Tập hợp các câu hỏi doanh nghiệp hay đặt ra nhất, kèm câu trả lời ngắn gọn có dẫn chiếu điều khoản cụ thể.
Bài viết tập hợp mười câu hỏi doanh nghiệp thường đặt ra nhất khi tìm hiểu nhóm năm đạo luật công nghệ, kèm câu trả lời ngắn có dẫn chiếu.
1. Doanh nghiệp tôi nhỏ, có phải tuân thủ không?
Có, nhưng ở mức nhẹ hơn nhiều so với tổ chức lớn.
Khoản 3 Điều 10 Luật An ninh mạng 116/2025/QH15 quy định chủ quản hệ thống thông tin thuộc Cấp độ 1, Cấp độ 2 thực hiện đầy đủ các nhiệm vụ quy định tại khoản 1 và theo nhu cầu, khả năng thực tế lựa chọn áp dụng biện pháp quy định tại khoản 2.
Sáu nhiệm vụ tại khoản 1 là bắt buộc; tám biện pháp tại khoản 2 thì lựa chọn.
Khoản 1 Điều 8 Luật Chuyển đổi số 148/2025/QH15 cũng nêu rõ: với hệ thống số của tổ chức, doanh nghiệp không thuộc nhóm bắt buộc, Nhà nước khuyến khích áp dụng theo khả năng và nhu cầu.
2. Dùng công cụ AI có sẵn thì phải làm gì?
Doanh nghiệp chỉ sử dụng, không tinh chỉnh, giữ vai bên triển khai theo khoản 5 Điều 3 Luật Trí tuệ nhân tạo 134/2025/QH15.
Khoản 2 Điều 10 cho phép bên triển khai kế thừa kết quả phân loại của nhà cung cấp — không phải tự phân loại, không phải thông báo cho Bộ Khoa học và Công nghệ.
Nghĩa vụ còn lại: bảo đảm an toàn, nguyên vẹn của hệ thống; thực hiện nghĩa vụ minh bạch theo Điều 11; và phân loại lại nếu sửa đổi, tích hợp hoặc thay đổi chức năng làm phát sinh rủi ro mới hoặc rủi ro cao hơn.
3. Có phải mọi nội dung do AI tạo ra đều phải gắn nhãn?
Không. Khoản 3 Điều 11 Luật 134/2025/QH15 chỉ yêu cầu thông báo nếu nội dung đó có khả năng gây nhầm lẫn về tính xác thực của sự kiện, nhân vật.
Khoản 4 Điều 11 yêu cầu gắn nhãn dễ nhận biết với nội dung mô phỏng, giả lập ngoại hình, giọng nói của người thật hoặc tái hiện sự kiện thực tế.
Hình minh họa trừu tượng, biểu đồ, hình nền trang trí không thuộc hai trường hợp trên.
4. Hộp thoại tự động trên website có thuộc phạm vi không?
Có. Điểm b khoản 1 Điều 9 Luật 134/2025/QH15 xếp hệ thống có khả năng gây nhầm lẫn, tác động hoặc thao túng người sử dụng do không nhận biết được chủ thể tương tác là hệ thống trí tuệ nhân tạo vào nhóm rủi ro trung bình.
Nghĩa vụ chính: khoản 1 Điều 11 yêu cầu bảo đảm người sử dụng nhận biết khi đang tương tác với hệ thống — thực hiện qua thiết kế và vận hành, không phải một dòng trong điều khoản sử dụng.
5. Nếu AI đưa ra kết quả sai gây thiệt hại thì ai chịu?
Khoản 2 Điều 29 Luật 134/2025/QH15: với hệ thống rủi ro cao được quản lý, vận hành, sử dụng đúng quy định nhưng vẫn phát sinh thiệt hại thì bên triển khai phải chịu trách nhiệm bồi thường cho người bị thiệt hại. Sau khi bồi thường mới yêu cầu nhà cung cấp hoàn trả nếu có thỏa thuận giữa các bên.
Bốn chữ cuối quyết định: không có thỏa thuận trong hợp đồng thì không đòi được. Đây là lý do quan trọng nhất để đàm phán điều khoản trách nhiệm khi mua giải pháp.
6. Chữ ký nào có giá trị như chữ ký tay?
Khoản 2 Điều 23 Luật Giao dịch điện tử 20/2023/QH15: chữ ký điện tử chuyên dùng bảo đảm an toàn hoặc chữ ký số có giá trị pháp lý tương đương chữ ký của cá nhân đó trong văn bản giấy.
Chỉ hai loại này. Các hình thức xác nhận khác — bấm nút đồng ý, nhập mã xác thực một lần — theo khoản 4 Điều 22 không phải là chữ ký điện tử và thực hiện theo quy định khác của pháp luật.
7. Có thể bỏ lưu trữ giấy hoàn toàn không?
Khoản 2 Điều 13 Luật 20/2023/QH15: trừ trường hợp pháp luật có quy định khác, cơ quan, tổ chức, cá nhân được lựa chọn lưu trữ dưới dạng văn bản giấy hoặc dưới dạng thông điệp dữ liệu khi đáp ứng các yêu cầu tại khoản 1.
