Vietnam Tetapkan Ambang Risiko Perbankan AI, Had Pembayaran dan Perlindungan Pelanggan

Ambang pembayaran meletakkan perbankan automatik di bawah penyeliaan lebih ketat

Vietnam akan mengklasifikasikan sistem AI yang membuat pembayaran secara automatik sebagai berisiko tinggi apabila transaksi pelanggan individu melebihi VND 10 juta bagi setiap pembayaran atau VND 20 juta sehari. Bagi pelanggan institusi, ambang yang sepadan ialah melebihi VND 50 juta bagi setiap transaksi atau VND 100 juta sehari. Peraturan ini berkuat kuasa pada November 15, 2026, di bawah Circular No. 53/2026/TT-NHNN, yang dikeluarkan oleh Gabenor State Bank of Vietnam pada September 30.

Ambang tersebut mencetuskan penyeliaan lebih ketat, bukannya larangan terhadap pembayaran automatik. Peruntukan berasingan mengehadkan jumlah nilai yang boleh ditransaksikan AI secara automatik setiap hari kepada VND 100 juta bagi pelanggan individu dan VND 500 juta bagi pelanggan institusi. Had dalaman penyedia juga terpakai dan mungkin lebih rendah.

Perbezaan ini penting: sistem AI boleh dikategorikan sebagai berisiko tinggi jauh sebelum mencapai jumlah maksimum pembayaran yang dibenarkan. Kedua-dua had harian itu ialah lima kali ganda ambang risiko harian yang sepadan, dikira daripada VND 100 juta berbanding VND 20 juta bagi individu dan VND 500 juta berbanding VND 100 juta bagi institusi.

Senarai pekeliling Persatuan Bank Vietnam mengenal pasti langkah itu sebagai meliputi keselamatan, pengurusan risiko dan syarat penggunaan AI dalam perbankan. Prinsip utamanya ialah automasi tidak menghapuskan kuasa atau tanggungjawab manusia. Bank dan penyedia lain yang dikawal selia kekal bertanggungjawab terhadap keputusan yang dibuat atau disokong oleh AI, termasuk sistem yang dibeli daripada vendor luar.

Sistem dan institusi manakah yang diliputi?

Sebelum digunakan, penyedia mesti mengklasifikasikan sistem AI sebagai berisiko tinggi, sederhana atau rendah. Tahap penyeliaan dan ruang untuk campur tangan manusia mesti mengambil kira kesan berpotensi sistem itu terhadap pelanggan dan operasi perbankan. Sistem berisiko tinggi memerlukan penilaian impak yang meneliti kemungkinan akibat penggunaannya sebelum sistem itu mula beroperasi.

Sistem kredit automatik juga tertakluk pada ambang kewangan: kredit sebanyak VND 50 juta atau lebih meletakkan sistem berkenaan dalam kategori berisiko tinggi. Tidak seperti ambang pembayaran, yang terpakai pada nilai yang melebihi jumlah dinyatakan, ambang kredit itu merangkumi tepat VND 50 juta.

Laporan berbeza dalam menghuraikan fungsi kredit yang diliputi. Sesetengahnya menyebut AI yang secara automatik memutuskan sama ada kredit patut diberikan, manakala yang lain menyebut AI yang secara automatik mengemukakan cadangan keputusan kredit. Perbezaan itu penting bagi bank yang menggunakan perisian untuk membuat saranan, tetapi kuasa meluluskan kekal pada seseorang. Institusi perlu menyemak teks pekeliling yang dikeluarkan ketika mengklasifikasikan sistem berkenaan.

Pekeliling ini bukan sahaja meliputi bank perdagangan. Ia terpakai kepada institusi kredit, cawangan bank asing, penyedia perkhidmatan pembayaran perantara, penyedia wang mudah alih dan syarikat maklumat kredit. Vietnam Asset Management Company, National Money Printing Plant dan Vietnam Deposit Insurance turut diliputi. Skopnya merangkumi perbankan, perkhidmatan pembayaran perantara, maklumat kredit dan operasi wang mudah alih.

Pelanggan mesti bersetuju sebelum AI boleh membuat pembayaran

Bank tidak boleh menganggap bahawa ketersediaan fungsi pembayaran AI bermakna ia dibenarkan menggunakannya bagi pihak pelanggan. Pelaksanaan pembayaran automatik memerlukan perjanjian terlebih dahulu antara penyedia dengan pelanggan, yang menetapkan perkara yang dibenarkan untuk dilakukan oleh sistem.

