Luật Trí tuệ nhân tạo 2025 là gì và áp dụng cho ai?
Luật Trí tuệ nhân tạo số 134/2025/QH15 được Quốc hội khóa XV thông qua ngày 10/12/2025 và có hiệu lực từ ngày 01/3/2026 (Điều 34). Luật gồm 8 chương, 35 điều, điều chỉnh việc nghiên cứu, phát triển, cung cấp, triển khai và sử dụng hệ thống AI tại Việt Nam; hoạt động AI chỉ phục vụ quốc phòng, an ninh, cơ yếu nằm ngoài phạm vi (Điều 1).
Đối tượng áp dụng rất rộng: cơ quan, tổ chức, cá nhân Việt Nam và tổ chức, cá nhân nước ngoài tham gia hoạt động AI tại Việt Nam (Điều 2). Vì vậy, doanh nghiệp chỉ mua công cụ AI có sẵn để phục vụ khách hàng cũng có thể có nghĩa vụ, không riêng công ty phát triển mô hình.
Đến tháng 10/2026 đã có thêm Nghị định 142/2026/NĐ-CP (ban hành 30/4/2026, hiệu lực 01/5/2026) quy định chi tiết luật và Quyết định 33/2026/QĐ-TTg (ký 30/6/2026, hiệu lực 15/8/2026) ban hành Danh mục hệ thống AI có rủi ro cao. Bài viết trích dẫn chủ yếu từ luật; điểm nào thuộc nghị định, quyết định đều ghi rõ nguồn.
Bốn vai trò cần xác định trước tiên
Nghĩa vụ trong luật gắn với vai trò, không gắn với quy mô doanh nghiệp. Điều 3 định nghĩa:
- Nhà phát triển: thiết kế, xây dựng, huấn luyện, kiểm thử hoặc tinh chỉnh mô hình, thuật toán, hệ thống AI và có quyền kiểm soát trực tiếp phương pháp kỹ thuật, dữ liệu huấn luyện hoặc tham số mô hình (khoản 3).
- Nhà cung cấp: đưa hệ thống AI ra thị trường hoặc vào sử dụng dưới tên, thương hiệu của mình, bất kể tự phát triển hay do bên thứ ba phát triển (khoản 4).
- Bên triển khai: sử dụng hệ thống AI thuộc phạm vi kiểm soát của mình trong hoạt động nghề nghiệp, thương mại hoặc cung cấp dịch vụ; không gồm sử dụng cá nhân, phi thương mại (khoản 5).
- Người sử dụng: trực tiếp tương tác với hệ thống AI hoặc dùng kết quả đầu ra (khoản 6).
Nguyên tắc nền tảng: con người kiểm soát, AI không thay trách nhiệm
Điều 4 đặt ra bốn nguyên tắc. Quan trọng nhất với người làm hệ thống là khoản 2: AI phục vụ con người, không thay thế thẩm quyền và trách nhiệm của con người; phải duy trì sự kiểm soát và khả năng can thiệp của con người đối với mọi quyết định, hành vi của hệ thống, cùng an toàn hệ thống, an ninh dữ liệu và khả năng kiểm tra, giám sát.
Các khoản còn lại yêu cầu lấy con người làm trung tâm, bảo đảm quyền riêng tư (khoản 1); công bằng, minh bạch, có trách nhiệm giải trình (khoản 3); và phát triển AI xanh (khoản 4).
Về kỹ thuật, nguyên tắc này nghĩa là: có điểm dừng để người duyệt trước hành động quan trọng, có nút tắt hoặc cơ chế ghi đè, và có nhật ký cho biết ai đã quyết định gì, đúng tinh thần mô hình human-in-the-loop.
Phân loại rủi ro: hệ thống AI của bạn thuộc nhóm nào?
