Ngân hàng ứng dụng AI phải quản lý rủi ro thế nào từ 15/11/2026?

Những tổ chức nào phải tuân thủ quy định quản lý rủi ro AI?

Ngày 30/9/2026, Ngân hàng Nhà nước Việt Nam ban hành Thông tư 53/2026/TT-NHNN quy định về an toàn, quản lý rủi ro và điều kiện triển khai đối với việc ứng dụng hệ thống trí tuệ nhân tạo trong ngành Ngân hàng.

Thông tư áp dụng đối với các đơn vị thuộc phạm vi điều chỉnh, bao gồm tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, tổ chức cung ứng dịch vụ tiền di động, công ty thông tin tín dụng và một số tổ chức khác trong ngành Ngân hàng.

Trong thực tế, AI ngày càng được sử dụng để chấm điểm tín dụng, thẩm định khoản vay, phát hiện giao dịch bất thường, xác thực khách hàng và hỗ trợ tư vấn tự động.

Mặc dù mang lại nhiều lợi ích, các hệ thống này cũng tiềm ẩn rủi ro liên quan đến độ chính xác của kết quả, bảo mật dữ liệu, an ninh mạng và quyền lợi của khách hàng.

Vì vậy, Thông tư 53/2026/TT-NHNN thiết lập cơ chế quản lý dựa trên mức độ rủi ro, đồng thời xác định trách nhiệm của các cá nhân, bộ phận và cấp quản lý khi triển khai AI.

Ai chịu trách nhiệm quản lý rủi ro khi ngân hàng ứng dụng AI?

Theo Điều 12 Thông tư 53/2026/TT-NHNN, trách nhiệm quản lý rủi ro đối với việc ứng dụng AI được phân định cụ thể như sau:

Đơn vị phải phân công rõ trách nhiệm của từng bộ phận

Các đơn vị triển khai AI phải xác định rõ vai trò, trách nhiệm của cá nhân và bộ phận chức năng trong hoạt động quản lý rủi ro.

Đồng thời, phải thiết lập cơ chế phối hợp giữa các bộ phận liên quan để bảo đảm việc phát triển, vận hành, kiểm tra và giám sát hệ thống được thực hiện thống nhất.

Điều này có nghĩa là trách nhiệm quản lý AI không chỉ giới hạn ở bộ phận công nghệ thông tin mà còn liên quan đến quản trị rủi ro, kiểm soát nội bộ và các bộ phận nghiệp vụ sử dụng hệ thống.

Hội đồng quản lý cấp cao chịu trách nhiệm cao nhất

Theo khoản 2 Điều 12, Hội đồng quản lý cấp cao chịu trách nhiệm cao nhất về việc ứng dụng hệ thống AI tại đơn vị.

Trách nhiệm này bao gồm:

• Phê duyệt định hướng phát triển và ứng dụng AI phù hợp với chiến lược kinh doanh, chính sách quản lý rủi ro.
• Phê duyệt khung quản lý rủi ro và các chính sách quan trọng liên quan đến ứng dụng AI.
• Phân bổ đầy đủ nguồn lực phục vụ triển khai, vận hành và quản lý rủi ro.
• Tổ chức giám sát việc thực hiện quản lý rủi ro trong quá trình ứng dụng AI.

Như vậy, việc ngân hàng sử dụng AI trong hoạt động kinh doanh phải gắn với trách nhiệm quản trị ở cấp cao nhất, thay vì chỉ được xem là hoạt động kỹ thuật.

Hệ thống AI có rủi ro cao phải được phê duyệt trước khi vận hành

Đối với hệ thống AI được phân loại có rủi ro cao, Hội đồng quản lý cấp cao phải phê duyệt chủ trương triển khai và quyết định đưa hệ thống vào vận hành chính thức.

Việc phê duyệt chi tiết về kỹ thuật, triển khai và vận hành được thực hiện theo cơ chế phân cấp, ủy quyền nội bộ của đơn vị.

Riêng đối với chi nhánh ngân hàng nước ngoài, thẩm quyền phê duyệt được thực hiện theo quy định của ngân hàng mẹ.

Quy định này nhằm bảo đảm các hệ thống AI có khả năng tác động đáng kể đến hoạt động ngân hàng và khách hàng phải trải qua quá trình xem xét trước khi chính thức sử dụng.

Ngân hàng phải báo cáo tình hình vận hành AI bao lâu một lần?

Theo khoản 6 Điều 12 Thông tư 53/2026/TT-NHNN, đơn vị phải báo cáo Hội đồng quản lý cấp cao hoặc ngân hàng mẹ về tình hình vận hành, rủi ro, sự cố nghiêm trọng, khiếu nại và xu hướng sai lệch của hệ thống.

