Pháp lý dự án công nghệ: rủi ro và checklist

Để tiện theo dõi, bảng dưới đây tóm tắt các nhóm rủi ro pháp lý chính của một dự án công nghệ và bài phân tích chuyên sâu tương ứng của Luật 7S.

1. Vì sao pháp lý quyết định thành bại

Điểm xuất phát là bản chất của một sản phẩm công nghệ: đó là tập hợp tài sản vô hình gồm mã nguồn, dữ liệu, mô hình, thương hiệu và hợp đồng với người dùng. Giá trị của dự án chỉ tồn tại khi doanh nghiệp chứng minh được quyền đối với từng tài sản đó và vận hành chúng đúng pháp luật.

Trên thực tế, điểm gãy pháp lý thường lộ ra vào ba thời điểm: khi nhà đầu tư thẩm định pháp lý trước khi rót vốn; khi ra mắt và cơ quan quản lý, kho ứng dụng, đối tác thanh toán yêu cầu hồ sơ tuân thủ; khi phát sinh sự cố như đồng sáng lập rời đi, rò rỉ dữ liệu hay khiếu nại của người dùng. Vấn đề đặt ra là trong khoảng một năm, hàng loạt đạo luật mới về công nghệ số, dữ liệu cá nhân, trí tuệ nhân tạo, sở hữu trí tuệ, thương mại điện tử và an ninh mạng đã có hiệu lực. Điều này có nghĩa rằng một sản phẩm đúng luật năm 2024 có thể đã không còn đúng ở thời điểm hiện tại.

2. Năm nguyên nhân thất bại

Từ góc độ thẩm định pháp lý, các dự án gặp sự cố thường rơi vào năm nhóm nguyên nhân dưới đây; nhóm nào cũng có thể làm đổ vỡ một vòng gọi vốn hoặc buộc sản phẩm phải dừng hoạt động.

2.1. Không sở hữu trọn vẹn sản phẩm của chính mình

Trước hết, nhiều nhà sáng lập mặc định rằng đã trả tiền thì đương nhiên sở hữu mã nguồn. Về mặt pháp lý, khoản 2 Điều 39 Luật Sở hữu trí tuệ quy định: “Tổ chức, cá nhân giao kết hợp đồng với tác giả sáng tạo ra tác phẩm là chủ sở hữu các quyền quy định tại Điều 20 và khoản 3 Điều 19 của Luật này, trừ trường hợp có thỏa thuận khác.” Rủi ro nằm ở chính vế “trừ trường hợp có thỏa thuận khác”: đơn vị gia công giữ lại quyền với “thư viện nền”, nhà sáng lập viết mã trước khi lập công ty mà không chuyển giao, mã nguồn nằm trên tài khoản cá nhân, hoặc sản phẩm dùng thư viện mã nguồn mở buộc công bố mã.

2.2. Xử lý dữ liệu cá nhân sai ngay từ thiết kế

Xét riêng về dữ liệu, mọi sản phẩm có đăng nhập, biểu mẫu, phân tích hành vi hay chatbot đều là bên xử lý dữ liệu cá nhân. Điểm cần lưu ý là việc gửi dữ liệu người dùng tới máy chủ hoặc giao diện lập trình (API) của nhà cung cấp nước ngoài, phổ biến ở các sản phẩm AI, có thể bị coi là chuyển dữ liệu cá nhân xuyên biên giới, với mức phạt tối đa 5% doanh thu năm trước liền kề (khoản 4 Điều 8 Luật Bảo vệ dữ liệu cá nhân).

2.3. Kinh doanh ngành có điều kiện mà không biết

Về mặt mô hình kinh doanh, một ứng dụng có vẻ “chỉ là phần mềm” vẫn có thể chạm vào ngành nghề có điều kiện: trung gian thanh toán, ví điện tử, cho vay ngang hàng, sàn kết nối người bán và người mua, dịch vụ tài sản mã hóa, hoặc lời khuyên chuyên môn trong y tế, tài chính, pháp lý. Doanh nghiệp có thể tra nhanh nhóm ngành tại công cụ Giấy phép con 2026. Riêng gói nạp trước hoặc “credit” trong ứng dụng, 7SLAW cho rằng nên thiết kế khép kín: chỉ dùng mua dịch vụ của chính doanh nghiệp, không rút ra tiền, không chuyển nhượng.

2.4. Phụ thuộc vào điều khoản của nhà cung cấp nền tảng

Ở góc độ hợp đồng, sản phẩm hiện đại được xây trên mô hình AI, hạ tầng đám mây, kho ứng dụng và cổng thanh toán của bên thứ ba. Điều khoản sử dụng của các bên này có thể giới hạn mục đích sử dụng, quyền đối với dữ liệu đầu vào và kết quả đầu ra, hoặc cho phép khóa tài khoản. Vì vậy, hợp đồng với khách hàng phải chuyển tương ứng các giới hạn đó xuống phía dưới.

2.5. Cấu trúc vốn và quản trị thiếu chặt chẽ

Cuối cùng, nhiều dự án đổ vỡ không vì sản phẩm mà vì quan hệ giữa các nhà sáng lập: không có thỏa thuận sáng lập, không có cơ chế cổ phần theo thời gian gắn bó (vesting), không quy định số phận của cổ phần và tài sản trí tuệ khi một người rời đi. Lộ trình từ gọi vốn riêng lẻ đến IPO được phân tích tại bài gọi vốn, IPO công ty công nghệ.

