Vietnam Tetapkan Ambang Risiko AI Perbankan, Batas Pembayaran, dan Perlindungan Nasabah

Ambang pembayaran membuat perbankan otomatis berada di bawah pengawasan lebih ketat

Vietnam akan mengklasifikasikan sistem AI yang melakukan pembayaran secara otomatis sebagai berisiko tinggi ketika transaksi nasabah perorangan melebihi VND 10 juta per pembayaran atau VND 20 juta dalam sehari. Bagi nasabah institusi, ambang yang sama adalah di atas VND 50 juta per transaksi atau VND 100 juta per hari. Aturan ini berlaku mulai 15 November 2026 berdasarkan Circular No. 53/2026/TT-NHNN, yang diterbitkan Gubernur State Bank of Vietnam pada 30 September.

Ambang tersebut memicu pengawasan yang lebih ketat, bukan larangan atas pembayaran otomatis. Ketentuan terpisah membatasi total nilai transaksi otomatis AI per hari sebesar VND 100 juta untuk nasabah perorangan dan VND 500 juta untuk nasabah institusi. Batas internal penyedia juga berlaku dan dapat lebih rendah.

Perbedaan ini penting: sistem AI dapat masuk kategori berisiko tinggi jauh sebelum mencapai volume pembayaran maksimum yang diizinkan. Kedua batas harian tersebut lima kali lipat dari ambang risiko harian terkait, yakni VND 100 juta dibandingkan VND 20 juta untuk perorangan dan VND 500 juta dibandingkan VND 100 juta untuk institusi.

Daftar circular Vietnam Banks Association menyebut aturan ini mencakup keselamatan, manajemen risiko, dan ketentuan penerapan AI di perbankan. Prinsip utamanya adalah bahwa otomatisasi tidak menghapus kewenangan atau tanggung jawab manusia. Bank dan penyedia lain yang diatur tetap bertanggung jawab atas keputusan yang dibuat atau didukung AI, termasuk sistem yang dibeli dari vendor eksternal.

Sistem dan institusi apa saja yang tercakup?

Sebelum diterapkan, penyedia harus mengklasifikasikan sistem AI sebagai berisiko tinggi, sedang, atau rendah. Tingkat pengawasan dan ruang lingkup intervensi manusia harus sesuai dengan potensi dampak sistem terhadap nasabah dan operasional perbankan. Sistem berisiko tinggi memerlukan penilaian dampak yang mengkaji kemungkinan konsekuensi penggunaannya sebelum sistem mulai beroperasi.

Sistem kredit otomatis juga memiliki ambang nilai: kredit sebesar VND 50 juta atau lebih membuat sistem terkait masuk kategori berisiko tinggi. Berbeda dengan ambang pembayaran, yang berlaku untuk nilai di atas jumlah yang ditetapkan, ambang kredit mencakup nilai tepat VND 50 juta.

Laporan berbeda dalam menjelaskan fungsi kredit yang tercakup. Sebagian menyebut AI yang secara otomatis memutuskan apakah kredit akan diberikan, sementara yang lain menyebut AI yang secara otomatis mengusulkan keputusan kredit. Perbedaan ini penting bagi bank yang menggunakan perangkat lunak untuk memberikan rekomendasi, tetapi tetap menyerahkan kewenangan persetujuan kepada seseorang. Institusi perlu memeriksa bunyi aturan yang diterbitkan saat mengklasifikasikan sistem tersebut.

Circular ini tidak hanya berlaku bagi bank komersial. Aturan ini mencakup lembaga kredit, cabang bank asing, penyedia layanan perantara pembayaran, penyedia uang seluler, dan perusahaan informasi kredit. Vietnam Asset Management Company, National Money Printing Plant, dan Vietnam Deposit Insurance juga tercakup. Ruang lingkupnya meliputi perbankan, layanan perantara pembayaran, informasi kredit, dan operasional uang seluler.

Nasabah harus menyetujui penggunaan AI untuk melakukan pembayaran

Bank tidak boleh menganggap tersedianya fungsi pembayaran berbasis AI sebagai izin untuk menggunakannya atas nama nasabah. Pelaksanaan pembayaran otomatis memerlukan kesepakatan sebelumnya antara penyedia dan nasabah yang menetapkan tindakan apa saja yang boleh dilakukan sistem.