Đối với hệ thống AI có rủi ro cao và rủi ro trung bình, việc báo cáo phải được thực hiện định kỳ tối thiểu 6 tháng.

Ngoài ra, đối với hệ thống AI có rủi ro cao, đơn vị còn phải thực hiện báo cáo khi có thay đổi đáng kể của hệ thống.

Đây là cơ chế giúp cấp quản lý theo dõi hiệu quả vận hành, kịp thời nhận diện những rủi ro mới và đưa ra biện pháp kiểm soát phù hợp.

Ví dụ, nếu một hệ thống AI phục vụ đánh giá tín dụng xuất hiện xu hướng sai lệch trong quá trình xử lý hồ sơ, đơn vị cần xem xét nguyên nhân, mức độ ảnh hưởng và thực hiện các biện pháp quản lý theo quy định.

Hệ thống AI có rủi ro cao phải được đánh giá những nội dung gì?

Theo Điều 13 Thông tư 53/2026/TT-NHNN, trước khi triển khai hệ thống AI có rủi ro cao, đơn vị phải thực hiện đánh giá tác động.

Nội dung đánh giá tối thiểu bao gồm:

Thứ nhất, đánh giá mục đích và cơ chế hoạt động.

Đơn vị phải mô tả mục đích, phạm vi, nguyên lý hoạt động của hệ thống và cơ chế bảo đảm khả năng giám sát, can thiệp của con người.

Thứ hai, đánh giá các rủi ro có thể phát sinh.

Việc đánh giá phải xem xét rủi ro đối với hoạt động nghiệp vụ, an ninh mạng, hệ thống thông tin và quyền lợi của khách hàng, các bên liên quan.

Đáng chú ý, cần đánh giá cụ thể tính công bằng, minh bạch, khả năng giải thích và nguy cơ phân biệt đối xử đối với khách hàng.

Thứ ba, đánh giá tác động đối với dữ liệu cá nhân.

Nếu hệ thống có xử lý dữ liệu cá nhân, đơn vị phải thực hiện đánh giá tác động theo quy định pháp luật có liên quan.

Thứ tư, xác định biện pháp kiểm soát rủi ro.

Đơn vị phải xây dựng các biện pháp nhằm kiểm soát và giảm thiểu những rủi ro đã nhận diện.

Thứ năm, xây dựng phương án giám sát và ứng phó sự cố.

Trước khi vận hành, đơn vị phải có kế hoạch theo dõi hoạt động của hệ thống và phương án xử lý khi xảy ra sự cố.

Kết quả đánh giá phải được lập thành hồ sơ, phê duyệt bởi cấp có thẩm quyền và lưu trữ trong suốt thời gian hệ thống hoạt động.

Khi có thay đổi về chức năng, phạm vi xử lý dữ liệu hoặc điều kiện vận hành, hồ sơ đánh giá phải được rà soát, cập nhật.

Khung quản lý rủi ro AI được tổ chức theo ba tuyến bảo vệ

Điều 14 Thông tư 53/2026/TT-NHNN quy định các đơn vị phải xây dựng, ban hành và thực hiện khung quản lý rủi ro đối với việc ứng dụng AI.

Khung quản lý này phải phù hợp với chính sách quản lý rủi ro tổng thể và không tách rời hệ thống kiểm soát nội bộ chung của đơn vị.

Đáng chú ý, hoạt động quản lý rủi ro AI được tổ chức theo ba tuyến bảo vệ độc lập.

Tuyến bảo vệ thứ nhất – Bộ phận trực tiếp vận hành AI

Bao gồm cá nhân hoặc bộ phận thực hiện phát triển, triển khai, vận hành và sử dụng hệ thống AI.

Tuyến này có trách nhiệm nhận diện, theo dõi, kiểm soát và giảm thiểu rủi ro trong quá trình sử dụng hệ thống.

Tuyến bảo vệ thứ hai – Bộ phận quản lý và kiểm soát rủi ro

Thực hiện chức năng kiểm tra, đánh giá hệ thống AI; xây dựng chính sách, quy định nội bộ; theo dõi việc kiểm soát rủi ro và tuân thủ pháp luật.

Đây là tuyến giám sát độc lập đối với hoạt động của bộ phận trực tiếp vận hành.

Tuyến bảo vệ thứ ba – Kiểm toán nội bộ

Thực hiện chức năng kiểm toán nội bộ đối với hoạt động quản lý rủi ro và hệ thống kiểm soát liên quan đến ứng dụng AI.

Thông tư cho phép thuê ngoài để thực hiện một số chức năng của các tuyến bảo vệ nhưng phải bảo đảm tính độc lập giữa các tuyến.

