Για τον DORA, το μοντέλο ΤΝ αντιπροσωπεύει έναν προμηθευτή από τον οποίο πρέπει να μπορείτε να απεξαρτηθείτε.

Γιατί ένα μεγάλο γλωσσικό μοντέλο (LLM) που φιλοξενείται εξωτερικά θεωρείται κίνδυνος τρίτου παρόχου ΤΠΕ

Ο κανονισμός DORA (Κανονισμός (ΕΕ) 2022/2554) εφαρμόζεται από τις 17 Ιανουαρίου 2025 στις χρηματοοικονομικές οντότητες που εμπίπτουν στο πεδίο εφαρμογής του. Διέπει τον τρόπο με τον οποίο μια επιχείρηση διαχειρίζεται τον κίνδυνο ΤΠΕ, συμπεριλαμβανομένων των υπηρεσιών ΤΠΕ που προμηθεύεται από τρίτους.

Ένα μοντέλο αιχμής (frontier model) στο οποίο η πρόσβαση γίνεται μέσω διεπαφής προγραμματισμού εφαρμογών (API) αποτελεί μία από αυτές τις υπηρεσίες. Συνιστά υπηρεσία ΤΠΕ που παρέχεται από τρίτο πάροχο υπηρεσιών ΤΠΕ, επομένως οι κανόνες για τρίτους παρόχους σε επίπεδο οντότητας των άρθρων 28 έως 30 ισχύουν για αυτήν με τον ίδιο τρόπο που ισχύουν για έναν πάροχο υπολογιστικού νέφους ή οποιονδήποτε άλλον προμηθευτή λογισμικού ως υπηρεσία (SaaS). Η ΤΝ τείνει να εισάγεται ανεπίσημα και να εξαπλώνεται στις ομάδες προτού καταγραφεί από οποιονδήποτε, γεγονός που οδηγεί ακριβώς στη δημιουργία μιας μη αξιολογημένης εξάρτησης.

Μια αντικειμενική διευκρίνιση εξαρχής: το κατά πόσον μια συγκεκριμένη χρήση ΤΝ υποστηρίζει μια κρίσιμη ή σημαντική λειτουργία αποτελεί δική σας κρίση, ενώ ένας διαχειριστής κάτω των σχετικών ορίων που υπόκειται μόνο σε υποχρέωση καταχώρισης μπορεί να εξαιρείται πλήρως από τον κανονισμό DORA. Η παρούσα σελίδα εξηγεί την αρχιτεκτονική και όχι τη συγκεκριμένη κατηγοριοποίηση.

Τι ζητά στην πραγματικότητα ο κανονισμός DORA

Το κανονιστικό πλαίσιο για τους τρίτους παρόχους αφορά τη διακυβέρνηση και την τεκμηρίωση, όχι τον αποκλεισμό προμηθευτών. Τέσσερα βασικά σημεία έχουν σημασία για την ΤΝ:

• Άρθρο 28. Ορθή διαχείριση του κινδύνου τρίτων παρόχων ΤΠΕ σε όλο τον κύκλο ζωής: δέουσα επιμέλεια, μητρώο πληροφοριών που επισημαίνει ποιες συμβατικές ρυθμίσεις υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες, διαρκής παρακολούθηση και τεκμηριωμένη στρατηγική εξόδου για τις ρυθμίσεις αυτές.
• Άρθρο 29. Προκαταρκτική εκτίμηση του κινδύνου συγκέντρωσης πριν συμβληθείτε για υπηρεσία που υποστηρίζει κρίσιμη ή σημαντική λειτουργία: είναι ο πάροχος δύσκολα αντικαταστάσιμος και συσσωρεύετε πολλές συμβατικές ρυθμίσεις στους ίδιους ή σε στενά συνδεδεμένους παρόχους;
• Άρθρο 30(2). Βασικοί όροι για κάθε σύμβαση ΤΠΕ, συμπεριλαμβανομένης της πρόσβασης, της ανάκτησης και της επιστροφής των δεδομένων σας σε ευχερώς προσβάσιμη μορφή σε περίπτωση καταγγελίας, αφερεγγυότητας ή διακοπής.
• Άρθρο 30(3). Ενισχυμένοι συμβατικοί όροι για κρίσιμες ή σημαντικές λειτουργίες: πλήρη επίπεδα παρεχόμενων υπηρεσιών με ποσοτικούς και ποιοτικούς στόχους απόδοσης, διευρυμένα δικαιώματα ελέγχου και επιθεώρησης και στρατηγική εξόδου με επαρκή μεταβατική περίοδο.

Το σχέδιο εξόδου είναι το σημείο όπου αποτυγχάνουν οι περισσότερες αρχιτεκτονικές ΤΝ

Εάν δρομολογείτε κάθε φόρτο εργασίας ΤΝ σε ένα και μόνο API μοντέλου αιχμής, έχετε συγκεντρώσει την εξάρτησή σας σε έναν μόνο πάροχο, δηλαδή στο μοτίβο μη εύκολης αντικαταστασιμότητας που το άρθρο 29 σας ζητά να ελέγχετε. Ο κατ' εξουσιοδότηση κανονισμός της Επιτροπής σχετικά με την πολιτική για τις υπηρεσίες ΤΠΕ που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες (Κατ' εξουσιοδότηση Κανονισμός (ΕΕ) 2024/1773) προχωρά περισσότερο: αναμένει τεκμηριωμένο σχέδιο εξόδου για κάθε σχετική συμβατική ρύθμιση, το οποίο να επανεξετάζεται και να δοκιμάζεται. Μια πρόθεση στα χαρτιά δεν το καλύπτει.

