Điều 18. Quản lý rủi ro đối với việc thuê ngoài — Thông tư 53/2026/TT-NHNN

a) Đơn vị được phép thuê ngoài việc phát triển, triển khai, vận hành hệ thống trí tuệ nhân tạo hoặc sử dụng giải pháp trí tuệ nhân tạo do bên thứ ba cung cấp theo quy định của pháp luật và quy định tại Thông tư này;

b) Việc thuê ngoài không làm thay đổi trách nhiệm của đơn vị đối với việc bảo đảm an toàn hoạt động nghiệp vụ, bảo vệ quyền lợi của khách hàng, việc tuân thủ pháp luật về an ninh mạng, bảo vệ dữ liệu cá nhân và quản lý rủi ro.

a) Khi sử dụng giải pháp trí tuệ nhân tạo do bên thứ ba cung cấp, đơn vị phải thực hiện đánh giá rủi ro khi sử dụng dịch vụ bên thứ ba theo quy định của pháp luật và xác định các tiêu chí lựa chọn bên thứ ba tối thiểu bao gồm:

b) Đơn vị phải xây dựng và ban hành hướng dẫn thực hiện quản lý rủi ro đối với việc thuê ngoài hệ thống trí tuệ nhân tạo, trong đó xác định rõ:

a) Tuân thủ yêu cầu về hợp đồng sử dụng dịch vụ công nghệ thông tin với bên thứ ba theo quy định của Thống đốc Ngân hàng Nhà nước;

b) Bên thứ ba phải cung cấp báo cáo kiểm toán tuân thủ công nghệ thông tin do tổ chức kiểm toán độc lập thực hiện hằng năm trong thời gian thực hiện hợp đồng hoặc các chứng chỉ bảo mật, quản lý rủi ro quốc tế tương đương (như SOC 2, ISO/IEC 27001, ISO/IEC 42001) còn hiệu lực. Trường hợp bên thứ ba không cung cấp được tài liệu này, đơn vị thực hiện đánh giá hoặc thuê tổ chức độc lập đánh giá tuân thủ công nghệ thông tin đối với bên thứ ba;

c) Bên thứ ba phải cung cấp thông tin hoặc báo cáo kết quả kiểm tra, đánh giá chất lượng mô hình hằng năm hoặc theo từng phiên bản được phát hành;

d) Bên thứ ba phải cung cấp công cụ hoặc giao diện lập trình ứng dụng (API) hoặc dữ liệu nhật ký (logs) hoặc các phương tiện kỹ thuật cần thiết khác để đơn vị giám sát hiệu năng của mô hình;

đ) Bên thứ ba có trách nhiệm cung cấp thông tin về đặc tính kỹ thuật, giới hạn mô hình, cơ chế cập nhật và các biện pháp bảo mật liên quan để đơn vị thực hiện đánh giá rủi ro và quản trị vận hành;

e) Bên thứ ba cam kết bảo đảm tính liên tục trong hoạt động cung cấp dịch vụ, có phương án dự phòng và giai đoạn chuyển tiếp phù hợp khi ngừng hỗ trợ hoặc có thay đổi đáng kể về mô hình;

g) Bên thứ ba phải phối hợp, cung cấp thông tin cho cơ quan nhà nước có thẩm quyền trong kiểm tra, đánh giá, hậu kiểm và khắc phục sự cố liên quan đến hệ thống theo quy định của pháp luật về trí tuệ nhân tạo;

h) Bên thứ ba cam kết không sử dụng dữ liệu của đơn vị để huấn luyện, tinh chỉnh hoặc cải thiện mô hình của bên thứ ba mà không có sự đồng ý bằng văn bản của đơn vị.

a) Đơn vị phải thiết lập và duy trì cơ chế giám sát thường xuyên đối với hoạt động của bên nhận thuê ngoài trong suốt thời gian hợp tác, bảo đảm việc phát triển, triển khai và vận hành hệ thống trí tuệ nhân tạo phù hợp với chính sách, quy trình và hợp đồng đã ký kết;

b) Đối với các hệ thống trí tuệ nhân tạo có rủi ro cao, đơn vị phải:

c) Đơn vị phải thực hiện kiểm tra, đánh giá toàn diện việc thuê ngoài hệ thống trí tuệ nhân tạo theo định kỳ hoặc khi có dấu hiệu rủi ro gia tăng;

d) Đơn vị và bên thứ ba phải phối hợp thiết lập các biện pháp phòng ngừa nhằm hạn chế rủi ro phát sinh từ việc vận hành hệ thống trí tuệ nhân tạo;

đ) Đơn vị phải đánh giá và quản lý rủi ro phát sinh từ việc phụ thuộc vào một nền tảng trí tuệ nhân tạo khi nhà cung cấp gặp sự cố;

e) Trường hợp hệ thống trí tuệ nhân tạo do thuê ngoài gây thiệt hại cho khách hàng hoặc bên liên quan, đơn vị phải: