Pháp lý AI Việt Nam 2026: Phân loại rủi ro, dữ liệu và bản quyền

Từ ngày 1/3/2026, Luật Trí tuệ nhân tạo số 134/2025/QH15 tạo khung quản lý trực tiếp đối với hoạt động nghiên cứu, phát triển, cung cấp, triển khai và sử dụng hệ thống AI tại Việt Nam. Tuân thủ không còn là một chính sách đạo đức đứng riêng; nó giao thoa với dữ liệu cá nhân, an ninh mạng, bí mật nhà nước và sở hữu trí tuệ.

1. Tình huống: doanh nghiệp đưa Legal AI vào sử dụng nội bộ

Việc đầu tiên không phải là viết chính sách sử dụng chung mà là xác định vai trò theo Điều 3 Luật Trí tuệ nhân tạo: nhà phát triển, nhà cung cấp, bên triển khai hay người sử dụng. Điều 9 phân loại hệ thống theo rủi ro cao, trung bình hoặc thấp; Điều 10 giao nhà cung cấp tự phân loại trước khi đưa hệ thống vào sử dụng và yêu cầu phân loại lại nếu việc sửa đổi, tích hợp làm phát sinh rủi ro mới. Một công cụ chỉ tóm tắt văn bản công khai có thể có hồ sơ rủi ro khác với công cụ đề xuất quyết định ảnh hưởng trực tiếp đến quyền của cá nhân.

2. Nghĩa vụ thay đổi theo mức rủi ro

Hệ thống rủi ro cao phải được đánh giá sự phù hợp theo Điều 13 và đáp ứng các yêu cầu quản lý tại Điều 14: quản lý rủi ro, quản trị dữ liệu huấn luyện và kiểm thử, hồ sơ kỹ thuật, nhật ký, giám sát con người, minh bạch, xử lý sự cố và giải trình. Hệ thống rủi ro trung bình chịu nghĩa vụ minh bạch và giải trình theo Điều 15; hệ thống rủi ro thấp vẫn phải dùng cho mục đích hợp pháp. Điều 35 đặt thời hạn chuyển tiếp 18 tháng cho hệ thống cũ trong y tế, giáo dục, tài chính và 12 tháng cho hệ thống khác, tính từ ngày Luật có hiệu lực 01/3/2026.

3. Dữ liệu và bản quyền là lớp tuân thủ độc lập

Khoản 3 Điều 7 Luật Trí tuệ nhân tạo cấm thu thập, xử lý hoặc sử dụng dữ liệu trái pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ và an ninh mạng. Điều 30 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 yêu cầu dữ liệu dùng trong AI phải đúng mục đích, giới hạn cần thiết, có biện pháp bảo mật, xác thực và phân quyền; hoạt động xử lý bằng AI còn phải phân loại rủi ro. Đối với đầu ra sáng tạo, Điều 5a được bổ sung vào Nghị định số 17/2023/NĐ-CP bởi Nghị định số 134/2026/NĐ-CP đòi hỏi đóng góp đáng kể, mang tính quyết định và sự kiểm soát của con người để phát sinh quyền tác giả trong trường hợp dùng AI hỗ trợ.

4. Bắt đầu bằng vai trò và mức độ rủi ro

Nghĩa vụ phụ thuộc vào việc tổ chức là nhà phát triển, nhà cung cấp, bên triển khai hay người sử dụng và hệ thống được phân loại rủi ro thấp, trung bình hay cao. Nhà cung cấp phải tự phân loại trước khi đưa hệ thống vào sử dụng; hệ thống trung bình hoặc cao có hồ sơ và nghĩa vụ thông báo theo quy định.

Hệ thống rủi ro cao phải đáp ứng yêu cầu quản lý chặt hơn, bao gồm đánh giá sự phù hợp, quản trị dữ liệu, hồ sơ kỹ thuật, nhật ký và khả năng giám sát, can thiệp của con người. Việc tích hợp hoặc đổi mục đích có thể làm phát sinh yêu cầu phân loại lại.

