Trí tuệ nhân tạo

Theo Luật Trí tuệ nhân tạo 2025, dùng AI chấm điểm tín dụng phải bảo đảm những gì?

01/08/2026
2 lượt xem
0 bình luận

Tài chính là một trong ba lĩnh vực được thời hạn chuyển tiếp 18 tháng theo điểm a khoản 1 Điều 35 — dấu hiệu cho thấy đây là nhóm chịu quản lý chặt.

Chấm điểm tín dụng bằng mô hình tự động là ứng dụng lâu đời và phổ biến trong ngành tài chính. Khi Luật Trí tuệ nhân tạo 134/2025/QH15 có hiệu lực, nhóm ứng dụng này chịu một khung nghĩa vụ mới.

Vì sao thuộc nhóm được quản lý chặt

Điểm a khoản 1 Điều 35 Luật 134/2025/QH15 xếp tài chính cùng nhóm với y tế và giáo dục khi quy định thời hạn chuyển tiếp 18 tháng — dài hơn 12 tháng của các lĩnh vực khác.

Việc được thời hạn dài hơn phản ánh hai điều: hệ thống trong lĩnh vực này thường phức tạp và tích hợp sâu, và mức độ quản lý áp dụng cho chúng cao hơn nên cần nhiều thời gian chuẩn bị.

Khoản 2 Điều 6 cũng đặt yêu cầu quản lý rủi ro chặt chẽ hơn với các lĩnh vực thiết yếu có tác động trực tiếp đến tính mạng, sức khỏe, quyền và lợi ích hợp pháp của con người hoặc trật tự, an toàn xã hội. Quyết định cấp hay từ chối tín dụng tác động trực tiếp tới quyền và lợi ích hợp pháp của khách hàng.

Phân loại rủi ro

Điểm a khoản 1 Điều 9 định nghĩa hệ thống rủi ro cao là hệ thống có thể gây thiệt hại đáng kể đến tính mạng, sức khỏe, quyền và lợi ích hợp pháp của tổ chức, cá nhân, lợi ích quốc gia, lợi ích công cộng, an ninh quốc gia.

Bốn tiêu chí tại khoản 2 Điều 9 — mức độ tác động đến quyền con người, an toàn, an ninh; lĩnh vực sử dụng, đặc biệt là lĩnh vực thiết yếu hoặc liên quan trực tiếp đến lợi ích công cộng; phạm vi người sử dụng; quy mô ảnh hưởng — đều hướng về mức cao với hệ thống chấm điểm tín dụng quy mô lớn.

Việc xác định cuối cùng cần đối chiếu tiêu chí do Chính phủ quy định theo khoản 3 Điều 9 và Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao do Thủ tướng Chính phủ ban hành theo khoản 4 Điều 13. Khoản 4 Điều 10 cho phép đề nghị Bộ Khoa học và Công nghệ hướng dẫn phân loại khi chưa rõ.

Người bị ảnh hưởng là khách hàng vay

Khoản 7 Điều 3 định nghĩa người bị ảnh hưởng là tổ chức, cá nhân bị tác động trực tiếp hoặc gián tiếp đến quyền, lợi ích hợp pháp, tính mạng, sức khỏe, tài sản, uy tín hoặc cơ hội tiếp cận dịch vụ do việc triển khai hoặc kết quả đầu ra của hệ thống.

Khách hàng bị từ chối cấp tín dụng — hoặc được cấp với điều kiện bất lợi hơn — thuộc nhóm này. Cụm "cơ hội tiếp cận dịch vụ" áp dụng chính xác vào tình huống này.

Nghĩa vụ giải trình với khách hàng

Điểm đ khoản 2 Điều 14 Luật 134/2025/QH15 quy định bên triển khai hệ thống rủi ro cao có trách nhiệm thực hiện trách nhiệm giải trình đối với cơ quan nhà nước có thẩm quyền về việc vận hành hệ thống, biện pháp kiểm soát rủi ro, xử lý sự cố và các nội dung cần thiết phục vụ công tác thanh tra, kiểm tra; cung cấp cho người sử dụng và người bị ảnh hưởng các thông tin công khai ở mức mô tả chức năng, cách thức vận hành và cảnh báo rủi ro nhằm bảo đảm an toàn trong sử dụng.

Vế thứ hai là nghĩa vụ với chính khách hàng: cung cấp thông tin ở mức mô tả chức năng, cách thức vận hành và cảnh báo rủi ro.

Mức độ này cần đọc đúng — nó không đòi hỏi tiết lộ mô hình. Điểm e khoản 1 Điều 14 khẳng định: việc giải trình và cung cấp thông tin không được yêu cầu tiết lộ mã nguồn, thuật toán chi tiết, bộ tham số hoặc thông tin thuộc bí mật kinh doanh, bí mật công nghệ.

Trong thực tế, mức giải trình hợp lý gồm: cho biết có sử dụng công cụ tự động trong quá trình đánh giá; nêu các nhóm yếu tố chính được xem xét; và hướng dẫn khách hàng cách khiếu nại hoặc yêu cầu xem xét lại.

