DORA e IA en servicios financieros: riesgo de terceros TIC para proveedores de modelos

Qué es DORA y por qué se aplica desde el 17 de enero de 2025

DORA es el Reglamento (UE) 2022/2554, de 14 de diciembre de 2022, que establece un marco único para gestionar el riesgo de las tecnologías de la información y la comunicación (TIC) en todo el sector financiero de la UE. Al ser un reglamento, se aplica directamente en cada Estado miembro sin transposición nacional y es aplicable desde el 17 de enero de 2025.

El texto se apoya en cinco pilares, cada uno correspondiente a un capítulo: gestión del riesgo TIC, tratamiento y notificación de incidentes relacionados con las TIC, pruebas de resiliencia operativa digital, gestión del riesgo de terceros TIC y acuerdos de intercambio de información. Para el despliegue de IA, el cuarto pilar es el más relevante, ya que rige las dependencias tecnológicas externas.

• Gestión del riesgo TIC (arts. 5–16): marco proporcionado y anclado en la gobernanza.
• Notificación de incidentes (arts. 17–23): clasificación y notificación de incidentes graves.
• Pruebas de resiliencia (arts. 24–27): incluidas pruebas de penetración guiadas por amenazas.
• Riesgo de terceros TIC (arts. 28–30): obligaciones contractuales y gobernanza del ciclo de vida.
• Intercambio de información (art. 45): intercambio voluntario de inteligencia sobre ciberamenazas.

Cómo los proveedores de IA y LLM se convierten en terceros TIC

DORA define los servicios TIC de forma amplia. Un modelo de lenguaje externo, una API de modelo, una base de datos vectorial o una plataforma de inferencia alojada suelen entrar en el concepto de servicio TIC en cuanto la entidad financiera depende de ellos. La externalización a un proveedor de IA no transfiere responsabilidad regulatoria: la entidad financiera sigue siendo plenamente responsable en todo momento.

El paso decisivo es la clasificación por funciones críticas o importantes. Cuando un servicio de IA respalda una función cuyo fallo perjudicaría materialmente la continuidad del negocio o el cumplimiento regulatorio, se aplican los requisitos reforzados de los artículos 28 y 30, con independencia de que el proveedor esté establecido dentro o fuera de la UE.

Registro, subcontratación y estrategias de salida

Con arreglo al artículo 28, las entidades financieras deben documentar todos los acuerdos de servicios TIC de terceros en un registro de información. La plantilla estándar la fija el Reglamento de Ejecución (UE) 2024/2956; recoge proveedores, alcance del contrato, ubicaciones del servicio, subcontratistas y clasificación de criticidad, y sirve además a las autoridades como base para designar proveedores críticos.

El artículo 30 fija las cláusulas contractuales obligatorias; para funciones críticas o importantes se añaden obligaciones reforzadas, incluidos plenos derechos de auditoría y acceso, condiciones de subcontratación y estrategias de salida documentadas. Una estrategia de salida debe abordar de forma realista la portabilidad de datos, los plazos de transición y las medidas de contingencia; el marco de evaluación de la subcontratación se concreta además en el Reglamento Delegado (UE) 2025/532.

Supervisión de proveedores críticos y pasos prácticos

El artículo 31 establece un marco de supervisión a escala de la UE para los terceros TIC designados como críticos (CTPP), coordinado por las tres Autoridades Europeas de Supervisión —EBA, EIOPA y ESMA— a través de un supervisor principal designado. El 18 de noviembre de 2025 las autoridades publicaron la primera lista oficial de 19 proveedores críticos designados. Dado que las grandes infraestructuras de nube e IA suelen apoyarse en los mismos pocos proveedores, el riesgo de concentración se convierte en una cuestión de gobernanza por derecho propio.

En la práctica, los bancos y las aseguradoras deben tratar sus dependencias de IA como cualquier otro servicio TIC crítico: inventariar, clasificar, contratar con solidez y probar la salida. Una visión central y auditable de los modelos, los flujos de datos y las cadenas de proveedores —como la que puede ofrecer una plataforma de gobernanza de IA— acorta el camino del inventario al cumplimiento demostrable.

• Registre cada servicio de IA/LLM en el registro de información (art. 28) y clasifíquelo por criticidad.
• Contraste los contratos con el artículo 30; haga transparentes las cadenas de subcontratación.
• Elabore y pruebe la viabilidad de las estrategias de salida para funciones críticas.
• Evalúe el riesgo de concentración cuando varias funciones dependan del mismo proveedor.