--- title: "DORA pre AI vo finančnom sektore" description: "Ako nariadenie DORA reguluje nasadenie AI Agents vo finančných firmách: IKT riziko, prevádzková odolnosť a tretie strany." locale: "sk" canonical: "https://blckalpaca.at/sk/vedomosti/ai-agenti/dora-ai-financny-sektor" category: "AI agenti" updated: "2026-07-29T08:53:26.004Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # DORA pre AI vo finančnom sektore Ako nariadenie DORA reguluje nasadenie AI Agents vo finančných firmách: IKT riziko, prevádzková odolnosť a tretie strany. ## Čo je DORA, a prečo sa týka AI vo finančnom sektore? Digital Operational Resilience Act, skrátene DORA, formálne nariadenie (EÚ) 2022/2554, je priamo uplatniteľné od **17. januára 2025** a po prvý raz vytvára v rámci celej EÚ jednotný rámec pre *digitálnu prevádzkovú odolnosť* finančného sektora. Adresátmi sú primárne CRR inštitúcie (banky) a poisťovne podľa Solvency II, popri nich aj početné ďalšie finančné subjekty. DORA spája štyri piliere, ktoré boli predtým rozptýlené v rôznych dohľadových požiadavkách: riadenie rizík IKT (čl. 5–15), oznamovanie závažných incidentov IKT, testovanie digitálnej prevádzkovej odolnosti vrátane Threat-Led Penetration Testing (TLPT, čl. 24–27), ako aj riadenie rizika tretích strán v oblasti IKT (čl. 28–30). Rozhodujúca páka pre [AI](/sk/slovnik/ai): **Usmernenie BaFin k rizikám IKT pri nasadzovaní AI vo finančných subjektoch z 18. decembra 2025** výslovne zakotvuje systémy AI ako podkategóriu „sietí a informačných systémov" v zmysle čl. 3 ods. 2 DORA. Tým platí **celý kánon povinností DORA** aj pre AI a AI-[Agent](/sk/slovnik/agent) workloady, od obstarávania údajov cez vývoj a deployment modelu až po prevádzku s drift monitoringom a vyradenie. Kto teda nasadí [AI Agenta v banke alebo poisťovni](/sk/sluzby/integracia-ai-agenta) do produkcie, nebuduje len systém AI, ale regulovaný systém IKT so všetkými povinnosťami v oblasti odolnosti, testovania a tretích strán. > **Upozornenie:** Tento príspevok má *informačný* charakter a nepredstavuje **právne poradenstvo**. Regulačné zdroje v tejto oblasti sú v rokoch 2025/2026 v bezprecedentnom pohybe; lehoty a výklady sa môžu meniť. ## Štyri piliere DORA v kontexte AI-Agents **Riadenie rizík IKT (čl. 5–15).** Systémy AI musia byť integrované do celoinštitucionálneho riadenia rizík IKT. Usmernenie BaFin robí z **prístupu životného cyklu** záväzný štandard: obstarávanie údajov → vývoj modelu → deployment → prevádzka s drift monitoringom → vyradenie. Výslovne sa vyžaduje **adversarial training** a [**monitorovanie driftu modelu**](/sk/vedomosti/ai-agenti/bezpecnost-ai-agentov-owasp/ai-agent-monitoring-langsmith-langfuse). Usmernenie je formálne nezáväzné, v dohľadovej praxi však materiálne obracia dôkazné bremeno: kto sa ním neriadi, musí pri kontrolách BaFin dokumentovať rovnocennosť alternatívnych opatrení. **Testovanie odolnosti (čl. 24–27).** Systémy podporované AI podliehajú povinnosti pravidelného testovania digitálnej prevádzkovej odolnosti, až po [Threat-Led Penetration Testing (TLPT)](/sk/vedomosti/ai-agenti/dora-ai-financny-sektor/dora-resilienztests-tlpt) pre významné inštitúcie. Pre stochastických agentov založených na [LLM](/sk/slovnik/llm) je to metodicky náročné, pretože klasické testovacie postupy sú prispôsobené deterministickým systémom. **Oznamovanie incidentov.