Прилага се
DORA: Правилата за цифрова оперативна устойчивост се прилагат
ИКТ риск, регистър на третите страни, докладване на инциденти и тестване.
Финансови услуги
AI и платформи, готови за надзорна проверка.
Какво изграждаме за банки, застрахователи, пенсионноосигурителни дружества и платежни институции: изкуствен интелект, който може да се обясни пред надзорния орган, интеграция, която пази ядрото, и операции, проектирани според DORA още от първото архитектурно решение.
За финансови институции под надзора на БНБ и КФН и на европейските надзорни органи ЕБО, ЕОЗППО, ЕОЦКП и AMLA.
17 януари 2025 г.
DORA се прилага
Управление на ИКТ риска, регистри на договореностите с трети страни, докладване на инциденти и тестване на устойчивостта за финансовите субекти.
10 юли 2027 г.
Регламентът на ЕС срещу изпирането на пари се прилага
Единни правила за комплексната проверка на клиентите в целия ЕС и новият орган AMLA.
2 декември 2027 г.
Задължения по Акта за AI за кредити и застраховане
Оценката на кредитоспособността и ценообразуването при животозастраховане и здравно застраховане са високорискови приложения; датата е след измененията от 2026 г.
Какво се променя във финансовите услуги
Устойчивостта вече е законово задължение
DORA превръща оперативната устойчивост в конкретни задължения: управление на ИКТ риска, регистър на всички договорености с трети страни доставчици на ИКТ услуги, класифицирано докладване на инциденти и редовно тестване. В България за спазването им следят БНБ и КФН, а облачните и AI доставчиците вече са част от надзорната картина.
ИзточникРегламент (ЕС) 2022/2554
Решенията с AI изискват одитна следа
Кредитният скоринг и ценообразуването в застраховането стават високорискови приложения по Акта за изкуствения интелект. Управлението на моделния риск трябва да обхваща моделите за машинно обучение и генеративните модели, с документация, наблюдение и човешки контрол, съразмерни на въздействието.
ИзточникРегламент (ЕС) 2024/1689
Клиентите сравняват банката с най-доброто си приложение
Незабавните плащания, проверката на получателя и отвореното банкиране вдигнаха очакванията за скорост и прозрачност. Следващите правила за платежните услуги ще затегнат още предотвратяването на измами и изискванията към качеството на API.
Основните системи пазят логиката на десетилетия
Мейнфреймите и основните платформи все още водят счетоводството. Промяната трябва да се случва около тях, чрез API и събития, без да застрашава стабилността или регулаторната отчетност. Преминаването към еврото от 1 януари 2026 г. също мина през тях.
Предизвикателства и какво изграждаме
- Предизвикателството
Приемането на клиенти и периодичните прегледи зависят от анализатори, които четат документите ръчно.
Нашият отговорОбработката на документи извлича и проверява доказателствата за самоличност, собственост и произход на средствата. Анализаторите преглеждат отбелязаните случаи, а всяка проверка се записва за одита и за бъдещите единни правила срещу изпирането на пари.
- Предизвикателството
Консултантите и екипите по обслужване търсят в пет системи, за да отговорят на един въпрос.
Нашият отговорАсистент, който спазва правата на достъп, отговаря за продукти, политики и процедури, посочва източниците си и записва какво е показал, така че досието на консултацията остава пълно.
- Предизвикателството
Всяка промяна в основната система е бавна, скъпа и рискова.
Нашият отговорИзнасяме възможностите на ядрото чрез API и потоци от събития, изваждаме функциите стъпка по стъпка и поддържаме съгласуването, докато старият път може да бъде изключен.
- Предизвикателството
Регистърът по DORA и процесът за инциденти са в електронни таблици.
Нашият отговорВграждаме регистъра на информацията, класификацията на инцидентите и процесите за докладване в инструментите Ви за управление на услугите и в облачните инструменти, свързани с критичните функции, които поддържат.
- Предизвикателството
Модели, които не могат да се обяснят, не минават валидиране.
Нашият отговорРамка за оценка, съгласувана с екипите по риска и валидирането: тестови набори, обяснимост там, където решението я изисква, наблюдение за отклонения и документирана възможност човек да промени резултата.
- Предизвикателството
Регулаторните отчети се съгласуват ръчно всяко тримесечие.
