AI trong ngân hàng: rủi ro và mười hai thực hành FSB

Đăng ngày 25/10/2026

Tóm tắt điều cần nhớ

AI trong ngân hàng cần được đánh giá theo nhiệm vụ và hậu quả có thể xảy ra, không chỉ theo khả năng trình diễn. Bản hướng dẫn FSB tháng 10/2026 đưa ra mười hai thực hành cho tổ chức tài chính, đồng thời nhấn mạnh điều chỉnh theo rủi ro. Bài nối các thực hành đó với câu hỏi kiểm chứng, dữ liệu khảo sát và bối cảnh văn bản Việt Nam.

• Phân biệt AI gợi ý với AI có quyền quyết định hoặc thực hiện giao dịch.
• Khảo sát ở nước ngoài không đại diện mức sử dụng AI của ngân hàng Việt Nam.
• Hướng dẫn FSB không thay nghĩa vụ pháp luật tại nơi triển khai.
• Đo sai sót, khả năng can thiệp và cách phục hồi cùng với tốc độ xử lý.
• Lưu rõ phụ thuộc AI bên ngoài, kể cả tính năng được thêm vào dịch vụ đang dùng.

Góc nhìn AI: xem theo từng nghiệp vụ ngân hàng

Một mô hình tạo câu trả lời trôi chảy không tự chứng minh nó phù hợp để giải thích một khoản phí hay quyết định một hồ sơ tín dụng. Trong tình huống giả định, trợ lý chỉ tóm tắt hồ sơ cho cán bộ và hệ thống được phép từ chối khoản vay có thể dùng cùng công nghệ. Nhưng quyền hành động cùng hậu quả đối với khách hàng khác nhau; cách kiểm không thể chỉ là một bài thử văn bản.

Từ góc đọc bằng chứng, cần tách ba câu hỏi về AI trong ngân hàng: có đang dùng không, dùng vào việc gì và tạo kết quả gì. Một tỷ lệ sử dụng chỉ trả lời câu đầu theo định nghĩa của khảo sát. Nó không cho biết chất lượng quyết định tín dụng, tổn thất gian lận hay chi phí xử lý từng trường hợp đã thay đổi ra sao.

Khảo sát do Bank of England và FCA công bố ngày 21/11/2024 nhận 118 phản hồi từ các tổ chức tài chính thuộc phạm vi quản lý tại Anh. Trong mẫu trả lời, 75% cho biết đã sử dụng AI. Đây là thông tin tự khai trong một mẫu và bối cảnh cụ thể, không phải số của toàn bộ ngân hàng thế giới hay bằng chứng nhân quả về năng suất [1].

Báo cáo giám sát của FSB ngày 10/10/2025 lại sử dụng 28 phản hồi từ cơ quan tại 19 khu vực pháp lý và một tổ chức quốc tế. Câu hỏi tập trung cách giám sát AI, không phải khảo sát 28 ngân hàng. Báo cáo ghi nhận định nghĩa và cách thu thập dữ liệu khác nhau. Hai loại khảo sát vì vậy không nên đặt cạnh nhau như hai tỷ lệ áp dụng có cùng mẫu số [2].

Mười hai thực hành FSB dùng để hỏi điều gì?

Tài liệu cuối của FSB ngày 15/10/2026 mô tả mười hai thực hành, gồm bốn nội dung quản trị toàn tổ chức và tám nội dung theo vòng đời AI. FSB nói rõ đây là bộ công cụ có thể điều chỉnh, không phải tiêu chuẩn quốc tế ràng buộc. Những trường hợp trong báo cáo mang tính minh họa, không phải mức kết quả tổ chức khác được kỳ vọng đạt [3].

Danh sách dưới rút gọn chủ đề trong phụ lục FSB; phần câu hỏi là đề xuất riêng của bài để chuyển chủ đề thành trao đổi nghiệp vụ. Câu hỏi không thay yêu cầu pháp luật, cũng không xác nhận một ngân hàng đã thực hiện tốt. Khi sử dụng nên chọn một hệ thống cụ thể, giữ tài liệu trả lời và chỉ rõ người chịu trách nhiệm.

