Luật AI đã có hiệu lực ở Việt Nam, tổ chức nên kiểm tra ba việc nào?
Luật Trí tuệ nhân tạo đã có hiệu lực từ 1/3/2026. Với một tổ chức đang dùng AI, bước đầu hợp lý là biết hệ thống nào đang chạy, dữ liệu nào đi qua và ai chịu trách nhiệm kiểm tra tiếp.
Xong bài này bạn làm được Người đọc sẽ lập danh sách hệ thống AI đang dùng, xác định nơi cần kiểm tra mức rủi ro và dữ liệu, rồi chuyển câu hỏi pháp lý cụ thể cho người phụ trách phù hợp.
Từ ngày 1/3/2026, Luật Trí tuệ nhân tạo của Việt Nam đã có hiệu lực. Trang khung pháp lý do Cục Công nghệ số và Trí tuệ nhân tạo công bố nêu các nguyên tắc như lấy con người làm trung tâm, bảo vệ quyền riêng tư và phân loại hệ thống AI theo mức độ rủi ro. Bộ Khoa học và Công nghệ cũng xác nhận đây là đạo luật riêng điều chỉnh toàn diện việc phát triển, ứng dụng và quản trị AI.
Với một doanh nghiệp hoặc đơn vị đang dùng AI, thông tin này không đồng nghĩa rằng mọi chatbot, công cụ viết nội dung hay hệ thống tự động đều có cùng nghĩa vụ. Việc hữu ích hơn là biết AI đang được dùng ở đâu, tác động tới ai và dữ liệu nào đang đi qua hệ thống. Ba câu hỏi dưới đây tạo một điểm bắt đầu để tổ chức rà soát; chúng không thay thế việc đọc văn bản pháp luật gốc hoặc tư vấn pháp lý cho trường hợp cụ thể.
1. Hệ thống AI nào đang thực sự được dùng?
Hãy bắt đầu bằng một danh sách ngắn, không phải bằng một tài liệu chính sách dài. Mỗi dòng là một hệ thống hoặc tính năng AI mà nhân viên, khách hàng hay quy trình nội bộ đang sử dụng.
Ví dụ, một công ty có thể ghi ba dòng: trợ lý soạn email cho nhân viên; công cụ tóm tắt cuộc gọi chăm sóc khách hàng; hệ thống gợi ý mức ưu tiên cho hồ sơ. Ba trường hợp đều dùng AI nhưng hậu quả khi sai rất khác nhau. Một câu email nháp còn được nhân viên đọc lại không giống một hệ thống tác động trực tiếp tới cách hồ sơ của một người được xử lý.
Trang khung pháp lý chính thức nhấn mạnh cách tiếp cận dựa trên mức độ rủi ro. Vì vậy, bảng kiểm nội bộ nên có ít nhất các cột: tên hệ thống, ai dùng, nó tạo ra nội dung hay hỗ trợ quyết định gì, và đầu ra có được con người kiểm tra trước khi hành động hay không.
Đừng tự gắn nhãn pháp lý “rủi ro cao” chỉ từ một bài báo. Phân loại cụ thể cần đối chiếu văn bản gốc và hoàn cảnh triển khai. Mục tiêu của bước đầu tiên chỉ là làm cho hệ thống đang dùng trở nên nhìn thấy được.
2. Dữ liệu nào đi vào và ai có thể bị ảnh hưởng?
Sau khi có danh sách, thêm hai câu hỏi cho từng dòng: dữ liệu đầu vào gồm những gì, và nếu AI sai thì ai chịu hậu quả?
Một công cụ chỉ nhận đoạn văn công khai có bề mặt rủi ro khác với công cụ nhận hồ sơ khách hàng, thông tin nhân sự hoặc dữ liệu định danh. Tương tự, AI gợi ý cách viết một tiêu đề khác với AI được dùng trong một quy trình có thể ảnh hưởng quyền lợi, cơ hội hoặc quyết định đối với một cá nhân.
Luật AI được cơ quan quản lý giới thiệu với nguyên tắc lấy con người làm trung tâm và bảo vệ quyền riêng tư. Với đội vận hành, cách biến nguyên tắc đó thành việc có thể làm ngay là đánh dấu các dòng có dữ liệu cá nhân, dữ liệu nhạy cảm hoặc đầu ra có tác động đáng kể. Những dòng này cần được ưu tiên kiểm tra sâu hơn với người phụ trách dữ liệu, an toàn thông tin hoặc pháp chế.
Không cần chờ mua một nền tảng quản trị mới để làm bước này. Một bảng tính nội bộ có kiểm soát truy cập đã đủ để bắt đầu, miễn là bảng không sao chép thêm dữ liệu nhạy cảm không cần thiết.
3. Ai chịu trách nhiệm khi cần kiểm tra hoặc dừng?
Một hệ thống có thể do phòng công nghệ mua nhưng được phòng kinh doanh vận hành, còn dữ liệu thuộc trách nhiệm của một bộ phận khác. Nếu bảng rà soát chỉ có tên công cụ mà không có người chịu trách nhiệm, khi có lỗi sẽ rất khó biết ai phải xác minh.
Thêm ba trường: người sở hữu nghiệp vụ, người phụ trách kỹ thuật hoặc nhà cung cấp, và người có thẩm quyền quyết định tiếp tục, hạn chế hay dừng cách dùng hiện tại. Với hệ thống quan trọng, ghi thêm điểm mà con người phải kiểm tra đầu ra trước khi quyết định được thực hiện.
Đây không phải là tuyên bố rằng Luật AI bắt buộc mọi tổ chức phải dùng đúng mẫu ba trường này. Đây là cách vận hành để tổ chức có bằng chứng rõ ràng về nơi AI đang tham gia và có người nhận câu hỏi tiếp theo. Khi pháp chế cần xác định nghĩa vụ cụ thể, họ không phải bắt đầu từ câu hỏi mơ hồ “công ty mình có dùng AI không?”.
Một bảng rà soát 30 phút
Bạn có thể bắt đầu với sáu cột: Hệ thống AI | Người dùng | Việc AI làm | Dữ liệu đầu vào | Ai bị ảnh hưởng nếu sai | Người chịu trách nhiệm.
Trong 30 phút đầu, hãy điền những hệ thống dễ thấy nhất. Sau đó đánh dấu những dòng có dữ liệu cá nhân, dữ liệu nhạy cảm, quyết định quan trọng hoặc không có bước kiểm tra của con người. Đó là danh sách ưu tiên để đọc văn bản gốc, kiểm tra hướng dẫn hiện hành và trao đổi với bộ phận pháp lý hoặc tuân thủ.
Cách làm này tránh hai cực đoan: coi Luật AI chỉ là chuyện của phòng pháp chế, hoặc hoảng hốt coi mọi công cụ AI là một rủi ro giống nhau. Luật đã có hiệu lực; việc đầu tiên của tổ chức là biết chính xác mình đang dùng AI ở đâu trước khi kết luận phải thay đổi điều gì.