Нашият отговорПотоци от данни с документиран произход и автоматични проверки на качеството, по принципите на BCBS 239, така че всяка цифра може да се проследи до източника.
Примерна архитектура с контрол на първо място
Къде стои изкуственият интелект между каналите и основните системи, с одобрение преди всяка стъпка с последици и с контролите по DORA, които обхващат всеки слой.
Илюстративен пример
AI услугите се свързват с основните системи само през интеграционния слой. Контролите по DORA важат за всеки компонент.
Прочетете диаграмата като текст
Клиентите, консултантите и екипите по обслужване използват каналите приложение, уеб, клон и контактен център.
Зад каналите стоят три AI услуги: приемане на документи за клиенти и KYC, асистент за консултанти и обслужване и стъпка за одобрение от анализатор, през която минава всяко решение с последици.
AI услугите достигат до основните системи само през интеграционен слой от API и потоци от събития. Основните системи са основната банкова система или системата за администриране на полици, CRM и платформата за обслужване и платформа за данни с документиран произход.
Покрай всички слоеве работят контролите по DORA: управление на ИКТ риска, регистър на третите страни доставчици на ИКТ услуги, класификация и докладване на инциденти и тестване на устойчивостта. Всеки модел се регистрира, валидира и наблюдава в рамките на управлението на моделния риск.
Одобрение преди последиците
Изкуственият интелект подготвя, извлича и предлага. Решенията за кредити, претенции или ограничения на сметки остават при конкретен служител.
Обяснимост по замисъл
Нивото на обяснение се определя за всеки вид решение при проектирането, а не се добавя преди валидирането.
Риск от излизане и концентрация
Облачните доставчици и доставчиците на модели се избират с планове за излизане и документирани алтернативи за регистъра.
Журналите като доказателство
Входните данни, резултатите, версиите на моделите и одобренията се пазят, така че надзорните органи и одиторите да могат да възстановят всеки случай.
Регулаторните срокове за финансовите институции
Датите, които променят какво трябва да покаже партньорът по изпълнението. БНБ, КФН и европейските надзорни органи добавят насоки и технически стандарти върху тях.
Прилага се
Акт за изкуствения интелект: Забрани за определени практики и задължение за грамотност в областта на AI
Прилага се
Орган AMLA: Органът на ЕС за борба с изпирането на пари започва работа
Подготовка на единните правила и на прекия надзор върху избрани институции.
Прилага се
Регламент за незабавните плащания: Проверка на получателя при преводи в евро
Доставчиците на платежни услуги в еврозоната проверяват името на получателя, преди преводът да бъде изпълнен.
Прилага се
Акт за изкуствения интелект: Задълженията за прозрачност се прилагат
Клиентите трябва да бъдат информирани, когато общуват с AI система.
Състояние към 2 октомври 2026 г.
Предстои
Регламент за борба с изпирането на пари: Единните правила на ЕС се прилагат
Комплексната проверка на клиентите, действителните собственици и съхранението на документи се уреждат еднакво.
Предстои
Акт за изкуствения интелект: Задълженията за високорисковите системи се прилагат
Включително оценката на кредитоспособността и ценообразуването при животозастраховане и здравно застраховане, след измененията от 2026 г.
Предстои
Орган AMLA: Започва прекият надзор върху избрани институции
Регулация и стандарти
Актовете, които най-често определят работата с AI и платформи във финансовите институции, и какво означава всеки от тях за програмата.
Този обзор служи за подготовка на разговори. Той не е правен или регулаторен съвет. Европейските дати са проверени на 2 октомври 2026 г., българските на 6 ноември 2026 г.
- DORAОбхватВ целия ЕС
Регламент (ЕС) 2022/2554 относно оперативната устойчивост на цифровите технологии във финансовия сектор (DORA) се прилага от 17 януари 2025 г. за банки, застрахователи, инвестиционни посредници, платежни институции и други финансови субекти. Той урежда управлението на ИКТ риска, докладването на инциденти, тестването на устойчивостта и управлението на риска от трети страни доставчици на ИКТ услуги, включително основните договорни клаузи (член 30). В България компетентни органи са БНБ за банките и платежните институции и КФН за застрахователите, инвестиционните посредници и пенсионноосигурителните дружества.
Какво означава за програмата ВиКато доставчик на ИКТ услуги Ви помагаме да изпълните задълженията си: договорни условия, уведомяване за инциденти, планове за излизане, участие в тестовете и информацията, от която се нуждае регистърът Ви.
