Ngân hàng Nhà nước ban hành Thông tư 53/2026/TT-NHNN ngày 30/9/2026, quy định về an toàn, quản lý rủi ro và điều kiện triển khai đối với việc ứng dụng hệ thống trí tuệ nhân tạo (AI) trong ngành ngân hàng. Thông tư có hiệu lực từ ngày 15/11/2026, trừ một số quy định có lộ trình riêng.
Một nội dung đáng chú ý là các ngưỡng giao dịch để xác định hệ thống AI có rủi ro cao trong hoạt động thanh toán và cấp tín dụng.
Quy định riêng cho khách hàng cá nhân và tổ chức
Theo khoản 1 Điều 4, trước khi triển khai hệ thống AI, đơn vị phải thực hiện phân loại hệ thống theo mức độ rủi ro cao, trung bình hoặc thấp theo quy định.
Điểm a khoản 2 Điều 4 quy định hệ thống AI tự động thực hiện giao dịch điện tử trong hoạt động ngân hàng được xác định là hệ thống có rủi ro cao nếu thực hiện tối thiểu một trong các loại giao dịch được liệt kê.
Với khách hàng cá nhân, ngưỡng này là giao dịch thanh toán có giá trị lớn hơn 10 triệu đồng, hoặc tổng giá trị giao dịch trong một ngày đối với một khách hàng do hệ thống AI tự động thực hiện lớn hơn 20 triệu đồng.
Với khách hàng tổ chức, ngưỡng tương ứng là lớn hơn 50 triệu đồng mỗi giao dịch, hoặc tổng giá trị giao dịch trong một ngày đối với một khách hàng do AI tự động thực hiện lớn hơn 100 triệu đồng.
Các mức tiền trên là căn cứ phân loại mức độ rủi ro của hệ thống AI tự động thực hiện giao dịch, không phải quy định xếp mọi giao dịch chuyển tiền vượt các ngưỡng này vào nhóm rủi ro cao.
Đối với hoạt động cấp tín dụng, điểm b khoản 2 Điều 4 quy định hệ thống AI tự động quyết định cấp tín dụng được xác định là hệ thống có rủi ro cao nếu xử lý khoản cấp tín dụng có giá trị từ 50 triệu đồng trở lên.
Phải đánh giá tác động trước khi triển khai
Theo khoản 3 Điều 4, kết quả phân loại hệ thống AI phải được cấp có thẩm quyền của đơn vị phê duyệt. Đối với chi nhánh ngân hàng nước ngoài, thẩm quyền phê duyệt thực hiện theo quy định của ngân hàng mẹ.
Khoản 5 Điều 4 yêu cầu đơn vị lập danh mục hệ thống AI và rà soát, cập nhật tối thiểu hằng năm. Danh mục phải có thông tin về tên hệ thống, mức độ rủi ro, mục đích sử dụng, nhà cung cấp, phiên bản và văn bản phê duyệt mức độ rủi ro.
Đối với hệ thống có rủi ro cao, khoản 1 Điều 13 yêu cầu đánh giá tác động trước khi triển khai. Nội dung đánh giá bao gồm rủi ro đối với hoạt động nghiệp vụ, an ninh mạng, quyền lợi khách hàng và các bên liên quan; đồng thời xem xét tính công bằng, sự minh bạch, khả năng giải thích và nguy cơ phân biệt đối xử với khách hàng.
Theo Điều 24, các hệ thống đã được đưa vào vận hành chính thức trước ngày thông tư có hiệu lực phải tuân thủ quy định tại Chương II, Chương III và Chương IV từ ngày 1/3/2027.
AI không thay thế trách nhiệm của con người
Khoản 3 Điều 3 khẳng định trí tuệ nhân tạo không thay thế thẩm quyền và trách nhiệm của con người.
Theo đó, Ngân hàng và các đơn vị thuộc phạm vi áp dụng phải chịu trách nhiệm trước pháp luật và khách hàng đối với mọi quyết định hoặc hỗ trợ ra quyết định do hệ thống AI đưa ra mà đơn vị dựa vào để cung cấp dịch vụ cho khách hàng.
Đơn vị không được viện dẫn các lý do liên quan đến đặc tính kỹ thuật, tính tự chủ của hệ thống AI hoặc kết quả do bên thứ ba cung cấp để từ chối, miễn trừ hoặc giảm nhẹ trách nhiệm pháp lý, trách nhiệm quản lý và trách nhiệm bồi thường thiệt hại. Ngoại lệ là trường hợp được miễn trừ theo quy định của pháp luật.
Bên cạnh trách nhiệm đối với quyết định của AI, khoản 5 Điều 3 yêu cầu hệ thống phải được thiết kế để bảo đảm khả năng giám sát và can thiệp của con người trong quá trình sử dụng, phù hợp với mức độ rủi ro.
Cụ thể hơn, điểm a khoản 2 Điều 5 yêu cầu bộ phận giám sát có đầy đủ quyền hạn và năng lực để ghi đè, điều chỉnh, tạm dừng quyết định của AI hoặc kích hoạt cơ chế ngắt khẩn cấp để dừng hay cô lập hệ thống khi cần thiết.
Thuê AI bên ngoài vẫn phải bảo vệ quyền lợi khách hàng
Thông tư cũng quy định trách nhiệm của đơn vị khi thuê bên thứ ba phát triển, triển khai hoặc vận hành hệ thống AI.
Theo điểm b khoản 1 Điều 18, việc thuê ngoài không làm thay đổi trách nhiệm của đơn vị đối với bảo đảm an toàn hoạt động nghiệp vụ, bảo vệ quyền lợi khách hàng, tuân thủ pháp luật về an ninh mạng, bảo vệ dữ liệu cá nhân và quản lý rủi ro.
Điểm e khoản 4 Điều 18 quy định, nếu hệ thống AI thuê ngoài gây thiệt hại cho khách hàng hoặc bên liên quan, đơn vị phải kịp thời thực hiện các biện pháp khắc phục, bảo vệ quyền lợi khách hàng.
Đồng thời, đơn vị phải tổ chức tiếp nhận, xử lý khiếu nại và bồi thường thiệt hại theo quy định của pháp luật và thỏa thuận hợp đồng.
Đối với sự cố nghiêm trọng, khoản 2 Điều 9 yêu cầu đơn vị kích hoạt ngay cơ chế ngắt khẩn cấp, chuyển sang vận hành thủ công trong trường hợp cần thiết và triển khai ngay biện pháp khắc phục, hạn chế thiệt hại.
Hoàng An