Innan ett fintechbolag driftsätter ett agentteam måste det kunna förklara det för en tillsynsmyndighet. Det låter som en broms, och på kort sikt är det en. På lite längre sikt hjälper regleringen de bolag som byggde rätt från början, eftersom ribban är för hög för de oseriösa.
Två ramverk dominerar bilden i EU just nu: DORA och AI Act. De ställer krav, men de pekar också, ganska exakt, på hur ett agentteam bör vara byggt för att överhuvudtaget vara försvarbart. Så här läser vi dem.
DORA: operativ motståndskraft som krav
DORA — Digital Operational Resilience Act — gäller finansiella entiteter i EU sedan januari 2025 och handlar om motståndskraft i den digitala driften: riskhantering för IT, incidentrapportering, tester av motståndskraft och kontroll över tredjepartsleverantörer.
För ett agentteam betyder det konkret tre saker. Ni måste kunna visa att ni har kontroll över vad systemet gör, att ni upptäcker och rapporterar när det går fel, och att ni vet vilka leverantörer ni är beroende av — inklusive den som tillhandahåller modellen.
Ett välbyggt agentteam går redan i samma riktning. Loggade agentkörningar med start, slut och beslut ger ett revisionsspår som ni kan använda i incidentrapporteringen, och tydliga gränser för autonomi är en del av en dokumenterad riskhantering. Byggs insynen in från början har ni mycket av underlaget klart, men vad DORA kräver av just er behöver ni gå igenom med någon som kan regelverket.
AI Act: krav som följer risken
EU:s AI Act trappas in stegvis och graderar krav efter hur riskfyllt användningsfallet är. Vissa tillämpningar är förbjudna, högrisksystem bär omfattande krav på dokumentation, mänsklig tillsyn och spårbarhet, och resten möter lättare transparenskrav.
Mycket inom fintech — kreditbedömning är det tydligaste exemplet — hamnar i högriskkategorin. Flera av kraven där gäller sådant vi redan bygger in. De gäller mänsklig tillsyn över beslut som får följder, dokumentation av hur systemet fattar beslut och loggning som gör besluten granskbara i efterhand.
Det betyder att frågan "hur uppfyller vi AI Act?" och frågan "hur bygger vi ett agentteam vi vågar lita på?" har i stor utsträckning samma svar. Ett system med mänsklig tillsyn vid rätt tröskel, tydliga gränser för autonomi och full spårbarhet hade ni behövt även utan reglerna.
Varför regleringen kan bli ett försprång
Det är lätt att se DORA och AI Act som hinder, men reglerna gäller alla. Ett fintechbolag som lär sig bygga agentteam som är styrda, dokumenterade och går att granska bygger samtidigt något som en konkurrent med slarvigare system inte kan kopiera över en natt.
Reglering gör det dyrt att ta genvägar. Det är goda nyheter för den som inte tänkte ta några. Medan en konkurrent sätter en ogenomskinlig modell i drift och hoppas att ingen granskar den, kan ett bolag som byggde rätt visa exakt hur varje beslut fattades. I en bransch som lever på förtroende väger det tungt.
Vad det betyder i praktiken
För ett fintech-bolag som vill ta in agentteam är ordningen den omvända mot vad många tror. Modellen kan vänta. Först behöver ni bestämma vilka beslut agenten får fatta själv, hur varje beslut loggas så att det går att granska och var den mänskliga tillsynen ska ligga. Svarar ni på det först har ni ett bra underlag för både DORA, AI Act och er egen riskstyrning, eftersom de pekar åt samma håll.
Så bygger vi också. Styrningen och spårbarheten kommer först, och sedan bygger vi det agenterna ska kunna inom de ramarna. Vill ni prata om var gränserna bör gå med de regler som gäller för er kan ni be om ett samtal med oss.
Talented AI bygger AI-agentteam för företag och kan sköta dem när de är i drift hos er. Era medarbetare får då tid för det som behöver en människa.
Den här artikeln är en allmän orientering, inte juridisk rådgivning. Bekräfta hur DORA och AI Act tillämpas på er verksamhet med er compliance-funktion eller juridiska rådgivare.