Dùng phần mềm nguồn mở trong sản phẩm cần lưu ý gì?

Nhà nước khuyến khích mã nguồn mở như công cụ tự chủ công nghệ. Nhưng doanh nghiệp vẫn chịu trách nhiệm về bản quyền và về an ninh của thành phần bên thứ ba.

Gần như mọi phần mềm hiện đại đều được xây dựng trên nền các thành phần có sẵn — thư viện nguồn mở, mô hình nền tảng, dịch vụ bên thứ ba. Bài viết tổng hợp các vấn đề pháp lý liên quan.

Định hướng chính sách — khuyến khích mã nguồn mở

Khoản 1 Điều 18 Luật Trí tuệ nhân tạo 134/2025/QH15 nêu: Nhà nước ưu tiên phát triển và làm chủ các công nghệ trí tuệ nhân tạo cốt lõi; thúc đẩy phát triển và ứng dụng MÃ NGUỒN MỞ nhằm tăng cường tự chủ công nghệ, an toàn và chủ quyền quốc gia trên môi trường số.

Việc nêu tên mã nguồn mở như một công cụ tự chủ công nghệ là điểm đáng chú ý — nó phản ánh thực tế rằng nhiều mô hình nền tảng hiện nay có phiên bản mã nguồn mở đủ tốt cho phần lớn ứng dụng doanh nghiệp.

Khoản 2 Điều 18 cũng nêu Nhà nước khuyến khích giải pháp tiết kiệm tài nguyên, dễ triển khai và phù hợp điều kiện Việt Nam; phát triển năng lực nội sinh quốc gia và hệ sinh thái đổi mới sáng tạo về trí tuệ nhân tạo.

Khoản 3 Điều 19 Luật 134/2025/QH15 nêu Nhà nước khuyến khích phát triển các nhóm công nghệ phù hợp với điều kiện Việt Nam, có tiềm năng tạo giá trị gia tăng, thân thiện môi trường, DỄ ỨNG DỤNG RỘNG RÃI và góp phần bảo đảm chủ quyền quốc gia trên môi trường số.

Vấn đề thứ nhất — sở hữu trí tuệ

Khoản 2 Điều 12 Luật Công nghiệp công nghệ số 71/2025/QH15 nghiêm cấm vi phạm quyền sở hữu trí tuệ trong công nghiệp công nghệ số.

Điểm c khoản 4 Điều 13 Luật An ninh mạng 116/2025/QH15 cũng liệt kê vi phạm bản quyền và sở hữu trí tuệ trên không gian mạng vào nhóm hành vi xâm phạm an ninh quốc gia và trật tự, an toàn xã hội.

Với phần mềm nguồn mở, "miễn phí" không đồng nghĩa với "không có điều kiện". Mỗi thành phần đi kèm giấy phép riêng với các nghĩa vụ khác nhau — một số yêu cầu ghi nhận tác giả, một số yêu cầu công khai mã nguồn của sản phẩm dẫn xuất, một số hạn chế mục đích sử dụng.

Rủi ro thực tế: doanh nghiệp dùng một thư viện có giấy phép yêu cầu công khai mã nguồn, rồi bán sản phẩm dưới dạng đóng — vi phạm điều kiện giấy phép, và có thể phải công khai toàn bộ sản phẩm hoặc gỡ bỏ thành phần đó.

Biện pháp quản lý

Lập danh mục thành phần — mọi thư viện, mô hình, dịch vụ bên thứ ba đang dùng, kèm phiên bản và giấy phép;
Rà soát loại giấy phép trước khi đưa thành phần mới vào sản phẩm — đây nên là bước bắt buộc trong quy trình phát triển;
Thực hiện nghĩa vụ ghi nhận nếu giấy phép yêu cầu;
Cập nhật danh mục khi có thay đổi — thành phần được thêm vào âm thầm qua các phụ thuộc gián tiếp là tình huống phổ biến.

Vấn đề thứ hai — an ninh chuỗi cung ứng

Điểm c khoản 1 Điều 36 Luật 116/2025/QH15 nêu một nội dung nghiên cứu, phát triển an ninh mạng: phương pháp kiểm tra phần cứng, phần mềm được cung cấp thực hiện đúng chức năng.

