Theo Luật Trí tuệ nhân tạo 2025, doanh nghiệp phải thông báo kết quả phân loại AI cho cơ quan nào?

Bộ Khoa học và Công nghệ, thông qua Cổng thông tin điện tử một cửa về trí tuệ nhân tạo — và phải thông báo trước khi đưa hệ thống vào sử dụng.

Điều 10 Luật Trí tuệ nhân tạo 134/2025/QH15 chuyển kết quả phân loại rủi ro tại Điều 9 thành một thủ tục cụ thể: ai phân loại, ai thông báo, thông báo cho ai và vào lúc nào.

Nhà cung cấp tự phân loại — khoản 1

Khoản 1 Điều 10 quy định: nhà cung cấp tự phân loại hệ thống trí tuệ nhân tạo trước khi đưa vào sử dụng. Hệ thống được phân loại là rủi ro trung bình hoặc rủi ro cao phải có hồ sơ phân loại kèm theo.

Cơ chế ở đây là tự phân loại, không phải xin phép. Nhà nước không cấp quyết định phân loại; doanh nghiệp tự xác định và chịu trách nhiệm về kết quả đó.

Nhưng tự phân loại đi kèm nghĩa vụ lập hồ sơ phân loại với hai nhóm rủi ro cao hơn. Hồ sơ này là căn cứ chứng minh việc phân loại có cơ sở — nội dung cần có, theo logic của bốn tiêu chí tại khoản 2 Điều 9: mô tả hệ thống, lĩnh vực và mục đích sử dụng, đối tượng và phạm vi người sử dụng, quy mô ảnh hưởng, đánh giá tác động đến quyền con người, an toàn, an ninh, và lập luận dẫn tới mức rủi ro được chọn.

Bên triển khai kế thừa kết quả — khoản 2

Khoản 2 Điều 10 quy định: bên triển khai được kế thừa kết quả phân loại của nhà cung cấp và có trách nhiệm bảo đảm an toàn, nguyên vẹn của hệ thống trong quá trình sử dụng; trường hợp sửa đổi, tích hợp hoặc thay đổi chức năng làm phát sinh rủi ro mới hoặc rủi ro cao hơn thì phối hợp nhà cung cấp thực hiện phân loại lại.

Đây là quy định giảm gánh nặng đáng kể cho doanh nghiệp chỉ sử dụng chứ không phát triển: không phải tự phân loại lại từ đầu.

Nhưng điều kiện kèm theo rất cụ thể — ba hành vi làm mất quyền kế thừa:

• Sửa đổi hệ thống;
• Tích hợp với hệ thống khác;
• Thay đổi chức năng.

Và điều kiện đủ: các hành vi đó phải làm phát sinh rủi ro mới hoặc rủi ro cao hơn. Không phải mọi thay đổi kỹ thuật đều buộc phân loại lại.

Trong thực tế, tình huống dễ vướng nhất là tích hợp: doanh nghiệp mua một công cụ trí tuệ nhân tạo rồi nối vào hệ thống dữ liệu khách hàng của mình. Việc nối này có thể làm hệ thống chuyển từ rủi ro thấp sang mức cao hơn, vì phạm vi ảnh hưởng và loại dữ liệu xử lý đã đổi.

Thông báo cho Bộ Khoa học và Công nghệ — khoản 3

Khoản 3 Điều 10 quy định: đối với hệ thống được phân loại là rủi ro trung bình hoặc rủi ro cao, nhà cung cấp phải thông báo kết quả phân loại cho Bộ Khoa học và Công nghệ thông qua Cổng thông tin điện tử một cửa về trí tuệ nhân tạo trước khi đưa vào sử dụng.

Ba điểm cần nhớ:

• Cơ quan tiếp nhận — Bộ Khoa học và Công nghệ;
• Kênh — Cổng thông tin điện tử một cửa về trí tuệ nhân tạo, cơ chế được thiết lập theo khoản 1 Điều 8;
• Thời điểm — trước khi đưa vào sử dụng, không phải sau.

Điểm cuối có ý nghĩa với kế hoạch triển khai: bước thông báo phải nằm trong tiến độ dự án, trước ngày phát hành sản phẩm.

