DORA e IA: resiliencia digital del sector financiero y Reglamento de IA
DORA y el Reglamento de IA se aplican a la vez a las entidades financieras que usan IA. Dónde se cruzan: riesgo TIC, incidentes y proveedores.
- Publicado
- 11.10.2026
- Nivel
- Técnico
- Ámbito
- UE
- Lectura
- 3 min
Estado normativo
Vigente- Normas
- Reglamento (UE) 2022/2554 (DORA), arts. 2, 19, 28, 30 y 64 · Reglamento (UE) 2024/1689, arts. 26 y 73
- Aplicable desde
- 17.01.2025
- Ámbito
- UE
En 30 segundos
El Reglamento DORA (UE) 2022/2554, aplicable desde el 17 de enero de 2025, regula la resiliencia operativa digital de las entidades financieras: riesgo TIC, notificación de incidentes y control de terceros proveedores. El Reglamento de IA se suma cuando una entidad usa o desarrolla IA. Para el alto riesgo, el RIA permite integrar parte de la gobernanza en las normas financieras internas. Son normas distintas, con autoridades y multas propias.
Contexto
El Reglamento (UE) 2022/2554, conocido como DORA, regula la resiliencia operativa digital del sector financiero. Es directamente aplicable en todos los Estados miembros desde el 17 de enero de 2025 (art. 64).
Se aplica a entidades de crédito, de pago y de dinero electrónico, empresas de servicios de inversión, aseguradoras y reaseguradoras, entre otras (art. 2).
El Reglamento (UE) 2024/1689 de Inteligencia Artificial (RIA o AI Act) se suma cuando una de esas entidades usa o desarrolla sistemas de IA.
Qué cambia: dónde se cruzan
| Tema | DORA | Reglamento de IA | Cómo encajan |
|---|---|---|---|
| Incidentes | Notificación de incidentes graves relacionados con las TIC a la autoridad competente, con notificación inicial, informe intermedio e informe final (art. 19) | Notificación de incidentes graves de sistemas de alto riesgo, hasta 15 días (art. 73) | Si ya hay obligaciones de información equivalentes en otra norma de la Unión, el art. 73 limita lo que se notifica por el RIA (art. 73, apdos. 9 y 10) |
| Terceros proveedores | Registro de todos los acuerdos con proveedores de servicios de TIC y cláusulas contractuales mínimas (arts. 28 y 30) | Obligaciones del proveedor de IA y del responsable del despliegue según el rol (art. 26) | Un proveedor de IA es también un tercero TIC: el contrato debe recoger las dos normas |
| Gobernanza interna | Marco de gestión del riesgo TIC en la entidad | Para entidades financieras, vigilancia del sistema y conservación de registros dentro de su gobernanza interna del Derecho financiero (art. 26, apdos. 5 y 6) | La gobernanza financiera existente se aprovecha para parte de las obligaciones del RIA |
| Multas | Régimen sancionador de DORA: pendiente de confirmar en fuente primaria | 35 millones o el 7 %, 15 millones o el 3 % (art. 99) | Independientes: se pueden sumar |
Qué cambia, por actor
Bancos y aseguradoras que usan IA de terceros. Son responsables del despliegue en el RIA y entidades financieras en DORA. El contrato con el proveedor debe incluir lo que pide el art. 30 de DORA y permitir cumplir el art. 26 del RIA.
Proveedores de IA al sector financiero. Son terceros proveedores TIC para sus clientes y proveedores en el RIA. Deben poder aportar instrucciones, registros y notificar incidentes.
Entidades que usan IA de alto riesgo en crédito y seguros. Los sistemas de solvencia y de seguros de vida y de salud son de alto riesgo, desde el 2 de diciembre de 2027. Ver la guía de banca y seguros.
Qué hacer ahora
- Añade tus sistemas de IA al registro de acuerdos con proveedores TIC.
- Revisa los contratos con proveedores de IA frente al art. 30 de DORA y al art. 26 del RIA.
- Unifica el procedimiento de incidentes para cubrir los dos regímenes. Ver el art. 73.
- Clasifica tus sistemas de crédito y seguros con el clasificador.
Puntos abiertos
- Criterios concretos de las autoridades financieras sobre cómo combinar los dos regímenes en la práctica.
- Plazos exactos de notificación de incidentes de DORA, que fijan normas técnicas: no se recogen aquí por no haberse contrastado en fuente primaria.
Preguntas frecuentes
¿Si cumplo DORA ya cumplo el Reglamento de IA?
No. DORA cubre la resiliencia TIC. El Reglamento de IA añade obligaciones propias de los sistemas de IA, como la clasificación de riesgo, la transparencia o la supervisión humana.
¿Se aplica DORA a una fintech?
Depende de si es una de las entidades del art. 2, como las de pago o de dinero electrónico. Si lo es, aplica DORA y, si usa IA, el RIA.
¿Mi proveedor de IA es un tercero TIC?
Normalmente sí: presta un servicio digital a la entidad. Debe constar en el registro de acuerdos contractuales del art. 28.
Sigue leyendo
- GuíaIA en banca, crédito y seguros: obligaciones del Reglamento de IA para scoring y tarificación
- Ficha normativaNotificación de incidentes graves de IA (art. 73 del Reglamento de IA): plazos de 2, 10 y 15 días
- Ficha normativaObligaciones de quien usa IA de alto riesgo (art. 26 del Reglamento de IA): la lista completa
- AnálisisRGPD y Reglamento de IA: cómo se aplican juntos a un sistema de inteligencia artificial
- AnálisisNIS2 e IA: cómo se cruzan la Directiva de ciberseguridad y el Reglamento de IA
Todas las piezas de Regulación · Calendario · Glosario · Reglamento artículo a artículo
Fuentes
- [1]Reglamento (UE) 2022/2554 (DORA), texto en EUR-LexConsultado el 11.10.2026
- [2]Reglamento (UE) 2024/1689, texto consolidado a 27.7.2026 (EUR-Lex)Consultado el 11.10.2026
Cómo citar esta página
regulacionia.com (2026). «DORA e IA: resiliencia digital del sector financiero y Reglamento de IA». regulacionia.com, actualizado el 11.10.2026. https://regulacionia.com/regulacion/dora-e-ia-sector-financiero-reglamento-ia