Trí tuệ nhân tạo

Theo Luật Trí tuệ nhân tạo 2025, doanh nghiệp cần chuẩn bị bộ hồ sơ tuân thủ gồm những gì?

01/08/2026
2 lượt xem
0 bình luận

Danh mục tài liệu cụ thể theo từng đạo luật — tách rõ tài liệu bắt buộc lập, tài liệu cần lưu liên tục, và tài liệu chỉ cần khi có yêu cầu.

Khi cơ quan chức năng kiểm tra, thứ được xem không phải là hệ thống mà là hồ sơ. Bài viết tổng hợp danh mục tài liệu doanh nghiệp cần chuẩn bị theo nhóm luật công nghệ mới.

Nhóm 1 — tài liệu bắt buộc lập

Hồ sơ phân loại rủi ro hệ thống trí tuệ nhân tạo

Khoản 1 Điều 10 Luật Trí tuệ nhân tạo 134/2025/QH15 quy định: nhà cung cấp tự phân loại hệ thống trí tuệ nhân tạo trước khi đưa vào sử dụng. Hệ thống được phân loại là rủi ro trung bình hoặc rủi ro cao phải có HỒ SƠ PHÂN LOẠI kèm theo.

Nội dung hồ sơ nên bám theo bốn tiêu chí tại khoản 2 Điều 9: mức độ tác động đến quyền con người, an toàn, an ninh; lĩnh vực sử dụng; phạm vi người sử dụng; quy mô ảnh hưởng của hệ thống.

Cấu trúc gợi ý: mô tả hệ thống và mục đích sử dụng; đối tượng chịu tác động; hậu quả nếu kết quả sai; đối chiếu với từng tiêu chí; và kết luận mức rủi ro kèm lập luận.

Với bên triển khai mua giải pháp, khoản 2 Điều 10 cho phép kế thừa kết quả phân loại của nhà cung cấp — nhưng vẫn cần lưu giữ kết quả đó và ghi nhận mọi thay đổi mình thực hiện trên hệ thống.

Hồ sơ kỹ thuật và nhật ký hoạt động

Điểm c khoản 1 Điều 14 quy định nhà cung cấp hệ thống rủi ro cao có trách nhiệm lập, cập nhật, lưu giữ hồ sơ kỹ thuật và nhật ký hoạt động ở mức cần thiết cho việc đánh giá sự phù hợp và kiểm tra sau khi đưa vào sử dụng; cung cấp các thông tin này cho cơ quan nhà nước có thẩm quyền theo nguyên tắc cần thiết, tương xứng với mục đích kiểm tra và không làm lộ bí mật kinh doanh.

Ba động từ — lập, cập nhật, lưu giữ — cho thấy đây là tài liệu sống, không phải làm một lần.

Quy định nội bộ về an ninh mạng

Điểm a khoản 2 Điều 10 Luật An ninh mạng 116/2025/QH15 nêu biện pháp ban hành quy định về bảo đảm an ninh mạng trong thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp, HỦY BỎ hệ thống thông tin.

Bảy giai đoạn cần bao phủ. Giai đoạn cuối — hủy bỏ — thường bị bỏ sót trong quy chế nội bộ nhưng lại là nơi phát sinh rủi ro: máy chủ thanh lý chưa xóa dữ liệu, tài khoản dịch vụ không dùng vẫn hoạt động.

Với hệ thống cấp độ 3, 4 không thuộc danh mục trọng yếu, khoản 4 Điều 10 quy định biện pháp tại điểm a là bắt buộc.

Phương án ứng phó, khắc phục sự cố

Điểm h khoản 2 Điều 10 Luật 116/2025/QH15 nêu biện pháp ứng phó, khắc phục sự cố an ninh mạng đối với hệ thống thông tin — bắt buộc với hệ thống cấp độ 3, 4 theo khoản 4 Điều 10.

