Dự thảo Nghị định hướng dẫn Luật Trí tuệ nhân tạo: 8 nội dung đáng chú ý

1. Phân loại hệ thống trí tuệ nhân tạo theo mức độ rủi ro là nghĩa vụ bắt buộc

Điều 5 và Điều 6 dự thảo Nghị định quy định chi tiết và biện pháp thi hành Luật Trí tuệ nhân tạo quy định việc quản lý hệ thống trí tuệ nhân tạo được thực hiện dựa trên mức độ rủi ro. Nhà cung cấp có trách nhiệm tự thực hiện phân loại trước khi đưa hệ thống ra thị trường hoặc đưa vào sử dụng và chịu trách nhiệm trước pháp luật về tính chính xác, trung thực của kết quả phân loại.

Theo dự thảo, hệ thống trí tuệ nhân tạo được chia thành ba mức gồm rủi ro cao, rủi ro trung bình và rủi ro thấp. Hệ thống rủi ro cao là hệ thống thuộc Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao do Thủ tướng Chính phủ ban hành.

Hệ thống rủi ro trung bình là hệ thống không thuộc Danh mục rủi ro cao nhưng thuộc các trường hợp được xác định theo Điều 9 của Nghị định, bao gồm các hệ thống có khả năng gây nhầm lẫn về việc tương tác với trí tuệ nhân tạo hoặc về tính xác thực của nội dung. Hệ thống rủi ro thấp là hệ thống không thuộc hai nhóm trên.

Việc phân loại là cơ sở để xác định các nghĩa vụ tiếp theo như thông báo, giám sát, báo cáo sự cố và áp dụng biện pháp quản trị rủi ro tương ứng.

2. Nghĩa vụ rà soát và phân loại lại khi có thay đổi hoặc phát sinh rủi ro

Các trường hợp phải thực hiện rà soát và phân loại lại mức độ rủi ro của hệ thống trí tuệ nhân tạo được đề xuất tại Điều 11 dự thảo.

Việc rà soát phải được thực hiện khi Danh mục hệ thống rủi ro cao do Thủ tướng Chính phủ ban hành được sửa đổi, bổ sung và có tác động trực tiếp đến hệ thống; khi có thay đổi đáng kể về chức năng, mục đích sử dụng, quy mô triển khai hoặc ngữ cảnh sử dụng; khi xảy ra sự cố nghiêm trọng hoặc phát sinh rủi ro mới cho thấy mức độ rủi ro thực tế cao hơn mức đã phân loại; hoặc khi có yêu cầu bằng văn bản của cơ quan nhà nước có thẩm quyền.

Trường hợp kết quả rà soát cho thấy mức độ rủi ro của hệ thống cao hơn mức đã phân loại, nhà cung cấp và bên triển khai phải áp dụng biện pháp quản trị rủi ro tương ứng theo quy định của Luật Trí tuệ nhân tạo, đồng thời thực hiện cập nhật hồ sơ và thông báo lại theo quy định.

Dự thảo cũng quy định bên triển khai trong phạm vi kiểm soát của mình có trách nhiệm thông báo cho nhà cung cấp nếu việc sửa đổi, tích hợp hoặc thay đổi mục đích sử dụng làm thay đổi mức độ phân loại rủi ro của hệ thống.

3. Bắt buộc thông báo kết quả phân loại trước khi đưa hệ thống vào sử dụng

Theo Điều 13 dự thảo, nhà cung cấp hệ thống trí tuệ nhân tạo có rủi ro trung bình hoặc rủi ro cao phải thông báo kết quả phân loại cho Bộ Khoa học và Công nghệ thông qua Cổng thông tin điện tử một cửa về trí tuệ nhân tạo trước khi đưa hệ thống ra thị trường hoặc đưa vào sử dụng.

Việc thông báo được thực hiện bằng phương thức điện tử theo biểu mẫu trên Cổng thông tin. Trường hợp Cổng thông tin chưa vận hành đầy đủ, nhà cung cấp thực hiện thông báo thông qua kênh tiếp nhận chuyển tiếp theo quy định.

