Luật Trí tuệ nhân tạo 2025: Những điểm trọng yếu cho doanh nghiệp

Luật Trí tuệ nhân tạo 2025 được xây dựng trên nguyên tắc lấy con người làm trung tâm, bảo đảm trí tuệ nhân tạo phục vụ phát triển kinh tế – xã hội, đổi mới sáng tạo, bảo vệ quyền con người, quyền công dân và bảo đảm an ninh, an toàn. Khác với giai đoạn trước, khi AI chủ yếu được đề cập trong các chiến lược hoặc chương trình phát triển công nghệ, Luật đặt ra các quy định trực tiếp đối với toàn bộ vòng đời của hệ thống AI, từ nghiên cứu, phát triển, huấn luyện, cung cấp, triển khai, vận hành đến giám sát và xử lý rủi ro.

Đối với doanh nghiệp, điều này có nghĩa là việc sử dụng AI trong kinh doanh không còn chỉ là vấn đề công nghệ hoặc hiệu quả vận hành. AI trở thành một lĩnh vực cần được quản trị pháp lý, bao gồm quản trị dữ liệu, bảo vệ dữ liệu cá nhân, an ninh mạng, minh bạch với người dùng, kiểm soát rủi ro và trách nhiệm khi hệ thống gây thiệt hại.

Luật Trí tuệ nhân tạo 2025 phân định các nhóm chủ thể tham gia vào chuỗi giá trị AI để xác định trách nhiệm pháp lý tương ứng. Nhà phát triển là chủ thể thiết kế, xây dựng, huấn luyện hoặc kiểm soát các yếu tố kỹ thuật cốt lõi của hệ thống AI. Nhà cung cấp là chủ thể đưa hệ thống AI ra thị trường hoặc đưa vào sử dụng dưới tên, thương hiệu hoặc trách nhiệm của mình, bất kể hệ thống đó do chính họ phát triển hay được mua, tích hợp từ bên thứ ba. Bên triển khai là tổ chức, cá nhân sử dụng hệ thống AI trong hoạt động nghề nghiệp, kinh doanh hoặc cung cấp dịch vụ.

Bên cạnh đó, Luật cũng quan tâm đến người sử dụng và người bị ảnh hưởng bởi hệ thống AI, bao gồm những người tương tác trực tiếp với hệ thống hoặc chịu tác động từ quyết định, khuyến nghị, phân tích hoặc kết quả đầu ra của hệ thống AI.

Việc phân định này rất quan trọng trong thực tiễn hợp đồng công nghệ. Một doanh nghiệp có thể không tự phát triển AI nhưng vẫn chịu trách nhiệm với tư cách bên triển khai nếu sử dụng AI để chấm điểm khách hàng, tuyển dụng, phân loại người dùng, cá nhân hóa giá hoặc tự động hóa quyết định có tác động đến quyền lợi của cá nhân, tổ chức.

Luật Trí tuệ nhân tạo 2025 áp dụng cách tiếp cận dựa trên rủi ro. Hệ thống AI được quản lý tùy theo mức độ ảnh hưởng đến con người, xã hội, quyền lợi hợp pháp của tổ chức, cá nhân, an ninh, an toàn và lợi ích công cộng. Hệ thống AI rủi ro cao là nhóm cần được kiểm soát chặt chẽ nhất, do có khả năng gây thiệt hại đáng kể đến tính mạng, sức khỏe, quyền con người, tài sản, an ninh quốc gia hoặc lợi ích công cộng. Hệ thống AI rủi ro trung bình là nhóm có khả năng gây nhầm lẫn, thao túng hoặc ảnh hưởng đến nhận thức, hành vi của người dùng nếu người dùng không biết họ đang tương tác với AI.

Đối với doanh nghiệp, việc phân loại đúng hệ thống AI là bước đầu tiên trong tuân thủ. Nếu phân loại sai mức độ rủi ro, doanh nghiệp có thể không thực hiện đầy đủ nghĩa vụ về đánh giá sự phù hợp, thông báo, giám sát, giải trình hoặc xử lý sự cố.