** Riziká AI špecifické pre dodávateľa, halucinované regulačné citácie, halucinované údaje o klientskom portfóliu, drift modelu v produkčných scoring systémoch, sa v kontexte BFSI považujú za materiálne operačné riziká a ako incidenty IKT podliehajú oznamovacej povinnosti. Rozsah je značný: V **prvých troch štvrťrokoch 2025** bolo BaFin oznámených **525 závažných incidentov IKT**, **približne 70 % z nich od úverových inštitúcií**. **Riziko tretích strán v oblasti IKT (čl. 28–30).** Toto je pre AI najostrejšia páka, a predmet nasledujúcej časti. ## Riziko tretích strán v oblasti IKT a designácia CTPP AI vo finančnom sektore dnes takmer vždy beží na externej infraštruktúre: hyperscalerové cloudy, externí poskytovatelia modelov a LLM alebo združené dátové centrá. Práve tu nastupuje DORA čl. 28–30. Dňa **18. novembra 2025** európske orgány dohľadu (ESA) po prvý raz označili **19 [kritických poskytovateľov tretích strán](/sk/vedomosti/ai-agenti/dora-ai-financny-sektor/dora-ikt-drittparteienrisiko) v oblasti IKT (Critical ICT Third-Party Providers, CTPP)**, medzi nimi **AWS, Microsoft Azure, Google Cloud, Oracle, IBM, SAP, Deutsche Telekom, Equinix a Swift**. Týchto 19 poskytovateľov podlieha od roku 2026 priamemu dohľadu EÚ; DORA Joint Oversight Forum v priebehu roka 2026 vykoná prvé komplexné kontroly a pravdepodobne vydá záväzné odporúčania. Pre banky a poisťovne na strane deployera to má konkrétne dôsledky: - **Exit plány treba testovať každoročne**, nielen dokumentovať. - **Multi-cloudové stratégie sú fakticky vynútené**, aby sa obmedzilo riziko koncentrácie. - **AI-Agent workloady na hyperscaleroch** zostávajú pod dodatočným dohľadovým pozorovaním. **Riziko koncentrácie** je v regióne DACH obzvlášť viditeľné: takmer každá banka je pre AI workloady odkázaná buď na niektorého z označených hyperscalerov, alebo na združené riešenia. V Nemecku prevádzkujú **Finanz Informatik (FI)** pre sporiteľne a **Atruvia AG** pre ľudové a Raiffeisen banky vedome *on-premise* a suverénne AI stacky (o. i. open-source modely ako Mixtral/Llama vo vlastných dátových centrách). **S-KIPilot od FI** bol v roku 2025 vo verzii 6 nasadený na približne 60 000 pracovísk sporiteľní. Tieto združené štruktúry sú logikou DORA-CTPP štrukturálne posilnené, pokiaľ designácia a usmernenie BaFin v ich súčasnej ostrosti pretrvajú. ## DORA čl. 30: Kánon zmluvných doložiek ako filter obstarávania DORA čl. 30 predpisuje záväzný obsah zmlúv pre tretie strany v oblasti IKT, a robí tým z výberu dodávateľa pre AI tvrdú bránu compliance. Povinné sú okrem iného **práva na audit, exit doložky, kontroly sub-procesorov**, ako aj **dohody o úrovni služieb so záväzkami o rezidencii údajov, latencii a výpočtovej kapacite**. Pri etablovaných hyperscaleroch patria tieto doložky dnes k štandardnému textu; pri [mladých AI startupoch](/sk/vedomosti/ai-agenti/dora-ai-financny-sektor/dora-fuer-ki-anbieter-pflichten) sú častým blokátorom obstarávania. DORA čl. 30 pritom nestojí osamotene, ale v zväzku nástrojov obstarávania, ktoré sa v DACH stali de facto benchmarkom: | Nástroj | Pôvod / stav | Funkcia v obstarávaní AI | | --- | --- | --- | | **Kánon zmluvných doložiek DORA čl. 30** | nariadenie (EÚ) 2022/2554, uplatniteľné od 17. 1. 