भुगतान की सीमाओं से स्वचालित बैंकिंग पर निगरानी सख्त
वियतनाम उन AI प्रणालियों को उच्च जोखिम वाली श्रेणी में रखेगा जो अपने आप भुगतान करती हैं, जब किसी व्यक्तिगत ग्राहक का लेनदेन प्रति भुगतान 10 मिलियन VND या एक दिन में 20 मिलियन VND से अधिक हो। संस्थागत ग्राहकों के लिए संबंधित सीमाएं प्रति लेनदेन 50 मिलियन VND से अधिक या दैनिक 100 मिलियन VND से अधिक हैं। ये नियम 15 नवंबर, 2026 से लागू होंगे। इन्हें वियतनाम के स्टेट बैंक के गवर्नर ने 30 सितंबर को जारी सर्कुलर संख्या 53/2026/TT-NHNN के तहत अधिसूचित किया है।
विषय-सूची
- भुगतान की सीमाओं से स्वचालित बैंकिंग पर निगरानी सख्त
- किन प्रणालियों और संस्थानों पर लागू होंगे नियम?
- AI से भुगतान कराने से पहले ग्राहकों की सहमति जरूरी
- मानवीय पर्यवेक्षकों के पास प्रणाली रोकने का अधिकार होना जरूरी
- ग्राहकों को जानकारी, स्पष्टीकरण और मानवीय समीक्षा का अधिकार
- डेटा की गुणवत्ता और सुरक्षा तैनाती की शर्तें बनीं
- आउटसोर्सिंग से जवाबदेही हस्तांतरित नहीं होती
- पहले के प्रस्तावों से ढांचे का विकास सामने आता है
- कार्यान्वयन की समय-सीमा और बाकी सवाल
- मुख्य बातें
इन सीमाओं से स्वचालित भुगतानों पर प्रतिबंध नहीं, बल्कि सख्त निगरानी लागू होती है। अलग प्रावधानों के तहत AI द्वारा एक दिन में अपने आप किए जा सकने वाले लेनदेन का कुल मूल्य व्यक्तिगत ग्राहक के लिए 100 मिलियन VND और संस्थागत ग्राहक के लिए 500 मिलियन VND तक सीमित है। सेवा प्रदाता की अपनी आंतरिक सीमा भी लागू होगी, जो इससे कम हो सकती है।
यह अंतर महत्वपूर्ण है: अधिकतम अनुमत भुगतान मात्रा तक पहुंचने से काफी पहले ही कोई AI प्रणाली उच्च जोखिम वाली श्रेणी में आ सकती है। दोनों दैनिक अधिकतम सीमाएं संबंधित दैनिक जोखिम सीमाओं से पांच गुना हैं: व्यक्तियों के लिए 20 मिलियन VND की तुलना में 100 मिलियन VND और संस्थानों के लिए 100 मिलियन VND की तुलना में 500 मिलियन VND।
वियतनाम बैंक संघ की सर्कुलर सूची के अनुसार, यह उपाय बैंकिंग में AI की सुरक्षा, जोखिम प्रबंधन और तैनाती की शर्तों से जुड़ा है। इसका केंद्रीय सिद्धांत है कि स्वचालन से मानवीय अधिकार या जिम्मेदारी समाप्त नहीं होती। बैंक और अन्य विनियमित सेवा प्रदाता AI द्वारा लिए गए या समर्थित फैसलों के लिए जवाबदेह रहेंगे, जिनमें बाहरी विक्रेताओं से खरीदी गई प्रणालियां भी शामिल हैं।
किन प्रणालियों और संस्थानों पर लागू होंगे नियम?
