Trí tuệ nhân tạo

Theo Luật Trí tuệ nhân tạo 2025, công ty dịch vụ kế toán, tư vấn dùng AI cần lưu ý gì?

01/08/2026
2 lượt xem
0 bình luận

Vấn đề lớn nhất không phải phân loại rủi ro mà là bảo mật thông tin khách hàng — dữ liệu đưa vào công cụ thường là dữ liệu doanh nghiệp khác giao cho mình giữ.

Các đơn vị cung cấp dịch vụ chuyên môn — kế toán, kiểm toán, tư vấn thuế, tư vấn pháp lý, tư vấn quản trị — có đặc thù riêng khi ứng dụng công cụ trí tuệ nhân tạo: dữ liệu họ xử lý phần lớn không phải của mình.

Vấn đề trung tâm — bảo mật thông tin khách hàng

Khi nhân viên đưa số liệu, hợp đồng, hoặc tài liệu của khách hàng vào một công cụ tạo sinh để nhờ phân tích hay soạn thảo, dữ liệu đó rời khỏi phạm vi kiểm soát của đơn vị.

Điều 15 Luật An ninh mạng 116/2025/QH15 bảo vệ nhiều loại bí mật, trong đó có bí mật kinh doanh. Điểm a khoản 1 Điều 15 liệt kê hành vi chiếm đoạt, mua bán, thu giữ, cố ý làm lộ thông tin thuộc bí mật nhà nước, bí mật công tác, bí mật kinh doanh.

Điểm d khoản 1 Điều 15 nêu hành vi đưa lên không gian mạng những thông tin thuộc bí mật nhà nước, bí mật công tác, bí mật kinh doanh, bí mật cá nhân, bí mật gia đình và đời sống riêng tư trái quy định của pháp luật.

Việc tải tài liệu của khách hàng lên một dịch vụ trực tuyến để xử lý có thể chạm tới điểm d nếu không có căn cứ và không được khách hàng cho phép.

Khoản 3 Điều 7 Luật Trí tuệ nhân tạo 134/2025/QH15 cũng nghiêm cấm thu thập, xử lý hoặc sử dụng dữ liệu để phát triển, huấn luyện, kiểm thử hoặc vận hành hệ thống trí tuệ nhân tạo trái với quy định của pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ và an ninh mạng.

Ba câu hỏi cần trả lời trước khi dùng công cụ

Dữ liệu có rời khỏi hệ thống của đơn vị không? Nhiều công cụ xử lý trên máy chủ nhà cung cấp;
Nhà cung cấp có dùng dữ liệu để huấn luyện mô hình không? Một số dịch vụ có tùy chọn tắt, một số không;
Hợp đồng dịch vụ với khách hàng có cho phép không? Điều khoản bảo mật thường cấm tiết lộ cho bên thứ ba.

Điểm thứ ba đáng lưu ý nhất: nhiều hợp đồng dịch vụ chuyên môn có điều khoản bảo mật chặt, và việc đưa dữ liệu vào công cụ bên ngoài có thể là vi phạm hợp đồng ngay cả khi không vi phạm pháp luật.

Cách xử lý thực tế

Ban hành quy định nội bộ rõ ràng về loại dữ liệu được và không được đưa vào công cụ bên ngoài;
Ẩn danh dữ liệu trước khi xử lý — bỏ tên đơn vị, mã số thuế, tên người, số liệu có thể nhận dạng;
Ưu tiên công cụ chạy trong hạ tầng của đơn vị với dữ liệu nhạy cảm;
Rà soát điều khoản dịch vụ của công cụ — có cam kết không dùng dữ liệu để huấn luyện không;
Cập nhật hợp đồng với khách hàng nếu muốn sử dụng công cụ — nêu rõ và xin chấp thuận.

Điểm c khoản 1 Điều 15 Luật 116/2025/QH15 cũng nêu hành vi cố ý thay đổi, hủy bỏ hoặc làm vô hiệu hóa biện pháp kỹ thuật được xây dựng, áp dụng để bảo vệ thông tin — nghĩa là nhân viên tự ý tắt các biện pháp bảo vệ để tiện làm việc cũng là vùng rủi ro.

Trách nhiệm nghề nghiệp không chuyển sang máy

Khoản 2 Điều 4 Luật 134/2025/QH15 nêu nguyên tắc: trí tuệ nhân tạo phục vụ con người, không thay thế thẩm quyền và trách nhiệm của con người; bảo đảm duy trì sự kiểm soát và khả năng can thiệp của con người đối với mọi quyết định và hành vi của hệ thống.

Khoản 2 Điều 27 quy định trong bối cảnh quản lý nhà nước và cung cấp dịch vụ công: người ra quyết định chịu trách nhiệm về việc xem xét và sử dụng kết quả do hệ thống trí tuệ nhân tạo cung cấp.

Với dịch vụ chuyên môn, nguyên tắc này có ý nghĩa trực tiếp: người ký báo cáo, người ký ý kiến tư vấn chịu trách nhiệm về nội dung, kể cả khi phần soạn thảo có sự hỗ trợ của công cụ.

Rủi ro về độ chính xác

Công cụ tạo sinh có thể tạo ra nội dung nghe thuyết phục nhưng sai — số liệu không đúng, dẫn chiếu văn bản không tồn tại, hoặc trích dẫn quy định đã hết hiệu lực.