• Thực hành 1, định hướng: nhiệm vụ AI có phù hợp chiến lược và mức rủi ro chấp nhận?
• Thực hành 2, trách nhiệm: ai sở hữu quyết định và ai được dừng?
• Thực hành 3, quản lý rủi ro và hồ sơ: hệ thống AI đang được ghi nhận ở đâu?
• Thực hành 4, thích ứng: ai xem lại khi công nghệ hoặc nhiệm vụ đổi?
• Thực hành 5, mức trọng yếu: tổn hại nào có thể xảy ra?
• Thực hành 6, lựa chọn: vì sao dùng AI thay phương án khác?
• Thực hành 7, dữ liệu: đầu vào có phù hợp công việc?
• Thực hành 8, giải thích: người nhận có hiểu căn cứ đầu ra?
• Thực hành 9, hiệu năng: dùng thước đo nào để kiểm?
• Thực hành 10, con người: can thiệp được ở đâu?
• Thực hành 11, an ninh: kiểm hệ thống khi AI gặp sự cố thế nào?
• Thực hành 12, bên ngoài: phụ thuộc nhà cung cấp nào cần quản lý [3]?

Bắt đầu bằng quyền quyết định của AI

Bài đề xuất phân biệt công cụ soạn nội dung, công cụ đưa khuyến nghị và hệ thống có thể thực hiện hành động. Đây là cách lập hồ sơ ban đầu, không phải ba mức rủi ro pháp lý. Cùng một sản phẩm có thể đi qua các vai khác nhau khi ngân hàng mở thêm quyền truy cập hoặc kết nối nó với quy trình.

Ví dụ giả định: AI giúp nhân viên tìm điều kiện một sản phẩm tiết kiệm trong tài liệu đã phê duyệt. Lúc này cần kiểm việc truy đúng phiên bản và dẫn được căn cứ. Nếu ứng dụng được nối thêm quyền thay đổi thông tin hợp đồng, bài toán đã khác: phải xem cả thẩm quyền thực hiện, khả năng phát hiện thay đổi sai và cách xử lý đối với khách hàng.

Một hồ sơ hữu ích nên ghi đầu ra AI dùng để tham khảo hay được tiếp nhận trực tiếp vào nghiệp vụ. Cần tách người xem được kết quả khỏi người được duyệt hành động. Nếu lời khuyến nghị của AI luôn được chấp thuận vì thiếu thời gian hoặc thiếu dữ liệu đối chiếu, việc có một nút phê duyệt không tự chứng minh đã có phản biện thực chất.

Dữ liệu và giải thích cần gắn với người bị ảnh hưởng

FSI Insights số 63 của BIS, công bố tháng 12/2024, nêu AI làm nặng thêm các rủi ro như mô hình và dữ liệu; AI tạo sinh còn đặt ra vấn đề đầu ra sai cùng việc người dùng gán đặc tính con người cho máy. Bài này chỉ dùng tóm tắt công khai, chưa đọc toàn bộ báo cáo. Nhận định về môi trường điều tiết ở thời điểm 2024 không dùng để kết luận hiện nay Việt Nam thiếu quy định [4].

Trong ví dụ giả định về cảnh báo gian lận, cần hỏi tập dữ liệu kiểm có bao gồm những giao dịch hợp lệ dễ bị chặn nhầm hay không. Chỉ đo số trường hợp gian lận được phát hiện sẽ bỏ qua người bị làm phiền hoặc mất cơ hội giao dịch. Bài không đề xuất một tỷ lệ chuẩn chung; việc chọn ngưỡng phải theo nghiệp vụ và thẩm quyền của đơn vị.

