Bramka AI dla banków i usług finansowych, przygotowana pod ocenę zewnętrznych dostawców usług ICT
Standard Compute to bramka AI, przez którą banki, fintechy i firmy inwestycyjne udostępniają pracownikom i aplikacjom czołowe i otwarte modele z mechanizmami kontroli, o które pyta ocena ryzyka ze strony zewnętrznych dostawców usług ICT według DORA. Przez jedno API każdy krok trafia do najtańszego modelu, który sobie z nim poradzi.
Działy ryzyka, compliance i IT mają jednego udokumentowanego dostawcę z mechanizmami, które same włączają: ograniczenie do Europy, zerową retencję danych, wyłącznie zatwierdzonych dostawców, dziennik żądań przechowywany przez 12 miesięcy, publiczną listę dalszych podmiotów przetwarzających i umowę powierzenia podpisywaną w panelu.
Załóż konto organizacjilub napiszcie na contact@standardcompute.com
Krótkie odpowiedzi
- Czego ocena zewnętrznego dostawcy usług ICT w banku potrzebuje od bramki AI?
- Art. 30 ust. 2 DORA wymaga, aby umowa wskazywała między innymi regiony lub kraje, w których świadczone są usługi i przetwarzane dane, oraz warunki podwykonawstwa. Standard Compute odpowiada na te pytania mechanizmami kontroli: ograniczeniem do Europy, opublikowaną listą dalszych podmiotów przetwarzających, zerową retencją danych, logowaniem przez Microsoft Entra ID, listą dozwolonych dostawców i dziennikiem żądań przechowywanym przez 12 miesięcy.
- Czy możemy zablokować ruch AI do niezatwierdzonych dostawców?
- Tak. Lista dozwolonych dostawców blokuje domyślnie (fail-closed): żądanie do modelu, którego dostawców nie ma na liście, zostaje odrzucone, zanim cokolwiek zostanie wysłane. Nowy dostawca nigdy nie zostaje dodany bez zgody administratora, a trasy zapasowe nigdy nie omijają listy.
- Co z tajemnicą bankową?
- Art. 104 Prawa bankowego obejmuje tajemnicą bankową wszystkie informacje dotyczące czynności bankowej, a ich ujawnienie podmiotom, którym bank powierzył czynności, dopuszcza na zasadach art. 6a–6d. Czy dane zastosowanie AI mieści się w tych zasadach, ocenia bank. Standard Compute ogranicza to, co trafia do dostawców: przy włączonej ZDR żadna kopia nie zostaje u dostawcy, a rejestry żądań zawierają wyłącznie metadane, nigdy prompty ani odpowiedzi.
Wymagania i odpowiadające im mechanizmy kontroli
Pytania z wpisu do rejestru informacji według DORA i z oceny powierzenia czynności, oraz mechanizm kontroli, który odpowiada na każde z nich.
| Czego wymagają DORA i Prawo bankowe | Jak realizuje to Standard Compute |
|---|---|
| Regiony lub kraje świadczenia usług i przetwarzania danych wskazane w umowie (DORA art. 30 ust. 2 lit. b) | Ustawcie ograniczenie do Europy dla całej organizacji, zespołu lub pojedynczego klucza. Każde żądanie, łącznie z ponowieniami i trasami zapasowymi, obsługują wyłącznie zatwierdzone europejskie punkty końcowe inferencji, a żądanie, którego nie może obsłużyć żaden europejski punkt końcowy, zostaje odrzucone, zanim prompt zostanie wysłany. Dane konta i dane o użyciu są przechowywane we Frankfurcie, a bramka UE działa w Finlandii. Rejestry żądań zawierają wyłącznie metadane (model, dostawca, tokeny, koszt i status), nigdy prompty ani odpowiedzi. |
| Podwykonawcy znani z góry, a zmiany zgłaszane z wyprzedzeniem (DORA art. 30 ust. 2 lit. a) | Podpiszcie umowę powierzenia przetwarzania danych (DPA) w panelu w kilka minut: bez trenowania na Waszych danych, bez przechowywania Waszych treści i ze zgłoszeniem naruszenia w ciągu 72 godzin. Publikujemy każdy dalszy podmiot przetwarzający i uprzedzamy 14 dni przed dodaniem nowego. |
| Informacje objęte tajemnicą bankową nie zostają u dostawców (Prawo bankowe art. 104) | Po włączeniu zerowej retencji danych (ZDR) każde żądanie trafia wyłącznie do punktów końcowych, które zobowiązują się nie zachowywać żadnej kopii Waszych danych. Przetwarzamy prompty w pamięci operacyjnej i nigdy nie zapisujemy ich w pamięci trwałej ani w logach. Standard Compute nigdy nie trenuje modeli na Waszych promptach ani odpowiedziach. |
