Giám sát AI ngân hàng: Cuộc chơi mới, luật mới
Giám sát AI ngân hàng là tập hợp các quy định, quy trình và công cụ nhằm kiểm soát cách ngân hàng thiết kế, triển khai, vận hành và đánh giá các hệ thống trí tuệ nhân tạo trong hoạt động tín dụng, giao dịch và phục vụ khách hàng, bảo đảm các mô hình này an toàn, minh bạch, công bằng và phù hợp pháp luật trong suốt vòng đời sử dụng.
Trong hai năm qua, các tổ chức tài chính đã tích cực tích hợp AI tạo sinh và học máy vào toàn bộ hoạt động vận hành, từ thẩm định khoản vay tự động đến các bot dịch vụ khách hàng tương tác. Điều đó giúp tăng tốc độ và trải nghiệm, nhưng cũng đẩy ngân hàng vào tâm bão giám sát. Các cơ quan quản lý ngân hàng tại Mỹ, đặc biệt là OCC và Fed, đang theo dõi rất sát sao và không còn hài lòng với những slide trình bày về đổi mới. Xu hướng đó phản chiếu sang Việt Nam: AI đã len sâu vào chấm điểm tín dụng, thẩm định cho vay, phát hiện gian lận, phòng chống rửa tiền, chatbot, eKYC và xác thực điện tử. Khi công nghệ trở thành “bộ não” của tín dụng, giám sát AI không còn là chuyện tương lai, mà là áp lực vận hành hằng ngày.
Dự thảo Thông tư AI: Hành lang pháp lý hay rào cản đổi mới?
Dự thảo Thông tư về quản lý AI trong ngành ngân hàng đang đặt nền tảng cho một trật tự mới: AI phải an toàn, có trách nhiệm trước khi nói đến sáng tạo. Dự thảo được xây dựng trên cơ sở Luật Trí tuệ nhân tạo, Nghị định hướng dẫn và Quyết định về danh mục hệ thống AI rủi ro cao. Nói cách khác, khuôn khổ pháp lý đã hình thành, giờ đến lượt ngân hàng phải lấp đầy bằng năng lực vận hành.
Hệ thống AI trong ngân hàng sẽ được chia thành ba mức rủi ro: cao, trung bình, thấp. Ở nhóm rủi ro cao, có hai loại đặc biệt nhạy cảm: AI tự động thực hiện giao dịch điện tử và AI tự động quyết định cấp tín dụng. Với giao dịch thanh toán, hệ thống AI bị coi là rủi ro cao khi tự động thực hiện các giao dịch từ 10 triệu đồng đến dưới 100 triệu đồng đối với khách hàng cá nhân hoặc từ 50 triệu đồng đến dưới 500 triệu đồng đối với khách hàng tổ chức. Theo dự thảo, hệ thống AI chỉ được phép tự động ra quyết định khi đáp ứng đầy đủ các điều kiện về chất lượng mô hình, ngưỡng rủi ro, tiêu chí cảnh báo, quy trình giám sát và khả năng can thiệp của con người. Đây không phải “gánh nặng giấy tờ”, mà là đường biên pháp lý mà ngân hàng buộc phải tính tới trong mọi sáng kiến AI.
Khoảng trống quản trị: Khi AI chạy nhanh hơn bộ máy kiểm soát
Vấn đề lớn nhất của ngân hàng hiện nay không phải thiếu AI, mà là AI chạy nhanh hơn khả năng quản trị. Trong cuộc đua áp dụng công nghệ mới, phần mềm AI của bên thứ ba và các API trực tiếp đã được kết nối với hạ tầng cốt lõi từ rất lâu trước khi bộ phận quản trị rủi ro nội bộ kịp thiết lập các quy trình giám sát chính thức. Kết quả là “shadow AI” – những mô hình, công cụ chưa được phê duyệt – len lỏi trong marketing, tín dụng, vận hành mà không có ai chịu trách nhiệm rõ ràng.