Chương II (Điều 9–15) là phần cần đọc kỹ nhất. Điều 9 chia hệ thống AI thành ba mức rủi ro, dựa trên mức tác động đến quyền con người, an toàn, an ninh, lĩnh vực sử dụng (đặc biệt lĩnh vực thiết yếu) và phạm vi ảnh hưởng (khoản 2).
| Mức rủi ro | Định nghĩa (Điều 9) | Nghĩa vụ chính | Hình thức giám sát (Điều 10 khoản 5) |
|---|---|---|---|
| Cao | Có thể gây thiệt hại đáng kể đến tính mạng, sức khỏe, quyền và lợi ích hợp pháp, lợi ích quốc gia, công cộng, an ninh quốc gia | Hồ sơ phân loại, thông báo Bộ KH&CN, đánh giá sự phù hợp trước khi dùng (Điều 13), quản lý rủi ro, hồ sơ kỹ thuật, nhật ký, giám sát của con người (Điều 14) | Kiểm tra định kỳ hoặc khi có dấu hiệu vi phạm |
| Trung bình | Có khả năng gây nhầm lẫn, tác động hoặc thao túng người dùng do họ không nhận biết đang tương tác với AI hoặc nội dung do AI tạo | Hồ sơ phân loại, thông báo Bộ KH&CN, minh bạch theo Điều 11, giải trình khi được yêu cầu (Điều 15 khoản 1) | Báo cáo, kiểm tra chọn mẫu hoặc đánh giá độc lập |
| Thấp | Không thuộc hai trường hợp trên | Giải trình khi có dấu hiệu vi phạm hoặc ảnh hưởng đến quyền lợi (Điều 15 khoản 2); khuyến khích công khai thông tin cơ bản | Theo dõi khi có sự cố, phản ánh |
Ai phân loại và khi nào phải thông báo
Nhà cung cấp tự phân loại trước khi đưa hệ thống vào sử dụng; hệ thống rủi ro trung bình hoặc cao phải có hồ sơ phân loại (Điều 10 khoản 1) và phải thông báo kết quả cho Bộ Khoa học và Công nghệ qua Cổng thông tin điện tử một cửa về AI trước khi đưa vào sử dụng (khoản 3). Nếu chưa xác định được mức rủi ro, nhà cung cấp có thể đề nghị Bộ hướng dẫn dựa trên hồ sơ kỹ thuật (khoản 4).
Bên triển khai được kế thừa kết quả phân loại của nhà cung cấp, nhưng nếu sửa đổi, tích hợp hoặc thay đổi chức năng làm phát sinh rủi ro mới hoặc cao hơn thì phải phối hợp phân loại lại (Điều 10 khoản 2). Điểm này dễ bị bỏ sót: khi nối một mô hình ngôn ngữ vào dữ liệu khách hàng và cho nó tự ra quyết định, bạn có thể đã tạo ra hệ thống có mức rủi ro khác sản phẩm gốc.
Danh mục rủi ro cao đã được ban hành
Quyết định 33/2026/QĐ-TTg xếp 46 hệ thống AI vào nhóm rủi ro cao trong 6 lĩnh vực: giáo dục; dân tộc và tôn giáo; y tế; ngân hàng; tố tụng; giao thông vận tải. Ví dụ trong giáo dục có hệ thống AI tự động kiểm tra, đánh giá kết quả, xếp hạng người học và hệ thống AI giám sát, phân tích hành vi người học; trong ngân hàng có hệ thống AI tự động quyết định cấp tín dụng.
Nếu sản phẩm của bạn chạm tới các nghiệp vụ này, hãy đọc nguyên văn phụ lục của quyết định thay vì dựa vào bản tóm tắt.
Nghĩa vụ của nhà cung cấp và bên triển khai hệ thống AI rủi ro cao
Điều 14 tách bạch trách nhiệm giữa nhà cung cấp và bên triển khai:
| Nhà cung cấp (Điều 14 khoản 1) | Bên triển khai (Điều 14 khoản 2) |
|---|---|
| Thiết lập, duy trì và rà soát biện pháp quản lý rủi ro khi hệ thống thay đổi đáng kể (điểm a) | Vận hành, giám sát đúng mục đích, phạm vi và mức rủi ro đã phân loại, không làm phát sinh rủi ro mới (điểm a) |
| Quản trị dữ liệu huấn luyện, kiểm thử và vận hành bảo đảm chất lượng (điểm b) | Bảo đảm an toàn, bảo mật dữ liệu và khả năng can thiệp của con người khi sử dụng (điểm b) |
| Lập, cập nhật, lưu giữ hồ sơ kỹ thuật và nhật ký hoạt động (điểm c) | Duy trì tuân thủ tiêu chuẩn, quy chuẩn kỹ thuật về AI khi vận hành (điểm c) |
| Thiết kế hệ thống bảo đảm khả năng giám sát và can thiệp của con người (điểm d) | Thực hiện minh bạch và xử lý sự cố theo Điều 11, 12 (điểm d) |
| Minh bạch, xử lý sự cố; giải trình với cơ quan nhà nước và cung cấp thông tin cho người dùng, người bị ảnh hưởng (điểm đ, e) | Giải trình về vận hành, kiểm soát rủi ro, xử lý sự cố; cung cấp thông tin cho người dùng, người bị ảnh hưởng (điểm đ) |
| Phối hợp kiểm tra, hậu kiểm, khắc phục sự cố (điểm g) | Phối hợp với nhà cung cấp và cơ quan nhà nước (điểm e) |
Những điểm đáng chú ý khác
- Giải trình không bắt buộc tiết lộ mã nguồn, thuật toán chi tiết, bộ tham số hoặc bí mật kinh doanh (Điều 14 khoản 1 điểm e; Điều 15 khoản 1 điểm b).
- Hệ thống rủi ro cao phải được đánh giá sự phù hợp trước khi đưa vào sử dụng hoặc khi có thay đổi đáng kể; hệ thống thuộc danh mục bắt buộc chứng nhận do tổ chức đánh giá được đăng ký thực hiện, các hệ thống khác nhà cung cấp tự đánh giá hoặc thuê tổ chức đánh giá (Điều 13).
- Nhà cung cấp nước ngoài có hệ thống rủi ro cao phải có đầu mối liên hệ hợp pháp tại Việt Nam (Điều 14 khoản 6).
- Nếu hệ thống rủi ro cao được vận hành đúng quy định mà vẫn gây thiệt hại, bên triển khai bồi thường cho người bị thiệt hại trước, sau đó có thể yêu cầu nhà cung cấp, nhà phát triển hoàn trả nếu các bên có thỏa thuận (Điều 29 khoản 2). Vì vậy điều khoản hoàn trả trong hợp đồng mua giải pháp AI rất quan trọng.
Minh bạch và gắn nhãn nội dung do AI tạo
Điều 11 áp dụng cả cho hệ thống rủi ro trung bình, nên đây thường là nghĩa vụ đầu tiên doanh nghiệp dùng chatbot, trợ lý ảo hay công cụ tạo nội dung phải đáp ứng.
- Nhà cung cấp bảo đảm hệ thống AI tương tác trực tiếp với con người được thiết kế để người dùng nhận biết họ đang tương tác với AI (khoản 1).
- Nhà cung cấp bảo đảm âm thanh, hình ảnh, video do AI tạo ra được đánh dấu ở định dạng máy đọc được (khoản 2).
- Bên triển khai phải thông báo rõ khi cung cấp ra công chúng văn bản, âm thanh, hình ảnh, video do AI tạo hoặc chỉnh sửa nếu nội dung có thể gây nhầm lẫn về tính xác thực của sự kiện, nhân vật (khoản 3).
- Bên triển khai phải gắn nhãn dễ nhận biết cho nội dung AI mô phỏng ngoại hình, giọng nói người thật hoặc tái hiện sự kiện thực tế; tác phẩm điện ảnh, nghệ thuật được gắn nhãn theo cách phù hợp (khoản 4).
- Cả hai bên phải duy trì thông tin minh bạch trong suốt quá trình cung cấp (khoản 5).
Nghị định 142/2026/NĐ-CP nói gì thêm
Theo phân tích của hãng luật Atsumi & Sakai, Điều 18 Nghị định 142 yêu cầu bên triển khai gắn nhãn hiển thị cho âm thanh, hình ảnh, video do AI tạo hoặc chỉnh sửa khi nội dung mô phỏng ngoại hình, giọng nói người thật hoặc tái hiện sự kiện thực tế, đồng thời miễn trừ một số trường hợp như chỉnh sửa kỹ thuật, xử lý văn bản, sử dụng nội bộ, nghiên cứu và thử nghiệm (Điều 18 khoản 4). Quy trình kiểm duyệt cụ thể được trình bày trong bài dán nhãn nội dung do AI tạo.
Hành vi bị nghiêm cấm và xử lý sự cố nghiêm trọng
Điều 7 liệt kê sáu nhóm hành vi bị nghiêm cấm. Với doanh nghiệp, ba nhóm đáng lưu ý nhất là:
- Dùng yếu tố giả mạo, mô phỏng người hoặc sự kiện thật để lừa dối, thao túng nhận thức, hành vi con người một cách có chủ đích, có hệ thống, gây tổn hại nghiêm trọng (khoản 2 điểm b); lợi dụng điểm yếu của nhóm dễ bị tổn thương như trẻ em, người cao tuổi, người khuyết tật (khoản 2 điểm c).
- Thu thập, xử lý, sử dụng dữ liệu để phát triển, huấn luyện, kiểm thử hoặc vận hành AI trái với pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ và an ninh mạng (khoản 3).
- Cản trở, vô hiệu hóa hoặc làm sai lệch cơ chế giám sát, can thiệp và kiểm soát của con người (khoản 4); che giấu thông tin bắt buộc công khai, tẩy xóa hoặc làm sai lệch nhãn, cảnh báo bắt buộc (khoản 5).
Xử lý sự cố
Khi xảy ra sự cố nghiêm trọng, nhà phát triển, nhà cung cấp phải khẩn trương khắc phục, tạm dừng hoặc thu hồi hệ thống và thông báo cơ quan có thẩm quyền; bên triển khai và người sử dụng phải ghi nhận, thông báo kịp thời và phối hợp khắc phục (Điều 12 khoản 2). Theo Atsumi & Sakai, Điều 19 Nghị định 142 đặt thời hạn báo cáo sơ bộ trong 72 giờ với sự cố khẩn cấp, mất kiểm soát và 5 ngày làm việc với các sự cố nghiêm trọng còn lại.
Khi thanh tra, kiểm tra, tổ chức phải cung cấp hồ sơ kỹ thuật, nhật ký lưu vết, dữ liệu huấn luyện và thông tin cần thiết khác (Điều 28 khoản 3). Không có nhật ký, doanh nghiệp rất khó chứng minh mình vận hành đúng.
Thời hạn chuyển tiếp: hệ thống AI đang chạy phải tuân thủ khi nào?
Với hệ thống AI đã hoạt động trước 01/3/2026, Điều 35 cho nhà cung cấp và bên triển khai thời hạn tuân thủ: 18 tháng kể từ ngày luật có hiệu lực với hệ thống trong lĩnh vực y tế, giáo dục và tài chính; 12 tháng với các lĩnh vực khác. Trong thời hạn này hệ thống được tiếp tục hoạt động, trừ khi cơ quan quản lý xác định có nguy cơ gây thiệt hại nghiêm trọng (Điều 35 khoản 2).
