自动支付自11月15日起面临更严格管控
越南新的银行业人工智能规则将每笔自动支付金额超过1,000万越南盾，或单个客户单日自动支付总额超过2,000万越南盾的系统列为高风险系统。对于机构客户，相应门槛为每笔支付超过5,000万越南盾，或单日超过1亿越南盾。
目录
越南国家银行于2026年9月30日签署第53/2026/TT-NHNN号通知，该通知将于11月15日生效，部分要求将在之后实施。自动决定是否发放5,000万越南盾或以上信贷的系统也属于高风险类别，因此需要接受持续监控，并对人工干预实施更严格的管控。
除上述门槛外，客户还享有明确的保护措施。银行和支付服务提供商必须在允许人工智能自动支付前征得客户同意，提供撤销该授权的工具，并在客户对自动化决策提出异议时安排人工复核。对于人工智能系统作出或辅助作出的决策，服务提供商仍须承担责任。
该通知的适用范围不止于银行，还涵盖外资银行分行、电子钱包等支付中介机构、Mobile Money服务提供商以及征信公司，也包括越南资产管理公司、国家钞票印制厂和越南存款保险公司。
哪些金额会触发高风险类别？
第4条分别设定了单笔支付和单日累计支付的判定标准。超过其中任一门槛，相关自动支付系统就会被列入高风险类别。因此，即使没有任何一笔转账超过限额，数笔较小的转账累计起来也可能触发更严格的监管。
例如，个人客户有三笔每笔800万越南盾的自动支付，总额为2,400万越南盾。每笔支付都低于1,000万越南盾，但合计金额超过了单日2,000万越南盾的门槛。服务提供商必须同时监控每笔支付金额和该客户的当日累计金额。
门槛边界上的措辞很重要。支付门槛适用于超过所列金额的情形。信贷门槛则从5,000万越南盾起算，因此，恰好为该金额的自动信贷决策也属于规定的高风险类别。
在部署之前，服务提供商必须将人工智能系统划分为高、中、低风险。该通知在《人工智能法》（第134/2025/QH15号）更广泛的框架下细化了银行业要求，并参考了总理关于高风险系统的第33/2026/QD-TTg号决定。
单日支付上限另有作用
第5条规定了人工智能可在一天内为单个客户自动执行的支付总额上限：个人为1亿越南盾，机构为5亿越南盾。服务提供商的内部限额也同时适用，因此实际可用额度可能更低。
风险门槛决定监管力度，单日上限则决定允许支付的最高金额。对个人而言，1亿越南盾的上限是单日2,000万越南盾风险门槛的五倍。对机构而言，5亿越南盾上限同样是1亿越南盾门槛的五倍。
因此，个人客户的人工智能支付若单日累计达到3,000万越南盾，就会落入高风险支付类别，但仍低于国家规定的单日上限。服务提供商仍须遵守客户同意的范围和自身内部限额。
现行网上支付保障措施仍然适用。现行规定要求，单笔金额超过1,000万越南盾的网上交易须由账户持有人进行生物识别认证。生物识别认证通过面部等身体特征核验身份。服务提供商在引入自动支付时，必须同时考虑这些认证要求和新的人工智能管控措施。
客户必须同意，并保留停止支付的途径
银行和支付服务提供商必须在人工智能开始自动支付前与客户商定相关条款。协议必须列明获准进行的交易、单笔和单日限额、有效期、适用条件以及客户终止协议的权利。
客户必须能够自行使用工具暂停或取消人工智能系统的支付权限。客户可随时终止协议，服务提供商必须立即执行这一请求。客户有权停止自动支付活动，这将成为服务的一部分，而非完全交由银行内部流程处理的事项。
如果人工智能取代人工进行直接沟通，服务提供商还必须告知客户，并在会话或对话开始时发出通知。随着银行引入自动化助手来接听电话、提供建议和处理服务请求，这项规定回应了实际问题。
这些规定让客户在两个阶段掌握控制权：自动支付开始前给予许可，之后也可以撤回许可。双方商定的支付范围和限额，则为系统获准执行的操作留下了明确记录。
