Thông tư 53: AI trong ngân hàng phải an toàn trước khi thông minh
Quy định AI ngân hàng là tập hợp các yêu cầu pháp lý, kỹ thuật và quản trị nhằm bảo đảm hệ thống trí tuệ nhân tạo được triển khai trong hoạt động tài chính một cách an toàn, có kiểm soát rủi ro, tôn trọng quyền lợi khách hàng và không thay thế trách nhiệm pháp lý của con người. Ngân hàng Nhà nước đã phát tín hiệu rất rõ: AI chỉ được coi là tiến bộ khi nó vận hành trong một khung tuân thủ chặt chẽ, chứ không phải chạy càng nhanh càng tốt. Thông tư số 53/2026/TT-NHNN về an toàn, quản lý rủi ro và điều kiện triển khai đối với việc ứng dụng hệ thống AI trong ngành Ngân hàng vừa được ban hành và có hiệu lực từ ngày 15/11/2026. Đây không phải một văn bản kỹ thuật thuần túy, mà là lời nhắc rằng mọi cuộc chơi fintech đều phải bắt đầu từ tuân thủ pháp lý fintech, thay vì chạy theo trào lưu công nghệ.
Phân loại rủi ro AI: đường ranh đỏ cho giao dịch và tín dụng
Điểm gây tác động mạnh nhất của Thông tư 53 là cách tiếp cận quản lý rủi ro AI dựa trên phân loại hệ thống theo mức độ rủi ro cao, trung bình, thấp. Điều này chấm dứt thời kỳ ngân hàng triển khai AI kiểu thử nghiệm mơ hồ, không rõ ràng về giới hạn. Các hệ thống AI tự động thực hiện giao dịch thanh toán được xác định là rủi ro cao nếu xử lý giao dịch của khách hàng cá nhân trên 10 triệu đồng hoặc tổng giá trị giao dịch trong ngày trên 20 triệu đồng; với khách hàng tổ chức là trên 50 triệu đồng/giao dịch hoặc trên 100 triệu đồng/ngày. Hệ thống AI tự động đề xuất quyết định cấp tín dụng cũng bị xếp vào nhóm rủi ro cao khi khoản cấp tín dụng từ 50 triệu đồng trở lên. Câu chuyện không dừng ở nhãn "rủi ro cao": tổng giá trị giao dịch trong một ngày do AI tự động thực hiện không được vượt hạn mức nội bộ và không quá 100 triệu đồng đối với khách hàng cá nhân, 500 triệu đồng đối với khách hàng tổ chức. Nói thẳng, Thông tư đang dựng hàng rào cứng quanh những nơi AI có thể gây thiệt hại tài chính trực tiếp, buộc ngân hàng phải thiết kế an toàn hệ thống AI ngay từ khâu kiến trúc.
Quyền lợi khách hàng: minh bạch, quyền khiếu nại và con người là phán quyết cuối cùng
Nếu nhìn từ góc độ khách hàng, Thông tư 53 là một bước tiến hiếm hoi khi quy định mới chạm trực diện vào trải nghiệm người dùng, chứ không chỉ nói chung chung về công nghệ. Văn bản yêu cầu ngân hàng phải thông báo khi khách hàng đang tương tác với AI, giải thích các quyết định tự động, cho phép con người rà soát khi có khiếu nại, đồng thời kiểm soát chặt các giao dịch thanh toán và quyết định cấp tín dụng do AI thực hiện. Trường hợp AI đóng vai trò thay thế con người trong giao tiếp trực tiếp, ngân hàng phải nói rõ ngay từ đầu phiên làm việc rằng khách hàng đang tương tác với hệ thống AI. Quan trọng hơn, với mọi quyết định tự động có ảnh hưởng đến trách nhiệm pháp lý, nghĩa vụ tài chính hoặc khả năng tiếp cận sản phẩm, dịch vụ, tổ chức cung ứng phải lưu giữ cơ sở và các yếu tố chính dẫn tới quyết định để có thể giải thích khi khách hàng yêu cầu. Đây là bước đi dứt khoát chống lại "hộp đen" AI, nhưng vẫn bảo vệ bí mật kinh doanh, khi quy định không buộc ngân hàng phải công khai mã nguồn hay thuật toán chi tiết.
