AI và chuyển đổi số ngân hàng trước những rủi ro phi truyền thống - Kỳ II: Ngân hàng số tăng tốc nhưng phải giữ chắc an toàn

Đo bằng kết quả kiểm chứng được

Tại Hội nghị toàn quốc sơ kết 1 năm 6 tháng thực hiện Nghị quyết số 57-NQ/TW (Nghị quyết số 57) về đột phá phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia ngày 01/7/2026, Tổng Bí thư, Chủ tịch nước Tô Lâm khẳng định khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số là động lực chủ yếu của mô hình tăng trưởng mới; đây “không chỉ là sự lựa chọn mà là con đường bắt buộc phải thực hiện” để hiện thực hóa hai mục tiêu 100 năm của đất nước. Đồng chí đồng thời yêu cầu khắc phục điểm nghẽn trong khâu thực thi, chuyển từ hoàn thành nhiệm vụ sang tạo ra giá trị và kết quả kiểm chứng được; quan tâm phát triển trí tuệ nhân tạo (AI), dữ liệu lớn, an ninh mạng, an toàn thông tin và chủ quyền số quốc gia.

Hội nghị toàn quốc sơ kết 1 năm 6 tháng thực hiện Nghị quyết số 57-NQ/TW ngày 01/7/2026 tại điểm cầu trực tiếp Hội trường Diên Hồng, Nhà Quốc hội (Hà Nội).

Tiếp đến, tại phiên họp Ban Chỉ đạo Trung ương về phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số ngày 30/7/2026, Tổng Bí thư, Chủ tịch nước Tô Lâm yêu cầu chuyển mạnh từ quản lý tiến độ sang quản trị kết quả. Đối với ngành Ngân hàng, điều đó có nghĩa là mọi sáng kiến số phải gắn với hiệu quả đo đếm được, cơ chế giám sát thực chất và trách nhiệm rõ ràng.

Tại sự kiện “Chuyển đổi số ngành Ngân hàng năm 2026” với chủ đề “Ngân hàng thông minh trong kỷ nguyên dữ liệu và AI” (ngày 18/8/2026), Thống đốc Ngân hàng Nhà nước đưa ra các định hướng chính: dữ liệu và AI phải trở thành nguồn lực, công cụ nâng cao năng lực quản trị; mỗi ứng dụng AI phải làm rõ giải quyết vấn đề gì, tạo ra giá trị gì và rủi ro được kiểm soát như thế nào, sớm hình thành nguyên tắc quản trị AI bảo đảm khả năng kiểm soát, trách nhiệm giải trình, bảo vệ dữ liệu và quyền lợi hợp pháp của khách hàng; chuyển mạnh từ ứng phó sự cố sang chủ động phòng ngừa, đầu tư tương xứng cho an ninh mạng, an ninh dữ liệu và phòng, chống gian lận, ngân hàng có trách nhiệm bảo vệ hệ thống và góp phần bảo vệ khách hàng; cơ hội chỉ trở thành động lực phát triển khi có thể chế phù hợp, hạ tầng hiện đại, dữ liệu chất lượng, nhân lực đủ năng lực và một hệ thống đủ an toàn để tạo dựng niềm tin; người đứng đầu các đơn vị phải trực tiếp lãnh đạo, chỉ đạo và chịu trách nhiệm về kết quả chuyển đổi số. Những định hướng này thống nhất với yêu cầu “quản trị kết quả”, bảo đảm an ninh dữ liệu và chủ quyền số của Tổng Bí thư.

