Quy định mới về AI mức độ rủi ro cao trong ngành Ngân hàng từ ngày 15/11/2026 tại Thông tư 53 ra sao?

Quy định mới về AI mức độ rủi ro cao trong ngành Ngân hàng từ ngày 15/11/2026 tại Thông tư 53 ra sao?

Căn cứ Điều 4 Thông tư 53/2026/TT-NHNN quy định mới về AI mức độ rủi ro cao trong ngành Ngân hàng từ ngày 15/11/2026 như sau:

(1) Trước khi triển khai hệ thống trí tuệ nhân tạo, đơn vị phải thực hiện phân loại hệ thống trí tuệ nhân tạo theo mức độ rủi ro cao, trung bình, thấp theo quy định của pháp luật về trí tuệ nhân tạo và quy định tại (2).

(2) Đơn vị xác định hệ thống trí tuệ nhân tạo có rủi ro cao trên cơ sở Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao do Thủ tướng Chính phủ ban hành, trong đó hệ thống trí tuệ nhân tạo có rủi ro cao trong lĩnh vực ngân hàng, được xác định như sau:

- Đối với hệ thống trí tuệ nhân tạo tự động thực hiện giao dịch điện tử trong hoạt động ngân hàng, được xác định là hệ thống trí tuệ nhân tạo có rủi ro cao nếu có thực hiện tối thiểu một trong các loại giao dịch sau:

(i) Giao dịch thanh toán của khách hàng cá nhân có giá trị lớn hơn 10 triệu đồng hoặc có tổng giá trị giao dịch trong một ngày đối với một khách hàng do hệ thống trí tuệ nhân tạo tự động thực hiện lớn hơn 20 triệu đồng;

(ii) Giao dịch thanh toán của khách hàng tổ chức có giá trị lớn hơn 50 triệu đồng hoặc có tổng giá trị giao dịch trong một ngày đối với một khách hàng do hệ thống trí tuệ nhân tạo tự động thực hiện lớn hơn 100 triệu đồng;

- Đối với hệ thống trí tuệ nhân tạo tự động quyết định cấp tín dụng, được xác định là hệ thống trí tuệ nhân tạo có rủi ro cao nếu có xử lý khoản cấp tín dụng có giá trị từ 50 triệu đồng trở lên.

(3) Kết quả phân loại hệ thống trí tuệ nhân tạo phải được phê duyệt bởi cấp có thẩm quyền của đơn vị. Đối với chi nhánh ngân hàng nước ngoài, thẩm quyền phê duyệt thực hiện theo quy định của ngân hàng mẹ.

(4) Đơn vị được kế thừa kết quả phân loại của nhà cung cấp theo quy định của pháp luật về trí tuệ nhân tạo. Trường hợp sửa đổi, tích hợp hoặc thay đổi chức năng của hệ thống trí tuệ nhân tạo làm phát sinh rủi ro mới hoặc rủi ro cao hơn, đơn vị phối hợp nhà cung cấp thực hiện phân loại lại.

(5) Đơn vị phải lập danh mục hệ thống trí tuệ nhân tạo và rà soát, cập nhật danh mục tối thiểu hằng năm. Danh mục tối thiểu bao gồm các trường thông tin: tên hệ thống trí tuệ nhân tạo, mức độ rủi ro, mục đích sử dụng, nhà cung cấp, phiên bản, văn bản phê duyệt mức độ rủi ro.

Quy định mới về AI mức độ rủi ro cao trong ngành Ngân hàng từ ngày 15/11/2026 tại Thông tư 53 ra sao? (Hình ảnh Internet)

Bảo đảm an toàn hệ thống trí tuệ nhân tạo (AI) trong ngành Ngân hàng từ ngày 15/11/2026 như thế nào?

Căn cứ Điều 6 Thông tư 53/2026/TT-NHNN quy định bảo đảm an toàn hệ thống trí tuệ nhân tạo (AI) trong ngành Ngân hàng từ ngày 15/11/2026 như sau:

- Hệ thống trí tuệ nhân tạo phải được kiểm tra, đánh giá an ninh mạng trước khi đưa vào vận hành chính thức và định kỳ hoặc ngay khi có thay đổi đáng kể của hệ thống trí tuệ nhân tạo, tối thiểu bao gồm:

+ Kiểm tra, đánh giá việc phòng, chống các kịch bản tấn công, rủi ro đặc thù đối với hệ thống trí tuệ nhân tạo, tối thiểu bao gồm:

(i) Tấn công vi phạm quyền riêng tư dữ liệu;

(ii) Tấn công đầu độc dữ liệu, tấn công đầu độc mô hình, tấn công né tránh và tấn công trích xuất mô hình (bắt buộc đối với hệ thống trí tuệ nhân tạo có rủi ro cao; khuyến khích áp dụng đối với các hệ thống trí tuệ nhân tạo khác);

