Xin chào anh chị và các bạn đang nghe The Lawyers Talk của Công ty Luật TNHH BLawyers Vietnam. Tôi là Lê Thị Thanh Hà, và trong số podcast hôm nay, chúng ta sẽ cùng nói về một chủ đề rất gần với thực tế doanh nghiệp: AI và pháp luật. Dùng AI thì nhanh hơn, hiệu quả hơn, nhưng rủi ro pháp lý đi kèm là gì?
Hiện nay, AI đang đi vào gần như mọi hoạt động của doanh nghiệp: từ quản trị nội bộ, chăm sóc khách hàng, tuyển dụng cho đến phân tích dữ liệu. Nhưng đi cùng với tốc độ là những câu hỏi pháp lý rất thật, rất sát sườn mà nhiều doanh nghiệp vẫn chưa chuẩn bị kịp. Đó cũng là lý do vì sao chủ đề AI và pháp luật đang trở nên ngày càng quan trọng.
- Nếu AI gây thiệt hại cho khách hàng, đối tác hoặc người dùng, cuối cùng ai sẽ là người chịu trách nhiệm?
- Doanh nghiệp được phép dùng dữ liệu đến đâu để huấn luyện AI, và đâu là ranh giới pháp lý không nên vượt qua?
Dưới góc nhìn AI và pháp luật, đây không còn chỉ là câu chuyện công nghệ. Đây là câu chuyện về trách nhiệm pháp lý, quyền sở hữu dữ liệu, bảo vệ dữ liệu cá nhân và cách doanh nghiệp kiểm soát rủi ro khi đưa AI vào vận hành.
Đặc biệt, căn cứ Luật Trí tuệ nhân tạo 2025 (“Luật TTNT 2025”) cùng với Luật Bảo vệ dữ liệu cá nhân 2025 (“Luật BVDLCN 2025”) và các quy định liên quan, doanh nghiệp sử dụng AI sẽ không chỉ được nhìn nhận là “người dùng công nghệ”, mà còn là chủ thể phải chịu trách nhiệm đối với rủi ro do AI tạo ra.
Vậy nếu doanh nghiệp của anh chị đang dùng hoặc chuẩn bị dùng AI, đâu là những rủi ro pháp lý cần nhìn ra sớm? Đó cũng là nội dung chúng ta cùng trao đổi hôm nay.
1. Câu hỏi thứ nhất: Nếu AI gây thiệt hại, doanh nghiệp có thể phải chịu trách nhiệm như thế nào?
Đây là một trong những câu hỏi chúng tôi nhận được khá thường xuyên từ doanh nghiệp: “Nếu AI tự học, tự phân tích rồi đưa ra một quyết định sai, thì doanh nghiệp có phải chịu trách nhiệm không?”
Về mặt pháp lý, ở thời điểm hiện nay, AI chưa được xem là một chủ thể pháp lý độc lập để tự đứng ra chịu trách nhiệm. Vì vậy, khi hệ thống AI gây ra thiệt hại, câu hỏi quan trọng thường không phải là “AI có lỗi hay không”, mà là ai đã phát triển, cung cấp, triển khai, kiểm soát hoặc sử dụng hệ thống AI đó.
Theo cách tiếp cận của Luật TTNT 2025, trách nhiệm được phân định dựa trên vai trò của các chủ thể tham gia trong chuỗi AI, bao gồm nhà phát triển AI, nhà cung cấp AI, bên triển khai và người sử dụng hệ thống AI.
Cụ thể, trách nhiệm có thể được phân định như sau:
- Đối với nhà phát triển AI, trách nhiệm có thể được đặt ra nếu sự cố bắt nguồn từ thuật toán, dữ liệu huấn luyện, thiết kế hệ thống hoặc các yếu tố kỹ thuật không bảo đảm an toàn;
- Đối với nhà cung cấp AI, chủ thể này có thể có nghĩa vụ đánh giá rủi ro, cung cấp thông tin minh bạch, hướng dẫn sử dụng và phối hợp xử lý sự cố theo quy định có liên quan của Luật TTNT 2025;
- Đối với bên triển khai hoặc người sử dụng hệ thống AI, trách nhiệm có thể phát sinh trong quá trình vận hành, giám sát, ghi nhận sự cố, thông báo cho các bên liên quan hoặc cơ quan có thẩm quyền, cũng như trong việc xử lý hậu quả phát sinh từ hệ thống AI.
Trong thực tế, rất nhiều doanh nghiệp hiện nay đang sử dụng AI từ bên thứ ba, ví dụ như chatbot AI, công cụ phân tích dữ liệu hoặc AI tuyển dụng. Tuy nhiên, việc sử dụng dịch vụ của bên thứ ba không đồng nghĩa với việc doanh nghiệp được miễn trách nhiệm.
Ví dụ, nếu doanh nghiệp dùng AI để sàng lọc hồ sơ ứng viên nhưng hệ thống lại tạo ra kết quả mang tính phân biệt đối xử, hoặc xử lý sai dữ liệu cá nhân của ứng viên, thì doanh nghiệp sẽ rất khó chỉ nói rằng “đó là lỗi của AI”. Trong nhiều trường hợp, trách nhiệm pháp lý vẫn có thể quay lại với nhà phát triển, nhà cung cấp hoặc chính doanh nghiệp đang triển khai hệ thống đó.
Nói ngắn gọn, AI có thể hỗ trợ con người ra quyết định, nhưng trách nhiệm pháp lý thì thường không dừng lại ở AI. Cuối cùng, trách nhiệm vẫn thường quay về con người hoặc tổ chức đứng sau việc phát triển, cung cấp và sử dụng công cụ đó.
2. Câu hỏi thứ hai: Doanh nghiệp được dùng dữ liệu để huấn luyện AI đến đâu?
Đầu tiên, có một câu hỏi rất thực tế mà nhiều doanh nghiệp đang đặt ra: “Liệu doanh nghiệp có thể dùng email, hình ảnh, dữ liệu giao dịch hoặc dữ liệu khách hàng để huấn luyện AI nội bộ hay không?”
Trong kỷ nguyên AI, dữ liệu gần như là “nguyên liệu đầu vào” để hệ thống hoạt động tốt hơn. Nhưng điều đó không có nghĩa là doanh nghiệp được tự do thu thập mọi dữ liệu, đưa mọi dữ liệu vào AI hoặc dùng lại dữ liệu cũ cho bất kỳ mục đích nào mình muốn.
Đặc biệt, trong bối cảnh Luật BVDLCN 2025 đã có hiệu lực từ ngày 01/01/2026, cùng với các quy định hướng dẫn tại Nghị định 365/2025/NĐ-CP và Nghị định 142/2026/NĐ-CP, việc thu thập, xử lý và sử dụng dữ liệu cá nhân, nhất là trong môi trường công nghệ và AI, cần được xem xét thận trọng hơn.
Về nguyên tắc, việc xử lý dữ liệu cá nhân cần bảo đảm một số yêu cầu cơ bản, bao gồm:
- Có căn cứ pháp lý phù hợp cho việc thu thập và xử lý dữ liệu, chẳng hạn văn bản đồng ý của chủ thể dữ liệu cá nhân, thỏa thuận giữa bên kiểm soát và bên xử lý dữ liệu cá nhân;
- Đúng mục đích đã được chủ thể dữ liệu cá nhân đồng ý; và
- Phải có sự đồng ý của chủ thể dữ liệu theo hình thức phù hợp và đáp ứng điều kiện có hiệu lực theo quy định pháp luật về bảo vệ dữ liệu cá nhân.
Đối với dữ liệu được sử dụng để phát triển hoặc huấn luyện AI, Điều 35 Nghị định 142/2026/NĐ-CP cũng đặt ra một nguyên tắc đáng lưu ý: “tổ chức, cá nhân chỉ được khai thác và sử dụng dữ liệu phục vụ phát triển AI trong đúng phạm vi, mục đích và điều kiện truy cập đã được công bố hoặc thỏa thuận.”
Nói cách khác, vấn đề không chỉ là doanh nghiệp “có dữ liệu hay không”, mà quan trọng hơn là doanh nghiệp có quyền dùng dữ liệu đó để huấn luyện AI hay không.
Đối với dữ liệu cá nhân nhạy cảm, doanh nghiệp nên tiếp cận theo nguyên tắc hạn chế tối đa việc sử dụng cho mục đích huấn luyện AI. Việc sử dụng nhóm dữ liệu này chỉ nên được xem xét trong các trường hợp thật sự cần thiết, có cơ sở pháp lý rõ ràng, có sự đồng ý hợp lệ của chủ thể dữ liệu nếu pháp luật yêu cầu, được đánh giá rủi ro trước khi triển khai và có các biện pháp bảo mật, kiểm soát phù hợp để hạn chế rủi ro rò rỉ dữ liệu, suy luận ngược hoặc tái nhận diện cá nhân.
Trên thực tế, nhiều doanh nghiệp hiện nay đang có xu hướng:
- Thu thập dữ liệu quy mô lớn;
- Sử dụng dữ liệu công khai trên internet; và
- Đưa dữ liệu của khách hàng vào các nền tảng AI của bên thứ ba.
Vậy một câu hỏi rất dễ gặp là: “Dữ liệu công khai trên internet có đồng nghĩa với việc doanh nghiệp được tự do lấy về để huấn luyện AI hay không?”
Câu trả lời là: không hẳn.
Bởi vì, theo tinh thần của Nghị định 142/2026/NĐ-CP, việc khai thác và sử dụng dữ liệu không được xâm phạm đến:
- Quyền sở hữu dữ liệu của cá nhân;
- Quyền sở hữu trí tuệ;
- Quyền riêng tư; và
- Quyền và lợi ích hợp pháp của tổ chức, cá nhân có liên quan.
Điều này có nghĩa là ngay cả khi dữ liệu có thể được truy cập công khai, doanh nghiệp vẫn cần xem xét nguồn gốc dữ liệu, điều kiện truy cập, điều khoản sử dụng của nền tảng, quyền của chủ thể dữ liệu, cũng như mục đích mà dữ liệu được đưa vào hệ thống AI.
Một điểm đáng lưu ý khác là vấn đề ẩn danh hóa dữ liệu. Theo Điều 36 Nghị định 142/2026/NĐ-CP, doanh nghiệp vẫn có thể phát sinh trách nhiệm nếu hệ thống AI cho phép nhận diện lại cá nhân từ dữ liệu đã được ẩn danh hóa hoặc kết hợp với các nguồn dữ liệu khác để xác định danh tính cá nhân.
Vì vậy, rủi ro lớn nhất không phải lúc nào cũng nằm ở việc AI học quá ít dữ liệu. Nhiều khi rủi ro nằm ở chỗ doanh nghiệp chưa thực sự biết dữ liệu nào mình được phép dùng, dữ liệu nào không nên dùng, dữ liệu đó được dùng cho mục đích gì, và hệ thống AI đang xử lý dữ liệu theo cách nào.
3. 05 việc doanh nghiệp nên làm ngay khi sử dụng AI
Từ những vấn đề vừa trao đổi, doanh nghiệp có thể ưu tiên rà soát 05 nhóm việc sau nếu muốn ứng dụng AI hiệu quả nhưng vẫn kiểm soát được rủi ro pháp lý:
- Rà soát hợp đồng và trách nhiệm với nhà cung cấp AI, đặc biệt là điều khoản về phạm vi dịch vụ, tiêu chuẩn an toàn, phân chia trách nhiệm, giới hạn trách nhiệm, bồi thường thiệt hại và xử lý sự cố.
- Kiểm soát nguồn dữ liệu và mục đích sử dụng dữ liệu cho AI, bao gồm việc xác định loại dữ liệu, quyền sử dụng dữ liệu, mục đích sử dụng, điều kiện truy cập và các hạn chế pháp lý liên quan.
- Hạn chế sử dụng dữ liệu cá nhân nhạy cảm hoặc thông tin mật cho AI, trừ khi có cơ sở pháp lý rõ ràng, sự đồng ý hợp lệ nếu pháp luật yêu cầu, biện pháp bảo mật phù hợp và cơ chế kiểm soát rủi ro tái nhận diện.
- Duy trì cơ chế con người kiểm tra và kiểm soát kết quả của AI, đặc biệt trong các hoạt động có rủi ro cao như tuyển dụng, tài chính, bảo hiểm, y tế, giáo dục, chăm sóc khách hàng hoặc xử lý dữ liệu cá nhân.
- Xây dựng chính sách hoặc bộ quy tắc nội bộ về sử dụng AI, trong đó quy định rõ công cụ AI được phép sử dụng, loại dữ liệu được phép hoặc không được phép đưa vào AI, các trường hợp cần phê duyệt trước, trách nhiệm của nhân sự và quy trình xử lý khi phát sinh sự cố.
Tóm lại, khi nói về AI và pháp luật trong doanh nghiệp, câu hỏi không chỉ là “AI làm được gì?”, mà còn là “AI được phép làm gì, được phép dùng dữ liệu nào, ai đang kiểm soát đầu ra và ai sẽ chịu trách nhiệm nếu có sự cố?”.
Đến đây, chúng ta đã đi qua những vấn đề cốt lõi mà rất nhiều doanh nghiệp đang gặp khi ứng dụng AI: từ trách nhiệm pháp lý khi AI gây thiệt hại, giới hạn sử dụng dữ liệu để huấn luyện AI, cho đến những bước thực tiễn để kiểm soát rủi ro ngay từ đầu.
Hy vọng những chia sẻ hôm nay sẽ giúp anh chị và các bạn có thêm một góc nhìn thực tế hơn về AI và pháp luật khi triển khai AI trong hoạt động kinh doanh, đặc biệt ở khía cạnh pháp lý, dữ liệu cá nhân và quản trị rủi ro.
Nếu anh chị quan tâm đến chủ đề AI và pháp luật, hoặc đang băn khoăn về cách doanh nghiệp nên sử dụng AI cho đúng và an toàn, hãy để lại bình luận để chúng ta cùng trao đổi trong các số tiếp theo. Và nếu muốn tìm hiểu thêm về BLawyers Vietnam, anh chị có thể xem thêm thông tin ở phần giới thiệu của The Lawyers Talk.
Cảm ơn anh chị và các bạn đã lắng nghe. Hẹn gặp lại trong số tiếp theo của The Lawyers Talk.
Nội dung nêu trên không phải là ý kiến tư vấn chính thức từ BLawyers Vietnam. Nếu bạn có bất kỳ câu hỏi hay góp ý về nội dung trên, vui lòng liên hệ với chúng tôi qua địa chỉ info@blawyersvn.com. Chúng tôi rất vui khi nghe từ bạn.
Ngày: 29/5/2026
