Povinnosti DORA pre poskytovateľov AI, ktorí dodávajú riešenia finančným podnikom

Povinnosti DORA pre poskytovateľov AI sú regulačné požiadavky z nariadenia EÚ 2022/2554 (Digital Operational Resilience Act), ktoré sa cez poverujúce finančné podniky zmluvne prenášajú na dodávateľov AI. Kto dodáva systémy AI bankám, poisťovniam alebo poskytovateľom platobných služieb, považuje sa za tretiu stranu poskytujúcu služby IKT a musí splniť minimálne zmluvné náležitosti, umožniť audit a prístup, poskytnúť súčinnosť pri hlásení incidentov a dodržať pravidlá ukončenia spolupráce a subdodávok (sub-outsourcing). DORA sa uplatňuje od 17. januára 2025.

• Nie priamo, ale v plnom rozsahu: DORA nereguluje poskytovateľov AI bezprostredne, núti však finančné podniky preniesť všetky požiadavky zmluvne ďalej.
• AI je IKT: Systémy AI sú sieťové a informačné systémy podľa čl. 3 bod 2 DORA, a preto sa na ne vzťahuje celý súbor povinností. BaFin to vo svojej orientačnej pomôcke z 18. decembra 2025 výslovne objasnil.
• Pákou je zmluva: Bez klauzúl v súlade s DORA (čl. 30) sa poskytovatelia AI vo výberových konaniach v sektore BFSI v Nemecku a Rakúsku spravidla nedostanú do finálneho kola výberu.

Prečo sa DORA prenáša na poskytovateľov AI

DORA je formálne určená finančným podnikom pod dohľadom. Čl. 2 ods. 1 písm. a) až t) DORA vymenúva 20 druhov finančných podnikov, medzi nimi úverové inštitúcie, platobné inštitúcie a inštitúcie elektronických peňazí, investičné spoločnosti, poskytovateľov služieb kryptoaktív, poisťovne a inštitúcie zamestnaneckého dôchodkového zabezpečenia. Poskytovatelia AI nie sú regulovaní priamo, ale DORA sa na nich vzťahuje ako na tretie strany poskytujúce služby IKT. Mechanizmus je nepriamy, no účinný: finančné podniky sú povinné preniesť požiadavky DORA zmluvne na svojich dodávateľov. Kto teda predá regulovanej inštitúcii algoritmus na odhaľovanie podvodov, asistenta pre zamestnancov postaveného na RAG alebo model na underwriting, zdedí povinnosti cez zmluvy.

Systémy AI sú IKT v zmysle DORA. Vo svojej orientačnej pomôcke k rizikám IKT pri nasadení AI vo finančných podnikoch z 18. decembra 2025 posudzuje BaFin systém AI ako sieťový a informačný systém podľa čl. 3 bod 2 DORA. Povinnosti vyplývajú zo samotného nariadenia DORA, nie z orientačnej pomôcky. Tá je podľa vlastného vyjadrenia nezáväznou pomôckou, nie záväzným výkladom DORA zo strany BaFin. Ukazuje však, ako BaFin uplatňuje požiadavky DORA na systémy AI. Pre systémy AI platí celý súbor povinností DORA:

• Čl. 5-15: riadenie rizík IKT
• Čl. 17-23: riešenie, klasifikácia a hlásenie incidentov súvisiacich s IKT
• Čl. 24-27: testovanie odolnosti vrátane Threat-Led Penetration Testing (TLPT)
• Čl. 28-30: riadenie rizika tretích strán v oblasti IKT

Vo Švajčiarsku plní funkčne porovnateľnú úlohu oznámenie FINMA k dohľadu 08/2024 z 18. decembra 2024, s líniou BaFin sa však úplne nezhoduje. V Rakúsku podľa stavu podkladovej rešerše (máj 2026) neexistuje formálne sektorové usmernenie FMA k AI; rakúske inštitúcie sa v praxi opierajú o BaFin a EBA.

