Trí tuệ nhân tạo

Theo Luật Trí tuệ nhân tạo 2025, hệ thống AI gây thiệt hại thì ai phải bồi thường?

01/08/2026
1 lượt xem
0 bình luận

Bên triển khai bồi thường trước cho người bị thiệt hại, kể cả khi hệ thống được vận hành đúng quy định — sau đó mới yêu cầu nhà cung cấp, nhà phát triển hoàn trả nếu có thỏa thuận.

Đây là câu hỏi khó nhất khi ứng dụng trí tuệ nhân tạo trong kinh doanh: nếu hệ thống đưa ra kết quả sai và gây thiệt hại, ai chịu trách nhiệm. Điều 29 Luật Trí tuệ nhân tạo 134/2025/QH15 đưa ra một cơ chế phân bổ trách nhiệm khá rõ ràng.

Nguyên tắc chung — khoản 1

Khoản 1 Điều 29 quy định: tổ chức, cá nhân có hành vi vi phạm quy định của Luật này và quy định khác của pháp luật có liên quan đến trí tuệ nhân tạo, tùy theo tính chất, mức độ, hậu quả của hành vi vi phạm thì bị xử phạt vi phạm hành chính hoặc bị truy cứu trách nhiệm hình sự, nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật về dân sự.

Đây là công thức quen thuộc trong pháp luật Việt Nam, áp dụng cho trường hợp có hành vi vi phạm.

Nhưng vấn đề đặc thù của trí tuệ nhân tạo nằm ở chỗ khác: hệ thống có thể gây thiệt hại ngay cả khi không ai vi phạm gì. Khoản 2 xử lý tình huống đó.

Trách nhiệm khi không có vi phạm — khoản 2

Khoản 2 Điều 29 quy định: trường hợp hệ thống trí tuệ nhân tạo có rủi ro cao được quản lý, vận hành và sử dụng đúng quy định nhưng vẫn phát sinh thiệt hại thì bên triển khai phải chịu trách nhiệm bồi thường cho người bị thiệt hại.

Đây là quy định quan trọng nhất của Điều 29, và cần đọc kỹ từng vế:

Phạm vi — chỉ áp dụng với hệ thống trí tuệ nhân tạo có rủi ro cao;
Điều kiện — hệ thống được quản lý, vận hành và sử dụng đúng quy định;
Người chịu trách nhiệm — bên triển khai.

Nghĩa là: việc tuân thủ đầy đủ nghĩa vụ pháp lý không miễn trừ trách nhiệm bồi thường. Đây là mô hình trách nhiệm nghiêm ngặt, thường được áp dụng cho các hoạt động có rủi ro cao mà xã hội vẫn muốn cho phép diễn ra.

Lý do đằng sau lựa chọn này: người bị thiệt hại thường không có khả năng chứng minh lỗi nằm ở đâu trong một hệ thống trí tuệ nhân tạo phức tạp. Đặt trách nhiệm lên bên triển khai — bên gần nhất với người bị thiệt hại và có quyền quyết định sử dụng hệ thống — giúp bảo vệ người bị thiệt hại hiệu quả hơn.

Cơ chế hoàn trả

Khoản 2 quy định tiếp: sau khi bồi thường, bên triển khai yêu cầu nhà cung cấp, nhà phát triển hoặc các bên liên quan hoàn trả khoản tiền bồi thường nếu có thỏa thuận giữa các bên.

Bốn chữ cuối cùng có sức nặng rất lớn: nếu có thỏa thuận giữa các bên.

Không có thỏa thuận thì không có cơ sở đòi hoàn trả theo điều khoản này. Bên triển khai bồi thường xong sẽ tự chịu toàn bộ.

Đây là lý do thực tiễn quan trọng nhất để doanh nghiệp triển khai hệ thống trí tuệ nhân tạo đưa điều khoản phân chia trách nhiệm vào hợp đồng với nhà cung cấp ngay từ đầu. Nội dung tối thiểu cần có:

Nghĩa vụ hoàn trả khi bên triển khai đã bồi thường cho người thứ ba;
Phạm vi và mức trần hoàn trả;
Cơ chế xác định nguyên nhân thiệt hại — do mô hình, do dữ liệu huấn luyện, hay do cách vận hành;
Nghĩa vụ cung cấp thông tin kỹ thuật để phục vụ việc xác định nguyên nhân;
Thời hạn và thủ tục yêu cầu hoàn trả.

Trong thực tế đàm phán, đây là điểm nhà cung cấp thường muốn giới hạn. Nhưng nếu bỏ trống, rủi ro dồn hết về phía doanh nghiệp triển khai.

Hai trường hợp miễn trừ — khoản 3

Khoản 3 Điều 29 quy định trách nhiệm bồi thường tại khoản 2 được miễn trừ trong các trường hợp:

Điểm a — thiệt hại xảy ra hoàn toàn do lỗi cố ý của người bị thiệt hại;
Điểm b — thiệt hại xảy ra trong trường hợp bất khả kháng hoặc tình thế cấp thiết, trừ trường hợp pháp luật có quy định khác.

