Ở Việt Nam, doanh nghiệp dùng AI không chịu một luật duy nhất mà chịu nhiều lớp quy định cùng lúc: phần về trí tuệ nhân tạo trong Luật Công nghiệp công nghệ số năm 2025, khung bảo vệ dữ liệu cá nhân (Nghị định 13/2023/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân năm 2025), cùng các luật sẵn có về bảo vệ người tiêu dùng, quảng cáo, lao động, sở hữu trí tuệ và an ninh mạng. Với doanh nghiệp vừa và nhỏ chủ yếu dùng công cụ AI có sẵn, nghĩa vụ hay gặp nhất xoay quanh bốn điểm: xử lý dữ liệu cá nhân đúng căn cứ, minh bạch khi khách tương tác với AI hoặc xem nội dung do AI tạo, chịu trách nhiệm về thông tin gửi ra ngoài, và không để AI quyết định thay người trong việc ảnh hưởng tới quyền lợi một người.
Bài này không thay ý kiến pháp lý. Mục đích là giúp người phụ trách AI và chủ doanh nghiệp biết mình đang đứng ở đâu trên bản đồ, đặt đúng câu hỏi cho người làm pháp chế, và biến nguyên tắc thành việc làm trong quy chế nội bộ. Văn bản về AI đang được bổ sung nhanh, nên mọi chi tiết cần kiểm văn bản hiện hành; tình huống cụ thể nên hỏi luật sư, chẳng hạn qua AI Cố Vấn.
Vì sao không có một "luật AI" duy nhất để đọc là xong
Nhiều chủ doanh nghiệp hỏi "luật AI ở Việt Nam là luật nào" với kỳ vọng có một văn bản đọc xong là đủ. Thực tế, AI là công cụ, và hậu quả của việc dùng công cụ rơi vào những lĩnh vực đã có luật từ trước. Một email chào hàng do AI soạn có thông tin sai về công dụng sản phẩm là chuyện của luật quảng cáo và bảo vệ người tiêu dùng; một bảng lương dán vào chatbot là chuyện của dữ liệu cá nhân và nội quy lao động; một bức ảnh AI tạo giống tác phẩm của người khác là chuyện sở hữu trí tuệ.
Bên cạnh các luật sẵn có, Việt Nam đã bắt đầu có quy định gọi đích danh trí tuệ nhân tạo. Luật Công nghiệp công nghệ số được Quốc hội thông qua tháng 6 năm 2025, có hiệu lực từ đầu năm 2026, có phần dành riêng cho AI với các nguyên tắc như lấy con người làm trung tâm, minh bạch, quản lý theo mức rủi ro và yêu cầu sản phẩm do AI tạo ra có dấu hiệu nhận biết. Trong năm 2025, một dự án luật riêng về trí tuệ nhân tạo cũng đã được đưa ra Quốc hội; tình trạng hiệu lực và văn bản hướng dẫn cần được kiểm tại thời điểm đọc.
Hệ quả cho doanh nghiệp: cách đọc đúng là đi từ việc mình làm với AI, hỏi việc đó chạm vào lĩnh vực luật nào, chứ không đi từ một văn bản rồi tìm xem có liên quan không. Phần dưới sắp xếp theo đúng hướng đó.
Trước hết: doanh nghiệp đang ở vai trò nào
Bên dùng công cụ cho việc nội bộ. Nhân viên dùng chatbot soạn văn bản, tóm tắt tài liệu, phân tích bảng tính. Đây là vị trí của phần lớn doanh nghiệp nhỏ. Nghĩa vụ chính nằm ở dữ liệu đưa vào và trách nhiệm về đầu ra.
Bên triển khai AI tới khách hàng. Công ty gắn chatbot vào trang web, dùng AI trả lời tin nhắn, tạo hình ảnh quảng cáo, gửi tin chăm sóc khách tự động. Ngoài nghĩa vụ của bên dùng, thêm nghĩa vụ minh bạch với người tương tác và trách nhiệm với thông tin AI nói thay công ty.
Bên dùng AI trong quyết định về người. Sàng lọc hồ sơ ứng viên, đánh giá nhân viên, xét duyệt khách hàng. Đây là nhóm mà hầu hết các khung quản lý AI theo mức rủi ro đều xếp cao, với yêu cầu có người xem lại và giải thích được.
Bên phát triển hoặc cung cấp hệ thống AI. Công ty tự xây mô hình, bán phần mềm có AI cho khách khác. Nghĩa vụ nặng hơn hẳn và cần tư vấn chuyên sâu; bài này không đi vào nhóm đó.
Một công ty có thể ở nhiều vai trò. Phòng kế toán chỉ dùng nội bộ, phòng chăm sóc khách hàng triển khai chatbot, phòng nhân sự thử AI đọc hồ sơ. Danh sách theo dõi các việc dùng AI (bàn ở bài đánh giá rủi ro) là chỗ ghi rõ mỗi việc thuộc vai trò nào.