Đối với hệ thống AI rủi ro cao, Luật đặt ra yêu cầu đánh giá sự phù hợp trước khi đưa vào sử dụng. Tùy từng loại hệ thống và danh mục do cơ quan có thẩm quyền ban hành, việc đánh giá có thể được thực hiện bởi tổ chức đánh giá độc lập được công nhận hoặc theo cơ chế tự đánh giá của nhà cung cấp trong một số trường hợp.

Việc đánh giá sự phù hợp không chỉ nhằm kiểm tra hệ thống về mặt kỹ thuật, mà còn nhằm đánh giá khả năng kiểm soát rủi ro, độ tin cậy, an toàn, bảo mật, chất lượng dữ liệu, cơ chế giám sát, khả năng giải trình và biện pháp hạn chế tác động tiêu cực đến người dùng hoặc người bị ảnh hưởng.

Khi hệ thống AI có thay đổi đáng kể trong quá trình vận hành — chẳng hạn thay đổi mục đích sử dụng, dữ liệu đầu vào, mô hình, thuật toán, phạm vi triển khai hoặc mức độ tác động đến người dùng — doanh nghiệp cần đánh giá lại để bảo đảm hệ thống vẫn phù hợp với yêu cầu pháp luật.

Một trong những điểm đáng chú ý của Luật là yêu cầu trách nhiệm giải trình đối với hệ thống AI. Nhà cung cấp, bên triển khai hoặc chủ thể có liên quan có thể phải giải trình về mục đích sử dụng, nguyên lý hoạt động ở mức phù hợp, loại dữ liệu đầu vào, phương pháp kiểm soát rủi ro, biện pháp giám sát và cơ chế bảo vệ quyền lợi của người dùng khi cơ quan nhà nước có thẩm quyền yêu cầu.

Điểm cân bằng quan trọng là nghĩa vụ giải trình không đồng nghĩa với việc phải công khai toàn bộ mã nguồn, thuật toán chi tiết hoặc bí mật kinh doanh. Doanh nghiệp vẫn có quyền bảo vệ bí mật kinh doanh, nhưng phải bảo đảm mức độ minh bạch cần thiết để cơ quan có thẩm quyền và người dùng có thể hiểu, kiểm tra và kiểm soát rủi ro ở mức phù hợp.

Luật Trí tuệ nhân tạo 2025 đặt ra yêu cầu minh bạch đối với việc người dùng tương tác với AI và việc cung cấp nội dung do AI tạo ra. Nhà cung cấp và bên triển khai phải bảo đảm người sử dụng có thể nhận biết khi họ đang tương tác với hệ thống AI, trừ trường hợp bối cảnh sử dụng đã hiển nhiên cho thấy điều đó.

Đối với nội dung âm thanh, hình ảnh, video hoặc nội dung số do hệ thống AI tạo ra, đặc biệt là nội dung có khả năng gây nhầm lẫn về tính xác thực, doanh nghiệp cần có cơ chế gắn dấu hiệu nhận biết, thông báo hoặc gắn nhãn phù hợp. Quy định này có ý nghĩa lớn trong bối cảnh deepfake, giả mạo giọng nói, giả mạo khuôn mặt và nội dung tạo sinh ngày càng khó phân biệt với nội dung thật.

Đối với doanh nghiệp sử dụng AI trong marketing, truyền thông, chăm sóc khách hàng, tuyển dụng hoặc sáng tạo nội dung, cần ban hành chính sách nội bộ về việc sử dụng nội dung do AI tạo ra, kiểm duyệt nội dung, gắn nhãn, lưu vết và xử lý khi có khiếu nại.

