Trí tuệ nhân tạo

Theo Luật Trí tuệ nhân tạo 2025, hệ thống AI rủi ro trung bình và thấp phải tuân thủ những gì?

01/08/2026
1 lượt xem
0 bình luận

Nhẹ hơn nhiều so với rủi ro cao: chủ yếu là nghĩa vụ minh bạch và trách nhiệm giải trình khi được yêu cầu — không có đánh giá sự phù hợp bắt buộc.

Phần lớn hệ thống trí tuệ nhân tạo mà doanh nghiệp Việt Nam đang dùng không thuộc nhóm rủi ro cao. Vì vậy Điều 15 Luật Trí tuệ nhân tạo 134/2025/QH15 mới là điều áp dụng cho đa số — và tin tốt là nghĩa vụ ở đây nhẹ hơn hẳn.

Rủi ro trung bình — bốn nhóm nghĩa vụ

Khoản 1 Điều 15 phân nghĩa vụ theo bốn vai trò.

Điểm a — minh bạch

Nhà cung cấp và bên triển khai phải bảo đảm minh bạch theo quy định tại Điều 11 của Luật này.

Đây là nghĩa vụ trung tâm của nhóm rủi ro trung bình, và điều đó hợp lý: theo điểm b khoản 1 Điều 9, một hệ thống bị xếp vào nhóm này chính vì có khả năng gây nhầm lẫn, tác động hoặc thao túng người sử dụng do không nhận biết được chủ thể tương tác là hệ thống trí tuệ nhân tạo hoặc nội dung do hệ thống tạo ra. Nguyên nhân xếp loại là thiếu minh bạch, nên biện pháp khắc phục cũng là minh bạch.

Cụ thể theo Điều 11: người dùng phải nhận biết được khi đang tương tác với hệ thống; nội dung âm thanh, hình ảnh, video do hệ thống tạo ra phải được đánh dấu ở định dạng máy đọc; bên triển khai phải thông báo rõ ràng khi công bố nội dung có khả năng gây nhầm lẫn về tính xác thực của sự kiện, nhân vật; và phải gắn nhãn dễ nhận biết với nội dung mô phỏng ngoại hình, giọng nói người thật hoặc tái hiện sự kiện thực tế.

Điểm b — giải trình của nhà cung cấp

Nhà cung cấp có trách nhiệm giải trình về mục đích sử dụng, nguyên lý hoạt động ở mức mô tả chức năng, dữ liệu đầu vào chủ yếu và biện pháp quản lý rủi ro, an toàn của hệ thống khi có yêu cầu của cơ quan nhà nước trong thanh tra, kiểm tra hoặc khi có dấu hiệu rủi ro hoặc sự cố.

Ba chi tiết quan trọng:

Nghĩa vụ bị động — chỉ phát sinh khi có yêu cầu, không phải nộp hồ sơ định kỳ;
Mức độ giải trình — "ở mức mô tả chức năng", không đi vào chi tiết kỹ thuật;
Giới hạn bảo vệ — điểm b khẳng định rõ: việc giải trình không yêu cầu tiết lộ mã nguồn, thuật toán chi tiết, bộ tham số hoặc bí mật kinh doanh, bí mật công nghệ.

Giới hạn thứ ba lặp lại tinh thần của điểm e khoản 1 Điều 14 áp dụng cho nhóm rủi ro cao — một nguyên tắc nhất quán xuyên suốt Luật.

Điểm c — giải trình của bên triển khai

Bên triển khai có trách nhiệm giải trình về việc vận hành, kiểm soát rủi ro, xử lý sự cố và bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân khi có yêu cầu của cơ quan nhà nước có thẩm quyền trong quá trình thanh tra, kiểm tra hoặc xử lý sự cố.

Nội dung giải trình của bên triển khai khác nhà cung cấp: không nói về công nghệ mà nói về cách sử dụng công nghệ đó.

Điểm d — người sử dụng

Người sử dụng có trách nhiệm tuân thủ quy định về thông báo, gắn nhãn hệ thống trí tuệ nhân tạo.

Đây là nghĩa vụ ở cấp cá nhân. Trong doanh nghiệp, nó dịch ra thành quy định nội bộ: nhân viên dùng công cụ trí tuệ nhân tạo tạo nội dung phải tuân thủ quy trình gắn nhãn của công ty.

