Ngân hàng phải xây dựng khung quản lý rủi ro AI từ năm 2027 như thế nào?
Quy định về khung quản lý rủi ro AI trong ngân hàng có hiệu lực khi nào?
Ngày 30/9/2026, Ngân hàng Nhà nước Việt Nam ban hành Thông tư 53/2026/TT-NHNN quy định về an toàn, quản lý rủi ro và điều kiện triển khai đối với việc ứng dụng hệ thống trí tuệ nhân tạo trong ngành Ngân hàng.
Theo Điều 23 Thông tư này, thời điểm có hiệu lực được xác định như sau:
- Ngày 15/11/2026: Thông tư bắt đầu có hiệu lực theo quy định chung, trừ những nội dung có thời điểm áp dụng riêng.
- Ngày 01/01/2027: Điều 14 về khung quản lý rủi ro đối với ứng dụng hệ thống AI có hiệu lực.
- Ngày 01/09/2027: Điểm b khoản 1 Điều 6 và Điều 21 có hiệu lực theo quy định, trong đó Điều 21 có ngoại lệ đối với đơn vị có hệ thống AI rủi ro cao.
Như vậy, các đơn vị cần phân biệt thời điểm có hiệu lực chung của Thông tư với thời điểm bắt đầu áp dụng quy định về khung quản lý rủi ro.
Những đơn vị nào phải thực hiện khung quản lý rủi ro AI?
Theo Điều 1 Thông tư 53/2026/TT-NHNN, quy định áp dụng đối với việc sử dụng hệ thống AI để ra quyết định hoặc hỗ trợ ra quyết định trong hoạt động nghiệp vụ cung cấp dịch vụ cho khách hàng.
Các nhóm đơn vị thuộc phạm vi điều chỉnh bao gồm:
- Tổ chức tín dụng và chi nhánh ngân hàng nước ngoài;
- Tổ chức cung ứng dịch vụ trung gian thanh toán;
- Công ty thông tin tín dụng;
- Tổ chức cung ứng dịch vụ Tiền di động.
Ví dụ, AI có thể được sử dụng để hỗ trợ đánh giá hồ sơ tín dụng, phát hiện giao dịch bất thường, xử lý thông tin khách hàng hoặc hỗ trợ quyết định trong hoạt động thanh toán.
Tuy nhiên, không phải mọi công cụ AI mà nhân viên ngân hàng sử dụng đều thuộc phạm vi điều chỉnh bắt buộc.
Thông tư có quy định loại trừ đối với dịch vụ AI của bên thứ ba chỉ được sử dụng như công cụ hỗ trợ cá nhân, không tích hợp vào quy trình nghiệp vụ hoặc hệ thống thông tin của đơn vị thuộc phạm vi áp dụng.
Đối với hệ thống AI phục vụ quản trị, điều hành nội bộ, Thông tư khuyến khích áp dụng các quy định tương ứng.
Khung quản lý rủi ro AI trong lĩnh vực ngân hàng được quy định thế nào?
Theo khoản 1 Điều 14 Thông tư 53/2026/TT-NHNN, các đơn vị phải xây dựng, ban hành và tổ chức thực hiện khung quản lý rủi ro đối với việc ứng dụng hệ thống trí tuệ nhân tạo.
Khung quản lý phải đáp ứng hai yêu cầu cơ bản.
Thứ nhất, phù hợp và đồng bộ với chính sách quản lý rủi ro tổng thể.
Việc kiểm soát AI cần được đặt trong cơ chế quản trị rủi ro chung của đơn vị, thay vì vận hành như một hoạt động độc lập của bộ phận công nghệ thông tin.
Thứ hai, không tách rời hệ thống kiểm soát nội bộ.
Các quy trình nhận diện, đánh giá, giám sát và xử lý rủi ro AI phải có sự liên kết với hệ thống kiểm soát nội bộ đang được áp dụng.
Điều này giúp đơn vị kiểm soát rủi ro xuyên suốt quá trình phát triển, triển khai và sử dụng AI trong hoạt động nghiệp vụ.
Ba tuyến bảo vệ trong quản lý rủi ro AI gồm những bộ phận nào?
Khoản 2 Điều 14 Thông tư 53/2026/TT-NHNN quy định việc quản lý rủi ro AI phải được tổ chức theo ba tuyến bảo vệ độc lập.
