Singapore đặt ra quy định về rủi ro AI cho các công ty tài chính, với thời hạn vào năm 2027 và 2028

Hai thời hạn đưa giám sát AI vào chương trình nghị sự của ngành tài chính

Các tổ chức tài chính Singapore có thời hạn đến ngày 7 tháng 10 năm 2027 để đáp ứng những yêu cầu giám sát cốt lõi đối với việc quản lý trí tuệ nhân tạo (AI), tiếp theo là thời hạn thứ hai vào ngày 7 tháng 10 năm 2028 để triển khai các biện pháp kiểm soát, năng lực và hạ tầng rộng hơn. Cơ quan Tiền tệ Singapore (MAS) công bố Hướng dẫn về Quản lý Rủi ro Trí tuệ Nhân tạo vào ngày 7 tháng 10 năm 2026, áp dụng cho mọi tổ chức tài chính và mọi hình thức công nghệ AI.

Khuôn khổ này không chỉ bao gồm chatbot và phần mềm hỗ trợ nhân viên soạn thảo tài liệu. Phạm vi còn có học máy truyền thống, AI tạo sinh có khả năng tạo nội dung, và các tác nhân AI có thể ra quyết định hoặc thực hiện hành động thông qua những công cụ được kết nối. MAS cảnh báo các tác nhân được quyền truy cập công cụ có thể tự động thực hiện hành động sai hoặc trái phép, khiến quyền hạn hành động cũng quan trọng không kém độ chính xác của câu trả lời.

Hướng dẫn về rủi ro AI của cơ quan quản lý đưa ra các kỳ vọng giám sát, thay vì một đạo luật riêng quy định những yêu cầu kỹ thuật giống hệt nhau cho mọi công ty. Nguyên tắc cốt lõi là tính tương xứng: các tổ chức cần xác định cách mình sử dụng AI, đánh giá mức độ quan trọng và rủi ro của từng ứng dụng, rồi triển khai các biện pháp kiểm soát phù hợp với mức độ rủi ro đó.

Như vậy, khuôn khổ tạo ra phạm vi quản lý rộng nhưng không đối xử với mọi ứng dụng như nhau. Một hệ thống tác động đến khuyến nghị đầu tư hoặc đánh giá rủi ro khách hàng cần được giám sát ở mức khác với công cụ dùng để rà lỗi chính tả trong email nội bộ. Sự phân biệt dựa trên hậu quả có thể xảy ra, bao gồm thiệt hại đối với khách hàng và các tổ chức khác, chứ không chỉ dựa vào việc sản phẩm có được gắn nhãn AI hay không.

Những tổ chức nào thuộc phạm vi khuôn khổ?

Phạm vi áp dụng bao gồm ngân hàng, công ty quản lý quỹ, cố vấn tài chính, doanh nghiệp bảo hiểm, tổ chức thanh toán, sở giao dịch, tổ chức thanh toán bù trừ, đơn vị lưu ký, cơ quan xếp hạng tín nhiệm và công ty kinh doanh sản phẩm thị trường vốn. Các công ty môi giới hợp đồng tương lai và phái sinh phi tập trung được miễn trừ cũng được nêu rõ là thuộc phạm vi.

Khuôn khổ áp dụng cho nhiều công nghệ AI, nên đây không chỉ là bộ quy tắc về AI tạo sinh hay biện pháp chỉ nhắm đến các ngân hàng lớn nhất. MAS cho phép các tổ chức điều chỉnh cách triển khai theo hồ sơ rủi ro, bao gồm quy mô và tính chất việc sử dụng AI.

Hướng dẫn cũng bổ trợ cho các yêu cầu và nguyên tắc hiện hành của MAS, trong đó có Công bằng, Đạo đức, Trách nhiệm giải trình và Minh bạch, gọi tắt là FEAT. Hướng dẫn bổ sung một khuôn khổ quản lý rủi ro AI, chứ không thay thế các nghĩa vụ rộng hơn đang điều chỉnh dịch vụ tài chính.