Η παγίδα έγκειται στο ότι η δυνατότητα αντικατάστασης είναι θέμα πραγματικής λειτουργίας και όχι μόνο συμβατικό. Μια σαφής ρήτρα λύσης της σύμβασης έχει μικρή αξία εάν οι προτροπές (prompts) που χρησιμοποιείτε, η διασύνδεση με τα εργαλεία και τα παραγόμενα αποτελέσματά σας έχουν όλα δομηθεί πάνω στην ιδιόκτητη διεπαφή ενός προμηθευτή, διότι δεν μπορείτε να μεταφέρετε την εργασία αλλού χωρίς να την ξαναχτίσετε.

Μια πύλη που φιλοξενείται στην υποδομή σας και είναι ανεξάρτητη από συγκεκριμένους παρόχους καθιστά την έξοδο εφαρμόσιμη στην πράξη

Το GAIA-CORE τοποθετεί μία ενιαία και σταθερή διεπαφή μπροστά από πολλαπλά εναλλάξιμα συστήματα υποστήριξης μοντέλων (model back-ends). Η αλλαγή ή η προσθήκη ενός παρόχου αποτελεί ζήτημα παραμετροποίησης και όχι ανακατασκευής, επομένως η δυνατότητα υποκατάστασης που ζητά το άρθρο 29 γίνεται μια ιδιότητα που μπορείτε να αποδείξετε έμπρακτα και όχι απλώς να ισχυριστείτε.

Η πύλη λειτουργεί στη δική σας υποδομή εντός της Ευρωπαϊκής Ένωσης, οπότε το επίπεδο ελέγχου, η δρομολόγηση και το επίπεδο καταγραφής ελέγχου δεν συνιστούν από μόνα τους εξάρτηση από ξένο πάροχο. Η ύπαρξη πολλών υποκείμενων συστημάτων μοντέλων σημαίνει ότι η διακοπή λειτουργίας ή η αποχώρηση ενός μόνο παρόχου δεν χρειάζεται να διακόψει τη λειτουργία. Το σχέδιο εξόδου μετατρέπεται από έγγραφο σε κάτι που μπορείτε να εφαρμόσετε στην πράξη και να τεκμηριώσετε.

Το ίχνος ελέγχου συγκεντρώνει τα τεκμήρια

Το πλαίσιο του DORA για τους τρίτους παρόχους στηρίζεται στα τεκμήρια: μητρώο πληροφοριών, διαρκής παρακολούθηση, δυνατότητα εξόδου που μπορεί να αποδειχθεί. Το GAIA-CORE παράγει αρχείο καταγραφής που καθιστά ανιχνεύσιμη τυχόν αλλοίωση και καταγράφει τι απεστάλη, σε ποιο υποκείμενο σύστημα μοντέλου και υπό ποιους ελέγχους, παράλληλα με ενεργά σημεία διασύνδεσης (endpoints) για την Εκτίμηση Αντικτύπου σχετικά με την Προστασία Δεδομένων (DPIA) και το Αρχείο Δραστηριοτήτων Επεξεργασίας (RoPA).

Σε παραμετροποίηση προστατευμένης εξερχόμενης ροής δεδομένων με ενεργοποίηση παρουσία παρατηρητή, τα υποστηριζόμενα ευαίσθητα πεδία μπορούν να αντικατασταθούν με αναστρέψιμα διακριτικά (tokens) πριν από την αποστολή σε εξωτερικό σύστημα και η συναλλαγή μπορεί να διατηρεί τεκμήρια αυτού του ελέγχου. Ο μηχανισμός είναι προς το παρόν απενεργοποιημένος από προεπιλογή και ενδέχεται τα υπολειπόμενα συμφραζόμενα (context) να φτάνουν ακόμη στον πάροχο. Αυτό υποστηρίζει το έργο συμμόρφωσης προς τον DORA· δεν εκπληρώνει από μόνο του τις υποχρεώσεις.

Τα όρια της σημερινής ωριμότητας

Το GAIA Brain βρίσκεται λίγο πριν το MVP. Όπως αξιολογήθηκε στις 10 Οκτωβρίου 2026, ο ενσωματωμένος πηγαίος κώδικας περιλαμβάνει 130.595 καταγεγραμμένες γραμμές TypeScript και το συγκεντρωτικό σύστημα δοκιμών παλινδρόμησης κάλυψε επιτυχώς και τα 1.430 κριτήρια. Δεν υπάρχει επίσημη εγκατάσταση σε πελάτη ούτε διατυπώνεται ισχυρισμός γενικής διαθεσιμότητας.

Η επιβολή των ελέγχων προστασίας της εξερχόμενης ροής δεδομένων παραμένει απενεργοποιημένη από προεπιλογή και η τελική παραμετροποίηση στην υποδομή του πελάτη απαιτεί σημεία ελέγχου με παρουσία παρατηρητή και αντιπροσωπευτικές δοκιμές. Καμμία εποπτική ή ρυθμιστική αρχή δεν έχει εγκρίνει ή υποστηρίξει την GAIA25 ή το GAIA Brain. Αν αντιστοιχίζετε τους κινδύνους ΤΠΕ κατά τον DORA στις λύσεις ΤΝ που χρησιμοποιείτε, συζητήστε μαζί μας μια οριοθετημένη πιλοτική εφαρμογή.