Perjanjian itu mesti menyatakan skop transaksi yang dibenarkan, had bagi setiap pembayaran dan jumlah harian, tempoh sah, syarat yang terpakai serta hak pelanggan untuk menamatkannya. Laporan turut menyebut keperluan menetapkan syarat penggantungan dan tanggungjawab penyedia apabila permintaan penamatan diterima.

Pelanggan mesti mempunyai cara untuk menjeda atau membatalkan kuasa yang diberikan kepada AI. Oleh itu, peraturan ini membezakan keupayaan teknikal institusi untuk mengautomasikan pembayaran daripada persetujuan berterusan pelanggan terhadap automasi tersebut. Laporan menyatakan bahawa pelanggan berhak menamatkan persetujuan pada bila-bila masa dan penyedia wajib bertindak serta-merta atas permintaan itu.

Persetujuan pelanggan mahupun had pembayaran dalaman tidak menghapuskan had kawal selia. Pelanggan boleh membenarkan julat transaksi yang ditetapkan, tetapi pelaksanaannya tetap perlu mematuhi had penyedia dan had harian VND 100 juta atau VND 500 juta, mengikut mana-mana yang berkenaan.

Penyelia manusia mesti mempunyai kuasa untuk menghentikan sistem

AI berisiko tinggi mesti dipantau secara berterusan. Penyelia perlu mempunyai kuasa serta keupayaan praktikal untuk mengatasi, melaraskan atau menjeda keputusannya. Penyedia juga mesti mengekalkan mekanisme kecemasan untuk menghentikan atau mengasingkan sistem AI apabila perlu.

Campur tangan manusia mesti direkodkan. Log mesti merekodkan perkara yang diubah, masa campur tangan, pihak yang melaksanakannya dan sebabnya. Ini membolehkan keputusan dan tindakan susulan dibina semula, dan bukannya bergantung pada jaminan umum bahawa seseorang sedang menyelia.

Semasa insiden serius, bank dan penyedia dompet elektronik mesti mengaktifkan penutupan kecemasan, beralih kepada operasi manual apabila perlu dan mengambil langkah pembetulan untuk mengehadkan kerosakan. Proses sandaran manual berbeza daripada semakan biasa: ia membolehkan institusi meneruskan tugas yang perlu tanpa bergantung pada AI yang terjejas.

Penyedia tidak boleh menggunakan sifat autonomi, ciri teknikal atau asal sistem sebagai produk pihak ketiga untuk mengecualikan atau mengurangkan tanggungjawab pengurusan dan undang-undang mereka. Pekeliling ini menetapkan kawalan manusia sebagai keperluan operasi, bukan sekadar kenyataan bahawa seseorang kekal bertanggungjawab.

Pelanggan mendapat pendedahan, penjelasan dan semakan manusia

Apabila AI menggantikan seseorang dalam komunikasi langsung, pelanggan mesti dimaklumkan pada awal sesi atau perbualan bahawa mereka sedang berinteraksi dengan sistem AI. Penyedia juga mesti mengekalkan jabatan dan prosedur untuk menerima serta mengendalikan aduan tentang penggunaan AI.

Jika pelanggan mempertikaikan keputusan automatik, seorang manusia mesti menyemaknya. Hasil semakan itu menjadi asas muktamad untuk menyelesaikan aduan. Keperluan ini tidak harus disalah anggap sebagai kenyataan bahawa remedi undang-undang lain tidak tersedia; ia merujuk kepada proses penyelesaian aduan oleh penyedia.

Bagi keputusan automatik yang secara langsung menjejaskan tanggungjawab undang-undang, kewajipan kewangan atau akses kepada produk dan perkhidmatan, penyedia mesti menyimpan alasan dan faktor utama yang mendasari keputusan itu. Rekod tersebut mesti membolehkan penjelasan diberikan apabila diminta oleh pelanggan.

Penjelasan tidak memerlukan pendedahan kod sumber, algoritma terperinci, parameter model atau rahsia perniagaan dan teknologi. Bagi keputusan berkaitan penipuan, scam, pengubahan wang haram, pembiayaan keganasan atau keselamatan siber, penyedia boleh memberikan alasan yang selaras dengan kawalan risiko dan perlindungan aset pelanggan. Keperluannya ialah menjelaskan asas yang berkaitan tanpa mendedahkan maklumat yang boleh melemahkan perlindungan tersebut.