3. Bốn vùng rủi ro trọng yếu

Trên cơ sở năm nguyên nhân trên, có bốn vùng rủi ro đòi hỏi doanh nghiệp công nghệ phải đánh giá riêng, vì mỗi vùng chịu một khung pháp lý và chế tài khác nhau:

a) Trách nhiệm hình sự, hành chính: Điều 76 Bộ luật Hình sự không đưa các tội về công nghệ thông tin vào danh sách tội của pháp nhân thương mại, nên người điều hành có thể bị truy cứu cá nhân; xem phân tích chi tiết;

b) Dự án AI: Luật Trí tuệ nhân tạo số 134/2025/QH15, hiệu lực từ 01/3/2026, đặt nghĩa vụ minh bạch, gắn nhãn và giám sát của con người; xem pháp lý dự án AI;

c) Blockchain, tài sản mã hóa: chỉ tổ chức được Bộ Tài chính cấp phép mới được cung cấp dịch vụ trong khuôn khổ thí điểm; xem pháp lý blockchain;

d) Gọi vốn, IPO: điều kiện lợi nhuận và trách nhiệm công bố thông tin khiến lộ trình niêm yết của công ty công nghệ cần được thiết kế sớm; xem gọi vốn, IPO.

4. Điểm chung của dự án thành công

Đối lập với các nguyên nhân thất bại, những dự án vượt qua thẩm định pháp lý thuận lợi thường có năm đặc điểm sau:

a) Chuỗi quyền sở hữu sạch: mọi dòng mã, mọi bộ dữ liệu đều truy được về hợp đồng chuyển giao hoặc giấy phép sử dụng;

b) Bảo vệ dữ liệu từ thiết kế: có bản đồ dữ liệu, cơ chế đồng ý theo mục đích và hồ sơ đánh giá tác động trước khi ra mắt;

c) Xác định ngành nghề trước khi viết mã: biết rõ tính năng nào cần giấy phép và thiết kế để tránh hoặc xin phép đúng lúc;

d) Tận dụng cơ chế thử nghiệm có kiểm soát theo Luật Công nghiệp công nghệ số số 71/2025/QH15 cho mô hình chưa có quy định;

đ) Hồ sơ pháp lý sẵn sàng cho thẩm định: điều lệ, thỏa thuận cổ đông, hợp đồng lao động và bảo mật, hợp đồng với nhà cung cấp được lưu đầy đủ.

5. Checklist pháp lý dự án AI tại Việt Nam

Trên cơ sở các phân tích trên, bảng dưới đây là danh mục 29 hạng mục mà 7SLAW sử dụng khi rà soát một dự án AI trước khi ra mắt hoặc gọi vốn. Mỗi hạng mục chưa trả lời được “đã có” là một điểm cần xử lý.

6. Khuyến nghị của Luật 7S

Trên cơ sở đó, 7SLAW cho rằng dự án công nghệ nên đặt ba mốc rà soát pháp lý: trước khi viết mã, để chốt cấu trúc pháp nhân, chuỗi quyền sở hữu trí tuệ và bản đồ dữ liệu; trước khi ra mắt, để hoàn thiện điều khoản sử dụng, chính sách quyền riêng tư, nghĩa vụ minh bạch AI và thủ tục thương mại điện tử; trước khi gọi vốn, để chuẩn bị hồ sơ thẩm định pháp lý. Doanh nghiệp chưa có bộ phận pháp chế có thể cân nhắc mô hình pháp chế thuê ngoài hoặc tư vấn pháp luật doanh nghiệp thường xuyên để có luật sư đồng hành theo từng giai đoạn sản phẩm.

7. Câu hỏi thường gặp

Dưới đây là những câu hỏi 7SLAW thường nhận được từ nhà sáng lập và doanh nghiệp công nghệ.

a) Khi nào nên mời luật sư tham gia dự án công nghệ?

Thời điểm hiệu quả nhất là trước khi chốt kiến trúc sản phẩm và mô hình doanh thu, vì đây là lúc các quyết định về dữ liệu, thanh toán và ngành nghề còn điều chỉnh được với chi phí thấp.

b) Thuê công ty gia công phần mềm thì doanh nghiệp có đương nhiên sở hữu mã nguồn không?

Không đương nhiên. Bên giao kết hợp đồng là chủ sở hữu quyền tài sản trừ trường hợp có thỏa thuận khác, vì vậy hợp đồng cần quy định rõ phạm vi chuyển giao, kể cả với thư viện nền và mã nguồn mở.

c) Doanh nghiệp nhỏ có cần làm đủ 29 hạng mục trong checklist không?

Mức độ áp dụng tùy mô hình sản phẩm. Tuy nhiên, các hạng mục về quyền sở hữu mã nguồn, dữ liệu cá nhân và ngành nghề có điều kiện nên được xử lý trước khi ra mắt, vì chế tài của chúng không phụ thuộc quy mô doanh nghiệp.

Tác giả: 7S Legal Insights

Phụ lục căn cứ pháp luật

Để tiện tra cứu, các văn bản và điều khoản được dẫn trong bài được tổng hợp tại bảng sau.

Bài viết cung cấp thông tin pháp luật tại thời điểm cập nhật, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể; quy định có thể thay đổi sau ngày cập nhật.

Liên hệ Luật 7S: 0877 523 888 – lienhe@7slaw.vn