Pháp lý dự án AI tại Việt Nam 2026

Cập nhật: 23/10/2026

Để tiện theo dõi, bảng dưới đây tóm tắt các nhóm nghĩa vụ pháp lý chính của một dự án AI; từng nội dung được phân tích ở các mục tiếp theo.

1. Ai phải tuân thủ Luật Trí tuệ nhân tạo

Câu hỏi cần giải quyết trước tiên là dự án của doanh nghiệp có thuộc phạm vi của Luật Trí tuệ nhân tạo hay không. Về mặt pháp lý, Luật Trí tuệ nhân tạo số 134/2025/QH15 ngày 10/12/2025, hiệu lực từ 01/3/2026, áp dụng cho cơ quan, tổ chức, cá nhân Việt Nam và tổ chức, cá nhân nước ngoài tham gia hoạt động trí tuệ nhân tạo tại Việt Nam.

Điều này có nghĩa rằng tiêu chí quyết định không phải là nơi đặt trụ sở hay máy chủ, mà là việc có tham gia hoạt động AI tại Việt Nam hay không. Trên thực tế, các nhóm chủ thể sau đây nên chủ động xác định nghĩa vụ của mình:

a) Công ty khởi nghiệp Việt Nam phát triển sản phẩm có tính năng AI, kể cả khi mô hình nền do bên thứ ba cung cấp;

b) Doanh nghiệp đang chuyển đổi số, tích hợp chatbot, trợ lý ảo hoặc công cụ tạo nội dung vào hoạt động chăm sóc khách hàng, tiếp thị;

c) Tập đoàn, nhà đầu tư nước ngoài đưa sản phẩm AI đã vận hành ở thị trường khác vào phục vụ người dùng, khách hàng tại Việt Nam.

Điểm cần lưu ý là hệ thống AI thường xử lý dữ liệu người dùng, nên dự án đồng thời thuộc phạm vi Luật Bảo vệ dữ liệu cá nhân; hai đạo luật này nên được rà soát cùng nhau từ khâu thiết kế.

2. Quản lý theo ba mức rủi ro

Trên cơ sở phạm vi đã xác định, bước tiếp theo là phân loại hệ thống. Luật Trí tuệ nhân tạo quản lý theo mức độ rủi ro, chia hệ thống AI thành ba mức cao, trung bình và thấp; mức càng cao thì nghĩa vụ đánh giá, giám sát càng nặng.

Về bản chất, cách tiếp cận này đặt gánh nặng tuân thủ tương xứng với khả năng gây tác động của hệ thống. Một công cụ gợi ý tiêu đề bài viết và một hệ thống hỗ trợ ra quyết định trong y tế, tài chính hay tuyển dụng không thể chịu cùng một mức nghĩa vụ. Vì vậy, phương án phù hợp là doanh nghiệp tự phân loại hệ thống của mình, đối chiếu với danh mục hệ thống rủi ro cao và lưu lại lập luận phân loại bằng văn bản.

Từ góc độ triển khai, việc phân loại không phải làm một lần. Khi sản phẩm bổ sung tính năng mới, mở rộng sang nhóm người dùng mới hoặc chuyển từ “gợi ý” sang “tự động quyết định”, mức rủi ro có thể thay đổi và hồ sơ phân loại cần được cập nhật tương ứng.

3. Nghĩa vụ minh bạch và hành vi bị cấm

Đối với vấn đề minh bạch, Luật Trí tuệ nhân tạo đặt nghĩa vụ trực tiếp lên bên triển khai, tức doanh nghiệp đưa hệ thống AI tới người dùng. Cụ thể, Điều 11 Luật Trí tuệ nhân tạo quy định:

“Bên triển khai có trách nhiệm thông báo rõ ràng khi cung cấp ra công cộng văn bản, âm thanh, hình ảnh, video được tạo ra hoặc chỉnh sửa bằng hệ thống trí tuệ nhân tạo nếu nội dung đó có khả năng gây nhầm lẫn về tính xác thực của sự kiện, nhân vật, trừ trường hợp pháp luật có quy định khác”

Quy định này cho thấy hai điều kiện cùng phải được xem xét: nội dung được cung cấp ra công cộng, và nội dung đó có khả năng gây nhầm lẫn về tính xác thực của sự kiện, nhân vật. Trên thực tế, hình ảnh người phát ngôn được tạo bằng AI, giọng nói mô phỏng người thật hay video tái hiện sự kiện là những trường hợp doanh nghiệp nên thông báo, gắn nhãn rõ ràng.

