Luật Trí tuệ nhân tạo doanh nghiệp: phân loại và trách nhiệm

Đăng ngày 25/10/2026

Tóm tắt và điều cần nhớ

Luật Trí tuệ nhân tạo doanh nghiệp cần đọc theo hệ thống AI cụ thể, vai trò của từng bên và mục đích sử dụng. Công việc không dừng ở mua công cụ: cần xác định trách nhiệm, đối chiếu rủi ro, lưu bằng chứng vận hành và chuẩn bị xử lý sự cố. Bài đề xuất cách tổ chức việc rà soát, cung cấp thông tin chung, không kết luận pháp lý cho một doanh nghiệp.

• Xác định ai cung cấp hệ thống AI, ai triển khai và ai trực tiếp sử dụng kết quả.
• Đọc điều kiện của danh mục rủi ro cao, thay vì chỉ nhìn tên ngành hoặc tên mô hình.
• Phân biệt thông báo cho người đọc, nhãn hiển thị và dấu kỹ thuật máy đọc được.
• Chuẩn bị đầu mối tiếp nhận sự cố, quyền dừng hệ thống và hồ sơ trao đổi với nhà cung cấp.
• Ghi riêng ngày vận hành, phiên bản AI và thời điểm thay đổi mục đích để kiểm tra quy định chuyển tiếp.

Ba văn bản đặt cạnh nhau để trả lời câu hỏi nào?

Ngày 10/12/2025, Quốc hội thông qua Luật có số hiệu 134/2025/QH15, điều chỉnh hoạt động trí tuệ nhân tạo. Mốc hiệu lực chung là 01/03/2026, có nội dung chuyển tiếp tại Điều 35. Luật phân biệt ba mức rủi ro, quy định vai trò, minh bạch và trách nhiệm xử lý sự cố. Khi đọc, doanh nghiệp nên bắt đầu từ định nghĩa hệ thống và vai trò, rồi mới xác định nghĩa vụ cần kiểm tra [1].

Nghị định 142/2026/NĐ-CP của Chính phủ, ban hành ngày 30/04/2026 và có hiệu lực ngày 01/05/2026, cụ thể hóa việc phân loại và nhiều yêu cầu vận hành. Quyết định 33/2026/QĐ-TTg của Thủ tướng, ban hành ngày 30/06/2026, hiệu lực ngày 15/08/2026, ban hành danh sách chính thức những hệ thống AI thuộc diện rủi ro cao. Tên sản phẩm thương mại không thay thế được việc đọc điều kiện trong các văn bản này [2][3].

Khi rà soát theo Luật Trí tuệ nhân tạo 2025, bài đề xuất lập một phiếu cho mỗi hệ thống AI. Phiếu mô tả đầu vào, người nhận kết quả, hành động được phép tự động và người có quyền can thiệp. Sau đó người phụ trách ghi văn bản, điều khoản cần đối chiếu và phần chưa đủ thông tin. Phiếu này giúp cuộc trao đổi giữa kỹ thuật và pháp chế có cùng đối tượng; nó không phải chứng nhận tuân thủ.

Nhà cung cấp và bên triển khai khác nhau ở đâu?

Luật phân biệt nhà cung cấp đưa hệ thống AI ra thị trường hoặc vào sử dụng dưới tên, thương hiệu của mình; bên triển khai dùng hệ thống thuộc phạm vi kiểm soát trong hoạt động nghề nghiệp, thương mại hoặc dịch vụ; người sử dụng trực tiếp tương tác hoặc dùng đầu ra. Một doanh nghiệp có thể cần xem xét nhiều vai trò ở những hệ thống khác nhau, không nên gán một nhãn chung cho toàn công ty [1].

