Trí tuệ nhân tạo

Theo Luật Trí tuệ nhân tạo 2025, xảy ra sự cố AI nghiêm trọng thì phải làm gì?

01/08/2026
1 lượt xem
0 bình luận

Nhà phát triển và nhà cung cấp phải khắc phục, tạm dừng hoặc thu hồi hệ thống; bên triển khai và người sử dụng phải ghi nhận và thông báo kịp thời.

Điều 12 Luật Trí tuệ nhân tạo 134/2025/QH15 quy định trách nhiệm xử lý khi hệ thống trí tuệ nhân tạo gặp sự cố. Đây là điều mà mọi chủ thể trong chuỗi — từ nhà phát triển tới người sử dụng — đều có phần.

Trách nhiệm chung — khoản 1

Khoản 1 Điều 12 quy định: nhà phát triển, nhà cung cấp, bên triển khai và người sử dụng hệ thống trí tuệ nhân tạo có trách nhiệm bảo đảm an toàn, an ninh, độ tin cậy và kịp thời phát hiện, khắc phục sự cố có khả năng gây tổn hại đến con người, tài sản, dữ liệu hoặc trật tự xã hội.

Điểm đáng chú ý: khoản này liệt kê cả bốn vai trò, kể cả người sử dụng. Nghĩa là trách nhiệm không dồn hết về phía nhà sản xuất.

Ngưỡng áp dụng ở khoản 1 cũng thấp hơn khoản 2: "sự cố có khả năng gây tổn hại", chưa cần đạt mức nghiêm trọng.

Thế nào là sự cố nghiêm trọng

Khoản 8 Điều 3 Luật 134/2025/QH15 định nghĩa: sự cố nghiêm trọng là sự kiện xảy ra trong hoạt động của hệ thống trí tuệ nhân tạo, gây ra hoặc có nguy cơ gây ra thiệt hại đáng kể đến tính mạng, sức khỏe, quyền con người, tài sản, an ninh mạng, trật tự công cộng, môi trường hoặc làm gián đoạn hoạt động của hệ thống thông tin quan trọng về an ninh quốc gia.

Hai điểm cần lưu ý khi áp dụng:

"Hoặc có nguy cơ gây ra" — sự cố được ngăn chặn kịp, chưa gây hậu quả thực tế, vẫn có thể thuộc diện nghiêm trọng nếu nguy cơ đã hiện hữu;
Danh mục đối tượng bị thiệt hại rất rộng — không chỉ tính mạng và tài sản mà cả quyền con người, an ninh mạng, trật tự công cộng, môi trường.

Trong thực tế doanh nghiệp, các tình huống có thể rơi vào nhóm này: hệ thống chấm điểm tự động đưa ra quyết định sai hàng loạt gây thiệt hại cho khách hàng; hệ thống điều khiển tự động vận hành ngoài tham số an toàn; mô hình bị can thiệp và tạo ra đầu ra độc hại trên diện rộng; rò rỉ dữ liệu qua đầu ra của hệ thống.

Trách nhiệm khi có sự cố nghiêm trọng — khoản 2

Nhà phát triển và nhà cung cấp

Điểm a khoản 2 Điều 12 quy định: nhà phát triển, nhà cung cấp phải khẩn trương áp dụng biện pháp kỹ thuật để khắc phục, tạm dừng hoặc thu hồi hệ thống, đồng thời thông báo cho cơ quan có thẩm quyền.

Ba mức biện pháp được nêu theo thứ tự tăng dần:

Khắc phục — sửa lỗi, hệ thống tiếp tục hoạt động;
Tạm dừng — ngừng vận hành trong thời gian xử lý;
Thu hồi — rút hệ thống khỏi thị trường hoặc khỏi các nơi đã triển khai.

Việc chọn mức nào tùy tính chất sự cố, nhưng nghĩa vụ thông báo cho cơ quan có thẩm quyền là bắt buộc trong mọi trường hợp.

Với doanh nghiệp, điều này đòi hỏi phải có sẵn khả năng kỹ thuật để tạm dừng hoặc thu hồi. Một hệ thống đã cài đặt phân tán ở nhiều khách hàng mà không có cơ chế cập nhật hay vô hiệu hóa từ xa sẽ rất khó thực hiện nghĩa vụ này khi cần.

Bên triển khai và người sử dụng

Điểm b khoản 2 Điều 12 quy định: bên triển khai và người sử dụng có nghĩa vụ ghi nhận, thông báo kịp thời sự cố và phối hợp trong quá trình khắc phục.

Nghĩa vụ "ghi nhận" đứng trước "thông báo" — tức phải có cơ chế lưu lại thông tin về sự cố. Điều này liên quan trực tiếp tới việc bật và lưu nhật ký hoạt động của hệ thống: không có nhật ký thì không ghi nhận được gì đáng kể.

Thẩm quyền của cơ quan quản lý — khoản 3

Khoản 3 Điều 12 quy định: cơ quan quản lý nhà nước có thẩm quyền tiếp nhận, xác minh và hướng dẫn xử lý sự cố; khi cần thiết, có quyền yêu cầu tạm dừng, thu hồi hoặc đánh giá lại hệ thống trí tuệ nhân tạo.