तैनाती से पहले सेवा प्रदाताओं को AI प्रणालियों को उच्च, मध्यम या निम्न जोखिम वाली श्रेणी में रखना होगा। निगरानी का स्तर और मानवीय हस्तक्षेप की गुंजाइश, ग्राहकों और बैंकिंग परिचालन पर प्रणाली के संभावित प्रभावों के अनुरूप होनी चाहिए। उच्च जोखिम वाली प्रणालियों के लिए प्रभाव आकलन जरूरी होगा, जिसमें परिचालन शुरू होने से पहले उनके उपयोग के संभावित परिणामों की जांच की जाएगी।
स्वचालित ऋण प्रणालियों पर भी मौद्रिक सीमा लागू होगी: 50 मिलियन VND या इससे अधिक का ऋण संबंधित प्रणाली को उच्च जोखिम वाली श्रेणी में ले आएगा। भुगतान की उन सीमाओं से अलग, जो बताई गई राशि से अधिक होने पर लागू होती हैं, ऋण की सीमा में ठीक 50 मिलियन VND भी शामिल है।
कौन-सा ऋण संबंधी कार्य इसके दायरे में आता है, इस बारे में रिपोर्टों में अलग-अलग विवरण हैं। कुछ रिपोर्टों में ऐसे AI का जिक्र है जो ऋण देने या न देने का फैसला अपने आप करता है, जबकि अन्य में ऐसे AI का उल्लेख है जो अपने आप ऋण संबंधी फैसला प्रस्तावित करता है। यह अंतर उन बैंकों के लिए महत्वपूर्ण है जहां सॉफ्टवेयर सिफारिश देता है, लेकिन मंजूरी का अधिकार किसी व्यक्ति के पास रहता है। प्रणालियों का वर्गीकरण करते समय संस्थानों को जारी सर्कुलर के मूल पाठ की जांच करनी चाहिए।
यह सर्कुलर वाणिज्यिक बैंकों से आगे भी लागू होता है। इसके दायरे में ऋण संस्थान, विदेशी बैंकों की शाखाएं, मध्यस्थ भुगतान सेवा प्रदाता, मोबाइल मनी सेवा प्रदाता और ऋण सूचना कंपनियां शामिल हैं। वियतनाम एसेट मैनेजमेंट कंपनी, नेशनल मनी प्रिंटिंग प्लांट और वियतनाम डिपॉजिट इंश्योरेंस भी इसके दायरे में हैं। इसमें बैंकिंग, मध्यस्थ भुगतान सेवाएं, ऋण सूचना और मोबाइल मनी परिचालन शामिल हैं।
AI से भुगतान कराने से पहले ग्राहकों की सहमति जरूरी
बैंक AI भुगतान सुविधा उपलब्ध होने को ग्राहक की ओर से उसका इस्तेमाल करने की अनुमति नहीं मान सकते। भुगतान अपने आप करने के लिए सेवा प्रदाता और ग्राहक के बीच पहले से समझौता होना जरूरी है, जिसमें यह तय हो कि प्रणाली को क्या करने की अनुमति है।
समझौते में अनुमत लेनदेन का दायरा, हर भुगतान और दैनिक कुल राशि की सीमाएं, समझौते की वैधता अवधि, लागू शर्तें और ग्राहक का इसे समाप्त करने का अधिकार स्पष्ट होना चाहिए। रिपोर्टों में यह बताने की आवश्यकता का भी उल्लेख है कि सुविधा किन परिस्थितियों में निलंबित की जा सकती है और समाप्ति का अनुरोध मिलने पर सेवा प्रदाता की क्या जिम्मेदारी होगी।
ग्राहकों के पास AI को दी गई अनुमति रोकने या रद्द करने के साधन होने चाहिए। इस तरह नियम किसी संस्थान की तकनीकी रूप से भुगतान स्वचालित करने की क्षमता और उस स्वचालन के लिए ग्राहक की निरंतर सहमति के बीच अंतर करते हैं। रिपोर्टों के अनुसार, ग्राहक को किसी भी समय अनुमति समाप्त करने का अधिकार है और सेवा प्रदाता को अनुरोध पर तुरंत कार्रवाई करनी होगी।
