Dự thảo Thông tư về quản lý AI trong ngành Ngân hàng: Đặt nền tảng cho ứng dụng AI an toàn, có trách nhiệm

Ngày 5/8/2026, tại Hà Nội, Tạp chí Thị trường Tài chính Tiền tệ phối hợp cùng Ủy ban Công nghệ và Ủy ban Chính sách trực thuộc Hiệp hội Ngân hàng Việt Nam tổ chức Hội thảo “AI và quản trị dữ liệu trong hoạt động ngân hàng”.

Thiết lập hành lang pháp lý cho việc triển khai AI trong toàn ngành Ngân hàng

Chia sẻ tại hội thảo, ông Hoàng Minh Tiến cho biết, cuối năm 2025, Quốc hội đã ban hành Luật Trí tuệ nhân tạo. Tiếp đó, Chính phủ ban hành Nghị định số 142/2026/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật. Gần đây nhất, Thủ tướng Chính phủ ban hành Quyết định số 33/2026/QĐ-TTg về danh mục hệ thống AI có rủi ro cao, trong đó xác định các hệ thống AI rủi ro cao thuộc lĩnh vực ngân hàng. Trên cơ sở pháp lý này, Ngân hàng Nhà nước xây dựng dự thảo Thông tư quy định về an toàn, quản lý rủi ro và điều kiện triển khai đối với việc ứng dụng hệ thống trí tuệ nhân tạo trong ngành Ngân hàng, nhằm cụ thể hóa các yêu cầu quản lý đối với việc ứng dụng AI trong lĩnh vực ngân hàng.

Trong thực tế, AI đã được ứng dụng khá rộng rãi trong ngành Ngân hàng, từ chấm điểm tín dụng, thẩm định cho vay, phát hiện gian lận, phòng chống rửa tiền (AML), đến chatbot chăm sóc khách hàng, eKYC, xác thực điện tử. Tuy nhiên, cùng với những lợi ích mang lại, AI cũng đặt ra nhiều rủi ro về an toàn thông tin, rủi ro mô hình, dữ liệu và trách nhiệm trong quá trình ra quyết định. Đây là cơ sở thực tiễn để Ngân hàng Nhà nước xây dựng dự thảo Thông tư nhằm thiết lập hành lang pháp lý cho việc triển khai AI trong toàn ngành.

Theo ông Hoàng Minh Tiến, dự thảo Thông tư đã được lấy ý kiến nhiều lần và tiếp tục được cập nhật sau khi Quyết định số 33/2026/QĐ-TTg được ban hành. Dự thảo gồm 5 chương, 26 điều, tập trung vào 3 nhóm nội dung lớn là bảo đảm an toàn, quản lý rủi ro và điều kiện triển khai hệ thống AI.

Dự thảo quy định bắt buộc đối với các hệ thống AI ra quyết định hoặc hỗ trợ ra quyết định trong hoạt động nghiệp vụ ngân hàng cung cấp dịch vụ cho khách hàng. Đối với các hệ thống AI phục vụ quản trị, điều hành nội bộ hoặc đang triển khai trong khuôn khổ cơ chế thử nghiệm có kiểm soát (sandbox), dự thảo theo hướng khuyến khích áp dụng.

Phân loại rủi ro, yêu cầu về kiểm soát của con người

Một nội dung trọng tâm của dự thảo là phân loại hệ thống AI theo mức độ rủi ro. Theo đó, các hệ thống AI được chia thành 3 mức: rủi ro cao, rủi ro trung bình và rủi ro thấp.

Đối với AI rủi ro cao, dự thảo bám sát Quyết định 33/2026/QĐ-TTg. Trong lĩnh vực ngân hàng có 2 nhóm hệ thống AI thuộc diện rủi ro cao gồm: hệ thống AI tự động thực hiện giao dịch điện tử trong hoạt động ngân hàng và hệ thống AI tự động quyết định cấp tín dụng.

