Gælder
DORA: Regler om digital operationel modstandsdygtighed gælder
IKT-risici, register over oplysninger, hændelsesrapportering og test.
Finansiel sektor
AI og platforme, der kan tåle tilsynets blik.
Det bygger vi til banker, realkreditinstitutter, pensions- og forsikringsselskaber, kapitalforvaltere og betalingsinstitutter: AI, der kan forklares over for et tilsyn, integration, der respekterer kernesystemerne, og drift designet efter DORA fra den første arkitekturbeslutning.
For finansielle virksomheder under dansk og europæisk tilsyn, fra Finanstilsynet til de europæiske tilsynsmyndigheder EBA, EIOPA og ESMA og den nye hvidvaskmyndighed AMLA.
17. januar 2025
DORA gælder
Styring af IKT-risici, registre over oplysninger, hændelsesrapportering og test af modstandsdygtighed for finansielle enheder.
10. juli 2027
EU’s hvidvaskforordning gælder
Ét regelsæt for kundekendskab i hele EU, med den nye myndighed AMLA.
2. december 2027
AI-forordningens højrisikokrav til kredit og forsikring
Kreditværdighedsvurdering og prisfastsættelse af liv- og sundhedsforsikring er opført som højrisiko; anvendelsesdato som ændret i 2026.
Det ændrer sig i den finansielle sektor
Modstandsdygtighed er nu et lovkrav
DORA gør operationel modstandsdygtighed til konkrete forpligtelser: styring af IKT-risici, et register over alle aftaler med tredjepartsudbydere af IKT-tjenester, klassificeret hændelsesrapportering og regelmæssig test. Cloud- og AI-leverandører er nu en del af det, tilsynet ser på.
AI-afgørelser kræver sporbarhed
Kreditvurdering og prisfastsættelse af forsikringer bliver højrisikoanvendelser under AI-forordningen. Styringen af modelrisiko skal dække maskinlæring og generative modeller, med dokumentation, overvågning og menneskeligt tilsyn i forhold til konsekvensen.
Kunderne sammenligner med deres bedste app
Straksbetalinger, verifikation af betalingsmodtageren og open banking har hævet forventningerne til hastighed og gennemsigtighed. De kommende regler for betalingstjenester skærper kravene til svindelforebyggelse og API-kvalitet yderligere.
Kernesystemer rummer årtiers logik
Mainframes og kerneplatforme fører stadig bøgerne. Forandringer skal ske rundt om dem, via API’er og hændelser, uden at sætte stabilitet eller tilsynsrapportering på spil.
Udfordringer og det, vi bygger
- Udfordringen
Kundeoptag og løbende kundekontrol afhænger af analytikere, der læser dokumenter manuelt.
Vores svarDokumentbehandling udtrækker og kontrollerer dokumentation for identitet, ejerforhold og midlernes oprindelse. Analytikere gennemgår de markerede sager, og hvert tjek logges til revision og til EU’s kommende hvidvaskregler.
- Udfordringen
Rådgivere og serviceteams søger i fem systemer for at besvare ét spørgsmål.
Vores svarEn assistent med adgangsrettigheder over produkter, politikker og procedurer, der henviser til sine kilder og registrerer, hvad der blev vist, så dokumentationen af rådgivningen forbliver komplet.
- Udfordringen
Hver ændring i kernesystemet er langsom, dyr og risikabel.
Vores svarVi gør kernefunktioner tilgængelige via API’er og hændelsesstrømme, flytter funktioner ud trinvis og holder afstemningen kørende, til den gamle vej kan lukkes.
- Udfordringen
DORA-registret og forløbet for hændelser ligger i regneark.
Vores svarVi bygger registret over oplysninger, klassificering af hændelser og rapporteringsforløb ind i jeres servicestyring og cloudværktøjer, koblet til de kritiske funktioner, de understøtter.
- Udfordringen
Modeller, der ikke kan forklares, kommer ikke igennem validering.
Vores svarEn evalueringsramme aftalt med risiko- og valideringsteams: testsæt, forklarbarhed, hvor afgørelsen kræver det, overvågning af ændringer i data og modelkvalitet og en dokumenteret mulighed for, at et menneske tilsidesætter resultatet.
