Obligaciones DORA para proveedores de IA que trabajan con entidades financieras

Las obligaciones DORA para proveedores de IA son los requisitos regulatorios del Reglamento (UE) 2022/2554 (Digital Operational Resilience Act) que, a través de las entidades financieras contratantes, repercuten por vía contractual en los proveedores de IA. Quien suministra sistemas de IA a bancos, aseguradoras o proveedores de servicios de pago se considera proveedor tercero de servicios TIC y debe cumplir unos contenidos contractuales mínimos, derechos de auditoría y acceso, contribuciones a la notificación de incidentes y reglas de salida y de subexternalización. DORA es aplicable desde el 17 de enero de 2025.

• No directamente, pero con pleno efecto: DORA no regula de forma inmediata a los proveedores de IA, pero obliga a las entidades financieras a trasladarles contractualmente todos los requisitos.
• La IA es TIC: los sistemas de IA son sistemas de red y de información según el art. 3, punto 2, del DORA, por lo que se aplica el conjunto completo de obligaciones. La BaFin lo aclaró expresamente en su guía orientativa del 18 de diciembre de 2025.
• La palanca es el contrato: sin cláusulas conformes con DORA (art. 30), los proveedores de IA no suelen llegar a la ronda final de selección en las licitaciones BFSI de Alemania y Austria.

Por qué DORA repercute en los proveedores de IA

Formalmente, DORA se dirige a las entidades financieras supervisadas. El art. 2, apartado 1, letras a) a t), del DORA enumera 20 tipos de entidades financieras, entre ellas entidades de crédito, entidades de pago y de dinero electrónico, empresas de servicios de inversión, proveedores de servicios de criptoactivos, empresas de seguros y fondos de pensiones de empleo. Los proveedores de IA no están regulados directamente, sino que quedan comprendidos como proveedores terceros de servicios TIC. El mecanismo es indirecto, pero eficaz: las entidades financieras están obligadas a trasladar contractualmente los requisitos de DORA a sus proveedores. Por tanto, quien vende a una entidad regulada un algoritmo de detección de fraude, un asistente para empleados basado en RAG o un modelo de underwriting hereda las obligaciones a través del contrato.

Los sistemas de IA son TIC en el sentido de DORA. En su guía orientativa sobre los riesgos TIC en el uso de la IA en entidades financieras, del 18 de diciembre de 2025, la BaFin trata un sistema de IA como sistema de red y de información según el art. 3, punto 2, del DORA. Las obligaciones derivan del propio DORA, no de la guía. Según indica ella misma, la guía es una ayuda no vinculante y no una interpretación obligatoria de DORA por parte de la BaFin, pero muestra cómo la BaFin traslada los requisitos de DORA a los sistemas de IA. A los sistemas de IA se les aplica el conjunto completo de obligaciones de DORA:

• Arts. 5-15: gestión del riesgo relacionado con las TIC
• Arts. 17-23: gestión, clasificación y notificación de incidentes relacionados con las TIC
• Arts. 24-27: pruebas de resiliencia, incluido el Threat-Led Penetration Testing (TLPT)
• Arts. 28-30: gestión del riesgo relacionado con las TIC derivado de terceros

En Suiza, la Comunicación de supervisión de la FINMA 08/2024, del 18 de diciembre de 2024, desempeña un papel funcionalmente comparable, aunque no coincide plenamente con la línea de la BaFin. En Austria, según el estado de la investigación en la que se basa este artículo (mayo de 2026), no existe ninguna directriz sectorial formal de la FMA sobre IA; en la práctica, las entidades austriacas se orientan por la BaFin y la EBA.

Los cinco bloques de obligaciones en detalle

Para los proveedores de IA, DORA se concreta sobre todo en el régimen de terceros (arts. 28-30) y en el catálogo de cláusulas contractuales del art. 30. La siguiente tabla traduce los requisitos centrales a lo que significan para los proveedores de IA.

Contenidos contractuales mínimos y derechos de auditoría

El catálogo de cláusulas contractuales del art. 30 es el núcleo práctico. Exige derechos de auditoría obligatorios, cláusulas de salida, controles sobre subcontratistas y acuerdos de nivel de servicio con compromisos de residencia de datos, latencia y capacidad de cómputo. Para los proveedores de IA, esto significa en concreto que la arquitectura debe diseñarse desde el principio para que cada inferencia pueda registrarse de forma inalterable y auditable. En las inspecciones especiales de supervisión, el supervisor espera que una persona responsable interna pueda reproducir el output de la IA y nombrar los factores que lo determinan. En la práctica, esto excluye los modelos de caja negra puros en funciones cercanas a la toma de decisiones.

Notificación de incidentes

En el contexto BFSI, los fallos específicos de la IA se tratan como riesgos operativos y pueden estar sujetos a notificación. El orden de magnitud muestra su relevancia: solo a la BaFin se le notificaron en los tres primeros trimestres de 2025 un total de 525 incidentes graves relacionados con las TIC, alrededor del 70 % de ellos por parte de entidades de crédito. Los proveedores de IA rara vez están obligados a notificar por sí mismos, pero deben garantizar contractual y técnicamente que la entidad financiera reciba a tiempo la información necesaria.