Đây chính là vấn đề chuỗi cung ứng: làm sao biết thành phần mình dùng chỉ làm đúng những gì nó tuyên bố.

Điểm b khoản 1 Điều 36 cũng nêu phương pháp thẩm định phần mềm, trang thiết bị bảo vệ an ninh mạng đạt chuẩn và hạn chế tồn tại điểm yếu, lỗ hổng bảo mật, phần mềm độc hại.

Rủi ro thực tế với thành phần bên thứ ba:

Lỗ hổng trong thư viện — một lỗ hổng ở thư viện phổ biến ảnh hưởng tới hàng nghìn sản phẩm cùng lúc;
Thành phần bị bỏ hoang — tác giả ngừng bảo trì, lỗ hổng không được vá;
Mã độc chèn vào bản phát hành — tài khoản của tác giả bị chiếm, hoặc thành phần bị chuyển giao cho bên khác;
Phụ thuộc gián tiếp — thư viện A dùng thư viện B, doanh nghiệp không biết B tồn tại.

Biện pháp

Theo dõi cảnh báo lỗ hổng với các thành phần đang dùng — có công cụ tự động cho việc này;
Cố định phiên bản thay vì tự động lấy bản mới nhất, để tránh cập nhật bất ngờ;
Kiểm tra tình trạng bảo trì của thành phần trước khi đưa vào — thành phần lâu không cập nhật là rủi ro;
Có quy trình vá khẩn cấp khi có cảnh báo nghiêm trọng;
Rà soát phụ thuộc gián tiếp, không chỉ phụ thuộc trực tiếp.

Điểm đ khoản 2 Điều 26 Luật 116/2025/QH15 cũng nêu kiểm tra, đánh giá rủi ro định kỳ nhằm phát hiện, ngăn chặn và xử lý kịp thời các nguy cơ đe dọa an ninh dữ liệu — rà soát thành phần bên thứ ba nên là một phần của hoạt động này.

Vấn đề thứ ba — trách nhiệm không chuyển sang thành phần

Nếu sản phẩm của doanh nghiệp có sự cố do một thư viện nguồn mở, doanh nghiệp không thể chuyển trách nhiệm sang tác giả thư viện — phần lớn giấy phép nguồn mở đều có điều khoản miễn trừ bảo đảm.

Với hệ thống trí tuệ nhân tạo, khoản 2 Điều 29 Luật 134/2025/QH15 quy định: với hệ thống rủi ro cao được quản lý, vận hành, sử dụng đúng quy định nhưng vẫn phát sinh thiệt hại thì bên triển khai phải chịu trách nhiệm bồi thường cho người bị thiệt hại; sau đó mới yêu cầu hoàn trả nếu có thỏa thuận giữa các bên.

Với mô hình nguồn mở, không có "thỏa thuận giữa các bên" theo nghĩa hợp đồng thương mại — doanh nghiệp gánh toàn bộ.

Đây là yếu tố cần cân nhắc khi chọn giữa mô hình nguồn mở và mô hình thương mại: mô hình thương mại đắt hơn nhưng có đối tác để đàm phán điều khoản trách nhiệm.

Vấn đề thứ tư — vai trò pháp lý khi dùng mô hình nguồn mở

Khoản 3 Điều 3 Luật 134/2025/QH15 định nghĩa nhà phát triển là tổ chức, cá nhân thực hiện việc thiết kế, xây dựng, huấn luyện, kiểm thử hoặc TINH CHỈNH toàn bộ hoặc một phần mô hình, thuật toán hoặc hệ thống trí tuệ nhân tạo và có quyền kiểm soát trực tiếp đối với phương pháp kỹ thuật, dữ liệu huấn luyện hoặc tham số mô hình.