Hành lang pháp lý đang dày lên

Về khung pháp lý, các văn bản quan trọng gồm: Nghị quyết số 57; Quyết định số 810/QĐ-NHNN ngày 11/05/2021 về kế hoạch chuyển đổi số ngành Ngân hàng đến năm 2025, định hướng đến năm 2030; Quyết định số 3579/QĐ-NHNN ngày 03/11/2025 về Chiến lược chuyển đổi số ngành Ngân hàng đến năm 2030; Luật Trí tuệ nhân tạo số 134/2025/QH15 (có hiệu lực từ 01/03/2026), đạo luật đầu tiên của Việt Nam điều chỉnh toàn diện phát triển, ứng dụng và quản trị AI; Luật Bảo vệ dữ liệu cá nhân năm 2025 (Luật số 91/2025/QH15, có hiệu lực từ 01/01/2026); Nghị định số 340/2025/NĐ-CP quy định về xử phạt vi phạm hành chính trong lĩnh vực tiền tệ và ngân hàng (có hiệu lực từ 09/02/2026) quy định mức phạt 150 - 200 triệu đồng đối với hành vi dùng giấy tờ tùy thân giả mạo để mở hoặc sử dụng tài khoản thanh toán và 200 - 250 triệu đồng đối với hành vi mở, duy trì tài khoản nặc danh, mạo danh, được quy định áp dụng cho cá nhân và phạt gấp đối với tổ chức; Luật Công nghiệp công nghệ số (Luật số 71/2025/QH15).

Ngân hàng Nhà nước đã xác định chuyển đổi số là nhiệm vụ chính trị trọng tâm và là một trong những bộ, ngành đầu tiên thành lập Ban Chỉ đạo Chuyển đổi số do Thống đốc làm Trưởng ban. Thông tư số 53/2026/TT-NHNN (ký ngày 30/9/2026, có hiệu lực từ 15/11/2026) quy định về an toàn, quản lý rủi ro và điều kiện triển khai hệ thống AI trong ngành Ngân hàng, cụ thể hóa Luật Trí tuệ nhân tạo. Theo đó, hệ thống AI phải được phân loại theo ba mức rủi ro (cao, trung bình, thấp) trước khi triển khai, phải được kiểm tra, đánh giá an ninh mạng trước khi vận hành và định kỳ; hệ thống AI tự động thanh toán trên 10 triệu đồng/lần hoặc trên 20 triệu đồng/ngày với khách hàng cá nhân, trên 50 triệu đồng/lần hoặc trên 100 triệu đồng/ngày với khách hàng tổ chức, hoặc tự động quyết định cấp tín dụng từ 50 triệu đồng trở lên thuộc nhóm rủi ro cao.

Phòng từ sớm, từ xa

Các giải pháp xoay quanh một nguyên tắc: phát triển đi đôi với bảo đảm an toàn, có trọng tâm, có kiểm soát, lấy hiệu quả thực chất làm thước đo, theo ba lớp: phòng ngừa từ sớm - phát hiện nhanh - ứng phó, khắc phục hiệu quả, cụ thể:

Thứ nhất là, hoàn thiện hành lang pháp lý, cơ chế thử nghiệm có kiểm soát (Sandbox) và quy chuẩn AI: triển khai đồng bộ Thông tư số 53/2026/TT-NHNN, xây dựng hướng dẫn, biểu mẫu hồ sơ và lộ trình chuyển tiếp cho các hệ thống AI đang vận hành; Nghị định số 94/2025/NĐ-CP ngày 29/4/2025 quy định cơ chế thử nghiệm có kiểm soát trong lĩnh vực ngân hàng; rà soát tính thống nhất giữa Luật Trí tuệ nhân tạo, Luật Bảo vệ dữ liệu cá nhân, quy định về an ninh mạng và các quy định chuyên ngành; phối hợp Bộ Khoa học và Công nghệ, Bộ Công an hoàn thiện hướng dẫn quản trị rủi ro AI; sớm vận hành thực chất Sandbox - môi trường giới hạn về phạm vi, quy mô và đối tượng để cơ quan quản lý đo lường tác động rủi ro của AI trước khi triển khai đại trà; xử lý nghiêm hành vi mua, bán, thuê, mượn tài khoản theo Nghị định 340/2025/NĐ-CP.