Với dịch vụ chuyên môn, đây là rủi ro nghiêm trọng vì khách hàng dựa vào kết quả để ra quyết định kinh doanh.

Biện pháp bắt buộc:

Kiểm chứng mọi dẫn chiếu văn bản — số hiệu, điều khoản, hiệu lực. Đây là loại lỗi công cụ tạo sinh mắc phải thường xuyên nhất;
Kiểm tra lại mọi tính toán, không tin số liệu do công cụ đưa ra;
Đối chiếu với nguồn gốc trước khi đưa vào sản phẩm giao cho khách;
Ghi nhận trong hồ sơ công việc phần nào có sử dụng công cụ và ai kiểm tra.

Về việc dẫn chiếu văn bản pháp luật, cần đặc biệt lưu ý các thay đổi gần đây: Điều 33 Luật 134/2025/QH15 bãi bỏ Chương IV của Luật Công nghiệp công nghệ số số 71/2025/QH15, và khoản 2 Điều 44 Luật 116/2025/QH15 quy định Luật An toàn thông tin mạng số 86/2015/QH13 và Luật An ninh mạng số 24/2018/QH14 hết hiệu lực từ 01/7/2026. Công cụ được huấn luyện trên dữ liệu cũ sẽ không biết các thay đổi này.

Phân loại rủi ro của công cụ

Với đơn vị dịch vụ chuyên môn, công cụ trí tuệ nhân tạo thường ở mức rủi ro thấp hoặc trung bình — chúng hỗ trợ người làm nghề, không tự ra quyết định ảnh hưởng tới bên thứ ba.

Khoản 2 Điều 15 quy định với hệ thống rủi ro thấp: nhà cung cấp và bên triển khai có trách nhiệm giải trình khi có yêu cầu của cơ quan nhà nước có thẩm quyền trong trường hợp có dấu hiệu vi phạm pháp luật hoặc ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân; người sử dụng có quyền khai thác, sử dụng hệ thống cho các mục đích hợp pháp và tự chịu trách nhiệm trước pháp luật về hoạt động sử dụng của mình.

Nếu đơn vị dùng công cụ tương tác trực tiếp với khách hàng — hộp thoại tư vấn tự động — thì theo điểm b khoản 1 Điều 9 có thể thuộc nhóm rủi ro trung bình, kéo theo nghĩa vụ minh bạch tại Điều 11.

Nếu đơn vị bán sản phẩm dựa trên công cụ

Một số đơn vị dịch vụ phát triển sản phẩm riêng — công cụ tra cứu, phần mềm hỗ trợ khách hàng tự làm. Khi đó đơn vị chuyển sang vai nhà cung cấp theo khoản 4 Điều 3 Luật 134/2025/QH15, với nghĩa vụ nặng hơn: phân loại rủi ro và lập hồ sơ theo khoản 1 Điều 10, thông báo cho Bộ Khoa học và Công nghệ theo khoản 3 Điều 10 nếu thuộc nhóm rủi ro trung bình hoặc cao.

Và nếu tinh chỉnh mô hình trên dữ liệu của mình, đơn vị còn là nhà phát triển theo khoản 3 Điều 3 — kèm nghĩa vụ chứng minh căn cứ hợp pháp cho toàn bộ dữ liệu huấn luyện.

Bảo mật thông tin trong nội bộ đơn vị

Điểm d khoản 2 Điều 26 Luật 116/2025/QH15 nêu triển khai cơ chế kiểm soát chặt chẽ nhân sự trực tiếp tham gia xử lý dữ liệu là một nội dung bảo đảm an ninh dữ liệu.

Với đơn vị dịch vụ chuyên môn, các biện pháp phù hợp:

Phân quyền theo hồ sơ khách hàng — nhân viên chỉ truy cập được hồ sơ mình phụ trách;
Cam kết bảo mật ký với nhân sự, nêu rõ nghĩa vụ kéo dài sau khi chấm dứt hợp đồng;
Ghi nhật ký truy cập và xuất dữ liệu;
Thu hồi quyền ngay khi nhân sự chuyển vị trí hoặc nghỉ việc — đây là điểm rò rỉ phổ biến nhất trong thực tế;
Quy định về thiết bị cá nhân — nhân viên dùng máy riêng xử lý hồ sơ khách là vùng khó kiểm soát.

Danh mục việc cần làm

Ban hành quy định nội bộ về sử dụng công cụ trí tuệ nhân tạo, nêu rõ loại dữ liệu được và không được đưa vào công cụ bên ngoài;
Rà soát điều khoản bảo mật trong hợp đồng với khách hàng;
Rà soát điều khoản dịch vụ của các công cụ đang dùng;
Bắt buộc kiểm chứng mọi dẫn chiếu văn bản và số liệu;
Ghi nhận trong hồ sơ công việc phần nào có sử dụng công cụ;
Phân quyền truy cập hồ sơ theo người phụ trách;
Ký cam kết bảo mật với nhân sự và thu hồi quyền khi nghỉ việc;
Đào tạo nhân viên về rủi ro của công cụ tạo sinh, đặc biệt lỗi dẫn chiếu sai;
Nếu phát triển sản phẩm riêng, xác định vai trò và nghĩa vụ tương ứng theo Điều 3 Luật 134/2025/QH15.