Ví dụ giả định, nhóm bán hàng dùng trợ lý AI có sẵn để soạn thư, còn nhóm sản phẩm vận hành một trợ lý mang thương hiệu riêng trên website. Hai luồng có bên nhận kết quả, quyền kiểm soát và cách cung cấp khác nhau. Thay vì kết luận ngay vai pháp lý, người rà soát nên thu hợp đồng, tài liệu sản phẩm và sơ đồ vận hành để bộ phận phụ trách xác định từng vai.

Phiếu trách nhiệm đề xuất có ba câu hỏi thực dụng. Ai quyết định đưa AI tới người dùng? Ai thay đổi dữ liệu, công cụ hoặc quyền thực thi? Ai tiếp nhận yêu cầu sửa sai từ người bị ảnh hưởng? Nếu các câu trả lời nằm ở nhiều phòng ban, cần một đầu mối tổng hợp. Việc ghi rõ người làm giúp tránh cảnh bên mua chờ bên bán trong khi nội dung sai vẫn được phát hành.

Cây câu hỏi phân loại rủi ro dùng thế nào?

Phân loại áp dụng cho hệ thống, không áp riêng mô hình đứng độc lập, trừ khi mô hình là thành phần của hệ thống cụ thể. Nghị định yêu cầu nhà cung cấp tự phân loại; bên triển khai phối hợp phân loại lại khi sửa đổi hoặc tích hợp làm phát sinh rủi ro mới hay cao hơn. Công cụ hỗ trợ phân loại của Bộ là tùy chọn, không phải hồ sơ bắt buộc riêng [2].

Cây câu hỏi trong hình là trình tự chuẩn bị hồ sơ do bài đề xuất. Nhánh đầu yêu cầu đọc đầy đủ mô tả trong danh mục rủi ro cao và các điều kiện liên quan. Nhánh tiếp theo kiểm tra khả năng người dùng không nhận biết AI và các trường hợp loại trừ khi xem xét mức trung bình. Chỉ người có trách nhiệm mới chốt kết quả trên cơ sở tài liệu, không để sơ đồ tự quyết thay mình.

Một trợ lý AI xuất hiện trên website không được đánh giá chỉ bằng câu chào đầu tiên. Người rà soát cần biết trợ lý có gọi công cụ, thay đổi đơn hàng hay chuyển tiền hay không. Cũng cần ghi quyền truy cập, nhóm người bị tác động và cách chuyển sang nhân viên. Hai hệ thống dùng cùng mô hình có thể có bối cảnh khác xa nhau vì những quyền này.

Đọc danh mục rủi ro cao mà không suy từ tên ngành

Danh mục kèm Quyết định của Thủ tướng mô tả hệ thống theo lĩnh vực và điều kiện cụ thể. Trong các mục về ngân hàng có yếu tố giao dịch tự động hoặc quyết định tín dụng cùng điều kiện giám sát; mục y tế mô tả những hệ thống can thiệp điều trị cụ thể. Không thể từ đó kết luận mọi AI trong ngân hàng hay bệnh viện đều thuộc cùng một mức [3].

Doanh nghiệp nên chia trang rà soát AI thành hai cột: mô tả nguyên văn cần đối chiếu và bằng chứng của hệ thống đang xét. Bằng chứng có thể là quy trình phê duyệt, quyền của người vận hành và nhật ký thử nghiệm. Nếu ghi rằng con người kiểm soát, phải cho thấy người đó nhận đủ thông tin, có thời gian và có quyền từ chối, thay vì chỉ có nút xác nhận.

Ví dụ giả định, một AI đề xuất lịch làm việc và một AI tự ban hành quyết định ảnh hưởng đến cá nhân không nên được gom vào cùng dòng chỉ vì đều thuộc phòng nhân sự. Phân tích nên mô tả hành động cuối cùng trước, rồi kiểm tra quy định liên quan. Bài không kết luận mức pháp lý của hai ví dụ này và cũng không xem việc thiếu tên ứng dụng trong một bản tóm tắt là căn cứ miễn trừ.