Luật đặt ra yêu cầu đáng chú ý đối với nhà cung cấp nước ngoài có hệ thống AI rủi ro cao được cung cấp hoặc triển khai tại Việt Nam. Các nhà cung cấp này phải có đầu mối liên hệ hợp pháp tại Việt Nam. Trường hợp hệ thống AI thuộc diện phải chứng nhận sự phù hợp, nhà cung cấp nước ngoài có thể phải có hiện diện thương mại, chi nhánh, văn phòng đại diện, công ty con hoặc đại diện được ủy quyền tại Việt Nam theo quy định.

Đối với doanh nghiệp Việt Nam đang mua, tích hợp hoặc triển khai hệ thống AI từ nhà cung cấp nước ngoài, cần rà soát hợp đồng để bảo đảm nhà cung cấp có khả năng hỗ trợ tuân thủ tại Việt Nam, bao gồm cung cấp tài liệu kỹ thuật, hỗ trợ đánh giá sự phù hợp, xử lý sự cố, giải trình và phối hợp với cơ quan nhà nước khi cần thiết.

Luật Trí tuệ nhân tạo 2025 không chỉ đặt ra nghĩa vụ tuân thủ mà còn tạo cơ sở cho việc hỗ trợ phát triển hệ sinh thái AI tại Việt Nam. Các chính sách hỗ trợ có thể bao gồm cung cấp hồ sơ mẫu, công cụ tự đánh giá, hỗ trợ chi phí đánh giá sự phù hợp, hỗ trợ năng lực tính toán, dữ liệu dùng chung, mô hình ngôn ngữ lớn tiếng Việt và các nguồn lực khác phục vụ nghiên cứu, phát triển, thử nghiệm và triển khai AI.

Cơ chế thử nghiệm có kiểm soát (sandbox) cho phép doanh nghiệp thử nghiệm hệ thống AI, sản phẩm hoặc dịch vụ AI trong phạm vi, thời gian, điều kiện và đối tượng được xác định. Đây là cơ hội quan trọng cho startup, doanh nghiệp đổi mới sáng tạo và các mô hình AI chưa có tiền lệ pháp lý rõ ràng.

Tuy nhiên, sandbox không phải là cơ chế miễn trừ toàn bộ trách nhiệm. Doanh nghiệp vẫn cần bảo đảm an toàn, minh bạch, bảo vệ dữ liệu cá nhân, bảo vệ người dùng, an ninh mạng và kiểm soát rủi ro trong quá trình thử nghiệm.

Luật Trí tuệ nhân tạo 2025 đặt ra nguyên tắc trách nhiệm dân sự đối với thiệt hại do hệ thống AI gây ra. Đối với hệ thống AI rủi ro cao, bên triển khai có thể phải bồi thường cho người bị thiệt hại, kể cả trong trường hợp hệ thống được vận hành theo đúng quy định nhưng vẫn gây thiệt hại. Sau đó, bên triển khai có thể yêu cầu nhà cung cấp, nhà phát triển hoặc bên có liên quan hoàn trả theo hợp đồng hoặc theo quy định pháp luật nếu có căn cứ.

Trường hợp hệ thống AI bị bên thứ ba xâm nhập hoặc can thiệp trái phép, bên thứ ba gây thiệt hại phải chịu trách nhiệm. Tuy nhiên, nếu doanh nghiệp có lỗi trong việc bảo mật, quản trị hệ thống hoặc để xảy ra lỗ hổng dẫn đến việc bị xâm nhập, doanh nghiệp có thể phải chịu trách nhiệm tương ứng.

Đối với doanh nghiệp, đây là nội dung cần được xử lý ngay trong hợp đồng với nhà phát triển, nhà cung cấp, bên tích hợp và khách hàng. Hợp đồng AI cần có điều khoản rõ về phân bổ trách nhiệm, tiêu chuẩn an toàn, bảo hành, giới hạn trách nhiệm, bồi thường, bảo hiểm, quyền truy đòi và xử lý sự cố.