Wat er veranderde toen het ging gelden.
DORA
DORA: een AI-agent in een gereguleerd gesprek hoort bij uw ICT-landschap.
Laatst getoetst: 5 oktober 2026
DORA harmoniseert het ICT-risicobeheer in de Europese financiële sector. De verordening werkt rechtstreeks, zonder nationale omzetting, en zondert AI niet uit. Zodra een spraakagent een KYC-gesprek, een schademelding, een hypotheektoets of een betaalgeschil afhandelt, hoort die interactie bij het ICT-landschap van de instelling, met dezelfde eisen aan documentatie, testen, melden en vastleggen als elk ander systeem daarin.
Wat de wet vereist
- Een gedocumenteerd raamwerk voor ICT-risicobeheer, ten minste jaarlijks herzien en na elk ernstig incident.
- Verordening (EU) 2022/2554, art. 5 en 6
- ICT-incidenten moeten worden ingedeeld volgens vaste criteria, en ernstige incidenten binnen de voorgeschreven termijnen aan de bevoegde autoriteit worden gemeld.
- Verordening (EU) 2022/2554, art. 17-19
- Een testprogramma voor digitale operationele weerbaarheid, met dreigingsgestuurde penetratietests voor als significant aangemerkte entiteiten.
- Verordening (EU) 2022/2554, art. 24-27
- Contractuele eisen voor elke ICT-uitbestedingsafspraak, en een informatieregister over al die afspraken op entiteits-, subgeconsolideerd en geconsolideerd niveau.
- Verordening (EU) 2022/2554, art. 28-30
- Als kritiek aangemerkte ICT-dienstverleners vallen onder rechtstreeks toezicht van de Europese toezichthoudende autoriteiten, met dwangsommen tot 1% van de gemiddelde wereldwijde dagomzet.
- Verordening (EU) 2022/2554, art. 31 en 35(8)
- Het is een verordening en geldt sinds 17 januari 2025. Er is geen nationale omzettingsstap om op te wachten.
- Verordening (EU) 2022/2554, art. 64
Wat Audact daaraan doet
- Elke bestuurde interactie wordt weggeschreven in dezelfde keten die ook het artikel 50-attest draagt: één ondergrond, met de controles per regime gezet.
- Zonder enige sleutel kan een auditor de invoer- en uitvoerhash narekenen en controleren dat elke bon naar de vorige verwijst. De Merkle-insluiting is de vierde controle en wordt met het insluitingsbewijs uit het artikel 50-rapport van het gesprek tegen de gepubliceerde wortel gecontroleerd. Het bevestigen van de authenticatiecode vraagt een sleutel die Audact beheert.
- De gepubliceerde lijst met subverwerkers en afhankelijkheden noemt per vermelding de functie en waar die draait. Het informatieregister invullen blijft de eigen plicht van de financiële entiteit.
- Gepland
- Eén export in de vorm van een toezichtsvraag: incidentregistraties, beleidsoordelen, interactielogs en residentieverklaringen in één pakket.
- In ontwikkeling
Waar het raakt
De gesprekken die een agent binnen bereik brengen.
DORA noemt AI niet, en juist daarom bereikt de verordening het. De toets is of het systeem een gereguleerde functie ondersteunt, en een spraakagent die een schade opneemt, een identiteit verifieert, een hypotheek voortoetst of een betaalgeschil sorteert, doet dat onmiskenbaar.
Het praktische gevolg is geen nieuwe plicht maar een nieuwe plek om het bewijs van een bestaande plicht te zoeken. Incidentindeling, weerbaarheidstests en leveranciersdossiers golden al voor uw telefonie en uw CRM. De agent zit daartussen, en zolang hij geen eigen vastlegging maakt, is hij het gat in de keten.
Wat een auditor kan narekenen
Drie velden voor iedereen, een vierde met het insluitingsbewijs, één met de sleutel.
De bon van een interactie draagt een invoerhash, een uitvoerhash, de schakel naar de bon ervoor, en een Merkle-insluitingspad. De eerste drie kan iedereen narekenen die het record heeft: zonder sleutel, zonder account, zonder ons iets te hoeven vragen. De vierde, de insluiting in de Merkle-wortel, wordt met het insluitingsbewijs uit het artikel 50-rapport van het gesprek tegen de gepubliceerde wortel gecontroleerd.
De bon draagt daarnaast een authenticatiecode, en dat is een bewering van een andere soort: die wordt berekend met een symmetrische sleutel die Audact bewaart. Zeg dat een toezichthouder ronduit, en de velden hierboven wegen zwaarder, niet lichter.
Let op
Informatie, geen juridisch advies.
Deze pagina geeft de regels weer zoals wij ze lezen, met de artikelnummers erbij zodat u ons kunt nakijken. Het is geen juridisch advies, en uw eigen positie hangt af van omstandigheden die deze pagina niet kent. Laat u adviseren door een jurist voordat u erop steunt.
Vragen
- Geldt DORA voor ons als we een AI-agent alleen inkomend gebruiken?
- Is uw instelling een onder DORA vallende financiële entiteit, dan geldt de verordening voor de instelling en voor de ICT waarop die steunt. Het kanaal verandert dat niet. Wat met het gebruiksgeval verandert, is welke eisen het hardst raken: een inkomende supportlijn landt meestal bij incidentindeling en leveranciersdossiers, niet bij dreigingsgestuurde tests.
- Is Audact een kritieke ICT-dienstverlener?
- Nee. Die aanwijzing doen de Europese toezichthoudende autoriteiten op grond van artikel 31, en ze geldt voor aanbieders van wie uitval de financiële stabiliteit in de breedte raakt. Audact is een gewone ICT-dienstverlener, wat betekent dat de contractuele eisen van artikel 30 gelden voor de afspraak tussen ons.
- Wat krijgen we voor het informatieregister?
- De gepubliceerde lijst met subverwerkers en afhankelijkheden, met per partij de functie en de plaats van verwerking. Het informatieregister invullen blijft de eigen plicht van de financiële entiteit.
- Hoe lang blijven de vastleggingen bewaard?
- De in het contract afgesproken termijn. Compliancemetadata en hashes zijn waar een bon uit bestaat en blijven die hele termijn staan; audio is een aparte instelling en wordt standaard niet bewaard.
Kijk eerst naar een echte vastlegging
Proof loopt een echte bon veld voor veld door en markeert welke velden een derde kan narekenen en welke de sleutel van Audact vragen.
Verwante pagina's
De datum 17 januari 2025 MiCA De cryptokant van dezelfde instelling.
EU AI-verordening artikel 50 De mededelingsplicht in hetzelfde gesprek.
Financiële dienstverlening De processen waarin dit opduikt.
Multi-regulation-export Eén pakket, meerdere regimes.
Alle kaders