Khung pháp lý trí tuệ nhân tạo: bước ngoặt cho chiến lược AI ngân hàng
Khung pháp lý trí tuệ nhân tạo trong hoạt động ngân hàng là tập hợp các quy định AI ngân hàng về an toàn, quản lý rủi ro AI, điều kiện triển khai và trách nhiệm khi sử dụng hệ thống AI, nhằm bảo vệ dữ liệu khách hàng và an toàn hệ thống ngân hàng trong khi vẫn cho phép các tổ chức tín dụng đổi mới công nghệ ở quy mô lớn.
Điểm then chốt của dự thảo Thông tư không phải là “siết” AI, mà là buộc ngân hàng coi AI là hạ tầng quan trọng chứ không phải tiện ích thử nghiệm bên lề. Khung pháp lý trí tuệ nhân tạo được xây dựng dựa trên Luật Trí tuệ nhân tạo, Nghị định 142/2026/NĐ-CP và Quyết định 33/2026/QĐ-TTg về hệ thống AI rủi ro cao. Nói cách khác, AI đã được nâng lên tầm đối tượng quản lý chuyên biệt, ngang hàng với các hệ thống thanh toán, tín dụng truyền thống. Đây là bước ngoặt: từ chỗ ứng dụng tự phát, từng ngân hàng sẽ phải có chiến lược AI rõ ràng, được kiểm soát, có trách nhiệm và có người chịu trách nhiệm cuối cùng khi hệ thống đưa ra quyết định sai.
Ngày 5/8/2026 tại Hà Nội, một hội thảo chuyên đề về “AI và quản trị dữ liệu trong hoạt động ngân hàng” đã được tổ chức với sự tham gia của cơ quan quản lý và giới ngân hàng, cho thấy thông điệp: câu chuyện AI không còn là vấn đề kỹ thuật riêng của khối công nghệ, mà đã trở thành chủ đề chính sách và quản trị ở cấp ngành.
Những đường ranh đỏ: phân loại rủi ro và an toàn hệ thống ngân hàng
Nếu các ngân hàng kỳ vọng AI sẽ trở thành “bộ não mới” cho giao dịch và cấp tín dụng, thì dự thảo Thông tư đang vẽ rất rõ những đường ranh đỏ cho bộ não đó. Các hệ thống AI được phân thành ba mức: rủi ro cao, rủi ro trung bình và rủi ro thấp, với yêu cầu quản lý rủi ro AI và kiểm soát của con người khác nhau tương ứng. Đây không chỉ là phân loại kỹ thuật, mà là cách Nhà nước định nghĩa đâu là vùng phải có con người giám sát sát sao, đâu là vùng có thể cho AI tự động vận hành nhiều hơn.
Trong lĩnh vực ngân hàng, hai nhóm hệ thống AI được xác định là rủi ro cao: AI tự động thực hiện giao dịch điện tử và AI tự động quyết định cấp tín dụng. Cụ thể, với giao dịch thanh toán, AI chỉ được phép tự động ra quyết định trong các ngưỡng từ 10 triệu đồng đến dưới 100 triệu đồng với khách hàng cá nhân, và từ 50 triệu đồng đến dưới 500 triệu đồng với khách hàng tổ chức. Đây là một phát biểu có tính trụ cột: ngân hàng không thể để AI toàn quyền với mọi khoản tiền, mà phải thiết kế lại quy trình sao cho các giao dịch lớn vẫn có lớp kiểm soát của con người. Về an ninh mạng, dự thảo yêu cầu nhận diện các rủi ro đặc thù như đầu độc dữ liệu, tấn công né tránh, trích xuất mô hình, xâm phạm quyền riêng tư. Nếu ngân hàng coi nhẹ các yêu cầu này, câu chuyện AI sẽ nhanh chóng biến thành câu chuyện rò rỉ dữ liệu và mất niềm tin khách hàng.
Dữ liệu và trách nhiệm: nền tảng để AI phục vụ khách hàng, không phục vụ tội phạm
Dự thảo Thông tư đang gửi một thông điệp rõ ràng: AI chỉ thông minh đến mức dữ liệu mà ngân hàng nuôi nó. Dữ liệu dùng cho hệ thống AI phải có nguồn gốc rõ ràng, được bảo đảm chất lượng, quản lý an toàn và kiểm soát nguy cơ rò rỉ, đồng thời tuân thủ Luật Dữ liệu và quy định về bảo vệ dữ liệu cá nhân. Nếu không, mọi tham vọng cá nhân hóa dịch vụ hay chấm điểm tín dụng tinh vi đều sẽ đứng trên nền tảng pháp lý mong manh và đối mặt nguy cơ bị xử lý khi có sự cố.