Kesepakatan tersebut harus menetapkan cakupan transaksi yang diizinkan, batas untuk pembayaran individual dan total harian, masa berlaku, ketentuan yang berlaku, serta hak nasabah untuk mengakhiri kesepakatan. Laporan juga menyebut persyaratan untuk mencantumkan ketentuan penghentian sementara dan tanggung jawab penyedia ketika menerima permintaan pengakhiran.

Nasabah harus memiliki sarana untuk menghentikan sementara atau mencabut kewenangan yang diberikan kepada AI. Karena itu, aturan membedakan kemampuan teknis institusi untuk mengotomatiskan pembayaran dari persetujuan nasabah yang harus tetap berlaku atas otomatisasi tersebut. Laporan menyebut hak untuk mengakhiri persetujuan kapan saja dan kewajiban penyedia untuk segera menindaklanjuti permintaan itu.

Persetujuan nasabah maupun batas pembayaran internal tidak menghapus batas maksimum yang ditetapkan regulator. Nasabah dapat mengizinkan rentang transaksi tertentu, tetapi pelaksanaannya tetap harus mematuhi batas penyedia dan plafon harian VND 100 juta atau VND 500 juta, sesuai ketentuan yang berlaku.

Pengawas manusia harus berwenang menghentikan sistem

AI berisiko tinggi harus dipantau secara berkelanjutan. Pengawas harus memiliki wewenang sekaligus kemampuan praktis untuk mengesampingkan, menyesuaikan, atau menghentikan sementara keputusan sistem. Penyedia juga harus menyiapkan mekanisme darurat untuk menghentikan atau mengisolasi sistem AI jika diperlukan.

Intervensi manusia harus tercatat. Log harus memuat apa yang diubah, kapan intervensi dilakukan, siapa yang melakukannya, dan alasannya. Dengan demikian, keputusan dan respons terhadapnya dapat direkonstruksi, alih-alih hanya mengandalkan pernyataan umum bahwa seseorang melakukan pengawasan.

Dalam insiden serius, bank dan penyedia dompet elektronik harus mengaktifkan penghentian darurat, beralih ke operasi manual bila diperlukan, dan mengambil langkah korektif untuk membatasi kerugian. Mekanisme manual ini berbeda dari peninjauan rutin: institusi dapat melanjutkan pekerjaan yang diperlukan tanpa mengandalkan AI yang terdampak.

Penyedia tidak dapat menjadikan otonomi, karakteristik teknis, atau asal sistem sebagai produk pihak ketiga untuk menghindari atau mengurangi tanggung jawab manajerial dan hukum mereka. Circular ini menempatkan kendali manusia sebagai persyaratan operasional, bukan sekadar pernyataan bahwa seseorang tetap bertanggung jawab.

Nasabah mendapat hak atas pemberitahuan, penjelasan, dan peninjauan oleh manusia

Ketika AI menggantikan manusia dalam komunikasi langsung, nasabah harus diberi tahu pada awal sesi atau percakapan bahwa mereka sedang berinteraksi dengan sistem AI. Penyedia juga harus memiliki departemen dan prosedur untuk menerima serta menangani keluhan mengenai penggunaan AI.

Jika nasabah menggugat keputusan otomatis, keputusan itu harus ditinjau oleh manusia. Hasil peninjauan tersebut menjadi dasar akhir untuk menyelesaikan keluhan. Persyaratan ini tidak boleh disalahartikan sebagai pernyataan bahwa upaya hukum lainnya tidak tersedia; ketentuan tersebut mengatur proses penyelesaian keluhan oleh penyedia.

Untuk keputusan otomatis yang berdampak langsung pada tanggung jawab hukum, kewajiban finansial, atau akses terhadap produk dan layanan, penyedia harus menyimpan dasar dan faktor utama yang melandasi hasil keputusan. Catatan tersebut harus memungkinkan penyedia memberikan penjelasan jika diminta nasabah.

Kewajiban memberi penjelasan tidak berarti penyedia harus mengungkap kode sumber, algoritma terperinci, parameter model, atau rahasia bisnis dan teknologi. Untuk keputusan terkait penipuan, scam, pencucian uang, pendanaan terorisme, atau keamanan siber, penyedia dapat memberikan alasan yang selaras dengan pengendalian risiko dan perlindungan aset nasabah. Penyedia harus menjelaskan dasar yang relevan tanpa mengungkap informasi yang dapat melemahkan perlindungan tersebut.

