Quyết định 33/2026 nói gì với ngân hàng
Danh mục AI rủi ro cao chỉ có hai mục cho ngân hàng, cả hai chỉ áp dụng khi không có người phê duyệt. Việc cần làm trước tháng 9/2027 vì thế cũng khác đi.
Từ đầu năm đến nay, không ít bộ phận tuân thủ ở các ngân hàng vẫn lập kế hoạch theo cách hiểu rằng mọi mô hình AI đang vận hành đều phải qua đánh giá sự phù hợp trước ngày 1/9/2027. Khi chưa có danh mục, sự thận trọng đó hoàn toàn có cơ sở. Nhưng danh mục nay đã có: Quyết định 33/2026/QĐ-TTg được ký ngày 30/6/2026 và có hiệu lực từ 15/8/2026. Danh mục này ngắn hơn nhiều so với dự đoán, và những yêu cầu thực tế đặt ra cho ngân hàng cũng khác xa hình dung trước đây.
Với phần lớn hệ thống mà ngân hàng đang dùng, việc phải làm không phải là đánh giá sự phù hợp, mà là phân loại có căn cứ và chứng minh được rằng luôn có người phê duyệt.
Danh mục là danh sách đóng
Theo khoản 3 Điều 6 Nghị định 142/2026/NĐ-CP, hệ thống AI được xếp vào ba mức. Rủi ro cao là những hệ thống có tên trong danh mục do Thủ tướng ban hành. Rủi ro trung bình là hệ thống không thuộc danh mục nhưng rơi vào các trường hợp nêu tại Điều 9. Những hệ thống còn lại là rủi ro thấp.
Nói cách khác, một mô hình không bị xếp vào rủi ro cao chỉ vì tính chất có vẻ nhạy cảm. Một hệ thống chỉ bị coi là rủi ro cao khi khớp với một mục cụ thể trong phụ lục của Quyết định 33 và thỏa điều kiện áp dụng ghi kèm mục đó.
Phụ lục liệt kê 46 hệ thống thuộc 6 lĩnh vực:
| Lĩnh vực | Số mục |
|---|---|
| Giáo dục | 3 |
| Dân tộc và tôn giáo | 7 |
| Y tế | 2 |
| Ngân hàng | 2 |
| Tố tụng | 1 |
| Giao thông vận tải | 31 |
Trong 31 mục về giao thông, có tới 28 mục thuộc ngành hàng không. Bảo hiểm và chứng khoán không có mục nào. Y tế chỉ có robot phẫu thuật và robot thực hiện y lệnh trên người bệnh.
Hai mục dành cho ngân hàng
Tóm lược từ bản ký số, hai mục dành cho ngân hàng là:
- Hệ thống AI tự động thực hiện giao dịch điện tử ngân hàng có giá trị cao mà không có sự kiểm soát của con người.
- Hệ thống AI tự động quyết định cấp tín dụng mà không có sự phê duyệt độc lập của cán bộ tín dụng.
Cả hai mục đều gắn với cùng một điều kiện: hệ thống tự thực thi và không có người kiểm soát hay phê duyệt độc lập. Đây không phải là chi tiết phụ, mà chính là yếu tố quyết định một hệ thống nằm trong hay nằm ngoài danh mục.
Vì vậy, nếu mô hình chấm điểm tín dụng vẫn chuyển từng hồ sơ cho cán bộ tín dụng phê duyệt thì không thuộc diện của mục 2. Mô hình phát hiện gian lận chỉ gắn cờ cảnh báo để chuyên viên xử lý ra quyết định cũng không rơi vào mục 1. Hệ thống chỉ thực sự rơi vào danh mục khi giao dịch giá trị cao được xử lý tự động hoàn toàn mà không ai xem lại, hoặc khoản tín dụng được cấp tự động mà không có cán bộ nào ký duyệt.
Cần lưu ý rằng danh mục có thể được sửa đổi, bổ sung, và điểm c khoản 1 Điều 11 Nghị định 142 yêu cầu phân loại lại khi điều đó xảy ra. Do đó, kết luận “không thuộc danh mục” nên ghi rõ ngày đối chiếu và văn bản đã dùng để đối chiếu.
