Phân loại ngưỡng rủi ro và giới hạn giao dịch tự động

Theo Thông tư 53, hệ thống AI thực hiện giao dịch thanh toán được phân loại rủi ro cao nếu chạm các ngưỡng giá trị quy định. Đối với khách hàng cá nhân, hệ thống rơi vào nhóm rủi ro khi một giao dịch tự động vượt 10 triệu đồng hoặc tổng giá trị giao dịch trong ngày lớn hơn 20 triệu đồng. Đối với khách hàng tổ chức, mức cảnh báo tương ứng là trên 50 triệu đồng mỗi giao dịch hoặc vượt 100 triệu đồng mỗi ngày. Việc hệ thống xử lý một lệnh thanh toán thỏa mãn bất kỳ tiêu chí nào về giá trị đơn lẻ hay tổng giao dịch đều lập tức bị đưa vào diện kiểm soát nghiêm ngặt. Quy định phân loại này cũng áp dụng trực tiếp cho các mô hình AI tự động ra quyết định cấp khoản tín dụng từ 50 triệu đồng trở lên.

Việc triển khai tính năng tự động hóa bắt buộc phải dựa trên thỏa thuận pháp lý lập trước giữa tổ chức cung cấp dịch vụ và người sử dụng. Bản thỏa thuận cần quy định chi tiết về phạm vi giao dịch, hạn mức đơn lẻ, tổng hạn mức ngày và các điều kiện áp dụng cụ thể. Tổng giá trị giao dịch do AI xử lý không được vượt quá hạn mức nội bộ của tổ chức tín dụng và giới hạn ở mức tối đa 100 triệu đồng mỗi ngày đối với khách hàng cá nhân, 500 triệu đồng đối với tổ chức. Người sử dụng dịch vụ phải được cung cấp các công cụ kỹ thuật để chủ động tạm dừng hoặc hủy bỏ quyền cho phép AI thực hiện thanh toán. Khi phát sinh khiếu nại liên quan đến các quyết định tự động, ngân hàng phải bố trí nhân sự trực tiếp rà soát và kết quả đánh giá từ con người sẽ là phán quyết cuối cùng.

Siết chặt an ninh mạng và quy trình giám sát vận hành

Yêu cầu kiểm soát an toàn được áp dụng cho toàn bộ các nghiệp vụ ngân hàng có ứng dụng AI bao gồm chấm điểm tín dụng, thẩm định khoản vay, phát hiện gian lận thanh toán và định danh điện tử. Các hệ thống thuộc nhóm rủi ro cao phải vượt qua quy trình kiểm tra an ninh mạng trước khi chính thức đưa vào khai thác, đi kèm cơ chế đánh giá định kỳ hoặc khi có nâng cấp lớn. Các tổ chức tài chính có trách nhiệm xây dựng phương án xử lý sự cố, bảo vệ an toàn dữ liệu và lưu trữ đầy đủ nhật ký hoạt động để phục vụ công tác thanh tra, truy vết.

Quy trình vận hành đòi hỏi cơ chế giám sát liên tục, cho phép con người trực tiếp điều chỉnh, tạm dừng hoặc kích hoạt hệ thống ngắt khẩn cấp để vô hiệu hóa AI khi phát sinh sự cố rủi ro. Công tác quản trị tuân thủ mô hình ba tuyến bảo vệ, phân định rõ ràng trách nhiệm giữa bộ phận khai thác trực tiếp, bộ phận kiểm soát rủi ro và bộ phận kiểm toán nội bộ. Việc sử dụng giải pháp công nghệ từ các đối tác thứ ba hoàn toàn không làm giảm trừ trách nhiệm pháp lý của ngân hàng đối với an toàn hoạt động và quyền lợi khách hàng. Đối với các hệ thống AI đã đi vào hoạt động chính thức trước ngày 15/11/2026, các ngân hàng và tổ chức tài chính có thời hạn chậm nhất đến ngày 1/3/2027 để hoàn thiện toàn bộ các tiêu chuẩn về an toàn và quản lý rủi ro mới.