Ba quyền này có sức nặng thương mại lớn. "Đánh giá lại" đưa hệ thống quay về quy trình tại Điều 13 — với hệ thống rủi ro cao, đây là quá trình mất thời gian và chi phí.

Kênh báo cáo — khoản 4

Khoản 4 Điều 12 quy định: báo cáo và xử lý sự cố được thực hiện qua cổng thông tin điện tử một cửa về trí tuệ nhân tạo.

Đây là cùng một cổng dùng cho việc thông báo kết quả phân loại. Khoản 1 Điều 8 Luật 134/2025/QH15 xác định cổng này tiếp nhận đăng ký tham gia thử nghiệm có kiểm soát, thông báo kết quả phân loại, báo cáo sự cố nghiêm trọng và báo cáo định kỳ.

Khoản 5 Điều 12 giao Chính phủ quy định việc báo cáo và trách nhiệm của các cơ quan, tổ chức, cá nhân có liên quan phù hợp với mức độ nghiêm trọng của sự cố và phạm vi ảnh hưởng của hệ thống — nên thời hạn báo cáo cụ thể sẽ nằm ở nghị định.

Kế hoạch ứng phó sự cố cần có gì

Từ nội dung Điều 12, một kế hoạch ứng phó tối thiểu cho doanh nghiệp:

Tiêu chí nhận diện — bảng phân loại mức độ sự cố, trong đó ghi rõ tình huống nào đạt ngưỡng "nghiêm trọng" theo khoản 8 Điều 3;
Đầu mối và thẩm quyền — ai được quyết định tạm dừng hệ thống, quyết định trong bao lâu. Đây là điểm hay ách tắc nhất trong thực tế, vì việc dừng hệ thống ảnh hưởng doanh thu;
Khả năng kỹ thuật — cơ chế tạm dừng, thu hồi hoặc quay về phiên bản trước, đã được kiểm thử chứ không chỉ có trên giấy;
Nhật ký hoạt động — bật, lưu đủ lâu, và bảo đảm không bị ghi đè khi có sự cố;
Quy trình báo cáo — ai lập, ai duyệt, gửi qua cổng một cửa;
Kênh phối hợp với đối tác — với bên triển khai, hợp đồng cần nêu rõ nghĩa vụ thông báo cho nhà cung cấp và ngược lại.

Việc diễn tập kịch bản sự cố ít nhất một lần trước khi Luật có hiệu lực giúp phát hiện những điểm nghẽn mà văn bản quy trình không lộ ra. Trong các cuộc diễn tập kiểu này, vấn đề bộc lộ thường không nằm ở kỹ thuật mà ở khâu ra quyết định: không ai dám dừng hệ thống vì sợ trách nhiệm, hoặc người có thẩm quyền không liên lạc được ngoài giờ hành chính.

Phân định trách nhiệm giữa các bên trong hợp đồng

Vì Điều 12 đặt nghĩa vụ lên nhiều chủ thể cùng lúc, hợp đồng giữa nhà cung cấp và bên triển khai nên làm rõ những nội dung sau để tránh tranh chấp khi sự cố xảy ra:

Ngưỡng thông báo — bên triển khai phải báo cho nhà cung cấp trong trường hợp nào, qua kênh nào, trong thời hạn bao lâu;
Quyền tạm dừng — nhà cung cấp có quyền đơn phương tạm dừng dịch vụ khi phát hiện sự cố hay không, và hệ quả với nghĩa vụ dịch vụ đã cam kết;
Nghĩa vụ cung cấp nhật ký — bên triển khai giữ nhật ký vận hành, nhà cung cấp cần dữ liệu này để xác định nguyên nhân; cần thỏa thuận trước phạm vi và cách thức chia sẻ, có tính tới nghĩa vụ bảo vệ dữ liệu cá nhân;
Ai đứng ra báo cáo cơ quan quản lý — điểm a khoản 2 Điều 12 đặt nghĩa vụ thông báo lên nhà phát triển và nhà cung cấp, nhưng bên triển khai vẫn có nghĩa vụ thông báo theo điểm b. Việc thống nhất trước tránh tình trạng cả hai cùng chờ nhau;
Phân chia chi phí khắc phục và cơ chế xác định lỗi thuộc về bên nào.

Mối liên hệ với nghĩa vụ theo pháp luật khác

Một sự cố trí tuệ nhân tạo thường đồng thời là sự cố theo nhiều đạo luật. Nếu sự cố làm lộ dữ liệu cá nhân, nghĩa vụ theo pháp luật về bảo vệ dữ liệu cá nhân phát sinh song song. Nếu sự cố liên quan đến hệ thống thông tin quan trọng về an ninh quốc gia — trường hợp được nêu ngay trong định nghĩa tại khoản 8 Điều 3 — thì nghĩa vụ theo pháp luật về an ninh mạng cũng áp dụng.

Vì vậy kế hoạch ứng phó nên được xây dựng chung cho mọi loại sự cố công nghệ, với các nhánh xử lý riêng theo từng nhóm nghĩa vụ, thay vì lập nhiều quy trình rời rạc do các bộ phận khác nhau quản lý. Cách làm rời rạc dẫn tới việc cùng một sự kiện được báo cáo không nhất quán ở các kênh khác nhau, và đó là rủi ro pháp lý tự tạo ra.