2025 | Povinné práva na audit, exit doložky, kontroly sub-procesorov, SLA | | **BSI Test Criteria Catalogue Finance** | BSI, jún 2025; 6 pilierov, \~100 kritérií | De facto benchmark obstarávania; prevzatý EBA v okt. 2025 | | **BSI AIC4** | etablovaný, dobrovoľný | Implicitné minimálne očakávanie voči externým poskytovateľom AI/LLM cloudu | | **EBA AI Risk Management Guidelines** | oznámené, finálne zverejnenie v priebehu roka 2026 | Nadväzujúce na šesť pilierov BSI | [**BSI Test Criteria Catalogue for AI Systems in Finance**](https://www.bsi.bund.de/EN/Home/home_node.html) (zverejnený jún 2025) zahŕňa šesť pilierov, **výkon, robustnosť, férovosť, vysvetliteľnosť, compliance a ochranu spotrebiteľa**, s približne 100 jednotlivými kritériami. EBA prevzal týchto šesť pilierov v októbri 2025 ako základ pre svoje pripravované AI Risk Management Guidelines, čím sa katalóg fakticky stáva štandardom obstarávania pre banky a poisťovne v DACH. V praxi sa AI dodávatelia bez BSI AIC4, ISO 42001, SOC 2 alebo ISO 27001 typicky nedostanú do finálneho výberového kola v RFP v BFSI sektore DACH. ## Povinnosti DORA pre AI-Agents v bankách a poisťovniach Šesť rizikových oblastí je pre AI-Agents vo finančnom sektore sektorovo špecifických a nad rámec DORA ich treba zohľadniť, v horizontálnej compliance AI sa objavujú len okrajovo: 1. **Riadenie modelového rizika.** MaRisk AT 4.3.5 je od noviel 2023/2024 výslovne uplatniteľný aj na modely AI/ML a vyžaduje dokumentáciu životného cyklu, nezávislú validáciu, backtesting a periodické preskúmanie. Usmernenie BaFin dodatočne vyžaduje dokumentáciu adversarial trainingu a monitorovanie driftu modelu. 2. **Vysvetliteľnosť pri úverových rozhodnutiach.** § 504a BGB, čl. 22 [GDPR](/sk/slovnik/gdpr) a budúca klasifikácia vysokého rizika podľa AI Act prílohy III vynucujú, aby zodpovedná osoba dokázala pomenovať určujúce faktory. End-to-end LLM úverový scoring je tým prakticky vylúčený; AI zostáva v triážnych a vysvetľovacích rolách. 3. **Úplnosť audit trailu.** Pre dohľadové osobitné kontroly (osobitná kontrola BaFin, kontrola na mieste FINMA, kontrola OeNB) musí byť každá inferencia revízne bezpečne zaprotokolovaná, vrátane promptu, kontextu, retrieval zdrojov, verzie modelu a výstupu. 4. **Požiadavky na latenciu.** Trading compliance vyžaduje <10 ms, fraud detection <1 s. LLM agenti v hot path sú zriedka realizovateľní. 5. **Rezidencia údajov.** V DE a AT dohľadové orgány čoraz viac zdôrazňujú EÚ, resp. národnú rezidenciu pre tréningové a inferenčné údaje AI; vo Švajčiarsku bankové tajomstvo (čl. 47 BankG) prakticky vyžaduje uchovávanie údajov klientov v CH. 6. **Riziko koncentrácie** v dôsledku designácie CTPP (pozri vyššie). V dôsledku toho nie sú v roku 2026 v produkčnej prevádzke **plne autonómne úverové rozhodnutia** ani **plne autonómne [multi-agent trading workflowy](/sk/blog/ai-agent-swarms-ked-ai-agenti-spolupracuju)**. Štandardom sú naopak agenti zákazníckeho servisu Tier 1, fraud detection, AML/KYC triáž a regulačný reporting, dôsledne s human-in-the-loop tam, kde rozhodnutia vyvíjajú právne účinky. ## Vzťah k DACH: tri tracky namiesto jednej línie DORA formuje Nemecko a Rakúsko priamo ako acquis EÚ; Švajčiarsko ho preberá sektorovo autonómne. To vedie k **trojtrackovej compliance**, ktorú musia zohľadniť inštitúcie pôsobiace naprieč DACH: | Krajina | Rozhodujúci zdroj (stav máj 2026) | Charakter | | --- | --- | --- | | **Nemecko** | Usmernenie BaFin z 18. 12. 2025 | Úzko orientované na životný cyklus DORA; zakotvuje AI ako systém IKT podľa čl. 3 ods. 2 DORA | | **Švajčiarsko** | Dohľadové oznámenie FINMA 08/2024 z 18. 12. 2024 | Princípy governance a štyri rizikové triedy; technologicky a princípovo založené, žiadna plošná osobitná legislatíva k AI | | **Rakúsko** | žiadne formálne sektorové usmernenie k AI | FMA/OeNB v dohľadových prioritách na rok 2026 oznámili, že svoj prístup „vyvinú a budú komunikovať"; inštitúcie sa fakticky opierajú o BaFin/EBA | **Prieskum FINMA z apríla 2025** medzi približne 400 inštitúciami ukazuje úroveň adopcie: približne **50 % švajčiarskych bánk a poisťovní už AI používa alebo vyvíja aplikácie**, ďalších 25 % plánuje nasadenie do troch rokov; v priemere je približne 5 aplikácií v produkcii a približne 9 vo vývoji. **91 % inštitúcií využívajúcich AI nasadzuje generatívnu AI.