Nagtakda ang Vietnam ng mga Threshold sa Panganib ng AI sa Pagbabangko, Limitasyon sa Pagbabayad at mga Pananggalang para sa mga Customer

Nagdadala ng mas mahigpit na pangangasiwa ang mga threshold sa pagbabayad para sa automated banking

Iuuri ng Vietnam bilang high risk ang mga AI system na awtomatikong nagsasagawa ng mga pagbabayad kapag lumampas sa VND 10 milyon kada bayad o VND 20 milyon sa isang araw ang mga transaksyon ng isang indibidwal na customer. Para sa mga institusyonal na customer, ang katumbas na mga threshold ay lampas VND 50 milyon kada transaksyon o VND 100 milyon kada araw. Magkakabisa ang mga patakaran sa Nobyembre 15, 2026, sa ilalim ng Circular No. 53/2026/TT-NHNN, na inilabas ng Gobernador ng State Bank of Vietnam noong Setyembre 30.

Nagdudulot ang mga threshold na ito ng mas mahigpit na pangangasiwa, hindi pagbabawal sa mga awtomatikong pagbabayad. Hiwalay na itinatakda ng mga probisyon na hanggang VND 100 milyon kada araw ang kabuuang halagang maaaring awtomatikong iproseso ng AI para sa isang indibidwal na customer at VND 500 milyon para sa isang institusyonal na customer. May bisa rin ang sariling panloob na limitasyon ng provider, na maaaring mas mababa.

Mahalaga ang pagkakaibang ito: maaaring mapabilang na sa high risk category ang isang AI system bago pa nito maabot ang pinakamataas na pinapahintulutang dami ng pagbabayad. Limang beses ng katumbas na pang-araw-araw na risk threshold ang dalawang pang-araw-araw na ceiling: VND 100 milyon kumpara sa VND 20 milyon para sa mga indibidwal, at VND 500 milyon kumpara sa VND 100 milyon para sa mga institusyon.

Tinutukoy sa listahan ng mga circular ng Vietnam Banks Association na saklaw ng hakbang ang kaligtasan, pamamahala sa panganib at mga kondisyon sa paggamit ng AI sa pagbabangko. Pangunahing prinsipyo nito na hindi inaalis ng automation ang awtoridad o pananagutan ng tao. Nananatiling responsable ang mga bangko at iba pang regulated provider sa mga desisyong ginagawa o sinusuportahan ng AI, kabilang ang mga sistemang binili sa mga panlabas na vendor.

Anong mga sistema at institusyon ang saklaw?

Bago gamitin ang mga AI system, kailangang uriin ng mga provider ang mga ito bilang high, medium o low risk. Dapat iayon sa posibleng epekto ng sistema sa mga customer at operasyon ng pagbabangko ang antas ng pangangasiwa at saklaw ng pakikialam ng tao. Kinakailangan sa mga high risk system ang mga impact assessment, na sumusuri sa posibleng mga bunga ng paggamit sa mga ito bago magsimula ang operasyon.

May monetary threshold din para sa mga automated credit system: napapabilang sa high risk category ang kaugnay na sistema kapag VND 50 milyon o higit pa ang kredito. Di-gaya ng mga threshold sa pagbabayad, na para sa mga halagang lampas sa itinakdang halaga, kasama mismo sa credit threshold ang eksaktong VND 50 milyon.

Magkakaiba ang paglalarawan ng mga ulat sa saklaw ng credit function. Inilalarawan ng ilan ang AI na awtomatikong nagpapasya kung magbibigay ng kredito, samantalang inilalarawan naman ng iba ang AI na awtomatikong nagmumungkahi ng desisyon tungkol sa kredito. Mahalaga ang pagkakaibang ito para sa mga bangkong nagbibigay ng rekomendasyon ang software ngunit nananatili sa tao ang awtoridad na mag-apruba. Kailangang suriin ng mga institusyon ang inilabas na teksto kapag inuuri ang mga sistemang ito.

