Trí tuệ nhân tạo

Theo Luật Trí tuệ nhân tạo 2025, bị thanh tra về AI thì doanh nghiệp phải cung cấp những gì?

01/08/2026
3 lượt xem
0 bình luận

Hồ sơ kỹ thuật, nhật ký lưu vết, dữ liệu huấn luyện và thông tin cần thiết khác — nhưng Điều 31 đặt ba giới hạn bảo vệ bí mật kinh doanh và bí mật công nghệ.

Câu hỏi thực tế của doanh nghiệp khi chuẩn bị tuân thủ Luật Trí tuệ nhân tạo 134/2025/QH15: khi bị kiểm tra, mình phải mở đến đâu. Điều 28 và Điều 31 trả lời từ hai phía — nghĩa vụ cung cấp và giới hạn của việc yêu cầu.

Cơ sở của hoạt động thanh tra, kiểm tra

Khoản 1 Điều 28 quy định: hoạt động thanh tra trong lĩnh vực trí tuệ nhân tạo được thực hiện theo quy định của pháp luật về thanh tra.

Khoản 2 Điều 28 quy định: cơ quan, tổ chức được giao thực hiện chức năng quản lý nhà nước về trí tuệ nhân tạo có trách nhiệm kiểm tra việc tuân thủ pháp luật của tổ chức, cá nhân trong hoạt động trí tuệ nhân tạo.

Cần phân biệt hai hoạt động: thanh tra theo pháp luật về thanh tra, và kiểm tra việc tuân thủ do cơ quan quản lý thực hiện. Hai hoạt động này có trình tự, thủ tục khác nhau.

Bên cạnh đó, khoản 5 Điều 10 Luật 134/2025/QH15 quy định chế độ kiểm tra, giám sát theo mức rủi ro: hệ thống rủi ro cao được kiểm tra định kỳ hoặc khi có dấu hiệu vi phạm; hệ thống rủi ro trung bình được giám sát thông qua báo cáo, kiểm tra chọn mẫu hoặc đánh giá của tổ chức độc lập; hệ thống rủi ro thấp được theo dõi, kiểm tra khi có sự cố, phản ánh hoặc khi cần bảo đảm an toàn.

Bốn loại tài liệu phải cung cấp — khoản 3 Điều 28

Khoản 3 Điều 28 quy định: trong quá trình thanh tra, kiểm tra, tổ chức, cá nhân liên quan có nghĩa vụ cung cấp:

Hồ sơ kỹ thuật;
Nhật ký lưu vết;
Dữ liệu huấn luyện;
Thông tin cần thiết khác.

Mục đích được nêu rõ: để xác định nguyên nhân vi phạm, sự cố hoặc phân định trách nhiệm.

Ba mục đích này đáng chú ý, đặc biệt mục đích cuối — phân định trách nhiệm. Nó liên quan tới cơ chế bồi thường tại Điều 29, nơi bên triển khai bồi thường trước rồi yêu cầu nhà cung cấp, nhà phát triển hoàn trả nếu có thỏa thuận. Việc phân định trách nhiệm dựa trên chính các tài liệu này.

Khoản 3 cũng đặt ràng buộc: việc cung cấp thông tin phải tuân thủ quy định của pháp luật về bảo vệ bí mật nhà nước, dữ liệu, bảo vệ dữ liệu cá nhân và sở hữu trí tuệ.

Ràng buộc này quan trọng với dữ liệu huấn luyện: nếu tập dữ liệu chứa dữ liệu cá nhân, việc cung cấp phải tuân thủ pháp luật về bảo vệ dữ liệu cá nhân.

Ba giới hạn bảo vệ doanh nghiệp — Điều 31

Điều 31 Luật 134/2025/QH15 là điều bảo vệ doanh nghiệp trong quá trình quản lý nhà nước.

Khoản 1 — nghĩa vụ bảo mật của cơ quan nhà nước

Cơ quan nhà nước có thẩm quyền, tổ chức, cá nhân được giao thực hiện hoạt động quản lý nhà nước theo quy định của Luật này có trách nhiệm bảo đảm bí mật thông tin và dữ liệu, bí mật kinh doanh được cung cấp trong quá trình thực hiện nhiệm vụ, bao gồm hồ sơ kỹ thuật, dữ liệu huấn luyện, mã nguồn và thuật toán theo quy định của pháp luật.

Bốn loại tài sản được bảo vệ nêu tên cụ thể: hồ sơ kỹ thuật, dữ liệu huấn luyện, mã nguồn và thuật toán. Đây là những tài sản có giá trị cạnh tranh cao nhất của doanh nghiệp công nghệ.

Khoản 2 — nguyên tắc cần thiết và tương xứng

Việc yêu cầu tổ chức, cá nhân cung cấp thông tin, dữ liệu phải bảo đảm sự cần thiết, tương xứng, phù hợp với phạm vi, mục đích và nội dung của hoạt động quản lý nhà nước.

Ba tiêu chí — cần thiết, tương xứng, phù hợp với phạm vi và mục đích — là căn cứ để doanh nghiệp đề nghị làm rõ khi nhận yêu cầu cung cấp thông tin có phạm vi quá rộng.

Nguyên tắc này lặp lại tinh thần của điểm c khoản 1 Điều 14, nơi quy định việc cung cấp hồ sơ kỹ thuật và nhật ký cho cơ quan nhà nước theo nguyên tắc cần thiết, tương xứng với mục đích kiểm tra và không làm lộ bí mật kinh doanh.