- Udfordringen
Tilsynsrapporter afstemmes manuelt hvert kvartal.
Vores svarDatapipelines med dokumenteret dataafstamning og automatiske kvalitetstjek efter BCBS 239-principperne, så tallene kan spores tilbage til kilden.
Et referencelandskab med kontrol først
Her ligger AI mellem kanaler og kernesystemer, med en godkendelse før væsentlige skridt og DORA-kontrollerne kørende ved siden af hvert lag.
Eksempel
AI-tjenester kobles kun til kernesystemer via integrationslaget. DORA-kontrollerne gælder for hver komponent.
Læs diagrammet som tekst
Kunder, rådgivere og serviceteams bruger app, web, filial og kontaktcenter.
Bag kanalerne ligger tre AI-tjenester: modtagelse af dokumenter til kundeoptag og KYC, en assistent til rådgivning og service og et godkendelsestrin hos en analytiker, som alle væsentlige afgørelser passerer.
AI-tjenesterne når kun kernesystemerne via et integrationslag af API’er og hændelsesstrømme. Kernesystemerne er kernebank eller policeadministration, CRM og serviceplatform og en dataplatform med dokumenteret dataafstamning.
Ved siden af alle lag kører DORA-kontrollerne: styring af IKT-risici, registret over oplysninger, klassificering og rapportering af hændelser og test af modstandsdygtighed. Hver model registreres, valideres og overvåges under styringen af modelrisiko.
Godkendelse før konsekvens
AI laver udkast, udtrækker og foreslår. Afgørelser om kredit, skader eller begrænsning af konti ligger hos en navngiven person.
Forklarbar fra start
Hvor meget der skal kunne forklares, besluttes for hver type afgørelse under designet, ikke lige før validering.
Exit- og koncentrationsrisiko
Cloud- og modeludbydere vælges med exitplaner og alternativer dokumenteret til registret.
Logs som dokumentation
Input, output, modelversioner og godkendelser gemmes, så tilsyn og revisorer kan genskabe enhver sag.
Tidslinjen for finansielle virksomheder
Datoer, der ændrer, hvad en leverandør skal kunne dokumentere. Nationale tilsyn og de europæiske tilsynsmyndigheder tilføjer retningslinjer og tekniske standarder.
Gælder
AI-forordningen: Forbud mod visse praksisser og krav om AI-færdigheder gælder
Gælder
AMLA: EU’s hvidvaskmyndighed begynder sit arbejde
Forbereder det fælles regelsæt og det direkte tilsyn med udvalgte institutter.
Gælder
Forordningen om strakskreditoverførsler: Verifikation af betalingsmodtageren kræves ved overførsler i euro
Betalingstjenesteudbydere i euroområdet kontrollerer modtagerens navn, før en overførsel gennemføres.
Gælder
AI-forordningen: Krav om gennemsigtighed gælder
Kunder skal have at vide, når de har med et AI-system at gøre.
Status pr. 2. oktober 2026
På vej
Hvidvaskforordningen: Ét EU-regelsæt gælder
Kundekendskab, reelle ejere og opbevaring af oplysninger harmoniseres.
På vej
AI-forordningen: Krav til højrisiko gælder
Herunder kreditværdighedsvurdering og prisfastsættelse af liv- og sundhedsforsikring, som ændret i 2026.
På vej
AMLA: Direkte tilsyn med udvalgte institutter begynder
Regler og standarder
De regler, der oftest former AI- og platformsarbejde i finansielle virksomheder, og hvad de betyder for et projekt.
Overblikket er et udgangspunkt for planlægning. Det er ikke juridisk eller tilsynsmæssig rådgivning. EU-datoerne er gennemgået 2. oktober 2026, de danske forhold i november 2026.
- DORAGyldighedHele EU
Forordningen om digital operationel modstandsdygtighed har gældt siden 17. januar 2025 for banker, forsikringsselskaber, investeringsselskaber, betalingsinstitutter og andre finansielle enheder. Den dækker styring af IKT-risici, hændelsesrapportering, test af modstandsdygtighed og styring af IKT-tredjepartsrisiko, herunder centrale kontraktbestemmelser (artikel 30). I Danmark fører Finanstilsynet tilsyn med, at DORA overholdes.
