En aplicación
DORA: Aplícanse as normas de resiliencia operativa dixital
Risco TIC, rexistro de terceiros, notificación de incidentes e probas.
Servizos financeiros
IA e plataformas pensadas para a revisión do supervisor.
O que construímos para bancos, cooperativas de crédito, aseguradoras, xestoras de activos e entidades de pagamento: IA que se pode explicar a un supervisor, integración que respecta o núcleo e operacións deseñadas arredor de DORA desde a primeira decisión de arquitectura.
Para entidades financeiras baixo supervisión española e europea, do Banco de España, a CNMV e a DGSFP ao BCE, ás autoridades europeas de supervisión e á AMLA.
17 de xaneiro de 2025
Aplícase DORA
Xestión do risco TIC, rexistros de terceiros, notificación de incidentes e probas de resiliencia para as entidades financeiras.
10 de xullo de 2027
Aplícase o Regulamento da UE contra o branqueo de capitais
Un único corpo de normas de dilixencia debida coa clientela en toda a UE, coa nova autoridade AMLA.
2 de decembro de 2027
Obrigas de alto risco do Regulamento de IA para crédito e seguros
A avaliación da solvencia e a fixación de prezos dos seguros de vida e de saúde son usos de alto risco; data de aplicación segundo a modificación de 2026.
Que está a cambiar nos servizos financeiros
A resiliencia xa é unha obriga legal
DORA converte a resiliencia operativa en obrigas concretas: xestión do risco TIC, un rexistro de todos os acordos con provedores terceiros de servizos TIC, notificación clasificada de incidentes e probas periódicas. Os provedores de nube e de IA forman agora parte do que observa o supervisor.
As decisións da IA necesitan unha pista de auditoría
A cualificación crediticia e a fixación de prezos dos seguros pasan a ser usos de alto risco segundo o Regulamento de IA. A xestión do risco de modelos ten que abranguer os modelos de aprendizaxe automática e os xerativos, con documentación, seguimento e supervisión humana proporcionais ao impacto.
A clientela compáraos coa súa mellor aplicación
As transferencias inmediatas, a verificación do beneficiario e a banca aberta elevaron as expectativas de rapidez e transparencia. As próximas normas de servizos de pagamento endurecerán aínda máis a prevención da fraude e a calidade das API.
Os sistemas centrais conteñen décadas de lóxica
Os mainframes e as plataformas centrais seguen levando a contabilidade. O cambio ten que facerse ao seu redor, mediante API e eventos, sen poñer en risco a estabilidade nin a información regulatoria.
Retos e o que construímos
- O reto
A incorporación de clientes e as revisións periódicas dependen de analistas que len documentos a man.
A nosa respostaO procesamento de documentos extrae e comproba as probas de identidade, titularidade e orixe dos fondos. O equipo de análise revisa os casos marcados, e cada comprobación queda rexistrada para a auditoría e para o novo corpo de normas contra o branqueo de capitais.
- O reto
Os equipos de asesoramento e de atención buscan en cinco sistemas para responder unha pregunta.
A nosa respostaUn asistente que respecta os permisos sobre produtos, políticas e procedementos, que cita as súas fontes e rexistra o que mostrou, para que os rexistros de asesoramento sigan completos.
- O reto
Cada cambio no núcleo é lento, caro e arriscado.
A nosa respostaExpoñemos as capacidades do núcleo mediante API e fluxos de eventos, sacamos funcións paso a paso e mantemos a conciliación ata que se pode retirar o camiño antigo.
- O reto
O rexistro e o fluxo de incidentes de DORA viven en follas de cálculo.
A nosa respostaIntegramos o rexistro de información, a clasificación de incidentes e os fluxos de notificación nas súas ferramentas de xestión de servizos e de nube, vinculados ás funcións críticas que soportan.
- O reto
Os modelos que non se poden explicar non superan a validación.
A nosa respostaUn marco de avaliación acordado cos equipos de riscos e de validación: conxuntos de proba, explicabilidade onde a decisión a necesite, seguimento da deriva e unha intervención humana documentada.
- O reto
Os informes regulatorios concílianse a man cada trimestre.
A nosa respostaFluxos de datos con liñaxe documentada e controis de calidade automáticos, segundo os principios BCBS 239, para que as cifras se poidan rastrexar ata a orixe.
Un mapa de referencia que prioriza o control
Onde se sitúa a IA entre as canles e os sistemas centrais, cun punto de aprobación nos pasos con consecuencias e os controis de DORA xunto a cada capa.
Exemplo ilustrativo
Os servizos de IA conéctanse cos sistemas centrais só a través da capa de integración. Os controis de DORA aplícanse a todos os compoñentes.
Ler o diagrama como texto
A clientela, o persoal asesor e os equipos de atención usan as canles de aplicación, web, oficina e centro de atención.
Detrás das canles hai tres servizos de IA: a recepción de documentos de incorporación e KYC, un asistente para asesoramento e atención, e un paso de aprobación polo equipo de análise polo que pasa cada decisión con consecuencias.
Os servizos de IA chegan aos sistemas centrais só a través dunha capa de integración de API e fluxos de eventos. Os sistemas centrais son a banca central ou a administración de pólizas, o CRM e a plataforma de atención, e unha plataforma de datos con liñaxe documentada.
Xunto a todas as capas funcionan os controis de DORA: xestión do risco TIC, rexistro de provedores terceiros de servizos TIC, clasificación e notificación de incidentes e probas de resiliencia. Cada modelo rexístrase, valídase e supervísase dentro da xestión do risco de modelos.
Aprobación antes da consecuencia
A IA redacta, extrae e suxire. As decisións sobre crédito, sinistros ou restricións de contas quedan en mans dunha persoa identificada.
Explicable desde o deseño
O nivel de explicación decídese para cada tipo de decisión durante o deseño, non se engade xusto antes da validación.
Saída e risco de concentración
Os provedores de nube e de modelos elíxense con plans de saída e alternativas de substitución documentadas para o rexistro.
Os rexistros como proba
Entradas, saídas, versións dos modelos e aprobacións consérvanse para que a supervisión e a auditoría poidan reconstruír calquera caso.
O calendario normativo das entidades financeiras
Datas que cambian o que debe demostrar un socio de entrega. Os supervisores nacionais e as autoridades europeas de supervisión engaden directrices e normas técnicas.
En aplicación
Regulamento de IA: Prohibidas as prácticas inaceptables e obrigatoria a alfabetización en IA
En aplicación
AMLA: A autoridade da UE contra o branqueo de capitais comeza a funcionar
Prepara o corpo único de normas e a supervisión directa de determinadas entidades.
En aplicación
Regulamento de transferencias inmediatas: Verificación do beneficiario obrigatoria nas transferencias en euros
Os provedores de servizos de pagamento da zona do euro comproban o nome do beneficiario antes de executar unha transferencia.
En aplicación
Regulamento de IA: Aplícanse as obrigas de transparencia
A clientela debe saber cando trata cun sistema de IA.
Datos revisados o 2 de outubro de 2026
Proximamente
Regulamento contra o branqueo de capitais: Aplícase o corpo único de normas da UE
Harmonízanse a dilixencia debida coa clientela, a titularidade real e a conservación de documentos.
Proximamente
Regulamento de IA: Aplícanse as obrigas de alto risco
Inclúen a avaliación da solvencia e a fixación de prezos dos seguros de vida e de saúde, segundo a modificación de 2026.
Proximamente
AMLA: Comeza a supervisión directa de determinadas entidades
Referencia de normativa e estándares
Os instrumentos que máis a miúdo definen o traballo de IA e de plataformas nas entidades financeiras, e o que significa cada un para un programa de entrega.
Esta visión xeral serve para preparar conversas de planificación. Non é asesoramento xurídico nin regulatorio. Datas revisadas o 2 de outubro de 2026; situación española revisada o 6 de novembro de 2026.
- DORAÁmbitoToda a UE
O Regulamento de resiliencia operativa dixital aplícase desde o 17 de xaneiro de 2025 a bancos, aseguradoras, empresas de servizos de investimento, entidades de pagamento e outras entidades financeiras. Abrangue a xestión do risco TIC, a notificación de incidentes, as probas de resiliencia e a xestión do risco de terceiros TIC, incluídas as cláusulas contractuais clave (artigo 30). En España, o Banco de España, a CNMV e a DGSFP supervísano segundo o tipo de entidade.
Que significa para o seu programaComo provedor TIC apoiamos as súas obrigas: cláusulas contractuais, notificación de incidentes, plans de saída, participación nas probas e a información que necesita o seu rexistro.
FonteRegulamento (UE) 2022/2554, EUR-Lex (abre un sitio web externo)
- Regulamento de IA da UEÁmbitoToda a UE
A IA usada para avaliar a solvencia das persoas ou para fixar prezos en función do risco nos seguros de vida e de saúde é de alto risco. Os provedores e os responsables do despregamento necesitan xestión de riscos, gobernanza dos datos, rexistro da actividade, supervisión humana e documentación. Segundo a modificación de 2026, estas obrigas aplícanse desde o 2 de decembro de 2027.
Que significa para o seu programaClasificamos cada caso de uso de forma temperá, integramos a supervisión humana no proceso e elaboramos documentación que encaixa no seu marco de risco de modelos.
FonteRegulamento (UE) 2024/1689, EUR-Lex (abre un sitio web externo)
- Paquete da UE contra o branqueo de capitais (AMLR e AMLA)ÁmbitoToda a UE
O Regulamento contra o branqueo de capitais substitúe as normas nacionais de dilixencia debida coa clientela por un único corpo de normas da UE desde o 10 de xullo de 2027. A nova autoridade AMLA coordina os supervisores nacionais e supervisará directamente determinadas entidades de alto risco.
Que significa para o seu programaOs procesos de incorporación e de revisión necesitan un tratamento coherente das probas e pistas de auditoría. Deseñamos a recepción de documentos e os fluxos de expedientes para ese estándar.
FonteRegulamento (UE) 2024/1624, EUR-Lex (abre un sitio web externo)
- RXPD e decisións automatizadasÁmbitoToda a UE
O artigo 22 recoñece o dereito a non ser obxecto de decisións baseadas unicamente no tratamento automatizado que produzan efectos significativos, con excepcións que requiren garantías como a intervención humana e o dereito a impugnar a decisión.
Que significa para o seu programaDeseñamos procesos nos que unha persoa pode revisar, explicar e cambiar un resultado automatizado, e deixar constancia de que o fixo.
FonteRegulamento (UE) 2016/679, EUR-Lex (abre un sitio web externo)
- MiFID II e IDD: rexistros de asesoramentoÁmbitoToda a UE
As normas de distribución de investimentos e de seguros esixen avaliacións de idoneidade ou de esixencias e necesidades, e rexistros do asesoramento prestado. A IA que axuda ao persoal asesor pasa a formar parte dese rexistro.
Que significa para o seu programaOs asistentes rexistran o que mostraron e as fontes que usaron, para que o expediente de asesoramento siga completo e revisable.
FonteDirectiva 2014/65/UE, EUR-Lex (abre un sitio web externo)
- PSD2 e as próximas normas de servizos de pagamentoÁmbitoToda a UE
A PSD2 regula hoxe os servizos de pagamento e o acceso á banca aberta. As súas sucesoras, a PSD3 e o Regulamento de servizos de pagamento, acordáronse provisionalmente en 2025 e reforzarán a prevención da fraude e os requisitos de rendemento das API tras un período transitorio.
Que significa para o seu programaAs plataformas de API que se constrúen agora deberían prever obrigas máis estritas de rendemento, seguimento e intercambio de datos sobre fraude.
FonteDirectiva (UE) 2015/2366, EUR-Lex (abre un sitio web externo)
Casos de uso ilustrativos
Exemplo ilustrativoComprobación de documentos na incorporación
Os documentos de identidade e de titularidade extráense e contrástanse; o equipo de análise decide en cada caso marcado.
Asistente de coñecemento para o persoal asesor
Respostas sobre produtos, políticas e procedementos con fontes, dentro dos permisos de acceso de cada persoa.
Recepción e derivación de reclamacións
As reclamacións clasifícanse por tema e urxencia e derívanse cun resumo provisional, e os prazos que fixan as normas de atención de reclamacións quedan controlados.
Recepción de partes de sinistro
Os formularios de sinistro, as facturas e os informes lense e cotéxanse coa póliza; o persoal tramitador aproba o pagamento.
Funcións do núcleo detrás de API
As transaccións do mainframe expóñense como API e eventos documentados, para que as novas canles deixen de depender de ficheiros por lotes.
Plataformas nos servizos financeiros
Salesforce
Summit PartnerEspazos de traballo para o persoal asesor, procesos de incorporación e operacións de atención, conectados aos sistemas centrais e á recepción de documentos.
SAP
Gold PartnerFinanzas e consolidación do grupo, cos datos de SAP dispoñibles para a información regulatoria e de riscos con liñaxe documentada.
Os niveis de socio son os que ten FromNine. Os nomes de produtos son marcas comerciais dos seus respectivos titulares.
España
Supervisión española dentro dun marco europeo
En España, DORA aplícase desde o 17 de xaneiro de 2025 e a súa supervisión depende do tipo de entidade: o Banco de España para as entidades de crédito, de pagamento e de diñeiro electrónico; a Comisión Nacional do Mercado de Valores (CNMV) para as empresas de servizos de investimento, as xestoras de investimento colectivo e os mercados regulados; e a Dirección Xeral de Seguros e Fondos de Pensións (DGSFP) para as aseguradoras, as reaseguradoras e os fondos de pensións e as súas xestoras. O Banco de España e a CNMV teñen procedementos para notificar incidentes graves.
DORA, o Regulamento de IA e o paquete contra o branqueo de capitais son comúns a toda a UE, e desde 2028 a AMLA supervisará directamente algunhas entidades. Deseñamos a entrega para que as evidencias se produzan unha vez e se poidan mostrar a calquera supervisor: documentación de arquitectura e de modelos, rexistros, resultados de probas e plans de saída actualizados cada vez que cambia o sistema.
- DORARegulamento (UE) 2022/2554 sobre a resiliencia operativa dixital do sector financeiro (DORA) (abre un sitio web externo)
- Regulamento de intelixencia artificialRegulamento (UE) 2024/1689 de intelixencia artificial (abre un sitio web externo)
- Regulamento contra o branqueo de capitaisRegulamento (UE) 2024/1624 relativo á prevención do branqueo de capitais e do financiamento do terrorismo, coa AMLA (abre un sitio web externo)
- RXPDRegulamento xeral de protección de datos (RXPD), Regulamento (UE) 2016/679 (abre un sitio web externo)
Preguntas frecuentes
Como apoian as nosas obrigas de DORA como provedor?
Acordamos as cláusulas contractuais que esixe DORA, notificamos os incidentes pola canle acordada, documentamos os plans de saída, participamos nas probas de resiliencia e achegamos a información que necesita o seu rexistro de provedores terceiros de servizos TIC.
Pódese usar a IA en decisións de crédito ou de subscrición?
Si, como uso de alto risco segundo o Regulamento de IA, con xestión de riscos, gobernanza dos datos, rexistro da actividade, supervisión humana e documentación. Deseñamos para que unha persoa adopte a decisión e a poida explicar, e respectamos as garantías do RXPD sobre as decisións automatizadas.
Onde se executan os modelos e os datos?
No contorno que permita o seu apetito de risco: a súa propia subscrición na nube, unha rexión da UE dunha nube pública ou os seus propios servidores para as cargas sensibles. As eleccións de modelo e de aloxamento documéntanse con opcións de saída para o seu rexistro de terceiros.
Temos que substituír a nosa plataforma central?
Non. Integramos por defecto e modernizamos por etapas: primeiro API e eventos arredor do núcleo, e só sacamos funcións onde compensa, con conciliación ata que se retira o camiño antigo.
Como avalían a IA xerativa en procesos regulados?
Con conxuntos de proba e criterios de calidade acordados cos seus equipos de riscos e de validación antes da posta en produción, seguimento despois e pasos de revisión para os resultados dubidosos. O proceso parte de que algúns resultados serán erróneos e diríxeos ás persoas.
O seu programa de servizos financeiros
Prevé usar IA na incorporación, no asesoramento ou nos sinistros, ou preparar os seus sistemas para as probas de DORA? Fale cun equipo de enxeñaría que deseña tanto para a supervisión como para as persoas usuarias.