Ví như, đối với giao dịch thanh toán, hệ thống AI được xác định là rủi ro cao khi tự động thực hiện các giao dịch từ 10 triệu đồng đến dưới 100 triệu đồng đối với khách hàng cá nhân hoặc từ 50 triệu đồng đến dưới 500 triệu đồng đối với khách hàng tổ chức. Theo ông Hoàng Minh Tiến, AI chỉ được phép tự động ra quyết định trong các ngưỡng này, đối với các giao dịch có giá trị vượt ngưỡng sẽ không được phép tự động ra quyết định.

Theo dự thảo, việc xác định AI rủi ro trung bình và rủi ro thấp được thực hiện theo quy định của Luật Trí tuệ nhân tạo và Nghị định số 142/2026/NĐ-CP. Đồng thời, Bộ Khoa học và Công nghệ sẽ xây dựng công cụ hỗ trợ để các đơn vị tham khảo trong quá trình phân loại rủi ro hệ thống AI.

Bên cạnh phân loại rủi ro, dự thảo đặc biệt nhấn mạnh yêu cầu kiểm soát của con người. Theo đó, hệ thống AI chỉ được phép tự động ra quyết định khi đáp ứng đầy đủ các điều kiện về chất lượng mô hình, ngưỡng rủi ro, tiêu chí cảnh báo, quy trình giám sát và khả năng can thiệp của con người. Bộ phận giám sát phải có quyền điều chỉnh hoặc tạm dừng quyết định của AI khi cần thiết. Đồng thời phải có cơ chế ngắt khẩn cấp đối với các trường hợp phát sinh rủi ro hoặc sự cố nghiêm trọng.

Hoàn thiện yêu cầu về an toàn, quản lý rủi ro và điều kiện triển khai

Theo ông Hoàng Minh Tiến, về yêu cầu bảo đảm an toàn, dự thảo Thông tư tiếp tục kế thừa các quy định hiện hành đối với hệ thống công nghệ thông tin, đồng thời bổ sung các yêu cầu đặc thù dành cho AI.

Đối với an ninh mạng, dự thảo yêu cầu kiểm tra, đánh giá các rủi ro đặc thù của hệ thống AI như đầu độc dữ liệu, đầu độc mô hình, tấn công né tránh, tấn công trích xuất mô hình, tấn công xâm phạm quyền riêng tư dữ liệu.

Đối với dữ liệu, dự thảo quy định dữ liệu sử dụng cho AI phải có nguồn gốc rõ ràng, bảo đảm chất lượng, được quản lý an toàn và kiểm soát nguy cơ rò rỉ dữ liệu. Việc sử dụng dữ liệu phải tuân thủ quy định của Luật Dữ liệu và pháp luật về bảo vệ dữ liệu cá nhân.

Về quản lý rủi ro, dự thảo yêu cầu xây dựng khung quản lý rủi ro AI đồng bộ với chính sách quản lý rủi ro tổng thể và hệ thống kiểm soát nội bộ. Hội đồng quản trị, hội đồng thành viên hoặc cấp quản lý cao nhất có trách nhiệm phê duyệt định hướng phát triển AI, khung quản lý rủi ro AI, phân bổ nguồn lực và giám sát việc triển khai. Đối với hệ thống AI rủi ro cao, cấp quản lý cao nhất phải phê duyệt chủ trương triển khai và quyết định đưa hệ thống vào vận hành chính thức. Dự thảo cũng áp dụng mô hình 3 tuyến bảo vệ trong quản lý rủi ro AI, gồm tuyến phát triển - vận hành, tuyến quản lý rủi ro - tuân thủ và tuyến kiểm toán nội bộ.

Dự thảo yêu cầu các đơn vị triển khai AI cũng phải bố trí nguồn nhân lực phù hợp để phát triển, vận hành, giám sát, quản lý rủi ro và kiểm toán hệ thống AI; đồng thời quản lý, giám sát năng lực của các đơn vị cung cấp dịch vụ thuê ngoài.

Ông Hoàng Minh Tiến thông tin, dự thảo Thông tư đã được lấy ý kiến nhiều lần và đang được hoàn thiện theo trình tự rút gọn.