Bản đồ các nhóm luật và việc dùng AI hay chạm tới
Bảng dưới gom các nhóm quy định theo việc. Cột cuối là câu hỏi nên đặt cho người làm pháp chế hoặc luật sư — không phải kết luận pháp lý:
| Nhóm quy định | Việc dùng AI hay chạm tới | Nguyên lý cần nắm | Câu hỏi nên đặt cho pháp chế |
|---|---|---|---|
| Công nghệ số, phần về AI | Chatbot với khách, nội dung và hình ảnh do AI tạo, AI trong quyết định | Minh bạch, quản lý theo rủi ro, sản phẩm AI có dấu hiệu nhận biết, con người chịu trách nhiệm | Việc của công ty thuộc mức rủi ro nào, cần ghi nhãn ở đâu và theo hình thức nào |
| Bảo vệ dữ liệu cá nhân | Dán dữ liệu khách, nhân viên, ứng viên vào công cụ AI; nhà cung cấp lưu trữ ở nước ngoài | Có căn cứ xử lý (thường là sự đồng ý), đúng mục đích, tối thiểu hoá, bảo mật, tôn trọng quyền chủ thể | Có phải lập hồ sơ đánh giá tác động không, việc gửi dữ liệu ra nước ngoài cần thủ tục gì |
| Bảo vệ quyền lợi người tiêu dùng, quảng cáo | Mô tả sản phẩm, quảng cáo, lời hứa của chatbot | Thông tin trung thực, không gây nhầm lẫn, doanh nghiệp chịu trách nhiệm về thông tin cung cấp | Lời chatbot nói có ràng buộc công ty như lời nhân viên không |
| Lao động | AI đánh giá nhân viên, chấm công, sàng lọc ứng viên; nội quy về dùng AI | Nội quy phải được ban hành đúng thủ tục để áp dụng kỷ luật; không phân biệt đối xử | Quy chế dùng AI đưa vào nội quy lao động thế nào |
| Sở hữu trí tuệ | Hình ảnh, bài viết, mã nguồn do AI tạo; đưa tài liệu của người khác vào AI | Quyền tác giả gắn với sáng tạo của con người; không dùng tác phẩm người khác trái phép | Công ty có quyền gì với nội dung AI tạo theo điều khoản nhà cung cấp và luật hiện hành |
| An ninh mạng, bí mật kinh doanh | Tài liệu nội bộ đi qua công cụ bên ngoài | Bảo vệ thông tin quan trọng, trách nhiệm của doanh nghiệp với hệ thống của mình | Loại dữ liệu nào của công ty có yêu cầu lưu trữ hoặc bảo mật riêng |
Bảng cố ý không ghi số điều, mức phạt hay thời hạn: những chi tiết đó thay đổi theo văn bản hướng dẫn và cần đọc từ nguồn chính thức tại thời điểm áp dụng. Với ngành có quy định chuyên ngành — ngân hàng, bảo hiểm, y tế, giáo dục — còn một lớp quy định riêng chồng lên bảng này.
Dữ liệu cá nhân: phần nghĩa vụ doanh nghiệp nhỏ hay gặp nhất
Trong mọi nhóm luật ở bảng trên, dữ liệu cá nhân là chỗ doanh nghiệp nhỏ dễ vi phạm nhất mà không biết. Lý do đơn giản: việc dán một danh sách khách hàng vào chatbot để "viết tin nhắn chúc mừng sinh nhật cho từng người" chỉ mất vài giây và trông vô hại. Nhưng theo khung bảo vệ dữ liệu cá nhân, đó là một hoạt động xử lý dữ liệu, có thể kèm việc chuyển dữ liệu cho bên thứ ba và ra nước ngoài nếu máy chủ của nhà cung cấp đặt ở nước khác.
Nghị định 13/2023/NĐ-CP là văn bản nền đã áp dụng từ giữa năm 2023, đặt ra các khái niệm như dữ liệu cá nhân cơ bản và nhạy cảm, bên kiểm soát và bên xử lý, sự đồng ý của chủ thể dữ liệu, hồ sơ đánh giá tác động. Luật Bảo vệ dữ liệu cá nhân được Quốc hội thông qua năm 2025 nâng các nguyên tắc này lên tầm luật, có hiệu lực từ đầu năm 2026. Khi luật và các văn bản hướng dẫn mới có hiệu lực, doanh nghiệp cần kiểm phần nào thay thế, phần nào giữ nguyên so với nghị định.
