Luật Trí tuệ nhân tạo số 134/2025/QH15 sẽ chính thức có hiệu lực từ ngày 1/3/2026. Ở thời điểm hiện tại, phần lớn doanh nghiệp mới chỉ tiếp cận Luật AI qua các thông tin tổng hợp, trong khi các văn bản hướng dẫn chi tiết vẫn đang ở dạng dự thảo. Điều này dẫn đến một câu hỏi rất thực tế mà tôi gặp liên tục khi tư vấn: chúng tôi phải làm gì ngay từ ngày 1/3/2026, và làm ở mức tối thiểu nào để không rơi vào rủi ro pháp lý.
Bài viết này không nhằm giải thích lại toàn bộ Luật AI, mà tập trung đọc dự thảo nghị định hướng dẫn dưới góc nhìn doanh nghiệp đang triển khai và vận hành hệ thống AI, đặc biệt trong các lĩnh vực ngân hàng, y tế, giáo dục, viễn thông và hạ tầng thiết yếu. Mục tiêu là rút ra một checklist tuân thủ tối thiểu, đủ để doanh nghiệp hành động ngay, không làm quá tay nhưng cũng không làm cho có.
Ba nguyên tắc cần nắm trước khi đọc checklist
Thứ nhất, Luật AI Việt Nam không áp dụng cơ chế xin phép trước đối với việc sử dụng AI. Doanh nghiệp được quyền triển khai AI, nhưng phải tự phân loại rủi ro và chịu trách nhiệm với cách phân loại đó.
Thứ hai, nghĩa vụ tuân thủ không giống nhau cho mọi hệ thống AI. Luật và dự thảo nghị định phân tách rõ ba mức rủi ro: thấp, trung bình và cao. Rủi ro càng cao thì nghĩa vụ càng nặng.
Thứ ba, cơ chế quản lý trọng tâm là hậu kiểm dựa trên khai báo và giám sát, thông qua Cổng thông tin điện tử một cửa về trí tuệ nhân tạo. Doanh nghiệp không bị kiểm soát trước, nhưng phải sẵn sàng giải trình khi có sự cố hoặc thanh tra.
Bước 1. Doanh nghiệp cần xác định đúng vai của mình
Trước khi nói đến rủi ro, doanh nghiệp cần xác định mình đang đóng vai trò gì trong hệ sinh thái AI. Có hai trường hợp phổ biến. Một là doanh nghiệp tự phát triển hoặc tùy biến sâu hệ thống AI và đưa vào vận hành. Hai là doanh nghiệp mua, thuê hoặc tích hợp giải pháp AI của bên thứ ba. Trong trường hợp thứ hai, nếu doanh nghiệp thay đổi đáng kể mục đích sử dụng, dữ liệu đầu vào, hoặc cách dùng kết quả AI để ra quyết định, thì trên thực tế doanh nghiệp vẫn phải phân loại lại rủi ro, không thể mặc định theo nhà cung cấp.
Bước 2. Checklist tuân thủ theo ba mức rủi ro
1. Hệ thống AI rủi ro thấp
Đây là nhóm hệ thống AI phục vụ hỗ trợ nội bộ, tối ưu quy trình kỹ thuật, hoặc phân tích dữ liệu không tác động trực tiếp đến quyền, lợi ích hợp pháp của con người. Với nhóm này, luật không đặt ra nghĩa vụ khai báo hay đánh giá sự phù hợp.
Tuy nhiên, doanh nghiệp vẫn nên có một hồ sơ phân loại nội bộ, bao gồm mô tả mục đích sử dụng, dữ liệu chính, phạm vi triển khai và lý do xác định là rủi ro thấp. Mục tiêu của hồ sơ này không phải để nộp, mà để chứng minh rằng doanh nghiệp đã thực hiện nghĩa vụ tự đánh giá một cách có trách nhiệm.
Doanh nghiệp cần đặc biệt lưu ý ba tình huống có thể đẩy hệ thống từ rủi ro thấp lên rủi ro trung bình: tương tác trực tiếp với con người nhưng không thông báo đó là AI; tạo nội dung có khả năng gây nhầm lẫn về tính xác thực; và tạo hình ảnh, âm thanh, video giả mạo mà không có cơ chế nhận diện.
2. Hệ thống AI rủi ro trung bình
Hệ thống AI rủi ro trung bình là các hệ thống có tương tác với con người hoặc tạo nội dung do AI sinh ra, nhưng chưa đến mức ảnh hưởng trực tiếp và nghiêm trọng tới quyền con người. Điểm khác biệt quan trọng so với rủi ro thấp là nghĩa vụ khai báo.
Với nhóm này, doanh nghiệp phải thực hiện khai báo kết quả phân loại trên Cổng thông tin điện tử một cửa về AI và nhận mã định danh hệ thống. Đây là thủ tục mang tính khai báo, không phải xin phép triển khai.
Ngoài ra, doanh nghiệp phải thực hiện các nghĩa vụ minh bạch, bao gồm thông báo rõ ràng khi người dùng đang tương tác với AI, và gắn nhãn nhận biết đối với nội dung do AI tạo ra, đặc biệt là âm thanh, hình ảnh và video.
3. Hệ thống AI rủi ro cao
Đây là nhóm hệ thống mà doanh nghiệp cần đặc biệt thận trọng. Theo dự thảo Danh mục hệ thống AI rủi ro cao, nhiều lĩnh vực có khả năng nằm trong nhóm này, bao gồm y tế, giáo dục, ngân hàng, viễn thông, năng lượng và hạ tầng thiết yếu.
Với AI rủi ro cao, doanh nghiệp phải thực hiện ba nghĩa vụ chính. Thứ nhất là khai báo trên Cổng thông tin điện tử một cửa tương tự nhóm rủi ro trung bình. Thứ hai là đánh giá sự phù hợp bắt buộc trước khi đưa hệ thống vào sử dụng, nhằm chứng minh hệ thống đáp ứng các yêu cầu quản trị rủi ro, minh bạch và kiểm soát của con người.
Thứ ba, trong một số trường hợp cụ thể, doanh nghiệp phải thực hiện chứng nhận sự phù hợp bắt buộc thông qua tổ chức đánh giá được chỉ định, ví dụ như hệ thống nhận dạng sinh trắc học từ xa trong không gian công cộng, hoặc hệ thống AI là thành phần của sản phẩm, hàng hóa bắt buộc kiểm định theo pháp luật chuyên ngành.
Bước 3. Nghĩa vụ sau khi đưa AI vào vận hành
Tuân thủ Luật AI không dừng lại ở thời điểm triển khai. Doanh nghiệp có nghĩa vụ giám sát hệ thống trong suốt vòng đời vận hành, và báo cáo sự cố nghiêm trọng trong khung thời gian từ 24 đến 72 giờ tùy mức độ ảnh hưởng. Trong trường hợp có thay đổi lớn về mục đích sử dụng, dữ liệu hoặc phạm vi triển khai, doanh nghiệp cần thực hiện đánh giá và phân loại lại rủi ro.
Kết luận cho doanh nghiệp
Luật AI không hỏi doanh nghiệp có sử dụng AI hay không. Luật đặt ra một yêu cầu khác: doanh nghiệp có hiểu hệ thống AI của mình đang tạo ra rủi ro gì và đã chuẩn bị năng lực quản trị tương ứng hay chưa. Với cách tiếp cận dựa trên rủi ro, doanh nghiệp không cần làm mọi thứ cùng lúc, nhưng cần làm đúng những việc tối thiểu ngay từ 1/3/2026 để tránh rơi vào trạng thái bị động và đối phó.