En aplicació
Reglament DORA: S’apliquen les normes de resiliència operativa digital
Risc TIC, registre de tercers, notificació d’incidents i proves.
Serveis financers
IA i plataformes preparades per a la revisió supervisora.
Què construïm per a bancs, asseguradores, mútues, gestores d’actius i entitats de pagament: IA que es pot explicar a un supervisor, integració que respecta el nucli i operacions dissenyades a partir del Reglament DORA des de la primera decisió d’arquitectura.
Per a entitats financeres que, en matèria de DORA, responen davant el Banc d’Espanya, la CNMV o la DGSFP segons el tipus d’entitat, i davant les autoritats europees de supervisió.
17 de gener del 2025
S’aplica el Reglament DORA
Gestió del risc TIC, registres de proveïdors tercers, notificació d’incidents i proves de resiliència per a les entitats financeres.
10 de juliol del 2027
S’aplica el Reglament europeu contra el blanqueig
Un sol conjunt de normes de diligència deguda amb la clientela per a tota la UE, amb la nova autoritat AMLA.
2 de desembre del 2027
Obligacions d’alt risc del RIA per a crèdit i assegurances
L’avaluació de la solvència i la fixació de preus en assegurances de vida i de salut són usos d’alt risc; data d’aplicació segons la modificació del 2026.
Què canvia en els serveis financers
La resiliència ja és una obligació legal
El Reglament DORA converteix la resiliència operativa en obligacions concretes: gestió del risc TIC, un registre de tots els acords amb proveïdors tercers de serveis TIC, notificació classificada d’incidents i proves periòdiques. Els proveïdors de núvol i d’IA ja formen part del perímetre supervisor.
Les decisions de la IA necessiten traçabilitat
La puntuació de crèdit i la fixació de preus d’assegurances passen a ser usos d’alt risc segons el RIA. La gestió del risc de models ha d’abastar els models d’aprenentatge automàtic i els generatius, amb documentació, seguiment i supervisió humana proporcionals a l’impacte.
La clientela us compara amb la seva millor aplicació
Els pagaments immediats, la verificació del beneficiari i la banca oberta han elevat les expectatives de rapidesa i de transparència. Les pròximes normes de serveis de pagament reforçaran encara més la prevenció del frau i la qualitat de les API.
Els sistemes nucli guarden dècades de lògica
Els mainframes i les plataformes nucli encara porten la comptabilitat. El canvi s’ha de fer al seu voltant, amb API i esdeveniments, sense posar en risc l’estabilitat ni la informació reguladora.
Reptes i què construïm
- El repte
L’alta de clients i les revisions periòdiques depenen d’analistes que llegeixen documents a mà.
La nostra respostaEl processament de documents extreu i comprova les proves d’identitat, de titularitat real i d’origen dels fons. Els analistes revisen els casos marcats, i cada comprovació queda registrada per a l’auditoria i el nou marc europeu contra el blanqueig.
- El repte
Els assessors i els equips d’atenció consulten cinc sistemes per respondre una sola pregunta.
La nostra respostaUn assistent que respecta els permisos, basat en productes, polítiques i procediments, que cita les fonts i registra què ha mostrat, perquè els expedients d’assessorament quedin complets.
- El repte
Cada canvi al nucli és lent, car i arriscat.
La nostra respostaExposem les capacitats del nucli amb API i fluxos d’esdeveniments, en traiem funcions pas a pas i mantenim la conciliació fins que es pot retirar el camí antic.
- El repte
El registre DORA i el flux d’incidents viuen en fulls de càlcul.
La nostra respostaIntegrem el registre d’informació, la classificació d’incidents i els fluxos de notificació a les vostres eines de gestió de serveis i de núvol, vinculats a les funcions crítiques a què donen suport.
- El repte
Els models que no es poden explicar no superen la validació.
La nostra respostaUn marc d’avaluació acordat amb els equips de riscos i de validació: conjunts de proves, explicabilitat quan la decisió ho requereix, seguiment de la deriva i una intervenció humana documentada.
- El repte
Els informes reguladors es concilien a mà cada trimestre.
La nostra respostaFluxos de dades amb traçabilitat documentada i controls de qualitat automàtics, d’acord amb els principis BCBS 239, perquè cada xifra es pugui seguir fins a l’origen.
