Sovelletaan
DORA: Digitaalisen häiriönsietokyvyn säännöt voimaan
ICT-riskit, ICT-palveluntarjoajien rekisteri, poikkeamailmoitukset ja testaus.
Rahoitusala
Tekoäly ja alustat, jotka kestävät valvojan tarkastelun.
Rakennamme pankeille, vakuutus- ja eläkevakuutusyhtiöille, varainhoitajille ja maksulaitoksille tekoälyä, jonka toiminnan voi selittää valvojalle, integraatioita, jotka kunnioittavat ydinjärjestelmää, ja ylläpitoa, joka on suunniteltu DORA:n mukaan ensimmäisestä arkkitehtuuripäätöksestä alkaen.
Rahoituslaitoksille, jotka toimivat eurooppalaisen valvonnan alaisina: Finanssivalvonnasta EKP:hen, EBA:han, EIOPA:an, ESMA:an ja AMLA:an.
17. tammikuuta 2025
DORA-asetusta sovelletaan
Rahoitusalan toimijoille ICT-riskienhallinta, ICT-palveluntarjoajien rekisteri, poikkeamailmoitukset ja häiriönsietokyvyn testaus.
10. heinäkuuta 2027
EU:n rahanpesuasetusta sovelletaan
Yhtenäiset asiakkaan tunteminen -säännöt koko EU:ssa ja uusi viranomainen AMLA.
2. joulukuuta 2027
Tekoälysäädöksen suuririskiset käyttötavat luotoissa ja vakuutuksissa
Luottokelpoisuuden arviointi sekä henki- ja sairausvakuutusten hinnoittelu ovat suuririskisiä käyttötapoja; soveltamispäivä vuonna 2026 muutetun säädöksen mukaan.
Mikä muuttuu rahoitusalalla
Häiriönsietokyky on nyt lakisääteinen velvoite
DORA muuttaa digitaalisen häiriönsietokyvyn konkreettisiksi velvoitteiksi: ICT-riskienhallinta, rekisteri jokaisesta ICT-palveluntarjoajan sopimuksesta, luokitellut poikkeamailmoitukset ja säännöllinen testaus. Pilvi- ja tekoälytoimittajat ovat nyt osa valvonnan kokonaiskuvaa.
Tekoälyn päätöksistä tarvitaan kirjausketju
Luottopisteytys ja vakuutusten hinnoittelu ovat tekoälysäädöksessä suuririskisiä käyttötapoja. Malliriskien hallinnan on katettava koneoppimis- ja generatiiviset mallit, ja dokumentaation, seurannan ja ihmisen valvonnan on oltava oikeassa suhteessa vaikutuksiin.
Asiakkaat vertaavat sinua parhaaseen sovellukseensa
Pikasiirrot, maksunsaajan tarkistus ja avoin pankkitoiminta ovat nostaneet odotuksia nopeudesta ja läpinäkyvyydestä. Seuraavat maksupalvelusäännöt tiukentavat petostentorjuntaa ja rajapintojen laatuvaatimuksia entisestään.
Ydinjärjestelmissä on vuosikymmenten logiikka
Keskustietokoneet ja ydinalustat pyörittävät yhä kirjanpitoa. Muutos on tehtävä niiden ympärille rajapintojen ja tapahtumien avulla ilman, että vakaus tai viranomaisraportointi vaarantuu.
Haasteet ja mitä rakennamme
- Haaste
Asiakkuuden avaus ja määräaikaiset tarkistukset riippuvat siitä, että analyytikot lukevat asiakirjat käsin.
RatkaisummeAsiakirjojen automaattinen käsittely poimii ja tarkistaa henkilöllisyyttä, omistusta ja varojen alkuperää koskevat todisteet. Analyytikot käyvät läpi merkityt tapaukset, ja jokainen tarkistus kirjataan auditointia ja tulevaa rahanpesusäännöstöä varten.
- Haaste
Neuvojat ja asiakaspalvelu etsivät vastausta yhteen kysymykseen viidestä järjestelmästä.
RatkaisummeKäyttöoikeudet huomioiva avustaja tuotteiden, ehtojen ja menettelyjen tietoon. Se viittaa lähteisiinsä ja kirjaa, mitä näytettiin, jotta neuvontatiedot pysyvät täydellisinä.
- Haaste
Jokainen ydinjärjestelmän muutos on hidas, kallis ja riskialtis.