Päť balíkov povinností podrobne

Pre poskytovateľov AI sa DORA konkretizuje predovšetkým v režime tretích strán (čl. 28-30) a v súbore zmluvných klauzúl podľa čl. 30. Nasledujúca tabuľka ukazuje, čo hlavné požiadavky znamenajú pre dodávateľov AI.

Minimálne zmluvné náležitosti a práva na audit

Súbor zmluvných klauzúl podľa čl. 30 je praktickým jadrom. Vyžaduje povinné práva na audit, klauzuly o ukončení, kontrolu subdodávateľov a dohody o úrovni služieb (SLA) so záväzkami k rezidencii dát, latencii a výpočtovej kapacite. Pre poskytovateľov AI to konkrétne znamená: architektúra musí byť od začiatku postavená tak, aby sa každá inferencia dala protokolovať odolne voči manipulácii. Pri mimoriadnych kontrolách orgán dohľadu očakáva, že interne zodpovedná osoba dokáže výstup AI zreprodukovať a pomenovať faktory, ktoré ho určujú. To v praxi vylučuje čisté black-box modely v rolách blízkych rozhodovaniu.

Hlásenie incidentov

Chyby typické pre AI sa v kontexte BFSI posudzujú ako operačné riziká a môžu podliehať ohlasovacej povinnosti. Rozsah ukazuje, o čo ide: len úradu BaFin bolo v prvých troch štvrťrokoch 2025 nahlásených spolu 525 závažných incidentov súvisiacich s IKT, z toho približne 70 percent od úverových inštitúcií. Poskytovatelia AI sami zriedka podliehajú ohlasovacej povinnosti, musia však zmluvne aj technicky zabezpečiť, aby finančný podnik včas dostal potrebné informácie.

Stratégie ukončenia a subdodávky

Pri službách IKT, ktoré podporujú kritické alebo dôležité funkcie, treba plány ukončenia podľa čl. 28 ods. 8 DORA dostatočne testovať a pravidelne preskúmavať; v kombinácii s určením CTPP to fakticky vynucuje stratégie s viacerými cloudmi (multi-cloud). Pre poskytovateľov AI to znamená preukázať prenositeľnosť dát, zdokumentované procesy odovzdania a reverzibilitu. Pri subdodávkach musí byť celý reťazec pre objednávateľa transparentný a kontrolovateľný. To je dôležité najmä vtedy, keď poskytovateľ AI sám nakupuje inferenciu základných modelov (foundation models), vektorové databázy alebo kapacitu GPU od tretích strán.

Koncentračné riziko a 19 CTPP

Dňa 18. novembra 2025 európske orgány dohľadu ESA (EBA, EIOPA, ESMA) po prvý raz určili 19 kritických tretích strán poskytujúcich služby IKT (Critical ICT Third-Party Providers, CTPP), medzi nimi AWS, Microsoft, Google Cloud, Oracle, IBM, SAP, Deutsche Telekom, Equinix a Bloomberg (zoznam orgánov ESA). Týchto 19 poskytovateľov podlieha od roku 2026 priamemu dohľadu EÚ. Dohľad nad každým CTPP vykonáva hlavný orgán dohľadu (Lead Overseer), teda EBA, EIOPA alebo ESMA. Fórum pre dohľad (Oversight Forum) podľa čl. 32 DORA pripravuje spoločné stanoviská a hodnotí výsledky, poskytovateľov však samo nekontroluje. Odporúčania hlavného orgánu dohľadu nie sú záväzné. CTPP však musí do 60 kalendárnych dní oznámiť, či ich bude dodržiavať, alebo zdôvodniť, prečo nie (čl. 42 DORA). Pre poskytovateľov AI, ktorých záťaže (workloady) bežia u niektorého z týchto poskytovateľov, to znamená dodatočné sledovanie a vyššie koncentračné riziko na strane objednávateľa. BSI navyše v roku 2025 zverejnil katalóg kontrolných kritérií pre systémy AI vo finančnom sektore (Test Criteria Catalogue for AI Systems in Finance). Hodnotí systémy AI okrem iného podľa robustnosti, férovosti, transparentnosti, kvality dát a IT bezpečnosti a hodí sa ako rámec na hodnotenie poskytovateľov.

