Chương 2 Nghị định 142/2026/NĐ-CP hướng dẫn Luật Trí tuệ nhân tạo

1. Việc phân loại hệ thống trí tuệ nhân tạo phải dựa trên mức độ rủi ro theo quy định của Luật Trí tuệ nhân tạo và Nghị định này.

2. Nhà cung cấp phải thực hiện phân loại hệ thống trí tuệ nhân tạo trước khi đưa hệ thống vào sử dụng.

3. Bên triển khai phải phối hợp với nhà cung cấp để rà soát, phân loại lại hệ thống trí tuệ nhân tạo khi việc triển khai, sửa đổi, tích hợp hoặc thay đổi chức năng hoặc mục đích sử dụng làm phát sinh rủi ro mới hoặc rủi ro cao hơn của hệ thống đã được phân loại.

4. Nhà cung cấp và bên triển khai phải thực hiện đánh giá sự phù hợp đối với hệ thống trí tuệ nhân tạo có rủi ro cao theo quy định của Luật Trí tuệ nhân tạo và Nghị định này.

5. Trường hợp hệ thống trí tuệ nhân tạo được tích hợp trong sản phẩm, hàng hóa hoặc dịch vụ thuộc phạm vi điều chỉnh của pháp luật chuyên ngành, pháp luật về tiêu chuẩn và quy chuẩn kỹ thuật hoặc pháp luật về chất lượng sản phẩm, hàng hóa thì tổ chức, cá nhân phải tuân thủ quy định của pháp luật đó đối với sản phẩm, hàng hóa hoặc dịch vụ tương ứng; đồng thời thực hiện các yêu cầu quản lý rủi ro đặc thù của thành phần trí tuệ nhân tạo theo quy định của Luật Trí tuệ nhân tạo và Nghị định này.

6. Cơ quan quản lý nhà nước về trí tuệ nhân tạo và cơ quan quản lý nhà nước chuyên ngành phải bảo đảm nguyên tắc không trùng lặp trong phân loại, đánh giá sự phù hợp và kiểm tra đối với hệ thống trí tuệ nhân tạo. Kết quả thử nghiệm, kiểm định, chứng nhận hợp quy hoặc kết quả đánh giá sự phù hợp đã được thực hiện theo pháp luật chuyên ngành, pháp luật về tiêu chuẩn và quy chuẩn kỹ thuật, pháp luật về chất lượng sản phẩm, hàng hóa được sử dụng để chứng minh việc đáp ứng yêu cầu tương ứng theo pháp luật về trí tuệ nhân tạo trong phạm vi nội dung đã được đánh giá hợp pháp, đầy đủ và còn hiệu lực thì tổ chức, cá nhân không phải thực hiện lại nội dung đó.

7. Trường hợp kết quả quy định tại khoản 4 Điều này chưa bao phủ đầy đủ yêu cầu quản lý rủi ro đặc thù của hệ thống trí tuệ nhân tạo theo quy định của Luật Trí tuệ nhân tạo và Nghị định này, nhà cung cấp hoặc bên triển khai chỉ phải thực hiện bổ sung đối với nội dung chưa được đánh giá hoặc chưa được chứng minh.

8. Bộ Khoa học và Công nghệ cung cấp công cụ hỗ trợ điện tử phục vụ việc tự đánh giá, phân loại hệ thống trí tuệ nhân tạo trên cơ sở các tiêu chí quy định tại Điều 8 của Nghị định này. Việc sử dụng công cụ hỗ trợ điện tử có tính chất hỗ trợ, không bắt buộc và không làm phát sinh thủ tục phê duyệt hành chính hoặc nghĩa vụ khác ngoài quy định của Nghị định này.

1. Nhà cung cấp có trách nhiệm tự thực hiện việc phân loại hệ thống trí tuệ nhân tạo theo quy định tại khoản 1 Điều 10 của Luật Trí tuệ nhân tạo trước khi đưa hệ thống vào sử dụng và chịu trách nhiệm trước pháp luật về tính chính xác, trung thực của kết quả phân loại.