Tuyến bảo vệ thứ nhất – Bộ phận trực tiếp phát triển và vận hành AI
Tuyến thứ nhất bao gồm bộ phận hoặc cá nhân thực hiện các công việc phát triển, triển khai, vận hành và sử dụng hệ thống AI.
Nhóm này có trách nhiệm nhận diện, thực hiện biện pháp kiểm soát, theo dõi và giảm thiểu rủi ro trong quá trình hoạt động.
Ví dụ, khi sử dụng AI để hỗ trợ xử lý hồ sơ tín dụng, bộ phận trực tiếp vận hành cần theo dõi kết quả xử lý, phát hiện những dấu hiệu bất thường và thực hiện các biện pháp kiểm soát thuộc trách nhiệm của mình.
Tuyến bảo vệ thứ hai – Bộ phận kiểm tra và quản lý rủi ro
Tuyến thứ hai thực hiện chức năng kiểm tra, đánh giá hệ thống AI; xây dựng chính sách quản lý rủi ro và các quy định nội bộ có liên quan.
Bộ phận này đồng thời theo dõi, kiểm soát rủi ro và việc tuân thủ pháp luật.
Khác với tuyến thứ nhất, tuyến thứ hai tập trung vào việc đánh giá và giám sát hoạt động quản lý rủi ro, thay vì trực tiếp thực hiện toàn bộ công việc vận hành.
Tuyến bảo vệ thứ ba – Bộ phận kiểm toán nội bộ
Tuyến thứ ba là bộ phận hoặc cá nhân thực hiện chức năng kiểm toán nội bộ.
Thông qua hoạt động kiểm toán, đơn vị có cơ sở đánh giá việc tổ chức và thực hiện cơ chế quản lý rủi ro AI theo chức năng kiểm toán nội bộ.
Theo điểm d khoản 2 Điều 14, đơn vị được phép thuê ngoài để thực hiện một số chức năng của các tuyến bảo vệ.
Tuy nhiên, việc thuê ngoài phải bảo đảm tính độc lập giữa các tuyến, không được làm mất đi yêu cầu phân tách chức năng quản lý và kiểm soát rủi ro.
Tám nhóm rủi ro AI mà ngân hàng phải quản lý
Căn cứ khoản 3 Điều 14 Thông tư 53/2026/TT-NHNN, các đơn vị ứng dụng hệ thống trí tuệ nhân tạo (AI) trong lĩnh vực ngân hàng phải quản lý tối thiểu các nhóm rủi ro sau:
1. Rủi ro mô hình: Phát sinh khi hệ thống AI đưa ra kết quả phân tích, dự đoán hoặc hỗ trợ quyết định thiếu chính xác, có thể ảnh hưởng đến hoạt động nghiệp vụ.
2. Rủi ro quản trị dữ liệu: Liên quan đến việc sử dụng dữ liệu đầu vào không phù hợp, thiếu chính xác, không đầy đủ hoặc không được quản lý đúng cách.
3. Rủi ro an ninh mạng: Bao gồm nguy cơ hệ thống AI bị xâm nhập, tấn công mạng hoặc khai thác trái phép, ảnh hưởng đến an toàn thông tin và hoạt động của đơn vị.
4. Rủi ro tuân thủ pháp luật: Phát sinh khi việc phát triển, triển khai hoặc sử dụng hệ thống AI không đáp ứng các quy định pháp luật có liên quan.
5. Rủi ro đạo đức: Liên quan đến nguy cơ hệ thống AI đưa ra kết quả thiếu công bằng, có sự thiên lệch hoặc gây ảnh hưởng không phù hợp đến quyền lợi khách hàng.
6. Rủi ro từ bên thứ ba: Phát sinh từ việc sử dụng công nghệ, hệ thống hoặc dịch vụ AI do các nhà cung cấp bên ngoài cung cấp.
7. Rủi ro chuỗi cung ứng: Liên quan đến các thành phần công nghệ, sản phẩm, dịch vụ và đối tác tham gia quá trình cung cấp, phát triển hoặc vận hành hệ thống AI.
8. Rủi ro danh tiếng: Phát sinh khi hệ thống AI xảy ra sự cố, sai lệch hoặc gây ảnh hưởng tiêu cực đến uy tín của tổ chức. Nhóm rủi ro này được quy định đối với ngân hàng thương mại và chi nhánh ngân hàng nước ngoài.