Hindi lang mga komersyal na bangko ang saklaw ng circular. Saklaw nito ang mga institusyon ng kredito, sangay ng mga dayuhang bangko, provider ng mga serbisyong tagapamagitan sa pagbabayad, provider ng mobile money at mga kompanya ng impormasyon sa kredito. Saklaw din ang Vietnam Asset Management Company, National Money Printing Plant at Vietnam Deposit Insurance. Kabilang sa saklaw nito ang pagbabangko, mga serbisyong tagapamagitan sa pagbabayad, impormasyon sa kredito at operasyon ng mobile money.

Kailangang pumayag ang mga customer bago makapagsagawa ng mga pagbabayad ang AI

Hindi maaaring ituring ng bangko na pahintulot na gamitin para sa customer ang AI payment function dahil lamang available ito. Kinakailangan ang naunang kasunduan ng provider at customer para sa awtomatikong pagsasagawa ng pagbabayad; dapat nitong tukuyin kung ano ang awtorisadong gawin ng sistema.

Dapat tukuyin sa kasunduan ang saklaw ng mga pinapahintulutang transaksyon, mga limitasyon sa bawat bayad at sa kabuuan kada araw, panahon ng bisa nito, mga naaangkop na kondisyon at karapatan ng customer na wakasan ito. Inilalarawan din sa mga ulat ang mga kinakailangang itakda ang mga kondisyon ng pagsususpinde at ang pananagutan ng provider kapag may natanggap na kahilingan sa pagwawakas.

Dapat magkaroon ang mga customer ng mga paraan para ihinto o kanselahin ang awtorisasyong ibinigay sa AI. Kaya pinag-iiba ng mga patakaran ang teknikal na kakayahan ng isang institusyon na i-automate ang mga pagbabayad at ang patuloy na pahintulot ng customer sa automation na iyon. Inilalarawan sa mga ulat ang karapatang wakasan ito anumang oras at ang obligasyong agad kumilos kapag hiniling iyon.

Hindi inaalis ng pahintulot ng customer o panloob na limitasyon sa pagbabayad ang itinakdang ceiling ng regulasyon. Maaaring mag-awtorisa ang customer ng tinukoy na hanay ng mga transaksyon, ngunit dapat pa ring sumunod ang mga pagbabayad sa limitasyon ng provider at sa pang-araw-araw na cap na VND 100 milyon o VND 500 milyon, ayon sa naaangkop.

Dapat may kapangyarihan ang mga superbisor na tao na ihinto ang sistema

Dapat patuloy na subaybayan ang high risk AI. Kailangang may awtoridad at praktikal na kakayahan ang mga superbisor na manaig sa mga desisyon nito, baguhin ang mga ito o ihinto ang sistema. Dapat ding panatilihin ng mga provider ang mekanismong pang-emergency para ihinto o ihiwalay ang isang AI system kung kinakailangan.

Dapat may rekord ang pakikialam ng tao. Kailangang itala sa mga log kung ano ang binago, kailan naganap ang pakikialam, sino ang nagsagawa nito at bakit. Sa ganitong paraan, maaaring buuin muli ang isang desisyon at ang tugon dito, sa halip na umasa lamang sa pangkalahatang katiyakang may taong nangangasiwa.

Kapag may malubhang insidente, kailangang simulan ng mga bangko at provider ng electronic wallet ang emergency shutdown, lumipat sa mga manu-manong operasyon kung kinakailangan at gumawa ng mga hakbang para maitama ang sitwasyon at malimitahan ang pinsala. Naiiba ang manu-manong alternatibo sa karaniwang pagsusuri: nagbibigay-daan ito sa institusyon na ipagpatuloy ang kinakailangang gawain nang hindi umaasa sa apektadong AI.

Hindi maaaring gamitin ng mga provider ang pagiging autonomous, teknikal na katangian o pinagmulan ng sistema bilang produkto ng third party upang iwasan o bawasan ang kanilang pananagutang pangasiwaan at legal. Itinuturing ng circular ang kontrol ng tao bilang kinakailangan sa operasyon, hindi lamang pahayag na may nananatiling mananagot.

