Câu Hỏi Thẩm Định Mà Chưa Ai Đặt Ra

Trong suốt thời gian các ngân hàng mở tài khoản, việc tuân thủ dựa trên một giả định duy nhất: rằng một người thực, có thể xác định đứng sau mỗi tài khoản. Xác minh người đó khi khởi tạo và mọi thứ sau đó kế thừa niềm tin. Giả định này đang bị xói mòn từ hai phía cùng một lúc. Các đại lý AI hiện đang giao dịch thay mặt con người, và các danh tính tổng hợp đang được cho là người mà chưa bao giờ tồn tại. Việc xác nhận một con người thật đứng sau một tài khoản, và họ có ý định với những gì tài khoản đang thực hiện, chưa bao giờ khó hơn như vậy.

Các cơ quan quản lý đã chú ý, dù tiến độ giữa họ không đồng đều và họ chưa gọi tác nhân là một loại hình riêng. Hai khu vực pháp lý cho thấy phạm vi các cách tiếp cận.

Hai Cơ Quan Quản Lý, Hai Hướng

Tín hiệu rõ nhất đến từ châu Âu. Đạo luật AI của Liên minh Châu Âu bước vào giai đoạn thực thi quan trọng nhất vào ngày 2 tháng 8 năm 2026, khi toàn bộ nghĩa vụ dành cho hệ thống rủi ro cao và quy tắc minh bạch Điều 50 bắt đầu áp dụng, cùng quyền thực thi của Ủy ban, có thể phạt có thể phạt các nhà cung cấp mô hình AI đa năng tiên tiến nhất tới 3% doanh thu toàn cầu hoặc 15 triệu euro, tùy mức nào cao hơn. Đạo luật không định nghĩa tác nhân AI là một loại hình pháp lý riêng và cũng không cần làm vậy. Bất kỳ hệ thống nào nhận đầu vào, xử lý rồi hành động đã đủ điều kiện là hệ thống AI theo văn bản hiện hành; tác nhân thực hiện chức năng rủi ro cao trong cho vay, bảo hiểm hay xác minh danh tính phải gánh cùng nghĩa vụ như hệ thống do con người vận hành.

Singapore chọn cách tiếp cận ngược lại. Ngày 22 tháng 1 năm 2026 tại Diễn đàn Kinh tế Thế giới, Bộ Phát triển Kỹ thuật số và Thông tin công bố Khung Quản trị AI Mô hình cho AI Tự động, mô hình quản trị đầu tiên được xây dựng riêng cho hệ thống tự chủ thay vì điều chỉnh từ quy tắc AI chung. Mô hình mang tính tự nguyện nhưng cho thấy một khuôn khổ chính thức sẽ ra sao: mức độ tự chủ của tác nhân được đánh giá, cơ cấu trách nhiệm của con người được gán cho nó và rủi ro được giới hạn ngay trong thiết kế thay vì phát hiện sau sự việc. Hai cơ quan quản lý đang hội tụ vào cùng một vấn đề từ hai đầu đối lập của bộ quy tắc: một bên kéo giãn luật hiện có để bao phủ tác nhân, bên kia viết quy tắc mới cho một loại hình chưa tồn tại khi luật cũ được soạn.

Ai Chịu Trách Nhiệm Cho Đại Lý

Dưới cả hai cách tiếp cận là câu hỏi mà các nhóm tuân thủ trước đây chưa phải trả lời rành mạch: khi tác nhân hành động, ai chịu trách nhiệm? Phân tích pháp lý từ Baker McKenzie, công bố ngày 1 tháng 7 năm 2026, kết luận rằng tòa án và cơ quan quản lý đang hội tụ vào một câu trả lời, ít nhất là hiện tại. Trách nhiệm thuộc về con người và tổ chức đứng sau tác nhân chứ không thuộc về chính tác nhân; một sắc lệnh hành pháp Hoa Kỳ tháng 6 năm 2026 chỉ đạo Bộ Tư pháp ưu tiên thực thi đối với hành vi tấn công mạng có AI hỗ trợ càng củng cố nguyên tắc này. Câu trả lời đó có thể dùng làm mặc định pháp lý, nhưng tự nó chưa phải lời giải vận hành.