Det betyder det for dit projektSom IKT-leverandør understøtter vi jeres forpligtelser: kontraktvilkår, underretning om hændelser, exitplaner, deltagelse i test og de oplysninger, jeres register har brug for.
KildeForordning (EU) 2022/2554, EUR-Lex (åbner et eksternt websted)
- AI-forordningenGyldighedHele EU
AI, der bruges til at vurdere fysiske personers kreditværdighed eller til risikobaseret prisfastsættelse af liv- og sundhedsforsikring, er højrisiko. Udbydere og idriftsættere skal have risikostyring, datastyring, logning, menneskeligt tilsyn og dokumentation. Efter ændringen af forordningen i 2026 gælder kravene fra 2. december 2027.
Det betyder det for dit projektVi klassificerer hver anvendelse tidligt, designer menneskeligt tilsyn ind i processen og udarbejder dokumentation, der passer til jeres ramme for modelrisiko.
KildeForordning (EU) 2024/1689, EUR-Lex (åbner et eksternt websted)
- EU’s hvidvaskpakke (AMLR og AMLA)GyldighedHele EU
Hvidvaskforordningen erstatter de nationale regler om kundekendskab med ét EU-regelsæt fra 10. juli 2027. Den nye myndighed AMLA koordinerer de nationale tilsyn og vil føre direkte tilsyn med udvalgte institutter med høj risiko.
Det betyder det for dit projektProcesser for kundeoptag og kundekontrol kræver ensartet håndtering af dokumentation og sporbarhed. Vi designer dokumentmodtagelse og sagsforløb til den standard.
KildeForordning (EU) 2024/1624, EUR-Lex (åbner et eksternt websted)
- GDPR og automatiske afgørelserGyldighedHele EU
Artikel 22 giver personer ret til ikke at være genstand for afgørelser, der alene bygger på automatisk behandling og har betydelige følger for dem, med undtagelser, der kræver garantier som menneskelig indgriben og ret til at bestride afgørelsen.
Det betyder det for dit projektVi designer processer, hvor en person kan gennemgå, forklare og ændre et automatisk resultat, og hvor det registreres, at det skete.
KildeForordning (EU) 2016/679, EUR-Lex (åbner et eksternt websted)
- MiFID II og IDD: dokumentation af rådgivningGyldighedHele EU
Reglerne for investeringsrådgivning og forsikringsdistribution kræver egnetheds- eller behovsvurderinger og dokumentation af den rådgivning, der er givet. AI, der hjælper rådgivere, bliver en del af den dokumentation.
Det betyder det for dit projektAssistenterne logger, hvad de viste, og hvilke kilder de brugte, så rådgivningssagen forbliver komplet og kan gennemgås.
KildeDirektiv 2014/65/EU, EUR-Lex (åbner et eksternt websted)
- PSD2 og de kommende regler for betalingstjenesterGyldighedHele EU
PSD2 regulerer i dag betalingstjenester og adgangen til open banking. Efterfølgerne, PSD3 og forordningen om betalingstjenester, blev foreløbigt aftalt i 2025 og vil skærpe kravene til svindelforebyggelse og API’ernes ydeevne efter en overgangsperiode.
Det betyder det for dit projektAPI-platforme, der bygges nu, bør være forberedt på strengere krav til ydeevne, overvågning og deling af data om svindel.
KildeDirektiv (EU) 2015/2366, EUR-Lex (åbner et eksternt websted)
Eksempler på anvendelse
EksempelKontrol af dokumenter ved kundeoptag
Identitets- og ejerskabsdokumenter udtrækkes og krydstjekkes; analytikere afgør hver markeret sag.
Videnassistent til rådgivere
Svar om produkter, politikker og procedurer med kilder, inden for rådgiverens adgangsrettigheder.
Modtagelse og fordeling af klager
Klager klassificeres efter emne og hast og sendes videre med et udkast til resumé, og fristerne i reglerne for klagebehandling følges.