Kualitas dan keamanan data menjadi syarat penerapan

Circular ini membahas risiko yang dapat muncul sebelum nasabah menerima keluaran AI. Data yang digunakan untuk pelatihan, pengujian, dan operasional harus memiliki asal-usul yang jelas dan sah. Institusi harus mengendalikan kualitasnya, mendeteksi kesalahan dan ketidakakuratan, mengidentifikasi manipulasi atau peracunan data, serta memantau perubahan selama sistem beroperasi.

Peracunan data berarti mencemari dengan sengaja informasi yang digunakan sistem AI agar hasilnya menjadi tidak andal atau mendukung tujuan penyerang. Masalah yang lebih umum, seperti catatan yang tidak akurat atau sudah usang, juga dapat mendistorsi keputusan. Aturan ini mewajibkan perhatian terhadap gangguan yang disengaja maupun kualitas data.

Sistem AI harus menjalani penilaian keamanan siber sebelum beroperasi, secara berkala setelahnya, dan ketika mengalami perubahan besar. Penyedia juga harus memenuhi persyaratan keamanan data, manajemen perubahan, penanganan insiden, dan pencatatan log. Risiko model, etika, alih daya, dan rantai pasok juga menjadi bagian dari kerangka manajemen.

Sebelum penerapan, institusi harus menyiapkan dokumentasi yang diwajibkan, menilai apakah persyaratan operasional telah terpenuhi, dan memperoleh persetujuan dari otoritas terkait. Karena itu, penerapan model baru atau perubahan pada model yang sudah ada tidak cukup hanya didasarkan pada penilaian apakah keluarannya tampak bermanfaat.

Alih daya tidak memindahkan tanggung jawab

Vendor AI eksternal tidak boleh menggunakan data milik institusi untuk melatih, menyempurnakan, atau meningkatkan model tanpa persetujuan tertulis. Pembatasan ini menyangkut hal yang berbeda dari izin untuk memproses data demi layanan yang dikontrakkan: akses ke informasi tidak dengan sendirinya mengizinkan penggunaannya kembali untuk pengembangan model.

Institusi yang menggunakan sistem alih daya tetap bertanggung jawab atas keselamatan operasional, hak nasabah, keamanan siber, perlindungan data pribadi, dan manajemen risiko. Jika sistem tersebut merugikan nasabah atau pihak lain yang terdampak, institusi harus segera mengambil langkah korektif, melindungi nasabah, menangani keluhan, dan memberikan ganti rugi sesuai aturan yang berlaku.

Kewajiban ini menghubungkan pengelolaan vendor dengan perlindungan nasabah lainnya dalam circular tersebut. Bank tetap harus memiliki cara untuk menjelaskan keputusan penting, meninjau hasil yang disengketakan, dan mengintervensi operasional meskipun teknologi yang digunakan berasal dari perusahaan lain. Menggunakan jasa pemasok tidak menghapus kewajiban tersebut.

Usulan terdahulu menunjukkan perkembangan kerangka aturan

Circular final ini menyusul rancangan kerangka aturan yang dijelaskan sebelumnya pada 2026. Analisis rancangan April Baker McKenzie, tertanggal 23 April, menguraikan pengendalian yang mencakup desain, pengujian, pemantauan, pembaruan, dan penghentian sistem AI secara aman. Analisis itu juga menjelaskan deteksi pergeseran model, yaitu perubahan perilaku atau akurasi sistem seiring perubahan data yang dihadapinya.

Analisis tersebut menjelaskan langkah-langkah yang diusulkan untuk mencegah bias algoritmik terkait gender, etnis, agama, disabilitas, usia, dan kerentanan sosial ekonomi. Analisis itu juga menyebut peninjauan kapabilitas tahunan dan audit independen terhadap AI alih daya sebagai unsur rancangan. Rincian tersebut berasal dari rancangan dan tidak boleh otomatis dianggap sebagai ketentuan yang telah dipastikan dalam circular final.

Pembaruan mengenai rancangan circular dari Australian Chamber of Commerce in Vietnam juga menjelaskan usulan larangan diskriminasi dan eksploitasi kelompok rentan. Lembaga itu menyoroti tolok ukur kinerja dan akurasi, pelatihan staf, rencana respons insiden, dan peninjauan tata kelola tahunan. Kamar dagang tersebut menyatakan bahwa AI Law Vietnam mulai berlaku pada Maret 2026; circular perbankan ini melaksanakan ketentuan dalam undang-undang tersebut.

