DORA a AI w finansach. Nadzorcy o ryzyku ICT z najbardziej zaawansowanych modeli AI

Rozporządzenie (UE) 2022/2554 (DORA) stosuje się od 17 stycznia 2025 roku. Wymaga od podmiotów finansowych zarządzania ryzykiem ICT, zgłaszania poważnych incydentów, testowania odporności i nadzoru nad zewnętrznymi dostawcami usług ICT. Usługa AI dostarczana z chmury jest usługą ICT w rozumieniu art. 3 pkt 21 DORA, więc podlega tym samym zasadom co inne usługi tego rodzaju

Co powiedzieli nadzorcy

31 lipca 2026 roku Wspólny Komitet Europejskich Urzędów Nadzoru (EBA, EIOPA i ESMA) wydał stanowisko o ryzyku ICT związanym z najbardziej zaawansowanymi modelami AI, które ułatwiają szybsze znajdowanie i wykorzystywanie podatności. Nadzorcy wskazują trzy kierunki: zapobieganie, czyli aktualny spis zasobów ICT, w tym komponentów AI i interfejsów API, oraz szybkie łatanie; wykrywanie, czyli ciągłe monitorowanie i szukanie podatności; oraz zarządzanie skutkami, czyli testy odporności, plany odtwarzania i odpowiedzialność organu zarządzającego. Stanowisko wpisuje się w plan działania Komisji Europejskiej w sprawie cyberbezpieczeństwa i AI z 7 lipca

Umowa z dostawcą AI według DORA

Art. 30 DORA określa, co musi zawierać umowa z dostawcą usług ICT: opis usług, lokalizacje świadczenia usług i przetwarzania danych, dostęp do danych i ich zwrot, poziomy usług, pomoc przy incydentach, współpracę z nadzorcą i prawo do rozwiązania umowy. Przy usługach wspierających funkcje krytyczne lub istotne dochodzą między innymi plany awaryjne, prawo do audytu, udział w testach penetracyjnych i strategia wyjścia. Każdą taką umowę trzeba ująć w rejestrze informacji (art. 28)

Dostawcy pod nadzorem

18 listopada 2025 roku urzędy nadzoru wskazały pierwszych 19 kluczowych zewnętrznych dostawców usług ICT, nad którymi sprawują bezpośredni nadzór. Lista ma być aktualizowana co roku. Nadzór nad dostawcą nie zwalnia jednak podmiotu finansowego z pełnej odpowiedzialności za własne ryzyko

Aleksandra Albera

Prawniczka specjalizująca się w prawie nowych technologii: AI Act, systemy zarządzania AI według ISO/IEC 42001, cyberbezpieczeństwo i ochrona danych. Audytor wiodący ISO/IEC 42001. Czuwa nad prawną stroną zamówień, umów i dokumentacji AI