银行AI新规11月15日生效：外包不免责

导语：一条境外监管新规，把"外包不等于免责"写成了硬条款。对做跨境金融科技与银行 AI 交付的团队来说，这是一份提前到手的合规清单。

一、规则：三个时间点，四条硬约束

越南国家银行第 53/2026/TT-NHNN 号通函（关于银行业人工智能应用的安全与风险管理）将于 2026 年 11 月 15 日生效；涉及风险管理框架、网络安全审计、人力资源的部分按分阶段时间表推进；生效前已在运行的 AI 系统，须在 2027 年 3 月 1 日前满足全部安全、风险管理与部署要求（来源：BIDV 官方解读，2026-10-07）。

四条硬约束值得逐条对照：

1. 数据来源必须合法可溯。 用于训练、测试、运行的数据要有清晰合法的来源，机构须建立质量控制手段，识别错误、失准、被操纵或被投毒的数据，并对运行期数据变化持续监测。

2. 外包不免责。 委托外部 AI 供应商不改变机构在运营安全、客户权益、网络安全、个人数据保护与风险管理上的责任。

3. 第三方不得擅自用数据训模型。 未经事先书面同意，第三方不得使用机构数据训练、微调或改进模型。

4. 出事要兜底。 外包 AI 系统造成客户或相关方损害时，使用方须及时采取补救措施，受理投诉并依规赔偿。

二、为什么重要：合规责任被钉在使用方身上

这套条款的核心逻辑是"责任留在一线"。它把 AI 供应商从"责任共担"降级为"技术供应"，把最终责任 100% 压回银行。对国内做银行 AI 项目的团队，这意味着三件事会很快发生：

• 采购合同里会新增"数据不得用于训练"的书面授权条款；

• 交付文档里要能证明"数据质量检测"确实跑过，而不是写在 PPT 里；

• 模型上线要配紧急停用、故障退出、人工替代的备用流程。

三、对从业者的三个影响

1. 模型选型从"能力优先"转向"可问责优先"。 能不能给出数据血缘、能不能审计、能不能一键停用，将成为硬门槛。

2. 交付物清单变长。 除功能验收外，还要交数据质量报告、第三方数据处理协议、应急预案演练记录。

3. 境内项目会被同类要求"对标"。 国内监管对高风险生成式 AI 应用强调人工监督、复核干预、报备与算法不得独立主导高风险决策（参照行业媒体报道口径），方向一致。

四、接下来该看什么

• 越南本地银行在 2027 年 3 月前的改造进度，会成为一个可观察的样本。

• 跨境交付合同中"数据使用授权"条款的标准化程度。

• 国内银行 AI 项目的验收清单是否出现同类条目。

合规动作项（4 条）

1. 梳理所有 AI 供应商的数据处理协议，补签"不得用于训练/微调"的书面授权。

2. 建立数据质量抽检记录，保留投毒与漂移监测日志，至少可回溯到上线前基线。

3. 为每个上线模型配置人工接管与紧急停用流程，并留有演练记录。

4. 客服与营销侧表述避免绝对化承诺，不出现收益保证、稳赚类表述。

标签：金融、政策合规、AI治理、风险管理、GEO/AIVO（不适用）