Điểm a có hai điều kiện chặt: phải là lỗi cố ý, và phải hoàn toàn do người bị thiệt hại. Lỗi vô ý của người bị thiệt hại, hoặc lỗi hỗn hợp, không thuộc trường hợp miễn trừ.

Danh sách miễn trừ này ngắn — chỉ hai trường hợp. Việc hệ thống hoạt động đúng thiết kế, hoặc việc doanh nghiệp đã tuân thủ đầy đủ nghĩa vụ, đều không nằm trong danh sách.

Khi hệ thống bị xâm nhập — khoản 4

Khoản 4 Điều 29 quy định: trường hợp hệ thống trí tuệ nhân tạo bị bên thứ ba xâm nhập, chiếm quyền điều khiển hoặc can thiệp trái pháp luật thì bên thứ ba phải chịu trách nhiệm bồi thường thiệt hại.

Nhưng có mệnh đề tiếp theo: trường hợp bên triển khai, nhà cung cấp có lỗi trong việc để hệ thống bị xâm nhập, chiếm quyền điều khiển hoặc can thiệp trái pháp luật thì phải liên đới bồi thường thiệt hại theo quy định của pháp luật về dân sự.

Đây là điểm nối trực tiếp giữa nghĩa vụ an ninh mạng và trách nhiệm dân sự. Nếu doanh nghiệp không áp dụng biện pháp bảo vệ hợp lý và hệ thống bị chiếm quyền điều khiển, doanh nghiệp phải liên đới bồi thường cùng với kẻ tấn công — và trong thực tế, kẻ tấn công thường không xác định được hoặc không có khả năng bồi thường.

Hệ quả thực tiễn: đầu tư vào bảo mật hệ thống trí tuệ nhân tạo không chỉ là nghĩa vụ tuân thủ mà là biện pháp giảm rủi ro tài chính trực tiếp.

Xử phạt hành chính — khoản 5

Khoản 5 Điều 29 giao Chính phủ quy định chi tiết về xử phạt vi phạm hành chính đối với hành vi vi phạm do hệ thống trí tuệ nhân tạo gây ra.

Cách diễn đạt "hành vi vi phạm do hệ thống trí tuệ nhân tạo gây ra" cho thấy sẽ có một khung xử phạt riêng cho tình huống này, khác với hành vi vi phạm do con người trực tiếp thực hiện. Mức phạt cụ thể nằm ở nghị định.

Biện pháp giảm rủi ro cho doanh nghiệp

Từ cấu trúc trách nhiệm tại Điều 29, các biện pháp thực tế:

Xác định chính xác mức rủi ro của hệ thống — khoản 2 chỉ áp dụng với hệ thống rủi ro cao. Nhưng đừng hạ thấp phân loại để né trách nhiệm: khoản 6 Điều 10 quy định việc khai báo không trung thực dẫn tới yêu cầu tái phân loại hoặc tạm dừng sử dụng;
Đàm phán điều khoản hoàn trả trong hợp đồng — đây là biện pháp có giá trị nhất theo khoản 2;
Duy trì cơ chế giám sát và can thiệp của con người theo điểm d khoản 1 Điều 14 — nó vừa là nghĩa vụ vừa là cách giảm khả năng phát sinh thiệt hại;
Ghi nhật ký đầy đủ theo điểm c khoản 1 Điều 14 — nhật ký là căn cứ xác định nguyên nhân và là cơ sở đòi hoàn trả từ nhà cung cấp;
Đầu tư bảo mật — theo khoản 4, lỗi để hệ thống bị xâm nhập dẫn tới trách nhiệm liên đới;
Xem xét bảo hiểm trách nhiệm cho hoạt động ứng dụng trí tuệ nhân tạo, đặc biệt với hệ thống tác động tới nhiều người;
Chuẩn bị kế hoạch ứng phó sự cố theo Điều 12 — việc xử lý nhanh giảm quy mô thiệt hại và do đó giảm mức bồi thường.

Một lưu ý về hệ thống pháp luật

Điều 33 Luật 134/2025/QH15 bãi bỏ khoản 9 Điều 3, khoản 7 Điều 4, khoản 6 Điều 12, điểm đ khoản 2 Điều 34 và Chương IV của Luật Công nghiệp công nghệ số số 71/2025/QH15.

Chương IV của Luật 71/2025/QH15 là chương quy định về trí tuệ nhân tạo. Như vậy các quy định về trí tuệ nhân tạo nay tập trung tại Luật 134/2025/QH15. Doanh nghiệp rà soát tuân thủ cần lưu ý điểm này để không dẫn chiếu tới quy định đã hết hiệu lực.