For en finansiel virksomhed under DORA er en AI-tjeneste købt som abonnement eller via API efter vores læsning en IKT-tjeneste, og leverandøren er en tredjepartsudbyder af IKT-tjenester. Det gør valget anderledes end i andre brancher: tjenesten skal i registret, aftalen skal opfylde DORA’s krav, og understøtter den en kritisk eller vigtig funktion, skal der være en exitstrategi.
DORA, forordning (EU) 2022/2554, har været gældende fra 17. januar 2025 og omfatter alene finansielle enheder. Vi gengiver den forenklet. “Efter vores læsning” angiver sitets fortolkning, og den konkrete placering af en tjeneste er et spørgsmål til jeres compliancefunktion eller advokat.
Hvorfor AI-tjenesten er omfattet
Efter art. 3, nr. 21, er en IKT-tjeneste en digital tjeneste eller datatjeneste, som leveres løbende via IKT-systemer til interne eller eksterne brugere. En tredjepartsudbyder af IKT-tjenester er en virksomhed, der leverer sådanne tjenester (nr. 19).
Ingen kilde, vi har læst, nævner AI-tjenester med de ord. Efter vores læsning passer en sprogmodel leveret som abonnement eller API på definitionen. Det samme gælder en AI-funktion i et system, I allerede køber, hvis den leveres løbende fra leverandøren.
Det, DORA kræver i valget
Registret. Alle aftaler om IKT-tjenester skal stå i registret over kontraktlige ordninger (art. 28, stk. 3). Det gælder også en AI-tjeneste, der kun bruges til intern skrivehjælp.
Vurdering før aftalen. Bærer tjenesten en kritisk eller vigtig funktion, skal virksomheden inden underskrift se på, om den bliver afhængig af en svært udskiftelig udbyder eller samler for mange aftaler hos én (art. 29, stk. 1). Det er koncentrationsrisikoen, og den er relevant for AI, hvor få udviklere står bag mange tjenester.
Aftalens indhold. Alle IKT-aftaler skal bl.a. give adgang til data og sikre, at de kan genskabes og leveres tilbage i et lettilgængeligt format, hvis udbyderen går konkurs, afvikles, eller aftalen ophører (art. 30, stk. 2, litra d). For kritiske eller vigtige funktioner skal aftalen også have en overgangsperiode, hvor udbyderen fortsat leverer, så virksomheden kan flytte (art. 30, stk. 3, litra f).
Exitstrategien. Ved kritiske eller vigtige funktioner kræves exitstrategier og exitplaner, der er dokumenterede og testede i tilstrækkeligt omfang (art. 28, stk. 8). Virksomheden skal have identificeret alternative løsninger. Hvordan exitstrategien skrives efter DORA, gennemgår exit-plan.dk.
Det, der er særligt ved en AI-tjeneste
Tre forhold gør AI-tjenesten anderledes end et almindeligt fagsystem.
Modellen udløber. Udbyderne udfaser modeller efter en plan. Et modelskift under en kritisk funktion er en ændring, som skal styres, og den kan påvirke kvaliteten. Det er beskrevet i modeller med udløbsdato.
Data i tilbagelevering. Art. 30’s krav om tilbagelevering af data rammer prompter, svar, logs, tilpasninger og indekser. Hvad en AI-tjeneste kan levere tilbage, og i hvilket format, er ofte uklart i standardvilkår. Spørg før aftalen.
Kæden bag tjenesten. En tjeneste bygger ofte på en model fra en anden udvikler og kører hos en tredje. DORA’s regler om underentreprise rammer derfor flere led end ved mange andre tjenester.
AI-forordningen for finansielle virksomheder
AI-forordningen har tre bestemmelser, der er særlige for finansielle institutioner:
- AI til kreditværdighedsvurdering af privatpersoner er højrisiko efter bilag III, pkt. 5, litra b, undtagen afsløring af svig. Reglerne skal gælde fra 2. december 2027.
- Finansielle institutioner opfylder pligten til overvågning og logning for højrisikosystemer gennem den finansielle regulering (art. 26, stk. 5 og 6).
- For højrisikosystemer, som finansielle institutioner bruger i direkte forbindelse med finansielle tjenester, er markedsovervågningsmyndigheden den myndighed, der fører finansielt tilsyn (art. 74, stk. 6), medmindre landet udpeger en anden (stk. 7).
Lovforslaget L 3 til en dansk AI-lov nævner ikke Finanstilsynet. Myndighederne skal efter forslagets § 2 fastsættes ved bekendtgørelse. Hvem der bliver dansk myndighed for finansielle højrisikosystemer, står ikke i noget, vi har kunnet finde.
Det, Finanstilsynet har sagt
Finanstilsynet udgav en rapport om brugen af kunstig intelligens i den finansielle sektor på grundlag af en spørgeskemaundersøgelse i foråret 2024. Formålet var bl.a. at ruste tilsynet til AI-forordningen. Rapporten beskriver, at virksomhederne for generativ AI typisk købte allerede udviklede modeller, som de derefter tilpassede. Det er netop den situation, hvor DORA’s regler om tredjepartsrisiko rammer.
Hvad det kræver, og hvad det koster at lade være
For hver AI-tjeneste tager det en til to dage at registrere aftalen, vurdere tjenestens betydning for kritiske funktioner og holde aftalen op mod art. 30. Understøtter tjenesten en kritisk funktion, kommer exitplanen og test af den oveni. Overslaget skrives som timer og dage, både lavt og højt sat.
Lader I være, står AI-tjenesten uden for den styring, tilsynet forventer for alle IKT-tjenester. Det viser sig ved en inspektion eller ved en hændelse, og så er der hverken registrering, vurdering eller exitplan at vise.
Det skal I lade være med
- At behandle en AI-tjeneste som et værktøj uden for registret · den er efter vores læsning en IKT-tjeneste.
- At overse modellen som en del af koncentrationsrisikoen · flere tjenester kan bygge på samme model.
- At gå ud fra, at højrisikoreglerne gælder · startdatoen er 2. december 2027.
Det skal valget kunne vise
- ☐ AI-tjenesten i registret med leverandør, model og formål.
- ☐ En vurdering af, om tjenesten bærer en kritisk eller vigtig funktion.
- ☐ Aftalens vilkår for tilbagelevering af data og overgangsperiode.
- ☐ Exitstrategi og alternativ, hvis funktionen er kritisk eller vigtig.
- ☐ Om tjenesten bruges til kreditvurdering af privatpersoner.
Kilder
- Forordning (EU) 2022/2554 (DORA), dansk tekst, art. 3, 28, 29 og 30, https://publications.europa.eu/resource/celex/32022R2554, læst november 2026.
- Forordning (EU) 2024/1689, dansk tekst, art. 26 og 74 og bilag III, https://publications.europa.eu/resource/celex/32024R1689, læst 8. november 2026.
- Finanstilsynet, Rapport om brugen af kunstig intelligens i den finansielle sektor, https://finanstilsynet.dk/Media/638628434082426731/Rapport%20om%20brugen%20af%20kunstig%20intelligens%20i%20den%20finansielle%20sektor.pdf, læst 8. november 2026.
- Forslag til AI-loven, L 3, § 2, https://www.retsinformation.dk/eli/ft/202612L00003, læst 8. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find ud af, om alle jeres AI-tjenester står i registret over IKT-aftaler.
Læs også: Modeller med udløbsdato · De oplysninger, I kan bede leverandøren om
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