Lưu ý: Quy định tại Điều 14 về khung quản lý rủi ro và ba tuyến bảo vệ có hiệu lực từ ngày 01/01/2027, không phải ngày 15/11/2026.

Những loại rủi ro nào phải được ngân hàng kiểm soát khi sử dụng AI?

Theo khoản 3 Điều 14 Thông tư 53/2026/TT-NHNN, các nhóm rủi ro tối thiểu phải được quản lý bao gồm:

Các rủi ro phát sinh trong quá trình ứng dụng trí tuệ nhân tạo (AI) vào hoạt động ngân hàng được phân thành 08 nhóm chính, bao gồm:

1. Rủi ro mô hình: Phát sinh khi hệ thống AI đưa ra kết quả dự đoán, phân tích hoặc quyết định thiếu chính xác, có thể ảnh hưởng đến hoạt động nghiệp vụ và quyền lợi của khách hàng.

2. Rủi ro quản trị dữ liệu: Xuất hiện khi dữ liệu sử dụng để phát triển, huấn luyện hoặc vận hành AI không đầy đủ, không phù hợp, thiếu chính xác hoặc không được quản lý đúng cách.

3. Rủi ro an ninh mạng: Liên quan đến nguy cơ hệ thống AI bị tấn công, xâm nhập, đánh cắp dữ liệu hoặc khai thác trái phép, gây ảnh hưởng đến an toàn thông tin và hoạt động ngân hàng.

4. Rủi ro tuân thủ pháp luật: Phát sinh khi việc phát triển, triển khai hoặc sử dụng AI không đáp ứng các quy định pháp luật có liên quan.

5. Rủi ro đạo đức: Xảy ra khi AI tạo ra kết quả thiếu công bằng, có sự thiên lệch hoặc gây bất lợi không phù hợp cho khách hàng trong quá trình cung cấp sản phẩm, dịch vụ ngân hàng.

6. Rủi ro từ bên thứ ba: Phát sinh từ việc ngân hàng phụ thuộc vào các tổ chức, doanh nghiệp cung cấp công nghệ, nền tảng hoặc dịch vụ AI.

7. Rủi ro chuỗi cung ứng: Liên quan đến những sự cố hoặc điểm yếu phát sinh từ các thành phần công nghệ, dịch vụ và đối tác tham gia vào chuỗi cung ứng hệ thống AI.

8. Rủi ro danh tiếng: Phát sinh khi hệ thống AI xảy ra sự cố, đưa ra kết quả sai lệch hoặc gây ảnh hưởng tiêu cực đến khách hàng, từ đó làm suy giảm uy tín và niềm tin đối với ngân hàng.

Như vậy, rủi ro trong hoạt động AI không chỉ xuất phát từ công nghệ và dữ liệu mà còn liên quan đến yếu tố pháp lý, đạo đức, đối tác và uy tín của ngân hàng. Việc nhận diện đầy đủ các nhóm rủi ro là cơ sở để xây dựng biện pháp quản lý, giám sát và kiểm soát phù hợp.

Trường hợp nào hệ thống AI trong ngân hàng được xác định có rủi ro cao?

Các hoạt động do trí tuệ nhân tạo (AI) tự động thực hiện trong lĩnh vực ngân hàng được xác định có rủi ro cao khi đáp ứng một trong các ngưỡng sau:

1. Đối với hoạt động thanh toán của khách hàng cá nhân: AI tự động thực hiện giao dịch thanh toán có giá trị trên 10 triệu đồng/giao dịch hoặc tổng giá trị giao dịch trên 20 triệu đồng/ngày/khách hàng.

2. Đối với hoạt động thanh toán của khách hàng tổ chức: AI tự động thực hiện giao dịch thanh toán có giá trị trên 50 triệu đồng/giao dịch hoặc tổng giá trị giao dịch trên 100 triệu đồng/ngày/khách hàng.

3. Đối với hoạt động quyết định cấp tín dụng: AI tự động đưa ra quyết định cấp tín dụng đối với khoản cấp tín dụng có giá trị từ 50 triệu đồng trở lên.

Như vậy, việc xác định hoạt động AI có rủi ro cao phụ thuộc vào loại giao dịch, đối tượng khách hàng và giá trị giao dịch hoặc khoản cấp tín dụng. Đáng chú ý, đối với hoạt động thanh toán, chỉ cần vượt một trong hai ngưỡng về giá trị giao dịch hoặc tổng giá trị giao dịch trong ngày là đáp ứng tiêu chí nêu trên.

Khách hàng được bảo vệ như thế nào khi ngân hàng sử dụng AI?

Việc sử dụng AI trong hoạt động ngân hàng có thể tác động trực tiếp đến khách hàng, đặc biệt trong các nghiệp vụ như xét duyệt tín dụng, thanh toán và xác thực thông tin.

Theo định hướng quản lý của Thông tư 53/2026/TT-NHNN, hệ thống AI phải được kiểm soát phù hợp với mức độ rủi ro và bảo đảm khả năng giám sát, can thiệp của con người.

Đối với hệ thống có rủi ro cao, việc đánh giá tác động phải xem xét quyền lợi khách hàng, tính minh bạch, khả năng giải thích và nguy cơ phân biệt đối xử.

Chẳng hạn, khi AI được sử dụng để hỗ trợ đánh giá hồ sơ vay vốn, đơn vị triển khai cần quan tâm đến chất lượng dữ liệu, tính chính xác của mô hình và khả năng phát hiện những kết quả bất thường.

Điều này góp phần hạn chế nguy cơ khách hàng bị ảnh hưởng bởi những quyết định tự động thiếu chính xác hoặc thiếu cơ chế kiểm soát phù hợp.

Tuy nhiên, trách nhiệm giải quyết khiếu nại, bồi thường thiệt hại hoặc xử lý vi phạm trong từng trường hợp cụ thể vẫn phải được xác định theo quy định pháp luật có liên quan và các tình tiết thực tế.

Thông tư 53/2026/TT-NHNN có hiệu lực từ khi nào?

Thông tư 53/2026/TT-NHNN được ban hành ngày 30/9/2026 và có hiệu lực từ ngày 15/11/2026, trừ một số quy định có thời điểm áp dụng riêng.

Các mốc thời gian quan trọng gồm:

• Ngày 15/11/2026: Thông tư bắt đầu có hiệu lực theo quy định chung, bao gồm trách nhiệm quản lý rủi ro tại Điều 12 và đánh giá tác động tại Điều 13.
• Ngày 01/01/2027: Điều 14 về khung quản lý rủi ro đối với ứng dụng AI có hiệu lực.
• Ngày 01/09/2027: Điểm b khoản 1 Điều 6 và Điều 21 có hiệu lực theo quy định chuyển tiếp; riêng Điều 21 có ngoại lệ đối với đơn vị có hệ thống AI rủi ro cao.

Do đó, các ngân hàng và đơn vị thuộc phạm vi điều chỉnh cần xác định đúng thời điểm áp dụng của từng nhóm nghĩa vụ để chuẩn bị nhân sự, quy trình và hệ thống kiểm soát phù hợp.

Kết luận

Thông tư 53/2026/TT-NHNN đặt ra khuôn khổ quản lý rủi ro đối với hoạt động ứng dụng AI trong ngành Ngân hàng, trong đó nhấn mạnh trách nhiệm của cấp quản lý cao nhất, yêu cầu đánh giá tác động đối với hệ thống có rủi ro cao và cơ chế giám sát trong suốt quá trình vận hành.

Đáng chú ý, việc ứng dụng AI không làm thay đổi trách nhiệm quản lý của tổ chức triển khai. Các đơn vị vẫn phải bảo đảm hệ thống hoạt động an toàn, tuân thủ pháp luật và có biện pháp kiểm soát những rủi ro có thể ảnh hưởng đến khách hàng.

Việc tuân thủ quy định mới không chỉ là yêu cầu pháp lý mà còn góp phần nâng cao tính minh bạch, an toàn và độ tin cậy của các dịch vụ ngân hàng ứng dụng công nghệ.

Căn cứ pháp lý: Thông tư 53/2026/TT-NHNN ngày 30/9/2026 của Ngân hàng Nhà nước Việt Nam, đặc biệt các Điều 4, 12, 13, 14 và 23.

Nếu có bất kỳ thắc mắc hay cần tư vấn pháp luật vui lòng liên hệ chúng tôi qua các hình thức sau:

Hotline Luật sư tư vấn trực tiếp: 1900 2929 01

Nhập thông tin đăng ký tư vấn luật tại đây: https://luatsulh.com/dang-ky-tu-van.html

Liên hệ đặt lịch hẹn qua zalo số: 0903 796 830

Website: https://luatsulh.com/

Văn phòng: Hồ Chí Minh | Hà Nội | Khánh Hòa

Theo dõi Công ty Luật LH Legal tại:

Website: https://luatsulh.com/

Facebook: Luật sư LH Legal

Youtube: Luật sư LH Legal

Kênh Tiktok Luật sư Hoà: Luật sư Hoà (LH Legal)

Kênh Tiktok Công ty: Luật sư LH Legal

Kênh Tiktok Luật sư Hình sự: Luật sư Hình sự

Kênh Zalo OA

Hồ sơ năng lực LH Legal