Nhà cung cấp thực hiện rà soát và phân loại lại mức độ rủi ro của hệ thống trí tuệ nhân tạo trong trường hợp nào?

Hồ sơ phân loại rủi ro của hệ thống trí tuệ nhân tạo bao gồm tài liệu nào?

Căn cứ Điều 12 Nghị định 142/2026/NĐ-CP, nhà cung cấp phải lập hồ sơ phân loại rủi ro đối với hệ thống trí tuệ nhân tạo có rủi ro cao và hệ thống trí tuệ nhân tạo có rủi ro trung bình trước khi đưa hệ thống vào sử dụng theo quy định tại khoản 1 Điều 10 của Luật Trí tuệ nhân tạo 2025.

- Đối với hệ thống trí tuệ nhân tạo có rủi ro cao và rủi ro trung bình, nhà cung cấp phải bảo đảm hồ sơ phân loại rủi ro bao gồm các tài liệu sau đây:

+ Thông tin nhận diện hệ thống, bao gồm: tên hệ thống; phiên bản; mã định danh nội bộ hoặc mã định danh do cơ quan nhà nước có thẩm quyền cấp; tên, địa chỉ và thông tin liên hệ của nhà cung cấp;

+ Mô tả hệ thống và bối cảnh sử dụng: mục đích sử dụng; chức năng chính; kiến trúc hệ thống ở mức chức năng, nghiệp vụ; phạm vi triển khai; nhóm người sử dụng và người bị ảnh hưởng;

+ Thông tin về dữ liệu: Mô tả khái quát loại dữ liệu đầu vào chủ yếu được sử dụng để vận hành hệ thống;

+ Nội dung quản lý rủi ro: Tóm tắt các biện pháp quản lý rủi ro, bảo đảm an toàn và tính minh bạch của hệ thống.

- Trường hợp nhà cung cấp phát triển hệ thống trí tuệ nhân tạo dựa trên nền tảng, mô hình hoặc dịch vụ trí tuệ nhân tạo của bên thứ ba, nhà cung cấp chỉ phải cung cấp thông tin kỹ thuật và thông tin về dữ liệu trong phạm vi quyền tiếp cận và kiểm soát hợp pháp của mình.

- Việc lập, cung cấp và quản lý hồ sơ phân loại rủi ro không bắt buộc nhà cung cấp phải tiết lộ mã nguồn, bộ tham số mô hình, thuật toán chi tiết, dữ liệu huấn luyện thô hoặc các thông tin thuộc danh mục bí mật nhà nước, bí mật kinh doanh, bí mật công nghệ theo quy định tại điểm e khoản 1 Điều 14 của Luật Trí tuệ nhân tạo 2025, trừ trường hợp pháp luật có quy định khác.

- Nhà cung cấp có quyền sử dụng tài liệu mô tả kỹ thuật mô hình hoặc tài liệu kỹ thuật tương đương được lập theo tiêu chuẩn quốc tế để đáp ứng các thành phần hồ sơ quy định tại khoản 2 và khoản 3 Điều 12 Nghị định 142/2026/NĐ-CP, với điều kiện các tài liệu đó đáp ứng đầy đủ các nội dung thông tin theo yêu cầu của Nghị định 142/2026/NĐ-CP.

- Nhà cung cấp, bên triển khai có trách nhiệm lưu trữ hồ sơ phân loại trong suốt thời gian hệ thống hoạt động.

- Trường hợp hệ thống trí tuệ nhân tạo có sử dụng dữ liệu cá nhân, nhà cung cấp được sử dụng Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo quy định của pháp luật về bảo vệ dữ liệu cá nhân để thay thế hoặc tích hợp làm thành phần của Hồ sơ phân loại rủi ro, nhằm giảm thiểu chi phí tuân thủ hành chính.

Nhà cung cấp thực hiện rà soát và phân loại lại mức độ rủi ro của hệ thống trí tuệ nhân tạo trong trường hợp nào? (Hình từ Internet)

Nhà cung cấp thực hiện rà soát và phân loại lại mức độ rủi ro của hệ thống trí tuệ nhân tạo trong trường hợp nào?

Theo Khoản 1 Điều 11 Nghị định 142/2026/NĐ-CP, nhà cung cấp phải thực hiện rà soát và phân loại lại mức độ rủi ro của hệ thống trí tuệ nhân tạo khi phát sinh một trong các sự kiện pháp lý sau đây:

- Hệ thống có sự thay đổi đáng kể về chức năng, mục đích sử dụng hoặc ngữ cảnh triển khai làm ảnh hưởng đến tiêu chí phân loại rủi ro ban đầu của hệ thống;

- Hệ thống xảy ra sự cố nghiêm trọng chứng minh mức độ rủi ro thực tế cao hơn mức đã được phân loại;

- Có quyết định của Thủ tướng Chính phủ về việc sửa đổi, bổ sung Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao làm thay đổi mức độ rủi ro của hệ thống;

- Có yêu cầu bằng văn bản của cơ quan quản lý nhà nước có thẩm quyền theo quy định tại khoản 6 Điều 10 của Luật Trí tuệ nhân tạo 2025.

Nhà cung cấp hệ thống trí tuệ nhân tạo có rủi ro cao phải thực hiện lại đánh giá sự phù hợp khi có sự thay đổi nào?

Căn cứ Khoản 1 Điều 13 Nghị định 142/2026/NĐ-CP, nhà cung cấp hệ thống trí tuệ nhân tạo có rủi ro cao phải thực hiện đánh giá sự phù hợp trước khi đưa hệ thống vào sử dụng theo quy định tại khoản 1 Điều 13 của Luật Trí tuệ nhân tạo 2025.

Trong quá trình sử dụng, nhà cung cấp phải thực hiện đánh giá lại sự phù hợp khi có thay đổi đáng kể làm ảnh hưởng đến kết quả đánh giá sự phù hợp ban đầu, bao gồm một trong các trường hợp sau đây:

- Thay đổi chức năng chính, mục đích sử dụng hoặc phạm vi ứng dụng của hệ thống làm phát sinh rủi ro mới hoặc làm thay đổi mức độ rủi ro đã được đánh giá;

- Thay đổi kiến trúc hệ thống, mô hình trí tuệ nhân tạo hoặc cấu hình kỹ thuật chủ yếu có thể ảnh hưởng đến tính chính xác, độ tin cậy, mức độ an toàn hoặc khả năng kiểm soát của hệ thống;

- Thay đổi nguồn dữ liệu, loại dữ liệu đầu vào chủ yếu hoặc phương thức xử lý dữ liệu làm ảnh hưởng đáng kể đến kết quả vận hành hoặc mức độ rủi ro của hệ thống;

- Tích hợp hệ thống trí tuệ nhân tạo với hệ thống khác hoặc môi trường vận hành mới có thể làm phát sinh rủi ro mới hoặc làm thay đổi điều kiện vận hành đã được đánh giá;

- Các thay đổi khác làm ảnh hưởng đáng kể đến việc đáp ứng các yêu cầu quy định tại Điều 14 của Luật Trí tuệ nhân tạo 2025.

Các hoạt động cập nhật dữ liệu định kỳ, sửa lỗi kỹ thuật, tối ưu hiệu năng hoặc nâng cấp phiên bản không làm thay đổi việc đáp ứng các yêu cầu quy định tại Điều 14 của Luật Trí tuệ nhân tạo 2025 của hệ thống không được coi là thay đổi đáng kể theo quy định tại khoản 1 Điều 13 Nghị định 142/2026/NĐ-CP.