Minh bạch nội dung có mấy lớp?

Cần tách dấu kỹ thuật và thông báo cho người tiếp nhận. Nghị định quy định dấu máy đọc đối với âm thanh, hình ảnh, video do AI tạo, đồng thời không bắt buộc dấu kỹ thuật cho văn bản trừ khi pháp luật khác quy định. Nghĩa vụ thông báo nội dung công khai dễ gây nhầm lẫn vẫn là câu hỏi riêng; văn bản chữ không mặc nhiên được miễn mọi yêu cầu minh bạch [2].

NIST công bố một tổng quan về các cách tăng tính minh bạch của nội dung số, gồm nguồn gốc nội dung, dấu nhận biết và phát hiện nội dung tổng hợp. Trang giới thiệu không xác nhận một giải pháp duy nhất bảo đảm mọi nội dung đều xác thực. Bài chỉ sử dụng phạm vi tổng quan này, không suy ra độ chính xác của một công cụ phát hiện AI cụ thể [4].

Đề xuất vận hành của bài là kiểm nhãn sau khi xuất bản thử. Đội nội dung cần xem nhãn trên điện thoại, ảnh thu nhỏ và bản được chia sẻ lại. Nếu nhãn chỉ nằm trong tệp gốc mà biến mất ở bản công khai, đội phải kiểm tra lại luồng xuất. Đây là bài kiểm tính hiển thị do tác giả đề xuất, không phải phép xác nhận đáp ứng toàn bộ yêu cầu pháp luật.

Ví dụ giả định, video AI tái hiện một cuộc gặp cần được kiểm tra cả hình, giọng đọc, chú thích và trang chứa video. Dòng giới thiệu không nên làm người xem tưởng người thật đã phát biểu câu do máy dựng. Đội duyệt cũng cần kiểm quyền sử dụng hình ảnh và dữ liệu riêng biệt; gắn nhãn AI không biến một nội dung sai hay xâm phạm quyền thành nội dung được phép.

Sự cố cần có đồng hồ và người chịu trách nhiệm

Điều 19 của nghị định phân biệt thời hạn báo cáo sơ bộ: 72 giờ với các nhóm sự cố nghiêm trọng khẩn cấp được nêu, hoặc 05 ngày làm việc với trường hợp nghiêm trọng còn lại. Mốc tính là lúc xác nhận theo điều kiện của văn bản, không đợi điều tra toàn diện. Báo cáo chính thức về khắc phục có thời hạn 15 ngày từ ngày nộp báo cáo sơ bộ [2].

Đội vận hành cần tách tiếp nhận tín hiệu và xác nhận sự cố. Nhân viên có thể ghi nhận AI trả lời bất thường ngay khi thấy, rồi chuyển người có thẩm quyền đánh giá. Sổ sự cố nên lưu giờ tiếp nhận, thông tin kiểm tra, người xác nhận và biện pháp hạn chế hậu quả. Bài không cung cấp bộ tiêu chí thay cơ quan có thẩm quyền xác định một sự cố nghiêm trọng.

Một diễn tập hữu ích là giả định AI gửi hướng dẫn sai tới khách. Nhóm phải tìm được phiên bản mô hình, tài liệu đã cấp cho hệ thống và bản nội dung thực sự được gửi. Người phụ trách thử dừng phát hành, chuyển nhân viên xử lý và liên hệ nhà cung cấp. Kết quả cần ghi thao tác nào làm được, thao tác nào chưa đủ quyền, thay vì chỉ đánh dấu đã diễn tập.

Hồ sơ nên nối với việc quản lý rủi ro thường ngày

NIST AI Risk Management Framework là khung tự nguyện để đưa cân nhắc về độ tin cậy vào thiết kế, phát triển, sử dụng và đánh giá AI. Có thể tham khảo cách tiếp cận vòng đời này để tổ chức công việc nội bộ. Tuy nhiên, tài liệu NIST không phải giấy chứng nhận và không thay nghĩa vụ theo pháp luật Việt Nam [5].