Với hệ thống trí tuệ nhân tạo, Điều 12 Luật 134/2025/QH15 quy định trách nhiệm xử lý sự cố. Điểm b khoản 2 Điều 12 đặt lên bên triển khai nghĩa vụ ghi nhận, thông báo kịp thời sự cố và phối hợp trong quá trình khắc phục.

Nhóm 2 — tài liệu cần duy trì liên tục

Nhật ký hoạt động hệ thống

Khoản 6 Điều 8 Luật Chuyển đổi số 148/2025/QH15 yêu cầu hệ thống số phải ghi nhận, lưu trữ và BẢO VỆ nhật ký hoạt động; bảo đảm khả năng kiểm tra, giám sát và truy vết phục vụ thanh tra, kiểm tra, kiểm toán, giải trình khi cần thiết.

Chữ bảo vệ quan trọng: nhật ký mà người quản trị sửa hoặc xóa được thì không có giá trị chứng minh. Cách làm phổ biến là gửi nhật ký sang một hệ thống riêng.

Với hệ thống trí tuệ nhân tạo, khoản 3 Điều 28 Luật 134/2025/QH15 nêu rõ trong thanh tra, kiểm tra, tổ chức có nghĩa vụ cung cấp hồ sơ kỹ thuật, NHẬT KÝ LƯU VẾT, dữ liệu huấn luyện và thông tin cần thiết khác để xác định nguyên nhân vi phạm, sự cố hoặc phân định trách nhiệm.

Mục đích phân định trách nhiệm đáng chú ý: nhật ký là căn cứ để xác định lỗi thuộc bên nào — nhà cung cấp hay bên triển khai. Đây là tài liệu bảo vệ chính doanh nghiệp.

Hồ sơ về nguồn gốc dữ liệu

Khoản 3 Điều 7 Luật 134/2025/QH15 nghiêm cấm thu thập, xử lý hoặc sử dụng dữ liệu để phát triển, huấn luyện, kiểm thử hoặc vận hành hệ thống trí tuệ nhân tạo trái với quy định của pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ và an ninh mạng.

Với mỗi tập dữ liệu, nên ghi: nguồn gốc, căn cứ pháp lý để sử dụng, phạm vi được phép, và thời điểm thu thập. Hồ sơ này khó dựng lại sau khi đã dùng dữ liệu nhiều năm.

Hồ sơ đào tạo, phổ biến kiến thức

Điểm e khoản 1 Điều 10 Luật 116/2025/QH15 đặt tổ chức tuyên truyền, nâng cao nhận thức về an ninh mạng là một trong sáu nhiệm vụ bắt buộc.

Khoản 5 Điều 17 Luật 148/2025/QH15 quy định doanh nghiệp, tổ chức sử dụng lao động có trách nhiệm tổ chức đào tạo, bồi dưỡng, phổ cập năng lực số cơ bản cho người lao động.

Tài liệu chứng minh: nội dung chương trình, danh sách người tham dự, thời gian tổ chức. Chi phí lưu hồ sơ gần bằng không nhưng có giá trị khi cần chứng minh đã thực hiện nhiệm vụ.

Hồ sơ kiểm tra, đánh giá định kỳ

Điểm b khoản 1 Điều 10 Luật 116/2025/QH15 nêu nhiệm vụ đánh giá và quản lý rủi ro an ninh mạng hệ thống thông tin; điểm c nêu đôn đốc, giám sát, kiểm tra công tác bảo vệ an ninh mạng.

Điểm đ khoản 2 Điều 26 Luật 116/2025/QH15 cũng nêu kiểm tra, đánh giá rủi ro định kỳ nhằm phát hiện, ngăn chặn và xử lý kịp thời các nguy cơ đe dọa an ninh dữ liệu.

Biên bản kiểm tra định kỳ nên ghi: phạm vi kiểm tra, phát hiện, biện pháp khắc phục, và người chịu trách nhiệm theo dõi.

