Zmluvy s IT poskytovateľmi v súlade s DORA (čl. 28 a nasl.)

Tvorba zmlúv podľa DORA označuje povinnosť finančných subjektov zahrnúť do zmlúv s poskytovateľmi IT a AI služieb podľa čl. 28 a nasl. nariadenia (EÚ) 2022/2554 (DORA) záväzné klauzuly: opis služieb, lokality dát, audítorské práva, výpoveď a ukončenie spolupráce, pravidlá pre subdodávky (sub-outsourcing), hlásenie incidentov a úroveň služieb. DORA sa uplatňuje od 17. januára 2025 a v dohľadovej praxi BaFin sa primárne zameriava na inštitúcie podľa CRR a poisťovateľov podľa Solvency II.

• Koho sa to týka? Finančných subjektov v rozsahu pôsobnosti DORA (bánk, poisťovateľov a ďalších finančných subjektov) a ich poskytovateľov IT/AI služieb, s ktorými bez povinných klauzúl nemožno uzavrieť zmluvu.
• Čo je podstatou? Čl. 28-30 upravujú riziko tretích strán v oblasti IKT; čl. 30 obsahuje záväzný kánon klauzúl. Rozsah závisí od kritickosti outsourcovanej funkcie.
• Čo je najčastejší kameň úrazu? Pri hyperscaleroch je text klauzúl v roku 2026 štandardom; pri AI startupoch chýbajú audítorské práva, klauzuly o ukončení a klauzuly o subdodávkach, čo blokuje obstarávanie.

Prečo poskytovatelia AI služieb spadajú pod DORA

Kľúčové rozhodnutie pre AI projekty: AI systémy nie sú osobitným prípadom, ale podkategóriou „sieťových a informačných systémov“ podľa čl. 3 bodu 2 DORA. Usmernenie BaFin k IKT rizikám pri používaní AI vo finančných subjektoch z 18. decembra 2025 to výslovne potvrdzuje, a tým vťahuje do riadenia AI celý kánon povinností DORA: čl. 5-15 (riadenie IKT rizík), čl. 24-27 (testovanie odolnosti vrátane Threat-Led Penetration Testing) a čl. 28-30 (riziko tretích strán v oblasti IKT). Adresátmi sú primárne inštitúcie podľa CRR a poisťovatelia podľa Solvency II.

Pre Švajčiarsko existuje analogický, no nie úplne zhodný režim: dohľadové oznámenie FINMA 08/2024 z 18. decembra 2024 a obežník FINMA 2023/1 (operačné riziká a odolnosť) formujú očakávania voči externým dodávateľom IKT. Pre Rakúsko nám k októbru 2026 nie je známe žiadne sektorové usmernenie FMA k AI, ktoré by zodpovedalo usmerneniu BaFin. Pri predstavení svojej výročnej správy za rok 2025 v júni 2026 označil úrad FMA uplatňovanie AI vo finančnom sektore a pripravovaný dohľad nad ním za ťažisko aktuálneho roka. Rakúske inštitúcie sa orientujú prevažne podľa BaFin a EBA. Samotná DORA ako nariadenie EÚ platí v Nemecku a Rakúsku priamo.

Dôležité upozornenie na úvod: tento článok slúži na odbornú orientáciu a nie je právnym poradenstvom. Vzorové zmluvné klauzuly a ich prenesenie na konkrétny prípad musí posúdiť advokát.

Kánon klauzúl podľa čl. 30 DORA

Čl. 30 DORA vyžaduje, aby boli práva a povinnosti finančného subjektu a tretej strany poskytujúcej služby IKT jasne vymedzené a písomne stanovené. Nariadenie pritom rozlišuje dve úrovne: minimálny rozsah pre všetky zmluvy o IKT službách (čl. 30 ods. 2) a rozšírený katalóg pre služby, ktoré podporujú kritickú alebo dôležitú funkciu (čl. 30 ods. 3).

