Từ kinh nghiệm triển khai tại Ngân hàng TMCP Quốc tế Việt Nam (VIB), bài viết tập trung vào 3 nhóm nội dung: (i) các lựa chọn quản trị trong quá trình ứng dụng AI gắn với quản trị dữ liệu, bao gồm phân cấp mức độ tự chủ, giám sát của con người, quản trị dữ liệu ngay từ khâu thiết kế, quản lý đối tác công nghệ và bảo vệ khách hàng theo nhiều lớp; (ii) các khó khăn đặc thù của ngành Ngân hàng trong bối cảnh khung pháp lý về AI, bảo vệ dữ liệu cá nhân và an ninh mạng đang được triển khai đồng thời; (iii) kiến nghị nhằm cụ thể hóa cơ chế quản lý hệ thống AI rủi ro cao, chuẩn hóa yêu cầu trách nhiệm giải trình và tăng cường chia sẻ dữ liệu, thông tin rủi ro trong toàn ngành.
Từ khóa: Trí tuệ nhân tạo; quản trị dữ liệu; ngân hàng số; AI rủi ro cao; bảo vệ dữ liệu cá nhân; VIB
1. Đặt vấn đề
AI và dữ liệu đang trở thành hai năng lực có quan hệ không thể tách rời trong hoạt động ngân hàng. AI giúp tổ chức tín dụng xử lý khối lượng thông tin lớn, nhận diện các mối quan hệ khó phát hiện bằng phương pháp truyền thống và đưa ra khuyến nghị với tốc độ cao. Ngược lại, chất lượng của kết quả AI phụ thuộc trực tiếp vào chất lượng, tính đầy đủ, tính kịp thời, nguồn gốc và căn cứ hợp pháp của dữ liệu được sử dụng. Một mô hình tốt không thể khắc phục dữ liệu thiếu chính xác, sai ngữ cảnh hoặc được sử dụng ngoài mục đích đã xác định.
Trong năm 2026, khuôn khổ pháp lý điều chỉnh việc ứng dụng AI và xử lý dữ liệu tại Việt Nam có sự thay đổi nhanh chóng. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP có hiệu lực từ ngày 1/1/2026; Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ ngày 1/3/2026 và được hướng dẫn bởi Nghị định số 142/2026/NĐ-CP, có hiệu lực từ ngày 01/05/2026; Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 01/07/2026.
Đáng chú ý, Quyết định số 33/2026/QĐ-TTg ngày 30/6/2026, có hiệu lực từ ngày 15/8/2026, đã xác định 2 nhóm hệ thống AI trong lĩnh vực ngân hàng thuộc danh mục rủi ro cao: Hệ thống AI tự động thực hiện giao dịch điện tử trong hoạt động ngân hàng và hệ thống AI tự động quyết định cấp tín dụng. Quy định này làm rõ định hướng quản lý theo mức độ rủi ro, đồng thời đặt ra yêu cầu các tổ chức tín dụng phải phân định chính xác giữa AI cung cấp thông tin, AI đưa ra khuyến nghị và AI trực tiếp thực hiện hoặc quyết định nghiệp vụ.
Vì vậy, vấn đề thực tiễn hiện nay không còn chỉ là xây dựng một khung pháp lý chung cho AI, mà là chuyển hóa các yêu cầu pháp luật thành cơ chế vận hành cụ thể trong từng quy trình ngân hàng; xử lý sự giao thoa giữa quản trị AI, bảo vệ dữ liệu cá nhân, an ninh mạng, quản trị mô hình và quản trị rủi ro tín dụng; đồng thời duy trì khả năng đổi mới trong một môi trường được kiểm soát.
Định hướng này phù hợp với chủ đề “An toàn số, dữ liệu và AI: Kiến tạo ngân hàng số an toàn, thông minh và bền vững” tại Hội nghị công nghệ thông tin ngành Ngân hàng năm 2026 do Ngân hàng Nhà nước (NHNN) tổ chức ngày 13/7 vừa qua. Trong bối cảnh đó, việc chia sẻ những lựa chọn quản trị và khó khăn phát sinh từ thực tiễn triển khai có thể hỗ trợ quá trình xây dựng cách hiểu và chuẩn mực chung của toàn ngành.
