AI không còn là vấn đề riêng của bộ phận kỹ thuật - Luật AI 2025 của Việt Nam đặt ra thực tế mới cho công tác quản trị doanh nghiệp

01 - Xây dựng hệ thống khái niệm pháp lý thống nhất về AI

a. Bối cảnh thể chế pháp luật

Trước Luật AI, hệ thống pháp luật Việt Nam chưa có đạo luật chuyên biệt điều chỉnh toàn diện về trí tuệ nhân tạo. Các quy định liên quan nằm rải rác trong nhiều lĩnh vực: Luật Công nghệ thông tin, Luật An ninh mạng, pháp luật về bảo vệ dữ liệu cá nhân, Luật Sở hữu trí tuệ, Luật Giao dịch điện tử... Cấu trúc phân tán này gây ra ba vấn đề trên thực tiễn:

• Chưa có tiêu chuẩn rõ ràng để định nghĩa hệ thống AI dưới góc độ pháp lý
• Vai trò và sự phân định trách nhiệm của các chủ thể trong chuỗi giá trị AI chưa được làm rõ
• Nền tảng pháp lý để xác định trách nhiệm đối với tác động mà AI gây ra cho cá nhân, xã hội còn chưa đầy đủ

Trong khi đó, AI đã được ứng dụng nhanh chóng ở tài chính, y tế, giáo dục, thương mại điện tử - khiến việc xây dựng hệ thống khái niệm pháp lý thống nhất trở thành tiền đề quan trọng cho cả phát triển công nghệ lành mạnh lẫn quản lý phù hợp.

b. Khung khái niệm pháp lý về AI

Luật AI 2025 lần đầu định nghĩa rõ ràng các khái niệm nền tảng. Theo Điều 3: "trí tuệ nhân tạo" là công nghệ hiện thực hóa bằng phương tiện điện tử các năng lực trí tuệ của con người - học tập, suy luận, nhận thức, phán đoán, hiểu ngôn ngữ tự nhiên. "Hệ thống AI" là hệ thống được thiết kế trên nền tảng máy móc, thực hiện năng lực AI với mức độ tự chủ nhất định, có thể có khả năng thích ứng sau khi triển khai, và tạo ra các đầu ra (dự đoán, nội dung, khuyến nghị, quyết định) có khả năng ảnh hưởng đến môi trường vật lý hoặc môi trường số.

Luật cũng phân định rõ 5 chủ thể trong chuỗi giá trị AI:

• Nhà phát triển (Developer): bên thiết kế, xây dựng, huấn luyện và điều chỉnh hệ thống AI
• Nhà cung cấp (Provider): bên đưa hệ thống AI ra thị trường
• Bên triển khai (Deployer): bên sử dụng hệ thống AI trong hoạt động nghiệp vụ hoặc cung cấp dịch vụ
• Người dùng (User): bên tiếp xúc trực tiếp với hệ thống AI hoặc đầu ra của hệ thống
• Đối tượng bị ảnh hưởng (Affected person): bên chịu tác động trực tiếp hoặc gián tiếp từ việc triển khai AI

Việc định nghĩa rõ các chủ thể giúp làm rõ phân bổ trách nhiệm pháp lý, tạo cơ sở cho khuôn khổ nghĩa vụ và trách nhiệm khi phát sinh rủi ro hoặc tranh chấp liên quan đến AI.

02 - Cơ chế quản lý dựa trên rủi ro đối với hệ thống AI

a. Phân loại rủi ro

Đặc điểm quan trọng nhất của Luật AI 2025 là "cách tiếp cận dựa trên rủi ro" (risk-based approach): thay vì áp một bộ quy định chung cho mọi công nghệ AI, luật đặt nghĩa vụ khác nhau tùy phạm vi ảnh hưởng và mức độ rủi ro - AI càng ảnh hưởng lớn đến xã hội và cá nhân thì quản lý càng nghiêm. Đây cũng là phương pháp nhiều quốc gia đang áp dụng. Theo Điều 9, hệ thống AI được phân thành ba nhóm:

• Hệ thống AI rủi ro cao: có khả năng gây ảnh hưởng nghiêm trọng đến tính mạng, sức khỏe con người, quyền con người, an ninh quốc gia, lợi ích công cộng, trật tự xã hội... Ví dụ: hệ thống chấm điểm tín dụng trong tài chính, hệ thống hỗ trợ chẩn đoán y tế, AI trong dịch vụ hành chính công. Nhóm này phải qua thẩm định, quản lý nghiêm ngặt trước khi vận hành thực tế.
• Hệ thống AI rủi ro trung bình: có khả năng ảnh hưởng đến hành vi hoặc nhận thức của người dùng - ví dụ hệ thống khiến người dùng nhầm lẫn AI với con người, hoặc AI có khả năng tác động, thao túng phán đoán và hành vi. Nghĩa vụ chủ yếu: bảo đảm tính minh bạch.
• Hệ thống AI rủi ro thấp: chủ yếu là AI hỗ trợ kỹ thuật, nâng cao hiệu quả công việc, không ảnh hưởng đáng kể đến cá nhân và xã hội. Không chịu quản lý quá mức, chỉ cần tuân thủ các nguyên tắc an toàn và bảo vệ dữ liệu nói chung.

Cơ chế này được đánh giá là thiết kế thể chế cân bằng: bảo đảm an toàn xã hội mà không cản trở đổi mới công nghệ vì quản lý quá mức.

b. Đánh giá sự phù hợp đối với AI rủi ro cao

Hệ thống AI rủi ro cao bắt buộc phải qua "đánh giá sự phù hợp" (conformity assessment) trước khi đưa ra thị trường hoặc vận hành thực tế. Theo Điều 13 và Điều 14, việc đánh giá do tổ chức được Chính phủ chỉ định thực hiện, hoặc trong một số điều kiện nhất định, nhà cung cấp có thể tự đánh giá.

Bên cạnh đó, doanh nghiệp cung cấp hoặc phát triển AI rủi ro cao còn phải xây dựng cơ chế quản lý bao trùm toàn bộ vòng đời hệ thống: quản lý rủi ro AI, quản lý dữ liệu huấn luyện, lưu trữ tài liệu kỹ thuật và nhật ký vận hành, cùng cơ chế giám sát của con người (human oversight) đối với các quyết định quan trọng. Doanh nghiệp trong các lĩnh vực tài chính, y tế, giáo dục, dịch vụ công cần thiết kế cơ chế quản trị AI (AI governance) ngay từ giai đoạn đầu phát triển sản phẩm.

03 - Chính sách thúc đẩy phát triển hệ sinh thái AI

Luật AI 2025 không chỉ "siết" - luật còn có phần "mở". Theo Điều 20 và các quy định liên quan, doanh nghiệp nghiên cứu, phát triển hoặc ứng dụng AI có thể được hưởng mức ưu đãi cao nhất theo Luật Khoa học và Công nghệ, Luật Công nghệ cao, Luật Đầu tư... Ngoài ra:

• Cơ chế thử nghiệm có kiểm soát (sandbox): các dịch vụ AI hoặc mô hình kinh doanh mới có thể được phép thử nghiệm trong một khoảng thời gian nhất định - vừa thúc đẩy thử nghiệm công nghệ mới, vừa giúp cơ quan quản lý đánh giá tác động xã hội.
• Quỹ phát triển AI quốc gia (dự kiến): kỳ vọng cung cấp hỗ trợ tài chính cho nghiên cứu phát triển, chuyển giao công nghệ và các startup trong lĩnh vực AI.

04 - Nghĩa vụ minh bạch đối với nội dung do AI tạo ra

Công nghệ AI nay có thể tạo ra âm thanh, hình ảnh, video với độ chân thực cực cao - kéo theo rủi ro deepfake bị lợi dụng để phát tán thông tin sai lệch hoặc xâm phạm quyền cá nhân. Trước bối cảnh đó, Điều 11 của Luật quy định:

• Nội dung do AI tạo ra hoặc chỉnh sửa bắt buộc phải gắn nhãn nhận diện. Cụ thể, âm thanh, hình ảnh, video phải được gắn thông tin nhận diện ở định dạng máy có thể đọc được, thể hiện rõ đây là nội dung do AI tạo ra.
• Người dùng phải được thông báo rõ ràng khi họ đang tương tác với hệ thống AI.

05 - Những gợi ý thực tiễn cho doanh nghiệp

Để chuẩn bị cho việc thi hành Luật AI 2025, doanh nghiệp nên làm bốn việc:

• Xác định rõ mình thuộc chủ thể nào trong chuỗi giá trị AI (developer, provider, deployer, user)
• Rà soát toàn diện các hệ thống AI đang sử dụng trong doanh nghiệp để xác định rủi ro pháp lý
• Xây dựng cơ chế quản lý nội bộ - phân loại rủi ro AI, quản lý tài liệu kỹ thuật - chuẩn bị cho việc đáp ứng quy định trong tương lai
• Tận dụng các cơ chế hỗ trợ và sandbox do Chính phủ cung cấp như một chiến lược

Danh mục việc cần chuẩn bị (checklist)

• Rà soát các hệ thống AI công ty đang phát triển hoặc sử dụng để xác định mức độ rủi ro theo luật
• Xây dựng cơ chế tuân thủ nghĩa vụ minh bạch, đặc biệt với nội dung do AI tạo ra (chống deepfake)
• Đánh giá xem hoạt động của công ty có thuộc phạm vi điều chỉnh dù trụ sở ở nước ngoài hay không
• Tìm hiểu các ưu đãi đầu tư có thể áp dụng cho lĩnh vực AI
• Tham vấn luật sư trước ngày Luật AI có hiệu lực (1/3/2026) để chuẩn bị kịp thời