Läser in
Läser in
Banker skiljer sig från övriga sektorer genom koncentrationen av kreditbeslut, bedrägeridetektion, AML och KYC-processer. Flera svenska banker har dessutom aktiverat Copilot brett för sina anställda, vilket triggar Art. 4 kompetens och Art. 50 transparens på toppen av de högriskområden som redan identifierats.
Banker skiljer sig också genom att DORA (EU 2022/2554) redan gäller sedan 17 januari 2025. Mycket av DORA-ramverket överlappar med AI Act Art. 15 cybersäkerhetskrav. Korrekt strukturerad compliance-modell återanvänder DORA-dokumentationen där den är tillräcklig.
| Punkt | Tillämpning i bank och finans |
|---|---|
| III.5b | Kreditvärdighetsbedömning för privatpersoner och små företag |
| III.1 | Biometri i KYC (ansiktsverifiering, röst, fingeravtryck) |
| III.4 | HR-beslut i bank (rekrytering, performance, intern rörelse) |
| III.5c | AI i prioritering av akut-ärenden vid systemhaveri |
| Användningsområde | Typiska leverantörer | Risknivå |
|---|---|---|
| Kreditbedömning av privatpersoner | Interna modeller, FICO, Experian Ascend, SAS Credit Scoring | Hög (III.5b) |
| Bedrägeridetektion på kort och betalningar | Feedzai, NICE Actimize, Featurespace | Hög vid automatiserad blockering |
| AML och transaktionsövervakning | SAS AML, Oracle FCCM, ComplyAdvantage | Begränsad till hög |
| KYC via biometri | IDEMIA, Onfido, Scrive, Jumio | Hög (III.1) |
| Kundserviceautomation (chatbot) | IBM watsonx, Microsoft Copilot Studio, egen LLM | Begränsad till hög |
| Portföljoptimering och robo-advising | BlackRock Aladdin, SS&C Algorithmics, Kidbrooke | Hög vid direktbeslut mot kund |
| LLM för dokumentreview | Microsoft Copilot Financial Services, Harvey, Relativity aiR | Minimal till begränsad |
| Motpartsriskbedömning | Moody's Analytics, S&P Global | Begränsad till hög |
Banker är NIS2 Bilaga I och väsentlig entitet. Cybersäkerhetslagen och DORA gäller redan. AI Act läggs på som tredje lag. DORA Art. 5 till 15 ICT-riskhantering överlappar med AI Act Art. 15. DORA har företräde enligt Lex Specialis där områden överlappar, men NIS2 gäller för aspekter DORA inte täcker. Styrelsens personliga ansvar enligt 6 kap. Cybersäkerhetslagen är särskilt relevant eftersom DORA inte har motsvarande personligt ansvar.
Plattformen kombinerar DORA, NIS2 och AI Act i en gemensam styrningsmodell: AI-systemregister med dubbel klassificering (DORA ICT-kritikalitet plus AI Act risknivå), FRIA-workflow för kreditbedömningsmodeller som delar data med DPIA, incidentprocess som routar till Finansinspektionen (DORA), CERT-SE (NIS2), IMY (AI Act), leverantörsbedömning kombinerad med DORA-kritikalitetsbedömning för ICT-tredjepartsleverantörer.