Kedua uraian institusional tentang rancangan itu menyebut kewajiban melaporkan insiden AI serius kepada State Bank dalam 24 jam sejak terdeteksi dan menyerahkan laporan penyelesaian dalam lima hari kerja setelah insiden ditangani. Tenggat tersebut tercantum dalam uraian rancangan, tetapi belum dikonfirmasi dalam laporan yang menjabarkan circular final. Institusi perlu memeriksa ketentuan pelaporan final dan tidak memasukkan tenggat rancangan ke rencana kepatuhan tanpa verifikasi.

Jadwal penerapan dan pertanyaan yang belum terjawab

Circular ini mulai berlaku pada 15 November 2026, sementara sistem AI yang sudah beroperasi sebelum tanggal tersebut memiliki waktu hingga 1 Maret 2027 untuk menuntaskan kepatuhan terhadap persyaratan keselamatan, manajemen risiko, dan penerapan. Beberapa ketentuan mengenai kerangka manajemen risiko, pemeriksaan keamanan siber, dan personel mengikuti jadwal bertahap, meskipun laporan yang menjelaskan aturan final tidak merinci tahapan tersebut.

• Maret 2026: AI Law Vietnam mulai berlaku, menurut Australian Chamber of Commerce in Vietnam.
• 23 April 2026: Baker McKenzie menerbitkan analisis rancangan circular tentang AI perbankan.
• 30 September 2026: Gubernur State Bank menerbitkan Circular No. 53/2026/TT-NHNN.
• 15 November 2026: Circular mulai berlaku.
• 1 Maret 2027: Sistem AI yang beroperasi sebelum tanggal berlakunya aturan harus menuntaskan persyaratan kepatuhan.

Aturan ini hadir ketika bank memperluas penggunaan AI untuk penilaian kredit, penilaian pinjaman, deteksi penipuan pembayaran, pemberian saran otomatis, dan pemeriksaan identitas elektronik. Seorang eksekutif yang tidak disebutkan namanya di bank milik negara mengatakan bahwa pembayaran di sebagian besar bank masih melibatkan manusia dan banknya sendiri tetap meninjau persetujuan pinjaman oleh manusia. Keterangan itu menunjukkan bahwa penggunaan AI sebagai pendukung dan pelaksanaan yang sepenuhnya otomatis belum berada pada tahap adopsi yang sama.

Aturan yang sudah berlaku juga mewajibkan autentikasi biometrik pemegang rekening untuk transaksi daring di atas VND 10 juta per transaksi. Jumlah tersebut sama dengan ambang pembayaran perorangan untuk klasifikasi AI berisiko tinggi, tetapi kedua persyaratan itu memiliki tujuan berbeda: yang satu memverifikasi pemegang rekening, sementara yang lain mengatur risiko sistem otomatis. Laporan tidak menjelaskan bagaimana pengaturan pembayaran otonom akan memenuhi persyaratan biometrik dalam setiap situasi.

Hal yang Perlu Diketahui

• Circular No. 53/2026/TT-NHNN mulai berlaku pada 15 November 2026.
• Pembayaran otomatis nasabah perorangan di atas VND 10 juta per transaksi atau VND 20 juta per hari memicu klasifikasi berisiko tinggi.
• Ambang untuk institusi adalah di atas VND 50 juta per transaksi atau VND 100 juta per hari.
• Pembayaran otomatis harian dibatasi maksimal VND 100 juta untuk perorangan dan VND 500 juta untuk institusi, dengan tetap mengikuti batas penyedia.
• Sistem kredit otomatis terkait masuk kategori berisiko tinggi pada nilai VND 50 juta atau lebih.
• Nasabah harus menyetujui pembayaran otomatis dan dapat menghentikan sementara atau mencabut kewenangan tersebut.
• Keputusan otomatis yang disengketakan harus ditinjau oleh manusia, dan penyedia wajib menyimpan dasar keputusan penting.
• Alih daya tidak menghapus tanggung jawab institusi, dan vendor memerlukan persetujuan tertulis untuk menggunakan kembali data institusi demi pengembangan model.
• Sistem AI yang sudah ada harus menuntaskan kepatuhan paling lambat 1 Maret 2027, dengan beberapa persyaratan mengikuti jadwal bertahap.