5. Minh bạch và nội dung do AI tạo ra

Người dùng cần được biết khi đang tương tác trực tiếp với AI trong các trường hợp luật yêu cầu. Nội dung âm thanh, hình ảnh và video do AI tạo ra phải có dấu hiệu máy đọc được; nội dung có thể gây nhầm lẫn về người hoặc sự kiện cần được thông báo rõ, và nội dung mô phỏng diện mạo hoặc giọng nói của người thật phải có nhãn dễ nhận biết.

Doanh nghiệp vì thế cần quản lý cả đầu ra, kênh phân phối và khả năng truy vết, không chỉ quản lý mô hình ở phía sau.

6. Dữ liệu, bí mật và quyền sở hữu trí tuệ

Dữ liệu dùng để huấn luyện, thử nghiệm hoặc vận hành AI phải có căn cứ pháp lý và được xử lý theo đúng mục đích. Với tài liệu mật, bí mật kinh doanh hoặc dữ liệu cá nhân, chính sách nội bộ phải quy định rõ công cụ nào được phép dùng và thông tin nào bị cấm nhập.

Pháp luật sở hữu trí tuệ hiện hành ghi nhận khả năng bảo hộ tác phẩm có AI hỗ trợ khi đóng góp của con người là đáng kể, mang tính quyết định và đáp ứng điều kiện luật định; sản phẩm hoàn toàn do AI tạo ra không tự động làm phát sinh quyền tác giả. Lịch sử câu lệnh, bản thảo và quyết định biên tập có thể trở thành bằng chứng quan trọng.

7. Lộ trình tuân thủ theo từng hệ thống

Tổ chức nên bắt đầu bằng danh mục tất cả hệ thống AI đang được phát triển, mua hoặc sử dụng, kể cả công cụ do nhân viên tự đăng ký. Với mỗi hệ thống, cần ghi mục đích, vai trò của tổ chức, nhóm người bị ảnh hưởng, dữ liệu đầu vào, nhà cung cấp, tích hợp, đầu ra và người ra quyết định. Danh mục là nền tảng để phân loại rủi ro và xác định nghĩa vụ; nếu không biết hệ thống nào đang tồn tại, tổ chức không thể quản trị nhất quán.

Sau bước kiểm kê là phân loại, đánh giá khoảng cách và lập kế hoạch kiểm soát. Hệ thống có rủi ro cao cần được ưu tiên về hồ sơ kỹ thuật, quản trị dữ liệu, giám sát con người, nhật ký, đánh giá sự phù hợp và xử lý sự cố. Việc thay đổi mục đích, mô hình, dữ liệu hoặc cách tích hợp phải kích hoạt đánh giá lại vì có thể làm thay đổi vai trò hoặc mức độ rủi ro.

8. Rủi ro trong hợp đồng với nhà cung cấp

Hợp đồng cần xác định rõ vai trò của các bên, phạm vi dịch vụ, dữ liệu được xử lý, quyền sử dụng dữ liệu để huấn luyện, nhà thầu phụ, vị trí xử lý, tiêu chuẩn bảo mật, thông báo sự cố và nghĩa vụ hỗ trợ. Tổ chức cũng cần quyền nhận thông tin về thay đổi đáng kể của mô hình hoặc dịch vụ, vì thay đổi kỹ thuật có thể ảnh hưởng đến kết quả đánh giá ban đầu.

Điều khoản về kiểm toán, nhật ký, xuất dữ liệu, xóa dữ liệu và chấm dứt dịch vụ đặc biệt quan trọng với công việc pháp lý. Nếu nhà cung cấp không cho phép kiểm tra nguồn, không làm rõ dữ liệu hoặc cam kết độ chính xác tuyệt đối mà không có phương pháp đo, đó là tín hiệu cần đánh giá sâu hơn. Hợp đồng phải phù hợp với use case và mức rủi ro, không nên dùng một phụ lục chung cho mọi hệ thống AI.

