Dự thảo Thông tư quy định về an toàn, quản lý rủi ro và điều kiện ứng dụng trí tuệ nhân tạo (AI) trong hoạt động ngân hàng đang được Ngân hàng Nhà nước lấy ý kiến. Các quy định dự kiến được áp dụng với những hệ thống sử dụng AI như trợ lý ảo, tổng đài tự động, chatbot và các công cụ tương tác với khách hàng.
Dự thảo nêu Thông tư áp dụng với các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, đơn vị trung gian thanh toán, công ty thông tin tín dụng, công ty quản lý tài sản của các tổ chức tín dụng Việt Nam, bảo hiểm tiền gửi Việt Nam… khi triển khai AI trong hoạt động nghiệp vụ cung cấp dịch vụ cho khách hàng. Các ứng dụng AI trong quản trị nội bộ được khuyến khích tuân thủ.
Một trong những nguyên tắc xuyên suốt là AI không thay thế thẩm quyền và trách nhiệm của con người. Đơn vị triển khai phải chịu trách nhiệm cuối cùng trước pháp luật và khách hàng về mọi quyết định do hệ thống AI đưa ra hoặc hỗ trợ đưa ra; không được viện dẫn yếu tố kỹ thuật hay lỗi từ bên thứ 3 để miễn trừ trách nhiệm.
Kiểm tra giao dịch tiền tại ngân hàng (Ảnh: Mạnh Quân).
Dự thảo yêu cầu phân loại hệ thống AI theo mức độ rủi ro (cao, trung bình, thấp) trước khi triển khai. Với hệ thống rủi ro cao, các quyết định do AI đề xuất - trừ một số nghiệp vụ đặc thù như phòng chống gian lận, rửa tiền - phải được cấp có thẩm quyền xem xét, phê duyệt, không được tự động hóa hoàn toàn. Hệ thống rủi ro trung bình và thấp có thể tự động hóa ở mức độ nhất định nhưng phải có ngưỡng cảnh báo, cơ chế giám sát và khả năng can thiệp kịp thời.
Về an toàn hệ thống, các đơn vị phải kiểm tra, đánh giá an toàn thông tin trước khi đưa AI vào vận hành và định kỳ trong quá trình sử dụng, bao gồm cả các kịch bản tấn công đặc thù như tấn công đối kháng, đầu độc dữ liệu, trích xuất mô hình... Hệ thống phải được giám sát liên tục để phát hiện hiện tượng “trôi mô hình”, “trôi dữ liệu”, suy giảm chất lượng hoặc thiên lệch.
Dự thảo cũng đặt ra yêu cầu nghiêm ngặt về quản lý vòng đời hệ thống AI, từ thiết kế, phát triển, kiểm thử, triển khai, vận hành đến ngừng sử dụng. Mô hình phải được kiểm tra trước khi đưa vào hoạt động, đánh giá định kỳ tối thiểu hằng năm và đánh giá đột xuất khi có thay đổi lớn. Các phiên bản mô hình, đặc biệt với hệ thống rủi ro cao, phải được lưu trữ tối thiểu 5 năm kể từ khi ngừng sử dụng.
Trong trường hợp thuê ngoài phát triển hoặc vận hành AI, tổ chức tín dụng vẫn chịu trách nhiệm cuối cùng. Hợp đồng với bên thứ 3 phải quy định rõ yêu cầu về an toàn, bảo mật, báo cáo kiểm toán công nghệ thông tin hằng năm, cơ chế hỗ trợ khi xảy ra sự cố và phương án bảo đảm tính liên tục dịch vụ.
Đáng chú ý, dự thảo dành riêng một chương về bảo vệ quyền lợi khách hàng. Khi sử dụng chatbot, trợ lý ảo hoặc nội dung do AI tạo ra, đơn vị phải thông báo rõ cho khách hàng. Khách hàng có quyền yêu cầu con người xem xét lại các quyết định được đưa ra hoàn toàn tự động. Đơn vị phải cung cấp thông tin giải thích về các yếu tố chính dẫn đến quyết định, đồng thời không làm lộ bí mật công nghệ.
Dự thảo cũng quy định rõ đơn vị không được phép sử dụng hệ thống AI để khai thác điểm yếu của khách hàng hoặc nhóm người cụ thể (chẳng hạn do tuổi tác, khuyết tật, điều kiện kinh tế - xã hội…) để thúc ép họ sử dụng sản phẩm/dịch vụ tài chính rủi ro cao, không phù hợp, gây thiệt hại cho khách hàng.
Đây là một trong những yêu cầu nhằm ngăn chặn hành vi phân biệt đối xử hoặc gây bất lợi không hợp lý cho nhóm khách hàng yếu thế.
Các quy định này dự kiến có hiệu lực từ tháng 3. Với hệ thống AI triển khai trước thời điểm này, thời hạn có hiệu lực lùi đến tháng 9/2027 để các ngân hàng, ví điện tử rà soát và tuân thủ.