Con người vẫn quyết định

Khoản 2 Điều 4 nêu nguyên tắc: trí tuệ nhân tạo phục vụ con người, không thay thế thẩm quyền và trách nhiệm của con người; bảo đảm duy trì sự kiểm soát và khả năng can thiệp của con người đối với mọi quyết định và hành vi của hệ thống trí tuệ nhân tạo.

Điểm b khoản 2 Điều 14 yêu cầu bên triển khai bảo đảm an toàn, bảo mật dữ liệu và khả năng can thiệp của con người trong quá trình sử dụng.

Áp dụng vào quy trình tín dụng:

Có ngưỡng chuyển sang xem xét thủ công — các hồ sơ ở ranh giới không nên bị quyết định hoàn toàn tự động;
Người có thẩm quyền xem được cơ sở của điểm số, không chỉ nhận con số cuối;
Có cơ chế xem xét lại khi khách hàng khiếu nại;
Ghi nhận các trường hợp quyết định khác với gợi ý của hệ thống.

Rủi ro phân biệt đối xử

Khoản 3 Điều 4 nêu nguyên tắc bảo đảm công bằng, minh bạch, không thiên lệch, không phân biệt đối xử và không gây hại cho con người hoặc xã hội.

Trong chấm điểm tín dụng, rủi ro thiên lệch phát sinh chủ yếu từ hai nguồn:

Dữ liệu lịch sử phản ánh thiên lệch quá khứ — nếu trước đây một nhóm khách hàng ít được cấp tín dụng, mô hình học từ dữ liệu đó sẽ tiếp tục đánh giá thấp nhóm này;
Biến thay thế — một số thông tin tưởng trung tính nhưng gián tiếp phản ánh đặc điểm cá nhân, chẳng hạn địa chỉ cư trú, loại điện thoại đang dùng, hoặc mẫu hình chi tiêu.

Biện pháp kiểm soát:

Kiểm tra tỷ lệ chấp thuận theo nhóm định kỳ để phát hiện chênh lệch bất thường;
Rà soát danh sách biến đầu vào và loại bỏ hoặc đánh giá kỹ các biến thay thế;
Đối chiếu kết quả của mô hình với quyết định của chuyên viên trên cùng tập hồ sơ;
Ghi hồ sơ các lần điều chỉnh mô hình và lý do.

Đánh giá sự phù hợp và thay đổi đáng kể

Khoản 1 Điều 13 quy định hệ thống rủi ro cao phải được đánh giá sự phù hợp trước khi đưa vào sử dụng hoặc khi có thay đổi đáng kể trong quá trình sử dụng.

Với mô hình chấm điểm tín dụng, việc huấn luyện lại định kỳ là hoạt động bình thường. Cần xác định ngưỡng nào là "thay đổi đáng kể" để kích hoạt nghĩa vụ đánh giá lại — đây là nội dung nên làm rõ trong quy trình nội bộ và theo dõi hướng dẫn của cơ quan quản lý.

Khoản 3 Điều 13 cũng yêu cầu tổ chức có hệ thống đã được đánh giá duy trì sự phù hợp và công khai thông tin theo quy định của Chính phủ.

Trách nhiệm bồi thường

Khoản 2 Điều 29 quy định: trường hợp hệ thống trí tuệ nhân tạo có rủi ro cao được quản lý, vận hành và sử dụng đúng quy định nhưng vẫn phát sinh thiệt hại thì bên triển khai phải chịu trách nhiệm bồi thường cho người bị thiệt hại; sau khi bồi thường, bên triển khai yêu cầu nhà cung cấp, nhà phát triển hoặc các bên liên quan hoàn trả nếu có thỏa thuận giữa các bên.

Khoản 4 Điều 29 bổ sung: nếu hệ thống bị bên thứ ba xâm nhập, chiếm quyền điều khiển hoặc can thiệp trái pháp luật thì bên thứ ba chịu trách nhiệm; nhưng nếu bên triển khai, nhà cung cấp có lỗi trong việc để hệ thống bị xâm nhập thì phải liên đới bồi thường.

Với tổ chức tài chính, khoản 4 là lý do trực tiếp để đầu tư bảo mật cho hệ thống chấm điểm — không chỉ để bảo vệ dữ liệu mà để giới hạn trách nhiệm dân sự.

Danh mục việc cần làm

Kiểm kê các mô hình đang dùng trong quy trình tín dụng và ngày đưa vào hoạt động;
Phân loại rủi ro và lập hồ sơ phân loại theo khoản 1 Điều 10;
Chuẩn bị cho đánh giá sự phù hợp theo Điều 13;
Xác định ngưỡng "thay đổi đáng kể" trong quy trình huấn luyện lại;
Thiết lập ngưỡng chuyển sang xem xét thủ công và cơ chế xem xét lại khi khiếu nại;
Soạn nội dung giải trình cho khách hàng ở mức mô tả chức năng;
Kiểm tra định kỳ chênh lệch tỷ lệ chấp thuận theo nhóm;
Rà soát biến đầu vào để loại bỏ biến thay thế có rủi ro phân biệt đối xử;
Ghi nhật ký hoạt động và các quyết định khác với gợi ý của hệ thống;
Đàm phán điều khoản hoàn trả với nhà cung cấp mô hình;
Hoàn tất tuân thủ trước 01/9/2027 với hệ thống đã triển khai trước 01/3/2026.