister innehåller inte en enda rad i art. 9-mening. Modulen anger, kontrollområde för kontrollområde, exakt vad AI Act fortfarande kräver ovanpå.
Konsekvensbedömningen avseende grundläggande rättigheter läses vanligen som en skyldighet för offentlig sektor. Art. 27.1 utsträcker den till användare som är kreditinstitut, för system för kreditvärdighet enligt bilaga III punkt 5 b, och till försäkringsföretag, för system för riskbedömning och prissättning inom liv och hälsa enligt punkt 5 c. Den har ingen motsvarighet alls i DORA, så inget av det ni redan driver täcker den.
Nej. Den kostnadsfria sidan är en kort orientering. Detta är en modul på 9 sidor: de två regelverken jämförda i sex dimensioner, en förteckning artefakt för artefakt över vad vart och ett av dem begär att ni har, en konvergensanalys i åtta rader, en klassificeringsmatris med tio fall för den AI som finansiella entiteter verkligen driver, en enda leverantörsbilaga som tjänar båda regelverken, incidentklockorna i DORA, AI Act och GDPR sida vid sida, och en sekvens på 90 dagar.
En PDF på 9 sidor, levererad via e-post omedelbart efter betalning, en namngiven användare. Hänvisningarna till AI Act följer texten som den ändrats genom förordning (EU) 2026/1744 — Digital Omnibus från juli 2026 — som flyttade fyra av de datum som de flesta publikationer fortfarande citerar.