DORA și AI: un asistent este o dependență ICT, nu un experiment

DORA este despre reziliența operațională digitală a sectorului financiar. Nu menționează inteligența artificială ca pe un caz special și nici nu are nevoie. Un serviciu AI care susține un proces de business este un serviciu ICT și intră în același cadru ca orice altceva.

Responsabilitatea nu se mută

Articolul 28 alineatul (1) spune că entitățile financiare „shall manage ICT third-party risk as an integral component of ICT risk within their ICT risk management framework”, iar litera (a) elimină ieșirea obișnuită:

financial entities that have in place contractual arrangements for the use of ICT services to run their business operations shall, at all times, remain fully responsible for compliance with, and the discharge of, all obligations under this Regulation and applicable financial services law

Regulamentul (UE) 2022/2554, articolul 28 alineatul (1) litera (a)

Considerentul 64 spune același lucru mai simplu: „A financial entity should at all times remain fully responsible for complying with its obligations set out in this Regulation.”

Articolul 28 alineatul (1) litera (b) face apoi efortul proporțional, ținând cont de „the nature, scale, complexity and importance of ICT-related dependencies”. Un pilot cu doi utilizatori și un flux de producție din operațiunile de creditare nu sunt tratate la fel.

Ce trebuie să conțină contractul

Articolul 30 alineatul (2) enumeră conținutul minim al unui aranjament privind utilizarea serviciilor ICT. Litera (b) este cea care prinde serviciile AI:

the locations, namely the regions or countries, where the contracted or subcontracted functions and ICT services are to be provided and where data is to be processed, including the storage location, and the requirement for the ICT third-party service provider to notify the financial entity in advance if it envisages changing such locations

Regulamentul (UE) 2022/2554, articolul 30 alineatul (2) litera (b)

Litera (a) cere o descriere clară și completă a funcțiilor și serviciilor și dacă subcontractarea este permisă. Litera (c) acoperă disponibilitatea, autenticitatea, integritatea și confidențialitatea. Litera (d) acoperă accesul, recuperarea și returnarea datelor în cazul în care furnizorul intră în dificultate.

Aplicate unui serviciu AI din cloud, acestea nu sunt abstracte. Răspunsul privind locația poate depinde de o setare de implementare, subprocesarea trebuie descrisă, iar calea de ieșire trebuie să existe înainte să fie nevoie de ea.

Întrebările la care un furnizor trebuie să răspundă în scris

• Unde este furnizat serviciul și unde sunt procesate și stocate datele?
• Cine altcineva le procesează și în ce condiții?
• Ce se întâmplă în timpul unei întreruperi și care este obiectivul de recuperare?
• Poate serviciul fi înlocuit și cât ar dura?
• Ce se întâmplă când versiunea de model este retrasă?
• Cu cât timp înainte se anunță oricare dintre aceste schimbări?

DORA nu este un argument împotriva cloud-ului. Este un argument împotriva dependențelor pe care nu le-a scris nimeni.

Ce schimbă un appliance local și ce nu

Un appliance AI local nu elimină riscul operațional. Hardware-ul se poate defecta, software-ul poate ceda, iar un model poate greși cu convingere. Aceste riscuri se mută în registrul propriu al entității, nu dispar din el.

Ce se schimbă este forma dependenței. Locul prelucrării este sediul entității și nu se mută cu o setare dintr-o consolă. Nu există un endpoint extern de inferență a cărui disponibilitate stă în afara contractului. Versiunea modelului rămâne fixă până când cineva decide să o schimbe.

Pentru un flux care trebuie să funcționeze în continuare, acestea sunt proprietățile care contează în registru. Pentru restul, un serviciu din cloud bine documentat poate fi răspunsul mai bun, iar DORA acceptă oricare dintre variante atâta timp cât entitatea poate dovedi alegerea.