Khoản 3 cũng nêu: khuyến khích tổ chức, cá nhân phát triển hệ thống trí tuệ nhân tạo có rủi ro thấp công khai thông tin cơ bản của hệ thống nhằm tăng tính minh bạch. Đây là khuyến khích, không phải nghĩa vụ.

Khi chưa xác định được mức rủi ro — khoản 4

Khoản 4 Điều 10 quy định: trường hợp chưa xác định được mức độ rủi ro, nhà cung cấp được đề nghị Bộ Khoa học và Công nghệ hướng dẫn về phân loại trên cơ sở hồ sơ kỹ thuật.

Đây là cơ chế hữu ích cho các trường hợp ranh giới. Thay vì đoán rồi chịu rủi ro bị yêu cầu tái phân loại, doanh nghiệp có quyền hỏi trước. Điều kiện là phải có hồ sơ kỹ thuật để cơ quan quản lý xem xét.

Kiểm tra, giám sát theo mức rủi ro — khoản 5

Khoản 5 Điều 10 quy định ba chế độ khác nhau:

• Điểm a — hệ thống rủi ro cao được kiểm tra định kỳ hoặc khi có dấu hiệu vi phạm;
• Điểm b — hệ thống rủi ro trung bình được giám sát thông qua báo cáo, kiểm tra chọn mẫu hoặc đánh giá của tổ chức độc lập;
• Điểm c — hệ thống rủi ro thấp được theo dõi, kiểm tra khi có sự cố, phản ánh hoặc khi cần bảo đảm an toàn, và điều luật ghi rõ: không làm phát sinh nghĩa vụ không cần thiết cho tổ chức, cá nhân.

Mệnh đề cuối của điểm c là một cam kết đáng chú ý trong văn bản luật — nó đặt giới hạn cho hoạt động quản lý đối với nhóm rủi ro thấp.

Hậu quả khi khai báo không trung thực — khoản 6

Khoản 6 Điều 10 quy định: trên cơ sở kết quả kiểm tra, giám sát, khi phát hiện sai lệch hoặc khai báo không trung thực, cơ quan có thẩm quyền yêu cầu tái phân loại, bổ sung hồ sơ hoặc tạm dừng việc sử dụng, đồng thời xử lý theo quy định của pháp luật.

Chế tài "tạm dừng việc sử dụng" là chế tài có sức nặng thương mại lớn nhất — nó đồng nghĩa với việc sản phẩm phải ngừng phục vụ khách hàng. Đây là lý do thực tiễn để phân loại thận trọng thay vì hạ thấp mức rủi ro cho nhẹ thủ tục.

Khoản 7 Điều 10 giao Chính phủ quy định chi tiết về nội dung cần thông báo, trình tự, thủ tục thông báo và hướng dẫn kỹ thuật về phân loại rủi ro.

Lộ trình chuẩn bị

Từ nội dung Điều 10, trình tự công việc cho doanh nghiệp:

• Bước 1 — xác định vai trò: nhà cung cấp hay bên triển khai. Nghĩa vụ thông báo chỉ đặt lên nhà cung cấp;
• Bước 2 — phân loại rủi ro theo Điều 9 cho từng hệ thống;
• Bước 3 — lập hồ sơ phân loại nếu kết quả là trung bình hoặc cao;
• Bước 4 — thông báo qua cổng một cửa trước khi đưa vào sử dụng;
• Bước 5 — thiết lập cơ chế rà soát khi có thay đổi, để kịp phân loại lại theo khoản 2.

Với bên triển khai, việc quan trọng nhất là lưu giữ kết quả phân loại nhận từ nhà cung cấp và ghi nhận mọi thay đổi mình thực hiện trên hệ thống — đây là căn cứ chứng minh quyền kế thừa vẫn còn hiệu lực.

Đọc thêm cùng chủ đề

• Hợp tác quốc tế về bảo vệ dữ liệu gồm những gì?
• Kinh phí bảo vệ dữ liệu cá nhân lấy từ đâu?
• Nghiên cứu giải pháp bảo vệ dữ liệu gồm những gì?

Căn cứ pháp lý

• Luật 134/2025/QH15 Điều 10
• Luật 134/2025/QH15 Điều 9
• Luật 134/2025/QH15 Điều 8

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.