Nagkakaroon ang mga customer ng karapatan sa pagsisiwalat, paliwanag at pagsusuri ng tao

Kapag pinalitan ng AI ang isang tao sa direktang pakikipag-ugnayan, kailangang ipaalam sa mga customer sa simula ng session o pag-uusap na nakikipag-ugnayan sila sa isang AI system. Dapat ding magpanatili ang mga provider ng departamento at mga pamamaraan para tumanggap at humawak ng mga reklamo tungkol sa paggamit ng AI.

Kung tututulan ng customer ang isang awtomatikong desisyon, kailangang suriin ito ng isang tao. Ang resulta ng pagsusuring iyon ang magiging pinal na batayan sa paglutas ng reklamo. Hindi dapat ipagkamali ang kinakailangang ito sa pahayag na hindi na magagamit ang iba pang legal na remedyo; tinutukoy nito ang proseso ng provider sa paglutas ng reklamo.

Para sa mga awtomatikong desisyong tuwirang nakaaapekto sa legal na pananagutan, obligasyong pinansyal o pag-access sa mga produkto at serbisyo, kailangang panatilihin ng mga provider ang batayan at mahahalagang salik na pinaghugutan ng resulta. Dapat makapagbigay ng paliwanag ang mga rekord na iyon kapag humiling ang customer.

Hindi nangangahulugan ang pagbibigay ng paliwanag na kailangang isiwalat ang source code, detalyadong algorithm, mga parameter ng modelo o mga lihim sa negosyo at teknolohiya. Para sa mga desisyong may kinalaman sa pandaraya, scam, money laundering, pagpopondo sa terorismo o cybersecurity, maaaring magbigay ang provider ng mga dahilang naaayon sa mga kontrol sa panganib at pangangalaga sa mga ari-arian ng customer. Kailangang ipaliwanag ang kaugnay na batayan nang hindi inilalantad ang impormasyong maaaring magpahina sa mga pananggalang na iyon.

Nagiging kondisyon sa paggamit ang kalidad at seguridad ng datos

Tinutugunan ng circular ang mga panganib na maaaring lumitaw bago pa makita ng customer ang output ng AI. Dapat malinaw at naaayon sa batas ang pinagmulan ng datos na ginagamit sa pagsasanay, pagsusuri at operasyon. Kailangang kontrolin ng mga institusyon ang kalidad nito, tuklasin ang mga pagkakamali at kamalian, tukuyin ang manipulasyon o paglalason sa datos, at subaybayan ang mga pagbabago habang ginagamit ito.

Ang data poisoning ay sadyang paghahalo ng mapaminsalang impormasyon sa datos na ginagamit ng AI system upang maging hindi mapagkakatiwalaan ang mga resulta nito o mapakinabangan ang mga ito ng umaatake. Maaari ring makasira sa mga desisyon ang mas karaniwang mga problema, gaya ng mga rekord na mali o lipas na. Kinakailangan sa mga patakaran na tutukan kapwa ang sinasadyang panghihimasok at kalidad ng datos.

Dapat sumailalim ang mga AI system sa mga pagsusuri sa cybersecurity bago gamitin, pana-panahon pagkatapos nito at kapag malaki ang pagbabagong ginawa. Kailangan ding sumunod ang mga provider sa mga kinakailangan sa kaligtasan ng datos, pamamahala sa pagbabago, paghawak ng insidente at pagtatala ng mga log. Kabilang sa balangkas ng pamamahala ang mga panganib sa modelo, etika, outsourcing at supply chain.

Bago gamitin ang sistema, kailangang ihanda ng institusyon ang kinakailangang dokumentasyon, tasahin kung natugunan ang mga kondisyon sa operasyon at kumuha ng pag-apruba mula sa naaangkop na awtoridad. Kaya higit pa sa pagpapasya kung kapaki-pakinabang ang output nito ang kailangan sa pagpapakilala ng bagong modelo o pagbabago sa dati nang modelo.