Khung tuân thủ pháp lý fintech: AI không được dùng để né trách nhiệm
Một nguyên tắc cốt lõi mà Thông tư 53 khẳng định là AI không thay thế thẩm quyền và trách nhiệm của con người. Các tổ chức cung ứng dịch vụ không được viện dẫn đặc tính kỹ thuật, tính tự chủ của hệ thống hay việc sử dụng sản phẩm của bên thứ ba để loại trừ hoặc giảm trách nhiệm quản lý và trách nhiệm pháp lý. Nói cách khác, mọi quyết định – kể cả quyết định được hỗ trợ bởi AI – vẫn gắn với chữ ký và trách nhiệm của tổ chức. Quy định này đặc biệt quan trọng với hệ sinh thái fintech, nơi nhiều đơn vị có xu hướng thuê ngoài hệ thống AI, từ chấm điểm tín dụng đến phát hiện gian lận. Thông tư 53 áp dụng không chỉ cho tổ chức tín dụng, chi nhánh ngân hàng nước ngoài mà còn cho tổ chức cung ứng dịch vụ trung gian thanh toán, dịch vụ tiền di động, công ty thông tin tín dụng, VAMC, Nhà máy In tiền Quốc gia và Bảo hiểm tiền gửi. Trường hợp hệ thống AI thuê ngoài gây thiệt hại cho khách hàng, đơn vị sử dụng dịch vụ phải kịp thời khắc phục, bảo vệ quyền lợi khách hàng, tiếp nhận và xử lý khiếu nại, bồi thường thiệt hại theo quy định. Đây là thông điệp rõ ràng: tuân thủ pháp lý fintech không thể được "đẩy" sang nhà cung cấp công nghệ.
Hạ tầng, nhân lực và lộ trình: ngân hàng phải hành động ngay, không thể chờ đợi
Thông tư 53 không chỉ đặt ra yêu cầu mà còn ấn định thời điểm buộc các ngân hàng phải chuyển mình. Văn bản có hiệu lực từ 15/11/2026, nhưng một số quy định về khung quản lý rủi ro, kiểm tra an ninh mạng và nguồn nhân lực được áp dụng theo lộ trình; các hệ thống AI đã vận hành trước ngày hiệu lực phải hoàn thành việc đáp ứng yêu cầu an toàn, quản lý rủi ro và điều kiện triển khai từ ngày 1/3/2027. Điều này đồng nghĩa, từ nay đến thời điểm đó, các tổ chức tài chính phải đầu tư nghiêm túc vào hạ tầng công nghệ, quy trình kiểm tra an ninh mạng, quản lý thay đổi, xử lý sự cố, ghi nhật ký và giám sát rủi ro phát sinh trong quá trình vận hành. Dữ liệu phục vụ huấn luyện, kiểm thử và vận hành hệ thống AI phải có nguồn gốc rõ ràng, hợp pháp; tổ chức phải có biện pháp kiểm soát chất lượng, phát hiện dữ liệu lỗi, sai lệch, bị thao túng hoặc đầu độc, đồng thời giám sát sự thay đổi của dữ liệu. Quan trọng không kém, ngân hàng phải xây dựng mô hình quản lý rủi ro AI theo "3 tuyến bảo vệ", bao quát rủi ro mô hình, đạo đức, thuê ngoài và chuỗi cung ứng. Nếu không chuẩn bị đội ngũ chuyên môn đủ sâu về AI, an ninh mạng và pháp chế, các tổ chức sẽ bị mắc kẹt giữa tham vọng số hóa và nghĩa vụ tuân thủ.