Khoản 3 — an toàn thông tin đã cung cấp

Thông tin, dữ liệu cung cấp phải được bảo đảm an toàn, bảo mật theo quy định của pháp luật.

Giới hạn mạnh nhất — điểm e khoản 1 Điều 14

Bên cạnh Điều 31, điểm e khoản 1 Điều 14 Luật 134/2025/QH15 có một mệnh đề rất rõ ràng về trách nhiệm giải trình của nhà cung cấp hệ thống rủi ro cao: việc giải trình và cung cấp thông tin không được yêu cầu tiết lộ mã nguồn, thuật toán chi tiết, bộ tham số hoặc thông tin thuộc bí mật kinh doanh, bí mật công nghệ.

Điểm b khoản 1 Điều 15 lặp lại nguyên tắc này cho hệ thống rủi ro trung bình.

Như vậy có sự phân biệt cần nắm rõ:

Trách nhiệm giải trình — dừng ở mức mô tả chức năng, không được yêu cầu mã nguồn, thuật toán chi tiết, bộ tham số;
Nghĩa vụ cung cấp trong thanh tra, kiểm tra theo khoản 3 Điều 28 — rộng hơn, gồm hồ sơ kỹ thuật, nhật ký lưu vết, dữ liệu huấn luyện, nhưng vẫn chịu ràng buộc của nguyên tắc cần thiết, tương xứng tại khoản 2 Điều 31 và nghĩa vụ bảo mật tại khoản 1 Điều 31.

Công khai kết luận — khoản 4 Điều 28

Khoản 4 Điều 28 quy định: kết luận thanh tra, kiểm tra và quyết định xử phạt vi phạm hành chính phải được công khai theo quy định của pháp luật.

Khoản 1 Điều 8 Luật 134/2025/QH15 cho biết Cổng thông tin điện tử một cửa về trí tuệ nhân tạo có chức năng công khai kết quả xử lý vi phạm, bên cạnh thông tin về hệ thống và kết quả đánh giá sự phù hợp.

Việc công khai có hệ quả về uy tín thương mại, và đây là lý do thực tế để doanh nghiệp coi trọng việc tuân thủ ngay từ đầu.

Cơ quan quản lý — Điều 30

Khoản 2 Điều 30 Luật 134/2025/QH15 phân định:

Điểm a — Chính phủ thống nhất quản lý nhà nước về trí tuệ nhân tạo;
Điểm b — Bộ Khoa học và Công nghệ là cơ quan đầu mối, chịu trách nhiệm trước Chính phủ thực hiện quản lý nhà nước về trí tuệ nhân tạo trên phạm vi cả nước;
Điểm c — Bộ, cơ quan ngang Bộ phối hợp với Bộ Khoa học và Công nghệ trong phạm vi chức năng, nhiệm vụ, quyền hạn;
Điểm d — Ủy ban nhân dân cấp tỉnh thực hiện quản lý nhà nước về trí tuệ nhân tạo tại địa phương.

Khoản 1 Điều 30 liệt kê sáu nội dung quản lý nhà nước, trong đó điểm d là quản lý, giám sát hoạt động trí tuệ nhân tạo và điểm e là thanh tra, kiểm tra, xử lý vi phạm, giải quyết tranh chấp, khiếu nại, tố cáo.

Chuẩn bị hồ sơ sẵn sàng

Từ khoản 3 Điều 28, danh mục tài liệu doanh nghiệp nên duy trì ở trạng thái sẵn sàng:

Hồ sơ kỹ thuật theo điểm c khoản 1 Điều 14 — mô tả hệ thống, kiến trúc, mục đích sử dụng, loại dữ liệu đầu vào chủ yếu;
Hồ sơ phân loại rủi ro theo khoản 1 Điều 10, kèm lập luận dẫn tới kết quả;
Nhật ký hoạt động — lưu đủ lâu, bảo vệ khỏi bị sửa, có khả năng trích xuất theo khoảng thời gian;
Tài liệu về nguồn gốc dữ liệu huấn luyện — căn cứ hợp pháp của từng nguồn;
Hồ sơ đánh giá sự phù hợp với hệ thống rủi ro cao;
Nhật ký xử lý sự cố theo Điều 12.

Điểm cần lưu ý về mặt tổ chức: tài liệu nên được duy trì liên tục trong quá trình phát triển, không dựng lại khi có yêu cầu. Hồ sơ dựng gấp thường không khớp với thực tế hệ thống, và sự không khớp đó chính là thứ dễ bị phát hiện nhất trong kiểm tra.

Hợp tác quốc tế — Điều 32

Khoản 2 Điều 32 Luật 134/2025/QH15 có một nội dung đáng quan tâm với doanh nghiệp hoạt động xuyên biên giới: Nhà nước khuyến khích hợp tác quốc tế về chia sẻ hạ tầng tính toán hiệu năng cao, dữ liệu, nhân lực, nghiên cứu khoa học và công nhận kết quả đánh giá sự phù hợp theo quy định của Luật này.

Việc nêu công nhận kết quả đánh giá sự phù hợp mở khả năng kết quả đánh giá ở nước ngoài được công nhận tại Việt Nam và ngược lại — điều này giảm đáng kể chi phí tuân thủ cho doanh nghiệp có sản phẩm bán ở nhiều thị trường.