ИзточникРегламент (ЕС) 2022/2554, EUR-Lex (отваря външен сайт)
- Актът за изкуствения интелектОбхватВ целия ЕС
Изкуственият интелект, използван за оценка на кредитоспособността на физически лица или за определяне на цените според риска при животозастраховане и здравно застраховане, е високорисков. Доставчиците и внедрителите трябва да имат управление на риска, управление на данните, журнали, човешки контрол и документация. След измененията от 2026 г. тези задължения се прилагат от 2 декември 2027 г.
Какво означава за програмата ВиКласифицираме всеки случай на употреба рано, вграждаме човешкия контрол в процеса и изготвяме документация, която пасва на рамката Ви за моделен риск.
ИзточникРегламент (ЕС) 2024/1689, EUR-Lex (отваря външен сайт)
- Пакетът на ЕС срещу изпирането на пари (AMLR и AMLA)ОбхватВ целия ЕС
Регламентът за борба с изпирането на пари заменя от 10 юли 2027 г. националните правила за комплексна проверка на клиентите с единни правила за целия ЕС. Новият орган AMLA координира националните надзорни органи и ще упражнява пряк надзор върху избрани високорискови институции.
Какво означава за програмата ВиПроцесите по приемане и преглед на клиенти изискват последователна работа с доказателствата и одитни следи. Проектираме приемането на документи и работните процеси по преписките според този стандарт.
ИзточникРегламент (ЕС) 2024/1624, EUR-Lex (отваря външен сайт)
- GDPR и автоматизираните решенияОбхватВ целия ЕС
Член 22 от Общия регламент относно защитата на данните (GDPR) дава право на хората да не бъдат обект на решения, основани единствено на автоматизирано обработване, които ги засягат съществено. Изключенията изискват гаранции като човешка намеса и право на оспорване.
Какво означава за програмата ВиПроектираме процеси, в които човек може да прегледа, обясни и промени автоматизирания резултат, и записваме, че го е направил.
ИзточникРегламент (ЕС) 2016/679, EUR-Lex (отваря външен сайт)
- Досиета на консултациите по MiFID II и IDDОбхватВ целия ЕС
Правилата за инвестиционните услуги и за разпространението на застрахователни продукти изискват оценка на уместността или на изискванията и потребностите на клиента и записи за дадения съвет. Изкуственият интелект, който помага на консултантите, става част от този запис.
Какво означава за програмата ВиАсистентите записват какво са показали и кои източници са използвали, така че досието на консултацията остава пълно и може да бъде проверено.
- PSD2 и следващите правила за платежните услугиОбхватВ целия ЕС
PSD2 урежда днес платежните услуги и достъпа при отвореното банкиране. Наследниците ѝ, PSD3 и Регламентът за платежните услуги, бяха договорени предварително през 2025 г. и след преходен период ще засилят изискванията за предотвратяване на измами и за работата на API.
Какво означава за програмата ВиAPI платформите, изграждани сега, трябва да предвиждат по-строги задължения за производителност, наблюдение и споделяне на данни за измами.
ИзточникДиректива (ЕС) 2015/2366, EUR-Lex (отваря външен сайт)
Илюстративни примери
Илюстративен примерПроверка на документи при приемане на клиенти
Документите за самоличност и собственост се извличат и сравняват; анализатор решава по всеки отбелязан случай.
Асистент за знания за консултанти
Отговори за продукти, политики и процедури с източници, в рамките на правата на достъп на консултанта.
Приемане и насочване на жалби
Жалбите се класифицират по тема и спешност, насочват се с проект на резюме, а сроковете по правилата за разглеждане на жалби се следят.
Приемане на застрахователни претенции
Формулярите за претенции, фактурите и протоколите се четат и свързват с полицата; ликвидаторите одобряват плащането.
Функциите на ядрото зад API
Транзакциите на мейнфрейма се изнасят като документирани API и събития, така че новите канали спират да зависят от пакетни файлове.
Платформи във финансовите услуги
Salesforce
Summit PartnerРаботни места за консултанти, процеси за приемане на клиенти и обслужване, свързани с основните системи и с приемането на документи.
SAP
Gold PartnerФинанси и групова отчетност, като данните от SAP са достъпни за отчитането на риска и регулаторното отчитане с документиран произход.
