TL;DR. Bản sửa đổi quản trị rủi ro mô hình tháng 4/2026 đặt AI tạo sinh và AI tác tử ngoài phạm vi áp dụng. Ngoài phạm vi không phải hết rủi ro, và Anh Quốc bất đồng.

Điểm chính

Các cơ quan quản lý thực sự đã thay đổi điều gì. Gạt bình luận sang một bên, bản sửa đổi tháng 4 làm ba việc.
Câu văn có sức nặng. Phần lớn bản sửa đổi là tiến hóa.
Ngoài phạm vi áp dụng không phải hết rủi ro. Cách đọc sai đắt giá nhất có thể mắc phải trong năm 2026 là cho rằng bị loại khỏi hướng dẫn rủi ro mô hình đồng nghĩa với được loại khỏi giám sát.
Sự chia rẽ xuyên Đại Tây Dương mà tập đoàn ngân hàng nay phải vận hành. Với một định chế hoạt động ở cả hai bờ Đại Tây Dương, quyết định tháng 4 tạo ra một phân kỳ đang có hiệu lực.

Ngoài phạm vi áp dụng không phải hết rủi ro: bản sửa đổi quản trị rủi ro mô hình 2026 đã bỏ lại chính những mô hình ngân hàng đang triển khai

Mười lăm năm học thuyết rủi ro mô hình đã được viết lại hồi tháng 4, và đoạn văn có sức nặng nhất là đoạn nói rõ hướng dẫn giám sát không bao trùm điều gì. Ngày 17/4/2026, Cục Dự trữ Liên bang, OCC và FDIC ban hành hướng dẫn giám sát sửa đổi về quản trị rủi ro mô hình, thay thế khuôn khổ năm 2011 mà ngành ngân hàng đã tự tổ chức xung quanh suốt mười lăm năm. Bản sửa đổi thận trọng, dựa trên rủi ro và phần lớn đáng hoan nghênh. Nó cũng nêu rõ, bằng câu chữ minh thị, rằng các mô hình AI tạo sinh và AI tác tử không nằm trong phạm vi áp dụng của nó — kèm lời hứa sẽ có một đợt lấy ý kiến công khai. Vì vậy các ngân hàng đang ở trong một khoảng trống: triển khai chính những mô hình mà khuôn khổ loại trừ, dưới một khuôn khổ chưa được viết ra.

Tóm lược điều hành

Thỏa thuận năm 2011 đã nghỉ hưu. SR 26-2 và OCC Bulletin 2026-13, cùng đề ngày 17/4/2026, thay thế hướng dẫn giám sát năm 2011 tồn tại lâu nay và văn bản đi kèm năm 2021. Kiến trúc ba trụ cột — phát triển chuẩn mực, phản biện độc lập hiệu quả, giám sát liên tục — được giữ nguyên.

Nguyên tắc tương xứng nay được nêu minh thị. Các cơ quan quản lý nói hướng dẫn này dự kiến phù hợp nhất với các tổ chức ngân hàng có trên 30 tỷ USD tổng tài sản, đồng thời vẫn phù hợp với những định chế nhỏ hơn có rủi ro mô hình đáng kể. Đó là một chuyển dịch trọng tâm thực chất, không phải một ngoại lệ.

Câu hỏi về AI bị hoãn lại, không được trả lời. AI tạo sinh và AI tác tử bị loại khỏi hướng dẫn này, kèm một đợt lấy ý kiến công khai sẽ được mở về quản trị rủi ro mô hình nói chung và việc ngân hàng sử dụng AI nói riêng.

Hoãn lại không phải là cho phép. Cách đọc đúng là các cơ quan quản lý chưa quyết định giám sát những mô hình này ra sao — điều khác hẳn về bản chất với việc kết luận rằng chúng không cần quản trị.

Các cơ quan quản lý thực sự đã thay đổi điều gì

Gạt bình luận sang một bên, bản sửa đổi tháng 4 làm ba việc.

Nó khai tử thỏa thuận năm 2011. Hướng dẫn sửa đổi thay thế hướng dẫn giám sát rủi ro mô hình ban hành năm 2011 và văn bản đi kèm năm 2021, khép lại chương mười lăm năm trong đó SR 11-7 trở thành chuẩn tham chiếu toàn cầu trên thực tế về quản trị mô hình, vượt xa nhóm định chế mà nó ràng buộc.