Una arquitectura de referència amb el control primer
On se situa la IA entre els canals i els sistemes nucli, amb una aprovació obligatòria en els passos que tenen conseqüències i els controls del Reglament DORA en totes les capes.
Exemple il·lustratiu
Els serveis d’IA es connecten als sistemes nucli només a través de la capa d’integració. Els controls del Reglament DORA s’apliquen a tots els components.
Llegiu el diagrama en format de text
La clientela, els assessors i els equips d’atenció fan servir els canals d’aplicació, web, oficina i centre de contacte.
Darrere dels canals hi ha tres serveis d’IA: l’entrada de documents d’alta i de coneixement del client (KYC), un assistent per a assessors i atenció, i un pas d’aprovació per part d’analistes pel qual passa cada decisió amb conseqüències.
Els serveis d’IA arriben als sistemes nucli només a través d’una capa d’integració d’API i fluxos d’esdeveniments. Els sistemes nucli són la banca nucli o l’administració de pòlisses, el CRM i la plataforma d’atenció, i una plataforma de dades amb traçabilitat documentada.
En paral·lel a totes les capes funcionen els controls del Reglament DORA: gestió del risc TIC, registre de tercers proveïdors de serveis TIC, classificació i notificació d’incidents i proves de resiliència. Cada model es registra, es valida i se’n fa el seguiment dins de la gestió del risc de models.
Aprovació abans de la conseqüència
La IA redacta, extreu i proposa. Les decisions sobre crèdits, sinistres o restriccions de comptes les pren una persona identificada.
Explicable des del disseny
El nivell d’explicació es decideix per a cada tipus de decisió durant el disseny, no s’afegeix just abans de la validació.
Risc de sortida i de concentració
Els proveïdors de núvol i de models es trien amb plans de sortida i vies de substitució documentats per al registre.
Els registres com a prova
Les entrades, les sortides, les versions dels models i les aprovacions es conserven perquè supervisors i auditors puguin reconstruir qualsevol cas.
El calendari normatiu de les entitats financeres
Dates que canvien el que ha de demostrar un proveïdor de lliurament. Els supervisors nacionals i les autoritats europees de supervisió hi afegeixen orientacions i normes tècniques.
En aplicació
RIA: Pràctiques prohibides i alfabetització en IA obligatòria
En aplicació
AMLA: L’autoritat europea contra el blanqueig comença a funcionar
Prepara el conjunt únic de normes i la supervisió directa d’algunes entitats.
En aplicació
Reglament de transferències immediates: Verificació del beneficiari obligatòria en les transferències en euros
Els proveïdors de serveis de pagament de la zona euro comproven el nom del beneficiari abans d’executar una transferència.
En aplicació
RIA: S’apliquen les obligacions de transparència
Cal informar la clientela quan tracta amb un sistema d’IA.
Situació a 2 d’octubre del 2026
Pròximament
Reglament contra el blanqueig: S’aplica el conjunt únic de normes de la UE
Diligència deguda amb la clientela, titularitat real i conservació de documents harmonitzades.
Pròximament
RIA: S’apliquen les obligacions d’alt risc
Incloses l’avaluació de la solvència i la fixació de preus en assegurances de vida i de salut, segons la modificació del 2026.
Pròximament
AMLA: Comença la supervisió directa d’algunes entitats
Referència de normativa i estàndards
Els instruments que més sovint condicionen la feina d’IA i de plataformes a les entitats financeres, i què implica cadascun per a un programa de lliurament.
Aquesta visió general serveix per planificar converses. No és assessorament jurídic ni regulador. Dates revisades el 2 d’octubre del 2026; autoritats espanyoles revisades el 6 de novembre del 2026.
- Reglament DORAÀmbitA tota la UE
El Reglament de resiliència operativa digital s’aplica des del 17 de gener del 2025 a bancs, asseguradores, empreses de serveis d’inversió, entitats de pagament i altres entitats financeres. Abasta la gestió del risc TIC, la notificació d’incidents, les proves de resiliència i la gestió del risc de tercers proveïdors de serveis TIC, incloses les clàusules contractuals clau (article 30). A Espanya, l’autoritat competent depèn del tipus d’entitat: el Banc d’Espanya, la CNMV o la DGSFP.