Đối với các tổ chức đang xác định khối lượng công việc cần thiết, điểm phân biệt then chốt là phạm vi áp dụng rộng nhưng cường độ kiểm soát khác nhau. Việc thuộc phạm vi không có nghĩa mọi công ty phải xây dựng cùng một cơ cấu quản trị. Tuy nhiên, mỗi tổ chức cần hiểu rõ mình đang sử dụng AI ở đâu và điều gì có thể xảy ra nếu các hệ thống đó hoạt động kém hoặc không khả dụng.

Điều gì sẽ thay đổi từ nay đến tháng 10 năm 2028?

Hướng dẫn được công bố sau đợt tham vấn khởi động vào tháng 11 năm 2025. Trong văn bản trả lời tại Quốc hội vào tháng 8 năm 2026, MAS cho biết hướng dẫn dự kiến sẽ sớm được hoàn thiện và xác nhận phạm vi bao gồm AI tác nhân. Sau đó, thông báo tháng 10 đưa ra hai giai đoạn triển khai.

• Tháng 11 năm 2025: MAS khởi động tham vấn công chúng về dự thảo hướng dẫn quản lý rủi ro AI.
• Ngày 5 tháng 8 năm 2026: Văn bản trả lời tại Quốc hội xác nhận dự thảo bao quát mọi trường hợp tổ chức tài chính sử dụng AI, bao gồm AI tác nhân.
• Ngày 7 tháng 10 năm 2026: MAS công bố hướng dẫn chính thức.
• Ngày 7 tháng 10 năm 2027: Hướng dẫn có hiệu lực; các yêu cầu tại Mục 3 và 4 được áp dụng từ ngày này.
• Ngày 7 tháng 10 năm 2028: Các tổ chức cần đáp ứng những yêu cầu tại Mục 5 và 6.

Lộ trình cho các công ty một năm kể từ ngày công bố để thiết lập cơ chế giám sát cốt lõi, quản lý rủi ro và khuôn khổ chính sách, sau đó thêm một năm để triển khai các sắp xếp vận hành rộng hơn. Thời hạn sau không có nghĩa toàn bộ khuôn khổ được hoãn đến năm 2028.

Một bản tin ngắn nêu ngày có hiệu lực là 7 tháng 10 nhưng không ghi năm. Thông tin công bố và thông báo của MAS nêu rõ: ngày có hiệu lực là 7 tháng 10 năm 2027, còn việc triển khai theo giai đoạn tiếp tục đến năm 2028.

Hội đồng quản trị vẫn chịu trách nhiệm mà không cần lập ủy ban mới

MAS kỳ vọng hội đồng quản trị và ban lãnh đạo cấp cao giám sát hiệu quả các rủi ro AI. Việc này bao gồm phân định trách nhiệm, xác định khẩu vị rủi ro và thiết lập khuôn khổ, chính sách cũng như quy trình quản lý rủi ro. Khẩu vị rủi ro là mức độ và loại rủi ro mà tổ chức sẵn sàng chấp nhận.

Thông báo công bố của cơ quan quản lý đề cập đến một mối quan tâm thực tiễn được nêu trong quá trình tham vấn: các công ty có thể sử dụng cơ cấu quản trị hiện có nếu cơ cấu đó bảo đảm giám sát thỏa đáng và phối hợp giữa các bộ phận liên quan. Không bắt buộc phải lập ủy ban AI riêng chỉ để đáp ứng yêu cầu này.

Sự phân biệt này có ý nghĩa đối với việc triển khai. Yêu cầu là phải bảo đảm trách nhiệm giải trình hiệu quả, chứ không phải có một ủy ban mang tên cụ thể hay một sơ đồ tổ chức nhất định. Cơ chế hiện có có thể đáp ứng yêu cầu, nhưng chỉ khi cơ chế đó giám sát được rủi ro AI và phối hợp được những người chịu trách nhiệm.