2. Kinh nghiệm thực tiễn tại VIB
Trọng tâm của bài viết là những lựa chọn quản trị mà VIB đã và đang áp dụng khi đưa AI vào hoạt động ngân hàng, cũng như các vấn đề cần tiếp tục hoàn thiện khi mức độ tự chủ của AI tăng lên.
2.1. Xác định dữ liệu là điều kiện nền của AI
VIB tiếp cận AI như một năng lực doanh nghiệp dựa trên dữ liệu, thay vì tập hợp các giải pháp điểm được triển khai độc lập tại từng đơn vị. Theo cách tiếp cận này, dữ liệu phục vụ AI phải đáp ứng đồng thời năm yêu cầu: Đúng và đủ cho mục đích sử dụng; được cập nhật với độ trễ phù hợp; có thể truy xuất nguồn gốc; được phân quyền sử dụng; có căn cứ hợp pháp trong toàn bộ vòng đời xử lý.
Trong hoạt động ngân hàng bán lẻ, VIB phối hợp với Salesforce để củng cố nền tảng quản lý quan hệ khách hàng, dữ liệu và AI, hướng tới việc hợp nhất thông tin cần thiết về khách hàng, sản phẩm và giao dịch phục vụ tương tác và cá nhân hóa trải nghiệm trên các kênh. Việc hợp nhất thông tin khách hàng tại lớp CRM không được xem là sự thay thế cho nền tảng dữ liệu doanh nghiệp, mà là một cấu phần cần được kết nối với các nguồn dữ liệu có thẩm quyền, các quy tắc chất lượng dữ liệu và cơ chế quản trị thống nhất.
Từ góc độ quản trị, điều quan trọng không chỉ là tập trung dữ liệu ở đâu, mà là xác định rõ ai chịu trách nhiệm đối với từng nhóm dữ liệu, tiêu chuẩn chất lượng nào phải được đáp ứng, dữ liệu đã được biến đổi như thế nào và hệ thống hoặc mô hình nào đang sử dụng dữ liệu đó. Vì vậy, các cấu phần như chủ sở hữu dữ liệu, đầu mối quản trị dữ liệu, danh mục dữ liệu trọng yếu, metadata, data catalog, truy xuất nguồn gốc dữ liệu và kiểm soát truy cập cần được phát triển song hành với các trường hợp sử dụng AI.
Đối với dữ liệu dùng để phát triển, kiểm thử hoặc vận hành mô hình, VIB đặt ra yêu cầu đánh giá riêng về tính đại diện, độ chính xác, mức độ cập nhật, quyền sử dụng và nguy cơ tạo thiên lệch. Cách tiếp cận này nhằm tránh tình trạng một tập dữ liệu phù hợp cho báo cáo hoặc phân tích lịch sử được mặc nhiên coi là phù hợp cho một quyết định tự động có ảnh hưởng trực tiếp đến khách hàng.
2.2. Mở rộng ứng dụng AI theo từng cấp độ ảnh hưởng
VIB đã từng bước đưa AI vào các điểm chạm với khách hàng và hoạt động nội bộ. Ở nhóm có mức độ ảnh hưởng thấp, chatbot, trợ lý ảo và các công cụ hỗ trợ có thể cung cấp thông tin sản phẩm, hỗ trợ tra cứu, giải đáp câu hỏi phổ biến và duy trì khả năng phục vụ ngoài giờ làm việc. Ở lớp vận hành, AI có thể hỗ trợ tổng hợp thông tin, phân tích dữ liệu, sàng lọc cảnh báo, tự động hóa một phần tác vụ và nâng cao năng suất của cán bộ nghiệp vụ.
Đối với các trường hợp sử dụng có ảnh hưởng cao hơn, như chấm điểm tín dụng, phát hiện gian lận theo thời gian thực hoặc đề xuất thay đổi hạn mức, yêu cầu quản trị phải được nâng lên tương ứng. Cần phân biệt rõ mô hình dự báo hoặc chấm điểm với cơ chế tự động quyết định; đồng thời phân biệt Agentic AI - AI có khả năng tổ chức và thực hiện một chuỗi tác vụ - với mô hình quyết định tín dụng. Việc một hệ thống có khả năng tự thực hiện nhiều bước không đương nhiên cho phép hệ thống đó tự quyết định một vấn đề ảnh hưởng trọng yếu đến quyền lợi khách hàng.