** Dohľadové oznámenie FINMA predchádzalo usmernenie BaFin presne o dvanásť mesiacov, nie je s ním však plne totožné, FINMA vyžaduje napríklad centrálne inventáre AI s klasifikáciou rizika a fallback riešeniami. Rakúska **regulačná medzera** je ambivalentná: vytvára priestor, no zvyšuje neistotu pri kontrolách na mieste, pretože očakávania nie sú ex ante kodifikované. Centrálne servisné miesto pre AI bolo v roku 2024 zriadené pri RTR-GmbH, na poradenstvo, nie na sektorový dohľad. ## Výhľad a praktické upozornenie Regulačné méty sa posúvajú: naďalej treba sledovať ďalšie verzie usmernenia BaFin a ich výklad v osobitných kontrolách, možné konkretizácie FINMA nad rámec AM 08/2024, očakávané formálne usmernenie k AI od rakúskej FMA, ako aj finálne zverejnenie [**EBA AI Risk Management Guidelines**](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai) v priebehu roka 2026 (na základe šiestich pilierov BSI). Otvorené je aj to, či prvé očakávané odporúčania CTPP od roku 2026 skutočne pohnú inštitúcie v DACH k reálnemu multi-cloudu, alebo či zostane pri symbolických exit plánoch. Pre prax platí: kto v roku 2026 nasadzuje AI vo finančnom sektore do produkcie, mal by **usmernenie BaFin považovať za internú normu** (aj tam, kde FMA ešte nemá vlastné usmernenie), **operacionalizovať oznamovací kanál incidentov DORA a TLPT**, využívať **BSI Test Criteria Catalogue Finance ako filter dodávateľov** a chápať AI od začiatku ako **systém IKT s plným riadením životného cyklu**. Podiel compliance tvorí v regulovaných odvetviach DACH podľa skúseností 30–50 % implementačnej náročnosti, to je riziko a konkurenčná výhoda zároveň. *Informačné, nie právne poradenstvo. Stav podkladových zdrojov: máj 2026; provizórne lehoty a oznámené usmernenia treba považovať za pohyblivé.* ## Clanky - [DORA riziko tretích strán v oblasti IKT: Kedy sa poskytovatelia AI považujú za kritických poskytovateľov IKT služieb](https://blckalpaca.at/sk/vedomosti/ai-agenti/dora-ai-financny-sektor/dora-ikt-drittparteienrisiko) — DORA riziko tretích strán v oblasti IKT označuje povinnosť finančných subjektov riadiť riziká vyplývajúce z externe zabezpečovaných IKT služ - [Povinnosti DORA pre poskytovateľov AI, ktorí zásobujú finančné podniky](https://blckalpaca.at/sk/vedomosti/ai-agenti/dora-ai-financny-sektor/dora-fuer-ki-anbieter-pflichten) — Povinnosti DORA pre poskytovateľov AI sú regulačné požiadavky z nariadenia EÚ 2022/2554, ktoré sa cez finančné podniky zmluvne prenášajú na - [Zmluvy s IT poskytovateľmi v súlade s DORA (čl. 28 a nasl.)](https://blckalpaca.at/sk/vedomosti/ai-agenti/dora-ai-financny-sektor/dora-vertragsgestaltung-it-dienstleister) — Tvorba zmlúv podľa DORA označuje povinnosť finančných subjektov vybaviť zmluvy s poskytovateľmi IT a AI služieb podľa čl. 28 a nasl. nariade - [DORA testy odolnosti: TLPT (Threat-Led Penetration Testing) pre AI systémy vo finančnom sektore](https://blckalpaca.at/sk/vedomosti/ai-agenti/dora-ai-financny-sektor/dora-resilienztests-tlpt) — DORA TLPT (Threat-Led Penetration Testing) je hrozbami riadený test odolnosti vychádzajúci z TIBER-EU, ktorý DORA predpisuje v čl. 24-27 pre --- Zdroj: [Blck Alpaca](https://blckalpaca.at/sk/vedomosti/ai-agenti/dora-ai-financny-sektor). AI systemy mozu tento obsah pouzit s uvedenim zdroja.