Điều 11 Nghị định số 142/2026/NĐ-CP: Rà soát và cập nhật mức độ rủi ro

Điều 11. Rà soát và cập nhật mức độ rủi ro

1. Nhà cung cấp phải thực hiện rà soát và phân loại lại mức độ rủi ro của hệ thống trí tuệ nhân tạo khi phát sinh một trong các sự kiện pháp lý sau đây:

a) Hệ thống có sự thay đổi đáng kể về chức năng, mục đích sử dụng hoặc ngữ cảnh triển khai làm ảnh hưởng đến tiêu chí phân loại rủi ro ban đầu của hệ thống;

b) Hệ thống xảy ra sự cố nghiêm trọng chứng minh mức độ rủi ro thực tế cao hơn mức đã được phân loại;

c) Có quyết định của Thủ tướng Chính phủ về việc sửa đổi, bổ sung Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao làm thay đổi mức độ rủi ro của hệ thống;

d) Có yêu cầu bằng văn bản của cơ quan quản lý nhà nước có thẩm quyền theo quy định tại khoản 6 Điều 10 của Luật Trí tuệ nhân tạo.

2. Bên triển khai phải phối hợp với nhà cung cấp thực hiện phân loại lại hệ thống trí tuệ nhân tạo trong trường hợp bên triển khai thực hiện sửa đổi, tích hợp hoặc thay đổi chức năng làm phát sinh rủi ro mới hoặc rủi ro cao hơn so với kết quả phân loại ban đầu của nhà cung cấp.

3. Việc thực hiện thông báo kết quả sau khi rà soát, phân loại lại được quy định như sau:

a) Trường hợp kết quả phân loại lại xác định mức độ rủi ro của hệ thống cao hơn mức đã phân loại, nhà cung cấp, bên triển khai phải thực hiện thông báo kết quả phân loại lại cho cơ quan nhà nước có thẩm quyền trong thời hạn 15 ngày làm việc kể từ ngày hoàn thành việc rà soát và phải áp dụng ngay các biện pháp quản lý rủi ro tương ứng với mức độ rủi ro mới;

b) Trường hợp kết quả phân loại lại xác định mức độ rủi ro của hệ thống thấp hơn mức đã phân loại, nhà cung cấp, bên triển khai có quyền thực hiện thông báo kết quả phân loại lại cho cơ quan nhà nước có thẩm quyền để được áp dụng chế độ quản lý tương ứng với mức độ rủi ro mới.

4. Nhà cung cấp, bên triển khai không phải thực hiện rà soát và thông báo phân loại lại khi tiến hành các hoạt động nâng cấp, tối ưu hóa hiệu suất, sửa lỗi kỹ thuật thông thường hoặc cập nhật dữ liệu định kỳ mà không làm thay đổi bản chất rủi ro của hệ thống.

5. Trường hợp hệ thống trí tuệ nhân tạo phải phân loại lại thành rủi ro cao theo quy định tại điểm a khoản 1 Điều này, nhà cung cấp, bên triển khai áp dụng thời gian chuyển tiếp tối đa 12 tháng kể từ ngày quyết định sửa đổi, bổ sung Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao của Thủ tướng Chính phủ có hiệu lực để hoàn thiện hồ sơ và thủ tục đánh giá sự phù hợp theo quy định của Luật Trí tuệ nhân tạo. Trong thời hạn chuyển tiếp, hệ thống được phép tiếp tục hoạt động nhưng nhà cung cấp, bên triển khai phải thiết lập và duy trì cơ chế giám sát thực chất của con người. Người thực hiện giám sát phải được bảo đảm đủ thông tin, thẩm quyền để đánh giá độc lập, can thiệp hoặc bác bỏ kết quả của hệ thống; đồng thời, nhà cung cấp, bên triển khai phải lưu trữ đầy đủ nhật ký vận hành và các quyết định can thiệp để phục vụ công tác thanh tra, kiểm tra.