Hindi naililipat sa iba ang pananagutan sa pamamagitan ng outsourcing

Hindi maaaring gamitin ng mga panlabas na AI vendor ang datos ng isang institusyon para sanayin, i-fine-tune o pahusayin ang mga modelo nang walang nakasulat na pahintulot. Hiwalay ito sa pahintulot na magproseso ng datos para sa kinontratang serbisyo: hindi awtomatikong pinahihintulutan ng pag-access sa impormasyon ang muling paggamit nito para sa pagbuo ng modelo.

Nananatiling responsable ang institusyong gumagamit ng outsourced system para sa kaligtasan ng operasyon, mga karapatan ng customer, cybersecurity, proteksyon ng personal na datos at pamamahala sa panganib. Kung mapinsala ng sistemang iyon ang mga customer o iba pang apektadong partido, kailangang agad gumawa ng hakbang ang institusyon upang itama ang sitwasyon, protektahan ang mga customer, humawak ng mga reklamo at magbayad ng danyos alinsunod sa mga naaangkop na patakaran.

Iniuugnay ng mga tungkuling ito ang pamamahala sa vendor sa mga proteksyon para sa customer na nakasaad sa iba pang bahagi ng circular. Kailangan pa rin ng bangko ng paraan upang ipaliwanag ang mahahalagang desisyon, suriin ang mga tinutulang resulta at makialam sa mga operasyon kahit mula sa ibang kumpanya ang batayang teknolohiya. Hindi inaalis ng pagkuha ng supplier ang mga obligasyong iyon.

Ipinakikita ng mga naunang panukala ang pagbuo ng balangkas

Kasunod ang pinal na circular ng isang draft na balangkas na inilarawan noong unang bahagi ng 2026. Inilahad sa pagsusuri ng Baker McKenzie sa draft noong Abril, na may petsang Abril 23, ang mga kontrol sa disenyo, pagsusuri, pagsubaybay, pag-update at ligtas na pagtatapos ng paggamit ng mga AI system. Inilarawan din nito ang pagtukoy sa model drift, kung saan nagbabago ang gawi o katumpakan ng isang sistema kasabay ng pagbabago ng datos na nakakaharap nito.

Inilarawan sa pagsusuring iyon ang mga iminungkahing hakbang laban sa pagkiling ng algorithm batay sa kasarian, etnisidad, relihiyon, kapansanan, edad at di-pagkakapantay-pantay sa katayuang sosyoekonomiko. Tinukoy rin nito bilang mga elemento ng draft ang taunang pagsusuri sa kakayahan at mga independiyenteng audit sa outsourced AI. Mga detalye ito ng draft at hindi dapat awtomatikong ituring na kumpirmadong probisyon ng inilabas na circular.

Inilarawan din sa update tungkol sa draft circular ng Australian Chamber of Commerce in Vietnam ang mga iminungkahing pagbabawal sa diskriminasyon at pagsasamantala sa mga bulnerableng grupo. Binigyang-diin nito ang mga benchmark sa performance at katumpakan, pagsasanay sa kawani, mga plano sa pagtugon sa insidente at taunang pagsusuri sa pamamahala. Ayon sa kapisanan, nagkabisa ang AI Law ng Vietnam noong Marso 2026; ipinapatupad ng circular sa pagbabangko ang mga probisyon ng batas na iyon.

Sa parehong paglalarawan ng mga institusyon sa draft, nakasaad na dapat iulat sa State Bank ang malulubhang insidente sa AI sa loob ng 24 oras mula nang matuklasan ang mga ito at magsumite ng ulat ng pagkumpleto sa loob ng limang araw ng trabaho matapos malutas ang mga ito. Lumitaw ang mga deadline na iyon sa mga paglalarawan ng draft, ngunit hindi kumpirmado sa mga ulat tungkol sa inilabas na circular. Dapat beripikahin ng mga institusyon ang pinal na mga probisyon sa pag-uulat sa halip na isama sa mga plano sa pagsunod ang mga deadline ng draft nang hindi muna sinusuri ang mga ito.