2. Việc phân loại quy định tại Điều này chỉ áp dụng đối với hệ thống trí tuệ nhân tạo; không áp dụng đối với mô hình trí tuệ nhân tạo, trừ trường hợp mô hình được sử dụng như một thành phần của hệ thống trí tuệ nhân tạo cụ thể.

3. Mức độ rủi ro của hệ thống trí tuệ nhân tạo được xác định như sau:

4. Trường hợp bên triển khai sửa đổi, tích hợp, thay đổi chức năng hoặc mục đích sử dụng của hệ thống so với công bố ban đầu của nhà cung cấp làm phát sinh rủi ro mới hoặc rủi ro cao hơn, bên triển khai có trách nhiệm phối hợp với nhà cung cấp để rà soát, phân loại lại mức độ rủi ro.

1. Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao do Thủ tướng Chính phủ ban hành theo quy định tại khoản 4 Điều 13 của Luật Trí tuệ nhân tạo bao gồm:

2. Trách nhiệm rà soát, đề xuất sửa đổi, bổ sung Danh mục quy định tại khoản 1 Điều này được thực hiện như sau:

1. Hệ thống trí tuệ nhân tạo được xác định là có rủi ro cao khi đáp ứng một hoặc nhiều tiêu chí sau đây:

2. Hệ thống trí tuệ nhân tạo mặc dù thuộc tiêu chí quy định tại khoản 1 Điều này nhưng không được đề xuất đưa vào Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao khi đáp ứng một trong các tiêu chí sau đây:

3. Bộ, cơ quan ngang bộ căn cứ tiêu chí quy định tại khoản 1 và khoản 2 Điều này để đề xuất hệ thống trí tuệ nhân tạo đưa vào Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao.

4. Bộ, cơ quan ngang bộ căn cứ Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao quy định tại Điều 7 của Nghị định này và yêu cầu quản lý theo lĩnh vực, đề xuất các hệ thống trí tuệ nhân tạo có rủi ro cao phải chứng nhận sự phù hợp trước khi đưa vào sử dụng.

5. Trường hợp hệ thống trí tuệ nhân tạo đáp ứng trường hợp quy định tại khoản 2 Điều này nhưng có bằng chứng kỹ thuật hoặc thực tiễn có thể đo lường được cho thấy hệ thống tồn tại nguy cơ, lỗ hổng nghiêm trọng có khả năng trực tiếp gây thiệt hại đến quốc phòng, an ninh hoặc trật tự, an toàn xã hội, Thủ tướng Chính phủ xem xét đưa vào Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao và nêu rõ căn cứ trong Quyết định ban hành Danh mục.

1. Nhà cung cấp có trách nhiệm phân loại hệ thống trí tuệ nhân tạo vào nhóm rủi ro trung bình khi hệ thống đó đáp ứng đồng thời các điều kiện sau đây:

2. Bên triển khai áp dụng quy định tại khoản 1 Điều này để thực hiện phân loại lại hệ thống trí tuệ nhân tạo đối với trường hợp quy định tại khoản 2 Điều 10 của Luật Trí tuệ nhân tạo.

3. Nhà cung cấp, bên triển khai không phân loại hệ thống trí tuệ nhân tạo là hệ thống có rủi ro trung bình khi thuộc một trong các trường hợp sau đây:

1. Bộ Khoa học và Công nghệ thiết lập, duy trì Công cụ hỗ trợ phân loại rủi ro tự động trên Cổng thông tin điện tử một cửa về trí tuệ nhân tạo nhằm hỗ trợ nhà cung cấp, bên triển khai tự đánh giá, phân loại hệ thống trí tuệ nhân tạo.

2. Nhà cung cấp không bắt buộc phải sử dụng Công cụ hỗ trợ phân loại rủi ro tự động quy định tại khoản 1 Điều này. Cơ quan nhà nước có thẩm quyền không được yêu cầu nhà cung cấp phải nộp kết quả phân loại xuất từ Công cụ này như một thành phần hồ sơ bắt buộc trong bất kỳ thủ tục hành chính nào.