人工监督人员必须拥有实际权限
高风险系统必须接受持续监控，并由有权且有能力覆盖、调整或暂停人工智能决策的工作人员负责。监督人员还必须能够启动紧急机制，停止或隔离系统。
发生严重事件时，服务提供商必须启动紧急机制，采取措施限制损害并恢复安全运行；必要时还必须能够转为人工操作。实际要求是在维持银行服务的同时，防止出现故障或遭入侵的人工智能系统继续执行操作。
每次干预都必须留有记录，说明发生了什么、何时发生、由谁干预以及干预原因。这些日志有助于服务提供商还原决策过程、调查故障，包括查明警报是否得到及时处理。
越南国家银行支付局局长范英俊解释了为何要由个人和机构承担责任。在11月4日发表的一次采访中，他表示：
人工智能不是能够承担责任的主体。
范英俊表示，该通知涉及部署前的模型测试，以及董事会和执行管理层在批准系统方面的责任。他还表示，当人工智能超出其获准决策的金额限额时，必须有人工介入。
投诉必须交由人工复核
客户若对自动化决策提出投诉，必须由人工复核该决策。人工复核结果将成为通过服务提供商流程解决投诉的最终依据。服务提供商必须设立部门并制定流程，以受理和处理涉及人工智能的投诉。
影响客户财务义务、法律责任或服务获取的决策，也须满足记录保存要求。服务提供商必须保留决策依据和主要影响因素，以便在客户提出要求时作出说明。
对于受到自动信贷决策影响的客户，这意味着机构必须留存可用记录，说明哪些因素导致了这一结果。说明义务允许服务提供商保护源代码、详细算法、模型参数以及商业或技术机密。
涉及安全的决策另有一项限定。如果采取行动是为了应对欺诈、诈骗、洗钱、恐怖主义融资或网络安全问题，服务提供商可以提供适合管理相关风险并保护客户资产的理由。过于详细的披露可能会暴露安全控制措施的运作方式。
数据质量和外部供应商成为管理职责
服务提供商必须了解用于训练、测试和运行人工智能的数据来源，并确保数据使用合法。他们还必须检查数据质量，发现错误、偏见、篡改或投毒。数据投毒是指故意插入误导性信息，从而扭曲模型的学习内容或行为。
部署后仍须持续监控，因为输入系统的数据可能发生变化。基于某种客户行为模式建立的信贷模型，可能会随着经济状况或借贷习惯改变而表现不同。该通知要求关注这些变化，以及模型风险、网络安全、伦理和供应链风险。
聘用外部人工智能供应商，并不会免除银行或支付服务提供商在运营安全、客户权利、个人数据保护和风险管理方面的责任。供应商只有在取得书面同意后，才能使用该机构的数据训练、微调或改进模型。
如果外包的人工智能系统损害客户或其他受影响方的利益，使用该系统的机构必须及时采取纠正措施、保护客户权益、处理投诉，并依法提供赔偿。因此，即使问题由另一家公司的技术造成，客户仍由自己的服务提供商负责处理。
安全检查和治理要求延续至上线之后
高风险人工智能系统必须在运行前接受网络安全检查和评估，之后定期接受检查，并在发生重大变更时重新评估。服务提供商还必须处理数据安全、系统变更、事件处置、日志记录和人工监督等问题。
系统部署前，必须完成影响评估和风险控制，并向相应审批机构提交文件。第14条引入了由三道防线构成的框架，分别落实运营风险责任、风险监督和独立鉴证。
银行已将人工智能用于信用评分、贷款评估、支付欺诈检测、自动化建议和电子客户身份识别（通常称为eKYC）。在11月6日于胡志明市举行的“2026年越南数字金融安全论坛”上，越南银行协会副主席兼秘书长陶明秀援引数据称，超过70%的信贷机构已采用人工智能。
陶明秀呼吁明确限定人工智能助手的权限，对大额或敏感交易实行人工审批，设置紧急停止机制，并在交易发生时进行欺诈检测。他还主张使用干净且定义一致的业务数据。这些建议针对的是自动化系统可能在大量决策中迅速重复错误的风险。