VIB đang triển khai chương trình hiện đại hóa ngân hàng lõi trên nền tảng điện toán đám mây. Đây là một điều kiện hạ tầng quan trọng cho khả năng mở rộng và đổi mới nhưng không đồng nghĩa dữ liệu mặc nhiên đã sẵn sàng cho AI theo thời gian thực. Khả năng này còn phụ thuộc vào kiến trúc tích hợp, chất lượng dữ liệu, truy xuất nguồn gốc, phân quyền, khả năng phục hồi và cơ chế vận hành dữ liệu xuyên suốt giữa các hệ thống.
2.3. Duy trì kiểm soát của con người và khả năng truy vết trách nhiệm
Nguyên tắc xuyên suốt trong cách tiếp cận của VIB là mức độ kiểm soát phải tương xứng với mức độ ảnh hưởng của hệ thống AI. Đối với nghiệp vụ ảnh hưởng trực tiếp và trọng yếu đến khách hàng, việc sử dụng AI cần được quản lý theo vòng đời đầy đủ, từ đăng ký trường hợp sử dụng, phân loại rủi ro, phê duyệt trước triển khai, kiểm định độc lập, giám sát trong vận hành đến thay đổi hoặc ngừng sử dụng mô hình.
Trong phạm vi được phê duyệt, hệ thống có thể được phép tự thực hiện một số tác vụ theo ngưỡng và điều kiện xác định trước. Các trường hợp vượt ngưỡng, có dấu hiệu bất thường hoặc nằm ngoài phạm vi dữ liệu đã được kiểm định phải được chuyển sang cơ chế rà soát của con người. Hệ thống đồng thời cần duy trì nhật ký dữ liệu đầu vào, phiên bản mô hình, kết quả và các lần can thiệp để phục vụ giải trình, điều tra sự cố và xác định trách nhiệm.
Việc kiểm định không nên chỉ dừng ở độ chính xác tại thời điểm triển khai. Các chỉ tiêu về độ ổn định, sai lệch giữa các nhóm khách hàng, suy giảm hiệu năng, thay đổi phân phối dữ liệu, tỷ lệ can thiệp của con người và tác động thực tế tới khách hàng cần được giám sát định kỳ. Khi xuất hiện dấu hiệu vượt khẩu vị rủi ro, ngân hàng phải có khả năng giới hạn, tạm dừng hoặc quay lại cơ chế xử lý an toàn hơn.
Đối với các hệ thống có thể thuộc nhóm AI rủi ro cao theo Quyết định số 33/2026/QĐ-TTg, đặc biệt là quyết định cấp tín dụng tự động, VIB cho rằng cần áp dụng cách tiếp cận thận trọng: Phân loại pháp lý trước khi mở rộng, xác nhận mô hình độc lập, duy trì giám sát và khả năng can thiệp của con người, đồng thời bảo đảm khách hàng có kênh yêu cầu xem xét lại đối với quyết định ảnh hưởng đáng kể đến quyền và lợi ích của mình.
2.4. Bảo vệ khách hàng theo kiến trúc nhiều lớp trước gian lận có sử dụng AI
AI đồng thời tạo ra giá trị và làm phát sinh rủi ro mới. Tội phạm công nghệ cao đang sử dụng AI để tạo hình ảnh, giọng nói, nội dung và trang thông tin giả mạo nhanh hơn, với chất lượng ngày càng khó phân biệt. Các kịch bản thường kết hợp 3 yếu tố: Lợi dụng thay đổi chính sách hoặc yêu cầu xác thực mới để tạo tính cấp bách; sử dụng deepfake hoặc nội dung giả nhằm xây dựng lòng tin; điều hướng giao dịch qua nhiều bước, nhiều tài khoản trung gian để gây khó khăn cho việc nhận diện và truy vết.