Thực tế, các ngân hàng đã dùng AI để phân tích hành vi tiêu dùng, thanh toán, qua đó hiểu rõ nhu cầu, thiết kế sản phẩm và nâng cao trải nghiệm khách hàng. Chatbot AI được triển khai rộng rãi, giúp khách hàng tra cứu thông tin nhanh hơn. AI còn hỗ trợ phân tích, đánh giá, chấm điểm tín dụng và đề xuất hạn mức phù hợp cho từng nhóm khách hàng. Đồng thời, AI được sử dụng để phân tích hành vi giao dịch, nhận diện dấu hiệu bất thường dựa trên thời gian, địa điểm, tần suất giao dịch và các thông tin liên quan, từ đó phát hiện sớm và cảnh báo nguy cơ gian lận. Song song, tội phạm lại dùng chính AI và công nghệ deepfake để giả mạo, tìm cách qua mặt xác thực sinh trắc học. Vì vậy, các quy định AI ngân hàng về phòng ngừa giả mạo bằng AI không chỉ là nghĩa vụ tuân thủ mà là điều kiện sống còn để bảo vệ khách hàng và hình ảnh của chính ngân hàng.
Một điểm đáng chú ý là cơ chế phối hợp liên ngành giữa cơ quan ngân hàng và cơ quan Công an: khi người dân báo dấu hiệu lừa đảo, thông tin sẽ được chia sẻ kịp thời trên nền tảng pháp lý thống nhất, giúp phát hiện mô hình gian lận mới nhanh hơn. Điều này mở ra khả năng xây dựng các hệ thống AI phòng chống gian lận dùng chung, nơi dữ liệu về tội phạm công nghệ cao được cập nhật liên tục, thay vì mỗi ngân hàng tự chống đỡ trong cô lập.
Tác động chiến lược: từ thí điểm AI rời rạc đến kiến trúc AI toàn ngân hàng
Trong bối cảnh AI đã được ứng dụng khá rộng rãi từ chấm điểm tín dụng, thẩm định cho vay, phát hiện gian lận, phòng chống rửa tiền, chatbot, eKYC đến xác thực điện tử, việc hoàn thiện quy định AI ngân hàng sẽ buộc các tổ chức tài chính chuyển mình từ cách làm dự án đơn lẻ sang cách tiếp cận hệ thống. Dự thảo yêu cầu xây dựng khung quản lý rủi ro AI đồng bộ với chính sách quản lý rủi ro tổng thể và hệ thống kiểm soát nội bộ. Điều đó nghĩa là AI phải được đưa vào bản đồ rủi ro toàn ngân hàng, có chỉ tiêu đo lường, có quy trình phê duyệt, vận hành và rà soát như mọi sản phẩm tín dụng hay dịch vụ thanh toán.
Dự kiến trong quý III/2026, cơ quan công nghệ thông tin của Ngân hàng Nhà nước sẽ trình Thống đốc ban hành Thông tư về an toàn, quản lý rủi ro và điều kiện triển khai ứng dụng AI trong hoạt động ngân hàng. Đồng thời, dự thảo đã được lấy ý kiến nhiều lần và đang được hoàn thiện theo trình tự rút gọn. Thời gian tới, các cơ quan chức năng sẽ tiếp tục ban hành văn bản hướng dẫn, tạo cơ sở pháp lý đồng bộ cho cơ chế phối hợp thực tế. Khi hành lang pháp lý trí tuệ nhân tạo hoàn chỉnh, những ngân hàng chuẩn bị tốt về dữ liệu, năng lực nhân sự và quản trị rủi ro sẽ có lợi thế vượt trội: họ có thể đẩy mạnh ứng dụng AI sâu rộng hơn, từ phân tích hành vi khách hàng đến phát hiện giao dịch bất thường ở cấp thời gian thực. Ngược lại, những đơn vị chậm xây dựng khung quản lý và hạ tầng dữ liệu sẽ không chỉ tụt lại về năng lực cạnh tranh, mà còn đối diện rủi ro pháp lý vì không đáp ứng được chuẩn mực an toàn hệ thống ngân hàng mới.
Kết luận: đổi mới phải đi cùng trách nhiệm và chuẩn bị dài hạn
Dự thảo Thông tư về quản lý AI trong hoạt động ngân hàng không phải là “nốt nhạc lạc điệu” làm chậm bước chân chuyển đổi số, mà là bản hướng dẫn để các tổ chức tài chính chơi đúng nhịp với công nghệ. Cân bằng giữa thúc đẩy đổi mới công nghệ và bảo vệ dữ liệu khách hàng chỉ khả thi nếu ngân hàng coi khung pháp lý trí tuệ nhân tạo là cơ hội để tái thiết kiến trúc dữ liệu, quy trình phê duyệt và văn hóa trách nhiệm. Khách hàng sẽ hưởng lợi từ trải nghiệm cá nhân hóa hơn, an toàn hơn; cơ quan quản lý có công cụ giám sát tốt hơn; còn ngân hàng có nền tảng để triển khai AI ở quy mô lớn mà không sống trong nỗi lo thường trực về sự cố và vi phạm.
Tuy nhiên, quy định chỉ là điểm khởi đầu. Phần khó hơn nằm ở việc mỗi ngân hàng có dám đầu tư dài hạn cho quản lý rủi ro AI, cho đội ngũ hiểu cả công nghệ lẫn nghiệp vụ, và cho việc phá bỏ những silo dữ liệu tồn tại nhiều năm hay không. Nếu câu trả lời là có, Thông tư mới sẽ trở thành cú huých chiến lược, giúp ngành ngân hàng bước vào thời kỳ AI một cách chủ động, an toàn và có trách nhiệm, thay vì bị cuốn theo xu hướng công nghệ mà chưa kịp xây nền.