ग्राहक की सहमति या आंतरिक भुगतान सीमा, नियामकीय अधिकतम सीमा को समाप्त नहीं करती। ग्राहक लेनदेन का एक तय दायरा अधिकृत कर सकता है, लेकिन भुगतान फिर भी सेवा प्रदाता की सीमा और लागू होने पर 100 मिलियन VND या 500 मिलियन VND की दैनिक अधिकतम सीमा के भीतर ही रहना चाहिए।
मानवीय पर्यवेक्षकों के पास प्रणाली रोकने का अधिकार होना जरूरी
उच्च जोखिम वाली AI की लगातार निगरानी की जानी चाहिए। पर्यवेक्षकों के पास उसके फैसलों को बदलने, समायोजित करने या रोकने का अधिकार और व्यावहारिक क्षमता, दोनों होने चाहिए। जरूरत पड़ने पर AI प्रणाली को रोकने या अलग करने के लिए सेवा प्रदाताओं को आपातकालीन व्यवस्था भी बनाए रखनी होगी।
मानवीय हस्तक्षेप का रिकॉर्ड रखा जाना चाहिए। लॉग में दर्ज होना चाहिए कि क्या बदला गया, हस्तक्षेप कब हुआ, किसने किया और क्यों किया। इससे फैसले और उस पर हुई कार्रवाई का पूरा ब्यौरा फिर से समझना संभव होगा; केवल यह सामान्य आश्वासन पर्याप्त नहीं कि कोई व्यक्ति निगरानी कर रहा था।
किसी गंभीर घटना के दौरान बैंकों और इलेक्ट्रॉनिक वॉलेट सेवा प्रदाताओं को आपातकालीन शटडाउन सक्रिय करना होगा, जरूरत पड़ने पर मैनुअल परिचालन पर जाना होगा और नुकसान सीमित करने के लिए सुधारात्मक कदम उठाने होंगे। मैनुअल व्यवस्था सामान्य समीक्षा से अलग है: इससे संस्थान प्रभावित AI पर निर्भर हुए बिना जरूरी काम जारी रख सकता है।
सेवा प्रदाता प्रणाली की स्वायत्तता, तकनीकी विशेषताओं या तीसरे पक्ष के उत्पाद के रूप में उसके स्रोत का हवाला देकर अपनी प्रबंधन और कानूनी जिम्मेदारी से बच नहीं सकते या उसे कम नहीं कर सकते। सर्कुलर में मानवीय नियंत्रण को परिचालन संबंधी आवश्यकता माना गया है, न कि केवल यह घोषणा कि कोई व्यक्ति जवाबदेह बना हुआ है।
ग्राहकों को जानकारी, स्पष्टीकरण और मानवीय समीक्षा का अधिकार
जब सीधे संवाद में AI किसी व्यक्ति की जगह ले, तो सत्र या बातचीत की शुरुआत में ग्राहकों को बताना होगा कि वे AI प्रणाली से बात कर रहे हैं। सेवा प्रदाताओं को AI के उपयोग संबंधी शिकायतें प्राप्त करने और उन पर कार्रवाई के लिए एक विभाग और प्रक्रियाएं भी बनाए रखनी होंगी।
अगर कोई ग्राहक स्वचालित फैसले को चुनौती देता है, तो उसकी समीक्षा किसी व्यक्ति को करनी होगी। शिकायत के निपटारे का अंतिम आधार उस समीक्षा का नतीजा होगा। इस आवश्यकता को यह कहने के रूप में नहीं समझना चाहिए कि अन्य कानूनी उपाय उपलब्ध नहीं हैं; यह सेवा प्रदाता की शिकायत निपटाने की प्रक्रिया से संबंधित है।
ऐसे स्वचालित फैसलों के मामले में जो कानूनी जिम्मेदारी, वित्तीय दायित्वों या उत्पादों और सेवाओं तक पहुंच को सीधे प्रभावित करते हैं, सेवा प्रदाताओं को फैसले के पीछे के आधार और प्रमुख कारकों का रिकॉर्ड रखना होगा। ग्राहक के अनुरोध पर स्पष्टीकरण देने के लिए ये रिकॉर्ड पर्याप्त होने चाहिए।