(iii) Tấn công tiêm lệnh, rủi ro tạo sinh nội dung sai lệch hoặc không có căn cứ thực tế, rủi ro thiên lệch trong kết quả đầu ra (đối với hệ thống trí tuệ nhân tạo tạo sinh);

+ Đối với các hệ thống trí tuệ nhân tạo có rủi ro cao hoặc hệ thống trí tuệ nhân tạo có rủi ro trung bình ra quyết định trong hoạt động nghiệp vụ, áp dụng các biện pháp phòng, chống các rủi ro, lỗ hổng, tấn công mạng theo các tiêu chuẩn và thông lệ quốc tế như OWASP (OWASP Machine Learning Security Top Ten đối với hệ thống học máy, OWASP Top 10 for Large Language Model Applications đối với hệ thống sử dụng mô hình ngôn ngữ lớn; Phiên bản OWASP áp dụng là phiên bản mới nhất hoặc phiên bản gần nhất với phiên bản được ban hành trong vòng 06 tháng) hoặc tương đương;

+ Thời gian định kỳ kiểm tra, đánh giá an ninh mạng phù hợp với cấp độ an ninh mạng của hệ thống trí tuệ nhân tạo theo quy định của pháp luật về an ninh mạng;

+ Kết quả kiểm tra, đánh giá an ninh mạng và các biện pháp khắc phục phải được lập thành hồ sơ, lưu trữ phục vụ công tác quản lý, kiểm tra, thanh tra theo quy định.

- Đơn vị phải thiết lập cơ chế giám sát hiệu năng và hành vi của hệ thống trí tuệ nhân tạo, tối thiểu bao gồm: việc phát hiện các dấu hiệu bất thường như sai lệch đầu ra, suy giảm chất lượng, thiên lệch, trôi mô hình, trôi dữ liệu hoặc hành vi bất thường khác cho thấy hệ thống hoạt động không đúng với mục đích thiết kế hoặc phạm vi sử dụng đã được phê duyệt.

*Lưu ý: Quy định tại điểm b khoản 1 Điều 6 Thông tư 53/2026/TT-NHNN có hiệu lực thi hành kể từ ngày 01/9/2027.

Quản lý thay đổi AI trong ngành Ngân hàng từ ngày 15/11/2026 như thế nào?

Căn cứ Điều 8 Thông tư 53/2026/TT-NHNN quy định quản lý thay đổi AI trong ngành Ngân hàng từ ngày 15/11/2026 như sau:

(1) Đơn vị phải tuân thủ đầy đủ quy định về quản lý thay đổi hệ thống thông tin theo quy định của Ngân hàng Nhà nước.

(2) Đơn vị phải quản lý phiên bản đối với mô hình, tối thiểu bao gồm: thông tin phiên bản mô hình; thời điểm áp dụng, thay đổi hoặc ngừng sử dụng; phạm vi ảnh hưởng; cấu hình liên quan; nhật ký thay đổi; kết quả kiểm tra, đánh giá mô hình.

(3) Quản lý thay đổi phiên bản mô hình:

- Trường hợp mô hình do đơn vị trực tiếp quản lý, đơn vị phải có phương án phục hồi trong trường hợp thực hiện thay đổi không thành công hoặc gặp các sự cố không có khả năng dự tính trước;

- Đối với các hệ thống trí tuệ nhân tạo có rủi ro cao hoặc hệ thống trí tuệ nhân tạo có rủi ro trung bình ra quyết định trong hoạt động nghiệp vụ sử dụng mô hình do bên thứ ba cung cấp thông qua dịch vụ nền tảng hoặc giao diện lập trình ứng dụng (API), đơn vị phải thực hiện đánh giá tác động và có phương án dự phòng khi nhà cung cấp cập nhật, thay đổi mô hình.

(4) Mọi thay đổi đáng kể của hệ thống trí tuệ nhân tạo đều phải được quản lý thông qua quy trình quản lý sự thay đổi, bao gồm: việc đánh giá lại tác động của việc triển khai đến các hệ thống hiện có; cập nhật tài liệu hướng dẫn, kịch bản ứng phó và phương án dự phòng trước khi áp dụng.

*Lưu ý:

- Thông tư 53/2026/TT-NHNN có hiệu lực thi hành kể từ ngày 15/11/2026, trừ quy định tại khoản 2, 3 và 4 Điều 23 Thông tư 53/2026/TT-NHNN

- Quy định tại Điều 14 Thông tư 53/2026/TT-NHNN có hiệu lực thi hành từ ngày 01/01/2027.

- Quy định tại điểm b khoản 1 Điều 6 Thông tư 53/2026/TT-NHNN có hiệu lực thi hành kể từ ngày 01/09/2027.

- Quy định tại Điều 21 Thông tư 53/2026/TT-NHNN có hiệu lực thi hành kể từ ngày 01/09/2027, ngoại trừ trường hợp đơn vị có hệ thống trí tuệ nhân tạo có rủi ro cao.