Què implica per al vostre programaCom a proveïdor de serveis TIC, donem suport a les vostres obligacions: clàusules contractuals, notificació d’incidents, plans de sortida, participació en les proves i la informació que necessita el vostre registre.
FontReglament (UE) 2022/2554, EUR-Lex (obre un lloc web extern)
- Reglament d’intel·ligència artificial (RIA)ÀmbitA tota la UE
La IA que s’utilitza per avaluar la solvència de persones físiques o per fixar preus en funció del risc en assegurances de vida i de salut és d’alt risc. Els proveïdors i els responsables del desplegament necessiten gestió del risc, governança de dades, registre d’activitat, supervisió humana i documentació. Amb la modificació del 2026, aquestes obligacions s’apliquen a partir del 2 de desembre del 2027.
Què implica per al vostre programaClassifiquem cada cas d’ús des del principi, incorporem la supervisió humana al procés i elaborem documentació que encaixa amb el vostre marc de risc de models.
FontReglament (UE) 2024/1689, EUR-Lex (obre un lloc web extern)
- Paquet europeu contra el blanqueig (AMLR i AMLA)ÀmbitA tota la UE
El Reglament contra el blanqueig de capitals substitueix les normes nacionals de diligència deguda amb la clientela per un sol conjunt de normes de la UE a partir del 10 de juliol del 2027. La nova autoritat AMLA coordina els supervisors nacionals i supervisarà directament algunes entitats d’alt risc.
Què implica per al vostre programaEls processos d’alta i de revisió necessiten un tractament coherent de les proves i traçabilitat. Dissenyem l’entrada de documents i els fluxos d’expedients per a aquest estàndard.
FontReglament (UE) 2024/1624, EUR-Lex (obre un lloc web extern)
- RGPD i decisions automatitzadesÀmbitA tota la UE
L’article 22 reconeix el dret a no ser objecte de decisions basades únicament en un tractament automatitzat que afectin significativament la persona, amb excepcions que exigeixen garanties com la intervenció humana i el dret a impugnar la decisió. A Espanya, la Llei orgànica 3/2018 (LOPDGDD) adapta i completa l’RGPD.
Què implica per al vostre programaDissenyem processos en què una persona pot revisar, explicar i canviar un resultat automatitzat, i en queda constància.
FontReglament (UE) 2016/679, EUR-Lex (obre un lloc web extern)
- MiFID II, IDD i registres d’assessoramentÀmbitA tota la UE
Les normes d’inversió i de distribució d’assegurances exigeixen avaluacions d’idoneïtat o d’exigències i necessitats i registres de l’assessorament donat. La IA que dona suport als assessors passa a formar part d’aquest registre.
Què implica per al vostre programaEls assistents registren què han mostrat i quines fonts han fet servir, perquè l’expedient d’assessorament es mantingui complet i revisable.
- PSD2 i les pròximes normes de serveis de pagamentÀmbitA tota la UE
La PSD2 regula avui els serveis de pagament i l’accés de la banca oberta. Les normes que la succeiran, la PSD3 i el Reglament de serveis de pagament, es van acordar provisionalment el 2025 i reforçaran la prevenció del frau i els requisits de rendiment de les API després d’un període transitori.
Què implica per al vostre programaLes plataformes d’API que es construeixen ara han d’anticipar obligacions més estrictes de rendiment, de seguiment i d’intercanvi de dades sobre frau.
FontDirectiva (UE) 2015/2366, EUR-Lex (obre un lloc web extern)
Casos d’ús il·lustratius
Exemple il·lustratiuComprovació de documents en l’alta de clients
Els documents d’identitat i de titularitat real s’extreuen i es contrasten; els analistes decideixen cada cas marcat.
Assistent de coneixement per a assessors
Respostes sobre productes, polítiques i procediments, amb les fonts, dins dels permisos d’accés de cada assessor.
Entrada i encaminament de reclamacions
Les reclamacions es classifiquen per tema i urgència, s’encaminen amb un resum provisional i se’n controlen els terminis que fixen les normes de gestió de reclamacions.
Entrada de sinistres en una asseguradora
Els formularis de declaració, les factures i els informes es llegeixen i es vinculen a la pòlissa; les persones tramitadores aproven el pagament.