Thực tiễn này cho thấy xác thực đúng người không đồng nghĩa giao dịch được thực hiện trên cơ sở ý chí không bị thao túng. Khách hàng có thể tự đăng nhập, tự xác thực sinh trắc học và tự thực hiện giao dịch, nhưng toàn bộ hành vi lại bị dẫn dắt bởi một kịch bản lừa đảo. Vì vậy, deepfake và lừa đảo trực tuyến không thể được xử lý chỉ bằng cách tăng thêm một lớp xác thực.
VIB tiếp cận bảo vệ khách hàng theo kiến trúc nhiều lớp, trong đó xác thực danh tính và kiểm tra liveness được kết hợp với đánh giá rủi ro thiết bị và phiên giao dịch; phân tích bất thường về hành vi và giao dịch; đánh giá tài khoản thụ hưởng và mối quan hệ trong mạng lưới giao dịch; cảnh báo hoặc bổ sung bước xác nhận theo mức độ rủi ro; quản lý vụ việc; và cập nhật kịch bản từ phản ánh của khách hàng. Các lớp kiểm soát này phải hoạt động như một hệ thống liên tục thay vì các điểm kiểm tra rời rạc.
Truyền thông khách hàng cũng là một cấu phần của kiến trúc kiểm soát. Thông tin cảnh báo giúp khách hàng nhận biết sớm phương thức gian lận; ngược lại, phản ánh từ khách hàng là nguồn dữ liệu quan trọng để ngân hàng bổ sung dấu hiệu nhận diện và cập nhật kịch bản rủi ro. Do đó, cần thiết lập vòng phản hồi hai chiều có tốc độ đủ nhanh giữa khách hàng, ngân hàng và cơ quan chức năng.
2.5. Đưa bảo vệ dữ liệu và quản trị rủi ro vào ngay từ khâu thiết kế
VIB duy trì nguyên tắc privacy by design và security by design: Yêu cầu bảo vệ dữ liệu cá nhân, an toàn thông tin, quản trị rủi ro và khả năng giải trình phải được xác định ngay từ khi hình thành sản phẩm, quy trình hoặc hệ thống, thay vì bổ sung sau khi giải pháp đã đi vào vận hành.
Theo đó, mỗi trường hợp sử dụng dữ liệu cần xác định rõ mục đích, nhóm dữ liệu, căn cứ xử lý, vai trò của các bên tham gia, phạm vi truy cập, thời hạn lưu giữ, cơ chế chỉnh sửa hoặc xóa, yêu cầu bảo mật, cách xử lý sự cố và quyền của chủ thể dữ liệu. Nguyên tắc tối thiểu hóa dữ liệu cần được áp dụng không chỉ đối với dữ liệu thu thập từ khách hàng, mà cả đối với dữ liệu được tạo ra trong quá trình phân tích, chấm điểm hoặc suy luận.
Trong các quy trình định danh điện tử, xác thực sinh trắc học và phối hợp triển khai Đề án 06, dữ liệu giúp tăng độ tin cậy của danh tính và hỗ trợ phòng, chống gian lận. Tuy nhiên, do sinh trắc học và dữ liệu tài chính có mức độ nhạy cảm cao, việc kết nối và sử dụng cần gắn với mục đích xác định, phân quyền chặt chẽ, lưu vết truy cập và cơ chế đánh giá tác động phù hợp với Luật Bảo vệ dữ liệu cá nhân và Nghị định số 356/2025/NĐ-CP.
Giá trị của quản trị dữ liệu vì thế không chỉ được đo bằng mức độ đáp ứng hồ sơ tuân thủ. Giá trị thực chất nằm ở khả năng ngăn ngừa dữ liệu bị sử dụng sai mục đích, phát hiện truy cập bất thường, xử lý kịp thời yêu cầu của chủ thể dữ liệu và duy trì niềm tin của khách hàng khi ngân hàng mở rộng cá nhân hóa dựa trên AI.
2.6. Quản trị dữ liệu và rủi ro khi hợp tác với đối tác công nghệ
Ngành Ngân hàng ngày càng phụ thuộc vào hạ tầng đám mây, nền tảng dữ liệu, mô hình AI và các dịch vụ công nghệ do nhiều nhà cung cấp tham gia. Rủi ro không chỉ phát sinh từ vị trí đặt hạ tầng, mà còn từ chuỗi xử lý gồm nhà cung cấp chính, nhà thầu phụ, dịch vụ hỗ trợ, công cụ giám sát và các quyền truy cập từ xa.
Đối với mỗi hợp tác công nghệ, VIB xác định cần làm rõ luồng dữ liệu thực tế thay vì suy luận chỉ từ quốc tịch của nhà cung cấp. Các nội dung cần được kiểm soát bao gồm: Vai trò pháp lý của từng bên; loại dữ liệu và mục đích xử lý; địa điểm lưu trữ và xử lý; danh sách nhà thầu phụ; mã hóa và quản lý khóa; phân quyền truy cập; lưu vết; thời hạn lưu giữ; thông báo và phối hợp xử lý sự cố; quyền kiểm tra, kiểm toán; khả năng chuyển đổi nhà cung cấp; và cơ chế hoàn trả hoặc xóa dữ liệu khi chấm dứt dịch vụ.
Trường hợp luồng xử lý cấu thành chuyển dữ liệu cá nhân xuyên biên giới theo pháp luật, ngân hàng phải thực hiện và cập nhật hồ sơ đánh giá tác động theo Luật Bảo vệ dữ liệu cá nhân và Nghị định số 356/2025/NĐ-CP. Đây là công việc liên tục trong suốt vòng đời dịch vụ, bởi kiến trúc, nhà thầu phụ, vị trí xử lý hoặc mục đích sử dụng có thể thay đổi sau khi hợp đồng ban đầu được ký kết.
2.7. Gắn quản trị dữ liệu với phối hợp phòng, chống tội phạm công nghệ cao
VIB coi chất lượng, tính nhất quán và khả năng truy xuất dữ liệu nội bộ là điều kiện của cả 2 mục tiêu: Khai thác giá trị từ AI và bảo đảm an toàn, an ninh trong hoạt động ngân hàng. Ngân hàng đã phối hợp với các đơn vị chức năng của Bộ Công an trong triển khai Đề án 06 và phòng, chống tội phạm sử dụng công nghệ cao trên cơ sở chia sẻ, đối soát thông tin và phối hợp nghiệp vụ theo quy định pháp luật.
Những nỗ lực này đã được ghi nhận bằng 2 Bằng khen của Bộ trưởng Bộ Công an dành cho VIB về thành tích trong triển khai Đề án 06 và công tác phòng, chống tội phạm sử dụng công nghệ cao. Kinh nghiệm cho thấy hiệu quả phối hợp liên ngành phụ thuộc đáng kể vào việc dữ liệu có được chuẩn hóa, đối soát và cung cấp đúng thẩm quyền, đúng mục đích và đủ nhanh để hỗ trợ xử lý vụ việc hay không.
Việc Bộ Công an và NHNN ký Quy chế phối hợp trong công tác phòng, chống lừa đảo trực tuyến ngày 23/6/2026 là một bước tiến quan trọng. Giai đoạn tiếp theo cần chuyển cơ chế này thành quy trình trao đổi thường xuyên với đầu mối, chuẩn dữ liệu, phân loại mức độ khẩn cấp và thời gian phản hồi rõ ràng.
2.8. Tích hợp quản trị AI vào khung quản trị rủi ro và phát triển con người
VIB đã hoàn tất triển khai và tuân thủ tỷ lệ an toàn vốn theo phương pháp tiêu chuẩn quy định tại Thông tư số 14/2025/TT-NHNN, theo định hướng tiệm cận Basel III. Các nền tảng quản trị rủi ro, kiểm soát nội bộ và mô hình 3 tuyến bảo vệ là cơ sở quan trọng để quản lý rủi ro AI. Tuy nhiên, rủi ro AI có những đặc điểm riêng như suy giảm mô hình, thiên lệch, khó giải thích, phụ thuộc dữ liệu và rủi ro từ nhà cung cấp; vì vậy, cần được tích hợp vào khung quản trị rủi ro doanh nghiệp nhưng vẫn phải có chính sách, tiêu chuẩn và kiểm soát chuyên biệt.
Con người là điều kiện quyết định để cơ chế này vận hành hiệu quả. Trong năm 2025, VIB đã triển khai 1.017 chương trình đào tạo với hơn 461.600 giờ học tập, tương đương 44,7 giờ đào tạo trên mỗi nhân viên. Đây là nền tảng cho văn hóa học tập liên tục. Trong giai đoạn tiếp theo, đào tạo AI và dữ liệu cần được thiết kế theo vai trò: Lãnh đạo hiểu trách nhiệm giải trình và khẩu vị rủi ro; đơn vị kinh doanh hiểu giới hạn sử dụng; chuyên gia dữ liệu và công nghệ hiểu yêu cầu kiểm soát; bộ phận rủi ro, pháp chế, tuân thủ và kiểm toán có khả năng đánh giá độc lập.
3. Khó khăn, vướng mắc
3.1. Chuyển từ quy định chung sang cách áp dụng thống nhất trong ngân hàng
Khung pháp lý chung về AI đã được hình thành với Luật Trí tuệ nhân tạo, Nghị định số 142/2026/NĐ-CP và Quyết định số 33/2026/QĐ-TTg. Khó khăn hiện nay là cách ánh xạ các khái niệm pháp lý vào quy trình ngân hàng cụ thể. Chẳng hạn, ranh giới giữa mô hình hỗ trợ chấm điểm, hệ thống đề xuất quyết định và hệ thống tự động quyết định cấp tín dụng có thể khác nhau tùy cách thiết kế luồng nghiệp vụ và mức độ can thiệp thực chất của con người.
Nếu mỗi tổ chức tín dụng tự diễn giải, cùng một trường hợp sử dụng có thể được phân loại và kiểm soát khác nhau. Điều này vừa tạo rủi ro tuân thủ, vừa làm tăng chi phí và hạn chế khả năng so sánh, giám sát ở cấp độ toàn ngành.
3.2. Chuẩn hóa trách nhiệm giải trình đối với hệ thống AI rủi ro cao
Pháp luật đã xác định yêu cầu giám sát, kiểm soát và khả năng can thiệp của con người, nhưng ngành Ngân hàng vẫn cần hướng dẫn chi tiết hơn về bằng chứng kiểm soát cần duy trì: Thế nào là rà soát có ý nghĩa của con người; trường hợp nào cần giải thích cho khách hàng; mức độ xác nhận độc lập; thời hạn lưu nhật ký; ngưỡng báo cáo sự cố; và cơ chế xem xét lại quyết định tự động.
Đây là yêu cầu đặc biệt quan trọng đối với những hệ thống có khả năng ảnh hưởng đến quyền tiếp cận tín dụng, hạn mức, giá hoặc điều kiện cung cấp dịch vụ của khách hàng.
3.3. Cân bằng giữa cá nhân hóa, phòng chống rủi ro và bảo vệ dữ liệu cá nhân
Cá nhân hóa và phát hiện gian lận đòi hỏi dữ liệu đa dạng, kịp thời và có khả năng liên kết. Trong khi đó, bảo vệ dữ liệu cá nhân yêu cầu giới hạn mục đích, tối thiểu hóa, minh bạch và bảo đảm quyền của chủ thể dữ liệu. Thách thức không nằm ở việc lựa chọn 1 trong 2, mà ở việc chứng minh mỗi dữ liệu được sử dụng là cần thiết, phù hợp với mục đích và được kiểm soát trong toàn bộ vòng đời.
Đối với dịch vụ cloud và nền tảng toàn cầu, việc xác định luồng dữ liệu, vai trò của các bên và trường hợp chuyển dữ liệu xuyên biên giới có thể phức tạp, nhất là khi nhà cung cấp thay đổi kiến trúc hoặc nhà thầu phụ.
3.4. Phương thức gian lận thay đổi nhanh hơn chu kỳ cập nhật kiểm soát
AI giúp tội phạm tạo và điều chỉnh kịch bản với tốc độ cao, thử nghiệm trên nhiều nhóm khách hàng và kết hợp công nghệ với thao túng tâm lý. Các biện pháp phòng, chống vì thế không thể chỉ dựa trên danh sách quy tắc tĩnh hoặc một lần xác thực tại đầu giao dịch. Ngân hàng phải cập nhật liên tục dấu hiệu rủi ro, trong khi cơ chế chia sẻ thông tin liên tổ chức và liên ngành vẫn cần thời gian để chuẩn hóa và vận hành ổn định.
3.5. Hạ tầng, hệ thống cũ và chất lượng dữ liệu
Các tổ chức tín dụng thường có nhiều hệ thống được phát triển trong những giai đoạn khác nhau, với mô hình dữ liệu, chuẩn định danh và mức độ tài liệu hóa không đồng nhất. Đưa AI vào một quy trình xuyên hệ thống làm xuất hiện các vấn đề về độ trễ, dữ liệu trùng lặp, thiếu lineage, kết quả đối soát và trách nhiệm khi dữ liệu sai. Hiện đại hóa hạ tầng là cần thiết nhưng phải đi cùng chương trình quản trị, chất lượng và kiến trúc dữ liệu dài hạn.
3.6. Thiếu hụt nhân lực liên ngành và chi phí kiểm soát
Nhân lực có thể đồng thời hiểu nghiệp vụ ngân hàng, khoa học dữ liệu, công nghệ, pháp lý và quản trị rủi ro AI còn khan hiếm. Bên cạnh chi phí xây dựng mô hình và hạ tầng, ngân hàng còn phải đầu tư cho kiểm định độc lập, giám sát, lưu vết, bảo mật, quản lý nhà cung cấp, đào tạo và xử lý sự cố. Đây là chi phí cần thiết để AI có thể được mở rộng an toàn, nhưng cần được tính đầy đủ ngay từ giai đoạn lập business case.
4. Kiến nghị, đề xuất
Thứ nhất, ban hành hướng dẫn chuyên ngành về phân loại và quản trị trường hợp sử dụng AI trong ngân hàng. Trên cơ sở khoản 4 Điều 6 Luật Trí tuệ nhân tạo, Nghị định số 142/2026/NĐ-CP và Quyết định số 33/2026/QĐ-TTg, hướng dẫn cần làm rõ ranh giới giữa AI cung cấp thông tin, AI hỗ trợ quyết định và AI tự động quyết định; đồng thời xác định vai trò, nghĩa vụ của tổ chức tín dụng khi vừa là bên triển khai, vừa tham gia điều chỉnh hoặc phát triển hệ thống.
Thứ hai, quy định bộ kiểm soát tối thiểu đối với AI có ảnh hưởng trọng yếu đến khách hàng. Bộ kiểm soát nên bao gồm đăng ký trường hợp sử dụng; phân loại rủi ro; phê duyệt trước triển khai; tiêu chuẩn dữ liệu; xác nhận mô hình độc lập; giám sát độ chính xác, thiên lệch và suy giảm; lưu nhật ký; quản lý thay đổi; cơ chế can thiệp của con người; báo cáo sự cố; giải trình và kênh để khách hàng yêu cầu xem xét lại.
Thứ ba, cụ thể hóa cơ chế thử nghiệm có kiểm soát cho các trường hợp sử dụng AI mới. Nghị định số 142/2026/NĐ-CP đã đặt nền tảng chung cho thử nghiệm có kiểm soát. Đối với ngân hàng, cần quy định rõ phạm vi dữ liệu được sử dụng, giới hạn khách hàng và giao dịch, điều kiện tham gia, thời gian thử nghiệm, tiêu chí dừng, phương án khôi phục, trách nhiệm bồi hoàn và chế độ báo cáo. Sandbox nên tạo không gian thử nghiệm an toàn, không được hiểu là miễn trừ trách nhiệm bảo vệ khách hàng.
Thứ tư, hướng dẫn thống nhất về dữ liệu, cloud và chuỗi cung ứng công nghệ. Hướng dẫn cần tập trung vào cách xác định luồng chuyển dữ liệu, vai trò của các bên, yêu cầu đối với nhà thầu phụ, quyền kiểm toán, lưu trữ và truy cập từ xa, quản lý khóa mã hóa, phương án thoát khỏi nhà cung cấp và quan hệ giữa hồ sơ đánh giá tác động bảo vệ dữ liệu với hồ sơ quản trị rủi ro thuê ngoài của tổ chức tín dụng.