Ranh giới quan trọng:

Dùng mô hình nguồn mở nguyên trạng, chỉ xây lớp ứng dụng bên trên — chưa rơi vào định nghĩa nhà phát triển, vì không thực hiện thiết kế, xây dựng, huấn luyện, kiểm thử hay tinh chỉnh mô hình;
Tinh chỉnh mô hình trên dữ liệu của mình — đã là nhà phát triển với phần tinh chỉnh, kèm nghĩa vụ tại khoản 1 Điều 14 nếu hệ thống thuộc nhóm rủi ro cao.

Nếu đưa sản phẩm ra thị trường dưới thương hiệu của mình, doanh nghiệp còn là nhà cung cấp theo khoản 4 Điều 3 — không phụ thuộc hệ thống đó do họ tự phát triển hay được phát triển bởi bên thứ ba.

Nghĩa là: dùng mô hình nguồn mở của bên khác nhưng bán dưới thương hiệu mình thì vẫn là nhà cung cấp, với đầy đủ nghĩa vụ phân loại rủi ro, thông báo, và đánh giá sự phù hợp.

Vấn đề thứ năm — dữ liệu huấn luyện của mô hình nguồn mở

Khoản 3 Điều 7 Luật 134/2025/QH15 nghiêm cấm thu thập, xử lý hoặc sử dụng dữ liệu để phát triển, huấn luyện, kiểm thử hoặc vận hành hệ thống trí tuệ nhân tạo trái với quy định của pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ và an ninh mạng.

Với mô hình nguồn mở, doanh nghiệp thường không biết mô hình được huấn luyện trên dữ liệu gì. Đây là hạn chế thực tế cần ghi nhận trong hồ sơ đánh giá rủi ro, và là một lý do để ưu tiên các mô hình có công bố thông tin về nguồn dữ liệu.

Chính sách hỗ trợ liên quan

Khoản 3 Điều 18 Luật 134/2025/QH15 quy định tổ chức, cá nhân nghiên cứu, phát triển và làm chủ công nghệ trí tuệ nhân tạo cốt lõi được hưởng chính sách ưu đãi và hỗ trợ đặc thù theo quy định của pháp luật.

Khoản 5 Điều 25 Luật 134/2025/QH15 cũng nêu: doanh nghiệp chia sẻ dữ liệu, mô hình, công cụ hoặc kết quả nghiên cứu phục vụ phát triển trí tuệ nhân tạo được hưởng ưu đãi hoặc hỗ trợ theo quy định của pháp luật, bảo đảm tuân thủ pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân và sở hữu trí tuệ.

Đây là chính sách khuyến khích doanh nghiệp đóng góp ngược lại cho hệ sinh thái nguồn mở.

Khoản 3 Điều 16 Luật 134/2025/QH15 cũng cho biết Nhà nước đầu tư hạ tầng trí tuệ nhân tạo cung cấp như dịch vụ công, bao gồm mô hình nền tảng, mô hình trí tuệ nhân tạo đa dụng, mô hình ngôn ngữ lớn tiếng Việt và tiếng dân tộc thiểu số — nguồn tài nguyên đáng theo dõi với doanh nghiệp làm sản phẩm cho thị trường Việt Nam.

Danh mục việc cần làm

Lập và duy trì danh mục thành phần bên thứ ba kèm phiên bản và giấy phép;
Đưa bước rà soát giấy phép vào quy trình thêm thành phần mới;
Thiết lập cơ chế theo dõi cảnh báo lỗ hổng;
Cố định phiên bản và có quy trình vá khẩn cấp;
Rà soát cả phụ thuộc gián tiếp;
Xác định rõ vai trò pháp lý của mình — nhà phát triển, nhà cung cấp hay bên triển khai — theo Điều 3 Luật 134/2025/QH15;
Ghi nhận trong hồ sơ đánh giá rủi ro các hạn chế về thông tin dữ liệu huấn luyện của mô hình nguồn mở;
Cân nhắc yếu tố trách nhiệm khi so sánh mô hình nguồn mở với mô hình thương mại.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 134/2025/QH15 Điều 18
Luật 71/2025/QH15 Điều 12
Luật 116/2025/QH15 Điều 36

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.

Theo Luật Công nghiệp công nghệ số, dùng phần mềm nguồn mở trong sản phẩm cần lưu ý gì?