Hướng dẫn ghi nhật ký vận hành hệ thống trí tuệ nhân tạo lĩnh vực ngân hàng từ ngày 15/11/2026 ra sao?

Hướng dẫn ghi nhật ký vận hành hệ thống trí tuệ nhân tạo lĩnh vực ngân hàng từ ngày 15/11/2026 ra sao?

Căn cứ Điều 10 Thông tư 53/2026/TT-NHNN hướng dẫn ghi nhật ký vận hành hệ thống trí tuệ nhân tạo lĩnh vực ngân hàng từ ngày 15/11/2026 như sau:

(1) Hệ thống trí tuệ nhân tạo phải được cấu hình để ghi nhật ký các sự kiện trong quá trình vận hành, tối thiểu bao gồm:

- Thời gian, hệ thống, người dùng thực hiện các giao dịch hoặc tác vụ;

- Thông tin về dữ liệu đầu vào và kết quả đầu ra của hệ thống, kèm theo thông tin về phiên bản mô hình, cấu hình hoặc câu lệnh (nếu có) bảo đảm đủ để truy xuất, kiểm tra và tái lập quá trình xử lý khi cần thiết;

- Các trường hợp kết quả nằm ngoài phạm vi hoạt động dự định hoặc có độ tin cậy thấp;

- Các sự kiện liên quan đến lỗi của hệ thống hoặc cảnh báo sự cố an ninh mạng.

(2) Thời gian lưu trữ nhật ký hoạt động của hệ thống trí tuệ nhân tạo và nhật ký xử lý dữ liệu quy định tại điểm c khoản 2 Điều 7 Thông tư 53/2026/TT-NHNN phải phù hợp với mức độ rủi ro, mục đích sử dụng của hệ thống, tối thiểu đáp ứng quy định về lưu trữ nhật ký của hệ thống thông tin theo cấp độ an ninh mạng.

Hướng dẫn ghi nhật ký vận hành hệ thống trí tuệ nhân tạo lĩnh vực ngân hàng từ ngày 15/11/2026 ra sao? (Hình ảnh Internet)

Quản lý an toàn dữ liệu hệ thống trí tuệ nhân tạo lĩnh vực ngân hàng từ ngày 15/11/2026 như thế nào?

Căn cứ Điều 7 Thông tư 53/2026/TT-NHNN quy định về quản lý an toàn dữ liệu hệ thống trí tuệ nhân tạo lĩnh vực ngân hàng từ ngày 15/11/2026 như sau:

- Đơn vị phải tuân thủ đầy đủ quy định của pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ và các quy định của Ngân hàng Nhà nước có liên quan trong quá trình xử lý dữ liệu phục vụ hệ thống trí tuệ nhân tạo.

- Dữ liệu đơn vị sử dụng để huấn luyện, kiểm thử và vận hành hệ thống trí tuệ nhân tạo phải bảo đảm các yêu cầu:

+ Có nguồn gốc rõ ràng, hợp pháp và được lưu thông tin về nguồn gốc. Trường hợp sử dụng dữ liệu từ bên thứ ba, đơn vị phải yêu cầu bên thứ ba cam kết về nguồn gốc hợp pháp, phạm vi và quyền chia sẻ dữ liệu; cung cấp thông tin hoặc bằng chứng phù hợp để chứng minh quyền chia sẻ dữ liệu hoặc mô tả nguồn gốc dữ liệu ở mức phù hợp nhưng không bắt buộc tiết lộ bí mật thương mại, trừ trường hợp sử dụng dữ liệu mở được công khai hợp pháp;

+ Trường hợp sử dụng dữ liệu nhân tạo mô phỏng các đặc điểm của dữ liệu thực tế, đơn vị phải thực hiện đánh giá và có biện pháp phòng ngừa rủi ro suy giảm chất lượng mô hình và sai lệch kết quả theo thời gian;

+ Lưu nhật ký quá trình xử lý dữ liệu đầu vào trước khi đưa dữ liệu vào hệ thống trí tuệ nhân tạo nhằm bảo đảm khả năng truy vết dữ liệu khi cần thiết.

- Đơn vị phải thiết lập quy trình, chính sách kiểm soát chất lượng dữ liệu sử dụng cho huấn luyện, kiểm thử và vận hành hệ thống trí tuệ nhân tạo, tối thiểu bao gồm các nội dung sau:

+ Dữ liệu huấn luyện, kiểm thử phải bảo đảm:

(i) Có tính đại diện và phù hợp với mục đích sử dụng, đối tượng và phạm vi áp dụng của hệ thống trí tuệ nhân tạo;

(ii) Được cập nhật phù hợp với đặc điểm nghiệp vụ và chu kỳ thay đổi của dữ liệu trong môi trường vận hành thực tế;

+ Thiết lập tiêu chí đo lường và đánh giá chất lượng đối với các tập dữ liệu sử dụng cho huấn luyện, kiểm thử và vận hành hệ thống trí tuệ nhân tạo;

+ Phát hiện và xử lý dữ liệu lỗi, dữ liệu bị sai lệch, bị thao túng hoặc bị đầu độc;

+ Giám sát trôi dữ liệu và thực hiện các biện pháp cập nhật dữ liệu, hiệu chỉnh hoặc huấn luyện lại mô hình nếu cần thiết.