स्पष्टीकरण देने के लिए सोर्स कोड, विस्तृत एल्गोरिदम, मॉडल के पैरामीटर या कारोबारी और तकनीकी रहस्य उजागर करना जरूरी नहीं है। धोखाधड़ी, ठगी, धनशोधन, आतंकवादी वित्तपोषण या साइबर सुरक्षा से जुड़े फैसलों के मामले में सेवा प्रदाता जोखिम नियंत्रण और ग्राहक की संपत्तियों की सुरक्षा के अनुरूप कारण बता सकता है। आवश्यकता यह है कि उन सूचनाओं को उजागर किए बिना फैसले का प्रासंगिक आधार समझाया जाए, जिनसे सुरक्षा उपाय कमजोर पड़ सकते हैं।
डेटा की गुणवत्ता और सुरक्षा तैनाती की शर्तें बनीं
सर्कुलर उन जोखिमों पर भी ध्यान देता है जो ग्राहक को AI का नतीजा दिखने से पहले पैदा हो सकते हैं। प्रशिक्षण, परीक्षण और परिचालन में इस्तेमाल किए जाने वाले डेटा का स्रोत स्पष्ट और वैध होना चाहिए। संस्थानों को इसकी गुणवत्ता नियंत्रित करनी होगी, त्रुटियों और अशुद्धियों का पता लगाना होगा, हेरफेर या डेटा पॉइज़निंग की पहचान करनी होगी और परिचालन के दौरान बदलावों पर नजर रखनी होगी।
डेटा पॉइज़निंग का अर्थ है AI प्रणाली में इस्तेमाल होने वाली जानकारी को जानबूझकर दूषित करना, ताकि उसके नतीजे अविश्वसनीय हो जाएं या हमलावर के उद्देश्य पूरे करें। गलत या पुराने रिकॉर्ड जैसी सामान्य समस्याएं भी फैसलों को बिगाड़ सकती हैं। नियमों के तहत जानबूझकर किए गए हस्तक्षेप और डेटा की गुणवत्ता, दोनों पर ध्यान देना होगा।
AI प्रणालियों को परिचालन में लाने से पहले, उसके बाद समय-समय पर और बड़े बदलाव के बाद साइबर सुरक्षा आकलन से गुजरना होगा। सेवा प्रदाताओं को डेटा सुरक्षा, बदलाव प्रबंधन, घटना से निपटने और लॉग रखने संबंधी आवश्यकताएं भी पूरी करनी होंगी। जोखिम प्रबंधन ढांचे में मॉडल, नैतिकता, आउटसोर्सिंग और आपूर्ति श्रृंखला से जुड़े जोखिम भी शामिल हैं।
तैनाती से पहले संस्थान को जरूरी दस्तावेज तैयार करने होंगे, यह आकलन करना होगा कि परिचालन की शर्तें पूरी हुई हैं या नहीं, और संबंधित प्राधिकरण से मंजूरी लेनी होगी। इसलिए नया मॉडल लागू करने या मौजूदा मॉडल में बदलाव करने के लिए केवल यह तय करना पर्याप्त नहीं होगा कि उसका नतीजा उपयोगी दिखता है या नहीं।
आउटसोर्सिंग से जवाबदेही हस्तांतरित नहीं होती
बाहरी AI विक्रेता किसी संस्थान के डेटा का इस्तेमाल मॉडल को प्रशिक्षित करने, फाइन-ट्यून करने या बेहतर बनाने के लिए उसकी लिखित सहमति के बिना नहीं कर सकते। यह पाबंदी अनुबंधित सेवा के लिए डेटा संसाधित करने की अनुमति से अलग है: जानकारी तक पहुंच होने का अर्थ यह नहीं कि मॉडल विकसित करने के लिए उसका दोबारा इस्तेमाल भी अधिकृत है।
आउटसोर्स की गई प्रणाली का इस्तेमाल करने वाला संस्थान परिचालन सुरक्षा, ग्राहक अधिकारों, साइबर सुरक्षा, व्यक्तिगत डेटा की सुरक्षा और जोखिम प्रबंधन के लिए जिम्मेदार रहेगा। अगर उस प्रणाली से ग्राहकों या अन्य प्रभावित पक्षों को नुकसान होता है, तो संस्थान को लागू नियमों के अनुसार तुरंत सुधारात्मक कदम उठाने, ग्राहकों की सुरक्षा करने, शिकायतों पर कार्रवाई करने और नुकसान की भरपाई करने की व्यवस्था करनी होगी।
ये जिम्मेदारियां विक्रेता प्रबंधन को सर्कुलर में दिए गए ग्राहक सुरक्षा उपायों से जोड़ती हैं। तकनीक किसी दूसरी कंपनी की होने पर भी बैंक को महत्वपूर्ण फैसलों का स्पष्टीकरण देने, विवादित नतीजों की समीक्षा करने और परिचालन में हस्तक्षेप करने का तरीका बनाए रखना होगा। आपूर्तिकर्ता नियुक्त करने से ये दायित्व समाप्त नहीं होते।
पहले के प्रस्तावों से ढांचे का विकास सामने आता है
अंतिम सर्कुलर से पहले 2026 में एक मसौदा ढांचे का वर्णन किया गया था। बेकर मैकेंज़ी के 23 अप्रैल के मसौदे के विश्लेषण में AI प्रणालियों की डिजाइन, परीक्षण, निगरानी, अपडेट और सुरक्षित रूप से सेवा से हटाने से जुड़े नियंत्रणों का उल्लेख था। इसमें मॉडल ड्रिफ्ट का पता लगाने की बात भी थी, यानी डेटा बदलने के साथ प्रणाली के व्यवहार या सटीकता में बदलाव आना।
उस विश्लेषण में लिंग, जातीयता, धर्म, दिव्यांगता, उम्र और सामाजिक-आर्थिक वंचना से जुड़े एल्गोरिद्मिक पक्षपात के खिलाफ प्रस्तावित उपायों का वर्णन था। इसमें क्षमता की सालाना समीक्षा और आउटसोर्स किए गए AI का स्वतंत्र ऑडिट भी मसौदे के हिस्सों के रूप में बताए गए थे। ये मसौदे के विवरण हैं; इन्हें जारी सर्कुलर के पुष्ट प्रावधान नहीं मानना चाहिए।
वियतनाम में ऑस्ट्रेलियाई चैंबर ऑफ कॉमर्स के मसौदा सर्कुलर अपडेट में भी भेदभाव और कमजोर समूहों के शोषण पर प्रस्तावित रोक का वर्णन था। इसमें प्रदर्शन और सटीकता के मानक, कर्मचारियों का प्रशिक्षण, घटना से निपटने की योजनाएं और शासन की सालाना समीक्षा का उल्लेख किया गया। चैंबर ने कहा कि वियतनाम का AI कानून मार्च 2026 में लागू हुआ; बैंकिंग सर्कुलर उस कानून के प्रावधानों को लागू करता है।
मसौदे के इन दोनों संस्थागत विवरणों में गंभीर AI घटनाओं का पता चलने के 24 घंटे के भीतर स्टेट बैंक को सूचित करने और घटना के समाधान के बाद पांच कार्यदिवसों में समापन रिपोर्ट जमा करने की बात थी। ये समय-सीमाएं मसौदे के विवरणों में हैं, लेकिन जारी सर्कुलर पर आधारित रिपोर्टों में इनकी पुष्टि नहीं की गई है। संस्थानों को अनुपालन योजनाओं में मसौदे की समय-सीमाएं शामिल करने से पहले अंतिम रिपोर्टिंग प्रावधानों की पुष्टि करनी चाहिए।
कार्यान्वयन की समय-सीमा और बाकी सवाल
सर्कुलर 15 नवंबर, 2026 से लागू होगा, जबकि उससे पहले से परिचालन में मौजूद AI प्रणालियों को सुरक्षा, जोखिम प्रबंधन और तैनाती संबंधी आवश्यकताओं का अनुपालन पूरा करने के लिए 1 मार्च, 2027 तक का समय दिया गया है। जोखिम प्रबंधन ढांचे, साइबर सुरक्षा जांच और कर्मचारियों से जुड़े कुछ प्रावधान चरणबद्ध समय-सारणी पर लागू होंगे, हालांकि अंतिम उपाय का वर्णन करने वाली रिपोर्टों में विस्तृत समय-सीमाएं नहीं दी गई हैं।