Sau khi nhận được thông báo hợp lệ, Cổng thông tin tự động gửi xác nhận điện tử kèm mã định danh của hệ thống trí tuệ nhân tạo. Thông tin của hệ thống được cập nhật vào Cơ sở dữ liệu quốc gia về hệ thống trí tuệ nhân tạo. Việc công khai thông tin phải tuân thủ quy định về bảo vệ bí mật nhà nước, bí mật kinh doanh và dữ liệu cá nhân.

Nhà cung cấp có trách nhiệm thông báo cập nhật khi có thay đổi đáng kể về chức năng, mục đích sử dụng hoặc mức độ rủi ro của hệ thống.

4. Giám sát sau triển khai đối với hệ thống trí tuệ nhân tạo rủi ro cao

Điều 21 dự thảo quy định nhà cung cấp và bên triển khai hệ thống trí tuệ nhân tạo có rủi ro cao phải duy trì cơ chế giám sát sau triển khai nhằm thu thập dữ liệu về hiệu quả, độ tin cậy và rủi ro phát sinh trong quá trình vận hành.

Hoạt động giám sát bao gồm theo dõi hiệu suất vận hành, độ chính xác, độ ổn định và tỷ lệ lỗi; phát hiện dấu hiệu bất thường, sai lệch, thiên lệch hoặc hành vi không mong muốn; tiếp nhận và đánh giá phản hồi từ người sử dụng hoặc tổ chức, cá nhân chịu tác động; đồng thời rà soát định kỳ hiệu quả của các biện pháp quản trị rủi ro đã áp dụng.

Trường hợp phát hiện thay đổi hoặc phát sinh rủi ro mới trong quá trình vận hành, nhà cung cấp và bên triển khai phải rà soát lại phân loại rủi ro, cập nhật hồ sơ kỹ thuật, thực hiện thông báo trên Cổng thông tin điện tử một cửa và bổ sung hoặc điều chỉnh biện pháp quản trị rủi ro tương ứng.

5. Báo cáo và xử lý sự cố nghiêm trọng trong thời hạn chặt chẽ

Điều 22 dự thảo quy định cụ thể về việc báo cáo và xử lý sự cố nghiêm trọng của hệ thống trí tuệ nhân tạo. Sự cố nghiêm trọng được xác định là sự kiện gây ra hoặc có nguy cơ gây ra thiệt hại về tính mạng, tổn hại nghiêm trọng đến sức khỏe con người, thiệt hại lớn về tài sản, xâm phạm nghiêm trọng quyền con người hoặc gây gián đoạn dịch vụ công, ảnh hưởng đến an ninh quốc gia, trật tự, an toàn xã hội.

Khi xảy ra sự cố, nhà cung cấp phải áp dụng ngay các biện pháp kỹ thuật cần thiết để ngăn chặn, hạn chế và khắc phục hậu quả. Bên triển khai có trách nhiệm ghi nhận, thông báo kịp thời cho nhà cung cấp và phối hợp trong quá trình xử lý. Các bên phải lưu giữ nhật ký, dữ liệu và thông tin liên quan để phục vụ xác minh, đánh giá và khắc phục.

Thời hạn báo cáo sơ bộ là 48 giờ đối với hệ thống rủi ro cao và 72 giờ đối với hệ thống rủi ro trung bình kể từ thời điểm xác nhận sự cố có nguồn gốc từ hệ thống trí tuệ nhân tạo. Báo cáo được thực hiện theo Mẫu số 01 tại Phụ lục III-3 thông qua Cổng thông tin điện tử một cửa.