Kánon klauzúl podľa systematiky DORA zahŕňa najmä povinné audítorské práva, klauzuly o ukončení, kontrolu subdodávateľov, určenie lokalít dát a dohody o úrovni služieb (SLA) s presnými kvantitatívnymi a kvalitatívnymi výkonnostnými cieľmi; pri AI službách k nim v praxi často patria záväzky týkajúce sa latencie a kapacity. Pri hyperscaleroch je tento text dnes štandardom; pri AI startupoch je častou prekážkou pri obstarávaní. Kontext: DORA podstatne upravila skoršie usmernenia EBA k outsourcingu (EBA/GL/2019/02) aj usmernenia ESMA k outsourcingu (ESMA50-164-4285) a pretavila ich do priamo uplatniteľného štandardu na úrovni nariadenia.

Jednoduché verzus kritické/dôležité funkcie

Hĺbka povinností závisí od toho, či outsourcovaná IKT služba podporuje kritickú alebo dôležitú funkciu, teda funkciu, ktorej výpadok by podstatne narušil finančnú odolnosť, kontinuitu služieb alebo dodržiavanie podmienok povolenia inštitúcie. Táto klasifikácia je prvou úlohou pri každej tvorbe zmlúv podľa DORA a rozhoduje o rozsahu zmluvy.

Pre AI službu znie hlavná otázka konkrétne: zasahuje agent do kritického procesu (napr. detekcia podvodov v reálnom čase v platobnom styku, regulatórne vykazovanie), alebo podporuje len následný, ľahko nahraditeľný pomocný proces (napr. interná tvorba textov bez väzby na zákaznícke dáta)? Pri kritických/dôležitých funkciách sa uplatňujú dodatočné požiadavky čl. 30 ods. 3: zdokumentované stratégie ukončenia, neobmedzené práva na prístup, inšpekciu a audit, SLA s presnými kvantitatívnymi a kvalitatívnymi výkonnostnými cieľmi a účasť na TLPT. Lokality dát treba naopak určiť už podľa čl. 30 ods. 2 písm. b) v každej zmluve o IKT službách.

Prehľad povinných klauzúl

Nasledujúca tabuľka priraďuje hlavné súčasti zmluvy k ich účelu a označuje, či platia pre všetky zmluvy o IKT službách, alebo v prísnejšej podobe pre kritické/dôležité funkcie. Priradenie článkov sleduje systematiku DORA (čl. 30 ods. 2 pre minimálny rozsah, čl. 30 ods. 3 pre kritické/dôležité funkcie).

Riziko koncentrácie a určenie CTPP

Okrem jednotlivej zmluvy upravuje DORA aj systémové riziko koncentrácie. Európske orgány dohľadu (ESA) 18. novembra 2025 prvýkrát určili 19 kritických tretích strán poskytujúcich služby IKT (Critical ICT Third-Party Providers, CTPP), medzi nimi AWS, Microsoft, Google Cloud, Oracle, IBM, SAP, Deutsche Telekom, Equinix, Accenture a Bloomberg. Odvtedy títo poskytovatelia podliehajú priamemu dohľadu EÚ. Pre každého CTPP vykonáva dohľad hlavný orgán dohľadu (Lead Overseer: EBA, EIOPA alebo ESMA) prostredníctvom všeobecných vyšetrovaní a inšpekcií na mieste, s podporou spoločného preskúmavacieho tímu (čl. 33 a 38 až 40 DORA). Fórum pre dohľad (Oversight Forum) podľa čl. 32 pripravuje spoločné pozície a podporuje hlavný orgán dohľadu; kontroly samo nevykonáva.

