Gilt DORA für uns, wenn wir einen KI-Agenten nur im eingehenden Support einsetzen?

Ist Ihr Haus ein erfasstes Finanzunternehmen, gilt DORA für das Haus und für die IKT, auf die es sich stützt. Der Kanal ändert daran nichts. Mit dem Anwendungsfall ändert sich, welche Anforderungen am stärksten greifen: eine eingehende Supportlinie landet meist bei Vorfallsklassifizierung und Drittanbieterunterlagen, nicht bei bedrohungsgeleiteten Tests.

Ist Audact ein kritischer IKT-Drittanbieter?

Nein. Diese Einstufung nehmen die Europäischen Aufsichtsbehörden nach Artikel 31 vor, und sie betrifft Anbieter, deren Ausfall die Finanzstabilität in der Breite berührt. Audact ist ein gewöhnlicher IKT-Drittanbieter. Für die Vereinbarung zwischen uns gelten damit die vertraglichen Anforderungen aus Artikel 30.

Was bekommen wir für das Informationsregister?

Die veröffentlichte Liste der Unterauftragsverarbeiter und Abhängigkeiten, mit der jeweiligen Funktion und dem Ort der Verarbeitung. Das Informationsregister auszufüllen bleibt Pflicht des Finanzunternehmens selbst.

Wie lange werden die Datensätze aufbewahrt?

Für die vertraglich vereinbarte Frist. Compliance-Metadaten und Hashes sind das, woraus eine Quittung besteht, und bleiben die gesamte Frist erhalten; Audio ist eine eigene Einstellung und wird standardmäßig nicht aufbewahrt.

DORA

DORA: ein KI-Agent im regulierten Gespräch gehört zu Ihrer IKT-Landschaft.

Unmittelbar anwendbar seit 17. Januar 2025

Zuletzt geprüft: 5. Oktober 2026

DORA vereinheitlicht das IKT-Risikomanagement im europäischen Finanzsektor. Die Verordnung gilt unmittelbar, ohne nationale Umsetzung, und sie nimmt KI nicht aus. Sobald ein Sprachagent eine KYC-Prüfung, eine Schadenmeldung, eine Baufinanzierungsvorprüfung oder einen Zahlungsstreit bearbeitet, gehört diese Interaktion zur IKT-Landschaft des Unternehmens, mit denselben Erwartungen an Dokumentation, Tests, Meldungen und Aufzeichnungen wie jedes andere System darin.

Was das Gesetz verlangt

Ein dokumentiertes IKT-Risikomanagement-Rahmenwerk, das mindestens jährlich und nach jedem schwerwiegenden Vorfall überprüft wird.: Verordnung (EU) 2022/2554, Art. 5 und 6
IKT-bezogene Vorfälle müssen nach festgelegten Kriterien klassifiziert und schwerwiegende Vorfälle innerhalb der vorgesehenen Fristen an die zuständige Behörde gemeldet werden.: Verordnung (EU) 2022/2554, Art. 17-19
Ein Programm für Tests der digitalen operationalen Resilienz, mit bedrohungsgeleiteten Penetrationstests für als bedeutend eingestufte Unternehmen.: Verordnung (EU) 2022/2554, Art. 24-27
Vertragliche Anforderungen für jede IKT-Drittanbietervereinbarung und ein Informationsregister über alle davon, geführt auf Unternehmens-, teilkonsolidierter und konsolidierter Ebene.: Verordnung (EU) 2022/2554, Art. 28-30
Als kritisch eingestufte IKT-Drittanbieter unterliegen der unmittelbaren Überwachung durch die Europäischen Aufsichtsbehörden, mit Zwangsgeldern von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes.: Verordnung (EU) 2022/2554, Art. 31 und 35(8)
Es ist eine Verordnung und gilt seit dem 17. Januar 2025. Auf einen nationalen Umsetzungsschritt ist nicht zu warten.: Verordnung (EU) 2022/2554, Art. 64

Was Audact dazu tut

Jede gesteuerte Interaktion wird in dieselbe Kette geschrieben, die auch den Artikel-50-Nachweis trägt: ein Substrat, die Kontrollen je Regelwerk gesetzt.: Läuft heute
Ohne jeden Schlüssel kann eine Prüferin die Eingabe- und Ausgabe-Hashes nachrechnen und prüfen, dass jede Quittung auf die vorherige verweist. Die Merkle-Einbindung ist die vierte Prüfung und wird mit dem Einschlussnachweis aus dem Artikel-50-Bericht des Anrufs gegen die veröffentlichte Wurzel geprüft. Die Bestätigung des Authentifizierungscodes braucht den Schlüssel, den Audact verwahrt.: Läuft heute
Die veröffentlichte Liste der Unterauftragsverarbeiter und Abhängigkeiten nennt die Funktion jedes Eintrags und wo er läuft. Das Informationsregister auszufüllen bleibt Pflicht des Finanzunternehmens selbst.: Geplant
Ein Export in der Form einer aufsichtlichen Anfrage: Vorfallsdatensätze, Richtlinienentscheide, Interaktionsprotokolle und Residenznachweise in einem Paket.: In Entwicklung

Wo es greift

Die Gespräche, die einen Agenten in den Anwendungsbereich ziehen.

