Thẩm định nhà cung cấp giải pháp AI cần hỏi những gì?

Bộ câu hỏi cụ thể để đưa vào quy trình mua sắm — mỗi câu gắn với một điều khoản pháp lý và một rủi ro thực tế nếu bỏ qua.

Khi mua giải pháp trí tuệ nhân tạo, doanh nghiệp thường tập trung vào tính năng và giá. Nhưng theo Luật Trí tuệ nhân tạo 134/2025/QH15, phần lớn nghĩa vụ và trách nhiệm bồi thường lại rơi vào bên mua. Bài viết đưa ra bộ câu hỏi thẩm định để đưa vào quy trình mua sắm.

Vì sao bên mua chịu rủi ro lớn

Doanh nghiệp mua và sử dụng giải pháp giữ vai bên triển khai theo khoản 5 Điều 3 Luật 134/2025/QH15.

Khoản 2 Điều 29 quy định: với hệ thống trí tuệ nhân tạo có rủi ro cao được quản lý, vận hành và sử dụng đúng quy định nhưng vẫn phát sinh thiệt hại thì bên triển khai phải chịu trách nhiệm bồi thường cho người bị thiệt hại. Sau khi bồi thường, bên triển khai yêu cầu nhà cung cấp, nhà phát triển hoặc các bên liên quan hoàn trả khoản tiền bồi thường NẾU CÓ THỎA THUẬN GIỮA CÁC BÊN.

Bốn chữ cuối là toàn bộ vấn đề: không có thỏa thuận trong hợp đồng thì bên mua gánh toàn bộ, kể cả khi lỗi nằm ở mô hình của nhà cung cấp.

Đây là lý do việc thẩm định nhà cung cấp và đàm phán hợp đồng phải làm trước khi ký — sau khi đã tích hợp sâu vào vận hành, vị thế đàm phán giảm đáng kể.

Nhóm câu hỏi 1 — về phân loại rủi ro

Hệ thống được phân loại ở mức rủi ro nào?

Khoản 1 Điều 10 quy định nhà cung cấp tự phân loại hệ thống trí tuệ nhân tạo trước khi đưa vào sử dụng. Hệ thống được phân loại là rủi ro trung bình hoặc rủi ro cao phải có hồ sơ phân loại kèm theo.

Yêu cầu cung cấp: kết quả phân loại và hồ sơ phân loại. Nếu nhà cung cấp không có, đó là dấu hiệu đáng lo — hoặc họ chưa tuân thủ, hoặc họ cho rằng nghĩa vụ thuộc về bên mua.

Đã thông báo cho Bộ Khoa học và Công nghệ chưa?

Khoản 3 Điều 10 quy định với hệ thống rủi ro trung bình hoặc cao, nhà cung cấp phải thông báo kết quả phân loại cho Bộ Khoa học và Công nghệ thông qua Cổng thông tin điện tử một cửa về trí tuệ nhân tạo trước khi đưa vào sử dụng.

Yêu cầu cung cấp: bằng chứng đã thông báo.

Nếu chúng tôi tích hợp vào hệ thống của mình thì có phải phân loại lại không?

Khoản 2 Điều 10 quy định bên triển khai được kế thừa kết quả phân loại của nhà cung cấp; trường hợp sửa đổi, tích hợp hoặc thay đổi chức năng làm phát sinh rủi ro mới hoặc rủi ro cao hơn thì phối hợp nhà cung cấp thực hiện phân loại lại.

Cần thỏa thuận trước: nhà cung cấp có nghĩa vụ phối hợp khi cần phân loại lại, và chi phí do bên nào chịu.

Nhóm câu hỏi 2 — về đánh giá sự phù hợp

Đã có kết quả đánh giá sự phù hợp chưa?

Khoản 1 Điều 13 quy định hệ thống rủi ro cao phải được đánh giá sự phù hợp trước khi đưa vào sử dụng hoặc khi có thay đổi đáng kể trong quá trình sử dụng.

Điểm a khoản 2 Điều 13: với hệ thống thuộc danh mục phải chứng nhận sự phù hợp trước khi đưa vào sử dụng, việc đánh giá phải do tổ chức đánh giá sự phù hợp đã được đăng ký hoặc thừa nhận thực hiện. Điểm b: với các hệ thống rủi ro cao khác, nhà cung cấp tự đánh giá hoặc thuê tổ chức.

Yêu cầu cung cấp: kết quả đánh giá, và nếu do tổ chức bên ngoài thực hiện thì tên tổ chức đó.

Ngưỡng nào được coi là "thay đổi đáng kể"?

Mô hình thường được huấn luyện lại định kỳ. Cần thỏa thuận trước: nhà cung cấp thông báo khi nào, và mức thay đổi nào kích hoạt nghĩa vụ đánh giá lại. Khoản 3 Điều 13 cũng yêu cầu tổ chức có hệ thống đã đánh giá duy trì sự phù hợp và công khai thông tin theo quy định của Chính phủ.

Nhóm câu hỏi 3 — về dữ liệu

Dữ liệu huấn luyện có nguồn gốc hợp pháp không?

Khoản 3 Điều 7 nghiêm cấm thu thập, xử lý hoặc sử dụng dữ liệu để phát triển, huấn luyện, kiểm thử hoặc vận hành hệ thống trí tuệ nhân tạo trái với quy định của pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ và an ninh mạng.

Yêu cầu: cam kết bằng văn bản về nguồn gốc hợp pháp của dữ liệu huấn luyện, kèm nghĩa vụ bồi hoàn nếu phát sinh khiếu nại từ bên thứ ba.

Dữ liệu của chúng tôi có được dùng để huấn luyện tiếp không?

Đây là câu hỏi quan trọng nhất với doanh nghiệp có dữ liệu nhạy cảm. Cần điều khoản rõ ràng, không dựa vào cấu hình mặc định có thể thay đổi.

Dữ liệu được xử lý và lưu ở đâu?

Điểm e khoản 2 Điều 26 Luật An ninh mạng 116/2025/QH15 nêu kiểm tra, đánh giá việc chuyển dữ liệu xuyên biên giới là một nội dung bảo đảm an ninh dữ liệu. Cần biết dữ liệu đi đâu và có cơ chế thông báo khi thay đổi.

Nhóm câu hỏi 4 — về minh bạch và giải trình

Hệ thống có cơ chế đánh dấu nội dung ở định dạng máy đọc không?

Khoản 2 Điều 11 quy định nhà cung cấp bảo đảm các nội dung âm thanh, hình ảnh, video do hệ thống trí tuệ nhân tạo tạo ra được đánh dấu ở định dạng máy đọc theo quy định của Chính phủ.

Nếu công cụ không hỗ trợ, doanh nghiệp mua sẽ khó đáp ứng nghĩa vụ liên quan.

Nhà cung cấp cung cấp tài liệu gì để chúng tôi giải trình?

Điểm đ khoản 2 Điều 14 quy định bên triển khai phải thực hiện trách nhiệm giải trình đối với cơ quan nhà nước có thẩm quyền về việc vận hành hệ thống, biện pháp kiểm soát rủi ro, xử lý sự cố; và cung cấp cho người sử dụng và người bị ảnh hưởng các thông tin công khai ở mức mô tả chức năng, cách thức vận hành và cảnh báo rủi ro.

Bên triển khai không tự viết được tài liệu này nếu không có thông tin từ nhà cung cấp. Cần đưa vào hợp đồng nghĩa vụ cung cấp tài liệu mô tả chức năng.

Lưu ý giới hạn: điểm e khoản 1 Điều 14 khẳng định việc giải trình và cung cấp thông tin không được yêu cầu tiết lộ mã nguồn, thuật toán chi tiết, bộ tham số hoặc thông tin thuộc bí mật kinh doanh, bí mật công nghệ — nên yêu cầu ở mức mô tả chức năng là hợp lý và nhà cung cấp không có lý do từ chối.

Nhóm câu hỏi 5 — về giám sát và can thiệp

Hệ thống có cho phép người can thiệp không?

Điểm d khoản 1 Điều 14 quy định nhà cung cấp hệ thống rủi ro cao có trách nhiệm thiết kế hệ thống bảo đảm khả năng giám sát và can thiệp của con người đối với hệ thống.

Điểm b khoản 2 Điều 14 đặt nghĩa vụ tương ứng lên bên triển khai: bảo đảm an toàn, bảo mật dữ liệu và khả năng can thiệp của con người trong quá trình sử dụng.

Cần kiểm tra cụ thể: người dùng có xem được cơ sở của kết quả không, có bác bỏ được kết quả không, và việc bác bỏ có được ghi nhận không.

Hệ thống ghi nhật ký gì và chúng tôi truy cập được không?

Điểm c khoản 1 Điều 14 quy định nhà cung cấp lập, cập nhật, lưu giữ hồ sơ kỹ thuật và nhật ký hoạt động ở mức cần thiết cho việc đánh giá sự phù hợp và kiểm tra sau khi đưa vào sử dụng.

Khoản 3 Điều 28 quy định trong thanh tra, kiểm tra, tổ chức có nghĩa vụ cung cấp hồ sơ kỹ thuật, nhật ký lưu vết, dữ liệu huấn luyện và thông tin cần thiết khác để xác định nguyên nhân vi phạm, sự cố hoặc PHÂN ĐỊNH TRÁCH NHIỆM.

Nếu nhật ký nằm hoàn toàn ở phía nhà cung cấp và bên mua không truy cập được, việc phân định trách nhiệm sau này sẽ bất lợi cho bên mua.

Nhóm câu hỏi 6 — về sự cố

Quy trình thông báo sự cố ra sao?

Điểm a khoản 2 Điều 12 quy định khi có sự cố nghiêm trọng, nhà phát triển, nhà cung cấp phải khẩn trương áp dụng biện pháp kỹ thuật để khắc phục, tạm dừng hoặc thu hồi hệ thống, đồng thời thông báo cho cơ quan có thẩm quyền.

Điểm b khoản 2 Điều 12 đặt lên bên triển khai nghĩa vụ ghi nhận, thông báo kịp thời sự cố và phối hợp trong quá trình khắc phục.

Cần thỏa thuận: ngưỡng nào phải thông báo, kênh nào, trong bao lâu, và ai thông báo cho cơ quan chức năng để tránh cả hai cùng chờ nhau.

Nhà cung cấp có khả năng tạm dừng hoặc thu hồi không?

Khoản 3 Điều 12 quy định cơ quan quản lý khi cần thiết, có quyền yêu cầu tạm dừng, thu hồi hoặc đánh giá lại hệ thống trí tuệ nhân tạo. Nếu nhà cung cấp không có cơ chế kỹ thuật để thực hiện, yêu cầu này khó đáp ứng.

Nhóm câu hỏi 7 — điều khoản hợp đồng bắt buộc

Từ toàn bộ phân tích trên, danh mục điều khoản nên có:

Nghĩa vụ hoàn trả khi bên triển khai đã bồi thường cho người thứ ba — điều khoản quan trọng nhất theo khoản 2 Điều 29;
Phạm vi và mức trần hoàn trả;
Cơ chế xác định nguyên nhân thiệt hại và bên nào chịu chi phí giám định;
Nghĩa vụ cung cấp kết quả phân loại rủi ro và hồ sơ phân loại;
Nghĩa vụ cung cấp kết quả đánh giá sự phù hợp nếu hệ thống rủi ro cao;
Nghĩa vụ cung cấp tài liệu mô tả chức năng phục vụ giải trình;
Cam kết về nguồn gốc hợp pháp của dữ liệu huấn luyện;
Cam kết không dùng dữ liệu của khách hàng để huấn luyện, hoặc phạm vi được phép;
Cam kết về vị trí lưu trữ, xử lý dữ liệu và thông báo khi thay đổi;
Quyền truy cập nhật ký hoạt động;
Nghĩa vụ thông báo khi có thay đổi làm phát sinh rủi ro mới hoặc cao hơn;
Nghĩa vụ thông báo sự cố, kèm ngưỡng và thời hạn;
Nghĩa vụ phối hợp khi cần phân loại lại hoặc đánh giá lại;
Quyền xuất dữ liệu và chuyển sang nhà cung cấp khác — khoản 2 Điều 26 Luật Công nghiệp công nghệ số 71/2025/QH15 cấm gây trở ngại việc này.

Một lưu ý về nhà cung cấp nước ngoài

Điều 2 Luật 134/2025/QH15 quy định Luật áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam và tổ chức, cá nhân nước ngoài tham gia vào hoạt động trí tuệ nhân tạo tại Việt Nam.

Nhà cung cấp nước ngoài cũng thuộc phạm vi điều chỉnh, nên doanh nghiệp Việt Nam có căn cứ để yêu cầu các nội dung nêu trên.

Tuy vậy, nếu hợp đồng quy định luật áp dụng là luật nước ngoài, việc đòi hoàn trả trên thực tế có thể khó khăn và tốn kém hơn — đây là yếu tố cần cân nhắc khi so sánh giữa các nhà cung cấp.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 134/2025/QH15 Điều 10
Luật 134/2025/QH15 Điều 29
Luật 134/2025/QH15 Điều 14

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.

Theo Luật Trí tuệ nhân tạo 2025, thẩm định nhà cung cấp giải pháp AI cần hỏi những gì?