Theo Luật An ninh mạng 2025, doanh nghiệp nước ngoài cung cấp dịch vụ tại Việt Nam chịu nghĩa vụ nào?

Cả ba đạo luật đều mở rộng phạm vi tới tổ chức nước ngoài — khoản 1 Điều 14 Luật 116/2025 nêu rõ "doanh nghiệp trong nước và nước ngoài cung cấp dịch vụ trên mạng Internet".

Một câu hỏi thường gặp: các đạo luật công nghệ mới của Việt Nam có ràng buộc doanh nghiệp nước ngoài không có hiện diện tại Việt Nam hay không. Câu trả lời khác nhau theo từng đạo luật, và bài viết tổng hợp các quy định cụ thể.

Theo Luật An ninh mạng 116/2025/QH15

Khoản 1 Điều 14 quy định rõ ràng: chủ quản hệ thống thông tin, doanh nghiệp TRONG NƯỚC VÀ NƯỚC NGOÀI cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng trên không gian mạng có trách nhiệm triển khai biện pháp quản lý, kỹ thuật để phòng ngừa, phát hiện, ngăn chặn, gỡ bỏ thông tin có nội dung quy định tại các khoản 1, 2 và 3 Điều 13 trên hệ thống thông tin thuộc phạm vi quản lý hoặc khi có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng.

Khoản 3 Điều 14 lặp lại phạm vi này với nghĩa vụ phối hợp: doanh nghiệp trong nước và nước ngoài cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng trên không gian mạng và chủ quản hệ thống thông tin phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng xử lý thông tin và phòng, chống hành vi sử dụng công nghệ thông tin, phương tiện điện tử xâm phạm an ninh quốc gia, trật tự, an toàn xã hội.

Yếu tố xác định phạm vi ở đây là việc cung cấp dịch vụ, không phải nơi đăng ký hay nơi đặt máy chủ.

Theo Luật Trí tuệ nhân tạo 134/2025/QH15

Điều 2 quy định: Luật này áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam và tổ chức, cá nhân nước ngoài tham gia vào hoạt động trí tuệ nhân tạo tại Việt Nam.

Khoản 1 Điều 1 xác định hoạt động trí tuệ nhân tạo gồm nghiên cứu, phát triển, cung cấp, triển khai và sử dụng hệ thống trí tuệ nhân tạo.

Từ cung cấp là từ khóa: tổ chức nước ngoài đưa hệ thống trí tuệ nhân tạo ra thị trường Việt Nam thuộc phạm vi điều chỉnh. Theo khoản 4 Điều 3, đó là vai nhà cung cấp — tổ chức, cá nhân đưa hệ thống ra thị trường hoặc đưa vào sử dụng dưới tên, thương hiệu hoặc nhãn hiệu của mình.

Nghĩa vụ của nhà cung cấp gồm: phân loại rủi ro và lập hồ sơ theo khoản 1 Điều 10; thông báo kết quả phân loại cho Bộ Khoa học và Công nghệ theo khoản 3 Điều 10 nếu thuộc nhóm rủi ro trung bình hoặc cao; đánh giá sự phù hợp theo Điều 13 nếu rủi ro cao; và các trách nhiệm tại khoản 1 Điều 14.

Khoản 1 Điều 11 cũng đặt lên nhà cung cấp nghĩa vụ bảo đảm người sử dụng nhận biết khi đang tương tác với hệ thống, và khoản 2 Điều 11 nghĩa vụ đánh dấu nội dung ở định dạng máy đọc.

Theo Luật Giao dịch điện tử 20/2023/QH15

Điều 47 quy định trách nhiệm của chủ quản hệ thống thông tin phục vụ giao dịch điện tử, phân ba tầng theo quy mô. Khoản 2 Điều 47 với nền tảng trung gian quy mô lớn có nghĩa vụ công bố công khai, phổ biến cơ chế phản ánh và xử lý nội dung vi phạm PHÁP LUẬT VIỆT NAM trên nền tảng số trung gian từ nguồn phản ánh được đánh giá là tin cậy, và định kỳ hằng năm báo cáo về vụ việc đã xảy ra hoặc vụ việc có dấu hiệu, nguy cơ lợi dụng hệ thống thông tin để thực hiện hành vi vi phạm pháp luật Việt Nam.

Cụm "pháp luật Việt Nam" xuất hiện hai lần cho thấy quy định hướng tới cả các nền tảng có nguồn gốc nước ngoài.

Riêng với chữ ký điện tử, Điều 26 và Điều 27 có cơ chế riêng. Điều 26 quy định điều kiện công nhận tổ chức cung cấp dịch vụ chứng thực chữ ký điện tử nước ngoài, trong đó điểm đ khoản 1 yêu cầu có văn phòng đại diện tại Việt Nam. Điều 27 quy định chữ ký điện tử nước ngoài của tổ chức, cá nhân nước ngoài không hiện diện tại Việt Nam được chấp nhận trong giao dịch quốc tế, với việc lựa chọn và chịu trách nhiệm thuộc về bên chấp nhận.

Theo Luật Chuyển đổi số 148/2025/QH15

Điều 38 quy định trách nhiệm của chủ quản hệ thống số, nền tảng số mà không phân biệt trong nước hay nước ngoài. Khoản 3 Điều 38 cấm chủ quản nền tảng số trung gian thực hiện các hành vi ngăn cản, áp đặt, phân biệt đối xử trái pháp luật, cạnh tranh không lành mạnh đối với các nhà cung cấp khác.

