Gäller
Dora: Regler om digital operativ motståndskraft gäller
IKT-risk, register över tredjepartsleverantörer, incidentrapportering och tester.
Finansiella tjänster
AI och plattformar som tål tillsynens granskning.
Det här bygger vi för banker, försäkringsbolag, fondbolag, pensions- och betalningsföretag: AI som går att förklara för Finansinspektionen, integration som respekterar kärnsystemen och drift som utformas kring Dora från första arkitekturbeslutet.
För banker, försäkringsbolag, pensions- och betalningsföretag under Finansinspektionens tillsyn och de europeiska tillsynsmyndigheterna EBA, Eiopa, Esma och AMLA.
17 januari 2025
Dora tillämpas
IKT-riskhantering, register över IKT-tredjepartsleverantörer, incidentrapportering och tester av motståndskraft. Finansinspektionen är behörig myndighet.
10 juli 2027
EU:s penningtvättsförordning tillämpas
Ett gemensamt regelverk för kundkännedom i hela EU, med den nya myndigheten AMLA.
2 december 2027
AI-förordningens krav för kredit och försäkring
Kreditprövning och riskbaserad prissättning av liv- och sjukförsäkring räknas som hög risk; datum efter 2026 års ändring.
Det här förändras för finansiella företag
Motståndskraft är nu ett lagkrav
Dora gör digital operativ motståndskraft till konkreta skyldigheter: IKT-riskhantering, ett register över alla avtal med IKT-tredjepartsleverantörer, klassificerad incidentrapportering och regelbundna tester. I Sverige kompletteras förordningen av lag (2024:1278), och Finansinspektionen är behörig myndighet. Moln- och AI-leverantörer ingår nu i det som tillsynen granskar.
AI-beslut måste gå att granska i efterhand
Kreditprövning och prissättning av försäkringar blir användningsfall med hög risk enligt AI-förordningen. Hanteringen av modellrisk måste omfatta maskininlärning och generativa modeller, med dokumentation, övervakning och mänsklig kontroll i proportion till påverkan.
Kunderna jämför med sin bästa app
Omedelbara betalningar, kontroll av betalningsmottagare och öppna bankgränssnitt har höjt förväntningarna på snabbhet och transparens. Nästa generations regler för betaltjänster skärper kraven på bedrägeriskydd och API-kvalitet ytterligare.
Kärnsystemen bär decennier av logik
Stordatorer och kärnsystem för fortfarande böckerna. Förändringen måste ske runt dem, via API:er och händelser, utan att stabiliteten eller den regulatoriska rapporteringen sätts på spel.
Utmaningar och vad vi bygger
- Utmaningen
Kundkännedom vid start och vid återkommande kontroller bygger på att analytiker läser dokument manuellt.
Vårt svarDokumenttolkning extraherar och kontrollerar underlag om identitet, ägarförhållanden och medlens ursprung. Analytiker granskar flaggade fall, och varje kontroll loggas för revision och för EU:s kommande penningtvättsregler.
- Utmaningen
Rådgivare och kundtjänst söker i fem system för att besvara en enda fråga.
Vårt svarEn behörighetsstyrd assistent för produkter, villkor och rutiner som anger sina källor och registrerar vad som visades, så att dokumentationen av rådgivningen blir komplett.
- Utmaningen
Varje ändring i kärnsystemet är långsam, dyr och riskabel.
Vårt svarVi gör kärnfunktioner tillgängliga via API:er och händelseflöden, flyttar ut funktioner steg för steg och låter avstämningen löpa tills den gamla vägen kan avvecklas.
- Utmaningen
Dora-registret och incidentflödet finns i kalkylblad.
Vårt svarVi bygger in informationsregistret, incidentklassningen och rapporteringsflödena i dina verktyg för it-tjänstehantering och moln, kopplade till de kritiska funktioner de stöder.
- Utmaningen
Modeller som inte går att förklara klarar inte valideringen.
Vårt svarEtt utvärderingsramverk som stäms av med risk- och valideringsfunktionerna: testdata, förklarbarhet där beslutet kräver det, övervakning av modelldrift och en dokumenterad mänsklig överprövning.
- Utmaningen
Tillsynsrapporterna stäms av manuellt varje kvartal.
Vårt svarDataflöden med dokumenterad härkomst och automatiska kvalitetskontroller enligt principerna i BCBS 239, så att siffrorna kan spåras tillbaka till källan.
Ett referenslandskap med kontrollen först
Så placeras AI mellan kanaler och kärnsystem, med ett godkännandesteg före varje beslut med konsekvenser och Doras kontroller i varje lager.
Illustrativt exempel
AI-tjänsterna når kärnsystemen bara via integrationslagret. Doras kontroller gäller varje komponent.
Läs diagrammet som text
Kunder, rådgivare och kundtjänst använder kanalerna app, webb, kontor och kontaktcenter.
Bakom kanalerna finns tre AI-tjänster: mottagning av handlingar för kundkännedom, en assistent för rådgivare och kundtjänst, och ett godkännandesteg hos en analytiker som varje beslut med konsekvenser passerar.
AI-tjänsterna når kärnsystemen bara via ett integrationslager med API:er och händelseflöden. Kärnsystemen är bank- eller försäkringssystemet, CRM- och serviceplattformen och en dataplattform med dokumenterad härkomst.
Längs alla lager löper Doras kontroller: IKT-riskhantering, registret över IKT-tredjepartsleverantörer, klassning och rapportering av incidenter och tester av motståndskraft. Varje modell registreras, valideras och övervakas inom ramen för modellriskhanteringen.
Godkännande före konsekvens
AI skriver utkast, extraherar och föreslår. Beslut om kredit, skadeersättning eller begränsningar av konton fattas av en namngiven person.
Förklarbart från början
Hur mycket förklaring som krävs bestäms per beslutstyp i designen, inte i efterhand inför valideringen.
Exit- och koncentrationsrisk
Moln- och modelleverantörer väljs med exitplaner och alternativa leverantörer dokumenterade för informationsregistret.
Loggar som bevis
Indata, utdata, modellversioner och godkännanden sparas så att tillsyn och revision kan rekonstruera varje ärende.
Regeldatum för finansiella företag
Datum som ändrar vad en leveranspartner måste kunna visa. Finansinspektionen och de europeiska tillsynsmyndigheterna lägger till riktlinjer och tekniska standarder.
Gäller
AI-förordningen: Förbud mot vissa AI-användningsområden och krav på AI-kunnighet
Gäller
AMLA: EU:s myndighet mot penningtvätt inleder sitt arbete
Förbereder det gemensamma regelverket och den direkta tillsynen över utvalda institut.
Gäller
Förordningen om omedelbara betalningar: Kontroll av betalningsmottagare krävs för överföringar i euro
Betaltjänstleverantörer i euroområdet kontrollerar mottagarens namn innan en överföring genomförs.
Gäller
AI-förordningen: Krav på transparens gäller
Kunder ska få veta när de har kontakt med ett AI-system.
Läget den 2 oktober 2026
Kommande
Penningtvättsförordningen: Gemensamt EU-regelverk tillämpas
Kundkännedom, verkligt huvudmannaskap och krav på dokumentation harmoniseras.
Kommande
AI-förordningen: Krav för hög risk gäller
Bland annat kreditprövning och prissättning av liv- och sjukförsäkring, efter 2026 års ändring.
Kommande
AMLA: Direkt tillsyn över utvalda institut börjar
Regelverk och standarder
De regelverk som oftast styr AI- och plattformsarbete i finansiella företag, och vad vart och ett innebär för ett leveransprojekt.
Översikten är ett underlag för planering. Den är inte juridisk rådgivning eller rådgivning i tillsynsfrågor. EU-datum kontrollerade den 2 oktober 2026, svenska uppgifter den 5 november 2026.
- DoraOmfattningHela EU
Förordningen om digital operativ motståndskraft för finanssektorn gäller sedan den 17 januari 2025 för banker, försäkringsbolag, värdepappersbolag, betalningsinstitut och andra finansiella företag. Den omfattar IKT-riskhantering, incidentrapportering, tester av motståndskraft och hantering av risker med IKT-tredjepartsleverantörer, inklusive centrala avtalsvillkor (artikel 30). I Sverige är Finansinspektionen behörig myndighet enligt lag (2024:1278).
Vad det innebär för ditt projektSom IKT-leverantör stöder vi dina skyldigheter: avtalsvillkor, incidentrapportering, exitplaner, deltagande i tester och de uppgifter som ditt informationsregister behöver.
KällaFörordning (EU) 2022/2554, EUR-Lex (öppnar en extern webbplats)
- AI-förordningenOmfattningHela EU
AI som används för att bedöma enskildas kreditvärdighet eller för riskbaserad prissättning av liv- och sjukförsäkring räknas som hög risk. Leverantörer och tillhandahållare behöver riskhantering, datastyrning, loggning, mänsklig kontroll och dokumentation. Efter 2026 års ändring gäller kraven från den 2 december 2027. Regeringen har gett Finansinspektionen uppdrag som marknadskontrollmyndighet för kreditprövning inom sitt tillsynsområde och för prissättning av liv- och sjukförsäkring till och med den 31 december 2026.
Vad det innebär för ditt projektVi riskklassar varje användningsfall tidigt, bygger in mänsklig kontroll i processen och tar fram dokumentation som passar ditt ramverk för modellrisk.
KällaFörordning (EU) 2024/1689, EUR-Lex (öppnar en extern webbplats)
- EU:s penningtvättspaket (AMLR och AMLA)OmfattningHela EU
Penningtvättsförordningen ersätter nationella regler om kundkännedom med ett gemensamt EU-regelverk från den 10 juli 2027. Den nya myndigheten AMLA samordnar de nationella tillsynsmyndigheterna och kommer att utöva direkt tillsyn över vissa institut med hög risk.
Vad det innebär för ditt projektProcesserna för kundkännedom behöver enhetlig hantering av underlag och full spårbarhet. Vi utformar dokumentmottagning och ärendeflöden för den nivån.
KällaFörordning (EU) 2024/1624, EUR-Lex (öppnar en extern webbplats)
- Dataskyddsförordningen och automatiserade beslutOmfattningHela EU
Artikel 22 i dataskyddsförordningen (GDPR) ger den registrerade rätt att inte bli föremål för beslut som enbart grundas på automatiserad behandling och som i betydande grad påverkar den registrerade. Undantagen kräver skyddsåtgärder som mänskligt ingripande och rätt att bestrida beslutet.
Vad det innebär för ditt projektVi utformar processer där en människa kan granska, förklara och ändra ett automatiserat utfall, och registrerar att det har skett.
KällaFörordning (EU) 2016/679, EUR-Lex (öppnar en extern webbplats)
- MiFID II, IDD och dokumentation av rådgivningOmfattningHela EU
Reglerna för investeringstjänster och försäkringsdistribution kräver lämplighetsbedömningar eller en kartläggning av kundens krav och behov, och dokumentation av den rådgivning som lämnats. AI som stöder rådgivare blir en del av den dokumentationen.
Vad det innebär för ditt projektAssistenterna loggar vad de visade och vilka källor de använde, så att rådgivningsdokumentationen blir komplett och går att granska.
KällaDirektiv 2014/65/EU, EUR-Lex (öppnar en extern webbplats)
- PSD2 och nästa regler för betaltjänsterOmfattningHela EU
PSD2 reglerar i dag betaltjänster och tredje parters åtkomst till konton via öppna gränssnitt. Efterföljarna, PSD3 och betaltjänstförordningen, fick en preliminär överenskommelse 2025 och skärper kraven på bedrägeriskydd och API-prestanda efter en övergångsperiod.
Vad det innebär för ditt projektAPI-plattformar som byggs nu bör förutse strängare krav på prestanda, övervakning och delning av uppgifter om bedrägerier.
KällaDirektiv (EU) 2015/2366, EUR-Lex (öppnar en extern webbplats)
Illustrativa användningsfall
Illustrativt exempelKontroll av handlingar för kundkännedom
Id-handlingar och underlag om ägarförhållanden extraheras och stäms av; analytiker beslutar i varje flaggat fall.
Kunskapsassistent för rådgivare
Svar om produkter, villkor och rutiner med källor, inom rådgivarens behörighet.
Mottagning och fördelning av klagomål
Klagomål klassas efter ämne och brådska och skickas vidare med ett utkast till sammanfattning, och tidsfristerna i reglerna för klagomålshantering följs upp.
Mottagning av skadeärenden
Skadeanmälningar, fakturor och utlåtanden läses och matchas mot försäkringen; skadereglerare godkänner utbetalningen.
Kärnfunktioner bakom API:er
Transaktioner i stordatorn görs tillgängliga som dokumenterade API:er och händelser, så att nya kanaler inte längre är beroende av batchfiler.
Plattformar inom finansiella tjänster
Salesforce
Summit PartnerArbetsytor för rådgivare, kundresor vid start och kundtjänst, kopplade till kärnsystem och dokumentmottagning.
SAP
Gold PartnerEkonomi och koncernrapportering, med SAP-data tillgängliga för risk- och tillsynsrapportering med dokumenterad härkomst.
Partnernivåerna är FromNines egna. Produktnamnen är varumärken som tillhör respektive ägare.
Sverige
Byggt för svensk och europeisk tillsyn
Finansiella företag i Sverige står under Finansinspektionens tillsyn, och från 2028 kommer vissa att stå under direkt tillsyn av AMLA. Dora, AI-förordningen och penningtvättspaketet gäller i hela EU, men den svenska tillämpningen har egna inslag. Lag (2024:1278) kompletterar Dora med Finansinspektionen som behörig myndighet. Enligt cybersäkerhetslagen (2025:1506) är Finansinspektionen tillsynsmyndighet för bankverksamhet och finansmarknadsinfrastruktur. Regeringen har också gett Finansinspektionen uppdrag som marknadskontrollmyndighet enligt AI-förordningen för kreditprövning och prissättning av liv- och sjukförsäkring till och med den 31 december 2026.
Vi utformar leveransen så att underlaget tas fram en gång och kan visas för var och en av dem: arkitektur- och modelldokumentation, loggar, testresultat och exitplaner som hålls aktuella när systemet förändras.
- DORAFörordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn (DORA) (öppnar en extern webbplats)
- AI-förordningenFörordning (EU) 2024/1689 om harmoniserade regler för artificiell intelligens (förordning om artificiell intelligens) (öppnar en extern webbplats)
- penningtvättsförordningen (AMLR)Förordning (EU) 2024/1624 om åtgärder för att förhindra att det finansiella systemet används för penningtvätt eller finansiering av terrorism (gemensamt regelverk), med AMLA (öppnar en extern webbplats)
- dataskyddsförordningenDataskyddsförordningen (GDPR), förordning (EU) 2016/679 (öppnar en extern webbplats)
- cybersäkerhetslagenCybersäkerhetslag (2025:1506) som genomför NIS 2-direktivet; Nationellt cybersäkerhetscenter (NCSC) vid FRA meddelar föreskrifterna och sektorsmyndigheterna utövar tillsyn (öppnar en extern webbplats)
Vanliga frågor
Hur stöder ni som leverantör våra skyldigheter enligt Dora?
Vi avtalar de villkor som Dora kräver, rapporterar incidenter via den överenskomna kanalen, dokumenterar exitplaner, deltar i tester av motståndskraft och lämnar de uppgifter som ditt register över IKT-tredjepartsleverantörer behöver. Underlaget är utformat så att det kan visas för Finansinspektionen.
Kan AI användas i kreditbeslut eller vid riskbedömning av försäkringar?
Ja, som ett användningsfall med hög risk enligt AI-förordningen, med riskhantering, datastyrning, loggning, mänsklig kontroll och dokumentation. Vi utformar processen så att en människa fattar beslutet och kan förklara det, och så att dataskyddsförordningens skydd vid automatiserade beslut respekteras.
Var körs modeller och data?
I den miljö som din riskaptit tillåter: din egen molnmiljö, en EU-region hos en publik molnleverantör eller egna servrar för känsliga arbetslaster. Val av modell och drift dokumenteras med exitalternativ för ditt register över tredjepartsleverantörer.
Måste vi byta ut vårt kärnsystem?
Nej. Vi integrerar i första hand och moderniserar stegvis: först API:er och händelser runt kärnan, sedan flyttar vi ut funktioner bara där det lönar sig, med avstämning tills den gamla vägen avvecklas.
Hur utvärderar ni generativ AI i reglerade processer?
Med testdata och kvalitetskriterier som stäms av med risk- och valideringsfunktionerna före release, övervakning efter release och granskningssteg för osäkra svar. Processen utgår från att en del svar blir fel och skickar dem vidare till människor.
Prata med oss om ditt projekt inom finans
Planerar du AI för kundkännedom, rådgivning eller skadereglering, eller förbereder du din it-miljö för Dora-tester? Prata med utvecklare som bygger för tillsynen lika väl som för användarna.