Ba nghĩa vụ bắt buộc đối với ngân hàng
Không thuộc danh mục rủi ro cao không đồng nghĩa với việc ngân hàng không có nghĩa vụ tuân thủ. Có ba yêu cầu cốt lõi bắt buộc áp dụng ngay từ thời điểm hiện tại, không phụ thuộc vào mốc chuyển tiếp năm 2027.
Tự phân loại và chịu trách nhiệm về kết quả phân loại
Khoản 1 Điều 6 Nghị định 142 quy định nhà cung cấp phải tự phân loại hệ thống trước khi đưa vào sử dụng và chịu trách nhiệm trước pháp luật về tính chính xác của kết quả. Nếu ngân hàng dùng hệ thống của bên thứ ba thì theo khoản 4, khi việc tích hợp hay thay đổi làm phát sinh rủi ro mới, ngân hàng phải phối hợp với nhà cung cấp để phân loại lại.
Với hệ thống rủi ro cao và trung bình, Điều 12 yêu cầu lập hồ sơ phân loại gồm bốn phần: thông tin nhận diện hệ thống, mô tả hệ thống và bối cảnh sử dụng, dữ liệu đầu vào chủ yếu, và tóm tắt các biện pháp quản lý rủi ro. Hồ sơ không cần chứa mã nguồn hay tham số mô hình, nhưng phải được lưu trong suốt thời gian hệ thống hoạt động. Nếu hệ thống có dùng dữ liệu cá nhân, hồ sơ đánh giá tác động theo pháp luật về bảo vệ dữ liệu cá nhân có thể dùng thay thế hoặc tích hợp vào hồ sơ này.
Hệ thống rủi ro thấp không bị Điều 12 yêu cầu lập hồ sơ. Nhưng khi có đoàn thanh tra hoặc kiểm tra hỏi vì sao lại là rủi ro thấp, câu trả lời phải có sẵn. Chỉ cần một trang ghi rõ hệ thống là gì, đã đối chiếu với những mục nào, vì sao không khớp và đối chiếu vào ngày nào. Tài liệu tinh gọn này hoàn toàn đáp ứng yêu cầu giải trình mà không phát sinh gánh nặng vận hành.
Chứng minh được rằng có người phê duyệt
Đây là điểm nhiều ngân hàng dễ gặp vướng mắc. Quy trình trên giấy ghi rằng có cán bộ phê duyệt, nhưng khi thanh tra đến, họ không hỏi quy trình mà hỏi bằng chứng.
Điểm b khoản 2 Điều 8 Nghị định 142 mô tả thế nào là giám sát thực chất của con người: người có thẩm quyền phải có khả năng xem xét độc lập, can thiệp, từ chối hoặc thay đổi quyết định của hệ thống trước khi quyết định đó có hiệu lực. Bốn hành động ấy đều phải để lại dấu vết: ai phê duyệt, phê duyệt lúc nào, khi phê duyệt họ nhìn thấy gì (phiên bản mô hình, dữ liệu đầu vào, điểm số), họ có quyền từ chối không, và trên thực tế đã từ chối bao nhiêu lần.
Nếu nhật ký cho thấy toàn bộ hồ sơ đều được duyệt trong vòng hai giây thì đó không phải là phê duyệt độc lập, dù quy trình có viết gì đi nữa. Khoản 5 Điều 11 nói rất rõ kỳ vọng của cơ quan quản lý: người giám sát phải được cung cấp đủ thông tin và thẩm quyền để đánh giá độc lập, đồng thời nhật ký vận hành và các quyết định can thiệp phải được lưu đầy đủ để phục vụ thanh tra, kiểm tra.
Nền tảng dữ liệu phát huy tác dụng đúng ở chỗ này. Dấu vết phê duyệt là một bảng dữ liệu, liên kết được với phiên bản mô hình và dữ liệu đầu vào đã dùng, có lineage, có kiểm soát truy cập và được lưu đủ lâu. Bằng chứng lấy từ nhật ký hệ thống, không phải từ lời trình bày.