Các tổ chức phải quản lý rủi ro ở hai cấp độ: trên toàn tổ chức và trong từng ứng dụng. Một ứng dụng có thể có vẻ dễ kiểm soát khi xét riêng lẻ, trong khi việc tổ chức ngày càng mở rộng sử dụng AI đòi hỏi phải có giám sát, kỹ năng hoặc hạ tầng ở quy mô rộng hơn. Vì vậy, MAS kỳ vọng các tổ chức phát triển năng lực song hành với mức độ ứng dụng AI.

Danh mục giúp cụ thể hóa việc đánh giá rủi ro

Các tổ chức tài chính cần xác định cách mình sử dụng AI và duy trì danh mục ở mức độ chi tiết phù hợp. Danh mục là cơ sở để đánh giá ứng dụng nào quan trọng nhất và quyết định chúng cần những biện pháp kiểm soát nào. Nếu thiếu nền tảng này, ban lãnh đạo cấp cao không thể xác định đáng tin cậy mức độ rủi ro mà tổ chức đang đối mặt.

MAS cũng kỳ vọng từng ứng dụng được đánh giá về mức độ trọng yếu của rủi ro. Nói đơn giản, cần xem xét liệu sự cố, hiệu suất kém hoặc tình trạng không khả dụng có thể gây hậu quả đáng kể cho tổ chức, khách hàng hoặc các bên liên quan khác, bao gồm những tổ chức tài chính khác, hay không.

Khuôn khổ xác định các rủi ro tài chính, vận hành, ứng xử, tội phạm tài chính và uy tín. AI tạo sinh còn đặt ra rủi ro về bảo mật, quyền riêng tư và các nhà cung cấp bên ngoài. Vì vậy, việc đánh giá rộng hơn kiểm tra xem mô hình có thường đưa ra câu trả lời chính xác hay không.

MAS cho phép áp dụng chính sách và quy trình cơ bản khi hiệu suất kém hoặc dịch vụ AI không khả dụng khó gây tác động trọng yếu. Mức độ rủi ro cao hơn cần đi kèm biện pháp kiểm soát tinh vi hơn. Tiêu chí thực tế là ảnh hưởng tiềm tàng của sự cố, chứ không phải công nghệ đó mới đến mức nào.

Biện pháp kiểm soát phải tiếp tục sau khi đưa hệ thống AI vào sử dụng

Hướng dẫn yêu cầu áp dụng các biện pháp kiểm soát tương xứng trong suốt vòng đời AI, tức các giai đoạn từ phát triển, thử nghiệm đến triển khai, sử dụng và những thay đổi về sau. MAS nêu quản trị dữ liệu, thử nghiệm, giám sát của con người, an ninh mạng, theo dõi và quản lý thay đổi trong số các biện pháp này.

Quản trị dữ liệu liên quan đến cách thông tin được quản lý và sử dụng. Thử nghiệm đánh giá liệu hệ thống có phù hợp với mục đích dự kiến hay không. Theo dõi kiểm tra hiệu suất trong quá trình vận hành, còn quản lý thay đổi xử lý những điều chỉnh có thể làm thay đổi hành vi hoặc mức độ rủi ro. Đây là những trách nhiệm gắn kết với nhau, chứ không phải một lần phê duyệt duy nhất trước khi ra mắt.

Giám sát của con người cũng là một phần của khuôn khổ. Với hệ thống AI có thể tác động đến hoặc thực thi một quyết định tài chính, vấn đề không chỉ là liệu một người có thể đọc kết quả đầu ra hay không. Các tổ chức phải cân nhắc cách thức giám sát phù hợp với rủi ro của ứng dụng và những hành động mà ứng dụng có thể thực hiện.

MAS kỳ vọng các biện pháp kiểm soát được rà soát thường xuyên khi việc sử dụng AI mở rộng và công nghệ phát triển. Một cơ chế được thiết kế cho công cụ soạn thảo văn bản có thể cần được đánh giá lại nếu sau này công cụ đó được cấp quyền truy cập vào các hệ thống cho phép nó thực hiện hành động. Hướng dẫn đặc biệt gắn việc rà soát thường xuyên với sự gia tăng trong sử dụng các tác nhân tự động.