Đồng thời, hệ thống AI tương tác trực tiếp với con người phải được thiết kế để người dùng nhận biết mình đang làm việc với AI. Với chatbot chăm sóc khách hàng hay trợ lý ảo, cách làm phổ biến là hiển thị thông báo ngay đầu cuộc hội thoại và không đặt cho chatbot tên, ảnh đại diện khiến người dùng tin rằng mình đang trao đổi với nhân viên thật.

Tiếp đến, nghĩa vụ minh bạch được bảo đảm bằng danh sách hành vi bị cấm. Điều 7 Luật Trí tuệ nhân tạo cấm các hành vi như che giấu thông tin bắt buộc phải minh bạch, tẩy xóa nhãn và cảnh báo bắt buộc, hoặc vô hiệu hóa cơ chế giám sát, can thiệp của con người đối với hệ thống. Nói cách khác, một tính năng “xóa watermark AI” trong sản phẩm, hay một thiết kế cho phép hệ thống tự vận hành mà người phụ trách không thể dừng hoặc can thiệp, không chỉ là lựa chọn sản phẩm mà có thể là hành vi bị cấm.

4. Dữ liệu cá nhân khi gọi API nước ngoài

Xét riêng về dữ liệu, phần lớn sản phẩm AI tại Việt Nam hiện được xây trên mô hình của nhà cung cấp nước ngoài, thông qua giao diện lập trình (API). Mỗi lần người dùng nhập câu hỏi, tải tài liệu hay ảnh lên, dữ liệu đó có thể được gửi tới máy chủ đặt ngoài lãnh thổ Việt Nam.

Về mặt pháp lý, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025 yêu cầu sự đồng ý theo từng mục đích, hồ sơ đánh giá tác động xử lý dữ liệu, và hồ sơ riêng khi chuyển dữ liệu ra nước ngoài. Điểm cần lưu ý là việc gửi dữ liệu người dùng tới API của nhà cung cấp nước ngoài có thể bị coi là chuyển dữ liệu cá nhân xuyên biên giới, kéo theo nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu.

Hệ quả của việc bỏ qua bước này được lượng hóa trực tiếp trong Luật. Khoản 4 Điều 8 Luật Bảo vệ dữ liệu cá nhân quy định:

“4. Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề của tổ chức đó; trường hợp không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa theo quy định tại khoản 5 Điều này thì áp dụng mức phạt tiền theo quy định tại khoản 5 Điều này.”

Khung pháp lý này tiếp tục được cụ thể hóa khi Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 đặt yêu cầu về nhân sự, bộ phận bảo vệ dữ liệu cá nhân và có quy định riêng cho xử lý dữ liệu lớn, điện toán đám mây. Ở phía chế tài, Nghị định số 330/2026/NĐ-CP ngày 19/8/2026 xử phạt cả việc coi sự im lặng của người dùng là đồng ý, không lập hồ sơ đánh giá tác động và không thông báo sự cố dữ liệu.

Vì vậy, với kiến trúc gọi API nước ngoài, doanh nghiệp nên xử lý tối thiểu các việc sau:

a) Lập bản đồ dữ liệu, xác định trường dữ liệu cá nhân nào thực sự cần gửi tới mô hình;

b) Che, ẩn danh hoặc tách dữ liệu nhạy cảm trước khi gửi đi khi mục đích xử lý cho phép;

c) Thu thập sự đồng ý tách theo mục đích, nêu rõ việc dữ liệu được xử lý bởi nhà cung cấp ở nước ngoài;

d) Lập hồ sơ đánh giá tác động xử lý dữ liệu và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài trước khi ra mắt.

Ngoài trách nhiệm hành chính, hành vi thu thập, mua bán, chia sẻ trái phép thông tin người dùng trên mạng có thể bị xem xét theo Điều 288 Bộ luật Hình sự, với chủ thể chịu trách nhiệm là cá nhân. Phân tích chi tiết về tầng trách nhiệm này được trình bày tại bài trách nhiệm hình sự, hành chính trong dự án công nghệ.

