DORA fragt nach dem Vertrag, nicht nach dem Modell
Seit Januar 2025 muss ein europäisches Finanzunternehmen seine IKT-Drittdienstleister an Verordnung (EU) 2022/2554 messen. Ein KI-Anbieter ist ein solcher Dienstleister, und die Fragen Ihrer Risikoabteilung kommen lange vor der Frage nach der Modellqualität.
Diese Seite nennt, was DORA von einem solchen Vertrag verlangt und was Munito AI heute liefert. Wir sind Ihr IKT-Drittdienstleister; das beaufsichtigte Unternehmen sind Sie, und die Pflichten liegen bei Ihnen. Nichts hier ist eine Rechtsberatung.
Was Artikel 30 verlangt, und was wir dazu geben
Artikel 30 listet auf, was jeder IKT-Vertrag enthalten muss. Lesen Sie ihn mit Ihrer eigenen Rechtsabteilung; hier steht, wo bei uns jede Antwort liegt.
| Artikel 30 verlangt | Wo unsere Antwort steht |
|---|---|
| Eine klare Beschreibung der Leistung | Modelle und Preise und das Auftragsformular |
| Die Orte der Leistungserbringung und der Datenverarbeitung | Regionen und der Header munito-region jeder Antwort |
| Regelungen zum Datenschutz | Der AVV, der Teil der Nutzungsbedingungen ist |
| Unterauftragsvergabe und Vorlauf vor einer Änderung | Die Liste der Unterauftragsverarbeiter, nach Region, mit der Frist im AVV |
| Zugangs-, Prüfungs- und Auditrechte | Der Vertrag; unsere Ingenieure antworten Ihrer Risikoabteilung direkt |
| Unterstützung bei Vorfällen, ohne Zusatzkosten | Die Supportbedingungen Ihres Tarifs |
| Kündigungsrechte und eine Ausstiegsstrategie | Der Vertrag und die Portabilität weiter unten |
| Beschreibung und Ziele des Servicelevels | Das Auftragsformular eines Vertrags mit Abnahmeverpflichtung |
Die Region, in einem einzigen Aufruf belegt
Eine Anfrage an https://api.eu.munito.ai läuft in der EU, und die Antwort sagt es im Header munito-region. Ihr Arbeitsbereich speichert Inhalte in genau einer Datenregion, EU oder USA, bei der Anmeldung festgelegt.
Das ist eine Antwort, die Ihr Team prüfen kann, statt sie zu glauben, und im Informationsregister ist das mehr wert als jeder Absatz.
Das Konzentrationsrisiko spricht für offene Gewichte
DORA zwingt Sie, den Ausfall oder den Weggang eines Anbieters zu durchdenken. Ein geschlossenes Modell ist der schwere Fall: die Gewichte gehören Ihnen nicht, niemand sonst betreibt sie, und ein Ausstieg ist eine Neuentwicklung.
Offene Gewichte drehen das um. Dasselbe Modell läuft bei einem anderen Anbieter, auf Ihren eigenen GPUs oder vor Ort, über dieselbe API im OpenAI- oder Anthropic-Format. Ihre Ausstiegsstrategie ist eine Basis-URL und eine Kapazitätsentscheidung, und Sie können sie proben.
| Fall | Mit einem geschlossenen Modell | Mit offenen Gewichten bei Munito AI |
|---|---|---|
| Der Anbieter erhöht die Preise | Neu verhandeln oder neu bauen | Das Modell umziehen, den Code behalten |
| Der Anbieter fällt aus | Die Fähigkeit endet | Dieselben Gewichte anderswo betreiben |
| Die Aufsicht verlangt einen Ausstiegstest | Schwer zu proben | Eine Basis-URL auf ein zweites Ziel richten |
Informationsregister
Ihr Register braucht die juristische Person, die unterstützte Funktion, die Orte und die Angabe, ob die Leistung eine kritische oder wichtige Funktion stützt. Munito AI France, eine französische SAS in Paris, ist die vertragsschließende Gesellschaft und die, die der AVV nennt. Die Liste der Unterauftragsverarbeiter gibt die Kette nach Region, und Regionen gibt die Orte der Verarbeitung und der Speicherung.
Ob die Funktion kritisch oder wichtig ist, bewerten Sie, nicht wir, und davon hängt ab, was der Vertrag enthalten muss.
Was wir noch nicht haben
Unser SOC-2-Audit und unsere ISO-27001-Zertifizierung laufen. Beides ist nicht abgeschlossen, und wir werden in einer Ausschreibung nichts anderes andeuten.
Wir sind nicht als kritischer IKT-Drittdienstleister eingestuft; diese Einstufung nehmen die Europäischen Aufsichtsbehörden vor und sie trifft wenige Unternehmen. Ergibt Ihre Bewertung, dass wir eine kritische Funktion stützen, sagen Sie es früh, denn dann brauchen Sie andere Vertragsbedingungen von uns.
Anfangen
- Die Unterlagen für die Prüfung sammeln
- Sehen, was eine Bank damit baut
- Den AVV lesen
- Mit einem Ingenieur sprechen über Ihr Register, Ihre Bewertung und Ihre Ausstiegsstrategie