Pri tvorbe zmlúv na strane inštitúcie rozhoduje predovšetkým plánovanie ukončenia spolupráce, bez ohľadu na to, či je poskytovateľ určený ako CTPP: podľa čl. 28 ods. 8 DORA musia byť plány ukončenia pre kritické alebo dôležité funkcie komplexné a zdokumentované, dostatočne otestované a pravidelne preskúmavané. Pevný ročný cyklus nariadenie nepredpisuje. K tomu pribúda podľa čl. 29 posúdenie rizika koncentrácie predtým, ako sa uzavrie zmluva o takýchto funkciách. Multi-cloud DORA nevyžaduje. K roku 2026 zostáva otvorené, či inštitúcie kvôli povinnostiam v oblasti ukončenia spolupráce a koncentrácie aj tak systematicky prejdú na multi-cloud, alebo zostane pri skôr symbolických plánoch ukončenia. Úplná multi-cloud AI architektúra je pre banky technicky aj komerčne náročná. V praxi v regióne DACH z toho vyplýva preferovaný model obstarávania služieb: suverénne alebo on-premise riešenia pre citlivé aplikácie a dáta, hyperscalery tam, kde sa riziko koncentrácie CTPP aktívne riadi.

Praktický príklad: zapojenie detekcie podvodov s podporou AI

Banka (inštitúcia podľa CRR) chce nasadiť AI agenta tretieho poskytovateľa na detekciu podvodov v reálnom čase v platobnom styku. Kroky tvorby zmluvy v súlade s DORA možno načrtnúť takto:

1. Klasifikácia: Detekcia podvodov je kritickou alebo dôležitou funkciou, pretože jej výpadok podstatne narúša kontinuitu služby. Preto sa uplatňuje rozšírený katalóg čl. 30 ods. 3.
2. Opis služieb a SLA: Zmluva stanovuje rozsah funkcií, dostupnosť a merateľné cieľové hodnoty. Pri detekcii podvodov k nim patrí napríklad maximálny čas odozvy na transakciu a ukazovatele kvality detekcie, ako je miera falošne pozitívnych výsledkov.
3. Lokality dát: Určenie, že tréningové a inferenčné dáta sa spracúvajú v rámci EÚ.
4. Audítorské práva a subdodávky: Neobmedzené kontrolné práva pre inštitúciu a orgán dohľadu; každý subdodávateľ, ktorý spoluvykonáva kritickú funkciu, podlieha zmluvnej výhrade súhlasu.
5. Hlásenie incidentov: Poskytovateľ je zmluvne zaviazaný hlásiť IKT incidenty tak bezodkladne, aby banka mohla splniť svoju oznamovaciu povinnosť podľa čl. 19 DORA. Pre predstavu o relevancii: v prvých troch štvrťrokoch 2025 bolo BaFin nahlásených 525 závažných IKT incidentov, približne 70 percent z nich od úverových inštitúcií.
6. Ukončenie spolupráce: Zdokumentovaná stratégia ukončenia s vrátením dát v použiteľnom formáte a podporou pri migrácii; plán ukončenia sa dostatočne testuje a pravidelne preskúmava, ako to vyžaduje čl. 28 ods. 8 DORA.

K tomu sa pridáva prepojenie s aktom EÚ o umelej inteligencii (AI Act): pre finančné subjekty hlásenie incidentov podľa čl. 19 DORA nahrádza oznamovaciu povinnosť podľa čl. 73 AI Act, s výnimkou hlásenia porušení základných práv. Dvojitým hláseniam sa tak dá vyhnúť, ak sú pracovné postupy navzájom zladené.

Pre agentúry a B2B

Pre marketingové agentúry a B2B poskytovateľov, ktorí predávajú AI riešenia bankám alebo poisťovniam, je záver jednoznačný: bez kánonu klauzúl podľa čl. 30 výber dodávateľa pravidelne stroskotáva vo finálnom kole. Kto od začiatku zahrnie do štandardnej zmluvy audítorské práva, klauzuly o ukončení a o subdodávkach, záväzky k lokalitám dát a spoľahlivý reťazec hlásenia incidentov, skráti obstarávanie a až vďaka tomu sa vôbec kvalifikuje pre regulovaných objednávateľov. Osobám s rozhodovacou právomocou na strane inštitúcie sa odporúča ako prvý krok štandardizovať klasifikáciu kritickosti a podľa nej prispôsobiť zmluvné klauzuly. Blck Alpaca sprevádza obsahové a komunikačné spracovanie takýchto tém z oblasti compliance a technickú integráciu AI agentov; právne posúdenie konkrétnych zmlúv zostáva úlohou advokáta.