Điều 7. Quản lý an toàn dữ liệu
1. Đơn vị phải tuân thủ đầy đủ quy định của pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ và các quy định của Ngân hàng Nhà nước có liên quan trong quá trình xử lý dữ liệu phục vụ hệ thống trí tuệ nhân tạo.
2. Dữ liệu đơn vị sử dụng để huấn luyện, kiểm thử và vận hành hệ thống trí tuệ nhân tạo phải bảo đảm các yêu cầu:
a) Có nguồn gốc rõ ràng, hợp pháp và được lưu thông tin về nguồn gốc. Trường hợp sử dụng dữ liệu từ bên thứ ba, đơn vị phải yêu cầu bên thứ ba cam kết về nguồn gốc hợp pháp, phạm vi và quyền chia sẻ dữ liệu; cung cấp thông tin hoặc bằng chứng phù hợp để chứng minh quyền chia sẻ dữ liệu hoặc mô tả nguồn gốc dữ liệu ở mức phù hợp nhưng không bắt buộc tiết lộ bí mật thương mại, trừ trường hợp sử dụng dữ liệu mở được công khai hợp pháp;
b) Trường hợp sử dụng dữ liệu nhân tạo mô phỏng các đặc điểm của dữ liệu thực tế, đơn vị phải thực hiện đánh giá và có biện pháp phòng ngừa rủi ro suy giảm chất lượng mô hình và sai lệch kết quả theo thời gian;
c) Lưu nhật ký quá trình xử lý dữ liệu đầu vào trước khi đưa dữ liệu vào hệ thống trí tuệ nhân tạo nhằm bảo đảm khả năng truy vết dữ liệu khi cần thiết.
3. Đơn vị phải thiết lập quy trình, chính sách kiểm soát chất lượng dữ liệu sử dụng cho huấn luyện, kiểm thử và vận hành hệ thống trí tuệ nhân tạo, tối thiểu bao gồm các nội dung sau:
a) Dữ liệu huấn luyện, kiểm thử phải bảo đảm:
(i) Có tính đại diện và phù hợp với mục đích sử dụng, đối tượng và phạm vi áp dụng của hệ thống trí tuệ nhân tạo;
(ii) Được cập nhật phù hợp với đặc điểm nghiệp vụ và chu kỳ thay đổi của dữ liệu trong môi trường vận hành thực tế;
b) Thiết lập tiêu chí đo lường và đánh giá chất lượng đối với các tập dữ liệu sử dụng cho huấn luyện, kiểm thử và vận hành hệ thống trí tuệ nhân tạo;
c) Phát hiện và xử lý dữ liệu lỗi, dữ liệu bị sai lệch, bị thao túng hoặc bị đầu độc;
d) Giám sát trôi dữ liệu và thực hiện các biện pháp cập nhật dữ liệu, hiệu chỉnh hoặc huấn luyện lại mô hình nếu cần thiết.
4. Đơn vị phải thiết lập cơ chế bảo vệ dữ liệu khỏi nguy cơ rò rỉ từ hệ thống trí tuệ nhân tạo, tối thiểu bao gồm:
a) Hạn chế và kiểm soát quyền truy cập của hệ thống trí tuệ nhân tạo vào dữ liệu của đơn vị theo nguyên tắc chỉ cấp quyền tối thiểu, khi cần thiết, phù hợp với đối tượng, mục đích sử dụng và phạm vi xử lý dữ liệu đã được phê duyệt;
b) Kiểm soát quyền truy cập đối với dữ liệu huấn luyện, kiểm thử, vận hành của hệ thống trí tuệ nhân tạo và thông tin về cấu trúc mô hình nhằm phòng ngừa nguy cơ rò rỉ, lộ lọt dữ liệu.