Khoản 7 Điều 9 nêu định hướng chính sách: tăng cường quản lý, giám sát hoạt động của hệ thống số, nền tảng số, đặc biệt là nền tảng số trung gian có quy mô lớn, rất lớn nhằm bảo đảm cạnh tranh lành mạnh, an toàn, minh bạch trên môi trường số.

Doanh nghiệp Việt Nam làm việc với đối tác nước ngoài

Từ góc độ doanh nghiệp trong nước, việc các đạo luật mở rộng phạm vi tới tổ chức nước ngoài có ý nghĩa thực tế trong đàm phán hợp đồng.

Khi mua giải pháp trí tuệ nhân tạo từ nhà cung cấp nước ngoài, doanh nghiệp Việt Nam giữ vai bên triển khai và theo khoản 2 Điều 10 Luật 134/2025/QH15 được kế thừa kết quả phân loại của nhà cung cấp. Vì nhà cung cấp nước ngoài cũng thuộc phạm vi điều chỉnh, doanh nghiệp có căn cứ để yêu cầu:

• Kết quả phân loại rủi ro theo Điều 9;
• Xác nhận đã thông báo cho Bộ Khoa học và Công nghệ nếu thuộc nhóm rủi ro trung bình, cao;
• Kết quả đánh giá sự phù hợp nếu là hệ thống rủi ro cao;
• Tài liệu phục vụ trách nhiệm giải trình ở mức mô tả chức năng;
• Cơ chế đánh dấu nội dung ở định dạng máy đọc theo khoản 2 Điều 11;
• Cam kết thông báo khi có thay đổi làm phát sinh rủi ro mới hoặc cao hơn.

Điều khoản trách nhiệm là điểm quan trọng nhất

Khoản 2 Điều 29 Luật 134/2025/QH15 quy định: với hệ thống rủi ro cao được quản lý, vận hành, sử dụng đúng quy định nhưng vẫn phát sinh thiệt hại thì bên triển khai phải chịu trách nhiệm bồi thường cho người bị thiệt hại; sau khi bồi thường, bên triển khai yêu cầu nhà cung cấp, nhà phát triển hoàn trả nếu có thỏa thuận giữa các bên.

Không có thỏa thuận thì doanh nghiệp Việt Nam gánh toàn bộ. Vì vậy điều khoản hoàn trả nên là nội dung đàm phán bắt buộc, không phải điều khoản phụ.

Nội dung tối thiểu cần có: nghĩa vụ hoàn trả khi bên triển khai đã bồi thường; phạm vi và mức trần; cơ chế xác định nguyên nhân thiệt hại; nghĩa vụ cung cấp thông tin kỹ thuật phục vụ xác định nguyên nhân; và thời hạn, thủ tục yêu cầu.

Vấn đề dữ liệu xuyên biên giới

Điểm e khoản 2 Điều 26 Luật 116/2025/QH15 nêu kiểm tra, đánh giá việc chuyển dữ liệu xuyên biên giới; điều kiện bảo đảm an ninh dữ liệu trong hệ thống thông tin quan trọng về an ninh quốc gia, các cơ sở dữ liệu, trung tâm dữ liệu, hệ thống lưu trữ dữ liệu là một nội dung bảo đảm an ninh dữ liệu.

Khi dùng dịch vụ của nhà cung cấp nước ngoài, doanh nghiệp cần biết dữ liệu của mình được lưu và xử lý ở đâu — và đưa cam kết về vị trí lưu trữ, cùng nghĩa vụ thông báo khi thay đổi, vào hợp đồng.

Danh mục rà soát hợp đồng với đối tác nước ngoài

• Cam kết tuân thủ pháp luật Việt Nam của nhà cung cấp;
• Nghĩa vụ cung cấp kết quả phân loại rủi ro và tài liệu giải trình;
• Điều khoản phân chia trách nhiệm và hoàn trả bồi thường;
• Cam kết về vị trí lưu trữ dữ liệu và thông báo khi thay đổi;
• Nghĩa vụ thông báo sự cố và thời hạn thông báo;
• Quyền xuất dữ liệu và chuyển sang nhà cung cấp khác — theo khoản 2 Điều 26 Luật 71/2025/QH15;
• Đầu mối liên hệ tại Việt Nam hoặc trong múi giờ tương thích;
• Cơ chế giải quyết tranh chấp và luật áp dụng.

Điểm cuối đáng lưu ý: hợp đồng với đối tác nước ngoài thường quy định luật áp dụng là luật nước ngoài. Điều này không làm mất nghĩa vụ của doanh nghiệp Việt Nam theo pháp luật Việt Nam, nhưng có thể làm việc đòi hoàn trả trở nên khó khăn và tốn kém hơn trên thực tế.

Đọc thêm cùng chủ đề

• Doanh nghiệp phụ trợ bán dẫn được hưởng ưu đãi như nhà máy chip không?
• Khung đạo đức trí tuệ nhân tạo quốc gia gồm những nguyên tắc nào?
• Người quản trị hệ thống cấp độ 3 trở lên có phải tập huấn bắt buộc?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 14
• Luật 134/2025/QH15 Điều 2
• Luật 20/2023/QH15 Điều 47

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.