Kualiti data dan keselamatan menjadi syarat penggunaan

Pekeliling ini menangani risiko yang boleh timbul sebelum pelanggan melihat hasil AI. Data yang digunakan untuk latihan, pengujian dan operasi mesti mempunyai sumber yang jelas dan sah. Institusi mesti mengawal kualitinya, mengesan kesilapan dan ketidaktepatan, mengenal pasti manipulasi atau pencemaran data, serta memantau perubahan semasa operasi.

Pencemaran data bermaksud mencemarkan dengan sengaja maklumat yang digunakan oleh sistem AI supaya hasilnya menjadi tidak boleh dipercayai atau memenuhi tujuan penyerang. Masalah yang lebih lazim, seperti rekod tidak tepat atau lapuk, juga boleh memesongkan keputusan. Peraturan ini menghendaki perhatian diberikan kepada gangguan yang disengajakan serta kualiti data.

Sistem AI mesti menjalani penilaian keselamatan siber sebelum mula beroperasi, secara berkala selepas itu dan apabila mengalami perubahan besar. Penyedia juga mesti memenuhi keperluan keselamatan data, pengurusan perubahan, pengendalian insiden dan pengelogan. Risiko model, etika, penyumberan luar dan rantaian bekalan merupakan sebahagian daripada rangka kerja pengurusan.

Sebelum penggunaan, institusi mesti menyediakan dokumentasi yang diperlukan, menilai sama ada syarat operasi telah dipenuhi dan mendapatkan kelulusan daripada pihak berkuasa yang berkenaan. Oleh itu, memperkenalkan model baharu atau mengubah model sedia ada memerlukan lebih daripada sekadar menilai sama ada hasilnya kelihatan berguna.

Penyumberan luar tidak memindahkan akauntabiliti

Vendor AI luar tidak boleh menggunakan data institusi untuk melatih, memperhalus atau menambah baik model tanpa persetujuan bertulis. Sekatan ini menangani isu yang berasingan daripada kebenaran memproses data bagi perkhidmatan yang dikontrak: akses kepada maklumat tidak dengan sendirinya membenarkan penggunaan semula untuk pembangunan model.

Institusi yang menggunakan sistem penyumberan luar kekal bertanggungjawab terhadap keselamatan operasi, hak pelanggan, keselamatan siber, perlindungan data peribadi dan pengurusan risiko. Jika sistem itu memudaratkan pelanggan atau pihak lain yang terjejas, institusi mesti segera mengambil tindakan pembetulan, melindungi pelanggan, mengendalikan aduan dan memberikan pampasan atas kerosakan mengikut peraturan yang terpakai.

Tanggungjawab ini menghubungkan pengurusan vendor dengan perlindungan pelanggan lain dalam pekeliling tersebut. Bank tetap memerlukan cara untuk menjelaskan keputusan penting, menyemak keputusan yang dipertikaikan dan campur tangan dalam operasi walaupun teknologi asasnya dibekalkan syarikat lain. Mengupah pembekal tidak menghapuskan kewajipan tersebut.

Cadangan terdahulu menunjukkan perkembangan rangka kerja

Pekeliling muktamad ini menyusuli rangka kerja draf yang dihuraikan lebih awal pada 2026. Analisis draf April Baker McKenzie, bertarikh April 23, menggariskan kawalan yang meliputi reka bentuk, pengujian, pemantauan, kemas kini dan penamatan penggunaan sistem AI secara selamat. Analisis itu turut menghuraikan pengesanan hanyutan model, iaitu perubahan tingkah laku atau ketepatan sistem apabila data yang ditemuinya berubah.

Analisis tersebut menghuraikan langkah yang dicadangkan untuk menangani bias algoritma berkaitan jantina, etnik, agama, ketidakupayaan, umur dan kekurangan sosioekonomi. Analisis itu juga mengenal pasti semakan keupayaan tahunan dan audit bebas terhadap AI yang disumberluarkan sebagai unsur draf. Butiran ini merujuk kepada draf dan tidak harus dianggap secara automatik sebagai peruntukan yang disahkan dalam pekeliling yang dikeluarkan.

Kemas kini tentang pekeliling draf Dewan Perniagaan Australia di Vietnam turut menghuraikan cadangan larangan diskriminasi dan eksploitasi kumpulan rentan. Ia mengetengahkan penanda aras prestasi dan ketepatan, latihan kakitangan, pelan tindak balas insiden dan semakan tadbir urus tahunan. Dewan itu menyatakan bahawa Undang-undang AI Vietnam berkuat kuasa pada Mac 2026; pekeliling perbankan ini melaksanakan peruntukan undang-undang tersebut.