Rủi ro thấp — nghĩa vụ tối thiểu

Khoản 2 Điều 15 quy định ba nội dung:

Điểm a — nhà cung cấp có trách nhiệm giải trình khi có yêu cầu của cơ quan nhà nước có thẩm quyền trong trường hợp có dấu hiệu vi phạm pháp luật hoặc ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân;
Điểm b — bên triển khai có trách nhiệm giải trình trong cùng các trường hợp đó;
Điểm c — người sử dụng có quyền khai thác, sử dụng hệ thống cho các mục đích hợp pháp và tự chịu trách nhiệm trước pháp luật về hoạt động sử dụng của mình.

So với nhóm rủi ro trung bình, điều kiện kích hoạt nghĩa vụ giải trình hẹp hơn rõ rệt. Với rủi ro trung bình, cơ quan nhà nước có thể yêu cầu giải trình trong thanh tra, kiểm tra thông thường. Với rủi ro thấp, phải có dấu hiệu vi phạm pháp luật hoặc ảnh hưởng đến quyền, lợi ích hợp pháp.

Điểm c khoản 2 dùng từ "quyền" chứ không phải nghĩa vụ — cách diễn đạt cho thấy chủ ý của cơ quan soạn thảo là không tạo gánh nặng cho nhóm này. Điều này nhất quán với điểm c khoản 5 Điều 10, nơi ghi rõ việc theo dõi hệ thống rủi ro thấp không làm phát sinh nghĩa vụ không cần thiết cho tổ chức, cá nhân.

Khuyến khích áp dụng tiêu chuẩn — khoản 3

Khoản 3 Điều 15 quy định: Nhà nước khuyến khích tổ chức, cá nhân triển khai hệ thống trí tuệ nhân tạo có rủi ro trung bình và thấp áp dụng tiêu chuẩn kỹ thuật về trí tuệ nhân tạo.

Đây là khuyến khích, không bắt buộc. Nhưng với doanh nghiệp có ý định mở rộng thị trường hoặc bán sản phẩm cho khách hàng lớn, việc áp dụng tiêu chuẩn sớm có giá trị thương mại: nó là bằng chứng khách quan về chất lượng khi đàm phán, và giảm chi phí nếu sau này hệ thống được phân loại lại lên mức cao hơn.

So sánh ba nhóm

Đặt cạnh nhau để thấy chênh lệch gánh nặng tuân thủ:

Rủi ro cao — phải đánh giá sự phù hợp trước khi sử dụng theo Điều 13; thực hiện bảy nhóm trách nhiệm tại khoản 1 Điều 14 nếu là nhà cung cấp; thông báo phân loại cho Bộ Khoa học và Công nghệ; chịu kiểm tra định kỳ;
Rủi ro trung bình — thông báo phân loại cho Bộ Khoa học và Công nghệ; bảo đảm minh bạch theo Điều 11; giải trình khi có yêu cầu; chịu giám sát qua báo cáo, kiểm tra chọn mẫu hoặc đánh giá độc lập;
Rủi ro thấp — không phải thông báo (chỉ được khuyến khích công khai thông tin cơ bản); giải trình khi có dấu hiệu vi phạm hoặc ảnh hưởng quyền lợi.

Rủi ro thực tiễn cần tránh

Cấu trúc phân tầng này tạo ra một cám dỗ rõ ràng: hạ thấp mức phân loại để nhẹ thủ tục. Nhưng khoản 6 Điều 10 quy định khi phát hiện sai lệch hoặc khai báo không trung thực, cơ quan có thẩm quyền yêu cầu tái phân loại, bổ sung hồ sơ hoặc tạm dừng việc sử dụng, đồng thời xử lý theo quy định của pháp luật.

Chi phí của việc bị buộc tạm dừng hệ thống đang phục vụ khách hàng thường lớn hơn nhiều so với chi phí tuân thủ ở mức đúng ngay từ đầu.

Rủi ro thứ hai là trôi mức rủi ro theo thời gian. Một trợ lý ảo ban đầu chỉ trả lời câu hỏi thường gặp, sau đó được mở rộng để tư vấn sản phẩm tài chính, rồi được nối vào hệ thống ra quyết định — mỗi bước mở rộng có thể đẩy hệ thống lên nhóm cao hơn mà không ai rà lại. Khoản 2 Điều 10 đã dự liệu tình huống này khi yêu cầu phân loại lại nếu việc sửa đổi, tích hợp hoặc thay đổi chức năng làm phát sinh rủi ro mới hoặc rủi ro cao hơn.

Biện pháp đơn giản và hiệu quả: gắn bước "rà soát mức rủi ro" vào quy trình phê duyệt thay đổi sản phẩm, để việc đánh giá lại diễn ra tự động theo quy trình thay vì phụ thuộc vào việc ai đó nhớ ra.