Nó đưa nguyên tắc tương xứng thành quy định minh thị. Hướng dẫn dự kiến phù hợp nhất với các tổ chức ngân hàng có trên 30 tỷ USD tổng tài sản, và vẫn phù hợp với các tổ chức nhỏ hơn có mức phơi nhiễm đáng kể với rủi ro mô hình do mật độ và độ phức tạp của mô hình hoặc do hoạt động ngoài phạm vi ngân hàng cộng đồng truyền thống. Mức độ tinh vi phải bám theo quy mô, độ phức tạp và hồ sơ rủi ro.

Nó giữ nguyên kiến trúc. Tính vững chắc về khái niệm trong khâu phát triển, phản biện độc lập hiệu quả thông qua rà soát độc lập, và giám sát liên tục theo các ngưỡng đã lập hồ sơ đều còn nguyên. Những định chế đã xây dựng tốt theo khuôn khổ 2011 không phải bắt đầu lại.

Bảng 1: Điều gì đã thay đổi, điều gì được giữ nguyên

Yếu tố	Khuôn khổ 2011	Hướng dẫn sửa đổi 2026
Hiệu lực	SR 11-7 và văn bản đi kèm năm 2021	Bị thay thế, ngày 17/4/2026
Kiến trúc cốt lõi	Phát triển, thẩm định, quản trị	Giữ nguyên về cơ bản
Nguyên tắc tương xứng	Ngầm định, áp dụng qua công tác giám sát	Minh thị: điều chỉnh theo quy mô, độ phức tạp và hồ sơ rủi ro
Mức độ phù hợp được nêu	Rộng	Phù hợp nhất trên 30 tỷ USD tổng tài sản; vẫn phù hợp dưới ngưỡng khi rủi ro mô hình đáng kể
AI tạo sinh và AI tác tử	Có trước khi câu hỏi xuất hiện	Ngoài phạm vi áp dụng một cách minh thị, kèm một đợt lấy ý kiến công khai

Câu văn có sức nặng

Phần lớn bản sửa đổi là tiến hóa. Một đoạn thì không:

Các mô hình AI tạo sinh và AI tác tử là mới mẻ và đang thay đổi nhanh chóng. Do đó, chúng không nằm trong phạm vi áp dụng của hướng dẫn này.

Đọc cùng cam kết mở một đợt lấy ý kiến công khai về quản trị rủi ro mô hình nói chung và việc ngân hàng sử dụng AI, bao gồm AI tạo sinh và AI tác tử, nói riêng, ý nghĩa đã đủ rõ. Các cơ quan quản lý không nói những hệ thống này rủi ro thấp. Họ nói họ chưa chốt được cách giám sát chúng, và thà tham vấn còn hơn ban hành một khuôn khổ mà một công nghệ chuyển động nhanh sẽ vượt qua chỉ trong một chu kỳ.

Đó là nghề làm quy định có thể bảo vệ được. Nó cũng là một vị thế khó xử với một ngân hàng đã đưa AI tạo sinh vào vận hành thật.

Bởi câu hỏi thực tế mà một ủy ban rủi ro đặt ra không phải "cái này có thuộc phạm vi áp dụng của hướng dẫn tháng 4 không?" Mà là "nếu việc này hỏng, chúng ta sẽ bị hỏi những gì?" Và câu trả lời cho câu hỏi thứ hai không hề thay đổi.

Ngoài phạm vi áp dụng không phải hết rủi ro

Cách đọc sai đắt giá nhất có thể mắc phải trong năm 2026 là cho rằng bị loại khỏi hướng dẫn rủi ro mô hình đồng nghĩa với được loại khỏi giám sát. Không phải vậy. Một mô hình nằm ngoài khuôn khổ cụ thể này vẫn nằm gọn trong nhiều khuôn khổ khác.