Ba câu hỏi thực tế để tự kiểm trước mỗi việc có dữ liệu cá nhân đi qua AI: việc này có cần dữ liệu thật của người cụ thể không, hay dùng dữ liệu đã che, dữ liệu mẫu là đủ; nếu cần, khách hoặc nhân viên đã được thông báo và đồng ý cho mục đích này chưa; công cụ dùng có điều khoản về lưu trữ, dùng dữ liệu để huấn luyện và vị trí máy chủ mà công ty đã đọc và chấp nhận chưa. Phần lớn việc văn phòng trả lời được câu đầu bằng "che là đủ" — và đó là cách tuân thủ rẻ nhất. Chi tiết về quyền của chủ thể dữ liệu, cách xin đồng ý và thông báo vi phạm có loạt bài riêng trên AI Bảo Mật.
Biến nguyên lý pháp lý thành việc làm trong công ty
Đọc luật không tự tạo ra tuân thủ. Những việc dưới đây chuyển các nguyên lý ở trên thành thứ có người làm, có văn bản, có bằng chứng:
- Lập danh sách các việc dùng AI và ghi vai trò của công ty trong từng việc (dùng nội bộ, triển khai tới khách, dùng trong quyết định về người). Đây là đầu vào cho mọi câu hỏi pháp lý về sau.
- Đánh dấu việc nào có dữ liệu cá nhân. Với mỗi việc, ghi loại dữ liệu, nguồn, căn cứ xử lý, công cụ, nơi lưu trữ. Việc nào không cần dữ liệu thật thì quy định che hoặc dùng dữ liệu mẫu.
- Rà điều khoản của từng công cụ trong danh mục được duyệt: nhà cung cấp có dùng dữ liệu để huấn luyện không, tắt được không, lưu bao lâu, máy chủ ở đâu. Lưu bản ghi đã rà kèm ngày.
- Cập nhật văn bản hướng ra ngoài: chính sách quyền riêng tư nêu việc dùng công cụ AI xử lý dữ liệu khách, câu chào của chatbot nói rõ là trợ lý tự động, chú thích cho hình ảnh AI tạo trong quảng cáo.
- Đưa quy chế dùng AI vào nội quy lao động hoặc quy định nội bộ theo đúng thủ tục ban hành, để quy tắc có giá trị áp dụng chứ không chỉ là lời khuyên.
- Quy định người xem lại cho mọi việc AI tham gia quyết định về người, và ghi lại ai đã xem, quyết định thế nào.
- Chỉ định đầu mối theo dõi văn bản mới. Người phụ trách AI hoặc người làm pháp chế kiểm định kỳ văn bản về AI và dữ liệu cá nhân, báo ban giám đốc khi có thay đổi ảnh hưởng tới quy chế.
Danh sách này cũng chính là bộ hồ sơ để trình khi đối tác lớn hoặc cơ quan chức năng hỏi công ty quản lý việc dùng AI thế nào. Có văn bản, có người phụ trách và có ngày rà soát là khác biệt giữa "đã cố gắng tuân thủ" và "không biết".
Những hiểu lầm pháp lý hay gặp ở doanh nghiệp nhỏ
"Công ty nhỏ thì luật không để ý." Các nghĩa vụ về dữ liệu cá nhân áp dụng theo hoạt động xử lý chứ không chỉ theo quy mô. Có thể có cơ chế ưu đãi hoặc lộ trình cho doanh nghiệp nhỏ, nhưng phải kiểm văn bản cụ thể, không mặc định là được miễn.
"Dùng công cụ của hãng lớn thì hãng chịu trách nhiệm." Nhà cung cấp chịu trách nhiệm về công cụ theo điều khoản của họ; công ty vẫn chịu trách nhiệm về dữ liệu mình đưa vào và nội dung mình gửi đi. Khách hàng nhận email sai sẽ khiếu nại công ty, không khiếu nại hãng công nghệ.
"Nội dung AI tạo thì không ai có bản quyền nên dùng thoải mái." Câu hỏi về quyền với nội dung do AI tạo còn đang được tranh luận ở nhiều nước. Điều chắc chắn hơn là nội dung AI tạo có thể trùng hoặc giống tác phẩm đã có, và người đăng vẫn có thể bị khiếu nại. Kiểm trước khi dùng cho mục đích thương mại.
"Đã có điều khoản đồng ý chung thì dùng dữ liệu vào việc gì cũng được." Sự đồng ý gắn với mục đích cụ thể đã thông báo. Dữ liệu khách cung cấp để giao hàng không mặc nhiên được dùng để phân tích hành vi bằng AI cho chiến dịch quảng cáo.
"Chưa có luật AI riêng thì chưa phải làm gì." Các luật về dữ liệu cá nhân, người tiêu dùng, lao động đang có hiệu lực áp dụng cho việc dùng AI ngay hôm nay. Luật riêng về AI, khi có hiệu lực, bổ sung thêm chứ không thay thế các nghĩa vụ đó.
