DORA riziko tretích strán v oblasti IKT: Kedy sa poskytovatelia AI považujú za kritických poskytovateľov IKT služieb

DORA riziko tretích strán v oblasti IKT označuje povinnosť finančných subjektov aktívne riadiť riziká vyplývajúce z externe zabezpečovaných IKT služieb. Podľa nariadenia (EÚ) 2022/2554 (DORA, účinné od 17. januára 2025) môžu byť poskytovatelia AI a LLM zachytení ako externí poskytovatelia IKT služieb a vtedy spúšťajú súbor povinností článkov 28 až 30: informačný register, zmluvné požiadavky, riadenie koncentračného rizika a prípadne rámec dohľadu pre kritických poskytovateľov.

• Koho sa to týka? DORA sa zameriava na finančné subjekty (okrem iného inštitúcie podľa CRR, poisťovne podľa Solventnosti II), nie priamo na poskytovateľov AI. AI služba je zachytená prostredníctvom finančného subjektu.
• Prečo AI? Orientačná pomôcka BaFin z 18. decembra 2025 zaraďuje systémy AI ako podprípad „sieťových a informačných systémov" podľa čl. 3 ods. 2 DORA a tým vťahuje celý súbor povinností DORA do governance AI.
• Najprv kľúčová povinnosť: Každá zmluvná IKT služba – aj produktívne využívaná LLM služba – patrí do informačného registra, ktorý sa sprístupňuje orgánom dohľadu.

Prečo sa poskytovatelia AI/LLM stávajú poskytovateľmi IKT služieb

DORA nereguluje AI ako technológiu, ale digitálnu prevádzkovú odolnosť finančných subjektov. Rozhodujúcou pákou je široká definícia IKT služieb a sieťových a informačných systémov. Akonáhle finančný subjekt produktívne nasadí AI službu – napríklad hostovaný jazykový model, fraud-scoring API alebo cloudového dokumentového asistenta – stáva sa táto služba súčasťou jeho rizika tretích strán v oblasti IKT.

Orientačná pomôcka BaFin k IKT rizikám pri nasadení AI vo finančných subjektoch z 18. decembra 2025 robí túto súvislosť v nemeckej praxi dohľadu explicitnou: systémy AI sú podprípadom „sieťových a informačných systémov" podľa čl. 3 ods. 2 DORA. Tým pre záťaže (workloads) podporované AI platia povinnosti DORA k riadeniu IKT rizík (čl. 5 – 15), k testom odolnosti vrátane Threat-Led Penetration Testing (čl. 24 – 27) ako aj k riziku tretích strán v oblasti IKT (čl. 28 – 30). Orientačná pomôcka je formálne nezáväzná, no v praxi dohľadu materiálne obracia dôkazné bremeno: kto ju nedodržiava, musí pri kontrolách BaFin dokumentovať rovnocennosť alternatívnych opatrení. Adresátmi sú primárne inštitúcie podľa CRR a poisťovne podľa Solventnosti II.

Praktický dôsledok: poskytovateľ AI nepodlieha DORA „automaticky". Zachytená je služba prostredníctvom využívajúceho finančného subjektu – a ten musí svojho poskytovateľa riadiť, zmluvne zaviazať a dokumentovať tak, aby boli požiadavky DORA splniteľné.

Informačný register (Register of Information)

Centrálnym nástrojom riadenia rizika tretích strán v oblasti IKT je informačný register. Finančné subjekty musia viesť úplný zoznam všetkých zmluvných dohôd o IKT službách a sprístupniť ho príslušným orgánom dohľadu. Tento register zachytáva, akú funkciu služba podopiera, či podporuje kritickú alebo dôležitú funkciu, kto je poskytovateľom a ktorí subdodávatelia sú zapojení.

Pre AI to znamená: produktívne využívaná LLM alebo ML služba nie je „nástroj v marketingovom rozpočte", ale IKT služba podliehajúca registrácii, akonáhle zodpovedá zmluvnému externému zabezpečovaniu. Register je zároveň dátovým základom, na ktorom European Supervisory Authorities (ESA) rozpoznávajú, ktorí poskytovatelia sú v rámci sektora natoľko rozšírení, že ich treba klasifikovať ako kritických.

Kritickí externí poskytovatelia IKT služieb (CTPP) a rámec dohľadu

DORA zriaďuje vlastný rámec dohľadu (Oversight Framework) pre kritických externých poskytovateľov IKT služieb (Critical ICT Third-Party Providers, CTPP). Dňa 18. novembra 2025 ESA po prvýkrát určili 19 CTPP – medzi nimi AWS, Microsoft Azure, Google Cloud, Oracle, IBM, SAP, Deutsche Telekom, Equinix a Swift. Títo poskytovatelia podliehajú od roku 2026 priamemu dohľadu EÚ. DORA Joint Oversight Forum vykoná v priebehu roka 2026 prvé komplexné kontroly a pravdepodobne vydá záväzné odporúčania.

Dôležité pre diskusiu o AI: väčšina produktívnych AI/LLM záťaží dnes beží práve na týchto hyperscaleroch. Aj keď AI startup sám (zatiaľ) nie je určený ako CTPP, technicky často sedí na určenom poskytovateľovi. Dohľad nad hyperscalerom, ktorý je v základe, pritom nič nemení na vlastnej zodpovednosti finančného subjektu za externé zabezpečovanie, schopnosť exitu a koncentračné riziko.