Với AI hỗ trợ tín dụng, người xem hồ sơ cần phân biệt yếu tố được mô hình sử dụng với lời giải thích được công cụ khác tạo thêm sau đó. Một đoạn văn nghe hợp lý chưa tự chứng minh đó là lý do thật của mô hình. Cách giải thích cần giúp cán bộ kiểm chứng và xử lý thắc mắc, thay vì chỉ làm hồ sơ trông đầy đủ hơn.

Khi đầu vào bị thiếu hoặc khác nhóm dữ liệu từng dùng để đánh giá, cần giữ dấu hiệu đó trong kết quả. Không chuyển giá trị chưa biết thành kết luận chắc chắn vì quy trình đòi một ô có số. Đề xuất thực hành của bài là có trạng thái cần xem xét thêm, cùng người nhận và đường xử lý; đây chưa phải thiết kế đã được kiểm định về hiệu quả.

Phụ thuộc AI bên ngoài phải nhìn qua nhiều lớp

Trong khảo sát Anh năm 2024, khoảng một phần ba trường hợp sử dụng AI do bên thứ ba triển khai. Ba nhà cung cấp mô hình đứng đầu chiếm 44% các lượt nêu nhà cung cấp mô hình. Đây là tỷ lệ theo nhóm nhà cung cấp được báo cáo trong mẫu, không phải một hãng nắm 44% toàn thị trường AI; cũng không phải tỷ lệ của Việt Nam [1].

Từ góc thiết kế quản lý, không nên chỉ ghi tên đơn vị ký hợp đồng. Giả định hai ứng dụng AI mua ở hai doanh nghiệp khác nhau nhưng cùng dựa vào một dịch vụ mô hình nền. Tổ chức có thể đã đa dạng hóa người bán mà vẫn giữ một điểm phụ thuộc chung. Cần hỏi thêm thành phần nào nằm phía sau và thay đổi ở đó ảnh hưởng nghiệp vụ ra sao.

Với hợp đồng AI, câu hỏi thực hành gồm ai thông báo thay đổi phiên bản, thông tin nào được giữ lại và người mua tiếp tục công việc bằng gì khi chấm dứt. Đây là các điểm để đội nghiệp vụ, kỹ thuật, quản lý rủi ro và pháp chế cùng đánh giá. Bài không đề xuất điều khoản hợp đồng mẫu hay kết luận chỉ cần một cam kết là chuyển hết trách nhiệm sang bên bán.

AI giúp phòng thủ nhưng cũng làm thay đổi rủi ro mạng

IMF Note 2026/005, công bố tháng 6/2026, phân tích tính hai mặt của AI trong an ninh mạng: năng lực hỗ trợ phòng thủ cũng có thể được sử dụng để tấn công. Báo cáo cảnh báo công cụ phòng thủ bằng AI không chắc bù hết rủi ro gia tăng, nhất là khi nhiều tổ chức cùng phụ thuộc hạ tầng số. Đây là phân tích ổn định tài chính, không phải thử nghiệm chứng minh một sản phẩm bảo mật cụ thể có hiệu quả [5].

Một câu hỏi cần đặt cho ứng dụng AI ngân hàng là điều gì vẫn tiếp tục hoạt động khi mô hình không trả lời hoặc trả lời sai. Trong tình huống giả định về phân loại yêu cầu khách, hệ thống có thể cần đưa việc về hàng chờ người xử lý. Khi đó phải quan sát cả lượng việc tồn và khả năng nhận biết yêu cầu quan trọng, không chỉ kiểm máy chủ còn chạy.

Một phép thử quản trị nhỏ do bài đề xuất là lập kịch bản AI không khả dụng, rồi yêu cầu các bộ phận giải thích đường phục vụ khách. Nếu mỗi bên đều chờ công cụ trở lại mà chưa có người quyết định, vấn đề không chỉ ở công nghệ. Kết quả diễn tập nên ghi trách nhiệm và chỗ đứt trong phối hợp, chưa suy thành cam kết khôi phục trong một thời gian chuẩn.

