Ngân hàng Nhà nước siết AI chuyển tiền từ hôm nay 15/11

Ngân hàng Nhà nước ký Thông tư 53 ngày 30/9/2026, sau hơn một tháng chuẩn bị cho các ngân hàng và tổ chức trung gian thanh toán. Văn bản cụ thể hóa Luật Trí tuệ nhân tạo 134/2025/QH15 cho lĩnh vực ngân hàng, đồng thời phù hợp với Quyết định 33/2026/QĐ-TTg của Thủ tướng về hệ thống AI rủi ro cao. Phạm vi áp dụng rộng: tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, công ty thông tin tín dụng, tổ chức cung ứng dịch vụ tiền di động, cùng một số đơn vị khác như Công ty Quản lý tài sản, Nhà máy In tiền Quốc gia và Bảo hiểm tiền gửi Việt Nam.

AI tự chuyển tiền trên 10 triệu đồng bị xếp nhóm rủi ro cao

Điểm được chú ý nhất nằm ở Điều 4 của Thông tư. Một hệ thống AI tự động thực hiện giao dịch thanh toán bị xếp vào nhóm rủi ro cao khi chuyển tiền cho khách hàng cá nhân trên 10 triệu đồng mỗi giao dịch, hoặc tổng giá trị giao dịch trong ngày của một khách hàng vượt 20 triệu đồng. Với khách hàng tổ chức, hai ngưỡng tương ứng là trên 50 triệu đồng mỗi giao dịch và trên 100 triệu đồng mỗi ngày.

Việc xếp nhóm rủi ro cao không đồng nghĩa cấm AI chuyển tiền số lớn, mà kéo theo hàng loạt yêu cầu kiểm soát chặt hơn. Hệ thống rủi ro cao phải được đánh giá tác động về công bằng, minh bạch, khả năng giải thích và nguy cơ phân biệt đối xử, phải qua kiểm tra, đánh giá an ninh mạng trước khi vận hành, và phải được hội đồng quản trị phê duyệt trước khi triển khai. Các hệ thống rủi ro cao và trung bình phải được báo cáo lên hội đồng quản trị ít nhất 6 tháng một lần.

Thông tư cũng xếp hệ thống AI tự động đề xuất quyết định cấp tín dụng từ 50 triệu đồng trở lên vào nhóm rủi ro cao, với cùng bộ yêu cầu kiểm soát đi kèm.

Khách hàng phải đồng ý trước và được dừng AI bất cứ lúc nào

AI chỉ được tự chuyển tiền khi ngân hàng và khách hàng đã có thỏa thuận trước. Thỏa thuận phải nêu rõ phạm vi giao dịch được tự động thực hiện, hạn mức từng giao dịch và tổng hạn mức trong ngày, thời hạn hiệu lực, điều kiện áp dụng, quyền chấm dứt của khách hàng và trách nhiệm của đơn vị cung ứng dịch vụ khi nhận yêu cầu chấm dứt.

Tổng giá trị giao dịch AI tự thực hiện trong một ngày không được vượt hạn mức nội bộ của tổ chức, đồng thời không quá 100 triệu đồng với khách hàng cá nhân và 500 triệu đồng với khách hàng tổ chức. Khách hàng phải được cung cấp công cụ để chủ động tạm dừng hoặc hủy quyền cho AI tự chuyển tiền.

Ở phía ngân hàng, bộ phận giám sát phải có đủ quyền hạn và năng lực để ghi đè, điều chỉnh, tạm dừng quyết định của AI hoặc kích hoạt cơ chế ngắt khẩn cấp. Mọi lần can thiệp đều phải được ghi nhận đầy đủ nội dung, thời gian, người thực hiện và lý do.

AI không thay con người, ngân hàng vẫn chịu trách nhiệm cuối cùng

Nguyên tắc xuyên suốt Thông tư 53 là AI không thay thế thẩm quyền và trách nhiệm của con người. Đơn vị cung ứng dịch vụ vẫn phải chịu trách nhiệm trước pháp luật và khách hàng đối với quyết định do AI đưa ra hoặc hỗ trợ, không được viện dẫn đặc tính kỹ thuật, tính tự chủ của hệ thống hay việc dùng sản phẩm của bên thứ ba để loại trừ hoặc giảm trách nhiệm.

Khi AI thay con người giao tiếp trực tiếp với khách hàng, ngân hàng phải thông báo cho khách hàng biết họ đang tương tác với hệ thống AI ngay từ khi bắt đầu phiên làm việc hoặc hội thoại. Các đơn vị phải có bộ phận và quy trình tiếp nhận, xử lý khiếu nại liên quan đến AI. Với quyết định tự động bị khách hàng khiếu nại, quyết định đó phải được con người rà soát lại, và kết quả rà soát của con người là căn cứ cuối cùng để giải quyết.

Với quyết định tự động ảnh hưởng trực tiếp đến trách nhiệm pháp lý, nghĩa vụ tài chính hoặc khả năng tiếp cận dịch vụ của khách hàng, ngân hàng phải lưu giữ cơ sở và các yếu tố chính dẫn tới quyết định để giải thích khi khách hàng yêu cầu. Tuy nhiên, việc giải thích không đồng nghĩa phải công khai mã nguồn, thuật toán chi tiết, bộ tham số hay bí mật kinh doanh. Với quyết định nhằm phòng chống gian lận, rửa tiền, tài trợ khủng bố hoặc bảo đảm an ninh mạng, đơn vị chỉ phải thông báo lý do phù hợp với yêu cầu quản trị rủi ro và bảo vệ tài sản khách hàng.

Thuê nhà cung cấp AI bên ngoài cũng không làm thay đổi trách nhiệm: bên thứ ba không được dùng dữ liệu của đơn vị để huấn luyện, tinh chỉnh hay cải thiện mô hình nếu chưa có sự đồng ý bằng văn bản. Nếu hệ thống AI thuê ngoài gây thiệt hại, đơn vị sử dụng dịch vụ phải kịp thời khắc phục, bảo vệ quyền lợi khách hàng, tiếp nhận và xử lý khiếu nại, đồng thời bồi thường thiệt hại theo quy định.

Lộ trình áp dụng kéo dài tới tháng 9/2027

Thông tư 53 có hiệu lực từ hôm nay 15/11/2026, nhưng không phải mọi điều khoản đều áp dụng ngay. Điều 14 về khung quản lý rủi ro AI theo ba tuyến phòng thủ có hiệu lực từ 1/1/2027. Các hệ thống AI đã vận hành trước ngày 15/11 phải đáp ứng các điều kiện về an toàn, quản lý rủi ro và triển khai từ 1/3/2027. Điều 21 về yêu cầu nhân sự có hiệu lực từ 1/9/2027, với một số ngoại lệ cho đơn vị sở hữu hệ thống AI rủi ro cao.

Trước khi triển khai, mọi hệ thống AI trong ngân hàng phải được phân loại rủi ro cao, trung bình hoặc thấp và ghi vào danh mục, rà soát ít nhất mỗi năm một lần. Với người dùng, thay đổi dễ thấy nhất là các ngân hàng sẽ phải xin thỏa thuận trước khi bật tính năng AI tự chuyển tiền, đồng thời cho khách hàng công cụ dừng tính năng này bất cứ lúc nào.

Nguồn tham khảo: Ngân hàng Nhà nước Việt Nam