- Đơn vị phải thiết lập cơ chế bảo vệ dữ liệu khỏi nguy cơ rò rỉ từ hệ thống trí tuệ nhân tạo, tối thiểu bao gồm:

+ Hạn chế và kiểm soát quyền truy cập của hệ thống trí tuệ nhân tạo vào dữ liệu của đơn vị theo nguyên tắc chỉ cấp quyền tối thiểu, khi cần thiết, phù hợp với đối tượng, mục đích sử dụng và phạm vi xử lý dữ liệu đã được phê duyệt;

+ Kiểm soát quyền truy cập đối với dữ liệu huấn luyện, kiểm thử, vận hành của hệ thống trí tuệ nhân tạo và thông tin về cấu trúc mô hình nhằm phòng ngừa nguy cơ rò rỉ, lộ lọt dữ liệu.

Bảo đảm an toàn hệ thống trí tuệ nhân tạo lĩnh vực ngân hàng từ ngày 15/11/2026 như thế nào?

Căn cứ Điều 6 Thông tư 53/2026/TT-NHNN quy định bảo đảm an toàn hệ thống trí tuệ nhân tạo lĩnh vực ngân hàng từ ngày 15/11/2026 như sau:

- Hệ thống trí tuệ nhân tạo phải được kiểm tra, đánh giá an ninh mạng trước khi đưa vào vận hành chính thức và định kỳ hoặc ngay khi có thay đổi đáng kể của hệ thống trí tuệ nhân tạo, tối thiểu bao gồm:

+ Kiểm tra, đánh giá việc phòng, chống các kịch bản tấn công, rủi ro đặc thù đối với hệ thống trí tuệ nhân tạo, tối thiểu bao gồm:

(i) Tấn công vi phạm quyền riêng tư dữ liệu;

(ii) Tấn công đầu độc dữ liệu, tấn công đầu độc mô hình, tấn công né tránh và tấn công trích xuất mô hình (bắt buộc đối với hệ thống trí tuệ nhân tạo có rủi ro cao; khuyến khích áp dụng đối với các hệ thống trí tuệ nhân tạo khác);

(iii) Tấn công tiêm lệnh, rủi ro tạo sinh nội dung sai lệch hoặc không có căn cứ thực tế, rủi ro thiên lệch trong kết quả đầu ra (đối với hệ thống trí tuệ nhân tạo tạo sinh);

+ Đối với các hệ thống trí tuệ nhân tạo có rủi ro cao hoặc hệ thống trí tuệ nhân tạo có rủi ro trung bình ra quyết định trong hoạt động nghiệp vụ, áp dụng các biện pháp phòng, chống các rủi ro, lỗ hổng, tấn công mạng theo các tiêu chuẩn và thông lệ quốc tế như OWASP (OWASP Machine Learning Security Top Ten đối với hệ thống học máy, OWASP Top 10 for Large Language Model Applications đối với hệ thống sử dụng mô hình ngôn ngữ lớn; Phiên bản OWASP áp dụng là phiên bản mới nhất hoặc phiên bản gần nhất với phiên bản được ban hành trong vòng 06 tháng) hoặc tương đương;

+ Thời gian định kỳ kiểm tra, đánh giá an ninh mạng phù hợp với cấp độ an ninh mạng của hệ thống trí tuệ nhân tạo theo quy định của pháp luật về an ninh mạng;

+ Kết quả kiểm tra, đánh giá an ninh mạng và các biện pháp khắc phục phải được lập thành hồ sơ, lưu trữ phục vụ công tác quản lý, kiểm tra, thanh tra theo quy định.

- Đơn vị phải thiết lập cơ chế giám sát hiệu năng và hành vi của hệ thống trí tuệ nhân tạo, tối thiểu bao gồm: việc phát hiện các dấu hiệu bất thường như sai lệch đầu ra, suy giảm chất lượng, thiên lệch, trôi mô hình, trôi dữ liệu hoặc hành vi bất thường khác cho thấy hệ thống hoạt động không đúng với mục đích thiết kế hoặc phạm vi sử dụng đã được phê duyệt.

*Lưu ý:

- Thông tư 53/2026/TT-NHNN có hiệu lực thi hành kể từ ngày 15/11/2026, trừ quy định tại khoản 2, 3 và 4 Điều 23 Thông tư 53/2026/TT-NHNN

- Quy định tại Điều 14 Thông tư 53/2026/TT-NHNN có hiệu lực thi hành từ ngày 01/01/2027.

- Quy định tại điểm b khoản 1 Điều 6 Thông tư 53/2026/TT-NHNN có hiệu lực thi hành kể từ ngày 01/09/2027.

- Quy định tại Điều 21 Thông tư 53/2026/TT-NHNN có hiệu lực thi hành kể từ ngày 01/09/2027, ngoại trừ trường hợp đơn vị có hệ thống trí tuệ nhân tạo có rủi ro cao.