Theo khoản 4 Điều 14 Thông tư 53/2026/TT-NHNN, các đơn vị phải xác định cụ thể nội hàm, tiêu chí nhận diện, phương pháp đo lường, ngưỡng chấp nhận và biện pháp kiểm soát đối với từng loại rủi ro nhằm bảo đảm việc ứng dụng AI an toàn, hiệu quả và tuân thủ pháp luật.
Hệ thống AI có rủi ro cao phải được đánh giá trước khi triển khai
Bên cạnh khung quản lý rủi ro tại Điều 14, Điều 13 Thông tư 53/2026/TT-NHNN quy định về đánh giá tác động đối với hệ thống AI có rủi ro cao.
Theo đó, trước khi triển khai, đơn vị phải thực hiện đánh giá tối thiểu các nội dung:
Mục đích và phạm vi hoạt động: Mô tả nguyên lý vận hành của hệ thống và cơ chế bảo đảm khả năng giám sát, can thiệp của con người.
Rủi ro đối với hoạt động nghiệp vụ: Phân tích nguy cơ ảnh hưởng đến hoạt động ngân hàng, an ninh mạng và hệ thống thông tin.
Tác động đối với khách hàng: Đánh giá tính công bằng, minh bạch, khả năng giải thích và nguy cơ phân biệt đối xử.
Tác động đối với dữ liệu cá nhân: Thực hiện đánh giá theo pháp luật về bảo vệ dữ liệu cá nhân nếu hệ thống có xử lý dữ liệu cá nhân.
Biện pháp kiểm soát và ứng phó: Xây dựng phương án giảm thiểu rủi ro, giám sát hoạt động và xử lý sự cố.
Kết quả đánh giá phải được lập thành hồ sơ, phê duyệt bởi cấp có thẩm quyền và lưu trữ trong suốt thời gian hoạt động của hệ thống.
Khi có thay đổi về chức năng, phạm vi xử lý dữ liệu hoặc điều kiện vận hành, hồ sơ đánh giá phải được rà soát, cập nhật.
Khác với Điều 14, quy định tại Điều 13 có hiệu lực từ ngày 15/11/2026 theo thời điểm có hiệu lực chung của Thông tư.
Ngân hàng phải làm gì khi hệ thống AI xảy ra sự cố nghiêm trọng?
Theo Điều 9 Thông tư 53/2026/TT-NHNN, đơn vị phải xây dựng và ban hành quy trình xử lý sự cố hệ thống AI.
Quy trình cần bao gồm các loại sự cố đặc thù của hệ thống AI và phương án xử lý nghiệp vụ khi hệ thống gặp sự cố.
Khi xảy ra sự cố nghiêm trọng, đơn vị phải thực hiện những biện pháp theo quy định, bao gồm:
- Kích hoạt ngay cơ chế ngắt khẩn cấp và chuyển sang vận hành thủ công khi cần thiết.
- Triển khai biện pháp khắc phục, hạn chế thiệt hại.
- Báo cáo sự cố cho cơ quan quản lý nhà nước có thẩm quyền và Ngân hàng Nhà nước Việt Nam theo quy định.
- Thông báo cho khách hàng bị ảnh hưởng theo quy định pháp luật về bảo vệ dữ liệu cá nhân, nếu thuộc trường hợp phải thông báo.
- Lập báo cáo hoàn thành khắc phục sự cố, trong đó có nguyên nhân, thiệt hại và biện pháp khắc phục.
Ngoài ra, đơn vị phải lưu trữ hồ sơ, tài liệu liên quan đến sự cố để phục vụ công tác kiểm tra, điều tra khi cần thiết.
Sau khi khắc phục, đơn vị phải đánh giá lại mức độ rủi ro của hệ thống; trường hợp cần thiết có thể phải phân loại lại rủi ro, điều chỉnh biện pháp kiểm soát hoặc tạm dừng sử dụng để ngăn ngừa sự cố tái diễn.
Việc quản lý rủi ro AI có ý nghĩa gì đối với khách hàng ngân hàng?
Khi AI được sử dụng trong các hoạt động như xét duyệt tín dụng, thanh toán hoặc xử lý dữ liệu, kết quả của hệ thống có thể tác động trực tiếp đến quyền và lợi ích của khách hàng.
Chẳng hạn, một hệ thống AI hỗ trợ đánh giá hồ sơ vay vốn có thể đưa ra kết quả không phù hợp nếu dữ liệu đầu vào thiếu chính xác hoặc mô hình xuất hiện sai lệch.
Việc thiết lập khung quản lý rủi ro, kiểm tra độc lập và đánh giá tác động góp phần hạn chế những nguy cơ này.