Mua AI không đồng nghĩa chuyển giao trách nhiệm

Các tổ chức tài chính vẫn chịu trách nhiệm về AI được sử dụng trong các dịch vụ mình cung cấp, bao gồm hệ thống do công ty bên ngoài phát triển, vận hành hoặc cung cấp. Thuê ngoài công nghệ không đồng nghĩa với thuê ngoài trách nhiệm đối với các rủi ro do công nghệ tạo ra.

MAS kỳ vọng các công ty thu thập đủ bảo đảm từ nhà cung cấp và đánh giá xem AI của họ có phù hợp với mục đích sử dụng dự kiến hay không. Khi gặp hạn chế thực tiễn hoặc thiếu hụt về bảo đảm, tổ chức cần áp dụng biện pháp kiểm soát bù đắp. Đây là các biện pháp nhằm giảm rủi ro khi không thể có được sự bảo đảm hoặc biện pháp kiểm soát ưu tiên.

Cơ quan quản lý cũng nêu cách ứng phó khi các biện pháp đó không đủ. Nếu không thể đưa rủi ro về mức nằm trong khẩu vị rủi ro của tổ chức, tổ chức nên cân nhắc hạn chế, đình chỉ hoặc thay thế dịch vụ AI. Việc tiếp tục sử dụng vì vậy không thể chỉ dựa vào sức hấp dẫn thương mại của nhà cung cấp hay thực tế hệ thống đã được tích hợp vào hoạt động.

Điều này giải quyết một mối quan ngại khác trong quá trình tham vấn: AI được tích hợp vào sản phẩm và dịch vụ. Câu hỏi liên quan là tổ chức sử dụng chức năng đó như thế nào và quản lý hệ quả ra sao, chứ không phải tổ chức có tự xây dựng mô hình hay không. Việc đánh giá phải gắn các cam kết bảo đảm của nhà cung cấp với mục đích sử dụng thực tế của công ty.

AI tác nhân thuộc phạm vi áp dụng trước khi có hướng dẫn bổ sung

AI tác nhân có thể làm nhiều hơn việc tạo ra câu trả lời. Công nghệ này có thể sử dụng công cụ để thực hiện nhiệm vụ và hành động với mức độ tự chủ cao hơn. Trong lĩnh vực dịch vụ tài chính, điều đó khiến việc phân quyền, can thiệp và lưu hồ sơ quyết định trở thành những yếu tố then chốt để quản lý rủi ro hành động sai hoặc trái phép.

Trong văn bản trả lời tại Quốc hội hồi tháng 8, Gan Kim Yong, Phó Thủ tướng, Bộ trưởng Thương mại và Công nghiệp kiêm Chủ tịch MAS, xác nhận dự thảo hướng dẫn áp dụng cho mọi trường hợp tổ chức tài chính sử dụng AI, bao gồm AI tác nhân. Văn bản trả lời giải đáp câu hỏi của Mariam Jaafar, nghị sĩ đại diện khu vực bầu cử nhóm Sembawang, về các tác nhân tự chủ và những yêu cầu giám sát có thể có.

Ông Gan cũng mô tả các nguồn lực thực tiễn được phát triển cùng ngành. Trong khuôn khổ Dự án MindForge, ngành tài chính đã xây dựng Bộ công cụ Quản lý Rủi ro AI nhằm hỗ trợ các tổ chức triển khai hướng dẫn. Khuôn khổ Bảo đảm cho Tài chính có Tác nhân tại Thời điểm Thực thi, gọi tắt là SAFR, nêu một phương án tiềm năng để cấp quyền cho hành động của tác nhân, kích hoạt giám sát của con người và ghi lại diễn biến của từng quyết định quan trọng.