Funcions del nucli darrere d’API
Les transaccions del mainframe s’exposen com a API i esdeveniments documentats, perquè els canals nous deixin de dependre de fitxers per lots.
Plataformes en els serveis financers
Salesforce
Summit PartnerEspais de treball per a assessors, recorreguts d’alta i operacions d’atenció, connectats als sistemes nucli i a l’entrada de documents.
SAP
Gold PartnerFinances i consolidació de grup, amb les dades de SAP disponibles per a la informació de riscos i reguladora amb una traçabilitat documentada.
Els nivells de partner són els que té FromNine. Els noms de productes són marques dels seus titulars respectius.
Espanya
Autoritats estatals segons el tipus d’entitat
El Reglament DORA s’aplica des del 17 de gener del 2025. A Espanya, les autoritats competents depenen del tipus d’entitat: el Banc d’Espanya per a les entitats de crèdit, de pagament i de diner electrònic; la Comissió Nacional del Mercat de Valors (CNMV) per a les empreses de serveis d’inversió, les gestores d’institucions d’inversió col·lectiva i els mercats regulats; i la Direcció General d’Assegurances i Fons de Pensions (DGSFP) per a les asseguradores, les reasseguradores i els fons de pensions. El Banc d’Espanya i la CNMV tenen procediments propis per notificar els incidents greus.
El RIA i el paquet contra el blanqueig són comuns a tota la UE, i a partir del 2028 l’AMLA supervisarà directament algunes entitats. Dissenyem el lliurament perquè l’evidència es generi una sola vegada i es pugui mostrar a qualsevol d’aquestes autoritats: documentació d’arquitectura i de models, registres, resultats de proves i plans de sortida, al dia a mesura que el sistema canvia.
- DORAReglament (UE) 2022/2554 sobre la resiliència operativa digital del sector financer (DORA) (obre un lloc web extern)
- Reglament d’intel·ligència artificialReglament (UE) 2024/1689 d’intel·ligència artificial (obre un lloc web extern)
- Reglament contra el blanqueig de capitalsReglament (UE) 2024/1624 relatiu a la prevenció del blanqueig de capitals i del finançament del terrorisme, amb l’AMLA (obre un lloc web extern)
- RGPDReglament general de protecció de dades (RGPD), Reglament (UE) 2016/679 (obre un lloc web extern)
Preguntes freqüents
Com doneu suport, com a proveïdor, a les nostres obligacions DORA?
Acordem les clàusules contractuals que exigeix el Reglament DORA, notifiquem els incidents pel canal acordat, documentem els plans de sortida, participem en les proves de resiliència i aportem la informació que necessita el vostre registre de tercers proveïdors de serveis TIC. Ho adaptem als procediments de la vostra autoritat competent: el Banc d’Espanya, la CNMV o la DGSFP, segons el tipus d’entitat.
Es pot fer servir la IA en decisions de crèdit o de subscripció?
Sí, com a ús d’alt risc segons el RIA, amb gestió del risc, governança de dades, registre d’activitat, supervisió humana i documentació. Dissenyem perquè una persona prengui la decisió i la pugui explicar, i respectem les garanties de l’RGPD sobre decisions automatitzades.
On funcionen els models i les dades?
En l’entorn que permeti la vostra tolerància al risc: el vostre propi espai al núvol, una regió de la UE d’un núvol públic o les vostres instal·lacions per a les càrregues sensibles. Les opcions de models i d’allotjament es documenten amb alternatives de sortida per al vostre registre de tercers.
Hem de substituir la nostra plataforma nucli?
No. Per defecte integrem i modernitzem per passos: primer API i esdeveniments al voltant del nucli, i només traiem funcions on surt a compte, amb conciliació fins que es retira el camí antic.
Com avalueu la IA generativa en processos regulats?
Amb conjunts de proves i criteris de qualitat acordats amb els vostres equips de riscos i de validació abans de posar-la en producció, seguiment després i passos de revisió per als resultats dubtosos. El procés parteix que alguns resultats seran incorrectes i els adreça a persones.
Parlem del vostre programa de serveis financers
Planifiqueu IA en l’alta de clients, l’assessorament o els sinistres, o prepareu els vostres sistemes per a les proves DORA? Parleu amb enginyers que dissenyen pensant en els supervisors i en les persones usuàries.