Biết rằng cuối cùng một người phải chịu trách nhiệm không cho nhân viên tuân thủ biết người đó là ai tại thời điểm giao dịch hoàn tất. Nó không cho biết thực thể đứng sau tác nhân chỉ được xác minh một lần khi đăng ký hay liên tục khi quyền hạn của tác nhân thay đổi. Quy tắc về chủ sở hữu hưởng lợi được thiết kế để trả lời “ai sở hữu thứ này”, phần lớn là câu hỏi một lần. Hoạt động tác nhân đặt ra câu hỏi liên tục: hiện ai đang chỉ đạo nó, và câu trả lời có thể thay đổi mà không ai được báo hay không?

Công Việc Thực Sự Của Chức Năng Tuân Thủ

Phần lớn bộ phận tuân thủ hiện chưa thể truy vết chuỗi đó từ đầu đến cuối; các công cụ làm việc này vẫn đang được xây dựng chứ chưa thể mua sẵn. Một khung cho thiết kế chương trình AML thích ứng lập luận rằng quy tắc sàng lọc cứng nhắc, áp dụng đồng nhất cho mọi khách hàng và khu vực pháp lý, không thể theo kịp loại rủi ro thay đổi hình dạng nhanh như vậy; hồ sơ sàng lọc có thể cấu hình theo rủi ro thực tế thay vì một bộ quy tắc cố định là cấu trúc duy nhất đủ linh hoạt. Logic này tự nhiên mở rộng sang hoạt động tác nhân. Chương trình sàng lọc không thể thích ứng với một loại chủ thể mới thì không đủ khả năng quản trị loại đó.

Việc quản trị chính các tác nhân cũng theo logic ấy. Hướng dẫn gần đây về việc cho công cụ AI truy cập dữ liệu tín hiệu rủi ro ủng hộ các kết nối có cấp quyền và ghi nhật ký, kế thừa cơ chế kiểm soát truy cập theo vai trò hiện có. Vì vậy, hành động của tác nhân mang cùng dấu vết kiểm toán như của nhà phân tích con người, thay vì trở thành lối tắt không được theo dõi. Đây là phiên bản quy mô nhỏ của chính vấn đề mà cơ quan quản lý đang xem xét ở cấp toàn bộ hệ thống tài chính: hành động của tác nhân phải được quy kết theo thời gian thực cho bên chịu trách nhiệm đứng sau, chứ không phải được dựng lại sau sự việc.

Chuẩn Hóa Những Gì Đã Tồn Tại

Dù ngành cuối cùng gọi nó là gì, Know Your Agent là một lĩnh vực riêng, không phải tập con của quy trình thẩm định khách hàng và doanh nghiệp mà nhóm tuân thủ đã thực hiện. Hướng đi gần như không còn nghi ngờ: giai đoạn thực thi Đạo luật AI, khung quản trị của Singapore và sự đồng thuận pháp lý mới nổi về trách nhiệm đều hướng tới cùng đích đến — các quy tắc chính thức về ai hoặc điều gì được phép hành động và dựa trên thẩm quyền của ai.

Câu hỏi thực sự duy nhất là thời gian, liệu các tổ chức tài chính có xây dựng lĩnh vực này trước khi có quy định hay phải vội vàng lắp ráp sau này. Các cơ quan quản lý hiếm khi thưởng cho cách sau. Và vấn đề khó hơn nằm dưới các quy tắc dù sao: khách hàng trước mặt tổ chức không còn chắc chắn là một con người, và việc đơn giản hoá giấy tờ không làm cho con người đứng sau một tài khoản trở nên dễ tin hơn.