Việt Nam: cần đọc văn bản mới, không chỉ khung quốc tế

Ở Việt Nam, Luật số 134/2025/QH15 về AI được thông qua ngày 10/12/2025. Điều 34 xác định mốc thi hành 1/3/2026, còn Điều 35 đặt lộ trình chuyển tiếp. Văn bản phân biệt các vai như nhà cung cấp và bên triển khai; vì vậy mua một hệ thống AI không có nghĩa tổ chức sử dụng chỉ cần xét trách nhiệm của người bán [6].

Nghị định của Chính phủ số 142/2026/NĐ-CP, ban hành ngày 30/4/2026, quy định chi tiết việc thực hiện Luật AI; Điều 45 ghi hiệu lực từ 1/5/2026. Bài chỉ đối chiếu phạm vi, một số giải thích thuật ngữ và phần thi hành, không trình bày toàn bộ thủ tục. Đặc biệt, không suy điều kiện miễn trừ hoặc hồ sơ cụ thể từ phần tóm tắt [7].

Thủ tướng ban hành văn bản số 33/2026/QĐ-TTg vào ngày 30/6/2026; ngày 15/8/2026 là mốc hiệu lực. Phụ lục ngân hàng nêu hai nhóm hệ thống AI: tự thực hiện giao dịch điện tử và tự quyết định cấp tín dụng, kèm điều kiện về quyền tự động, sự kiểm soát của người và mức giá trị theo quy định Ngân hàng Nhà nước. Không nên bỏ các điều kiện để gọi mọi AI hỗ trợ tín dụng là hệ thống rủi ro cao [8].

Một cập nhật cần chú ý khi đọc tại ngày 25/10/2026 là Thông tư 53/2026/TT-NHNN. Cổng Chính phủ ghi văn bản do Ngân hàng Nhà nước ban hành ngày 30/9/2026, về an toàn, quản lý rủi ro và điều kiện triển khai AI trong ngành ngân hàng; mốc hiệu lực ghi là 15/11/2026. Bài chưa đối chiếu đủ các khoản có lịch riêng trong bản quét, nên không diễn giải yêu cầu chi tiết hoặc coi mọi khoản cùng bắt đầu tại một ngày [9].

Như vậy, bảng mười hai thực hành không thay được bảng đối chiếu pháp lý của một hệ thống cụ thể. Cần xác định vai, nghiệp vụ, thời điểm vận hành và văn bản áp dụng trước khi kết luận phải làm hồ sơ nào. Bài giữ mức thông tin chung; không đưa kết luận tuân thủ cho một ngân hàng, sản phẩm hoặc trường hợp của người đọc.

Đọc công bố của ngân hàng mà không gán hiệu quả cho AI

Trong tài liệu giới thiệu nhà đầu tư tháng 1/2026, Techcombank mô tả AI ở trung tâm phối hợp giữa số hóa, dữ liệu và nhân lực. Đây là cách ngân hàng tự trình bày định hướng; tài liệu là bản giới thiệu nhà đầu tư, không phải báo cáo thường niên hay nghiên cứu đối chứng. Không dùng hình trình bày này để kết luận AI đã tạo ra một mức tăng lợi nhuận cụ thể [10].

Khi đọc một công bố tương tự, nên tách mô tả năng lực khỏi kết quả đã đo. Số mô hình, lượng dữ liệu hoặc số nhân sự có thể cho thấy quy mô công việc, nhưng chưa trả lời mô hình nào thực sự được sử dụng trong nghiệp vụ nào. Nếu tài liệu không có thiết kế so sánh, không thể tự tính phần cải thiện tài chính là tác động của riêng AI.

Theo quy mô: ngân hàng lớn và đơn vị nhỏ

Tại ngân hàng lớn hoặc tập đoàn tài chính, số ứng dụng và đơn vị tham gia có thể khiến việc tổng hợp phụ thuộc AI trở thành vấn đề riêng. Bài đề xuất dùng một danh mục chung nhưng giữ người chịu trách nhiệm từng nghiệp vụ. Không để nhóm quản lý nền tảng nhận thay mọi hậu quả với khách hàng khi các đơn vị kinh doanh mở quyền sử dụng AI khác nhau.

Ở phía cung ứng dịch vụ cho ngân hàng, doanh nghiệp nhỏ hoặc doanh nghiệp vừa có thể chưa tự phát triển mô hình mà chủ yếu mua dịch vụ AI. Khi đó nên tập trung khả năng hiểu đầu vào, kiểm đầu ra, giám sát thay đổi và duy trì công việc khi dịch vụ dừng. Thuê ngoài không tự tạo kiến thức nội bộ; cần có người đủ năng lực đặt câu hỏi và nhận phần việc mà nhà cung cấp không thực hiện.

Với cả hai quy mô, mức chi tiết kiểm chứng nên theo mức ảnh hưởng của ứng dụng. Một AI sửa câu văn nội bộ khác hệ thống tác động tới tiếp cận tín dụng. Tuy nhiên, nhãn nội bộ không bảo đảm rủi ro thấp nếu người dùng đưa dữ liệu nhạy cảm hoặc tiếp nhận kết quả trực tiếp vào quyết định. Cần ghi cách sử dụng thật, không chỉ mục đích lúc mua.

Nếu nguồn lực hạn chế, nên chọn ít trường hợp sử dụng AI nhưng kiểm được, rồi mở rộng theo bằng chứng. Đó là đề xuất quản trị, không phải ngoại lệ pháp luật cho tổ chức nhỏ. Mọi quyết định giảm phạm vi cần làm rõ công việc nào vẫn do người thực hiện, người đó có thời gian và thẩm quyền ra sao, cùng lúc nào phải đánh giá lại.

Thử một hồ sơ AI trước khi nhân rộng

Quy trình sau do bài đề xuất, chưa được kiểm định như mô hình hoàn chỉnh. Chọn một ứng dụng AI đang cân nhắc và một nghiệp vụ xác định. Ví dụ giả định có thể là trợ lý trả lời câu hỏi sản phẩm cho nhân viên, chưa có quyền thay đổi hợp đồng. Các bước phải được thực hiện trong phạm vi và dữ liệu được tổ chức cho phép.

• Bước 1: ghi nhiệm vụ, người dùng, dữ liệu, quyền hành động và bên bị ảnh hưởng; phân biệt mục tiêu mong muốn với điều đã quan sát.
• Bước 2: chọn các trường hợp đúng, thiếu thông tin và ngoài phạm vi; ghi ai xây dựng bộ thử, ai kiểm kết quả và giới hạn của mẫu.
• Bước 3: mô tả việc chuyển cho người khi AI không đủ căn cứ, cùng cách thông báo và nhận lại kết quả xử lý.
• Bước 4: đưa một thay đổi phiên bản hoặc ngừng dịch vụ giả định vào hồ sơ, xem bên nào cần được báo và ai quyết định tiếp tục.
• Bước 5: đối chiếu văn bản áp dụng và thẩm quyền phê duyệt; chỉ kết luận trong phạm vi đã được kiểm.

Sai lầm khi đánh giá AI trong ngân hàng

Sai lầm đầu là chỉ ghi thời gian tiết kiệm mà bỏ số lần phải kiểm lại, chi phí xử lý sai và tác động tới khách. Trong trường hợp giả định AI soạn câu trả lời nhanh hơn nhưng nhân viên mất thêm thời gian tìm nguồn, cần đo cả công việc sau đó. Không nên suy hiệu quả toàn quy trình từ một thao tác được rút ngắn.

Sai lầm tiếp theo là đồng nhất có người duyệt với giám sát có hiệu lực. Cần hỏi người đó thấy được căn cứ nào, có đủ thời gian và có quyền bác bỏ không. Một hệ thống nhiều bước tự động có thể đẩy người vào vị trí chỉ xác nhận kết quả đã gần như không thể thay đổi.