3. Kết quả phân loại rủi ro từ Công cụ hỗ trợ phân loại rủi ro tự động được xác định là một tài liệu điện tử hợp lệ của hồ sơ phân loại rủi ro và là một trong các căn cứ thực tế để cơ quan nhà nước có thẩm quyền xem xét, đánh giá việc tuân thủ pháp luật về phân loại rủi ro của nhà cung cấp.

4. Trường hợp chưa xác định được mức độ rủi ro sau khi sử dụng Công cụ hỗ trợ phân loại rủi ro tự động, nhà cung cấp có quyền đề nghị Bộ Khoa học và Công nghệ hướng dẫn việc phân loại trên cơ sở hồ sơ kỹ thuật theo quy định tại khoản 4 Điều 10 của Luật Trí tuệ nhân tạo.

1. Nhà cung cấp phải thực hiện rà soát và phân loại lại mức độ rủi ro của hệ thống trí tuệ nhân tạo khi phát sinh một trong các sự kiện pháp lý sau đây:

2. Bên triển khai phải phối hợp với nhà cung cấp thực hiện phân loại lại hệ thống trí tuệ nhân tạo trong trường hợp bên triển khai thực hiện sửa đổi, tích hợp hoặc thay đổi chức năng làm phát sinh rủi ro mới hoặc rủi ro cao hơn so với kết quả phân loại ban đầu của nhà cung cấp.

3. Việc thực hiện thông báo kết quả sau khi rà soát, phân loại lại được quy định như sau:

4. Nhà cung cấp, bên triển khai không phải thực hiện rà soát và thông báo phân loại lại khi tiến hành các hoạt động nâng cấp, tối ưu hóa hiệu suất, sửa lỗi kỹ thuật thông thường hoặc cập nhật dữ liệu định kỳ mà không làm thay đổi bản chất rủi ro của hệ thống.

5. Trường hợp hệ thống trí tuệ nhân tạo phải phân loại lại thành rủi ro cao theo quy định tại điểm a khoản 1 Điều này, nhà cung cấp, bên triển khai áp dụng thời gian chuyển tiếp tối đa 12 tháng kể từ ngày quyết định sửa đổi, bổ sung Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao của Thủ tướng Chính phủ có hiệu lực để hoàn thiện hồ sơ và thủ tục đánh giá sự phù hợp theo quy định của Luật Trí tuệ nhân tạo. Trong thời hạn chuyển tiếp, hệ thống được phép tiếp tục hoạt động nhưng nhà cung cấp, bên triển khai phải thiết lập và duy trì cơ chế giám sát thực chất của con người. Người thực hiện giám sát phải được bảo đảm đủ thông tin, thẩm quyền để đánh giá độc lập, can thiệp hoặc bác bỏ kết quả của hệ thống; đồng thời, nhà cung cấp, bên triển khai phải lưu trữ đầy đủ nhật ký vận hành và các quyết định can thiệp để phục vụ công tác thanh tra, kiểm tra.

1. Nhà cung cấp phải lập hồ sơ phân loại rủi ro đối với hệ thống trí tuệ nhân tạo có rủi ro cao và hệ thống trí tuệ nhân tạo có rủi ro trung bình trước khi đưa hệ thống vào sử dụng theo quy định tại khoản 1 Điều 10 của Luật Trí tuệ nhân tạo.

2. Đối với hệ thống trí tuệ nhân tạo có rủi ro cao và rủi ro trung bình, nhà cung cấp phải bảo đảm hồ sơ phân loại rủi ro bao gồm các tài liệu sau đây:

3. Trường hợp nhà cung cấp phát triển hệ thống trí tuệ nhân tạo dựa trên nền tảng, mô hình hoặc dịch vụ trí tuệ nhân tạo của bên thứ ba, nhà cung cấp chỉ phải cung cấp thông tin kỹ thuật và thông tin về dữ liệu trong phạm vi quyền tiếp cận và kiểm soát hợp pháp của mình.