Đặc biệt, yêu cầu đánh giá tính công bằng, minh bạch và khả năng giải thích đối với hệ thống AI có rủi ro cao cho thấy việc bảo vệ quyền lợi khách hàng là một nội dung cần được xem xét trong quá trình triển khai công nghệ.
Tuy nhiên, không nên hiểu rằng mọi quyết định có sử dụng AI đều phải được khách hàng chấp thuận riêng hoặc mọi sai sót của AI đều đương nhiên làm phát sinh nghĩa vụ bồi thường.
Việc xác định trách nhiệm trong từng trường hợp còn phụ thuộc vào hành vi cụ thể, thiệt hại phát sinh, quan hệ pháp lý giữa các bên và quy định pháp luật có liên quan.
Doanh nghiệp cung cấp giải pháp AI cho ngân hàng cần lưu ý gì?
Đối với doanh nghiệp công nghệ cung cấp hệ thống AI cho ngân hàng hoặc tổ chức trung gian thanh toán, quy định mới cũng đặt ra những yêu cầu cần quan tâm khi thiết kế sản phẩm và triển khai dịch vụ.
Trước hết, hệ thống cần có khả năng hỗ trợ kiểm tra, giám sát, phát hiện sai lệch và xử lý sự cố phù hợp với yêu cầu của đơn vị sử dụng.
Bên cạnh đó, hợp đồng cung cấp dịch vụ nên xác định rõ phạm vi công việc, trách nhiệm bảo mật, quản lý dữ liệu, hỗ trợ kỹ thuật, xử lý sự cố và phối hợp kiểm tra.
Đây là những vấn đề có ý nghĩa thực tiễn bởi Thông tư yêu cầu đơn vị ứng dụng AI phải kiểm soát cả rủi ro từ bên thứ ba và rủi ro chuỗi cung ứng.
Tuy nhiên, cần phân biệt giữa nghĩa vụ pháp lý trực tiếp của đơn vị thuộc phạm vi điều chỉnh và nghĩa vụ của nhà cung cấp công nghệ phát sinh theo hợp đồng hoặc quy định pháp luật khác.
Kết luận
Thông tư 53/2026/TT-NHNN đặt ra những yêu cầu cụ thể về quản lý rủi ro khi ứng dụng AI trong ngành Ngân hàng, đặc biệt là cơ chế ba tuyến bảo vệ độc lập và việc kiểm soát các nhóm rủi ro liên quan đến mô hình, dữ liệu, an ninh mạng, pháp luật và bên thứ ba.
Từ ngày 01/01/2027, Điều 14 về khung quản lý rủi ro AI chính thức có hiệu lực, trong khi các yêu cầu về đánh giá tác động đối với hệ thống AI có rủi ro cao và xử lý sự cố được áp dụng từ ngày 15/11/2026.
Các đơn vị thuộc phạm vi điều chỉnh cần chủ động rà soát quy trình quản trị, phân công trách nhiệm và xây dựng cơ chế kiểm soát phù hợp nhằm bảo đảm việc ứng dụng AI an toàn, minh bạch và tuân thủ pháp luật.
Căn cứ pháp lý: Thông tư 53/2026/TT-NHNN ngày 30/9/2026 của Ngân hàng Nhà nước Việt Nam, đặc biệt Điều 1, Điều 9, Điều 13, Điều 14 và Điều 23.
Nếu có bất kỳ thắc mắc hay cần tư vấn pháp luật vui lòng liên hệ chúng tôi qua các hình thức sau:
Hotline Luật sư tư vấn trực tiếp: 1900 2929 01
Nhập thông tin đăng ký tư vấn luật tại đây: https://luatsulh.com/dang-ky-tu-van.html
Liên hệ đặt lịch hẹn qua zalo số: 0903 796 830
Website: https://luatsulh.com/
Văn phòng: Hồ Chí Minh | Hà Nội | Khánh Hòa
Theo dõi Công ty Luật LH Legal tại:
Website: https://luatsulh.com/
Facebook: Luật sư LH Legal
Youtube: Luật sư LH Legal
Kênh Tiktok Luật sư Hoà: Luật sư Hoà (LH Legal)
Kênh Tiktok Công ty: Luật sư LH Legal
Kênh Tiktok Luật sư Hình sự: Luật sư Hình sự
|
|
|
Nguồn: LH Legal – Xem bài viết gốc
