Luật AI Việt Nam: hồ sơ trước khi chạy hệ thống rủi ro cao

Doanh nghiệp đưa hệ thống AI vào sử dụng tại Việt Nam cần xác định mình là nhà cung cấp hay bên triển khai, phân loại rủi ro và chuẩn bị bằng chứng an toàn trước khi vận hành. Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ ngày 1/3/2026; hệ thống rủi ro cao phải được đánh giá sự phù hợp trước khi đưa vào sử dụng, còn nhà cung cấp phải lập và lưu hồ sơ kỹ thuật, nhật ký hoạt động để phục vụ kiểm tra.

Nhà cung cấp hệ thống rủi ro trung bình hoặc cao phải lập hồ sơ và thông báo kết quả phân loại trước khi sử dụng. Với hệ thống rủi ro cao, nhà cung cấp cần xác định thêm liệu mình được tự đánh giá sự phù hợp hay phải thuê tổ chức đủ điều kiện chứng nhận. Nghị định 142/2026/NĐ-CP quy định thành phần hồ sơ, cách thông báo và phương thức đánh giá; việc thông báo được ghi nhận để hậu kiểm, không phải thủ tục chờ cơ quan quản lý phê duyệt từng hệ thống.

Trước hết, xác định ai chịu nghĩa vụ

Nhà phát triển thiết kế, huấn luyện, kiểm thử hoặc tinh chỉnh công nghệ và kiểm soát trực tiếp một phần phương pháp kỹ thuật, dữ liệu hay tham số. Nhà cung cấp đưa hệ thống ra thị trường hoặc vào sử dụng dưới tên, thương hiệu của mình, kể cả khi công nghệ do bên khác phát triển. Bên triển khai dùng hệ thống trong hoạt động nghề nghiệp, thương mại hoặc cung cấp dịch vụ thuộc phạm vi kiểm soát của mình. Một doanh nghiệp có thể giữ nhiều vai trò đối với cùng một hệ thống.

Hãy ghi theo từng hệ thống ai đứng tên cung cấp, ai quyết định mục đích sử dụng, ai vận hành và ai có quyền thay đổi chức năng. Nếu doanh nghiệp mua mô hình rồi tích hợp vào dịch vụ mang thương hiệu riêng, trách nhiệm của nhà cung cấp không biến mất chỉ vì có đối tác công nghệ ở phía sau. Việc phân vai cũng giúp bên triển khai biết phải yêu cầu nhà cung cấp bàn giao thông tin nào về giới hạn sử dụng, rủi ro đã nhận diện và điều kiện vận hành an toàn.

Phân loại theo mục đích và cách dùng

Hệ thống được chia thành rủi ro cao, trung bình hoặc thấp. Nhóm cao có khả năng gây thiệt hại đáng kể cho tính mạng, sức khỏe, quyền và lợi ích hợp pháp hoặc lợi ích công cộng. Nhóm trung bình có thể khiến người dùng nhầm lẫn, bị tác động hoặc thao túng vì không nhận biết mình đang tương tác với AI hay tiếp nhận nội dung do AI tạo ra. Những hệ thống không thuộc hai nhóm đó là rủi ro thấp.

Đừng phân loại chỉ theo tên mô hình. Cần ghi hệ thống tạo đầu ra gì, đầu ra đó có trở thành căn cứ trực tiếp cho quyết định hay không, ai chịu tác động, mức tự động hóa và khả năng con người can thiệp. Một công cụ gợi ý để nhân viên tham khảo và một hệ thống tự động quyết định quyền tiếp cận dịch vụ có thể dùng công nghệ tương tự nhưng tạo ra rủi ro khác nhau. Nhà cung cấp tự phân loại trước khi đưa hệ thống vào sử dụng; bên triển khai phải phối hợp phân loại lại nếu sửa đổi, tích hợp hoặc đổi mục đích khiến rủi ro mới xuất hiện hay tăng lên.

Danh mục rủi ro cao được Bộ Khoa học và Công nghệ giới thiệu có hiệu lực từ ngày 15/8/2026 và bao gồm các trường hợp trong giáo dục, y tế, ngân hàng, tố tụng, giao thông vận tải cùng lĩnh vực dân tộc và tôn giáo. Với hệ thống thuộc danh mục đã hoạt động trước ngày đó, hạn hoàn thành nghĩa vụ là trước ngày 1/9/2027 trong y tế, giáo dục và tài chính, hoặc trước ngày 1/3/2027 ở các lĩnh vực còn lại. Doanh nghiệp cần đối chiếu điều kiện của đúng trường hợp sử dụng, gồm cả việc kết quả AI có được con người kiểm tra trước khi tạo tác động hay không.