Thứ năm, vận hành cơ chế chia sẻ thông tin phòng, chống gian lận với chuẩn và thời gian phản hồi rõ ràng. Trên cơ sở Quy chế phối hợp giữa Bộ Công an và NHNN, cần tiếp tục xây dựng đầu mối 24/7, chuẩn dữ liệu trao đổi, phân loại mức độ khẩn cấp, cơ chế bảo vệ thông tin và phản hồi kết quả xử lý. Việc chia sẻ cần bao gồm cả dấu hiệu kỹ thuật, kịch bản thao túng khách hàng và thông tin về mạng lưới tài khoản trung gian theo đúng thẩm quyền pháp luật.
5. Kết luận
Kinh nghiệm thực tiễn tại VIB cho thấy, AI chỉ tạo ra giá trị bền vững khi được triển khai trên nền dữ liệu có chất lượng và được đặt trong một cơ chế quản trị có khả năng kiểm soát, giải trình và can thiệp. Quản trị dữ liệu không phải là phần việc đi sau công nghệ, mà là điều kiện thiết kế của mọi trường hợp sử dụng AI, từ cá nhân hóa trải nghiệm đến phát hiện gian lận và quyết định tín dụng.
Khung pháp lý mới đã xác lập nguyên tắc quản lý AI theo mức độ rủi ro và đưa một số hệ thống AI trong ngân hàng vào danh mục rủi ro cao. Nhiệm vụ tiếp theo là cụ thể hóa các nguyên tắc này thành chuẩn vận hành thống nhất, vừa đủ chặt chẽ để bảo vệ khách hàng và hệ thống tài chính, vừa đủ rõ ràng để tổ chức tín dụng có thể đổi mới có trách nhiệm.
Điều đó đòi hỏi sự phối hợp thường xuyên giữa cơ quan quản lý, Hiệp hội Ngân hàng Việt Nam và các tổ chức tín dụng. Một hệ sinh thái có chuẩn dữ liệu tốt hơn, cơ chế chia sẻ rủi ro nhanh hơn và trách nhiệm giải trình rõ hơn sẽ giúp ngành Ngân hàng Việt Nam khai thác AI một cách an toàn, hiệu quả và bền vững.
Tài liệu tham khảo
1. Quốc hội (2025), Luật Trí tuệ nhân tạo số 134/2025/QH15, ban hành ngày 10/12/2025, hiệu lực từ ngày 01/03/2026. [Nguồn]
2. Chính phủ (2026), Nghị định số 142/2026/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Trí tuệ nhân tạo. [Nguồn]
3. Thủ tướng Chính phủ (2026), Quyết định số 33/2026/QĐ-TTg ban hành Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao. [Nguồn]
4. Quốc hội (2025), Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. [Nguồn]
5. Chính phủ (2025), Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân. [Nguồn]
6. Quốc hội (2025), Luật An ninh mạng số 116/2025/QH15. [Nguồn]
7. Ngân hàng Nhà nước Việt Nam (2025), Thông tư số 14/2025/TT-NHNN quy định tỷ lệ an toàn vốn đối với ngân hàng thương mại, chi nhánh ngân hàng nước ngoài. [Nguồn]
8. Ngân hàng Nhà nước Việt Nam (2026), Hội nghị công nghệ thông tin ngành Ngân hàng năm 2026, chủ đề “An toàn số, dữ liệu và AI: Kiến tạo ngân hàng số an toàn, thông minh và bền vững”, ngày 13/07/2026. [Nguồn]
9. Bộ Công an (2026), “Bộ Công an và Ngân hàng Nhà nước Việt Nam ký kết Quy chế phối hợp trong công tác phòng, chống lừa đảo trực tuyến”, ngày 23/06/2026. [Nguồn]
10. Salesforce và VIB (2026), “VIB củng cố nền tảng dữ liệu và AI cùng Salesforce nhằm nâng cao trải nghiệm cá nhân hóa cho khách hàng”, ngày 17/06/2026. [Nguồn]
11. VIB (2026), “VIB tích cực tham gia cùng Bộ Công an trong công tác phòng, chống tội phạm”, công bố ngày 07/07/2026. [Nguồn]
12. VIB (2026), Tài liệu Đại hội đồng cổ đông năm 2026 và các công bố liên quan đến triển khai Basel III, đào tạo nhân sự và chuyển đổi số. [Nguồn]