Koncentračné riziko a exit stratégia

Koncentračné riziko je v kontexte AI obzvlášť výrazné. Keď je takmer každá banka v regióne DACH pri AI záťažiach odkázaná na jedného z mála určených hyperscalerov alebo na centrálne združené riešenia, vzniká systémový zhluk. DORA preto vyžaduje, aby finančné subjekty aktívne riadili svoju závislosť: exit plány treba testovať ročne a multi-cloud, resp. nahraditeľné stratégie sa fakticky vynucujú. Podľa výskumu zostáva systematická multi-cloud AI architektúra v roku 2026 technicky a komerčne náročná – medzera medzi „symbolickým exit plánom" a skutočne nacvičiteľnou zmenou poskytovateľa je reálnou témou dohľadu.

Požiadavky na externé zabezpečovanie a zmluvy (čl. 30)

DORA čl. 30 definuje povinný súbor zmluvných ustanovení pre IKT služby, ktorý nahrádza, resp. prekrýva existujúce režimy outsourcingu. EBA Outsourcing Guidelines (EBA/GL/2019/02) ako aj ESMA Outsourcing Guidelines (ESMA50-164-4285) boli prostredníctvom DORA čl. 28 – 30 podstatne modifikované. Kľúčové prvky ustanovení:

• Povinné práva na audit a prístup pre finančné subjekty a dohľad
• Exit klauzuly s usporiadanou cestou na výstup
• Kontrola subdodávateľov (sub-processor)
• Dohody o úrovni služieb (SLA) s prísľubmi k rezidencii dát, latencii a výpočtovej kapacite

Podľa výskumu sú tieto ustanovenia pri hyperscaleroch aktuálne vo veľkej miere štandardným textom, pri AI startupoch naopak častou prekážkou v obstarávaní (procurement blocker). Pre AI dodávateľov bez spoľahlivých práv na audit, bez transparentnosti subdodávateľov a bez dokumentovanej rezidencie dát sa proces výberu vo finančných domoch v regióne DACH často končí pred finálnym kolom.

Prehľad: Povinnosť, Koho sa týka, Súvislosť

Praktický príklad: LLM asistent v regionálnej banke

Stredne veľká banka zavádza interného znalostného asistenta podporeného LLM, ktorý beží cez API poskytovateľa AI, ktorý zasa hostuje na Microsoft Azure. Kroky relevantné z hľadiska DORA:

1. Klasifikovať: Podopiera asistent kritickú alebo dôležitú funkciu? Ak áno, požiadavky sa sprísňujú.
2. Registrovať: Zmluva a služba sa zapíšu do informačného registra – vrátane subdodávateľa Azure (určený CTPP).
3. Zmluvne zabezpečiť (čl. 30): práva na audit, exit klauzula, transparentnosť subdodávateľov, SLA s rezidenciou dát v EÚ.
4. Posúdiť koncentračné riziko: Leží kritická funkcia na jedinom hyperscaleri? Definovať cestu exitu a ročne testovať.
5. Proces incidentov: Závažné IKT incidenty služby – napríklad halucinované regulačné citácie ako materiálna udalosť prevádzkového rizika (operational risk) – podliehajú podľa DORA hláseniu.

Pseudokód logiky governance:

```
ak AI_sluzba.je_zmluvne_externe_zabezpecovanie:
Register.zapisat(AI_sluzba, sub_processory=[Hyperscaler])
ak AI_sluzba.podopiera_kriticku_funkciu:
Zmluva.preverit(Cl30_ustanovenia) # audit, exit, SLA, sub-processor
ExitPlan.test(interval="rocne")
Koncentracne_riziko.posudit(poskytovatel, funkcia)
Incident.aktivovat_cestu_hlasenia(zavaznost="major")
```

Uvedené čísla článkov, dátumy a status CTPP pochádzajú z podkladového výskumu, resp. z overených znalostí o DORA. Tento príspevok nie je právnym poradenstvom; či a ako je DORA aplikovateľná na konkrétnu AI službu, vyžaduje posúdenie v jednotlivom prípade odbornou právnou a dohľadovou poradenskou činnosťou.

Pre agentúry a B2B rozhodovateľov

Pre marketingové agentúry a poskytovateľov služieb, ktorí dodávajú AI funkcie bankám, poisťovniam alebo iným finančným subjektom, je DORA tvrdým predajným kritériom, nie doplnkom. Kto chce predávať riešenia podporené LLM do regulovaného finančného sektora, mal by od začiatku zohľadňovať schopnosť auditu, transparentnosť subdodávateľov, rezidenciu dát v EÚ a spoľahlivú cestu exitu – inak projekt nestroskotá na kvalite modelu, ale na obstarávaní (procurement). Blck Alpaca podporuje pri koncepcii AI workflowov v súlade s DORA a ich začlenení do procesov externého zabezpečovania a dodávateľov, aby sa vaša AI iniciatíva vo finančnom sektore vôbec dostala do finálneho výberového kola. Právne posúdenie v jednotlivom prípade si doplňujúco zabezpečte u odbornej poradenskej činnosti.