Nhóm 3 — tài liệu chuẩn bị sẵn để giải trình

Tài liệu mô tả chức năng hệ thống

Điểm e khoản 1 Điều 14 Luật 134/2025/QH15 quy định nhà cung cấp hệ thống rủi ro cao thực hiện trách nhiệm giải trình về mục đích sử dụng, nguyên lý hoạt động ở mức mô tả chức năng, loại dữ liệu đầu vào chủ yếu, biện pháp quản lý và kiểm soát rủi ro cùng các nội dung cần thiết phục vụ thanh tra, kiểm tra.

Điểm b khoản 1 Điều 15 quy định tương tự cho hệ thống rủi ro trung bình.

Cả hai điều khoản đều khẳng định giới hạn: việc giải trình không được yêu cầu tiết lộ mã nguồn, thuật toán chi tiết, bộ tham số hoặc thông tin thuộc bí mật kinh doanh, bí mật công nghệ.

Nghĩa là tài liệu giải trình dừng ở mức mô tả — không cần và không nên bao gồm chi tiết kỹ thuật lõi.

Thông tin công khai cho người sử dụng và người bị ảnh hưởng

Điểm đ khoản 2 Điều 14 quy định bên triển khai cung cấp cho người sử dụng và người bị ảnh hưởng các thông tin công khai ở mức mô tả chức năng, cách thức vận hành và cảnh báo rủi ro nhằm bảo đảm an toàn trong sử dụng.

Đây là tài liệu hướng ra bên ngoài, khác với tài liệu giải trình với cơ quan quản lý. Nội dung nên viết bằng ngôn ngữ dễ hiểu, không phải ngôn ngữ kỹ thuật.

Hợp đồng với nhà cung cấp

Không phải nghĩa vụ pháp lý nhưng là tài liệu bảo vệ doanh nghiệp quan trọng nhất. Khoản 2 Điều 29 Luật 134/2025/QH15 quy định bên triển khai bồi thường trước, sau đó yêu cầu nhà cung cấp hoàn trả nếu có thỏa thuận giữa các bên.

Không có thỏa thuận thì không đòi được. Điều khoản cần có: nghĩa vụ hoàn trả; phạm vi và mức trần; cơ chế xác định nguyên nhân; nghĩa vụ cung cấp thông tin kỹ thuật; và thời hạn, thủ tục yêu cầu.

Bảng tóm tắt theo loại doanh nghiệp

Doanh nghiệp nhỏ, hệ thống cấp độ 1-2, không dùng AI rủi ro cao

Tài liệu xác định cấp độ hệ thống;
Đánh giá rủi ro cơ bản;
Quy định nội bộ về an ninh mạng và quản lý tài khoản;
Hồ sơ đào tạo nhân viên;
Nhật ký hệ thống.

Doanh nghiệp có hệ thống AI rủi ro trung bình

Thêm: hồ sơ phân loại rủi ro; xác nhận đã thông báo cho Bộ Khoa học và Công nghệ; tài liệu mô tả chức năng phục vụ giải trình; và bằng chứng thực hiện nghĩa vụ minh bạch theo Điều 11.

Doanh nghiệp có hệ thống AI rủi ro cao

Thêm: hồ sơ kỹ thuật đầy đủ; kết quả đánh giá sự phù hợp theo Điều 13; tài liệu về biện pháp quản lý rủi ro; tài liệu về quản trị dữ liệu huấn luyện, kiểm thử, vận hành; mô tả cơ chế giám sát và can thiệp của con người; và kế hoạch ứng phó sự cố.

Một nguyên tắc thực tiễn

Tài liệu nên được duy trì liên tục trong quá trình phát triển và vận hành, không dựng lại khi có yêu cầu kiểm tra. Hồ sơ dựng gấp thường không khớp với thực tế hệ thống, và sự không khớp đó chính là thứ dễ bị phát hiện nhất — đồng thời làm mất giá trị của toàn bộ hồ sơ.

Cách làm ít tốn công nhất: gắn việc cập nhật tài liệu vào chu trình phát triển sản phẩm bình thường, thay vì coi đó là một dự án tuân thủ riêng.