Các nguồn lực này có mục đích khác với khuôn khổ giám sát. Bộ công cụ hỗ trợ việc triển khai, còn SAFR mô tả một phương án vận hành tiềm năng. Văn bản trả lời tại Quốc hội không thông báo rằng bản thân SAFR sẽ trở thành yêu cầu bắt buộc.

MAS dự định tham vấn ngành tài chính vào năm 2027 về những hướng dẫn bổ sung nào cho AI tác nhân sẽ hữu ích. Cơ quan này chưa đưa ra ngày tham vấn cụ thể hay công bố nội dung của bất kỳ hướng dẫn nào có thể được ban hành sau đó. AI tác nhân đã thuộc phạm vi của hướng dẫn, nên kế hoạch tham vấn không phải là lý do để trì hoãn việc quản lý rủi ro của công nghệ này.

Rõ ràng về quy định, nhưng vẫn giới hạn mức rủi ro có thể chấp nhận

MAS coi khuôn khổ này là biện pháp hỗ trợ ứng dụng AI có trách nhiệm, chứ không phải lệnh cấm AI. Những ý kiến tham gia tham vấn ủng hộ cách tiếp cận dựa trên nguyên tắc và các biện pháp kiểm soát tương xứng, đồng thời đề nghị làm rõ về cơ cấu quản trị hiện có, AI tích hợp và trường hợp nào chỉ cần chính sách cơ bản. Khuôn khổ cuối cùng giữ lại các yêu cầu chính đồng thời giải đáp những mối quan ngại đó.

Ho Hern Shin, Phó Giám đốc Điều hành MAS, liên hệ những lợi ích tiềm năng của AI với nhu cầu các tổ chức hiểu rõ những hệ thống ngày càng mạnh mẽ. Bà cho biết:

Để hiện thực hóa những lợi ích này một cách bền vững, các tổ chức tài chính cần hiểu và quản lý những rủi ro đi kèm các hệ thống AI ngày càng có năng lực cao.

Phát biểu của bà nêu bật thế cân bằng cốt lõi của hướng dẫn. Các tổ chức có thể theo đuổi việc tăng năng suất, cải thiện quản lý rủi ro và phát triển dịch vụ mới, nhưng phải chịu trách nhiệm về những hệ thống được sử dụng để cung cấp các dịch vụ đó.

Những mốc thời hạn cố định tiếp theo là tháng 10 năm 2027 và tháng 10 năm 2028. Đợt tham vấn bổ sung về AI tác nhân dự kiến diễn ra trong năm 2027, trong khi MAS cũng cho biết sẽ tiếp tục rà soát và cập nhật các kỳ vọng giám sát khi cần thiết. Chưa có thời hạn riêng nào được công bố cho các yêu cầu mới về AI tác nhân.

Điểm chính

• MAS công bố hướng dẫn quản lý rủi ro AI vào ngày 7 tháng 10 năm 2026, áp dụng cho mọi tổ chức tài chính và công nghệ AI.
• Các yêu cầu cốt lõi tại Mục 3 và 4 áp dụng từ ngày 7 tháng 10 năm 2027; Mục 5 và 6 cần được triển khai trước ngày 7 tháng 10 năm 2028.
• Hội đồng quản trị và ban lãnh đạo cấp cao phải giám sát hiệu quả, nhưng không bắt buộc lập ủy ban AI riêng.
• Các tổ chức cần lập danh mục việc sử dụng AI, đánh giá mức độ trọng yếu và áp dụng biện pháp kiểm soát tương xứng với thiệt hại tiềm tàng.
• Các công ty vẫn chịu trách nhiệm về AI do nhà cung cấp bên ngoài cung cấp và nên cân nhắc hạn chế hoặc thay thế dịch vụ có rủi ro không thể chấp nhận.
• AI tác nhân đã thuộc phạm vi áp dụng. MAS dự kiến tham vấn thêm vào năm 2027 về hướng dẫn bổ sung có thể cần thiết.