| Ryzyko koncentracji i ryzyko dostawców pod kontrolą (DORA art. 29) | Wybierzcie dokładnie, którzy dostawcy inferencji mogą przetwarzać Wasze dane, dla organizacji, zespołu lub klucza. Niższe poziomy mogą listę tylko zawęzić, nowy dostawca nigdy nie zostaje dodany bez zgody administratora, a trasy zapasowe nigdy jej nie omijają. |
| Zarządzanie dostępem powiązane z dostawcą tożsamości banku | Połączcie Microsoft Entra ID lub innego dostawcę tożsamości SAML. Każda osoba ze zweryfikowanej domeny automatycznie dołącza do organizacji, a dostęp do Claude Desktop i Claude Code wynika z Waszych grup w Entra dzięki synchronizacji SCIM. |
| Ślad audytowy dla drugiej i trzeciej linii obrony | Każda zmiana wprowadzona przez administratora jest zapisywana z wartością przed i po. Możecie wyeksportować zapis każdego żądania z modelem, dostawcą, który je obsłużył, i obowiązującym ograniczeniem regionalnym, przechowywany przez 12 miesięcy. |
| Ciągłość działania i opisane poziomy usług (DORA art. 30 ust. 2 lit. e) | Jeśli dostawca przestanie działać, Wasze żądanie automatycznie przechodzi do innego zatwierdzonego dostawcy tego samego modelu, bez wychodzenia poza Wasze ograniczenie regionalne i reguły dotyczące dostawców. Plan Enterprise obejmuje miesięczne SLA dostępności 99,9% z rekompensatami. |
| Wyłącznie zatwierdzone przypadki użycia | Zdecydujcie, z jakich modeli może korzystać każdy klucz, aby każda aplikacja i każda osoba miała dokładnie te modele, które zatwierdzicie. GLM, DeepSeek i MiniMax działają u europejskich dostawców dla kont ograniczonych do Europy. |
| Kontrola kosztów na osobę i na aplikację | Każda osoba i każda aplikacja dostaje stały budżet miesięczny, który nigdy nie zostaje przekroczony, z limitami wydatków dla każdego klucza i dla całej organizacji. |
Wdrożenie w jedno popołudnie
Załóżcie konto organizacji
Zaproście współpracowników e-mailem, podzielcie ich na zespoły i dajcie każdej osobie i każdej aplikacji osobny klucz.
Ustawcie ograniczenie do Europy i zerową retencję danych
Ustawcie oba dla całej organizacji. Zespoły i klucze je dziedziczą i nigdy nie mogą ich wyłączyć.
Połączcie Microsoft Entra ID
Pracownicy logują się kontem służbowym i korzystają z Claude Desktop i Claude Code ze swoim służbowym kontem Microsoft przez naszą bramkę UE.
Zatwierdźcie dostawców i modele, podpiszcie umowę
Wybierzcie, z jakich dostawców inferencji i modeli może korzystać każdy klucz, ustawcie budżety i podpiszcie umowę powierzenia w panelu.
Przepisy i wytyczne w źródle
Przepisy, które działy ryzyka, compliance, bezpieczeństwa informacji i inspektor ochrony danych czytają najpierw, z linkiem do oficjalnego źródła. Stanowią punkt wyjścia do Waszej własnej oceny.
Linki sprawdzone 9 listopada 2026.
Pytania od IT, bezpieczeństwa i zamówień
- Czy jest zapis na poziomie żądań dla nadzoru i audytu wewnętrznego?
- Tak. Możecie wyeksportować zapis każdego żądania z modelem, dostawcą, który je obsłużył, i obowiązującym ograniczeniem regionalnym, przechowywany przez 12 miesięcy. Rejestry żądań zawierają wyłącznie metadane, nigdy prompty ani odpowiedzi.
- Czy publikujecie dalsze podmioty przetwarzające?
- Tak. Publikujemy każdy dalszy podmiot przetwarzający wraz z celem, zakresem danych i lokalizacją i uprzedzamy 14 dni przed dodaniem nowego.
- Czy jest zobowiązanie dotyczące dostępności?
- Tak. Plan Enterprise obejmuje miesięczne SLA dostępności 99,9% z rekompensatami, a żądania przechodzą między zatwierdzonymi dostawcami tego samego modelu w granicach Waszych reguł.
- Kim jest Standard Compute?
- Standard Compute AS to norweska spółka akcyjna (nr org. 938 498 806) z siedzibą w Oslo. Nasza umowa powierzenia podlega prawu norweskiemu.
Czytaj dalej
Inne sektory
Załóżcie konto organizacji, ustawcie ograniczenie do Europy i zerową retencję danych, a pracownicy mogą zacząć tego samego dnia.