- मार्च 2026: वियतनाम में AI कानून लागू हुआ, वियतनाम में ऑस्ट्रेलियाई चैंबर ऑफ कॉमर्स के अनुसार।
- 23 अप्रैल, 2026: बेकर मैकेंज़ी ने बैंकिंग में AI पर प्रस्तावित सर्कुलर का विश्लेषण प्रकाशित किया।
- 30 सितंबर, 2026: स्टेट बैंक के गवर्नर ने सर्कुलर संख्या 53/2026/TT-NHNN जारी किया।
- 15 नवंबर, 2026: सर्कुलर लागू होगा।
- 1 मार्च, 2027: लागू होने की तारीख से पहले परिचालन में मौजूद AI प्रणालियों को जरूरी अनुपालन पूरा करना होगा।
ये नियम ऐसे समय आए हैं जब बैंक क्रेडिट स्कोरिंग, ऋण आकलन, भुगतान धोखाधड़ी का पता लगाने, स्वचालित सलाह और इलेक्ट्रॉनिक पहचान जांच में AI का इस्तेमाल बढ़ा रहे हैं। एक सरकारी बैंक के नाम न बताने वाले अधिकारी ने कहा कि अधिकांश बैंकों में भुगतान अब भी लोगों की भागीदारी से होते हैं और उनके अपने बैंक में ऋण मंजूर करने से पहले मानवीय समीक्षा की जाती है। यह बताता है कि AI से सहायता लेना और पूरी तरह स्वचालित भुगतान करना, अपनाने के अलग-अलग चरण हैं।
मौजूदा नियमों के तहत 10 मिलियन VND से अधिक के ऑनलाइन लेनदेन के लिए खाताधारक का बायोमेट्रिक प्रमाणीकरण भी जरूरी है। यह राशि उच्च जोखिम वाले AI वर्गीकरण के लिए व्यक्तिगत भुगतान की सीमा के बराबर है, लेकिन दोनों आवश्यकताओं के उद्देश्य अलग हैं: एक खाताधारक की पहचान की पुष्टि करता है, जबकि दूसरा स्वचालित प्रणाली के जोखिम को नियंत्रित करता है। रिपोर्टें यह नहीं बतातीं कि हर स्थिति में स्वायत्त भुगतान व्यवस्थाएं बायोमेट्रिक आवश्यकताओं को कैसे पूरा करेंगी।
मुख्य बातें
- सर्कुलर संख्या 53/2026/TT-NHNN 15 नवंबर, 2026 से लागू होगा।
- व्यक्तियों के लिए प्रति लेनदेन 10 मिलियन VND या दैनिक 20 मिलियन VND से अधिक के स्वचालित भुगतान पर उच्च जोखिम वर्गीकरण लागू होगा।
- संस्थानों के लिए सीमाएं प्रति लेनदेन 50 मिलियन VND से अधिक या दैनिक 100 मिलियन VND से अधिक हैं।
- स्वचालित दैनिक भुगतान की अधिकतम सीमा व्यक्तियों के लिए 100 मिलियन VND और संस्थानों के लिए 500 मिलियन VND होगी; सेवा प्रदाता की कम सीमा भी लागू हो सकती है।
- संबंधित स्वचालित ऋण प्रणालियां 50 मिलियन VND या उससे अधिक पर उच्च जोखिम वाली श्रेणी में आएंगी।
- स्वचालित भुगतानों के लिए ग्राहकों की सहमति जरूरी है और उन्हें उस अनुमति को रोकने या वापस लेने में सक्षम होना चाहिए।
- विवादित स्वचालित फैसलों की मानवीय समीक्षा जरूरी है और सेवा प्रदाताओं को महत्वपूर्ण फैसलों का आधार दर्ज रखना होगा।
- आउटसोर्सिंग से संस्थान की जिम्मेदारी समाप्त नहीं होती; मॉडल विकसित करने के लिए संस्थागत डेटा का दोबारा इस्तेमाल करने हेतु विक्रेताओं को लिखित सहमति चाहिए।
- मौजूदा AI प्रणालियों को 1 मार्च, 2027 तक अनुपालन पूरा करना होगा; कुछ आवश्यकताएं चरणबद्ध समय-सारणी के अनुसार लागू होंगी।
