Rà soát pháp lý: 15/10/2026 · Read in English
Trước khi tải ảnh, video hoặc giọng nói lên nền tảng AI avatar, doanh nghiệp cần biết dữ liệu đi đâu, ai được sử dụng và dùng vào mục đích gì. Bản demo thuận tiện có thể kéo theo hoạt động lưu trữ, tạo mô hình, hỗ trợ từ xa hoặc tái sử dụng dữ liệu mà nhóm marketing chưa nhìn thấy.
Hình ảnh, giọng nói và dữ liệu sinh trắc học có giống nhau không?
Điều 3 Nghị định 356/2025/NĐ-CP xác định hình ảnh cá nhân là dữ liệu cá nhân cơ bản. Một bản ghi giọng nói gắn với người cụ thể hoặc giúp xác định người đó cần được đánh giá là dữ liệu cá nhân. Dữ liệu sinh trắc học cần được đối chiếu riêng theo Điều 31 Luật Bảo vệ dữ liệu cá nhân và Điều 4 Nghị định 356.
Không nên gọi mọi ảnh hoặc bản ghi âm là dữ liệu sinh trắc học nhạy cảm chỉ vì chúng đi vào phần mềm AI. Ngược lại, nếu hệ thống trích xuất đặc điểm sinh học để nhận dạng, xác thực hoặc phân biệt cá nhân, không thể chỉ gọi đó là “tệp truyền thông” để bỏ qua yêu cầu bảo vệ tương ứng.
Lập sơ đồ từ bản ghi gốc đến nội dung phát hành
Một sơ đồ hữu ích nên chỉ ra các bước thu thập, tải lên, xử lý, tạo avatar, tạo video, lưu trữ, chia sẻ và xóa. Ở từng bước, ghi rõ đơn vị thực hiện, địa điểm xử lý, dữ liệu phát sinh và người có quyền truy cập. Cần hỏi cả về bản sao lưu, nhật ký, dữ liệu hỗ trợ khách hàng và mô hình được tạo riêng cho người được mô phỏng.
Phân vai bên kiểm soát, bên xử lý, bên kiểm soát và xử lý hoặc bên thứ ba dựa trên hoạt động thực tế. Tên gọi “nhà cung cấp” trên hợp đồng không tự quyết định vai trò dữ liệu. Nếu nền tảng tự dùng bản ghi cho mục đích riêng, cần đánh giá hoạt động đó riêng với dịch vụ tạo avatar theo yêu cầu.
Tạo avatar cho dự án khác với huấn luyện mô hình dùng chung
Doanh nghiệp nên yêu cầu làm rõ nền tảng có dùng dữ liệu để cải thiện mô hình chung, kiểm thử sản phẩm hoặc phục vụ khách hàng khác hay không. Kiểm tra cấu hình thực tế cùng điều khoản hợp đồng, thay vì chỉ dựa vào mô tả bán hàng “không dùng dữ liệu khách hàng”.
Nếu sử dụng sự đồng ý làm căn cứ, Điều 9 Luật Bảo vệ dữ liệu cá nhân yêu cầu sự đồng ý phù hợp với từng mục đích. Quyền dùng hình ảnh cho một chiến dịch không tự bao gồm quyền huấn luyện mô hình cho mục đích mới. Cũng cần xác định thời hạn lưu giữ và cơ chế tiếp nhận yêu cầu của chủ thể dữ liệu.
Khi nào phải xem xét chuyển dữ liệu xuyên biên giới?
Điều 17 Nghị định 356 bao quát việc chuyển dữ liệu thu thập, lưu trữ tại Việt Nam tới máy chủ ngoài Việt Nam hoặc dịch vụ đám mây của nhà cung cấp ở nước ngoài; chuyển từ Việt Nam cho bên nhận ở nước ngoài; và chuyển dữ liệu thu thập tại Việt Nam tới nền tảng ngoài lãnh thổ để tiếp tục xử lý.