Bảng 2: Một hệ thống GenAI ngoài phạm vi áp dụng rơi vào đâu

Mô hình làm việc này	Khuôn khổ nó vẫn phải trả lời	Câu hỏi bạn sẽ bị đặt ra
Chạy trên mô hình nền của nhà cung cấp	Rủi ro bên thứ ba và thuê ngoài	Bạn có bằng chứng thẩm định, phương án thoát và phân tích tập trung đối với nhà cung cấp không?
Chạm tới một quyết định tín dụng hoặc định giá	Bảo vệ người tiêu dùng và cho vay công bằng	Bạn có chứng minh được kết quả không mang tính phân biệt đối xử, và tái dựng được vì sao đi tới kết quả đó không?
Nằm trong một quy trình tiếp xúc khách hàng hoặc vận hành	Rủi ro hoạt động và khả năng chống chịu	Điều gì xảy ra khi nó suy giảm chất lượng, và ai là người nhận ra?
Tạo ra đầu ra mà nhân viên dựa vào	Quản trị và trách nhiệm giải trình cấp cao	Ai sở hữu hệ thống này, và họ đã được thông báo gì về giới hạn của nó?
Được triển khai tại EU hoặc Anh Quốc	EU AI Act; PRA SS1/23	Câu trả lời về phạm vi áp dụng ở đây khác — xem bên dưới

Không nghĩa vụ nào trong số đó là mới. Đó chính là điểm mấu chốt: hướng dẫn tháng 4 thu hẹp phạm vi của chính nó, và không đưa bất cứ thứ gì ra khỏi bất cứ khuôn khổ nào khác.

Còn một sự bất đối xứng về kỳ vọng giám sát đáng gọi tên thẳng thắn. Khi một khuôn khổ im lặng, thanh tra viên không im lặng theo. Họ quay về các kỳ vọng chung về an toàn và lành mạnh, vốn rộng hơn và khó dự đoán hơn một chuẩn mực rủi ro mô hình đã được viết ra. Nằm ngoài phạm vi áp dụng của một quy định cụ thể thường có nghĩa là bị đánh giá theo một quy định mơ hồ hơn.

Sự chia rẽ xuyên Đại Tây Dương mà tập đoàn ngân hàng nay phải vận hành

Với một định chế hoạt động ở cả hai bờ Đại Tây Dương, quyết định tháng 4 tạo ra một phân kỳ đang có hiệu lực.

Tuyên bố giám sát của Anh Quốc về các nguyên tắc quản trị rủi ro mô hình cho ngân hàng, SS1/23, có hiệu lực từ ngày 17/5/2024. Nó dựng trên năm nguyên tắc — nhận diện và danh mục mô hình, quản trị, phát triển và triển khai và sử dụng, thẩm định độc lập, cùng các biện pháp giảm thiểu cho mô hình có khiếm khuyết — và nó trung lập công nghệ một cách có chủ đích. Trí tuệ nhân tạo và học máy không bị tách ra khỏi phạm vi; chúng được tính đến.

Vậy nên cùng một mô hình tạo sinh, triển khai trong cùng một tập đoàn, trong cùng một mảng kinh doanh, lại nằm trong vành đai rủi ro mô hình của Anh Quốc và nằm ngoài vành đai Hoa Kỳ vừa sửa đổi. Cộng thêm nghĩa vụ theo EU AI Act cho một lần triển khai tại châu Âu và ta có ba câu trả lời, chứ không phải hai.

Các định chế có đúng hai cách phản ứng nhất quán.

Vận hành một khuôn khổ duy nhất theo chuẩn chặt nhất. Quản trị AI tạo sinh như thể nó thuộc phạm vi áp dụng ở mọi nơi, vì nó đã thuộc phạm vi ở đâu đó và sẽ thuộc phạm vi rộng hơn khi đợt lấy ý kiến ngã ngũ. Cách này tốn kém hơn ngay lúc này và bảo vệ được ở mọi khu vực pháp lý.

Vận hành hai vành đai thực sự tách biệt. Khả thi về pháp lý, khổ sở về vận hành. Nó có nghĩa là hai danh mục mô hình, hai chuẩn thẩm định và hai bộ hồ sơ bằng chứng cho một mô hình — cùng rủi ro danh tiếng khi phải giải thích, sau một sự cố, rằng phiên bản chốt kiểm soát lẽ ra chặn được sự cố lại là phiên bản áp dụng ở khu vực pháp lý bên kia.

Cách thứ nhất là câu trả lời đúng cho gần như mọi định chế đủ lớn để câu hỏi này phát sinh. Cách thứ hai là điều xảy ra theo mặc định khi không ai quyết định.