Ngày nay, khi các thanh tra viên ngân hàng tiến hành kiểm tra, những bài thuyết trình hào nhoáng từ bộ phận đổi mới sáng tạo không còn mấy giá trị; họ tập trung vào thực tế vận hành. Bốn câu hỏi cốt lõi luôn được đặt ra: AI đang triển khai ở đâu, ai chịu trách nhiệm; dữ liệu nào nuôi mô hình và được lưu trữ ở đâu; ngân hàng đo lường định kiến thuật toán và độ lệch mô hình ra sao; và nhà cung cấp bên thứ ba được đánh giá như thế nào. Khi ngân hàng coi việc tiếp nhận nhà cung cấp là sự kiện một lần, thay vì giám sát liên tục với nhật ký kiểm toán rõ ràng, thanh tra hoàn toàn có thể xem đó là vi phạm tuân thủ pháp lý AI.
Quản trị dữ liệu ngân hàng: Nút thắt sống còn của tuân thủ pháp lý AI
Không có quản trị dữ liệu ngân hàng nghiêm túc, mọi nỗ lực tuân thủ pháp lý AI đều chỉ là khẩu hiệu. Nguồn gốc dữ liệu (data lineage) đang trở thành trọng tâm hàng đầu của cơ quan quản lý. Câu hỏi không chỉ là mô hình cho ra kết quả gì, mà là dữ liệu nào đi vào, đi qua những hệ thống nào, lưu ở đâu, có bị lẫn dữ liệu khách hàng không công khai, có bị dùng để huấn luyện mô hình công cộng của nhà cung cấp hay không.
Dự thảo Thông tư quy định dữ liệu sử dụng cho AI phải có nguồn gốc rõ ràng, bảo đảm chất lượng, được quản lý an toàn và kiểm soát nguy cơ rò rỉ dữ liệu. Điều này đặt ra yêu cầu xây dựng danh mục tập trung ghi lại mọi mô hình AI, API bên ngoài, công cụ tự động, kèm chi tiết sử dụng dữ liệu và tham số vận hành. Nếu ngân hàng không biết dữ liệu tín dụng riêng tư đang “chảy” đi đâu, họ khó có thể tự tin trước các đợt giám sát AI ngân hàng ngày càng nghiêm khắc. Thực tế, dữ liệu, khả năng quản trị và khuôn khổ pháp lý đang trở thành ba trụ cột quyết định hiệu quả triển khai AI.
Từ đối phó sang chủ động: Lộ trình vận hành AI có trách nhiệm
Điều ngân hàng Việt Nam cần lúc này không phải là phanh gấp mọi dự án AI, mà là chuyển từ tâm thế “thử nghiệm cho vui” sang vận hành có kỷ luật. Các tổ chức tài chính không cần tháo bỏ công cụ kỹ thuật số đang chạy; điều bắt buộc là phải chứng minh khả năng quản trị toàn diện và tính minh bạch đối với các công cụ đó. Dự thảo Thông tư đã được lấy ý kiến nhiều lần và đang được hoàn thiện theo trình tự rút gọn, nghĩa là khung giám sát sẽ đến sớm hơn ngân hàng tưởng.
Muốn sống sót dưới làn sóng giám sát AI, ngân hàng cần ba bước tối thiểu: một là lập bản đồ toàn bộ hệ thống AI đang hoạt động, ai sở hữu, dùng dữ liệu gì; hai là thiết kế quy trình giám sát định kiến, độ lệch mô hình, kèm khả năng can thiệp của con người với mọi hệ thống ra quyết định; ba là xây dựng chương trình quản lý nhà cung cấp AI như một quá trình liên tục, có đo lường, kiểm thử và nhật ký kiểm toán rõ ràng. Nếu coi quy định AI tài chính là rào cản, ngân hàng sẽ luôn ở thế đối phó. Nếu xem đó là khung để xây dựng niềm tin, họ có cơ hội biến tuân thủ pháp lý AI thành lợi thế cạnh tranh dài hạn.