9. Giám sát, sự cố và trách nhiệm

Sau khi triển khai, tổ chức cần theo dõi chất lượng, sai lệch, khiếu nại, sự cố bảo mật và thay đổi phạm vi sử dụng. Chỉ số phải phản ánh rủi ro của use case, chẳng hạn tỷ lệ trích dẫn sai, bỏ sót, quyết định bị bác bỏ hoặc đầu ra phải sửa đáng kể. Khi vượt ngưỡng, hệ thống cần được hạn chế, tạm dừng hoặc chuyển sang quy trình thủ công.

Quy trình sự cố phải chỉ rõ cách phát hiện, ghi nhận, hạn chế tác hại, bảo toàn bằng chứng, thông báo và khắc phục. Người phụ trách pháp lý, công nghệ, an ninh và đơn vị nghiệp vụ cần phối hợp theo vai trò đã xác định. AI không làm mất trách nhiệm của tổ chức và cá nhân sử dụng; vì vậy, quyền quyết định cuối cùng và khả năng can thiệp của con người phải được thiết kế rõ ràng.

10. Nền tảng hỗ trợ như thế nào?

– Lập danh mục hệ thống AI và xác định vai trò của tổ chức.

– Phân loại rủi ro trước khi đưa hệ thống vào sử dụng.

– Thiết lập minh bạch, nhãn, giám sát con người và xử lý sự cố.

– Kiểm soát dữ liệu cá nhân, bí mật, bản quyền và nhà cung cấp.

11. Câu hỏi thường gặp

Câu hỏi 1. Doanh nghiệp sử dụng công cụ AI có phải tự phân loại rủi ro không?

Cần xác định vai trò cụ thể. Nhà cung cấp có nghĩa vụ phân loại trước khi đưa hệ thống vào sử dụng; bên triển khai phải quản trị rủi ro trong phạm vi sử dụng và đánh giá lại khi tích hợp hoặc thay đổi chức năng làm phát sinh rủi ro mới.

Câu hỏi 2. Hệ thống AI rủi ro cao phải đáp ứng yêu cầu nào?

Điều 14 Luật Trí tuệ nhân tạo yêu cầu quản lý rủi ro, quản trị dữ liệu huấn luyện và kiểm thử, hồ sơ kỹ thuật, nhật ký, giám sát con người, minh bạch, độ chính xác phù hợp, xử lý sự cố và khả năng giải trình.

Câu hỏi 3. Đầu ra do AI hỗ trợ có được bảo hộ quyền tác giả không?

Có thể, nếu phần đóng góp của con người là đáng kể, mang tính quyết định và người đó kiểm soát quá trình sáng tạo theo điều kiện của pháp luật sở hữu trí tuệ. Sản phẩm hoàn toàn do AI tạo ra không tự động làm phát sinh quyền tác giả.

12. Căn cứ pháp lý tham khảo

1. Luật Trí tuệ nhân tạo số 134/2025/QH15 và Nghị định số 142/2026/NĐ-CP.

2. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP.

3. Luật số 131/2025/QH15 sửa đổi, bổ sung Luật Sở hữu trí tuệ và Nghị định số 134/2026/NĐ-CP.

4. Luật An ninh mạng số 116/2025/QH15 và Luật Bảo vệ bí mật nhà nước số 117/2025/QH15.

13. Kết luận

Pháp lý AI Việt Nam 2026 yêu cầu tổ chức nhìn hệ thống theo vai trò, mục đích và mức rủi ro cụ thể. Phân loại AI chỉ là điểm bắt đầu; dữ liệu cá nhân, an ninh mạng, bí mật và sở hữu trí tuệ vẫn là các lớp nghĩa vụ độc lập phải được quản trị xuyên suốt vòng đời.