5. Quyền đối với kết quả do AI tạo ra

Vấn đề đặt ra với nhiều dự án là doanh nghiệp có quyền gì đối với văn bản, hình ảnh, mã nguồn do AI tạo ra. Về mặt pháp lý, Luật số 131/2025/QH15 ngày 10/12/2025 sửa đổi, bổ sung một số điều của Luật Sở hữu trí tuệ đã bổ sung quy định:

“Căn cứ vào quy định của Luật này, Chính phủ quy định việc phát sinh, xác lập quyền sở hữu trí tuệ theo quy định tại các khoản 1, 2, 3 và 4 Điều này trong trường hợp đối tượng quyền sở hữu trí tuệ được tạo ra có sử dụng hệ thống trí tuệ nhân tạo.”

Điều này có nghĩa rằng cơ chế xác lập quyền đối với đối tượng được tạo ra có sử dụng AI phụ thuộc vào văn bản hướng dẫn của Chính phủ. Trong khi chờ hướng dẫn, doanh nghiệp xây sản phẩm trên nội dung do AI tạo ra không nên mặc định mình có quyền độc quyền với toàn bộ kết quả đó, và không nên cam kết với khách hàng về quyền sở hữu trọn vẹn đối với đầu ra. Các thay đổi khác của Luật sửa đổi được tổng hợp tại bài những điểm mới của Luật Sở hữu trí tuệ sửa đổi 2025.

Tuy nhiên, phần do con người tạo ra trong dự án vẫn chịu quy tắc chung về chủ sở hữu. Khoản 2 Điều 39 Luật Sở hữu trí tuệ quy định:

“2. Tổ chức, cá nhân giao kết hợp đồng với tác giả sáng tạo ra tác phẩm là chủ sở hữu các quyền quy định tại Điều 20 và khoản 3 Điều 19 của Luật này, trừ trường hợp có thỏa thuận khác.”

Theo đó, câu lệnh, quy trình tinh chỉnh, mã tích hợp và bộ dữ liệu do nhân viên, cộng tác viên, đơn vị gia công xây dựng nên được ràng buộc bằng điều khoản chuyển giao quyền rõ ràng. Đồng thời, dữ liệu dùng để huấn luyện, tinh chỉnh mô hình phải có nguồn hợp pháp cả về quyền tác giả lẫn dữ liệu cá nhân; đây là điểm nhà đầu tư thường hỏi đầu tiên khi thẩm định một dự án AI.

6. Điều khoản của nhà cung cấp mô hình

Ở góc độ hợp đồng, sản phẩm AI phụ thuộc vào điều khoản sử dụng của nhà cung cấp mô hình và hạ tầng đám mây. Các điều khoản này có thể giới hạn mục đích sử dụng, quy định quyền đối với dữ liệu đầu vào và kết quả đầu ra, hoặc cho phép nhà cung cấp đơn phương khóa tài khoản. Trước khi chọn mô hình, doanh nghiệp nên rà soát tối thiểu các nội dung sau:

a) Danh mục mục đích sử dụng bị cấm hoặc phải có cơ chế rà soát bổ sung, đặc biệt với tư vấn y tế, tài chính, pháp lý;

b) Quyền của nhà cung cấp đối với dữ liệu đầu vào, gồm việc lưu giữ và sử dụng dữ liệu để cải thiện mô hình;

c) Quy định về quyền đối với kết quả đầu ra và trách nhiệm khi đầu ra xâm phạm quyền của bên thứ ba;

d) Vị trí lưu trữ, xử lý dữ liệu, làm cơ sở cho hồ sơ chuyển dữ liệu cá nhân ra nước ngoài;

đ) Giới hạn trách nhiệm, điều kiện tạm ngừng, khóa tài khoản và luật áp dụng.

Hệ quả là điều khoản mà doanh nghiệp cam kết với khách hàng phải chuyển tương ứng các giới hạn đó xuống phía dưới: nhà cung cấp không bảo đảm độ chính xác thì doanh nghiệp không nên cam kết kết quả AI là chính xác; nhà cung cấp được lưu dữ liệu đầu vào thì chính sách quyền riêng tư phải phản ánh đúng điều đó.

7. Con người rà soát kết quả

Từ các phân tích trên, một yêu cầu xuyên suốt hiện ra: con người phải giữ được quyền kiểm soát đối với hệ thống. Điều 7 Luật Trí tuệ nhân tạo cấm hành vi vô hiệu hóa cơ chế giám sát, can thiệp của con người, còn điều khoản của nhà cung cấp mô hình có thể đặt thêm yêu cầu rà soát đối với các lĩnh vực chuyên môn.