Từ góc nhìn vận hành, nên giữ một sổ thay đổi AI gắn với người phê duyệt. Mỗi thay đổi ghi mục đích, phạm vi thử và phương án quay lại phiên bản trước. Việc thay tài liệu truy xuất cũng đáng ghi vì câu trả lời có thể đổi dù mô hình không đổi. Đây là cách tác giả đề xuất để điều tra sai lệch, không phải danh mục hồ sơ pháp lý đầy đủ.

Áp dụng theo quy mô: bắt đầu ở đâu cho vừa sức?

Điều 25 của luật quy định hỗ trợ doanh nghiệp khởi nghiệp sáng tạo, doanh nghiệp nhỏ và vừa về chi phí đánh giá sự phù hợp, hồ sơ mẫu, công cụ, đào tạo và tư vấn. Các cơ chế hỗ trợ cần được đọc cùng điều kiện thực hiện. Bài chưa kiểm thủ tục nhận hỗ trợ hay mức chi thực tế; không thể từ điều luật hứa rằng một doanh nghiệp sẽ được cấp tiền [1].

Với hộ kinh doanh và nhóm rất nhỏ, bài đề xuất bắt đầu bằng danh sách công cụ AI đang dùng trong bán hàng. Ghi rõ công cụ nào tạo nội dung công khai, công cụ nào nhận dữ liệu khách và ai duyệt trước khi đăng. Không cần khởi đầu bằng phần mềm quản trị đắt tiền. Trọng tâm là chủ cơ sở biết có những luồng AI nào và có thể dừng một luồng khi phát hiện lỗi.

Với doanh nghiệp nhỏ và vừa, thêm người chịu trách nhiệm cho từng hệ thống AI và một đầu mối tổng hợp. Trước khi tích hợp trợ lý vào quy trình khách hàng, nhóm kỹ thuật và nghiệp vụ cần thống nhất quyền thực thi. Bài đề xuất ưu tiên luồng có thể chuyển sang người thật và khôi phục dễ. Số nhân viên ít không tự động làm một hành động có tác động lớn trở nên an toàn.

Với doanh nghiệp lớn và tập đoàn, danh mục AI cần phân biệt đơn vị triển khai, nhà cung cấp và mục đích dùng. Dùng chung mô hình không đồng nghĩa dùng chung kết luận rà soát. Đội trung tâm nên cung cấp công cụ lưu hồ sơ, cách kiểm thử và đường tiếp nhận sự cố; đơn vị nghiệp vụ vẫn cần chịu trách nhiệm về hành động mà AI được phép thực hiện trong quy trình của mình.

Góc nhìn AI: chatbot, ảnh quảng cáo và tuyển dụng

Với chatbot AI, câu hỏi đầu tiên là khách có biết mình đang trao đổi với máy hay không. Câu hỏi tiếp theo là máy chỉ đưa thông tin hay có thể thực hiện hành động. Đội triển khai nên thử những lời yêu cầu ngoài phạm vi và cách chuyển nhân viên. Bài đề xuất tách trả lời tham khảo khỏi thao tác tạo nghĩa vụ, thay vì cho cùng một đoạn hội thoại toàn bộ quyền của nhân viên.

Với AI tạo ảnh quảng cáo, đội nội dung cần biết đâu là ảnh sản phẩm thật, đâu là minh họa và đâu là hình mô phỏng người. Hồ sơ xuất bản nên lưu mô tả ý đồ, bản được duyệt và nhãn ở bản công khai. Không nên dùng vẻ chân thực của hình làm bằng chứng về công dụng sản phẩm. Một lời chú thích rõ ràng cũng cần được kiểm trên đúng kênh mà khách sẽ xem.

