Trí tuệ nhân tạo

Theo Luật Trí tuệ nhân tạo 2025, doanh nghiệp bảo hiểm dùng AI thẩm định hồ sơ cần bảo đảm gì?

01/08/2026
2 lượt xem
0 bình luận

Bảo hiểm nằm trong lĩnh vực tài chính — nhóm được thời hạn chuyển tiếp 18 tháng và chịu quản lý rủi ro chặt hơn. Điểm nhạy cảm nhất là quyết định từ chối bồi thường.

Ngành bảo hiểm ứng dụng mô hình tự động ở nhiều khâu: định phí, thẩm định hồ sơ tham gia, phát hiện gian lận, và xử lý yêu cầu bồi thường. Mỗi khâu có mức độ nhạy cảm khác nhau.

Thuộc nhóm lĩnh vực được quản lý chặt

Điểm a khoản 1 Điều 35 Luật Trí tuệ nhân tạo 134/2025/QH15 xếp tài chính cùng nhóm với y tế và giáo dục khi quy định thời hạn chuyển tiếp 18 tháng cho hệ thống đã đưa vào hoạt động trước ngày Luật có hiệu lực.

Khoản 2 Điều 6 cũng đặt yêu cầu quản lý rủi ro chặt chẽ hơn với các lĩnh vực thiết yếu có tác động trực tiếp đến tính mạng, sức khỏe, quyền và lợi ích hợp pháp của con người hoặc trật tự, an toàn xã hội.

Khoản 4 Điều 6 giao Chính phủ, Bộ, cơ quan ngang Bộ trong phạm vi chức năng, nhiệm vụ và quyền hạn của mình quy định chi tiết yêu cầu về an toàn, quản lý rủi ro và điều kiện triển khai đối với việc ứng dụng trí tuệ nhân tạo trong ngành, lĩnh vực quản lý — nên bên cạnh Luật 134/2025/QH15, doanh nghiệp bảo hiểm cần theo dõi quy định của cơ quan quản lý ngành.

Phân tầng theo mức nhạy cảm của từng khâu

Không phải mọi ứng dụng trong ngành bảo hiểm có cùng mức rủi ro. Có thể phân theo tác động tới quyền lợi khách hàng:

Mức thấp — công cụ hỗ trợ nội bộ không ảnh hưởng trực tiếp tới quyết định: phân loại hồ sơ theo chủ đề, trích xuất thông tin từ tài liệu, dự báo khối lượng công việc;
Mức trung bình — công cụ tương tác với khách hàng: hộp thoại tư vấn, tổng đài tự động. Theo điểm b khoản 1 Điều 9, hệ thống có khả năng gây nhầm lẫn do người dùng không nhận biết đang tương tác với máy thuộc nhóm rủi ro trung bình;
Mức cao — công cụ tham gia vào quyết định ảnh hưởng quyền lợi: thẩm định hồ sơ tham gia, xác định mức phí, đánh dấu hồ sơ nghi ngờ gian lận, quyết định bồi thường.

Nhóm thứ ba cần đối chiếu với điểm a khoản 1 Điều 9 — hệ thống có thể gây thiệt hại đáng kể đến tính mạng, sức khỏe, quyền và lợi ích hợp pháp của tổ chức, cá nhân.

Khâu nhạy cảm nhất — quyết định bồi thường

Từ chối bồi thường là quyết định có tác động tài chính trực tiếp và thường xảy ra vào lúc khách hàng đang gặp khó khăn. Đây là khâu cần thận trọng nhất.

Khoản 2 Điều 4 Luật 134/2025/QH15 nêu nguyên tắc: trí tuệ nhân tạo phục vụ con người, không thay thế thẩm quyền và trách nhiệm của con người; bảo đảm duy trì sự kiểm soát và khả năng can thiệp của con người đối với mọi quyết định và hành vi của hệ thống.

Điểm b khoản 2 Điều 14 yêu cầu bên triển khai hệ thống rủi ro cao bảo đảm an toàn, bảo mật dữ liệu và khả năng can thiệp của con người trong quá trình sử dụng.

Áp dụng thực tế:

Không để hệ thống tự động từ chối bồi thường mà không có người xem xét;
Hệ thống đánh dấu hồ sơ nghi ngờ, con người quyết định — không đảo ngược thứ tự;
Người quyết định phải xem được cơ sở của gợi ý, không chỉ nhận kết quả;
Ghi nhận các trường hợp quyết định khác với gợi ý — dữ liệu để phát hiện sai lệch hệ thống.

Nghĩa vụ giải trình với khách hàng

Điểm đ khoản 2 Điều 14 quy định bên triển khai hệ thống rủi ro cao cung cấp cho người sử dụng và người bị ảnh hưởng các thông tin công khai ở mức mô tả chức năng, cách thức vận hành và cảnh báo rủi ro nhằm bảo đảm an toàn trong sử dụng.

Theo khoản 7 Điều 3, người bị ảnh hưởng là tổ chức, cá nhân bị tác động trực tiếp hoặc gián tiếp đến quyền, lợi ích hợp pháp, tài sản, uy tín hoặc cơ hội tiếp cận dịch vụ — tức khách hàng bảo hiểm.

Giới hạn của nghĩa vụ này được nêu tại điểm e khoản 1 Điều 14: việc giải trình và cung cấp thông tin không được yêu cầu tiết lộ mã nguồn, thuật toán chi tiết, bộ tham số hoặc thông tin thuộc bí mật kinh doanh, bí mật công nghệ.