Kalendaryo ng pagpapatupad at mga tanong na hindi pa nasasagot

Magkakabisa ang circular sa Nobyembre 15, 2026, habang hanggang Marso 1, 2027 ang mga AI system na ginagamit na bago ang petsang iyon upang kumpletuhin ang pagsunod sa mga kinakailangan sa kaligtasan, pamamahala sa panganib at paggamit. May ilang probisyon tungkol sa balangkas ng pamamahala sa panganib, mga pagsusuri sa cybersecurity at mga tauhan na susunod sa unti-unting iskedyul, bagaman hindi tinukoy sa mga ulat tungkol sa pinal na hakbang ang mga detalyadong milestone.

• Marso 2026: Nagkabisa ang AI Law ng Vietnam, ayon sa Australian Chamber of Commerce in Vietnam.
• Abril 23, 2026: Inilathala ng Baker McKenzie ang pagsusuri nito sa panukalang circular tungkol sa AI sa pagbabangko.
• Setyembre 30, 2026: Inilabas ng Gobernador ng State Bank ang Circular No. 53/2026/TT-NHNN.
• Nobyembre 15, 2026: Magkakabisa ang circular.
• Marso 1, 2027: Kailangang makumpleto ng mga AI system na ginagamit bago ang petsa ng pagkakabisa ang kinakailangang pagsunod.

Dumating ang mga patakaran habang pinalalawak ng mga bangko ang paggamit ng AI sa credit scoring, pagtatasa ng pautang, pagtukoy sa pandaraya sa pagbabayad, awtomatikong pagpapayo at elektronikong beripikasyon ng pagkakakilanlan. Sinabi ng isang hindi pinangalanang ehekutibo sa isang bangko ng estado na may mga taong kasali pa rin sa mga pagbabayad sa karamihan ng mga bangko, at pinananatili ng sariling bangko ng ehekutibo ang pagsusuri ng tao sa mga pag-apruba ng pautang. Ipinahihiwatig ng pahayag na iyon na magkaiba pa rin ang yugto ng paggamit ng AI bilang tulong at ang ganap na awtomatikong pagsasagawa ng mga transaksyon.

Inaatasan din ng mga umiiral na patakaran ang biometric authentication ng may-ari ng account para sa mga online transaction na lampas VND 10 milyon kada transaksyon. Katumbas ang halagang ito ng threshold sa pagbabayad para maiuri bilang high risk ang AI para sa mga indibidwal, ngunit magkaiba ang layunin ng mga kinakailangan: beripikasyon ng may-ari ng account ang isa, samantalang pinamamahalaan naman ng isa ang panganib ng automated system. Hindi ipinaliliwanag sa mga ulat kung paano tutugon sa mga kinakailangan sa biometric sa lahat ng sitwasyon ang mga kaayusan para sa awtomatikong pagbabayad.

Mga Dapat Malaman

• Magkakabisa ang Circular No. 53/2026/TT-NHNN sa Nobyembre 15, 2026.
• Nagdudulot ng high risk classification ang mga awtomatikong pagbabayad ng indibidwal na lampas VND 10 milyon kada transaksyon o VND 20 milyon kada araw.
• Lampas VND 50 milyon kada transaksyon o VND 100 milyon kada araw ang mga threshold para sa mga institusyon.
• Nililimitahan sa VND 100 milyon kada araw ang mga awtomatikong pagbabayad ng indibidwal at sa VND 500 milyon ang sa mga institusyon, alinsunod sa limitasyon ng provider.
• Napapabilang sa high risk category ang mga kaugnay na automated credit system kapag VND 50 milyon o higit pa ang halaga.
• Kailangang pumayag ang mga customer sa mga awtomatikong pagbabayad at dapat nilang mahinto o bawiin ang awtorisasyong iyon.
• Kailangang suriin ng tao ang mga tinutulang awtomatikong desisyon, at dapat panatilihin ng mga provider ang batayan ng mahahalagang desisyon.
• Hindi inaalis ng outsourcing ang pananagutan ng institusyon, at kailangan ng mga vendor ng nakasulat na pahintulot upang muling gamitin ang datos ng institusyon sa pagbuo ng modelo.
• Kailangang makumpleto ng mga umiiral na AI system ang pagsunod pagsapit ng Marso 1, 2027; susunod naman sa unti-unting iskedyul ang ilang kinakailangan.