Trên thực tế, rủi ro tập trung ở các sản phẩm cung cấp kết quả mang tính chuyên môn như văn bản pháp lý, nhận định y khoa, khuyến nghị tài chính. Ngoài nghĩa vụ theo Luật Trí tuệ nhân tạo, hoạt động cung cấp lời khuyên chuyên môn trong các lĩnh vực này còn có thể chạm tới ngành nghề kinh doanh có điều kiện. Vì vậy, phương án phù hợp là thiết kế cơ chế rà soát theo các nguyên tắc sau:

a) Xác định rõ loại kết quả phải qua người có chuyên môn rà soát trước khi giao cho người dùng;

b) Bảo đảm người phụ trách có thể dừng, sửa hoặc từ chối kết quả của hệ thống;

c) Lưu nhật ký ai đã rà soát, rà soát khi nào và đã chỉnh sửa gì;

d) Phân định trong điều khoản sử dụng phần nào là kết quả tự động, phần nào đã được chuyên gia xác nhận.

Nói cách khác, cơ chế con người rà soát vừa là nghĩa vụ tuân thủ, vừa là bằng chứng để doanh nghiệp chứng minh mình đã hành động thận trọng khi phát sinh khiếu nại từ người dùng.

8. Checklist rút gọn cho dự án AI

Để tiện áp dụng, bảng dưới đây trích hai nhóm hạng mục về dữ liệu cá nhân và tuân thủ trí tuệ nhân tạo từ checklist mà 7SLAW sử dụng khi rà soát dự án AI trước khi ra mắt hoặc gọi vốn. Mỗi hạng mục chưa trả lời được “đã có” là một điểm cần xử lý.

Checklist đầy đủ gồm cả các nhóm pháp nhân và vốn, sở hữu trí tuệ, thương mại và thanh toán, hợp đồng và an ninh mạng được trình bày tại bài pháp lý dự án công nghệ, AI, blockchain, IPO: rủi ro và checklist.

9. Đánh giá tác động

N.1. Chế tài và rủi ro pháp lý

Về bản chất, rủi ro của dự án AI có ba tầng. Tầng thứ nhất là vi phạm nghĩa vụ minh bạch, hành vi bị cấm theo Luật Trí tuệ nhân tạo. Tầng thứ hai là vi phạm về dữ liệu cá nhân, với mức phạt tối đa đến 5% doanh thu năm trước liền kề khi vi phạm quy định chuyển dữ liệu xuyên biên giới. Tầng thứ ba là trách nhiệm hình sự của cá nhân người chỉ đạo, vận hành khi hành vi xử lý thông tin người dùng có dấu hiệu của tội phạm. Vì mức phạt dữ liệu gắn với doanh thu, sản phẩm AI tăng trưởng càng nhanh thì mức độ phơi nhiễm rủi ro càng lớn.

N.2. Tác động theo nhóm chủ thể

Từ đây phát sinh những tác động khác nhau với từng nhóm:

a) Công ty khởi nghiệp xây sản phẩm trên API nước ngoài: hồ sơ chuyển dữ liệu xuyên biên giới và điều khoản của nhà cung cấp mô hình là hai điểm cần chốt trước khi ra mắt;

b) Doanh nghiệp đưa AI vào chăm sóc khách hàng, tiếp thị: trọng tâm là thông báo người dùng đang tương tác với AI và gắn nhãn nội dung có khả năng gây nhầm lẫn;

c) Tổ chức nước ngoài cung cấp sản phẩm AI cho người dùng Việt Nam: cần xác định sớm việc thuộc phạm vi Luật Trí tuệ nhân tạo và Luật Bảo vệ dữ liệu cá nhân, dù không có pháp nhân tại Việt Nam;

d) Sản phẩm cung cấp kết quả chuyên môn: cơ chế con người rà soát và phân định trách nhiệm trong điều khoản sử dụng có thể quyết định khả năng tiếp tục vận hành khi phát sinh tranh chấp.

N.3. Khuyến nghị

Trên cơ sở đó, 7SLAW cho rằng dự án AI nên lập một hồ sơ tuân thủ gồm bốn phần: phân loại mức rủi ro của hệ thống; bản đồ dữ liệu kèm hồ sơ đánh giá tác động, kể cả hồ sơ chuyển dữ liệu ra nước ngoài; bảng đối chiếu điều khoản của nhà cung cấp mô hình với điều khoản cam kết cho khách hàng; và quy trình con người rà soát kết quả chuyên môn. Hồ sơ này nên được cập nhật mỗi khi sản phẩm thay đổi tính năng chính. Doanh nghiệp chưa có bộ phận pháp chế có thể cân nhắc mô hình pháp chế thuê ngoài để duy trì việc cập nhật này; chính sách hỗ trợ dành cho doanh nghiệp AI được tổng hợp tại bài quy định hỗ trợ doanh nghiệp theo Luật Trí tuệ nhân tạo 2025.