Riêng các hệ thống thuộc Danh mục rủi ro cao đã hoạt động trước 15/8/2026, Quyết định 33/2026/QĐ-TTg đặt lộ trình hoàn thành nghĩa vụ trước 01/9/2027 với lĩnh vực y tế, giáo dục, tài chính và trước 01/3/2027 với các lĩnh vực còn lại trong danh mục.
| Mốc | Nội dung |
|---|---|
| 10/12/2025 | Quốc hội thông qua Luật Trí tuệ nhân tạo |
| 01/3/2026 | Luật có hiệu lực (Điều 34) |
| 01/5/2026 | Nghị định 142/2026/NĐ-CP có hiệu lực |
| 15/8/2026 | Danh mục hệ thống AI rủi ro cao (Quyết định 33/2026/QĐ-TTg) có hiệu lực |
| 01/3/2027 | Hết thời hạn 12 tháng theo Điều 35 cho hệ thống ngoài y tế, giáo dục, tài chính; hạn của hệ thống rủi ro cao trong danh mục thuộc lĩnh vực khác |
| 01/9/2027 | Hết thời hạn 18 tháng cho hệ thống trong y tế, giáo dục, tài chính; hạn của hệ thống rủi ro cao trong danh mục thuộc ba lĩnh vực này |
Checklist kỹ thuật: doanh nghiệp cần chuẩn bị gì ngay
Luật đặt yêu cầu ở mức nguyên tắc; việc thực tế nằm ở kiến trúc hệ thống và quy trình vận hành. Danh sách dưới đây là gợi ý của EYC dựa trên các điều đã dẫn, không thay thế ý kiến luật sư.
1. Kiểm kê và phân loại
- Lập danh sách mọi hệ thống AI đang dùng (chatbot, trợ lý nội bộ, AI Agent, công cụ tạo nội dung, mô hình chấm điểm) và vai trò của doanh nghiệp với từng hệ thống.
- Tự đánh giá mức rủi ro theo Điều 9 và đối chiếu với Danh mục tại Quyết định 33/2026/QĐ-TTg; lưu lại lập luận phân loại.
- Đánh dấu các tích hợp hoặc tùy biến có thể làm tăng rủi ro so với sản phẩm gốc (Điều 10 khoản 2).
2. Nhật ký và truy vết
- Ghi nhật ký đầu vào, đầu ra, phiên bản mô hình, công cụ được gọi và người phê duyệt cho quyết định quan trọng (Điều 14 khoản 1 điểm c, Điều 28 khoản 3).
- Phân quyền rõ ràng cho AI Agent và lưu nhật ký kiểm toán; xem thêm phân quyền và nhật ký kiểm toán cho AI Agent.
- Xác định thời gian lưu trữ nhật ký phù hợp với pháp luật về dữ liệu cá nhân.
3. Con người kiểm soát
- Đặt bước duyệt của con người trước hành động có hệ quả: gửi thông tin ra ngoài, thay đổi dữ liệu, ra quyết định về con người.
- Có cơ chế tạm dừng, ghi đè và quay lui; kiểm thử định kỳ rằng cơ chế này hoạt động (Điều 4 khoản 2, Điều 7 khoản 4).
- Chỉ định người chịu trách nhiệm cho từng hệ thống.
4. Minh bạch với người dùng
- Thông báo rõ khi khách hàng đang trò chuyện với AI (Điều 11 khoản 1).
- Gắn nhãn nội dung AI mô phỏng người thật hoặc sự kiện thật; giữ nguyên siêu dữ liệu đánh dấu máy đọc nếu công cụ có hỗ trợ (Điều 11 khoản 2, 4).
- Chuẩn bị tài liệu mô tả chức năng, cách vận hành và cảnh báo rủi ro.
5. Hồ sơ, dữ liệu và hợp đồng
- Lưu hồ sơ kỹ thuật: mục đích, nguồn dữ liệu chính, kết quả kiểm thử, biện pháp kiểm soát rủi ro.
- Rà soát cơ sở pháp lý của dữ liệu dùng cho AI theo pháp luật bảo vệ dữ liệu cá nhân; xem Luật Bảo vệ dữ liệu cá nhân 2025 và nền tảng quản trị dữ liệu.