Hỏi đáp về AI trong ngân hàng

Mười hai thực hành FSB có bắt buộc ở Việt Nam không? Bản FSB tự mô tả chúng là công cụ tham khảo, không phải tiêu chuẩn quốc tế ràng buộc. Cần đối chiếu pháp luật và quy định áp dụng cho hoạt động cụ thể. Một ngân hàng không thể dùng việc đã hoàn thành bảng tham khảo để tự thay thế việc đánh giá nghĩa vụ của mình.

Mọi hệ thống AI chấm điểm tín dụng đều thuộc nhóm rủi ro cao? Không nên kết luận từ tên nhiệm vụ. Danh mục Việt Nam mô tả hệ thống cùng các điều kiện cụ thể, nên phải xem quyền quyết định, cách kết quả được sử dụng và yếu tố liên quan. Bài không phân loại thay cơ quan hoặc người có thẩm quyền cho một hệ thống thật.

Mua AI từ nhà cung cấp lớn có đủ an toàn không? Quy mô nhà cung cấp không trả lời đủ về dữ liệu, giới hạn mô hình và đường xử lý khi dịch vụ thay đổi. Người mua cần hiểu ứng dụng mình dùng trong phạm vi nào. Nếu chưa đủ thông tin, ghi khoảng trống và quyết định phạm vi sử dụng theo đánh giá được phép.

Có thể dùng AI để tự kiểm chính kết quả của nó? Có thể hỗ trợ phát hiện một số khác biệt, nhưng không nên xem đó là căn cứ duy nhất cho kết luận độc lập. Đề xuất của bài là giữ nguồn gốc, bộ thử và người kiểm phù hợp. Cần quan sát cả trường hợp hai công cụ cùng đưa một kết quả sai.

Nên đo thành công của AI bằng số ứng dụng không? Số ứng dụng giúp theo dõi danh mục nhưng chưa cho biết kết quả nghiệp vụ. Nên chọn thước đo phù hợp nhiệm vụ, ghi phần phải sửa hoặc chuyển người, rồi xem ảnh hưởng tới khách. Bài chưa đưa định mức tiết kiệm hay mức hoàn vốn chung cho ngành ngân hàng.

Kết luận

AI trong ngân hàng cần được quản lý như một phần của nghiệp vụ có trách nhiệm rõ, có giới hạn và có cách xử lý khi sai. Hướng dẫn FSB giúp mở câu hỏi; nguồn khảo sát giúp thấy phạm vi bằng chứng. Việc nên làm trước là thử một hồ sơ cụ thể, ghi phần chưa biết và chỉ mở rộng quyền sử dụng khi đã có căn cứ phù hợp.

Nguồn và phương pháp

Bài gốc có hỗ trợ AI, không phải bản dịch. Đối chiếu nguồn ngày 25/10/2026, chỉ đọc những phần được nêu trong ghi chú: tóm tắt và phụ lục FSB, tóm tắt BIS, các đoạn IMF, khảo sát Anh và phần được dẫn của văn bản Việt Nam. Bản quét Thông tư 53 có chất lượng nhận chữ thấp; bài chỉ dùng metadata chính thức, chưa kiểm chứng đầy đủ các điều khoản và lịch áp dụng riêng. Không dùng Hộp 1 IMF về đánh giá do hãng AI công bố hoặc số liệu của hãng bảo mật được báo cáo dẫn lại.

Tài liệu Techcombank là công bố cho nhà đầu tư, có lợi ích thương mại; chưa phải xác nhận độc lập hay bằng chứng nhân quả. Phân nhóm, câu hỏi, hình và quy trình thử trong bài do người biên soạn đề xuất, chưa kiểm nghiệm tác động. Các ví dụ đều giả định. Đây là thông tin chung, không phải tư vấn pháp lý, thuế hay tài chính; cần đọc văn bản gốc và đánh giá chuyên môn cho hệ thống cụ thể.