Estrategias de salida y subexternalización

Para los servicios TIC que soportan funciones esenciales o importantes, los planes de salida deben probarse suficientemente y revisarse con regularidad según el art. 28, apartado 8, del DORA; en combinación con la designación de los CTPP, esto impone en la práctica estrategias multicloud. Para los proveedores de IA, esto significa demostrar portabilidad de datos, procesos de traspaso documentados y reversibilidad. En la subexternalización, toda la cadena debe hacerse pública y ser controlable, algo especialmente relevante cuando un proveedor de IA contrata a terceros la inferencia de modelos fundacionales, bases de datos vectoriales o capacidad de GPU.

Riesgo de concentración y los 19 CTPP

El 18 de noviembre de 2025, las Autoridades Europeas de Supervisión o AES (EBA, EIOPA, ESMA) designaron por primera vez a 19 proveedores terceros esenciales de servicios TIC (CTPP), entre ellos AWS, Microsoft, Google Cloud, Oracle, IBM, SAP, Deutsche Telekom, Equinix y Bloomberg (lista de las AES). Estos 19 proveedores están sometidos a supervisión directa de la UE a partir de 2026. La supervisión de cada CTPP corre a cargo de una autoridad de supervisión principal (Lead Overseer), es decir, la EBA, la EIOPA o la ESMA. El Oversight Forum previsto en el art. 32 del DORA prepara posiciones comunes y evalúa los resultados, pero no inspecciona por sí mismo a los proveedores. Las recomendaciones del Lead Overseer no son vinculantes. Sin embargo, el CTPP debe comunicar en un plazo de 60 días naturales si las sigue o justificar por qué no lo hace (art. 42 del DORA). Para los proveedores de IA cuyas cargas de trabajo se ejecutan en uno de estos proveedores, esto implica una observación adicional y un riesgo de concentración mayor del lado del cliente. Además, en 2025 el BSI publicó un catálogo de criterios de evaluación para sistemas de IA en el sector financiero (Test Criteria Catalogue for AI Systems in Finance). Evalúa los sistemas de IA, entre otros aspectos, por su robustez, equidad, transparencia, calidad de los datos y seguridad informática, y sirve como plantilla para evaluar proveedores.

Importante para situarlo: las Directrices de la EBA sobre externalización (EBA/GL/2019/02) y las directrices de la ESMA sobre externalización (ESMA50-164-4285) siguen vigentes, pero los arts. 28-30 del DORA las han modificado sustancialmente. Así, DORA no es el único régimen de terceros, pero sí el determinante.

Caso práctico: un agente de conocimiento con IA en la RFP de un banco mediano

Un proveedor de IA ofrece a una entidad alemana de tamaño medio (con un balance total en el tramo bajo de las decenas de miles de millones) un asistente para empleados basado en RAG para búsquedas internas. En el proceso de adjudicación no falla el modelo, sino el contrato. Bloqueos típicos y cómo se resuelven:

```text
Filtro de la RFP (por DORA) Estado startup Exigido (art. 30 / 28)
________________________________ ___________________ ______________________________________
Derechos auditoría/acceso BaFin falta garantizar por contrato
Log de inferencia inalterable parcial prompt + fuente + versión modelo
Cláusula de salida + exportación falta verificable periódicamente, reversible
Transparencia subcontratistas poco clara revelar cadena + derecho control
Residencia datos (UE/soberana) hyperscaler EE. UU. opción nube UE/soberana
AIC4 / ISO 42001 / 27001 / SOC 2 solo ISO 27001 aportar certificaciones
```

Solo cuando el proveedor se compromete por contrato a ofrecer residencia de datos en la UE, un registro completo de las inferencias y un proceso de salida ordenado, llega a la ronda final. En 2026, los proveedores de IA sin BSI AIC4, ISO 42001, SOC 2 o ISO 27001 no suelen llegar a la selección final en las licitaciones BFSI de la región DACH (Alemania, Austria y Suiza). Se prefieren las nubes soberanas (por ejemplo, STACKIT, Open Telekom Cloud o IONOS Sovereign Cloud en Alemania; Swisscom, Exoscale o Infomaniak en Suiza) o las soluciones on-premise compartidas.

Nota: este artículo sirve de orientación técnica y no constituye asesoramiento jurídico. La situación concreta de obligaciones DORA, las referencias a artículos y los plazos deben revisarse caso por caso con funciones jurídicas y de cumplimiento normativo cualificadas; las fuentes regulatorias están en plena evolución en 2025/2026.

Para agencias y proveedores B2B

Quien desarrolla productos de IA o contenidos para el sector financiero debería pensar la conformidad con DORA desde el principio como requisito de arquitectura y de go-to-market, no como un tema jurídico para el final. Según la experiencia, la capa de cumplimiento normativo representa en los sectores regulados de la región DACH entre el 30 y el 50 % del esfuerzo de implementación, más que en los sectores horizontales. Para las agencias de marketing y tecnología es una doble señal: primero, los responsables de bancos y aseguradoras buscan contenidos que expliquen de forma precisa y fiable los requisitos de DORA para proveedores de IA. Segundo, lo que decide en una RFP entre la adjudicación y el rechazo es una capacidad de auditoría demostrable, la residencia de datos y una vía de salida que se pueda probar. Blck Alpaca te ayuda a plantear y comunicar proyectos de IA para clientes regulados de forma que superen los filtros de compra del sector financiero.