Làm gì với khoảng trống

Đợt lấy ý kiến công khai sẽ đến. Quãng thời gian từ nay tới một khuôn khổ ổn định là phần phải được quản lý có chủ đích, vì đó là giai đoạn mà việc triển khai tiếp diễn còn hồ sơ thì không.

Ba cam kết khiến khoảng trống đó có thể vượt qua.

Lập danh mục ngay, phân loại sau. Sản phẩm giá trị nhất là một sổ đăng ký đầy đủ về nơi các hệ thống tạo sinh và tác tử đang thực sự chạy — kể cả những hệ thống được mua kèm dưới dạng tính năng bên trong sản phẩm SaaS, vốn là nơi phần lớn chúng ẩn mình. Việc từng hệ thống có chính thức là một "mô hình" theo định nghĩa tương lai nào đó hay không là câu hỏi bạn có thể trả lời sau khi biết chúng tồn tại. Bạn không thể phân loại thứ mình chưa tìm ra.

Viết ra cách tiếp cận thẩm định mà bạn sẵn sàng bảo vệ. Kiểm định hồi tố truyền thống không chuyển giao trọn vẹn sang một hệ thống phi tất định, và đó chính xác là lý do các cơ quan quản lý hoãn lại. Đó không phải lý do để không có cách tiếp cận nào. Kiểm thử sinh nội dung trên tập ca tách riêng, theo dõi việc con người ghi đè, phân tích kết quả song song so với quy trình hiện hữu, cùng các ngưỡng chấp nhận đã lập hồ sơ đều khả dụng ngay hôm nay và đều dễ đọc với một cơ quan giám sát.

Gửi ý kiến vào đợt lấy ý kiến công khai. Một định chế đã xây được cách tiếp cận vận hành trong khoảng trống sẽ có điều cụ thể để nói, và đợt tham vấn chính là nơi chuẩn mực cuối cùng được định hình. Những đơn vị giữ im lặng sẽ thừa hưởng bất cứ điều gì mà những đơn vị lên tiếng thương lượng được.

Sổ tay vận hành

Tái thiết lập chuẩn đối chiếu với hướng dẫn sửa đổi ngay bây giờ. Xác nhận mô hình hiện có nào dịch chuyển theo câu chữ minh thị về nguyên tắc tương xứng, theo cả hai chiều. Một số sẽ cần ít hơn; một số sẽ cần nhiều hơn.
Đừng gỡ bất cứ thứ gì khỏi danh mục mô hình vì lý do AI bị loại trừ. Việc gỡ bỏ là một quyết định sẽ rất khó nhìn khi nhìn lại, và chi phí tái phát hiện cao hơn chi phí giữ lại.
Gắn nhãn "chờ phân loại" cho mọi hệ thống tạo sinh và tác tử trong danh mục. Hãy để khoảng trống hiện diện trong sổ đăng ký thay vì vắng mặt khỏi nó.
Ánh xạ từng hệ thống tới các khuôn khổ mà nó vẫn phải trả lời — bên thứ ba, rủi ro hoạt động, bảo vệ người tiêu dùng, cho vay công bằng — và xác nhận mỗi khuôn khổ đều có một chủ sở hữu được nêu tên.
Lấy chuẩn xuyên Đại Tây Dương chặt hơn làm chính sách tập đoàn. Một danh mục, một ngưỡng thẩm định, một bộ hồ sơ bằng chứng.
Chuẩn bị văn bản góp ý cho đợt lấy ý kiến. Đó là cách rẻ nhất để tác động tới chuẩn mực mà bạn sẽ bị thanh tra theo.

Các cơ quan quản lý đã làm một việc hợp lý hồi tháng 4: họ từ chối viết một quy định cho công nghệ mà họ chưa hiểu đủ để khoanh vùng. Việc hợp lý tương ứng của một ngân hàng là từ chối coi đó là sự cho phép.

Câu hỏi thường gặp

Hướng dẫn tháng 4/2026 có nghĩa là AI tạo sinh không bị quản lý trong ngành ngân hàng Hoa Kỳ?
Không. Nó có nghĩa là các mô hình AI tạo sinh và AI tác tử nằm ngoài phạm vi áp dụng của riêng hướng dẫn đó. Những hệ thống ấy vẫn chịu sự điều chỉnh của quản trị rủi ro bên thứ ba, rủi ro hoạt động, bảo vệ người tiêu dùng, cho vay công bằng và các kỳ vọng chung về an toàn và lành mạnh. Các cơ quan quản lý cũng đã cam kết mở một đợt lấy ý kiến công khai về việc ngân hàng sử dụng AI, bao gồm AI tạo sinh và AI tác tử.

