Bản tin pháp lý · 26.03.2025

Luật quản lý trí tuệ nhân tạo: ba mức rủi ro và nghĩa vụ

Nói luật quản lý trí tuệ nhân tạo ở Việt Nam là nói tới Luật Trí tuệ nhân tạo số 134/2025/QH15 (hiệu lực 01/3/2026) và Nghị định 142/2026/NĐ-CP (hiệu lực 01/5/2026). Cách quản của hai văn bản này gói trong một câu: quản theo mức rủi ro, doanh nghiệp tự phân loại, Nhà nước hậu kiể…

Luật sư UnilawThời gian đọc: 8 phút

Bởi Luật sư Nguyễn Như Hải – Công ty Luật UniLaw

Nói luật quản lý trí tuệ nhân tạo ở Việt Nam là nói tới Luật Trí tuệ nhân tạo số 134/2025/QH15 (hiệu lực 01/3/2026) và Nghị định 142/2026/NĐ-CP (hiệu lực 01/5/2026). Cách quản của hai văn bản này gói trong một câu: quản theo mức rủi ro, doanh nghiệp tự phân loại, Nhà nước hậu kiểm. Bài này chỉ ra hệ thống của bạn rơi vào mức nào và mức đó kéo theo nghĩa vụ gì.

Luật quản lý trí tuệ nhân tạo quản bằng ba mức rủi ro

Điều 9 của Luật chia ba mức. Khoản 1 Điều 10 buộc nhà cung cấp tự phân loại trước khi đưa hệ thống vào sử dụng và chịu trách nhiệm trước pháp luật về tính chính xác, trung thực của kết quả — đây là điểm khác biệt lớn nhất so với cơ chế cấp phép: không xin phép, nhưng tự chịu.

Rủi ro cao — nằm trong Danh mục của Thủ tướng, không phải tự đoán

Điểm a khoản 3 Điều 6 Nghị định 142/2026 chốt rất gọn: hệ thống rủi ro cao là hệ thống thuộc Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao do Thủ tướng Chính phủ ban hành. Không suy đoán, cứ tra Danh mục — đây là chỗ luật quản lý trí tuệ nhân tạo làm khác nhiều nước, dùng danh mục đóng thay vì tiêu chí mở.

Danh mục có hai phần (khoản 1 Điều 7): danh mục các hệ thống được xác định là rủi ro cao, và danh mục các hệ thống rủi ro cao phải chứng nhận sự phù hợp trước khi đưa vào sử dụng. Phần thứ hai nặng hơn hẳn vì phải do tổ chức đánh giá độc lập làm, chứ không được tự đánh giá.

Khoản 2 Điều 8 liệt kê bốn trường hợp không bị đề xuất đưa vào Danh mục, dù đáp ứng tiêu chí tác động:

Chỉ thu thập, xử lý, chuẩn hóa, phân loại, dịch thuật hoặc cải thiện chất lượng dữ liệu; không trực tiếp tạo lập quyết định ảnh hưởng quyền lợi.
Có cơ chế kỹ thuật và quy trình bảo đảm giám sát thực chất của con người — người có thẩm quyền xem xét độc lập, can thiệp, từ chối hoặc thay đổi quyết định của hệ thống trước khi quyết định đó có hiệu lực.
Chỉ phục vụ quản trị, vận hành nội bộ; không tác động tới quyền, nghĩa vụ hay lợi ích của người bên ngoài tổ chức.
Chỉ phân tích, dự báo, đánh giá, khuyến nghị mang tính tham khảo, và kết quả đầu ra không được dùng làm căn cứ duy nhất để ra quyết định cuối cùng.

Bốn lối ra này rất đáng đọc kỹ khi thiết kế hệ thống: giữ được một người thật xem xét trước khi quyết định có hiệu lực là đủ để thoát nhóm nặng nhất.

Rủi ro trung bình — và năm trường hợp KHÔNG phải rủi ro trung bình

Khoản 1 Điều 9 Nghị định 142/2026: rủi ro trung bình khi hệ thống đồng thời không thuộc Danh mục rủi ro cao và có khả năng gây nhầm lẫn, tác động hoặc thao túng do người dùng không nhận biết được mình đang tương tác với máy hoặc không nhận biết nội dung do máy tạo.

Khoản 3 Điều 9 liệt kê năm trường hợp không được xếp vào rủi ro trung bình:

Chỉ hỗ trợ chỉnh sửa kỹ thuật để cải thiện hình thức, không tạo nội dung mới và không thay đổi danh tính của chủ thể.
Hỗ trợ công việc văn phòng mà người dùng nhận biết rõ đây là công cụ AI qua bối cảnh sử dụng, và không có chức năng mô phỏng gây nhầm lẫn về danh tính hay tính xác thực.
Không tương tác, không cung cấp trực tiếp dịch vụ hoặc nội dung ra công chúng — kể cả qua bên thứ ba hay nền tảng trung gian.
Dùng trong nghệ thuật, điện ảnh, trò chơi điện tử hoặc sáng tạo khác, mà bối cảnh công bố thể hiện rõ nội dung mang tính hư cấu.
Chỉ xử lý, phân tích dữ liệu hoặc tối ưu vận hành trong hệ thống kỹ thuật; không tương tác trực tiếp với người dùng, không tạo nội dung ra công chúng, không điều khiển môi trường vật lý.

Phần lớn công cụ AI văn phòng mà doanh nghiệp đang dùng rơi vào trường hợp thứ hai hoặc thứ năm — tức là rủi ro thấp, nghĩa vụ rất nhẹ. Phân loại đúng ngay từ đầu là cách rẻ nhất để giảm chi phí tuân thủ luật quản lý trí tuệ nhân tạo.

Luật quản lý trí tuệ nhân tạo đặt nghĩa vụ gì cho mỗi mức

Rủi ro cao — hồ sơ phân loại; thông báo Bộ Khoa học và Công nghệ qua Cổng một cửa trước khi dùng (khoản 3 Điều 10 Luật); đánh giá sự phù hợp trước khi dùng (Điều 13); bảy nhóm trách nhiệm tại khoản 1 Điều 14; bị kiểm tra định kỳ hoặc khi có dấu hiệu vi phạm.
Rủi ro trung bình — hồ sơ phân loại và thông báo; nghĩa vụ minh bạch theo Điều 11; trách nhiệm giải trình khi được yêu cầu. Giám sát qua báo cáo, kiểm tra chọn mẫu hoặc đánh giá của tổ chức độc lập.
Rủi ro thấp — chỉ giải trình khi có dấu hiệu vi phạm. Điểm c khoản 5 Điều 10 Luật nói thẳng: theo dõi, kiểm tra khi có sự cố hoặc phản ánh, không làm phát sinh nghĩa vụ không cần thiết.

Hồ sơ phân loại gồm gì — và không gồm gì

Khoản 2 Điều 12 Nghị định 142/2026 yêu cầu bốn nhóm tài liệu: thông tin nhận diện hệ thống (tên, phiên bản, mã định danh, thông tin nhà cung cấp); mô tả hệ thống và bối cảnh sử dụng; mô tả khái quát loại dữ liệu đầu vào chủ yếu; và tóm tắt biện pháp quản lý rủi ro, bảo đảm an toàn, minh bạch.

Ba điều giảm gánh nặng đáng nhớ:

Khoản 4 Điều 12: không bắt buộc tiết lộ mã nguồn, bộ tham số mô hình, thuật toán chi tiết hay dữ liệu huấn luyện thô.
Khoản 3 Điều 12: nếu xây trên nền tảng của bên thứ ba, nhà cung cấp chỉ phải cung cấp thông tin trong phạm vi quyền tiếp cận hợp pháp của mình.
Khoản 7 Điều 12: nếu hệ thống có dùng dữ liệu cá nhân, Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân được dùng thay thế hoặc tích hợp làm thành phần hồ sơ phân loại — không phải làm hai bộ.

Hồ sơ phải lưu suốt thời gian hệ thống hoạt động (khoản 6 Điều 12).

Công cụ phân loại tự động: có, nhưng không bắt buộc

Điều 10 Nghị định 142/2026 giao Bộ Khoa học và Công nghệ lập Công cụ hỗ trợ phân loại rủi ro tự động trên Cổng một cửa. Khoản 2 nói rõ: nhà cung cấp không bắt buộc dùng, và cơ quan nhà nước không được đòi nộp kết quả từ công cụ này như thành phần hồ sơ bắt buộc trong bất kỳ thủ tục hành chính nào. Dùng thì kết quả được coi là tài liệu điện tử hợp lệ của hồ sơ.

Chưa xác định được mức rủi ro sau khi dùng công cụ thì có quyền đề nghị Bộ Khoa học và Công nghệ hướng dẫn trên cơ sở hồ sơ kỹ thuật (khoản 4 Điều 10 Luật).

Luật quản lý trí tuệ nhân tạo buộc phân loại lại khi nào

Khoản 1 Điều 11 Nghị định 142/2026 nêu bốn sự kiện: hệ thống thay đổi đáng kể chức năng, mục đích hoặc ngữ cảnh triển khai; xảy ra sự cố nghiêm trọng chứng minh rủi ro thực tế cao hơn mức đã phân loại; Thủ tướng sửa đổi Danh mục làm thay đổi mức rủi ro; hoặc có yêu cầu bằng văn bản của cơ quan có thẩm quyền.

Ba mốc cần nhớ:

Phân loại lại ra mức cao hơn thì phải thông báo trong 15 ngày làm việc kể từ ngày hoàn thành rà soát, và áp dụng ngay biện pháp tương ứng.
Danh mục của Thủ tướng sửa đổi khiến hệ thống thành rủi ro cao thì được chuyển tiếp tối đa 12 tháng.
Khoản 4 Điều 11: nâng cấp, tối ưu hiệu suất, sửa lỗi kỹ thuật thông thường hoặc cập nhật dữ liệu định kỳ thì không phải rà soát và thông báo lại, miễn không đổi bản chất rủi ro.

Tránh kiểm tra chồng chéo

Khoản 6 Điều 5 Nghị định 142/2026 đặt nguyên tắc không trùng lặp giữa cơ quan quản lý về trí tuệ nhân tạo và cơ quan quản lý chuyên ngành trong phân loại, đánh giá sự phù hợp và kiểm tra. Kết quả thử nghiệm, kiểm định, chứng nhận hợp quy đã có được sử dụng lại; chỉ phải bổ sung phần chưa được đánh giá (khoản 7 Điều 5). Đây là lập luận nên dùng khi bị yêu cầu làm lại một bước đã làm theo pháp luật chuyên ngành.

Ba việc nên làm trước hai mốc của luật quản lý trí tuệ nhân tạo

Lập danh sách hệ thống AI đang dùng, với mỗi hệ thống ghi rõ doanh nghiệp là nhà phát triển, nhà cung cấp hay bên triển khai theo Điều 3.
Đối chiếu từng hệ thống với Danh mục của Thủ tướng, rồi với khoản 3 Điều 9 Nghị định 142/2026 để loại bớt xuống rủi ro thấp.
Dựng hồ sơ phân loại cho hệ thống rủi ro cao và trung bình, tận dụng hồ sơ đánh giá tác động dữ liệu cá nhân đã có.

Hạn chót theo khoản 1 Điều 35 của Luật: 01/9/2027 với y tế, giáo dục, tài chính và 01/3/2027 với các lĩnh vực còn lại.

Xem thêm bản án và bình luận án tại case.unilaw.vn.