Khoản 3 Điều 13 khẳng định việc lưu trữ thông điệp dữ liệu có giá trị như lưu trữ văn bản giấy.
Ba điều kiện tại khoản 1: truy cập và sử dụng được để tham chiếu; lưu trong khuôn dạng phù hợp; và lưu theo cách cho phép xác định nguồn gốc khởi tạo, người gửi, người nhận, thời gian gửi, nhận.
Điều kiện thứ ba là yêu cầu về siêu dữ liệu — điểm nhiều tổ chức bỏ sót.
8. Giao dịch nào không được làm điện tử?
Khoản 3 Điều 1 Luật 20/2023/QH15 đặt nguyên tắc mở: trường hợp luật khác quy định hoặc KHÔNG quy định giao dịch được thực hiện bằng phương tiện điện tử thì được áp dụng theo quy định của Luật này. Trường hợp luật khác quy định không được thực hiện giao dịch bằng phương tiện điện tử thì thực hiện theo quy định của luật đó.
Nghĩa là mặc định là được. Chỉ khi có quy định cấm rõ ràng ở luật chuyên ngành thì mới không thực hiện điện tử được.
9. Có bắt buộc đào tạo nhân viên không?
Có, ở hai chỗ.
Điểm e khoản 1 Điều 10 Luật 116/2025/QH15 đặt tổ chức tuyên truyền, nâng cao nhận thức về an ninh mạng là một trong sáu nhiệm vụ bắt buộc với mọi chủ quản hệ thống thông tin.
Khoản 5 Điều 17 Luật 148/2025/QH15 quy định doanh nghiệp, tổ chức sử dụng lao động có trách nhiệm tổ chức đào tạo, bồi dưỡng, phổ cập năng lực số cơ bản cho người lao động.
Hai nghĩa vụ này có thể gộp vào một chương trình chung.
10. Còn bao lâu để chuẩn bị?
- Luật Giao dịch điện tử 20/2023/QH15 — đã có hiệu lực từ 01/7/2024 theo khoản 1 Điều 52;
- Luật Công nghiệp công nghệ số 71/2025/QH15 — 01/01/2026 theo khoản 1 Điều 50;
- Luật Trí tuệ nhân tạo 134/2025/QH15 — 01/3/2026 theo Điều 34;
- Luật An ninh mạng 116/2025/QH15 — 01/7/2026 theo khoản 1 Điều 44;
- Luật Chuyển đổi số 148/2025/QH15 — 01/7/2026 theo khoản 1 Điều 47.
Kèm hai thời hạn chuyển tiếp: khoản 1 Điều 45 Luật 116/2025/QH15 cho 12 tháng để nâng cấp biện pháp với hệ thống đã xác định cấp độ theo quy định cũ; khoản 1 Điều 35 Luật 134/2025/QH15 cho 12 tháng — hoặc 18 tháng với lĩnh vực y tế, giáo dục, tài chính — để hoàn tất tuân thủ với hệ thống trí tuệ nhân tạo đã đưa vào hoạt động trước ngày Luật có hiệu lực.
Ba việc nên làm ngay, không cần chờ hướng dẫn
Nhiều ngưỡng định lượng còn chờ nghị định. Nhưng ba việc sau không phụ thuộc văn bản hướng dẫn và có giá trị ngay:
- Kiểm kê — lập danh sách hệ thống thông tin và ứng dụng trí tuệ nhân tạo đang dùng, kèm ngày đưa vào hoạt động. Đây là nền cho mọi bước sau, và ngày đưa vào hoạt động quyết định có được hưởng chuyển tiếp hay không;
- Rà soát tài khoản — cấp riêng cho từng người, thu hồi khi nghỉ việc, bật xác thực hai lớp. Khoản 2 Điều 42 Luật 116/2025/QH15 đặt trách nhiệm bảo mật tài khoản lên chủ tài khoản và người sử dụng;
- Sao lưu và kiểm thử khôi phục — biện pháp có tỷ lệ hiệu quả trên chi phí cao nhất, và là điều duy nhất thực sự cứu được doanh nghiệp trong sự cố mã hóa dữ liệu.
Ba việc này mất khoảng hai đến ba ngày làm việc của một người, và giải quyết phần lớn rủi ro thực tế mà doanh nghiệp gặp phải.
Đọc thêm cùng chủ đề
- Website bán hàng của doanh nghiệp cần đáp ứng những gì?
- Tự phát triển hay mua giải pháp AI — nghĩa vụ khác nhau thế nào?
- Doanh nghiệp 10-50 người cần làm gì để tuân thủ luật công nghệ?
Căn cứ pháp lý
- Luật 148/2025/QH15 Điều 8
- Luật 134/2025/QH15 Điều 9
- Luật 116/2025/QH15 Điều 10
Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.