Mức giải trình hợp lý: cho khách hàng biết có sử dụng công cụ tự động trong quá trình xử lý; nêu các nhóm yếu tố chính được xem xét; và hướng dẫn cách yêu cầu xem xét lại.

Dữ liệu sức khỏe trong bảo hiểm

Bảo hiểm sức khỏe và nhân thọ xử lý dữ liệu sức khỏe — thuộc nhóm dữ liệu cá nhân nhạy cảm.

Khoản 3 Điều 7 Luật 134/2025/QH15 nghiêm cấm thu thập, xử lý hoặc sử dụng dữ liệu để phát triển, huấn luyện, kiểm thử hoặc vận hành hệ thống trí tuệ nhân tạo trái với quy định của pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ và an ninh mạng.

Hai câu hỏi cần trả lời:

Hồ sơ khách hàng có được dùng để huấn luyện mô hình không? Nếu có, cần căn cứ hợp pháp riêng, không phải căn cứ đã có cho việc cung cấp dịch vụ bảo hiểm;
Dữ liệu có được chuyển ra ngoài không? Nhiều công cụ xử lý trên máy chủ của nhà cung cấp.

Điểm c khoản 2 Điều 26 Luật An ninh mạng 116/2025/QH15 nêu sử dụng mật mã cơ yếu, mật mã dân sự là một nội dung bảo đảm an ninh dữ liệu; điểm d nêu triển khai cơ chế kiểm soát chặt chẽ nhân sự trực tiếp tham gia xử lý dữ liệu.

Rủi ro phân biệt đối xử

Khoản 3 Điều 4 Luật 134/2025/QH15 nêu nguyên tắc bảo đảm công bằng, minh bạch, không thiên lệch, không phân biệt đối xử và không gây hại cho con người hoặc xã hội.

Trong bảo hiểm, ranh giới giữa đánh giá rủi ro hợp pháp và phân biệt đối xử cần được xử lý cẩn thận. Việc phân loại rủi ro theo các yếu tố có liên quan thực chất tới xác suất tổn thất là bản chất của nghiệp vụ bảo hiểm. Nhưng khi mô hình học từ dữ liệu lịch sử, nó có thể phát hiện các mối tương quan phản ánh bất bình đẳng xã hội hơn là rủi ro thực.

Biện pháp kiểm soát:

Rà soát danh sách biến đầu vào — với mỗi biến, trả lời được câu hỏi vì sao nó liên quan tới rủi ro;
Chú ý biến thay thế — địa chỉ cư trú, loại thiết bị dùng để đăng ký, mẫu hình chi tiêu có thể gián tiếp phản ánh đặc điểm cá nhân;
Kiểm tra chênh lệch tỷ lệ chấp thuận và tỷ lệ phí theo nhóm định kỳ;
Ghi hồ sơ lý do sử dụng từng biến — phục vụ giải trình về sau.

Trách nhiệm khi hệ thống sai

Khoản 2 Điều 29 quy định: với hệ thống rủi ro cao được quản lý, vận hành và sử dụng đúng quy định nhưng vẫn phát sinh thiệt hại thì bên triển khai phải chịu trách nhiệm bồi thường cho người bị thiệt hại; sau khi bồi thường mới yêu cầu nhà cung cấp hoàn trả nếu có thỏa thuận giữa các bên.

Khoản 3 Điều 29 nêu hai trường hợp miễn trừ: thiệt hại xảy ra hoàn toàn do lỗi cố ý của người bị thiệt hại, hoặc thiệt hại xảy ra trong trường hợp bất khả kháng hoặc tình thế cấp thiết.

Danh sách miễn trừ ngắn, và việc hệ thống hoạt động đúng thiết kế không nằm trong đó.

Xử lý sự cố

Khoản 8 Điều 3 định nghĩa sự cố nghiêm trọng là sự kiện gây ra hoặc có nguy cơ gây ra thiệt hại đáng kể đến tính mạng, sức khỏe, quyền con người, tài sản, an ninh mạng, trật tự công cộng, môi trường.

Với bảo hiểm, một lỗi hệ thống dẫn tới từ chối sai hàng loạt hồ sơ bồi thường có thể đạt ngưỡng này. Điểm b khoản 2 Điều 12 quy định bên triển khai có nghĩa vụ ghi nhận, thông báo kịp thời sự cố và phối hợp trong quá trình khắc phục; khoản 4 Điều 12 quy định báo cáo qua cổng thông tin điện tử một cửa về trí tuệ nhân tạo.

Danh mục việc cần làm

Kiểm kê các mô hình đang dùng theo từng khâu nghiệp vụ và ngày đưa vào hoạt động;
Phân loại rủi ro riêng cho từng khâu — không gộp chung toàn hệ thống;
Bảo đảm quyết định từ chối bồi thường luôn có người xem xét;
Thiết lập quy trình khiếu nại và xem xét lại;
Soạn nội dung giải trình cho khách hàng ở mức mô tả chức năng;
Rà soát biến đầu vào và kiểm tra chênh lệch theo nhóm;
Rà soát căn cứ pháp lý cho việc dùng hồ sơ khách hàng huấn luyện mô hình;
Mã hóa dữ liệu sức khỏe và kiểm soát truy cập;
Chuẩn bị hồ sơ đánh giá sự phù hợp với hệ thống rủi ro cao;
Đàm phán điều khoản hoàn trả với nhà cung cấp mô hình;
Hoàn tất tuân thủ trước 01/9/2027 với hệ thống triển khai trước 01/3/2026.