欺诈数据凸显紧迫性
越南国家网络安全协会和Viettel Cyber Security的一份报告记录显示，越南在2025年遭受约55.2万起网络攻击，其中约41%针对金融和银行业。按这一比例计算，该行业遭受的攻击约为22.6万起。
有关部门还记录了2026年上半年近1,000起网络诈骗案件，损失达数万亿越南盾。公安部网络安全和高科技犯罪防范局副局长阮巴山大校在11月6日的论坛上警告称，犯罪分子正越来越多地使用人工智能。
法国—越南管理教育中心经济学家李黄武介绍了复制的声音和伪造的面孔如何削弱传统身份验证方式。工程公司Arup香港办公室的一起案件说明了这一风险：2024年，一名员工在一场视频会议后转出约2亿港元，会议画面中出现了经伪造的首席财务官和同事形象。
现有的欺诈警报显示，在资金转出前进行干预很有价值。越南国家银行信息技术局副局长黄明进表示，截至2026年10月，SIMO支付欺诈监控系统已发出580万次警报。客户曾190万次暂停或取消疑似欺诈交易，保护的交易金额接近7.2万亿越南盾。
黄明进还报告称，2026年前八个月，无现金支付超过210亿笔，金额逾260千万亿越南盾。在许多信贷机构，数字渠道交易占比超过95%。因此，可靠的监督直接关系到客户使用银行服务的主要方式。
实施时间延续至2027年
服务提供商面临多个实施日期，而非单一截止期限。通知生效前已运行的系统，必须从2027年3月1日起满足通知规定的安全、风险管理和部署要求。部分治理和人员配置条款则遵循不同时间表。
- 2026年9月30日：越南国家银行签署第53/2026/TT-NHNN号通知。
- 2026年11月15日：通知总体生效。
- 2027年1月1日：第14条关于人工智能风险管理框架的规定生效。
- 2027年3月1日：生效日期前已运行的人工智能系统必须满足规定条件。
- 2027年9月1日：第21条关于人员配置的规定生效，但对拥有高风险人工智能系统的机构设有例外。
涉及该例外的具体人员配置时间表仍需根据法律文本确认。运行高风险系统的机构在依据一般的9月期限行事之前，需要明确哪些人员要求适用于自身。
安全规划还涉及第53号通知之外的事项。一份拟取代第09/2020/TT-NHNN号通知的草案提出加强加密、数据防泄漏、采取防止未经授权篡改的备份措施，以及加强对技术供应商的管控。草案建议，支付中介机构和Mobile Money服务提供商从2028年1月1日起设立安全运营中心，并实施集中式安全事件监控。
Viettel Cyber Security副局长黎光河主张采用零信任架构，通过反复验证访问权限并限制网络不同部分之间的横向移动来加强安全。英特尔越南国家经理冯越胜指出，开放性、安全性和快速恢复是计算系统的核心要求。陶明秀还呼吁做好应对未来量子计算威胁的密码技术准备。
根据越南国家银行和公安部于2026年6月签署的第513号协调计划，近期还有一项业务目标：在2026年期间，向大多数大型商业银行部署用于追踪并紧急拦截欺诈资金流的工具，并计划在2027年第一季度推广至整个系统。
要点
- 个人单笔自动支付超过1,000万越南盾，或单日超过2,000万越南盾，即触发高风险类别。
- 机构的相应门槛为单笔超过5,000万越南盾，或单日超过1亿越南盾。
- 自动决定发放5,000万越南盾或以上信贷的人工智能系统也属于高风险系统。
- 个人和机构的单日自动支付上限分别为1亿和5亿越南盾，且可能受更低的内部限额约束。
- 客户必须同意自动支付，并获得暂停或取消该授权的工具。
- 人工监督人员必须能够覆盖决策并启动紧急停止机制；客户对自动化决策的投诉必须接受人工复核。
- 该通知总体上将于2026年11月15日生效；对于生效前已运行的系统，合规日期为2027年3月1日。