Chính xác thì điều gì đã bị thay thế?
Hướng dẫn sửa đổi, ban hành ngày 17/4/2026 bởi Cục Dự trữ Liên bang, OCC và FDIC, thay thế hướng dẫn quản trị rủi ro mô hình năm 2011 và văn bản đi kèm năm 2021. Kiến trúc cốt lõi — phát triển chuẩn mực, phản biện độc lập hiệu quả, giám sát liên tục — được giữ nguyên.

Ngưỡng 30 tỷ USD có nghĩa là ngân hàng nhỏ hơn được bỏ qua chuyện này?
Không. Hướng dẫn nêu rằng nó dự kiến phù hợp nhất với các tổ chức trên ngưỡng quy mô đó, và bổ sung rằng nó cũng có thể phù hợp với các tổ chức nhỏ hơn có mức phơi nhiễm đáng kể với rủi ro mô hình do mật độ và độ phức tạp của mô hình, hoặc do hoạt động ngoài phạm vi ngân hàng cộng đồng truyền thống. Đó là một tuyên bố về nguyên tắc tương xứng, không phải một lằn ranh miễn trừ.

Điều này tương tác thế nào với SS1/23 của Anh Quốc?
Nó phân kỳ khỏi SS1/23. SS1/23, có hiệu lực từ ngày 17/5/2024, trung lập công nghệ và không loại trừ AI hay học máy. Một tập đoàn ngân hàng vận hành cùng một mô hình ở cả hai khu vực pháp lý nay đối mặt với hai câu trả lời khác nhau về phạm vi áp dụng, và đó là lý do quản trị theo chuẩn chặt hơn là con đường thực tế.

Chúng tôi có nên gỡ các công cụ AI tạo sinh khỏi danh mục mô hình khi chúng đã ngoài phạm vi áp dụng?
Không — và đây là quyết định dễ hối tiếc nhất. Tính đầy đủ của danh mục thì rẻ để duy trì và đắt để dựng lại. Thay vào đó hãy gắn nhãn "chờ phân loại" cho những hệ thống ấy, để sổ đăng ký phản ánh đúng những gì đang thực sự được triển khai khi khuôn khổ mới xuất hiện.

Tài liệu tham khảo

Board of Governors of the Federal Reserve System, 2026. SR 26-2: Revised Guidance on Model Risk Management. Washington, DC: Federal Reserve. Truy cập tại: Board of Governors of the Federal Reserve System, 2026..
Office of the Comptroller of the Currency, 2026. OCC Bulletin 2026-13, Model Risk Management: Revised Guidance. Washington, DC: OCC. Truy cập tại: Office of the Comptroller of the Currency, 2026..
Prudential Regulation Authority, 2023. SS1/23, Model risk management principles for banks. London: Bank of England. Truy cập tại: Prudential Regulation Authority, 2023..
European Parliament and Council of the European Union, 2024. Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Brussels: Official Journal of the European Union. Truy cập tại: European Parliament and Council of the European Union, 2024..

Cập nhật lần cuối 2026-08-08.

Đăng lại bài này

Ngoài phạm vi áp dụng không phải hết rủi ro: bản sửa đổi 2026 — Sebastien Rousseau

Bản sửa đổi quản trị rủi ro mô hình tháng 4/2026 đặt AI tạo sinh và AI tác tử ngoài phạm vi áp dụng. Ngoài phạm vi không phải hết rủi ro, và Anh Quốc bất đồng.

Bài viết này được cấp phép theo Creative Commons Attribution 4.0 International. Đăng lại yêu cầu ghi nguồn đến URL chính tắc.

Ngoài phạm vi áp dụng không phải hết rủi ro: bản sửa đổi 2026 — Sebastien Rousseau

Bản sửa đổi quản trị rủi ro mô hình tháng 4/2026 đặt AI tạo sinh và AI tác tử ngoài phạm vi áp dụng. Ngoài phạm vi không phải hết rủi ro, và Anh Quốc bất đồng.

Originally published at https://sebastienrousseau.com/vi/2026-07-30-model-risk-management-generative-ai-out-of-scope-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER