Vad DORA betyder för AI i finansbranschen

Banker, försäkringsbolag och andra finansiella företag prövar AI i kundtjänst, i analysarbete och som stöd i det interna arbetet. Varje sådant verktyg är också en IKT-tjänst. Levereras det av någon utanför företaget omfattas det av EU:s förordning om digital operativ motståndskraft, DORA, som tillämpas sedan januari 2025. Den som planerar att använda AI gör klokt i att läsa kraven tidigt, eftersom de påverkar både valet av leverantör och avtalet.

Ansvaret stannar i företaget

DORA utgår från att det finansiella företaget alltid förblir fullt ansvarigt för att följa regelverket, också när en tjänst köps in. Företaget ska ha en strategi för risker från IKT-tjänster från tredje part. Innan ett avtal ingås ska leverantören och riskerna med avtalet bedömas, däribland risken för koncentration.

Kraven skärps när tjänsten stöder en kritisk eller viktig funktion. Ett AI-verktyg som används för att ta fram underlag i kreditärenden, eller som stöder regelefterlevnaden, kan hamna där. Bedömningen utgår från vad verktyget faktiskt används till och behöver ses över när användningen förändras.

AI-tjänsten i informationsregistret

Alla avtal om IKT-tjänster från tredje part ska föras in i ett informationsregister, och AI-tjänster är inget undantag. Registret ska kunna visas upp för tillsynsmyndigheten. Enligt Finansinspektionens föreskrifter ska det rapporteras till FI senast den 28 februari varje år, med uppgifter per den 31 december året innan.

För AI-tjänster är det värt att se över hela kedjan. Ett verktyg kan bygga på en modell från en part, driftas hos en annan och anropa tjänster hos en tredje. Underleverantörer som stöder kritiska eller viktiga funktioner ska framgå av registret. Avtalet ska också ange var tjänsten utförs och var uppgifterna behandlas och lagras, och leverantören ska meddela i förväg om det ändras.

Exitstrategi och koncentrationsrisk

För tjänster som stöder kritiska eller viktiga funktioner krävs en exitstrategi. Den ska göra det möjligt att lämna leverantören utan att verksamheten störs och utan att kvaliteten på tjänsterna till kunderna försämras. Exitplanerna ska vara dokumenterade och tillräckligt testade, och avtalet ska ge rätt till en övergångsperiod och till att få tillbaka uppgifterna när det upphör.

Koncentrationsrisk uppstår när en leverantör är svår att ersätta, eller när många avtal samlas hos samma leverantör eller närstående leverantörer. Det gäller också AI-tjänster. När modellen, driften och dokumenten finns hos samma part blir ett byte större än det först kan verka. I november 2025 pekade de europeiska tillsynsmyndigheterna för första gången ut kritiska IKT-leverantörer som står under direkt tillsyn på EU-nivå. Det visar hur mycket som hänger på ett fåtal leverantörer.

Finansinspektionen följer AI-frågan

I september 2026 meddelade FI att myndigheten kartlägger hur AI används i finanssektorn, som en uppföljning av en enkät från 2024. Samma månad inledde FI en fördjupad granskning, med platsbesök, av hur företagen hanterar cyberhot från avancerade AI-modeller. Granskningarna ger en bild av vad tillsynen intresserar sig för. Ett företag som redan har AI-tjänsterna i registret, och en tydlig bild av leverantörerna och vägen ut, står väl rustat när frågorna kommer.

Så fungerar det i iSearch

Hela kedjan i iSearch kan köras i er egen miljö, språkmodellen inräknad. Det går också att lämna över driften till oss. Vi sköter driften åt er i Sverige, i en egen miljö för er organisation. Varje kund får en egen, separat installation, och era frågor och dokument används aldrig för att träna modeller.

Inloggning sker med SSO och MFA, rollbaserad åtkomst styr vem som når vad och känsliga ändringar kräver fyraögonsprincip. En manipulationssäker revisionslogg kan kopplas till er SIEM.

Läs mer om säker AI för finansbranschen och data när avtalet tar slut, eller boka en genomgång.