RatkaisummeAvaamme ydinjärjestelmän toiminnot rajapintojen ja tapahtumavirtojen kautta, siirrämme toimintoja ulos vaiheittain ja pidämme täsmäytyksen käynnissä, kunnes vanha polku voidaan poistaa käytöstä.
- Haaste
DORA-rekisteri ja poikkeamien käsittely elävät taulukkolaskennassa.
RatkaisummeRakennamme tietorekisterin, poikkeamien luokittelun ja raportoinnin työnkulut palvelunhallinta- ja pilvityökaluihisi ja kytkemme ne kriittisiin toimintoihin, joita ne tukevat.
- Haaste
Malli, jota ei voi selittää, ei läpäise validointia.
RatkaisummeArviointikehys, josta sovitaan riski- ja validointitiimien kanssa: testiaineistot, selitettävyys siellä, missä päätös sitä vaatii, mallin ajautumisen seuranta ja dokumentoitu ihmisen ohitusmahdollisuus.
- Haaste
Viranomaisraportit täsmäytetään käsin joka neljännes.
RatkaisummeDataputket, joissa tiedon alkuperä on dokumentoitu ja laatu tarkistetaan automaattisesti BCBS 239 -periaatteiden mukaisesti, jotta luvut voidaan jäljittää lähteeseensä.
Viitearkkitehtuuri, jossa hallinta tulee ensin
Tekoäly sijaitsee kanavien ja ydinjärjestelmien välissä. Seurauksiltaan merkittävät vaiheet kulkevat hyväksynnän kautta, ja DORA:n hallintakeinot toimivat jokaisen kerroksen rinnalla.
Havainnollistava esimerkki
Tekoälypalvelut liittyvät ydinjärjestelmiin vain integraatiokerroksen kautta. DORA:n hallintakeinot koskevat jokaista osaa.
Lue kaavio tekstinä
Asiakkaat, neuvojat ja asiakaspalvelutiimit käyttävät sovellusta, verkkopalvelua, konttoria ja asiakaspalvelukeskusta.
Kanavien takana on kolme tekoälypalvelua: asiakkuuden avauksen ja asiakkaan tuntemisen (KYC) asiakirjojen vastaanotto, neuvojien ja asiakaspalvelun avustaja sekä analyytikon hyväksyntävaihe, jonka kautta jokainen seurauksiltaan merkittävä päätös kulkee.
Tekoälypalvelut pääsevät ydinjärjestelmiin vain rajapinnoista ja tapahtumavirroista koostuvan integraatiokerroksen kautta. Ydinjärjestelmiä ovat pankin ydinjärjestelmä tai vakuutusten hallintajärjestelmä, asiakkuudenhallinta- ja palvelualusta sekä data-alusta, jossa tiedon alkuperä on dokumentoitu.
Kaikkien kerrosten rinnalla toimivat DORA:n hallintakeinot: ICT-riskienhallinta, ICT-palveluntarjoajien rekisteri, poikkeamien luokittelu ja raportointi sekä häiriönsietokyvyn testaus. Jokainen malli rekisteröidään, validoidaan ja sitä seurataan malliriskien hallinnan mukaisesti.
Hyväksyntä ennen seurauksia
Tekoäly laatii luonnoksia, poimii tietoja ja tekee ehdotuksia. Luottoja, korvauksia tai tilien rajoituksia koskevat päätökset tekee aina nimetty ihminen.
Selitettävä alusta alkaen
Selityksen taso päätetään päätöstyypeittäin suunnitteluvaiheessa, eikä sitä lisätä jälkikäteen juuri ennen validointia.
Irtautuminen ja keskittymäriski
Pilvi- ja mallitoimittajat valitaan niin, että irtautumissuunnitelmat ja korvaavat vaihtoehdot on dokumentoitu rekisteriä varten.
Lokit todisteina
Syötteet, tulokset, malliversiot ja hyväksynnät säilytetään, jotta valvojat ja tarkastajat voivat koota minkä tahansa tapauksen uudelleen.
Rahoituslaitosten sääntelyn aikajana
Päivämäärät, jotka muuttavat sitä, mitä toimituskumppanin on pystyttävä osoittamaan. Kansalliset valvojat ja Euroopan valvontaviranomaiset lisäävät päälle ohjeita ja teknisiä standardeja.
Sovelletaan
Tekoälysäädös: Kielletyt käytännöt ja tekoälylukutaitovaatimus
Sovelletaan
AMLA: EU:n rahanpesun vastainen viranomainen aloittaa
Yhtenäisen säännöstön valmistelu ja valittujen laitosten suora valvonta.
Sovelletaan
Pikasiirtoasetus: Maksunsaajan tarkistus euromääräisiin tilisiirtoihin
Euroalueen maksupalveluntarjoajat tarkistavat maksunsaajan nimen ennen tilisiirron toteuttamista.
Sovelletaan
Tekoälysäädös: Läpinäkyvyysvelvoitteet
Asiakkaille on kerrottava, kun he asioivat tekoälyjärjestelmän kanssa.
Tilanne 2. lokakuuta 2026
Tulossa
Rahanpesuasetus: Yhtenäinen EU-säännöstö
Asiakkaan tunteminen, tosiasialliset edunsaajat ja tietojen säilyttäminen yhdenmukaistetaan.
Tulossa
Tekoälysäädös: Suuririskisten järjestelmien velvoitteet
Mukaan lukien luottokelpoisuuden arviointi sekä henki- ja sairausvakuutusten hinnoittelu, vuonna 2026 muutetun säädöksen mukaisesti.
Tulossa
AMLA: Valittujen laitosten suora valvonta alkaa
Sääntely ja standardit
Säädökset, jotka useimmin muovaavat tekoäly- ja alustatyötä rahoituslaitoksissa, ja mitä kukin tarkoittaa toimitushankkeelle.
Tämä katsaus tukee suunnittelukeskusteluja. Se ei ole oikeudellinen eikä sääntelyä koskeva neuvo. EU:n päivämäärät tarkistettu 2. lokakuuta 2026 ja Suomen tiedot 5. marraskuuta 2026.
- DORASoveltamisalaKoko EU
Finanssialan digitaalista häiriönsietokykyä koskevaa asetusta on sovellettu 17. tammikuuta 2025 alkaen pankkeihin, vakuutusyhtiöihin, sijoituspalveluyrityksiin, maksulaitoksiin ja muihin finanssiyhteisöihin. Se kattaa ICT-riskienhallinnan, poikkeamailmoitukset, häiriönsietokyvyn testauksen ja ICT-palveluntarjoajiin liittyvän riskin hallinnan, mukaan lukien keskeiset sopimusehdot (30 artikla).
Mitä se tarkoittaa hankkeellesiICT-toimittajana tuemme velvoitteitasi: sopimusehdot, poikkeamailmoitukset, irtautumissuunnitelmat, osallistuminen testaukseen ja tiedot, joita rekisterisi tarvitsee.
LähdeAsetus (EU) 2022/2554, EUR-Lex (avautuu ulkoiselle sivustolle)
- EU:n tekoälysäädösSoveltamisalaKoko EU
Tekoäly, jolla arvioidaan yksityishenkilöiden luottokelpoisuutta tai hinnoitellaan henki- ja sairausvakuutuksia riskiperusteisesti, on suuririskistä. Tarjoajat ja käyttöönottajat tarvitsevat riskienhallinnan, datanhallinnan, lokituksen, ihmisen valvonnan ja dokumentaation. Vuonna 2026 muutetun säädöksen mukaan velvoitteita sovelletaan 2. joulukuuta 2027 alkaen.
Mitä se tarkoittaa hankkeellesiLuokittelemme jokaisen käyttötapauksen varhain, suunnittelemme ihmisen valvonnan osaksi prosessia ja tuotamme dokumentaation, joka sopii malliriskien hallintakehykseesi.
LähdeAsetus (EU) 2024/1689, EUR-Lex (avautuu ulkoiselle sivustolle)
- EU:n rahanpesun vastainen paketti (AMLR ja AMLA)SoveltamisalaKoko EU
Rahanpesun vastainen asetus korvaa asiakkaan tuntemista koskevat kansalliset säännöt yhdellä EU-säännöstöllä 10. heinäkuuta 2027 alkaen. Uusi viranomainen AMLA koordinoi kansallisia valvojia ja valvoo suoraan valittuja korkean riskin laitoksia.
Mitä se tarkoittaa hankkeellesiAsiakkuuden avaus- ja tarkistusprosessit tarvitsevat johdonmukaisen todisteiden käsittelyn ja kirjausketjun. Suunnittelemme asiakirjojen vastaanoton ja käsittelyn työnkulut tämän tason mukaan.