4. Việc lập, cung cấp và quản lý hồ sơ phân loại rủi ro không bắt buộc nhà cung cấp phải tiết lộ mã nguồn, bộ tham số mô hình, thuật toán chi tiết, dữ liệu huấn luyện thô hoặc các thông tin thuộc danh mục bí mật nhà nước, bí mật kinh doanh, bí mật công nghệ theo quy định tại điểm e khoản 1 Điều 14 của Luật Trí tuệ nhân tạo, trừ trường hợp pháp luật có quy định khác.

5. Nhà cung cấp có quyền sử dụng tài liệu mô tả kỹ thuật mô hình hoặc tài liệu kỹ thuật tương đương được lập theo tiêu chuẩn quốc tế để đáp ứng các thành phần hồ sơ quy định tại khoản 2 và khoản 3 Điều này, với điều kiện các tài liệu đó đáp ứng đầy đủ các nội dung thông tin theo yêu cầu của Nghị định này.

6. Nhà cung cấp, bên triển khai có trách nhiệm lưu trữ hồ sơ phân loại trong suốt thời gian hệ thống hoạt động.

7. Trường hợp hệ thống trí tuệ nhân tạo có sử dụng dữ liệu cá nhân, nhà cung cấp được sử dụng Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo quy định của pháp luật về bảo vệ dữ liệu cá nhân để thay thế hoặc tích hợp làm thành phần của Hồ sơ phân loại rủi ro, nhằm giảm thiểu chi phí tuân thủ hành chính.

1. Nhà cung cấp hệ thống trí tuệ nhân tạo có rủi ro cao phải thực hiện đánh giá sự phù hợp trước khi đưa hệ thống vào sử dụng theo quy định tại khoản 1 Điều 13 của Luật Trí tuệ nhân tạo.

Trong quá trình sử dụng, nhà cung cấp phải thực hiện đánh giá lại sự phù hợp khi có thay đổi đáng kể làm ảnh hưởng đến kết quả đánh giá sự phù hợp ban đầu, bao gồm một trong các trường hợp sau đây:

2. Nhà cung cấp phải thực hiện đánh giá sự phù hợp với yêu cầu của Điều 14 của Luật Trí tuệ nhân tạo theo các phương thức sau đây:

3. Trường hợp hệ thống trí tuệ nhân tạo có rủi ro cao thuộc phạm vi điều chỉnh của pháp luật chuyên ngành có quy định về tiêu chuẩn, quy chuẩn kỹ thuật hoặc đánh giá sự phù hợp, nhà cung cấp có quyền sử dụng kết quả đánh giá theo pháp luật chuyên ngành để chứng minh sự phù hợp đối với các yêu cầu tương ứng quy định tại Điều 14 của Luật Trí tuệ nhân tạo. Cơ quan nhà nước có thẩm quyền không được yêu cầu nhà cung cấp thực hiện đánh giá lại đối với các nội dung đã được chứng nhận đạt yêu cầu, bảo đảm không làm phát sinh thủ tục hành chính trùng lặp.

4. Tổ chức đánh giá sự phù hợp đối với hệ thống trí tuệ nhân tạo có rủi ro cao phải đáp ứng đồng thời các yêu cầu sau đây:

5. Cơ quan nhà nước có thẩm quyền thừa nhận kết quả đánh giá sự phù hợp do tổ chức đánh giá sự phù hợp của nước ngoài thực hiện theo quy định của pháp luật về tiêu chuẩn, quy chuẩn kỹ thuật và điều ước quốc tế mà nước Cộng hòa xã hội chủ nghĩa Việt Nam là thành viên.

Nhà cung cấp được sử dụng kết quả đánh giá sự phù hợp đã được thừa nhận để chứng minh sự phù hợp đối với các nội dung tương ứng đã được đánh giá. Đối với các nội dung chưa được đánh giá hoặc chưa được thừa nhận, nhà cung cấp phải tiếp tục thực hiện việc đánh giá sự phù hợp theo quy định tại Điều này.