Modtagelse af skadesanmeldelser
Skadesanmeldelser, fakturaer og rapporter læses og matches med policen; skadebehandlere godkender udbetalingen.
Kernefunktioner bag API’er
Transaktioner på mainframen gøres tilgængelige som dokumenterede API’er og hændelser, så nye kanaler ikke længere afhænger af batchfiler.
Platforme i den finansielle sektor
Salesforce
Summit PartnerArbejdspladser for rådgivere, forløb for kundeoptag og kundeservice, koblet til kernesystemer og dokumentmodtagelse.
SAP
Gold PartnerØkonomi og koncernrapportering, med SAP-data gjort tilgængelige for risiko- og tilsynsrapportering med dokumenteret dataafstamning.
Partnerniveauerne er FromNines egne. Produktnavne er varemærker tilhørende deres respektive ejere.
Danmark
Bygget til tilsyn i Danmark og EU
Finansielle virksomheder i Danmark står til ansvar over for Finanstilsynet og de europæiske tilsynsmyndigheder, og fra 2028 fører AMLA direkte tilsyn med udvalgte institutter i EU. Finanstilsynet fører tilsyn med, at DORA overholdes.
DORA, AI-forordningen og hvidvaskpakken gælder i hele EU, men tilsynets forventninger, rapporteringsformater og praksis for outsourcing varierer fra land til land. Vi tilrettelægger leverancen, så dokumentationen laves én gang og kan vises for alle: arkitektur- og modeldokumentation, logs, testresultater og exitplaner, der holdes opdateret, når systemet ændrer sig.
- DORAForordning (EU) 2022/2554 om digital operationel modstandsdygtighed i den finansielle sektor (DORA) (åbner et eksternt websted)
- AI-forordningenForordning (EU) 2024/1689 om kunstig intelligens (AI-forordningen) (åbner et eksternt websted)
- hvidvaskforordningen (AMLR)Forordning (EU) 2024/1624 om forebyggelse af anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme (fælles regelsæt), med AMLA (åbner et eksternt websted)
- databeskyttelsesforordningenDatabeskyttelsesforordningen (GDPR), forordning (EU) 2016/679 (åbner et eksternt websted)
Ofte stillede spørgsmål
Hvordan understøtter I vores DORA-forpligtelser som leverandør?
Vi aftaler de kontraktbestemmelser, DORA kræver, underretter om hændelser via den aftalte kanal, dokumenterer exitplaner, deltager i test af modstandsdygtighed og leverer de oplysninger, jeres register over oplysninger har brug for.
Kan AI bruges i kreditafgørelser eller ved tegning af forsikringer?
Ja, som en højrisikoanvendelse under AI-forordningen, med risikostyring, datastyring, logning, menneskeligt tilsyn og dokumentation. Vi designer, så en person træffer afgørelsen og kan forklare den, og så GDPR’s garantier ved automatiske afgørelser overholdes.
Hvor kører modeller og data?
I det miljø, jeres risikoappetit tillader: jeres egen cloud-tenant, en EU-region hos en stor cloududbyder eller on premises til følsomme arbejdsbelastninger. Valg af model og hosting dokumenteres med exitmuligheder til jeres register over oplysninger.
Skal vi udskifte vores kerneplatform?
Nej. Vi integrerer som udgangspunkt og moderniserer trinvis: først API’er og hændelser rundt om kernen, og funktioner flyttes kun ud, hvor det betaler sig, med afstemning, til den gamle vej lukkes.
Hvordan evaluerer I generativ AI i regulerede processer?
Med testsæt og kvalitetskriterier, der aftales med jeres risiko- og valideringsteams før idriftsættelse, overvågning efter idriftsættelse og gennemgang af usikre svar. Processen går ud fra, at noget output vil være forkert, og sender det til mennesker.
Tal med os om dit projekt i den finansielle sektor
Planlægger du AI i kundeoptag, rådgivning eller skadebehandling, eller skal dine systemer være klar til DORA-test? Tal med udviklere, der designer til tilsynet såvel som til brugerne.