Kedua-dua huraian institusi mengenai draf itu menyatakan bahawa insiden AI serius perlu dilaporkan kepada State Bank dalam tempoh 24 jam selepas dikesan dan laporan penyelesaian perlu dikemukakan dalam tempoh lima hari bekerja selepas insiden ditangani. Tarikh akhir itu muncul dalam huraian draf, tetapi tidak disahkan dalam laporan yang memperincikan pekeliling yang dikeluarkan. Institusi patut mengesahkan peruntukan pelaporan muktamad dan bukannya memasukkan tarikh akhir draf ke dalam pelan pematuhan tanpa membuat semakan.

Jadual pelaksanaan dan persoalan yang masih belum terjawab

Pekeliling ini berkuat kuasa pada November 15, 2026, manakala sistem AI yang telah beroperasi sebelum tarikh itu diberi sehingga Mac 1, 2027, untuk melengkapkan pematuhan terhadap keperluan keselamatan, pengurusan risiko dan penggunaan. Sesetengah peruntukan mengenai rangka kerja pengurusan risiko, pemeriksaan keselamatan siber dan kakitangan mengikut jadual berperingkat, walaupun laporan yang menghuraikan langkah muktamad itu tidak menyatakan peringkat terperincinya.

• Mac 2026: Undang-undang AI Vietnam berkuat kuasa, menurut Dewan Perniagaan Australia di Vietnam.
• April 23, 2026: Baker McKenzie menerbitkan analisisnya mengenai cadangan pekeliling AI perbankan.
• September 30, 2026: Gabenor State Bank mengeluarkan Circular No. 53/2026/TT-NHNN.
• November 15, 2026: Pekeliling ini berkuat kuasa.
• Mac 1, 2027: Sistem AI yang beroperasi sebelum tarikh kuat kuasa mesti melengkapkan kerja pematuhan yang diwajibkan.

Peraturan ini diperkenalkan ketika bank memperluas penggunaan AI dalam pemarkahan kredit, penilaian pinjaman, pengesanan penipuan pembayaran, nasihat automatik dan pemeriksaan identiti elektronik. Seorang eksekutif yang tidak dinamakan di sebuah bank milik kerajaan berkata pembayaran di kebanyakan bank masih melibatkan manusia, dan bank eksekutif itu sendiri masih mengekalkan semakan manusia bagi kelulusan pinjaman. Kenyataan itu menunjukkan bahawa bantuan AI dan pelaksanaan automatik sepenuhnya masih belum mencapai tahap penggunaan yang sama.

Peraturan sedia ada juga mewajibkan pengesahan biometrik pemegang akaun bagi transaksi dalam talian melebihi VND 10 juta bagi setiap transaksi. Jumlah itu sepadan dengan ambang pembayaran individu untuk pengelasan AI berisiko tinggi, tetapi kedua-dua keperluan mempunyai tujuan berbeza: satu mengesahkan pemegang akaun, manakala satu lagi mengawal risiko sistem automatik. Laporan tidak menjelaskan cara aturan pembayaran autonomi akan memenuhi keperluan biometrik dalam setiap keadaan.

Perkara yang Perlu Diketahui

• Circular No. 53/2026/TT-NHNN berkuat kuasa pada November 15, 2026.
• Pembayaran automatik individu melebihi VND 10 juta bagi setiap transaksi atau VND 20 juta sehari mencetuskan pengelasan berisiko tinggi.
• Ambang bagi institusi ialah melebihi VND 50 juta bagi setiap transaksi atau VND 100 juta sehari.
• Pembayaran automatik harian dihadkan kepada VND 100 juta bagi individu dan VND 500 juta bagi institusi, tertakluk pada had penyedia.
• Sistem kredit automatik yang berkenaan dikategorikan sebagai berisiko tinggi apabila jumlahnya VND 50 juta atau lebih.
• Pelanggan mesti bersetuju dengan pembayaran automatik dan boleh menjeda atau membatalkan kuasa tersebut.
• Keputusan automatik yang dipertikaikan memerlukan semakan manusia, dan penyedia mesti menyimpan asas bagi keputusan penting.
• Penyumberan luar tidak menghapuskan tanggungjawab institusi, manakala vendor memerlukan persetujuan bertulis untuk menggunakan semula data institusi bagi pembangunan model.
• Sistem AI sedia ada mesti melengkapkan pematuhan menjelang Mac 1, 2027, dengan sesetengah keperluan mengikut jadual berperingkat.