Thứ hai là, tăng cường phòng thủ công nghệ nhiều lớp, xây dựng “bức tường thép” an toàn thông tin, an ninh dữ liệu: đẩy mạnh triển khai Kết luận của Tổng Bí thư tại Ban Chỉ đạo Trung ương về an toàn dữ liệu và an ninh mạng theo Thông báo số 06-TB/CQTTBCĐ ngày 27/09/2025; phối hợp chặt chẽ với Bộ Công an khai thác cơ sở dữ liệu quốc gia về dân cư theo Đề án 06, làm sạch dữ liệu tài khoản, nâng cấp xác thực sinh trắc học thế hệ mới; mọi tổ chức tín dụng xây dựng hệ thống lưu vết (Audit Trail) đối với các quyết định do AI thực hiện; xây dựng Trung tâm giám sát an ninh mạng tập trung ngành Ngân hàng (Bank-SOC) chia sẻ thông tin đe dọa theo thời gian thực; siết xác thực ở khâu mở tài khoản, đăng nhập thiết bị mới, đổi phương thức xác thực; bảo đảm công nghệ chống giả mạo sinh trắc học đáp ứng tiêu chuẩn ISO 30107 cấp độ 2; mở rộng khai thác Hệ thống giám sát, cảnh báo nghi ngờ lừa đảo (SIMO); đầu tư cho an ninh mạng tương xứng, lấy mức tối thiểu khoảng 15% tổng chi đầu tư công nghệ thông tin làm ngưỡng tham chiếu.

Thứ ba là, thiết lập quản trị AI có trách nhiệm: mỗi ứng dụng AI phải có hồ sơ rõ ràng và được phân loại ba mức rủi ro; bảo đảm yếu tố con người với thẩm quyền ghi đè, tạm dừng, ngắt khẩn cấp; minh bạch với khách hàng khi tương tác với AI, trao cho khách hàng công cụ chủ động tạm dừng hoặc hủy quyền cho AI với giao dịch thanh toán tự động như Thông tư 53 đã yêu cầu; áp dụng mô hình “con người trong vòng lặp” (Human-in-the-loop) đối với giao dịch số giá trị lớn và quyết định tín dụng tự động; chuyển trọng tâm từ bảo vệ thụ động sang xây dựng năng lực chống chịu vận hành (Operational Resilience) theo các nguyên tắc của Ủy ban Basel về giám sát ngân hàng (thuộc BIS), thường xuyên diễn tập ứng cứu sự cố, bảo đảm tính liên tục của hệ thống thanh toán quốc gia; thành lập hội đồng hoặc ủy ban quản trị AI tại mỗi ngân hàng, kiểm định độc lập mô hình, có kênh giải thích và khiếu nại đối với quyết định tín dụng do AI hỗ trợ.

Thứ tư là, quản trị dữ liệu và bảo vệ quyền riêng tư: xây dựng kiến trúc dữ liệu ngành thống nhất, bảo đảm dữ liệu đúng, đủ, sạch, sống; xử lý dữ liệu cá nhân đúng mục đích, trong phạm vi cần thiết; áp dụng tối thiểu hóa dữ liệu, mã hóa, kiểm soát truy cập theo vai trò và lưu vết truy cập đối với dữ liệu sinh trắc học.

Lãnh đạo VietinBank trình bày các giải pháp công nghệ trước Thống đốc Ngân hàng Nhà nước và các đại biểu.

Thứ năm là, quản trị rủi ro bên thứ ba và bảo đảm chủ quyền số: đánh giá an ninh, năng lực nhà cung cấp AI, đám mây trước khi hợp tác; đưa vào hợp đồng điều khoản về bảo mật, kiểm toán, báo cáo sự cố, kế hoạch rút lui; tránh phụ thuộc một nhà cung cấp duy nhất; ưu tiên phương án bảo đảm an ninh dữ liệu và chủ quyền số theo yêu cầu của Tổng Bí thư.

Thứ sáu là, phát triển nhân lực và đưa an toàn số vào công tác xây dựng Đảng: ưu tiên đào tạo chuyên gia dữ liệu, AI, an ninh mạng, nâng cao kỹ năng số, kỹ năng giám sát AI và nhận diện lừa đảo cho toàn thể cán bộ, nhân viên; cấp ủy, đảng ủy đưa an toàn, an ninh dữ liệu và quản trị AI vào nghị quyết lãnh đạo chuyển đổi số, người đứng đầu chịu trách nhiệm trực tiếp về kết quả và mức độ an toàn; lồng ghép tiêu chí an toàn thông tin, tuân thủ quy định về dữ liệu vào đánh giá, xếp loại tập thể, cá nhân; phát huy vai trò tiên phong của đảng viên là cán bộ công nghệ, quản trị rủi ro, tổ chức sinh hoạt chi bộ chuyên đề về nhận diện lừa đảo, kỹ thuật xã hội; tăng cường kiểm tra, giám sát, nâng cao ý thức bảo vệ nền tảng tư tưởng của Đảng trên không gian mạng.

Thứ bảy là, bảo vệ khách hàng và nâng cao “sức đề kháng số”: cảnh báo sớm, hướng dẫn khách hàng không chia sẻ mật khẩu, mã OTP, mã PIN, không nhấp vào đường link lạ, không cài ứng dụng ngoài kho chính thống; phối hợp Bộ Công an, cơ quan báo chí truyền thông theo nhóm đối tượng, nhất là người cao tuổi, người ở nông thôn.

Thứ tám là, tăng cường hợp tác quốc tế, chủ động tham gia các diễn đàn, tham khảo khuyến nghị, chuẩn mực của FSB, BIS, Ủy ban Basel, học hỏi khung quản trị AI của EU (AI Act), thực tiễn giám sát của Bank of England, đồng thời bảo đảm chủ quyền số và tự chủ công nghệ.

Việc của từng cấp, từng người

Để thực hiện các giải pháp, trước hết, Ngân hàng Nhà nước cần tiếp tục hoàn thiện hướng dẫn quản trị rủi ro AI, nhất là đối với chấm điểm tín dụng, định danh khách hàng và phát hiện gian lận; tăng cường chia sẻ cảnh báo về tấn công mạng, deepfake, sự cố nhà cung cấp và các hình thức gian lận mới. Cần nghiên cứu phương thức giám sát rủi ro tập trung khi nhiều tổ chức sử dụng chung nền tảng hoặc mô hình AI; xây dựng cơ chế phối hợp nhanh giữa ngân hàng, cơ quan công an, nhà mạng và nền tảng số để ngăn chặn dòng tiền gian lận. Hệ thống SIMO cần tiếp tục được mở rộng khai thác theo lộ trình, gắn với việc nâng cao chất lượng cảnh báo và bảo vệ dữ liệu; xây dựng bộ tiêu chí tối thiểu về kiểm thử deepfake, an toàn mô hình và khả năng giải thích quyết định AI; tổ chức diễn tập ngành về ứng phó sự cố liên quan AI.

Đối với các tổ chức tín dụng, quản trị AI phải nằm trong tổng thể quản trị rủi ro doanh nghiệp, là trách nhiệm chung của cả bộ máy, vượt ra ngoài phần việc của bộ phận công nghệ thông tin. Mỗi ngân hàng cần lập danh mục các hệ thống AI đang sử dụng; xác định chủ sở hữu nghiệp vụ, cấp phê duyệt và trách nhiệm của từng cá nhân; đánh giá dữ liệu, mô hình, an ninh và tác động trước khi đưa hệ thống vào hoạt động, xây dựng phương án duy trì hoạt động khi AI sai lệch, bị tấn công hoặc ngừng dịch vụ. Những quyết định ảnh hưởng lớn đến quyền lợi khách hàng, đặc biệt là cấp tín dụng và giao dịch giá trị lớn, cần duy trì cơ chế con người giám sát, kiểm chứng hoặc can thiệp. Mọi quyết định quan trọng của AI phải có nhật ký để truy xuất, giải thích và phục vụ điều tra khi phát sinh sự cố; khách hàng cần được thông báo khi tương tác với AI, có kênh phản ánh và yêu cầu xem xét lại quyết định không chính xác hoặc bị giả mạo.