- Bổ sung vào hợp đồng với nhà cung cấp AI: kết quả phân loại, nghĩa vụ hỗ trợ giải trình, thông báo sự cố và điều khoản hoàn trả bồi thường (Điều 29 khoản 2).
- Xây quy trình phản ứng sự cố có đầu mối, mẫu báo cáo và thời hạn nội bộ ngắn hơn thời hạn pháp lý.
EYC hỗ trợ được gì
Trong dịch vụ tư vấn và tích hợp hệ thống, EYC có thể cùng đội ngũ của bạn kiểm kê các luồng AI, thiết kế nhật ký, phân quyền, điểm duyệt của con người và chuẩn bị tài liệu kỹ thuật cho bộ phận pháp chế. Phạm vi và trách nhiệm được xác định theo thỏa thuận trong hợp đồng. EYC không cung cấp dịch vụ tư vấn pháp lý.
EYC cũng phát triển Early Years Circle, nền tảng cho trường mầm non; vì giáo dục có thời hạn chuyển tiếp riêng và có hệ thống trong Danh mục rủi ro cao, chúng tôi theo dõi sát các quy định này.
Câu hỏi thường gặp
Luật Trí tuệ nhân tạo 2025 có hiệu lực từ khi nào?
Luật 134/2025/QH15 có hiệu lực từ ngày 01/3/2026 (Điều 34). Hệ thống AI đã hoạt động trước ngày này có 18 tháng để tuân thủ nếu thuộc y tế, giáo dục, tài chính và 12 tháng với lĩnh vực khác (Điều 35).
Doanh nghiệp chỉ dùng ChatGPT hay công cụ AI có sẵn có phải tuân thủ Luật AI không?
Có thể có. Dùng hệ thống AI trong hoạt động nghề nghiệp, thương mại hoặc cung cấp dịch vụ khiến doanh nghiệp trở thành bên triển khai (Điều 3 khoản 5), với các nghĩa vụ như thông báo, gắn nhãn nội dung AI (Điều 11 khoản 3, 4) và giải trình khi được yêu cầu (Điều 15). Nếu gắn thương hiệu của mình lên hệ thống AI để cung cấp cho khách hàng, bạn có thể trở thành nhà cung cấp.
Hệ thống AI rủi ro cao gồm những loại nào?
Điều 9 định nghĩa rủi ro cao là hệ thống có thể gây thiệt hại đáng kể đến tính mạng, sức khỏe, quyền và lợi ích hợp pháp, lợi ích quốc gia, công cộng. Danh mục cụ thể nằm ở Quyết định 33/2026/QĐ-TTg, gồm 46 hệ thống trong 6 lĩnh vực: giáo dục, dân tộc và tôn giáo, y tế, ngân hàng, tố tụng, giao thông vận tải.
Nội dung do AI tạo ra có bắt buộc gắn nhãn không?
Có, trong nhiều trường hợp. Theo Điều 11, bên triển khai phải thông báo rõ khi đưa ra công chúng nội dung AI có thể gây nhầm lẫn về tính xác thực và phải gắn nhãn dễ nhận biết cho âm thanh, hình ảnh, video mô phỏng người thật hoặc sự kiện thực tế; nhà cung cấp phải đánh dấu nội dung đó ở định dạng máy đọc. Nghị định 142/2026/NĐ-CP quy định chi tiết và các trường hợp miễn trừ.
Vi phạm Luật Trí tuệ nhân tạo bị xử lý thế nào?
Tùy tính chất, mức độ, tổ chức, cá nhân có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự, và phải bồi thường nếu gây thiệt hại (Điều 29 khoản 1). Mức phạt hành chính cụ thể do Chính phủ quy định (Điều 29 khoản 5).
Cơ quan nào quản lý nhà nước về trí tuệ nhân tạo?
Chính phủ thống nhất quản lý; Bộ Khoa học và Công nghệ là cơ quan đầu mối trên phạm vi cả nước; các bộ, ngành phối hợp và UBND cấp tỉnh quản lý tại địa phương (Điều 30 khoản 2).