Luật Trí tuệ nhân tạo 2026 và phân loại rủi ro AI | CÔNG TY LUẬT TNHH KM UNION

Cập nhật ngày 23/09/2026

Việt Nam đã có Luật Trí tuệ nhân tạo 134/2025/QH15, có hiệu lực từ ngày 1/3/2026. Khi đưa AI vào sản phẩm hoặc quy trình, doanh nghiệp cần xác định vai trò, mục đích sử dụng và mức rủi ro của hệ thống. Không thể dùng một kết luận chung cho mọi công cụ mang tên AI.

Những văn bản cần đọc cùng nhau

Ngoài Luật, Nghị định 142/2026/NĐ-CP có hiệu lực ngày 1/5/2026 hướng dẫn phân loại, hồ sơ, minh bạch và các nghĩa vụ liên quan. Quyết định 33/2026/QĐ-TTg ban hành danh mục hệ thống AI có rủi ro cao, có hiệu lực ngày 15/8/2026. Cần đối chiếu cả danh mục, điều kiện loại trừ và cơ chế chuyển tiếp.

Điều 9 Luật phân thành ba mức rủi ro: cao, trung bình và thấp. Hành vi bị nghiêm cấm tại Điều 7 là một vấn đề riêng, không nên mô tả thành “mức rủi ro thứ tư” của luật Việt Nam chỉ vì cách trình bày phổ biến của một hệ thống pháp luật khác.

Phân loại hệ thống thay vì chỉ nhìn mô hình

Điều 6 Nghị định 142 đặt việc phân loại trong bối cảnh hệ thống và mục đích sử dụng. Cùng một mô hình có thể được dùng để gợi ý câu chữ hoặc hỗ trợ quyết định ảnh hưởng đáng kể đến một người. Mức rủi ro cần đánh giá theo cách triển khai, chức năng và tác động, không chỉ theo tên nhà cung cấp mô hình.

Điều 10 Luật quy định trách nhiệm phân loại của nhà cung cấp. Hệ thống rủi ro trung bình và cao phải được lập hồ sơ, thông báo theo quy định trước khi đưa vào sử dụng, đồng thời phải đọc cùng cơ chế chuyển tiếp. Khi bên triển khai thay đổi mục đích hoặc cách vận hành đến mức làm thay đổi rủi ro, cần xem lại phân loại và trách nhiệm tương ứng.

Thông báo và đánh giá sự phù hợp nộp cho ai

Bộ Khoa học và Công nghệ là cơ quan tiếp nhận theo cơ chế Cổng thông tin điện tử một cửa về AI. Điều 12–14 Nghị định 142 quy định hồ sơ, đánh giá sự phù hợp và thông báo. Nếu cổng chưa được công bố vận hành chính thức, Điều 46 cho phép thực hiện theo hệ thống điện tử, dịch vụ công hoặc phương thức tiếp nhận do Bộ công bố; không nên tự coi nghĩa vụ bị đình chỉ vì chưa thấy một giao diện cụ thể.

Điều 13 Luật quy định đánh giá sự phù hợp đối với hệ thống rủi ro cao. Hình thức thực hiện phụ thuộc nhóm hệ thống và danh mục; không phải mọi hệ thống đều cùng một quy trình chứng nhận độc lập. Cần đối chiếu cột đánh giá sự phù hợp trong phụ lục Quyết định 33 với trường hợp cụ thể.

Minh bạch và giám sát con người gồm những việc gì

Điều 11 Luật và Điều 16–18 Nghị định 142 quy định nghĩa vụ minh bạch, nhận biết nội dung do AI tạo ra hoặc chỉnh sửa. Trách nhiệm khác nhau giữa nhà cung cấp, bên triển khai và người công bố nội dung. Cần phân biệt thông báo người dùng đang tương tác với AI, dấu hiệu máy đọc được và nhãn nhận biết trong những tình huống luật yêu cầu.

Điều 12, Điều 14 Luật cùng quy định chi tiết đặt trách nhiệm quản lý sự cố, giám sát và kiểm soát đối với các trường hợp liên quan. Việc sử dụng AI không tự chuyển thẩm quyền hoặc trách nhiệm quyết định của cơ quan, tổ chức sang hệ thống.

Mốc chuyển tiếp nào cần theo dõi

Điều 4 Quyết định 33 quy định đối với hệ thống thuộc danh mục đã hoạt động trước ngày 15/8/2026: hoàn thành nghĩa vụ trước ngày 1/9/2027 trong y tế, giáo dục, tài chính; trước ngày 1/3/2027 với lĩnh vực còn lại. Hệ thống được đưa vào hoạt động trong 6 tháng kể từ ngày quyết định có hiệu lực phải hoàn thành nghĩa vụ trước ngày 1/3/2027 theo khoản 3.

Trong thời gian chuyển tiếp, hệ thống có nguy cơ gây thiệt hại nghiêm trọng vẫn có thể bị yêu cầu tạm dừng hoặc chấm dứt theo quy định. Doanh nghiệp cần lập hồ sơ xác định ngày bắt đầu hoạt động, lĩnh vực và phạm vi hệ thống để áp dụng đúng lộ trình.

Phân loại AI không thay đánh giá dữ liệu đầu vào

Một hệ thống AI được xác định mức rủi ro thấp vẫn có thể xử lý dữ liệu cá nhân nhạy cảm hoặc tài liệu bị giới hạn sử dụng. Luật Bảo vệ dữ liệu cá nhân, đặc biệt Điều 30, cùng Nghị định 356 tiếp tục phải được xem xét. Ngược lại, hệ thống không xử lý dữ liệu cá nhân vẫn có thể phát sinh nghĩa vụ theo Luật Trí tuệ nhân tạo tùy chức năng và tác động.

Nguồn dữ liệu huấn luyện, tài liệu đưa vào công cụ tìm kiếm và nội dung đầu ra còn cần rà soát quyền sử dụng, bí mật kinh doanh và hợp đồng. Luật Sở hữu trí tuệ đã được sửa đổi bởi Luật 131/2025/QH15, có hiệu lực từ 1/4/2026. Việc truy cập được một tài liệu không tự là kết luận đã có đủ quyền khai thác cho mọi mục đích.

Vì vậy, khi triển khai AI, nên đặt hồ sơ phân loại cạnh sơ đồ dữ liệu và điều khoản dịch vụ. Bài về đưa dữ liệu khách hàng, nhân viên vào AI sẽ tiếp tục từ câu hỏi rất cụ thể: thông tin nào thực sự cần gửi cho công cụ?

Câu hỏi thường gặp

Mọi công cụ AI đều cần giấy phép riêng không? Không thể kết luận như vậy. Phải phân biệt phân loại, thông báo, đánh giá sự phù hợp và những thủ tục chuyên ngành có thể phát sinh.

Thuê AI của nhà cung cấp nước ngoài có hết trách nhiệm không? Không. Bên triển khai vẫn phải thực hiện trách nhiệm gắn với cách sử dụng hệ thống của mình.