Phòng thủ công nghệ cần được tổ chức theo nhiều lớp, từ hạ tầng, ứng dụng và dữ liệu đến tài khoản, giao dịch và thiết bị đầu cuối. Ngân hàng phải thường xuyên rà soát lỗ hổng, kiểm thử xâm nhập, diễn tập ứng cứu sự cố, sao lưu dữ liệu tách biệt và kiểm thử khả năng khôi phục. Hợp đồng với nhà cung cấp cần quy định rõ nghĩa vụ bảo mật, thông báo sự cố, quyền kiểm toán và phương án rút lui; tránh phụ thuộc hoàn toàn vào một nhà cung cấp duy nhất. Cùng với đó, phải phân quyền truy cập theo vai trò, mã hóa dữ liệu nhạy cảm, giám sát việc tải và chia sẻ dữ liệu, đồng thời đánh giá định kỳ chất lượng dữ liệu và mức độ thiên lệch của mô hình.

Đối với bộ phận kiểm tra, kiểm soát nội bộ, bổ sung chuyên đề kiểm tra việc sử dụng AI và dữ liệu vào kế hoạch hằng năm; ưu tiên kiểm tra các ứng dụng tác động đến cấp tín dụng, giao dịch tài chính, định danh khách hàng. Việc kiểm tra cần đi sâu hơn lớp hồ sơ, đánh giá tính hiệu lực của kiểm soát, sử dụng công cụ phân tích dữ liệu nhận diện giao dịch bất thường và lạm dụng quyền truy cập; kiểm tra nhật ký hệ thống, lịch sử thay đổi mô hình; kiểm tra xác minh độc lập đối với giao dịch giá trị lớn hoặc có dấu hiệu deepfake; theo dõi khắc phục phát hiện đến khi hoàn thành. Đây cũng là cách cụ thể hóa trách nhiệm của người đứng đầu, nâng cao kỷ luật thực thi và bảo đảm chuyển đổi số đi vào thực chất.

Về xây dựng Đảng và phát triển con người, cấp ủy, tổ chức đảng trong các ngân hàng cần đưa an toàn dữ liệu, an ninh mạng và quản trị AI vào nghị quyết lãnh đạo chuyển đổi số; gắn kết quả thực hiện với đánh giá tập thể, cá nhân và trách nhiệm người đứng đầu. Phát huy vai trò tiên phong của đảng viên trong công nghệ, quản trị rủi ro và kiểm soát nội bộ; tổ chức sinh hoạt chuyên đề về nhận diện lừa đảo, kỹ thuật thao túng tâm lý và bảo vệ dữ liệu. Đồng thời, cần đào tạo chuyên gia dữ liệu, AI, an ninh mạng và nâng cao kỹ năng số cho toàn thể cán bộ, nhân viên, nhất là kỹ năng giám sát kết quả AI và nhận diện các thủ đoạn lừa đảo mới.

Chuyển đổi số và AI là con đường bắt buộc của ngành Ngân hàng trong kỷ nguyên mới, như chủ trương của Đảng và chỉ đạo của Tổng Bí thư, Chủ tịch nước Tô Lâm đã khẳng định. Nhưng chính sự phát triển đó cũng làm phát sinh những rủi ro mới về an ninh mạng, dữ liệu, mô hình AI, bên thứ ba, nhân lực và niềm tin xã hội. Khung pháp lý và chỉ đạo của Ngân hàng Nhà nước đang được hoàn thiện nhanh, với Luật Trí tuệ nhân tạo, Luật Bảo vệ dữ liệu cá nhân và Thông tư số 53/2026/TT-NHNN. Song văn bản mới là điều kiện cần; thước đo cuối cùng vẫn là khả năng tạo ra giá trị thực chất trong một hệ thống an toàn, minh bạch, có trách nhiệm và đủ sức chống chịu trước các nguy cơ mới.