6. Nhà cung cấp có hệ thống trí tuệ nhân tạo có rủi ro cao đã được đánh giá sự phù hợp phải duy trì sự phù hợp và công khai thông tin về kết quả đánh giá sự phù hợp trên Cổng thông tin điện tử một cửa về trí tuệ nhân tạo trước khi đưa hệ thống vào sử dụng và khi cập nhật kết quả đánh giá lại. Nội dung công khai bao gồm:

1. Nhà cung cấp hệ thống trí tuệ nhân tạo có rủi ro trung bình và hệ thống trí tuệ nhân tạo có rủi ro cao phải thông báo kết quả phân loại rủi ro cho Bộ Khoa học và Công nghệ thông qua Cổng thông tin điện tử một cửa về trí tuệ nhân tạo trước khi đưa hệ thống vào sử dụng. Nhà cung cấp tự kê khai, tự chịu trách nhiệm trước pháp luật về nội dung thông báo.

2. Nhà cung cấp phải bảo đảm nội dung thông báo kết quả phân loại rủi ro tuân thủ theo quy định tại Điều 12 của Nghị định này.

3. Nhà cung cấp thực hiện thông báo bằng phương thức điện tử trên Cổng thông tin điện tử một cửa về trí tuệ nhân tạo theo một trong các hình thức sau đây:

4. Bộ Khoa học và Công nghệ thông qua Cổng thông tin điện tử một cửa về trí tuệ nhân tạo tự động ghi nhận thông tin, cấp mã định danh hệ thống trí tuệ nhân tạo và gửi xác nhận điện tử cho nhà cung cấp ngay sau khi nhà cung cấp hoàn tất việc gửi thông báo. Trong quá trình tiếp nhận thông báo, cơ quan nhà nước có thẩm quyền không được yêu cầu nhà cung cấp nộp thêm tài liệu hoặc bổ sung thành phần thông tin ngoài nội dung quy định tại khoản 2 Điều này. Cơ quan nhà nước có thẩm quyền thực hiện thanh tra, kiểm tra và hậu kiểm theo quy định của pháp luật.

1. Nhà cung cấp hệ thống trí tuệ nhân tạo có rủi ro cao phải thiết lập và duy trì hệ thống quản lý rủi ro đối với hệ thống do mình cung cấp phù hợp với mục đích sử dụng, phạm vi triển khai và mức độ rủi ro của hệ thống.

2. Hệ thống quản lý rủi ro quy định tại khoản 1 Điều này bao gồm tối thiểu các nội dung sau đây:

3. Nhà cung cấp có trách nhiệm cung cấp cho bên triển khai các thông tin cần thiết về mục đích sử dụng của hệ thống, điều kiện vận hành an toàn, các rủi ro đã được xác định và biện pháp quản lý rủi ro tương ứng để bảo đảm việc triển khai và sử dụng hệ thống đúng mục đích.

4. Bên triển khai hệ thống trí tuệ nhân tạo có rủi ro cao phải tổ chức quản lý rủi ro trong quá trình triển khai và vận hành hệ thống phù hợp với mục đích sử dụng, phạm vi triển khai, mức độ rủi ro của hệ thống và hướng dẫn kỹ thuật của nhà cung cấp.

5. Trong quá trình triển khai và vận hành, bên triển khai thực hiện các biện pháp quản lý rủi ro sau đây:

6. Trường hợp phát hiện hệ thống có nguy cơ gây thiệt hại nghiêm trọng đến tính mạng, sức khỏe con người, quyền con người, tài sản, an ninh mạng, trật tự, an toàn xã hội hoặc lợi ích công cộng, bên triển khai phải kịp thời áp dụng biện pháp hạn chế rủi ro trong phạm vi quyền kiểm soát của mình và thông báo cho nhà cung cấp và cơ quan nhà nước có thẩm quyền theo quy định của pháp luật.