LähdeAsetus (EU) 2024/1624, EUR-Lex (avautuu ulkoiselle sivustolle)
- Tietosuoja-asetus ja automaattiset päätöksetSoveltamisalaKoko EU
Tietosuoja-asetuksen 22 artiklan mukaan ihmisellä on oikeus olla joutumatta pelkästään automaattiseen käsittelyyn perustuvan päätöksen kohteeksi, kun päätös vaikuttaa häneen merkittävästi. Poikkeukset edellyttävät suojatoimia, kuten ihmisen osallistumista ja oikeutta riitauttaa päätös.
Mitä se tarkoittaa hankkeellesiSuunnittelemme prosessit niin, että ihminen voi tarkastaa, selittää ja muuttaa automaattisen tuloksen, ja kirjaamme, että hän teki niin.
LähdeAsetus (EU) 2016/679, EUR-Lex (avautuu ulkoiselle sivustolle)
- MiFID II, IDD ja neuvontatiedotSoveltamisalaKoko EU
Sijoituspalvelujen ja vakuutusten tarjoamisen säännöt edellyttävät soveltuvuuden tai vaatimusten ja tarpeiden arviointia sekä tallenteita annetusta neuvonnasta. Neuvojia avustava tekoäly tulee osaksi näitä tallenteita.
Mitä se tarkoittaa hankkeellesiAvustajat kirjaavat, mitä ne näyttivät ja mitä lähteitä ne käyttivät, jotta neuvonta-asiakirja pysyy täydellisenä ja tarkastettavana.
LähdeDirektiivi 2014/65/EU, EUR-Lex (avautuu ulkoiselle sivustolle)
- PSD2 ja tulevat maksupalvelusäännötSoveltamisalaKoko EU
PSD2 sääntelee nykyään maksupalveluja ja avoimen pankkitoiminnan rajapintoja. Sen seuraajista, PSD3:sta ja maksupalveluasetuksesta, saavutettiin alustava sopu vuonna 2025. Ne tiukentavat siirtymäajan jälkeen petostentorjuntaa ja rajapintojen suorituskykyvaatimuksia.
Mitä se tarkoittaa hankkeellesiNyt rakennettavien rajapinta-alustojen kannattaa varautua tiukempiin suorituskyky-, seuranta- ja petostietojen jakamisvelvoitteisiin.
LähdeDirektiivi (EU) 2015/2366, EUR-Lex (avautuu ulkoiselle sivustolle)
Havainnollistavia käyttötapauksia
Havainnollistava esimerkkiAsiakkuuden avauksen asiakirjatarkistus
Henkilöllisyys- ja omistusasiakirjojen tiedot poimitaan ja ristiintarkistetaan; analyytikko päättää jokaisesta merkitystä tapauksesta.
Tietoavustaja neuvojille ja asiakaspalveluun
Pankin neuvojat tai eläkevakuutusyhtiön asiakaspalvelu saavat vastaukset tuotteista, ehdoista ja menettelyistä lähteineen omien käyttöoikeuksiensa rajoissa.
Valitusten vastaanotto ja ohjaus
Valitukset luokitellaan aiheen ja kiireellisyyden mukaan ja ohjataan eteenpäin tiivistelmäluonnoksen kanssa, ja määräaikoja seurataan valitusten käsittelyä koskevien sääntöjen mukaan.
Vahinkoilmoitusten vastaanotto
Vahinkoilmoitukset, laskut ja selvitykset luetaan ja yhdistetään vakuutukseen; käsittelijä hyväksyy korvauksen maksun.
Ydintoiminnot rajapintojen taakse
Keskustietokoneen tapahtumat avataan dokumentoiduiksi rajapinnoiksi ja tapahtumiksi, jotta uudet kanavat eivät enää riipu eräajotiedostoista.
Alustat rahoitusalalla
Salesforce
Summit PartnerNeuvojien työtilat, asiakkuuden avauksen polut ja asiakaspalvelu, liitettyinä ydinjärjestelmiin ja asiakirjojen vastaanottoon.
SAP
Gold PartnerTalous- ja konserniraportointi, ja SAP-data riski- ja viranomaisraportoinnin käyttöön dokumentoidun tiedon alkuperän kanssa.
Kumppanuustasot ovat FromNinen omia. Tuotenimet ovat omistajiensa tavaramerkkejä.
Suomi
Rakennettu suomalaista ja eurooppalaista valvontaa varten
Suomessa Finanssivalvonta valvoo finanssi- ja vakuutussektoria, myös DORA:n vaatimusten noudattamista. Sen valvonnassa ovat muun muassa pankit, vakuutus- ja eläkevakuutusyhtiöt, sijoituspalveluyritykset ja rahastoyhtiöt. Lisäksi laitokset vastaavat Euroopan valvontaviranomaisille, ja vuodesta 2028 osaa valvoo suoraan AMLA.
DORA, tekoälysäädös ja rahanpesun vastainen paketti ovat yhteisiä koko EU:ssa, mutta valvonnan odotukset, raportointimuodot ja ulkoistuskäytännöt vaihtelevat maittain. Suunnittelemme toimituksen niin, että näyttö tuotetaan kerran ja se voidaan esittää kenelle tahansa valvojalle: arkkitehtuuri- ja mallidokumentaatio, lokit, testitulokset ja irtautumissuunnitelmat pysyvät ajan tasalla järjestelmän muuttuessa.
- DORAAsetus (EU) 2022/2554 rahoitusalan digitaalisesta häiriönsietokyvystä (DORA) (avautuu ulkoiselle sivustolle)
- TekoälysäädösAsetus (EU) 2024/1689 tekoälyä koskevista yhdenmukaistetuista säännöistä (tekoälysäädös) (avautuu ulkoiselle sivustolle)
- Rahanpesuasetus (AMLR)Asetus (EU) 2024/1624 rahoitusjärjestelmän käytön estämisestä rahanpesuun tai terrorismin rahoitukseen (yhteinen sääntökirja) sekä EU:n rahanpesunvastainen viranomainen AMLA (avautuu ulkoiselle sivustolle)
- Yleinen tietosuoja-asetusYleinen tietosuoja-asetus, asetus (EU) 2016/679 (avautuu ulkoiselle sivustolle)
Usein kysytyt kysymykset
Miten tuette DORA-velvoitteitamme toimittajana?
Sovimme DORA:n edellyttämistä sopimusehdoista, ilmoitamme poikkeamista sovittua kanavaa pitkin, dokumentoimme irtautumissuunnitelmat, osallistumme häiriönsietokyvyn testaukseen ja toimitamme tiedot, joita ICT-palveluntarjoajien rekisterisi tarvitsee.
Voiko tekoälyä käyttää luotto- tai vakuutuspäätöksissä?
Voi, tekoälysäädöksen mukaisena suuririskisenä käyttötapana, jossa on riskienhallinta, datanhallinta, lokitus, ihmisen valvonta ja dokumentaatio. Suunnittelemme niin, että päätöksen tekee aina ihminen, joka pystyy myös perustelemaan sen, ja tietosuoja-asetuksen automaattisia päätöksiä koskevat suojatoimet toteutuvat.
Missä mallit ja data toimivat?
Ympäristössä, jonka riskinottohalukkuutesi sallii: omassa pilviympäristössäsi, julkisen pilven EU-alueella tai arkaluonteisissa käyttötarkoituksissa omissa konesaleissasi. Malli- ja ympäristövalinnat dokumentoidaan irtautumisvaihtoehtoineen ICT-palveluntarjoajien rekisteriäsi varten.
Pitääkö ydinjärjestelmä vaihtaa?
Ei. Integroimme lähtökohtaisesti ja uudistamme vaiheittain: ensin rajapinnat ja tapahtumat ydinjärjestelmän ympärille, ja toimintoja siirretään ulos vain siellä, missä se kannattaa. Täsmäytys jatkuu, kunnes vanha polku poistetaan käytöstä.
Miten arvioitte generatiivista tekoälyä säännellyissä prosesseissa?
Testiaineistoilla ja laatukriteereillä, joista sovitaan riski- ja validointitiimiesi kanssa ennen julkaisua, seurannalla julkaisun jälkeen ja tarkastusvaiheilla epävarmoille tuloksille. Prosessi olettaa, että osa tuloksista on vääriä, ja ohjaa ne ihmisille.
Keskustellaan rahoitusalan hankkeestasi
Suunnitteletko tekoälyä asiakkuuden avaukseen, neuvontaan tai korvauskäsittelyyn tai valmisteletko järjestelmiäsi DORA-testaukseen? Keskustele kehittäjien kanssa, jotka suunnittelevat sekä valvojille että käyttäjille.