Điều 15. Quản lý vòng đời hệ thống trí tuệ nhân tạo
1. Đơn vị phải thiết lập, thực hiện và duy trì quản lý rủi ro đối với hệ thống trí tuệ nhân tạo trong suốt vòng đời của hệ thống trong phạm vi trách nhiệm và khả năng kiểm soát của đơn vị, bao gồm từ giai đoạn thiết kế, phát triển, kiểm thử, triển khai, vận hành đến khi ngừng sử dụng được quy định tại khoản 2, 3, 4 và 5 của Điều này.
2. Trong giai đoạn thiết kế và phát triển hệ thống trí tuệ nhân tạo, đơn vị phải:
a) Nhận dạng, phân tích các rủi ro đã biết và rủi ro có thể lường trước có thể ảnh hưởng đến hoạt động nghiệp vụ, quyền lợi của khách hàng và an ninh mạng;
b) Thực hiện quản trị dữ liệu huấn luyện theo quy định tại điểm a khoản 3 Điều 7 Thông tư này;
c) Tích hợp các yêu cầu về an ninh mạng, cơ chế giám sát, kiểm soát và khả năng can thiệp của con người ngay từ khâu thiết kế hệ thống.
3. Trong giai đoạn kiểm thử, đơn vị phải:
a) Kiểm tra, đánh giá an ninh mạng hệ thống trí tuệ nhân tạo trước khi đưa vào sử dụng, bảo đảm đáp ứng các yêu cầu quy định tại khoản 1 Điều 6 Thông tư này;
b) Kiểm tra, đánh giá mô hình trước khi đưa vào sử dụng, bảo đảm đáp ứng các yêu cầu quy định tại Điều 16 Thông tư này.
4. Trong giai đoạn triển khai và vận hành, đơn vị phải:
a) Thực hiện giám sát hiệu năng và hành vi của hệ thống trí tuệ nhân tạo theo quy định tại khoản 2 Điều 6 Thông tư này;
b) Xây dựng quy trình báo cáo và xử lý các sự cố nghiêm trọng;
c) Xem xét việc thực hiện lại quy trình đánh giá rủi ro; kiểm tra, đánh giá an ninh mạng tương tự như triển khai mới để bảo đảm bản cập nhật không gây ra các tác động tiêu cực khi có thay đổi đáng kể của hệ thống trí tuệ nhân tạo.
5. Giai đoạn ngừng hoạt động:
a) Đơn vị phải lưu trữ hồ sơ, tài liệu cần thiết nhằm phục vụ công tác kiểm toán theo quy định của pháp luật, tối thiểu bao gồm: tài liệu thiết kế; hồ sơ liên quan đến điều kiện trước khi đưa hệ thống trí tuệ nhân tạo vào vận hành quy định tại Điều 22 Thông tư này (và tài liệu cập nhật trong quá trình vận hành nếu có); hồ sơ kỹ thuật của hệ thống trí tuệ nhân tạo có rủi ro cao theo quy định của pháp luật về trí tuệ nhân tạo;
b) Khi hệ thống trí tuệ nhân tạo không còn sử dụng, đơn vị phải thực hiện quy trình ngừng hoạt động an toàn, bao gồm việc xóa (sau khi thực hiện việc lưu trữ dữ liệu theo quy định của pháp luật) hoặc vô hiệu hóa an toàn hoặc cô lập dữ liệu, mô hình, cấu hình và các thành phần liên quan thuộc phạm vi quản lý, kiểm soát của đơn vị nhằm ngăn chặn rò rỉ dữ liệu hoặc khôi phục trái phép;
c) Đối với dữ liệu huấn luyện và tham số mô hình do bên thứ ba quản lý, đơn vị phải có cơ chế phối hợp, yêu cầu và lưu trữ hồ sơ, tài liệu về việc xử lý phù hợp theo thỏa thuận hợp đồng.