Theo Luật Bảo vệ dữ liệu cá nhân 2025, dùng AI xử lý dữ liệu khách hàng có được phép không?

Được, nhưng kèm ba nghĩa vụ đáng chú ý: phân loại theo mức độ rủi ro, thông báo về xử lý tự động, và cho phép chủ thể dữ liệu không tham gia.

Câu trả lời ngắn là được. Điều 10 Nghị định 356/2025/NĐ-CP nói rõ các tổ chức, cá nhân được quyền sử dụng dữ liệu cá nhân để nghiên cứu, phát triển các thuật toán tự học, hệ thống trí tuệ nhân tạo và các hệ thống tự động khác, nhưng cần bảo đảm tuân thủ các quy định về bảo vệ dữ liệu cá nhân.

Ba nguyên tắc từ Luật

Khoản 1 Điều 30 Luật 91/2025/QH15 quy định dữ liệu cá nhân trong môi trường dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo và điện toán đám mây phải được xử lý đúng mục đích và giới hạn trong phạm vi cần thiết, bảo đảm quyền và lợi ích hợp pháp của chủ thể dữ liệu.

Khoản 3 Điều 30 yêu cầu hệ thống và dịch vụ sử dụng các công nghệ này phải được tích hợp các biện pháp bảo mật dữ liệu cá nhân phù hợp; phải sử dụng phương thức xác thực, định danh phù hợp và phân quyền truy cập để xử lý dữ liệu cá nhân.

Khoản 4 Điều 30 đặt ra một nghĩa vụ riêng cho trí tuệ nhân tạo: việc xử lý dữ liệu cá nhân bằng trí tuệ nhân tạo phải thực hiện phân loại theo mức độ rủi ro để có biện pháp bảo vệ dữ liệu cá nhân phù hợp.

Kết quả suy luận cũng có thể là dữ liệu cá nhân

Điều 10 Nghị định 356/2025/NĐ-CP quy định dữ liệu từ kết quả suy luận của trí tuệ nhân tạo, nếu có thể được sử dụng để xác định hoặc giúp xác định một con người cụ thể, thì phải được áp dụng các biện pháp bảo vệ dữ liệu cá nhân theo quy định.

Đây là điểm quan trọng về mặt kỹ thuật. Một mô hình dự đoán khả năng khách hàng rời bỏ dịch vụ, hoặc phân nhóm khách theo hành vi, tạo ra dữ liệu mới gắn với từng người. Dữ liệu đầu ra đó chịu cùng chế độ bảo vệ như dữ liệu đầu vào.

Nghĩa vụ thông báo và giải thích

Điều 10 Nghị định 356/2025/NĐ-CP quy định bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm:

• Thông báo cho chủ thể dữ liệu về việc xử lý dữ liệu cá nhân tự động;
• Giải thích nguyên tắc hoạt động của thuật toán và ảnh hưởng đối với quyền, lợi ích hợp pháp của chủ thể dữ liệu;
• Đưa ra các lựa chọn để chủ thể dữ liệu có quyền không tham gia.

Nghĩa vụ thứ ba có tác động lớn tới thiết kế sản phẩm: hệ thống phải có phương án xử lý cho những người chọn không tham gia vào quy trình tự động, chứ không thể coi việc dùng dịch vụ là chấp nhận toàn bộ.

Giải thích thuật toán ở mức nào

Quy định yêu cầu giải thích nguyên tắc hoạt động, không yêu cầu công bố mã nguồn hay tham số mô hình. Trên thực tế, phần giải thích nên nêu được: hệ thống dùng những nhóm dữ liệu nào làm đầu vào, đưa ra loại kết quả gì, kết quả đó ảnh hưởng thế nào tới người dùng, và người dùng có thể làm gì nếu không đồng tình.

Bốn nhóm biện pháp theo Nghị định

Điều 10 Nghị định 356/2025/NĐ-CP yêu cầu áp dụng các biện pháp bảo vệ dữ liệu cá nhân trong hệ thống trí tuệ nhân tạo và vũ trụ ảo, gồm: xây dựng hệ thống đáp ứng tiêu chuẩn an ninh mạng và bảo vệ dữ liệu toàn diện, chú trọng bảo mật thông tin, độ tin cậy của thuật toán, tính ổn định hệ thống và khả năng phòng chống tấn công mạng; thiết lập cơ chế giám sát trên hai phương diện là giám sát của cơ quan nhà nước có thẩm quyền và trách nhiệm giải trình đối với chủ thể dữ liệu; xây dựng cơ chế bảo vệ dữ liệu theo tiêu chuẩn phù hợp, phát triển hệ thống giám sát và cảnh báo sớm nguy cơ an ninh mạng; và thiết lập cơ chế kiểm soát, ngăn chặn việc lợi dụng trí tuệ nhân tạo, vũ trụ ảo.

Giới hạn không được vượt qua

Khoản 5 Điều 30 Luật 91/2025/QH15 cấm sử dụng, phát triển hệ thống xử lý dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo, điện toán đám mây có sử dụng dữ liệu cá nhân để gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của người khác.

Khoản 2 Điều 30 cũng nêu việc xử lý phải phù hợp với chuẩn mực đạo đức, thuần phong mỹ tục của Việt Nam.

Với doanh nghiệp dùng dịch vụ AI có sẵn

Nếu dữ liệu khách hàng được gửi tới một dịch vụ AI đặt ở nước ngoài, ngoài các nghĩa vụ trên còn phát sinh nghĩa vụ về chuyển dữ liệu xuyên biên giới theo Điều 20 Luật 91/2025/QH15. Đây là điểm rất dễ bị bỏ qua khi đội sản phẩm tích hợp một dịch vụ mới chỉ bằng vài dòng mã.

Đọc thêm cùng chủ đề

• Vũ trụ ảo là gì?
• Lưu dữ liệu khách hàng trên đám mây cần lưu ý gì?
• Xử lý dữ liệu lớn phải đáp ứng yêu cầu gì?

Căn cứ pháp lý

• Luật 91/2025/QH15 Điều 30
• Nghị định 356/2025/NĐ-CP Điều 10

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.