Партньорските нива са тези на FromNine. Имената на продуктите са търговски марки на съответните им притежатели.
България
Създадено за българския и европейския надзор
В България финансовите институции отговарят пред БНБ, ако са банки или платежни институции, и пред КФН, ако са застрахователи, инвестиционни посредници или пенсионноосигурителни дружества, а заедно с тях и пред европейските надзорни органи. От 2028 г. някои институции в ЕС ще бъдат под пряк надзор на AMLA. DORA, Актът за изкуствения интелект и пакетът срещу изпирането на пари важат в целия ЕС, но надзорните очаквания, форматите за отчитане и практиката по възлагане на дейности на външни изпълнители се различават.
От 1 януари 2026 г. България е в еврозоната, а системите, договорите и отчетите работят в евро. Измененият Закон за киберсигурност, в сила от 17 февруари 2026 г., въвежда NIS2 и за банковия сектор, а Законът за изискванията за достъпност на продукти и услуги обхваща банковите услуги за потребители.
Проектираме изпълнението така, че доказателствата да се създават веднъж и да могат да се покажат на всеки от тези органи: документация за архитектурата и моделите, журнали, резултати от тестове и планове за излизане, поддържани актуални, докато системата се променя.
- DORAРегламент (ЕС) 2022/2554 относно оперативната устойчивост на цифровите технологии във финансовия сектор (DORA) (отваря външен сайт)
- Акт за изкуствения интелектРегламент (ЕС) 2024/1689 за установяване на хармонизирани правила относно изкуствения интелект (Акт за изкуствения интелект) (отваря външен сайт)
- Регламент за борба с изпирането на пари (AMLR)Регламент (ЕС) 2024/1624 за предотвратяване на използването на финансовата система за целите на изпирането на пари или финансирането на тероризма (единна нормативна уредба), с ОБИП (AMLA) (отваря външен сайт)
- ОРЗДОбщ регламент относно защитата на данните (ОРЗД), Регламент (ЕС) 2016/679 (отваря външен сайт)
- Закон за киберсигурност (NIS2)Закон за киберсигурност, изменен и допълнен през февруари 2026 г. за въвеждане на Директивата NIS2, със секторни национални компетентни органи и Национално единно звено за контакт към Министерството на иновациите и дигиталната трансформация (отваря външен сайт)
- Закон за изискванията за достъпност на продукти и услугиЗакон за изискванията за достъпност на продукти и услуги, с който се въвежда Европейският акт за достъпност; надзор на пазара на продуктите от Държавната агенция за метрологичен и технически надзор и контрол на услугите от секторните органи (отваря външен сайт)
Често задавани въпроси
Как ни помагате със задълженията по DORA като доставчик?
Договаряме клаузите, които DORA изисква, уведомяваме за инциденти по уговорения канал, документираме планове за излизане, участваме в тестовете за устойчивост и предоставяме информацията, от която се нуждае регистърът Ви на третите страни доставчици на ИКТ услуги, включително при проверка от БНБ или КФН.
Може ли изкуственият интелект да се използва при решения за кредити или застраховане?
Може, като високорисково приложение по Акта за изкуствения интелект, с управление на риска, управление на данните, журнали, човешки контрол и документация. Проектираме така, че решението да взема човек, който може да го обясни, и да се спазват гаранциите на GDPR за автоматизираните решения.
Къде работят моделите и данните?
В средата, която позволява рисковият Ви апетит: във Вашия собствен облачен акаунт, в регион на публичен облак в ЕС или локално за чувствителните натоварвания. Изборът на модели и хостинг се документира с варианти за излизане за регистъра Ви на третите страни.
Трябва ли да заменим основната си платформа?
Не. По подразбиране интегрираме и модернизираме на стъпки: първо API и събития около ядрото, а функции изваждаме само там, където това се изплаща, със съгласуване, докато старият път бъде изключен.
Как оценявате генеративния изкуствен интелект в регулирани процеси?
С тестови набори и критерии за качество, съгласувани с екипите Ви по риска и валидирането преди пускането, с наблюдение след пускането и с прегледи на несигурните резултати. Процесът приема, че част от резултатите ще бъдат грешни, и ги насочва към хора.
Обсъдете програмата си във финансовите услуги
Планирате AI при приемането на клиенти, консултациите или претенциите или подготвяте системите си за тестовете по DORA? Говорете с инженери, които проектират както за потребителите, така и за надзорните органи.