Vì vậy, doanh nghiệp cần kiểm tra nơi lưu trữ, nơi xử lý, bên nhận và các luồng hỗ trợ, chia sẻ thực tế. Không thể kết luận chỉ từ ngôn ngữ website, tên thương mại hoặc quốc tịch cổ đông của nhà cung cấp.
Điều 20 Luật Bảo vệ dữ liệu cá nhân và Điều 17–18 Nghị định 356 quy định nghĩa vụ đánh giá tác động và các trường hợp được miễn. Không nên tự coi việc đưa bản ghi nhân viên lên công cụ quảng cáo là hoạt động quản lý nhân sự xuyên biên giới được miễn. Miễn lập hồ sơ đánh giá tác động chuyển dữ liệu, nếu đủ điều kiện, cũng không đồng nghĩa miễn mọi nghĩa vụ bảo vệ dữ liệu.
Hai loại hồ sơ không nên nhầm lẫn
- Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân: xem xét hoạt động xử lý, mục đích, các bên, rủi ro và biện pháp bảo vệ, theo Điều 21 của Luật và Điều 19 Nghị định 356, có xét ngoại lệ hoặc quy định chuyển tiếp áp dụng.
- Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới: xem xét riêng hoạt động chuyển, bên nhận và biện pháp bảo vệ sau khi chuyển, theo Điều 20 của Luật và Điều 18 Nghị định 356, nếu không thuộc trường hợp miễn.
Đối với trường hợp phải thực hiện, Nghị định 356 quy định thời hạn nộp hồ sơ tương ứng là 60 ngày kể từ ngày tiến hành xử lý hoặc chuyển dữ liệu. Đây không phải khoảng thời gian được bỏ qua căn cứ xử lý hay biện pháp bảo vệ: việc lập, lưu giữ và chuẩn bị hồ sơ cần được tổ chức theo thời điểm và nghĩa vụ cụ thể.
Doanh nghiệp nên hỏi nhà cung cấp những gì?
- Pháp nhân ký hợp đồng và các bên xử lý phụ là ai?
- Dữ liệu, bản sao lưu và mô hình riêng được lưu, xử lý ở đâu?
- Có sử dụng để huấn luyện lại hoặc phục vụ mục đích khác không?
- Ai được truy cập, tải xuống hoặc tạo nội dung bằng avatar?
- Khi có yêu cầu xóa, nền tảng xử lý dữ liệu dẫn xuất và bản sao lưu thế nào?
- Có cung cấp tài liệu, bằng chứng và hỗ trợ khi xảy ra sự cố không?
KM UNION hỗ trợ rà soát nghĩa vụ pháp lý, hợp đồng xử lý dữ liệu và nội dung hồ sơ theo phạm vi phù hợp; phối hợp với chuyên gia kỹ thuật để mô tả đúng luồng dữ liệu và biện pháp bảo vệ. Việc lựa chọn giải pháp cần dựa trên thông tin và khả năng thực hiện của từng nhà cung cấp.
Căn cứ để đọc cùng bài viết
- Bộ luật Dân sự 91/2015/QH13 — Điều 32
- Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15
- Nghị định 356/2025/NĐ-CP
- Luật Trí tuệ nhân tạo 134/2025/QH15 — Điều 11, 35
- Nghị định 142/2026/NĐ-CP — Điều 16–19
Nội dung được rà soát ngày 15/10/2026, cung cấp thông tin sơ bộ để tham khảo, không thay thế tư vấn cho một cá nhân, hợp đồng hoặc dự án cụ thể. Cần đối chiếu hồ sơ thực tế, thời điểm áp dụng và quy định chuyển tiếp. Vui lòng liên hệ KM UNION để xác định phạm vi tư vấn chính thức.
Bài viết liên quan
- Hợp đồng AI avatar người thật và 6 nội dung cần làm rõ
- Dùng AI avatar của nhân viên, KOL: cần thỏa thuận quyền gì?
- Hợp đồng nhà cung cấp AI avatar: duyệt nội dung, gắn nhãn và bàn giao
Liên hệ KM UNION: legal@kmunion.vn · 0932 124 427.