10. Tình huống minh họa

Để minh họa cách áp dụng Luật Trí tuệ nhân tạo và Luật Bảo vệ dữ liệu cá nhân, dưới đây là hai tình huống giả định thường gặp.

a) Một công ty có trụ sở ở nước ngoài cung cấp ứng dụng trợ lý tài chính cá nhân bằng AI cho người dùng Việt Nam; ứng dụng đọc sao kê do người dùng tải lên và gửi tới mô hình đặt tại máy chủ nước ngoài. Vấn đề đặt ra là phạm vi áp dụng Luật Trí tuệ nhân tạo, việc chuyển dữ liệu cá nhân xuyên biên giới và cơ chế rà soát khuyến nghị tài chính. Phương án phù hợp là coi công ty đang tham gia hoạt động AI tại Việt Nam, lập hồ sơ đánh giá tác động chuyển dữ liệu, ẩn danh thông tin tài khoản trước khi gửi và thiết kế bước rà soát cho khuyến nghị có tính cá nhân hóa cao.

b) Một doanh nghiệp bán lẻ dùng AI tạo video quảng cáo, trong đó nhân vật phát ngôn có ngoại hình, giọng nói giống người thật, và dự định thương mại hóa bộ hình ảnh này. Từ đây phát sinh hai rủi ro: nội dung có khả năng gây nhầm lẫn về tính xác thực của nhân vật nên thuộc nghĩa vụ thông báo tại Điều 11; và quyền đối với bộ hình ảnh chưa thể được mặc định là độc quyền, vì việc xác lập quyền đối với đối tượng được tạo ra có sử dụng AI do Chính phủ quy định theo Luật số 131/2025/QH15. Phương án phù hợp là gắn nhãn rõ ràng trên từng video và tránh cam kết chuyển giao quyền độc quyền đối với hình ảnh cho đối tác.

11. Câu hỏi thường gặp

Dưới đây là những câu hỏi 7SLAW thường nhận được từ doanh nghiệp về pháp lý dự án AI tại Việt Nam.

a) Công ty nước ngoài không có pháp nhân tại Việt Nam có phải tuân thủ Luật Trí tuệ nhân tạo không?

Luật Trí tuệ nhân tạo áp dụng cho cả tổ chức, cá nhân nước ngoài tham gia hoạt động trí tuệ nhân tạo tại Việt Nam. Vì vậy, việc không có pháp nhân tại Việt Nam không phải là căn cứ để loại trừ nghĩa vụ khi sản phẩm phục vụ người dùng tại Việt Nam.

b) Chỉ gửi câu hỏi của người dùng tới mô hình nước ngoài thì có cần hồ sơ chuyển dữ liệu không?

Nếu câu hỏi hoặc tài liệu kèm theo chứa dữ liệu cá nhân, việc gửi đi có thể bị coi là chuyển dữ liệu cá nhân xuyên biên giới. Doanh nghiệp nên lập hồ sơ đánh giá tác động chuyển dữ liệu và giảm lượng dữ liệu cá nhân trong nội dung gửi tới mô hình.

c) Doanh nghiệp có quyền sở hữu trí tuệ đối với nội dung do AI tạo ra không?

Theo Luật Sở hữu trí tuệ được sửa đổi bởi Luật số 131/2025/QH15, Chính phủ quy định việc phát sinh, xác lập quyền đối với đối tượng được tạo ra có sử dụng hệ thống AI. Doanh nghiệp nên theo dõi văn bản hướng dẫn và không nên mặc định có quyền độc quyền đối với toàn bộ kết quả.

Tác giả: 7S Legal Insights

Phụ lục căn cứ pháp luật

Để tiện tra cứu, các văn bản và điều khoản được dẫn trong bài được tổng hợp tại bảng sau.

Bài viết cung cấp thông tin pháp luật tại thời điểm cập nhật, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể; quy định có thể thay đổi sau ngày cập nhật.

Liên hệ Luật 7S: 0877 523 888 – lienhe@7slaw.vn