6. Các công nghệ trí tuệ nhân tạo được ưu tiên thúc đẩy làm chủ

Điều 41 dự thảo xác định nhóm công nghệ trí tuệ nhân tạo được ưu tiên thúc đẩy làm chủ bao gồm:
- Mô hình trí tuệ nhân tạo đa dụng, mô hình nền tảng và mô hình ngôn ngữ lớn tiếng Việt, tiếng dân tộc thiểu số;

- Công nghệ xử lý tri thức, dữ liệu và ngôn ngữ Việt Nam;

- Công nghệ huấn luyện trí tuệ nhân tạo hiệu năng cao, tiết kiệm tài nguyên;

- Phần cứng, bán dẫn và các công nghệ kỹ thuật phục vụ phát triển, triển khai trí tuệ nhân tạo;

- Giải pháp mã nguồn mở và các công nghệ nền tảng khác nhằm tăng cường năng lực tự chủ công nghệ.

Danh mục cụ thể do Thủ tướng Chính phủ ban hành. Nội dung này thể hiện định hướng phát triển hệ sinh thái AI trong nước và tăng cường năng lực tự chủ công nghệ quốc gia.

7. Bảo đảm an ninh, an toàn hạ tầng và dữ liệu phục vụ trí tuệ nhân tạo

Tại Điều 40 dự thảo quy định cơ quan, tổ chức, cá nhân quản lý, vận hành, kết nối, chia sẻ hoặc khai thác hạ tầng trí tuệ nhân tạo và dữ liệu phục vụ trí tuệ nhân tạo phải áp dụng các biện pháp kỹ thuật và quản lý phù hợp để bảo đảm tính bảo mật, toàn vẹn và khả dụng của hạ tầng và dữ liệu; phòng ngừa, phát hiện và xử lý kịp thời rủi ro, sự cố an ninh mạng và mất an toàn dữ liệu; đồng thời phòng ngừa các rủi ro đặc thù của trí tuệ nhân tạo như đầu độc dữ liệu, sai lệch dữ liệu, tấn công mẫu nghịch đối hoặc rủi ro tái nhận dạng khi xử lý dữ liệu đã được ẩn danh hóa.

Việc thông báo, báo cáo sự cố liên quan đến dữ liệu cá nhân, an ninh mạng và an toàn thông tin mạng phải tuân thủ pháp luật chuyên ngành tương ứng. Việc bảo đảm an toàn dữ liệu không làm phát sinh nghĩa vụ cung cấp, tiết lộ hoặc chia sẻ dữ liệu của tổ chức, cá nhân, trừ trường hợp pháp luật có quy định khác.

8. Điều khoản chuyển tiếp và xử lý vi phạm từ năm 2026

Điều 57 dự thảo quy định đối với hành vi vi phạm hành chính lần đầu liên quan đến nghĩa vụ thông báo phân loại rủi ro, đánh dấu kỹ thuật, gắn nhãn hiển thị hoặc đánh giá sự phù hợp, người có thẩm quyền xử phạt có thể căn cứ tính chất, mức độ vi phạm để xem xét áp dụng hình thức cảnh cáo theo quy định của pháp luật về xử lý vi phạm hành chính.

Kể từ ngày 01/3/2027, việc xử lý vi phạm hành chính trong hoạt động trí tuệ nhân tạo được thực hiện theo quy định chung của pháp luật về xử lý vi phạm hành chính và pháp luật có liên quan.

Đối với hệ thống trí tuệ nhân tạo đã được đưa vào hoạt động trước ngày 01/3/2026, nhà cung cấp và bên triển khai phải tuân thủ quy định trong thời hạn chuyển tiếp.

Trong vòng 60 ngày kể từ ngày Nghị định có hiệu lực, tổ chức, doanh nghiệp thuộc diện chuyển tiếp phải thông báo trên Cổng thông tin điện tử một cửa kèm theo kế hoạch chuyển đổi hoặc phương án tuân thủ. Việc thông báo không làm phát sinh thủ tục hành chính về phê duyệt trước, trừ trường hợp pháp luật có quy định khác.

Trên đây là nội dung đáng chú ý tại Nghị định hướng dẫn Luật trí tuệ nhân tạo.