Điều 9. Bảo đảm an ninh mạng, bảo vệ dữ liệu
1. Cơ quan chủ quản hệ thống trí tuệ nhân tạo có trách nhiệm bảo đảm an ninh mạng, bảo vệ dữ liệu cá nhân, dữ liệu quan trọng, dữ liệu chuyên ngành, bí mật công tác và thông tin thuộc phạm vi hạn chế tiếp cận trong quá trình quản lý, triển khai, vận hành, cập nhật và chấm dứt sử dụng hệ thống trí tuệ nhân tạo theo quy định của pháp luật.
2. Hệ thống trí tuệ nhân tạo có kết nối, tích hợp hoặc xử lý dữ liệu từ hệ thống thông tin, cơ sở dữ liệu thuộc phạm vi quản lý của Thành phố phải được
kiểm soát truy cập, xác thực, phân quyền, sao lưu, phục hồi, giám sát, kiểm soát kết nối và tự động ghi nhật ký, mã hóa theo quy định của pháp luật, tiêu chuẩn, quy chuẩn kỹ thuật và hướng dẫn của cơ quan có thẩm quyền.
Nhật ký hệ thống phải lưu trữ đầy đủ các thông tin về thời gian truy cập, thông tin tài khoản truy cập, dữ liệu đầu vào, kết quả đầu ra và các tác vụ tự động được thực thi. Thời gian lưu trữ tối thiểu là 24 tháng kể từ thời điểm phát sinh dữ liệu. Định dạng dữ liệu nhật ký phải bảo đảm tính toàn vẹn, không thể chỉnh sửa bảo đảm phục vụ công tác kiểm tra, thanh tra, kiểm toán và xác minh trách nhiệm khi xảy ra sự cố.
3. Việc cấp quyền truy cập dữ liệu, hệ thống thông tin, giao diện lập trình ứng dụng (API), công cụ xử lý, tài khoản quản trị hoặc môi trường vận hành cho hệ thống trí tuệ nhân tạo, nhà cung cấp, bên triển khai, cá nhân hoặc đơn vị có liên quan phải bảo đảm đúng mục đích, đúng phạm vi, đúng thời hạn, quyền hạn, có khả năng thu hồi và truy vết.
4. Đối với hệ thống trí tuệ nhân tạo được triển khai trên hạ tầng, nền tảng, dịch vụ điện toán đám mây, dịch vụ phần mềm hoặc môi trường do bên thứ ba cung cấp, cơ quan chủ quản hệ thống trí tuệ nhân tạo có trách nhiệm kiểm tra điều kiện pháp lý, điều kiện bảo mật, vị trí lưu trữ dữ liệu, cơ chế truy cập, chuyển giao, xóa, sao lưu, phục hồi dữ liệu và trách nhiệm của đơn vị cung cấp trước khi sử dụng.
5. Khi hệ thống trí tuệ nhân tạo có dấu hiệu bị tấn công, khai thác trái phép, rò rỉ dữ liệu, mất dữ liệu, mất quyền kiểm soát dữ liệu và mô hình, chiếm quyền điều khiển hoặc phát sinh hành vi bất thường, cơ quan chủ quản hệ thống trí tuệ nhân tạo kịp thời phối hợp với cơ quan có thẩm quyền để xử lý theo quy định của pháp luật.