A DORA trata um fornecedor de LLM como fornecedor terceiro de TIC?

Na prática, sim — um LLM na cloud é uma dependência terceira de TIC, pelo que recai sob os requisitos de gestão de risco, monitorização e plano de saída da DORA. Isso implica um inventário de fornecedores documentado, controlos contratuais e uma forma testada de mudar ou retirar.

O que exige a PSD2 quando a IA toca em dados de pagamento?

Os componentes de IA herdam a autenticação forte do cliente e os controlos de acesso da PSD2. Qualquer sistema que leia dados de conta ou de pagamento tem de respeitar as mesmas regras de autenticação, consentimento e privilégio mínimo que o resto do parque, com o GDPR a reger a dimensão de dados pessoais.

Voltar à Hawk Nest

Insights

Implicações da PSD2 e da DORA para a IA em serviços financeiros

A PSD2 e a DORA, em conjunto, definem as regras que a IA tem de seguir dentro de uma instituição financeira regulada. A PSD2 rege a autenticação forte do cliente e o acesso de terceiros a dados de pagamento; a DORA acrescenta deveres de resiliência operacional — gestão de risco de TIC, reporte de incidentes e supervisão de fornecedores terceiros, incluindo agora fornecedores de LLM e de IA na cloud. Qualquer implementação de IA herda ambas.

O artigo completo está em preparação. O resumo e as perguntas abaixo capturam o argumento central; a peça completa — com diagramas de arquitetura de referência e exemplos práticos — está para breve.

Perguntas relacionadas

A DORA trata um fornecedor de LLM como fornecedor terceiro de TIC?: Na prática, sim — um LLM na cloud é uma dependência terceira de TIC, pelo que recai sob os requisitos de gestão de risco, monitorização e plano de saída da DORA. Isso implica um inventário de fornecedores documentado, controlos contratuais e uma forma testada de mudar ou retirar.
O que exige a PSD2 quando a IA toca em dados de pagamento?: Os componentes de IA herdam a autenticação forte do cliente e os controlos de acesso da PSD2. Qualquer sistema que leia dados de conta ou de pagamento tem de respeitar as mesmas regras de autenticação, consentimento e privilégio mínimo que o resto do parque, com o GDPR a reger a dimensão de dados pessoais.