Hồ sơ nào cần có trước khi vận hành?

Với rủi ro trung bình và cao, hồ sơ phân loại phải nhận diện hệ thống và phiên bản, nhà cung cấp, mục đích, chức năng, phạm vi triển khai, nhóm người sử dụng và người bị ảnh hưởng. Hồ sơ còn cần mô tả khái quát dữ liệu đầu vào chủ yếu và các biện pháp quản lý rủi ro, an toàn, minh bạch. Nhà cung cấp và bên triển khai phải lưu hồ sơ phân loại trong suốt thời gian hệ thống hoạt động; không phải giao nộp mã nguồn, tham số mô hình hay dữ liệu huấn luyện thô chỉ để đáp ứng yêu cầu thông thường về hồ sơ này.

Hệ thống rủi ro cao cần thêm kết quả đánh giá sự phù hợp trước khi được sử dụng. Nếu trường hợp đó thuộc danh mục bắt buộc chứng nhận, tổ chức đánh giá sự phù hợp đủ điều kiện phải thực hiện việc đánh giá. Với các trường hợp rủi ro cao khác, nhà cung cấp được tự đánh giá hoặc thuê tổ chức đánh giá; khi tự đánh giá, họ phải lập hồ sơ kỹ thuật và chịu trách nhiệm về kết quả. Thông tin về kết quả đánh giá phải được công khai theo cơ chế quy định trước khi hệ thống đi vào sử dụng.

Để hồ sơ phục vụ được hậu kiểm, doanh nghiệp nên nối từng rủi ro với biện pháp kiểm soát và bằng chứng tương ứng: phiên bản đã đánh giá, điều kiện kiểm thử, kết quả thử, giới hạn sử dụng, nhật ký vận hành, sự cố và cách khắc phục. Đây là cách sắp xếp công việc nội bộ, không phải một biểu mẫu pháp lý mới. Kết quả kiểm định hoặc đánh giá hợp lệ theo quy định chuyên ngành có thể được dùng cho phần yêu cầu tương ứng đã được đánh giá, giúp tránh làm lại cùng một nội dung.

Giám sát của con người phải hoạt động được

Với hệ thống rủi ro cao, nhà cung cấp phải thiết kế khả năng giám sát và can thiệp; bên triển khai phải duy trì khả năng ấy trong quá trình sử dụng. Quy trình cần chỉ rõ người nào được xem kết quả, nhận diện sai lệch, bác bỏ đầu ra hoặc dừng cách sử dụng gây rủi ro. Người chịu trách nhiệm cũng cần biết giới hạn của hệ thống và có đủ thông tin để không biến việc phê duyệt của con người thành thao tác hình thức.

Nhật ký nên cho thấy phiên bản và cấu hình đang chạy, thời điểm phát sinh kết quả bất thường, người đã can thiệp và quyết định xử lý. Nếu đổi chức năng chính, mô hình, nguồn dữ liệu hoặc môi trường tích hợp theo cách ảnh hưởng đáng kể đến rủi ro hay kết quả đánh giá ban đầu, nhà cung cấp phải đánh giá lại sự phù hợp. Việc sửa lỗi thông thường hoặc cập nhật dữ liệu định kỳ không tự động trở thành thay đổi đáng kể khi không làm đổi bản chất rủi ro.

Minh bạch nội dung và xử lý sự cố

Hệ thống tương tác trực tiếp với con người phải giúp người dùng nhận biết họ đang tương tác với AI. Nhà cung cấp phải đánh dấu âm thanh, hình ảnh hoặc video do AI tạo ở định dạng máy đọc. Khi đưa ra công chúng nội dung do AI tạo hoặc chỉnh sửa có thể gây nhầm lẫn về tính xác thực của sự kiện, nhân vật, bên triển khai phải thông báo rõ; nội dung mô phỏng người thật hoặc tái hiện sự kiện thực tế còn cần nhãn dễ nhận biết trong trường hợp luật quy định.

Doanh nghiệp có thể lưu mẫu thông báo, nhãn và bằng chứng chúng xuất hiện trên kênh phát hành tương ứng. Khi có sự cố nghiêm trọng, bên triển khai và người sử dụng phải ghi nhận, thông báo kịp thời và phối hợp khắc phục; nhà phát triển, nhà cung cấp phải áp dụng biện pháp kỹ thuật cần thiết, kể cả tạm dừng hoặc thu hồi hệ thống theo trường hợp. Với hệ thống rủi ro cao, thỏa thuận vận hành nên xác định trước ai tiếp nhận cảnh báo, ai có quyền dừng hệ thống và thông tin nào phải chuyển giữa nhà cung cấp với bên triển khai.

Đọc thêm: