Kepatuhan DORA NIS2 AI Act sebagai satu pekerjaan, analisis

Sebuah bank yang menerapkan AI di Eropa kini bisa mengadakan tiga rapat kepatuhan tentang sistem yang sama sebelum makan siang. Satu tim menyebutnya ketahanan operasional. Tim lain menyebutnya keamanan siber. Tim ketiga menyebutnya tata kelola AI. Modelnya, sayangnya, tidak peduli ia masuk ke daftar yang mana. Marco Eggerling, Field CISO di UiPath, mengajukan argumen yang lebih praktis: perlakukan DORA, NIS2, dan EU AI Act sebagai satu pekerjaan tata kelola. Dalam jawaban tertulis yang dilaporkan oleh The Fintech Times, ia mengatakan pertanyaan umumnya adalah apakah sebuah institusi dapat membuktikan kendali atas sistem yang tidak sepenuhnya dipahaminya dari ujung ke ujung. Itu bukan pertanyaan filosofis. Itu adalah masalah pengadaan, pencatatan log, respons insiden, dan pelaporan dewan yang memakai tiga lencana berbeda.

Tumpang tindihnya adalah intinya, menurut

The Fintech Times dan Digital Chiefs The Fintech Times membingkai masalahnya dengan jelas: bank-bank yang menerapkan AI di Eropa beroperasi di bawah DORA, direktif keamanan siber NIS2, dan EU AI Act pada saat yang sama. Media itu juga mencatat refleks institusional yang sudah akrab, yaitu memberi setiap rezim program, pemilik, dan daftar tersendiri. Eggerling berpendapat bahwa di sinilah masalah dimulai, karena kerangka-kerangka tersebut bertemu pada bukti ketahanan dan kendali, bukan pada estetika dokumen yang terpisah. Terjemahannya: jika sistem AI Anda gagal, bocor, bergeser, atau berperilaku buruk dalam produksi, pengawas tidak akan terkesan bahwa insiden tersebut diduplikasi dengan indah di tiga spreadsheet.

Digital Chiefs menempatkan konvergensi ini pada kalender, dengan menyatakan bahwa DORA telah aktif sejak Januari 2025, kewajiban berisiko tinggi EU AI Act dimulai pada Agustus 2026, dan penegakan NIS2 dimulai pada Oktober 2026. Tenggat yang tepat tidak sepenting realitas operasional yang diciptakannya. Lembaga keuangan tidak mendapatkan tiga musim implementasi yang rapi. Mereka mendapatkan kewajiban yang saling bertumpuk dan mendarat pada sistem, pemasok, serta pengambil keputusan yang sama.

Satu peta kontrol lebih baik daripada tiga daftar, menurut

The Fintech Times The Fintech Times melaporkan bahwa Eggerling melihat tata kelola melampaui sekadar mencentang kotak setelah sebuah model masuk produksi. Frasa itu memiliki makna penting. Departemen hukum mungkin mempertahankan kutipan hukum yang terpisah, tetapi tim engineering dan risiko membutuhkan satu peta sistem, dependensi, perilaku model, hak akses, log audit, jalur insiden, dan tanggung jawab vendor. Jika tidak, gangguan atau kegagalan model yang sama akan diselidiki tiga kali, biasanya oleh orang-orang yang menanyakan pertanyaan yang hampir identik dengan format yang sedikit berbeda.

Versi praktisnya bukan menggabungkan hukum-hukum itu menjadi satu regulasi super khayalan. DORA tetap berbicara tentang ketahanan operasional digital, NIS2 tentang kewajiban keamanan siber, dan EU AI Act tentang tata kelola AI. Intinya adalah membangun bukti bersama sekali saja dan menautkannya ke setiap kewajiban yang relevan. Untuk alur kerja AI produksi, itu berarti satu entri inventaris, satu garis keturunan penilaian risiko, satu berkas pemasok, satu rencana pemantauan, dan satu jejak insiden yang dapat menjawab beberapa regulator tanpa improvisasi.

Dewan juga termasuk dalam cakupan, menurut

The Fintech Times dan Digital Chiefs The Fintech Times mengatakan Eggerling akan mulai bersiap sekarang untuk literasi AI tingkat dewan sebagai ekspektasi pengawasan. Inilah bagian yang oleh banyak organisasi dimasukkan ke kategori pelatihan lalu dilupakan sampai presentasi tahunan. Dewan tidak perlu menyetel model secara mendetail, tetapi perlu memahami apa yang dilakukan sistem, di mana posisinya dalam operasi kritis, dan seperti apa bentuk kegagalannya. Jika satu-satunya orang yang bisa menjelaskan lingkungan kontrol AI adalah arsitek solusi dari vendor, itu bukan tata kelola. Itu adalah outsourcing dengan alat tulis yang lebih bagus.

Digital Chiefs menambahkan sisi yang lebih tajam, dengan mengatakan bahwa baik NIS2 maupun DORA membuat eksekutif dan anggota dewan bertanggung jawab secara pribadi atas kegagalan keamanan siber dalam kasus kelalaian berat. Itu tidak berarti setiap peringatan buruk menjadi krisis dewan. Itu berarti direktur sebaiknya meminta bukti yang dapat mereka pahami sebelum insiden terjadi, bukan setelah penasihat hukum mulai menggunakan kata postur di setiap kalimat. Dalam pembacaan ini, literasi AI dewan bukan sertifikat webinar. Itu adalah kemampuan untuk bertanya apakah tumpukan kontrol sesuai dengan risiko operasional.

Apa yang harus diubah pembangun sekarang, menurut The Fintech Times Bagi para

pembangun, jawaban yang membosankan adalah jawaban yang benar: jadikan kepatuhan sebagai persyaratan arsitektur. The Fintech Times melaporkan bahwa Eggerling berfokus pada seperti apa kontrol ketika sebuah model sudah berada dalam produksi, yaitu titik ketika banyak program tata kelola AI berhenti menjadi sekadar slide presentasi dan mulai menyentuh log, peringatan, serta kontrak. Jika sebuah bank menggunakan otomasi atau AI di dalam alur kerja yang teregulasi, tim produk harus tahu bukti mana yang dihasilkan secara otomatis dan bukti mana yang masih bergantung pada seseorang yang ingat memperbarui daftar pada hari Jumat.

Daftar periksa yang berguna cukup singkat untuk tetap bertahan saat bertemu engineering. Identifikasi sistem AI dan fungsi bisnisnya. Petakan dependensi operasionalnya, kontrol keamanan siber, kontrol tata kelola model, dan tanggung jawab pihak ketiga. Tentukan bukti mana yang dapat mendukung kewajiban DORA, NIS2, dan AI Act secara bersama-sama. Lalu uji jalur insiden, karena audit nyata pertama sering datang dengan menyamar sebagai gangguan layanan.

Pelajaran yang agak berlawanan dari intuisi dari Field CISO UiPath bukanlah bahwa Eropa telah membuat kepatuhan menjadi sederhana. Tidak. Pelajarannya adalah bahwa aturan yang saling tumpang tindih lebih menghukum operasi yang terkotak-kotak daripada pemetaan yang cermat. Bagi pembaca yang membangun atau membeli AI di sektor teregulasi, pertanyaan berguna berikutnya bukanlah hukum mana yang memiliki masalah tersebut. Pertanyaannya adalah apakah jejak bukti Anda dapat bertahan ketika ditanyai pertanyaan yang sama dengan tiga cara.