DORA nennt KI nicht; genau deshalb erfasst die Verordnung sie. Maßgeblich ist, ob das System eine regulierte Funktion unterstützt, und ein Sprachagent, der einen Schaden aufnimmt, eine Identität prüft, eine Finanzierung vorqualifiziert oder einen Zahlungsstreit vorsortiert, tut das offensichtlich.

Die praktische Folge ist keine neue Pflicht, sondern eine neue Stelle, an der der Nachweis einer bestehenden Pflicht zu suchen ist. Vorfallsklassifizierung, Resilienztests und Drittanbieterunterlagen galten schon für Ihre Telefonie und Ihr CRM. Der Agent sitzt dazwischen, und solange er keinen eigenen Datensatz erzeugt, ist er die Lücke in der Kette.

Was eine Prüferin nachrechnen kann

Drei Felder für jeden, ein viertes mit dem Einschlussnachweis, eines nur mit dem Schlüssel.

Die Quittung einer Interaktion trägt einen Eingabe-Hash, einen Ausgabe-Hash, die Verknüpfung zur vorherigen Quittung und einen Merkle-Einbindungspfad. Die ersten drei kann jeder nachrechnen, der den Datensatz hat: ohne Schlüssel, ohne Konto, ohne Anfrage bei uns. Der vierte, der Einschluss in der Merkle-Wurzel, wird mit dem Einschlussnachweis aus dem Artikel-50-Bericht des Anrufs gegen die veröffentlichte Wurzel geprüft.

Die Quittung trägt außerdem einen Authentifizierungscode, und der ist eine Aussage anderer Art: er wird mit einem symmetrischen Schlüssel berechnet, den Audact verwahrt. Sagen Sie das einer Aufsicht klar, dann wiegen die Felder darüber mehr, nicht weniger.

Hinweis

Information, keine Rechtsberatung.

Diese Seite gibt die Regeln so wieder, wie wir sie lesen, mit den Artikelnummern, damit Sie uns nachprüfen können. Sie ist keine Rechtsberatung, und Ihre eigene Lage hängt von Umständen ab, die diese Seite nicht kennt. Holen Sie qualifizierten Rat ein, bevor Sie sich darauf stützen.

Fragen

Gilt DORA für uns, wenn wir einen KI-Agenten nur im eingehenden Support einsetzen?: Ist Ihr Haus ein erfasstes Finanzunternehmen, gilt DORA für das Haus und für die IKT, auf die es sich stützt. Der Kanal ändert daran nichts. Mit dem Anwendungsfall ändert sich, welche Anforderungen am stärksten greifen: eine eingehende Supportlinie landet meist bei Vorfallsklassifizierung und Drittanbieterunterlagen, nicht bei bedrohungsgeleiteten Tests.
Ist Audact ein kritischer IKT-Drittanbieter?: Nein. Diese Einstufung nehmen die Europäischen Aufsichtsbehörden nach Artikel 31 vor, und sie betrifft Anbieter, deren Ausfall die Finanzstabilität in der Breite berührt. Audact ist ein gewöhnlicher IKT-Drittanbieter. Für die Vereinbarung zwischen uns gelten damit die vertraglichen Anforderungen aus Artikel 30.
Was bekommen wir für das Informationsregister?: Die veröffentlichte Liste der Unterauftragsverarbeiter und Abhängigkeiten, mit der jeweiligen Funktion und dem Ort der Verarbeitung. Das Informationsregister auszufüllen bleibt Pflicht des Finanzunternehmens selbst.
Wie lange werden die Datensätze aufbewahrt?: Für die vertraglich vereinbarte Frist. Compliance-Metadaten und Hashes sind das, woraus eine Quittung besteht, und bleiben die gesamte Frist erhalten; Audio ist eine eigene Einstellung und wird standardmäßig nicht aufbewahrt.

Sehen Sie einen echten Datensatz, bevor Sie die Prüfung planen

Proof geht eine echte Quittung Feld für Feld durch und markiert, welche Felder ein Dritter nachrechnen kann und welche den Schlüssel von Audact brauchen.

Eine Quittung ansehen