Phân loại lại khi hệ thống thay đổi
Khoản 1 Điều 11 liệt kê các trường hợp phải phân loại lại. Đáng chú ý nhất là điểm a: khi hệ thống có thay đổi đáng kể về chức năng, mục đích sử dụng hoặc ngữ cảnh triển khai, làm ảnh hưởng đến tiêu chí phân loại ban đầu. Nâng ngưỡng tự động phê duyệt, bỏ bước cán bộ duyệt với các khoản vay nhỏ, hay đưa mô hình sang dùng cho một sản phẩm mới đều là những thay đổi thuộc loại này. Ngược lại, nâng cấp hiệu năng, sửa lỗi kỹ thuật hay cập nhật dữ liệu định kỳ thì không, theo khoản 4.
Nếu kết quả phân loại lại cho ra mức rủi ro cao hơn, điểm a khoản 3 yêu cầu thông báo cho cơ quan có thẩm quyền trong vòng 15 ngày làm việc và áp dụng ngay các biện pháp của mức mới. Giải pháp hiệu quả nhất để không bỏ sót là bổ sung tiêu chí phân loại rủi ro vào chính quy trình quản lý thay đổi (change management) hiện hành của ngân hàng.
Mốc 1/9/2027 áp dụng cho ai
Luật Trí tuệ nhân tạo 134/2025/QH15 có hiệu lực từ ngày 1/3/2026. Điều 35 cho phép các hệ thống trong lĩnh vực tài chính đã vận hành trước ngày này được chuyển tiếp trong 18 tháng, tức đến ngày 1/9/2027. Mốc này chỉ áp dụng đối với các hệ thống thuộc danh mục: đó là thời hạn để hoàn thành đánh giá sự phù hợp theo Điều 13.
Hệ thống không thuộc danh mục thì không có hạn đánh giá sự phù hợp, nhưng nghĩa vụ phân loại vẫn áp dụng ngay, trước khi đưa vào sử dụng. Còn hệ thống mới mà thuộc danh mục thì phải đánh giá xong trước khi dùng, không có thời gian chuyển tiếp.
Hai điều đáng lưu ý thêm
Chatbot phục vụ khách hàng không nằm trong danh mục. Tuy nhiên, theo khoản 1 Điều 9, nó sẽ thành rủi ro trung bình nếu người dùng không nhận biết được mình đang trò chuyện với AI. Khi đó phát sinh nghĩa vụ minh bạch và phải lập hồ sơ phân loại theo Điều 12. Thông báo rõ ràng danh tính “trợ lý ảo” ngay từ đầu phiên tương tác là giải pháp tối ưu nhất để duy trì hệ thống ở mức rủi ro thấp.
Và rủi ro lớn nhất về mặt tài chính thực ra không nằm ở luật AI. Khoản 4 Điều 8 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định mức phạt lên tới 5% doanh thu của năm trước liền kề đối với vi phạm về chuyển dữ liệu cá nhân ra nước ngoài. Giữ dữ liệu trong tài khoản cloud và vùng lưu trữ do chính ngân hàng lựa chọn và kiểm soát là giải pháp căn cơ nhất, đồng thời là tiền đề để toàn bộ dữ liệu lưu vết phê duyệt nằm trọn vẹn trong tầm kiểm soát của ngân hàng.
Sancire làm gì trong việc này
Sancire đồng hành cùng các ngân hàng lập hồ sơ phân loại có căn cứ pháp lý chặt chẽ cho từng hệ thống, đối chiếu chi tiết từng mục của Quyết định 33 và các trường hợp loại trừ trong Nghị định 142. Đồng thời, chúng tôi thiết lập cơ chế lưu vết phê duyệt ngay trên nền tảng dữ liệu Databricks của ngân hàng, bảo đảm khi có yêu cầu thanh tra hay kiểm tra, bằng chứng minh bạch được trích xuất trực tiếp từ nhật ký hệ thống. Trang Việt Nam trình bày rõ phạm vi triển khai, và trong danh mục dịch vụ của chúng tôi, giải pháp này thuộc giai đoạn Quản trị.
Nguồn: Quyết định 33/2026/QĐ-TTg, bản ký số, đối chiếu ngày 15/9/2026. Nghị định 142/2026/NĐ-CP, hiệu lực từ 1/5/2026, các Điều 6, 8, 9, 11, 12 và 13. Luật Trí tuệ nhân tạo 134/2025/QH15, Điều 13 và Điều 35. Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, Điều 8. Bài viết chỉ mang tính giới thiệu, không thay thế tư vấn pháp lý cho từng trường hợp cụ thể.