Ngân hàng Nhà nước (NHNN) vừa ban hành Thông tư 53 quy định về điều kiện ứng dụng trí tuệ nhân tạo (AI) cùng các yêu cầu về an toàn, quản trị rủi ro trong ngành ngân hàng, chính thức có hiệu lực từ ngày 15/11. Đây là bước đi quan trọng trong bối cảnh AI ngày càng len lỏi sâu vào các nghiệp vụ tài chính.

Theo quy định mới, các nhà băng và ví điện tử bắt buộc phải có thỏa thuận với khách hàng trước khi để AI tự động thực hiện giao dịch. Thỏa thuận này cần làm rõ phạm vi, hạn mức theo từng giao dịch cũng như theo ngày, thời hạn hiệu lực, điều kiện tạm dừng và quyền chấm dứt từ phía người dùng.

Theo đó, khách hàng phải được cung cấp công cụ để chủ động tạm dừng hoặc hủy quyền cho AI tự động thực hiện giao dịch thanh toán.

Bộ phận giám sát cũng phải có đủ quyền hạn và năng lực để ghi đè, điều chỉnh, tạm dừng quyết định của AI hoặc kích hoạt cơ chế ngắt khẩn cấp. Mọi hoạt động can thiệp phải được ghi nhận, gồm nội dung, thời gian, người thực hiện và lý do.

Thông tư cũng yêu cầu các ngân hàng phải thông báo cho khách hàng biết họ đang tương tác với hệ thống AI ngay từ khi bắt đầu phiên làm việc hoặc hội thoại nếu AI thay thế con người trong giao tiếp trực tiếp.

Hệ thống AI tự động thực hiện giao dịch điện tử sẽ bị xếp vào nhóm rủi ro cao nếu xử lý các thanh toán của khách hàng cá nhân có giá trị vượt 10 triệu đồng một lần hoặc tổng giá trị vượt 20 triệu đồng trong một ngày.

Đối với khách hàng tổ chức, ngưỡng rủi ro cao được áp dụng khi giao dịch vượt 50 triệu đồng mỗi lần hoặc tổng giá trị vượt 100 triệu đồng một ngày. Ngoài ra, việc AI tự động quyết định cấp tín dụng từ 50 triệu đồng trở lên cũng thuộc diện rủi ro cao.

Khi rơi vào nhóm rủi ro cao, các tổ chức tín dụng phải thiết lập công cụ giám sát liên tục hoạt động của hệ thống AI. Yêu cầu tiên quyết là luôn đảm bảo con người có khả năng can thiệp trực tiếp. Bộ phận giám sát phải có đầy đủ thẩm quyền và năng lực để ghi đè, điều chỉnh, tạm dừng các quyết định của máy móc hoặc kích hoạt cơ chế ngắt khẩn cấp nhằm cô lập hệ thống.

Trường hợp xảy ra sự cố nghiêm trọng, đơn vị vận hành phải lập tức kích hoạt ngắt khẩn cấp, chuyển sang quy trình thủ công khi cần thiết để hạn chế tối đa thiệt hại.

Thực tế hiện nay, lãnh đạo một ngân hàng quốc doanh chia sẻ các giao dịch thanh toán và xét duyệt khoản vay tại hầu hết đơn vị vẫn duy trì sự tham gia kiểm duyệt của con người chứ chưa phó mặc hoàn toàn cho AI.

Bên cạnh đó, quy định hiện hành cũng đã bắt buộc xác thực sinh trắc học với các giao dịch trực tuyến trên 10 triệu đồng mỗi lần. Dù vậy, việc chuẩn bị khung pháp lý là cần thiết bởi trong tương lai gần, ứng dụng AI có thể mở rộng sâu hơn khi hạ tầng công nghệ và hành lang pháp lý sẵn sàng.

Thời gian qua, AI đã phát huy hiệu quả trong chấm điểm tín dụng, thẩm định cho vay, phát hiện gian lận thanh toán, tư vấn tự động hay eKYC. Dẫu vậy, cơ quan quản lý nhận định công nghệ này cũng kéo theo nhiều nguy cơ mới về an ninh mạng, dữ liệu, rủi ro mô hình và sự cố từ bên thứ ba thuộc chuỗi cung ứng.

Ngân hàng bổ sung cơ chế "thời gian chờ" để giảm rủi ro lừa đảo trực tuyến

NHNN cho biết thực tế hiện nay, công tác phòng thủ không gian mạng đang được các ngân hàng triển khai. Theo Cục Công nghệ thông tin, NHNN khảo sát tại các ngân hàng trong nước cho thấy chi phí đầu tư cho an ninh mạng hiện chiếm tối thiểu khoảng 15% tổng chi đầu tư cho công nghệ thông tin.

Theo ông Lê Hoàng Chính Quang, Cục trưởng Cục Công nghệ thông tin, NHNN, tội phạm công nghệ cao đang liên tục thay đổi phương thức tấn công. Đáng chú ý, các đối tượng đã sử dụng AI để giả mạo hình ảnh, giọng nói, phát tán mã độc nhằm chiếm quyền điều khiển thiết bị, thậm chí can thiệp vào phần cứng và phần mềm của điện thoại di động nhằm vượt qua rào cản sinh trắc học.

Để đối phó với thách thức này, NHNN yêu cầu các tổ chức tín dụng triển khai đồng bộ các giải pháp kỹ thuật, phân loại bảo vệ hệ thống theo cấp độ từ hạ tầng đến dịch vụ trực tuyến, đồng thời phối hợp chặt chẽ với Bộ Công an. Các đơn vị phải rà soát lỗ hổng thường xuyên, kiểm thử xâm nhập và diễn tập ứng cứu sự cố để giữ vững mạch vận hành.

Đối với ứng dụng Mobile Banking, hệ thống bắt buộc phải có tính năng phát hiện và tự dừng hoạt động khi nhận thấy thiết bị đã bị root, jailbreak, can thiệp trái phép hoặc bị chỉnh sửa ứng dụng. Công nghệ chống giả mạo sinh trắc học cũng phải đáp ứng tiêu chuẩn quốc tế ISO 30107 cấp độ 2.

Bên cạnh đó, các ngân hàng cần siết chặt xác thực ở các khâu nhạy cảm như mở tài khoản, đăng nhập thiết bị mới hoặc đổi phương thức xác thực, đồng thời cảnh báo khi có giao dịch chuyển tiền đến tài khoản nghi ngờ lừa đảo.

Huyền Anh