Với AI hỗ trợ tuyển dụng, đừng dùng tên mô hình để quyết định mức rủi ro. Hãy mô tả dữ liệu ứng viên, tiêu chí gợi ý, người đọc kết quả và quyền quyết định cuối. Bài đề xuất thử khả năng giải thích một đề xuất bất lợi bằng thông tin phù hợp. Không tự phân loại ứng dụng này chỉ từ việc một danh mục tóm tắt không nhắc từ tuyển dụng, và không xem AI là người chịu trách nhiệm thay doanh nghiệp.

NIST có hồ sơ chuyên biệt cho AI tạo sinh, là tài liệu đồng hành với khung quản lý rủi ro tự nguyện. Trang công bố giúp nhận ra AI tạo sinh cần được xem xét trong bối cảnh sử dụng và đánh giá, nhưng không chứng minh chatbot cụ thể đã an toàn. Bài chưa dùng toàn bộ các biện pháp của báo cáo để xây bộ chứng nhận hay chấm điểm sản phẩm [6].

Ba ví dụ trên dẫn tới một nguyên tắc tổ chức do bài đề xuất: quản lý quyền và bằng chứng cùng với mô hình AI. Nâng cấp mô hình có thể giúp chất lượng câu chữ, nhưng không tự bổ sung quyền phê duyệt, đường khiếu nại hay người trực. Kế hoạch triển khai vì vậy nên dành thời gian kiểm luồng sau câu trả lời, gồm ai nhận kết quả và hành động nào có thể xảy ra tiếp theo.

Việt Nam: đối chiếu đúng phạm vi, không dùng một khung cho tất cả

Khung đạo đức AI quốc gia được Bộ Khoa học và Công nghệ ban hành tại Thông tư 05/2026/TT-BKHCN, ký ngày 10/03/2026. Tại Việt Nam, phạm vi áp dụng gồm hoạt động AI phục vụ quản lý nhà nước hoặc dịch vụ công; các tổ chức, cá nhân khác được khuyến khích áp dụng. Phân biệt này cần giữ khi doanh nghiệp tham khảo nguyên tắc an toàn, minh bạch và giám sát con người để xây quy tắc nội bộ [7].

Tại họp báo cuối tháng 8/2026, Bộ Khoa học và Công nghệ thông tin việc công bố, khai trương cổng một cửa AI và cơ sở dữ liệu quốc gia về hệ thống AI. Đây là thông tin về hạ tầng được cơ quan công bố, không phải số liệu doanh nghiệp đã hoàn thành nghĩa vụ. Bài chưa kiểm thử thủ tục nộp trên cổng, nên không hứa một thời gian xử lý hay kết quả hồ sơ [8].

Các bước rà soát AI và điều kiện dừng mở rộng

Quy trình dưới đây là đề xuất quản trị của bài. Thời gian hoàn thành tùy số hệ thống, mức tác động và tài liệu đang có, không phải thời hạn pháp luật. Mỗi bước cần tạo được bằng chứng mà đồng nghiệp khác đọc và kiểm lại được. Nếu có câu hỏi ảnh hưởng đến quyền hoặc an toàn mà chưa trả lời, nên giữ phạm vi thử hạn chế để làm rõ trước.

• Bước 1: ghi từng hệ thống AI, mục đích, người nhận đầu ra và quyền thực thi đang có.
• Bước 2: tập hợp hợp đồng, tài liệu kỹ thuật và câu hỏi chưa rõ về vai trò, phạm vi, dữ liệu.
• Bước 3: người có trách nhiệm đối chiếu văn bản, lưu kết quả và thực hiện thủ tục tương ứng nếu thuộc trường hợp phải làm.
• Bước 4: kiểm bản xuất công khai, đường chuyển nhân viên và khả năng dừng AI bằng diễn tập giả định.
• Bước 5: giao người theo dõi thay đổi, định kỳ kiểm lại hồ sơ khi mục đích hoặc hệ thống thay đổi.