Dôležitý kontext: usmernenia EBA k outsourcingu (EBA/GL/2019/02) a usmernenia ESMA k outsourcingu (ESMA50-164-4285) platia naďalej, články 28-30 DORA ich však podstatne zmenili. DORA tak nie je jediným, ale rozhodujúcim režimom pre tretie strany.

Praktický príklad: znalostný AI agent v RFP stredne veľkej banky

Poskytovateľ AI ponúka stredne veľkej nemeckej inštitúcii (bilančná suma v nižších desiatkach miliárd) asistenta pre zamestnancov postaveného na RAG na internú rešerš. Vo výberovom konaní nezlyháva model, ale zmluva. Typické prekážky a ich riešenie:

```text
Kontrolný bod RFP (DORA) Stav startupu Požadované (čl. 30 / 28)
________________________________ _______________ ____________________________
Práva auditu/prístupu pre BaFin chýba zmluvne zaručiť
Nemenný log inferencií čiastočne prompt + zdroj + verzia modelu
Klauzula o ukončení + export dát chýba pravidelne testovateľná, reverzibilná
Transparentnosť subdodávateľov nejasná sprístupniť reťazec + právo kontroly
Rezidencia dát (EÚ / suverénna) US hyperscaler možnosť EÚ alebo suverénneho cloudu
AIC4 / ISO 42001 / 27001 / SOC 2 len ISO 27001 doložiť atestácie
```

Až keď poskytovateľ zmluvne zaručí rezidenciu dát v EÚ, úplné logovanie inferencií a riadený proces ukončenia, dostane sa do finálneho kola. Dodávatelia AI bez BSI AIC4, ISO 42001, SOC 2 alebo ISO 27001 sa vo výberových konaniach v sektore BFSI v regióne DACH v roku 2026 spravidla nedostanú do užšieho výberu. Uprednostňujú sa suverénne cloudy (napríklad STACKIT, Open Telekom Cloud, IONOS Sovereign Cloud v DE; Swisscom, Exoscale, Infomaniak v CH) alebo spoločné on-premise riešenia bankových skupín.

Poznámka: Tento príspevok slúži na odbornú orientáciu a nie je právnym poradenstvom. Konkrétne povinnosti podľa DORA, odkazy na články a lehoty treba v konkrétnom prípade preveriť s kvalifikovanými právnikmi a útvarmi compliance; regulačné zdroje sa v rokoch 2025/2026 menia.

Pre agentúry a B2B poskytovateľov

Kto vyvíja AI produkty alebo obsah pre finančný sektor, mal by súlad s DORA riešiť od začiatku ako predpoklad architektúry a uvedenia na trh (go-to-market), nie ako právnu tému na konci. Vrstva compliance tvorí v regulovaných odvetviach v regióne DACH podľa skúseností 30 až 50 percent implementačného úsilia, viac ako v horizontálnych odvetviach. Pre marketingové a technologické agentúry je to dvojitý signál. Po prvé: rozhodovatelia v bankách a poisťovniach hľadajú obsah, ktorý presne a spoľahlivo vysvetľuje požiadavky DORA na poskytovateľov AI. Po druhé: o prijatí alebo odmietnutí v RFP rozhoduje preukázateľná auditovateľnosť, rezidencia dát a testovateľný postup ukončenia. Blck Alpaca ťa podporí pri tom, aby si AI projekty pre regulovaných objednávateľov nastavil a komunikoval tak, aby prešli kontrolnými bodmi nákupného procesu vo finančnom sektore.