Hệ thống AI tự động thực hiện giao dịch thanh toán vượt một số ngưỡng giá trị nhất định sẽ được xếp vào nhóm rủi ro cao. Quy định cũng yêu cầu ngân hàng tăng cường giám sát, bảo đảm khách hàng có quyền kiểm soát giao dịch và con người có khả năng can thiệp khi cần thiết.
Giao dịch AI trên 10 triệu đồng thuộc nhóm rủi ro cao
Theo Điều 4 Thông tư 53, hệ thống AI tự động thực hiện giao dịch thanh toán được xác định có rủi ro cao nếu đáp ứng 1 trong 2 tiêu chí về giá trị giao dịch.
Cụ thể, với khách hàng cá nhân, ngưỡng là trên 10 triệu đồng/giao dịch hoặc tổng giá trị giao dịch do AI tự động thực hiện trong một ngày vượt 20 triệu đồng. Với khách hàng tổ chức, các mức tương ứng là trên 50 triệu đồng/giao dịch hoặc trên 100 triệu đồng/ngày.
Chỉ cần vượt 1 trong 2 ngưỡng, hệ thống AI đã thuộc nhóm rủi ro cao. Chẳng hạn, nếu AI tự động thực hiện một giao dịch thanh toán 11 triệu đồng cho khách hàng cá nhân, hệ thống đã đáp ứng tiêu chí này, dù tổng giá trị giao dịch trong ngày chưa vượt 20 triệu đồng.
Đây là ngưỡng phân loại rủi ro đối với hệ thống AI, không phải hạn mức chuyển tiền chung của khách hàng khi sử dụng dịch vụ ngân hàng số thông thường.
Ngoài hoạt động thanh toán, hệ thống AI tự động quyết định cấp tín dụng đối với khoản cấp tín dụng từ 50 triệu đồng trở lên cũng được xếp vào nhóm rủi ro cao.
Một điểm đáng chú ý là ngân hàng và khách hàng phải có thỏa thuận trước khi hệ thống AI tự động thực hiện giao dịch thanh toán. Thỏa thuận cần quy định rõ phạm vi giao dịch, hạn mức mỗi lần, tổng hạn mức trong ngày, thời hạn hiệu lực và điều kiện áp dụng.
Tổng giá trị giao dịch do AI tự động thực hiện trong ngày đối với 1 khách hàng không được vượt quá hạn mức nội bộ của ngân hàng và mức tối đa 100 triệu đồng đối với cá nhân, 500 triệu đồng đối với tổ chức.
Khách hàng cũng phải được cung cấp công cụ để chủ động tạm dừng hoặc hủy quyền cho AI thực hiện thanh toán. Trường hợp phát sinh khiếu nại về quyết định tự động, ngân hàng phải bố trí con người rà soát lại; kết quả rà soát là căn cứ cuối cùng để giải quyết khiếu nại.
Ngân hàng phải tăng giám sát và kiểm soát rủi ro AI
Thông tư 53 đặt ra yêu cầu kiểm soát đối với các tổ chức ứng dụng AI trong nhiều nghiệp vụ ngân hàng như chấm điểm tín dụng, thẩm định khoản vay, phát hiện gian lận thanh toán, tư vấn khách hàng tự động và định danh điện tử. Việc ứng dụng công nghệ này có thể nâng cao hiệu quả vận hành nhưng cũng kéo theo rủi ro về an ninh mạng, bảo mật dữ liệu và sai lệch mô hình.
Theo quy định, hệ thống AI thuộc nhóm rủi ro cao phải được kiểm tra, đánh giá an ninh mạng trước khi chính thức vận hành, đồng thời thực hiện đánh giá định kỳ hoặc khi có thay đổi đáng kể. Các tổ chức phải bảo đảm an toàn dữ liệu, quản lý thay đổi, xây dựng phương án xử lý sự cố và ghi nhật ký hoạt động để phục vụ kiểm tra, truy vết.
Ngân hàng cũng phải thiết lập cơ chế giám sát và can thiệp của con người, bảo đảm có thể điều chỉnh, tạm dừng hoạt động hoặc kích hoạt cơ chế ngắt khẩn cấp khi cần thiết. Công tác quản lý rủi ro được thực hiện theo mô hình 3 tuyến bảo vệ, phân định trách nhiệm giữa bộ phận vận hành, bộ phận kiểm soát rủi ro và kiểm toán nội bộ.
Trước khi đưa hệ thống AI vào sử dụng, tổ chức triển khai phải lập hồ sơ, đánh giá việc đáp ứng các điều kiện theo quy định và trình cấp có thẩm quyền xem xét, quyết định. Việc thuê bên thứ ba phát triển hoặc cung cấp giải pháp AI cũng không làm thay đổi trách nhiệm của ngân hàng đối với an toàn hoạt động và quyền lợi khách hàng.
Đối với các hệ thống AI đã được đưa vào vận hành chính thức trước ngày 15/11/2026, các tổ chức thuộc phạm vi điều chỉnh phải hoàn thành việc đáp ứng yêu cầu về an toàn, quản lý rủi ro và điều kiện triển khai trước ngày 1/3/2027.