Khi nào cần hỏi luật sư, khi nào nội bộ tự làm được
Phần lớn việc trong lộ trình ở trên — lập danh sách việc dùng AI, che dữ liệu, rà điều khoản công cụ, viết câu chào cho chatbot — người phụ trách AI làm được với sự hỗ trợ của người làm hành chính hoặc pháp chế nội bộ. Đó là việc tổ chức và kỷ luật, không cần diễn giải luật phức tạp.
Nên có ý kiến luật sư khi: công ty xử lý dữ liệu cá nhân nhạy cảm như sức khoẻ, tài chính, sinh trắc học; khi chuyển dữ liệu khách hàng ra nước ngoài ở quy mô lớn; khi dùng AI trong tuyển dụng, đánh giá hay xét duyệt khách hàng; khi chuẩn bị đưa một sản phẩm có AI ra thị trường; hoặc khi đã xảy ra sự cố lộ dữ liệu. Những tình huống này cần đọc văn bản cụ thể với hoàn cảnh cụ thể, và chi phí một buổi tư vấn nhỏ hơn nhiều so với chi phí xử lý hậu quả.
Khi đi hỏi, mang theo danh sách việc dùng AI và bảng phân loại dữ liệu của công ty sẽ giúp buổi tư vấn đi thẳng vào điểm cần. Người cần trao đổi nhanh một tình huống có thể bắt đầu bằng việc hỏi luật sư trên AI Cố Vấn, rồi quyết định có cần tư vấn chính thức hay không.
Câu hỏi thường gặp
Luật Công nghiệp công nghệ số có áp dụng cho công ty chỉ dùng ChatGPT hay Gemini để soạn văn bản không?
Phần về AI trong luật đặt ra nguyên tắc chung và nghĩa vụ chủ yếu cho bên phát triển, cung cấp và triển khai hệ thống AI tới người dùng. Công ty chỉ dùng công cụ cho việc nội bộ chịu ảnh hưởng gián tiếp nhiều hơn, nhưng vẫn chịu các luật khác như dữ liệu cá nhân và trách nhiệm về thông tin gửi ra ngoài. Phạm vi cụ thể nên kiểm văn bản hướng dẫn hiện hành.
Dán thông tin khách hàng đã bỏ tên vào chatbot có còn là xử lý dữ liệu cá nhân không?
Nếu sau khi che, không còn cách nào hợp lý để nhận ra người đó, kể cả khi ghép với thông tin khác, thì rủi ro giảm rất nhiều. Nhưng bỏ tên mà vẫn còn số điện thoại, địa chỉ, mã đơn hàng hoặc chi tiết đặc thù thì vẫn có thể nhận diện được. Quy tắc an toàn là che mọi thông tin có thể lần ra người cụ thể.
Có bắt buộc gắn nhãn mọi nội dung do AI tạo không?
Luật Công nghiệp công nghệ số đặt yêu cầu sản phẩm do AI tạo ra có dấu hiệu nhận biết, nhưng phạm vi, hình thức và đối tượng áp dụng cụ thể phụ thuộc văn bản hướng dẫn. Trong lúc chờ, nguyên tắc thận trọng là ghi chú với hình ảnh, video, giọng nói có thể khiến người xem tưởng là thật, và với chatbot tương tác trực tiếp với khách.
Nhân viên tự ý dán dữ liệu khách vào công cụ AI cá nhân thì công ty có chịu trách nhiệm không?
Thông thường, với khách hàng và cơ quan chức năng, công ty là bên chịu trách nhiệm về dữ liệu đã thu thập. Việc có quy chế, đã đào tạo và đã cung cấp công cụ được duyệt là bằng chứng công ty đã thực hiện biện pháp quản lý, và là căn cứ để xử lý nội bộ với vi phạm. Tình huống cụ thể nên hỏi luật sư.
Doanh nghiệp nước ngoài có văn phòng ở Việt Nam thì áp dụng luật nào?
Hoạt động xử lý dữ liệu và cung cấp dịch vụ tại Việt Nam chịu pháp luật Việt Nam, đồng thời công ty có thể phải tuân thủ luật của nước mẹ, như quy định bảo vệ dữ liệu hoặc Đạo luật AI của Liên minh châu Âu nếu có hoạt động liên quan. Khi hai hệ thống cùng áp dụng, thường phải đáp ứng yêu cầu chặt hơn ở từng điểm.
Theo dõi văn bản mới về AI ở đâu cho đáng tin?
Nguồn chính thức là cơ sở dữ liệu văn bản pháp luật của nhà nước, cổng thông tin của Quốc hội, Chính phủ và bộ quản lý ngành liên quan đến công nghệ số và dữ liệu. Bài phân tích của báo chí và công ty luật hữu ích để hiểu nhanh, nhưng trước khi đổi quy chế nên đọc văn bản gốc.