Dora-registret listar er AI utan att kalla den AI

Senast den 28 februari 2026 rapporterade de finansiella entiteter som omfattas av Dora sitt informationsregister till Finansinspektionen. Versionen avsåg förhållandena vid utgången av 2025, och den listar samtliga avtalsförhållanden om IKT-tjänster som levereras av tredjepartsleverantörer. Ordet AI förekommer inte i den mallen. Det är därför registret rymmer mer av verksamhetens AI än en inventering som letar efter AI.

Registret frågar om det är en IKT-tjänst, inte om det är AI

Artikel 28.3 i förordning (EU) 2022/2554 ålägger finansiella entiteter att föra och uppdatera ett informationsregister över alla avtalsförhållanden om IKT-tjänster från tredjepartsleverantörer, på entitetsnivå och på undergrupps- och gruppnivå, med åtskillnad mellan avtal som stödjer kritiska eller viktiga funktioner och avtal som inte gör det.

Räckvidden avgörs av definitionen i artikel 3.21. Den lyder i förordningens engelska lydelse "digital and data services provided through ICT systems to one or more internal or external users on an ongoing basis, including hardware as a service and hardware services which includes the provision of technical support via software or firmware updates by the hardware provider, excluding traditional analogue telephone services". Definitionen gör alltså både en inkludering och ett undantag, och båda utgår från vilket slags tjänst det är. Vad den aldrig frågar är vilken teknik inne i tjänsten som producerar utfallet. En modell som poängsätter, prissätter eller föreslår, och som levereras fortlöpande via ett IKT-system, omfattas därför i kraft av att vara en datatjänst.

Enligt fjärde stycket i samma artikel och 4 § i Finansinspektionens föreskrifter FFFS 2024:20 rapporteras registret till myndigheten senast den 28 februari varje år. I tillsynsprioriteringarna för 2026, publicerade i februari 2026, skriver Finansinspektionen att den särskilt ska analysera inrapporterade data kopplade till Dora för att identifiera risker och för att säkerställa en god efterlevnad av regelverket. Formuleringen gäller inrapporterade Dora-data i stort och pekar inte ut informationsregistret särskilt.

Det ni kör är oftast någon annans lösning, integrerad hos er

Finansinspektionens kartläggning av AI-användningen i den svenska finanssektorn, publicerad i december 2024, bygger på en enkät som skickades i september 2024 till 278 utvalda företag och gav 203 svar, vilka genom samrapportering inom koncerner motsvarar uppgifter om 234 av företagen. Bland de företag som beskrev specifika användningsfall av generativ AI nämner majoriteten att de har integrerat externa lösningar i sina egna system. Populationen för den iakttagelsen är alltså inte alla svarande utan de som beskrev ett konkret fall, vilket är just den grupp som har något i drift att beskriva.

ECB:s årliga insamling om innovativ teknik pekar åt samma håll för en annan population. I en redovisning i februari 2026 anger ECB att mer än 85 procent av de stora banker som står under europeisk tillsyn redan använder AI i någon form, och att generativa system ofta hämtas från ett litet antal stora tredjepartsleverantörer och i hög grad vilar på molninfrastruktur. Antalet banker och mätperioden anges inte i redovisningen, och populationen är banker i euroområdet, alltså inte svenska.

Ett litet antal leverantörer står bakom en stor del av sektorns AI, och registret är där den koncentrationen syns.

Två mätningar med olika instrument och olika populationer pekar därmed åt samma håll om varifrån systemen kommer. För registret betyder det något konkret: den inköpta delen av AI-användningen är den del som redan har en avtalspart, ett startdatum och en post med ett radnummer.

Raden namnger avtalet, inte funktionen

Där tar registret slut. Posten beskriver ett avtalsförhållande, en leverantör och den tjänst som tillhandahålls, samt om avtalet stödjer en kritisk eller viktig funktion. Den beskriver inte vilken funktion inne i tjänsten som producerar ett utfall om en enskild person.

Den frågan ställer AI-förordningen i stället, och den ställs till den som använder systemet även när det ägs och drivs av leverantören. Bilaga III namnger två finansiella användningsområden: kreditbedömning av privatpersoner samt riskbedömning och prissättning i liv- och sjukförsäkring. Kraven på dem gäller från den 2 december 2027, efter ändringen genom förordning (EU) 2026/1744 av den 8 juli 2026. Vad som flyttades och vad som inte gjorde det behandlas i Högriskfristen i AI-förordningen flyttas.

Registret uppdateras en gång om året. Vad ett system gör mot en kund kan ändras vilken vecka som helst.

Skillnaden mellan de två frågorna syns tydligast i registrets egen märkning av kritiska och viktiga funktioner. Den märkningen svarar på om ett tekniskt avbrott stör verksamheten. Klassificeringen enligt AI-förordningen svarar på om ett utfall kan drabba den enskilde. Ett system kan vara oviktigt för driften och samtidigt avgörande för en kund, och märkningen går därför inte att flytta över mellan regelverken.

Registret fångar det ni köpt och missar det medarbetarna öppnade själva

Tesen har en gräns som väger tungt nog att skrivas ut. Registret omfattar avtalsförhållanden. Generativ AI som en anställd öppnar i en webbläsare på eget initiativ har inget avtalsförhållande med företaget och kommer därför aldrig in i registret, hur noggrant det än förs. I Finansinspektionens enkät angav 84 procent av de svarande företagen att deras anställda använder någon form av generativ AI, medan 32 procent hade tagit fram en policy för hur de får göra det. Den delen av användningen ser registret per konstruktion inte, och den syns i stället i licensdata och inköpsdata, vilket behandlas i Vilka AI-verktyg används faktiskt hos er.

Det finns en andra gräns, och den gäller registrets skick. Inför skarp tillämpning genomförde de europeiska tillsynsmyndigheterna en provomgång med inlämning senast den 30 augusti 2024. I sammanställningen från december 2024 klarade 6,5 procent av de 947 register som kunde analyseras samtliga datakvalitetskontroller, och 86 procent av de underkända kontrollerna gällde saknad obligatorisk uppgift. Provomgången mäter beredskapen 2024 och säger ingenting om kvaliteten på det som lämnades in i februari 2026, men den anger vad utgångsläget rimligen är: en lista att arbeta ur, inte ett svar att luta sig mot.

Ett register mäter avtal. En enkät mäter beteende. De två instrumenten har olika blinda fläckar, och den som vill veta vad huset faktiskt kör behöver läsa båda.

Frågan att ställa till varje rad

Ta registret som redan är inlämnat och gå igenom det rad för rad med en enda fråga: kan den här tjänsten producera ett utfall om en namngiven privatperson som ni sedan agerar på?

För ett betalningsinstitut eller en kapitalförvaltare utan kreditgivning till privatpersoner blir svaret nej på nästan varje rad. För en konsumentkreditgivare eller ett livbolag blir det ja på en handfull, och det är de raderna bilaga III faktiskt handlar om. Frågan ger alltså olika läsare olika svar, och det är poängen med den: den skiljer de företag som har en kort och avgränsad uppgift framför sig från dem som mest har ett lugnande besked att hämta.

Raderna där svaret blir ja är sällan många. De är däremot namngivna, daterade och kopplade till en leverantör ni redan har ett avtal med. Det är ett annat utgångsläge än en tom mall.