Khi đọc Luật Trí tuệ nhân tạo 2025, đội cũng nên thống nhất điều kiện mở rộng trước buổi trình diễn AI. Tác giả đề xuất ba câu: đã biết giới hạn công cụ chưa, đã có người xử lý ngoại lệ chưa, đã biết bằng chứng nằm ở đâu chưa? Ba câu này không thay điều kiện đưa hệ thống vào sử dụng theo luật. Chúng giúp đội dự án nhận diện phần quản trị còn thiếu, tránh dùng một bản trình diễn trơn tru làm kết luận cuối cùng.

Hỏi đáp về Luật Trí tuệ nhân tạo doanh nghiệp

Dùng mô hình của hãng khác thì doanh nghiệp có hết trách nhiệm không? Không thể kết luận như vậy chỉ từ việc mua dịch vụ. Cần xác định vai trò với hệ thống cụ thể, quyền kiểm soát và hoạt động doanh nghiệp thực hiện. Bài đề xuất đọc hợp đồng cùng sơ đồ vận hành, ghi phần nhà cung cấp hỗ trợ và phần đội nội bộ phải làm; câu hỏi pháp lý còn thiếu cần chuyển người có chuyên môn.

Văn bản do AI soạn có luôn cần dấu máy đọc không? Nghị định không bắt buộc dấu kỹ thuật cho đầu ra văn bản, trừ khi pháp luật khác quy định. Tuy vậy, dấu kỹ thuật và nghĩa vụ thông báo nội dung công khai dễ gây nhầm lẫn là hai việc khác nhau. Đội nội dung cần đối chiếu đúng trường hợp, không suy ra rằng một ngoại lệ kỹ thuật miễn mọi trách nhiệm minh bạch [2].

Có nên để AI tự phân loại rủi ro và chốt hồ sơ không? AI có thể giúp tìm điểm cần đọc hoặc sắp xếp tài liệu, nhưng đầu ra phải được đối chiếu với văn bản và hệ thống thực tế. Tác giả đề xuất giữ người có trách nhiệm chốt, lưu căn cứ và ghi câu hỏi chưa rõ. Một câu trả lời chắc chắn của AI không phải xác nhận của cơ quan có thẩm quyền.

Hệ thống AI đã hoạt động từ trước có mốc chuyển tiếp nào? Điều 35 dành thời hạn 18 tháng từ ngày luật có hiệu lực cho y tế, giáo dục, tài chính; hệ thống còn lại là 12 tháng. Quyết định về danh mục còn có quy định chuyển tiếp liên quan. Cần đối chiếu bằng chứng ngày vận hành và đúng trường hợp, không xem chuyển tiếp là quyền bỏ qua biện pháp an toàn [1][3].

Doanh nghiệp nhỏ có nên chờ đủ đội chuyên trách mới rà soát AI không? Không cần chờ để lập danh sách công cụ, nhận diện đầu ra công khai và giao đầu mối xử lý lỗi. Tuy nhiên, khi chưa rõ nghĩa vụ hoặc có tác động lớn, cần dành nguồn lực kiểm tra phù hợp trước khi mở rộng. Danh sách ngắn có người chịu trách nhiệm hữu ích hơn tài liệu dài không ai cập nhật.

Nguồn và phương pháp

Bài tổng hợp có hỗ trợ AI, biên tập độc lập bằng tiếng Việt ngày 24/10/2026, không phải bản dịch của một nguồn. Đã đối chiếu điều khoản được viện dẫn trong văn bản chính thức; nghị định bản quét được đọc qua trang ảnh, không tuyên bố đọc toàn bộ. Các phiếu và quy trình là đề xuất chưa kiểm định, chưa kiểm chứng tại doanh nghiệp, không có tài trợ hay lợi ích bán giải pháp. Nội dung là thông tin chung, không phải tư vấn pháp lý cho trường hợp cụ thể.