Pháp luật về AI và dữ liệu cá nhân
Khi bạn cài một ứng dụng rồi bấm nút đồng ý để được dùng ngay, khi bạn nhờ AI viết một bài đăng rồi chia sẻ như của mình, hay khi bạn ký hợp đồng thuê trọ qua điện thoại, bạn đang bước vào những vùng đã có pháp luật điều chỉnh. Từ năm 2023 đến 2026, Việt Nam ban hành một loạt luật mới đặt ra luật chơi cho trí tuệ nhân tạo và dữ liệu cá nhân.
Chương này không biến bạn thành luật sư. Mục tiêu khiêm tốn hơn nhưng quan trọng hơn với bạn: biết mình có quyền gì, phải làm gì và không được làm gì. Ba trục chính là Luật Trí tuệ nhân tạo, Luật Bảo vệ dữ liệu cá nhân và Luật Giao dịch điện tử.
Thử ngay: xếp tình huống vào mức rủi ro
Luật Trí tuệ nhân tạo số 134/2025/QH15 xếp hệ thống AI vào ba mức rủi ro là cao, trung bình và thấp, nghĩa vụ nặng nhẹ tương ứng. Hãy thử xếp các tình huống dưới đây vào đúng bậc thang, mục 1 sẽ giải thích kỹ từng mức.
1. Luật Trí tuệ nhân tạo số 134/2025/QH15
Đây là đạo luật đầu tiên của Việt Nam điều chỉnh riêng về trí tuệ nhân tạo, có hiệu lực từ ngày 01/3/2026. Luật áp dụng cho mọi tổ chức, cá nhân tham gia nghiên cứu, phát triển, cung cấp, triển khai và sử dụng hệ thống AI tại Việt Nam. Với phần lớn sinh viên, vai trò liên quan nhất là người sử dụng.
Luật điều chỉnh toàn bộ vòng đời của một hệ thống AI, từ lúc nghiên cứu cho tới lúc người dùng cuối bấm nút. Một nguyên tắc xuyên suốt: trí tuệ nhân tạo phục vụ con người, không thay thế vai trò quyết định cuối cùng của con người, và con người luôn phải giữ được khả năng giám sát, can thiệp vào hệ thống.
Phân loại rủi ro ba mức
Điểm cốt lõi của luật là cách tiếp cận theo rủi ro. Thay vì quản lý mọi hệ thống AI như nhau, luật phân loại hệ thống thành ba mức và đặt nghĩa vụ nặng nhẹ tương ứng. Hệ thống càng có khả năng gây hại hoặc gây hiểu nhầm thì nghĩa vụ kiểm soát càng cao.
- Rủi ro cao: hệ thống có thể gây thiệt hại đáng kể đến tính mạng, sức khỏe, quyền và lợi ích hợp pháp của tổ chức, cá nhân, lợi ích công cộng, an ninh quốc gia.
- Rủi ro trung bình: hệ thống có khả năng gây nhầm lẫn, tác động hoặc thao túng người dùng, do họ không nhận biết được mình đang tương tác với AI hoặc đang xem nội dung do AI tạo ra.
- Rủi ro thấp: hệ thống không thuộc hai trường hợp trên, ít khả năng gây hại.
Minh bạch và gắn nhãn nội dung do AI tạo
Đây là phần chạm trực tiếp tới đời sống của mọi người dùng. Luật yêu cầu nhà cung cấp và bên triển khai thiết lập cơ chế để người dùng nhận biết khi đang tương tác với hệ thống AI. Đặc biệt, nội dung âm thanh, hình ảnh, video được tạo ra hoặc chỉnh sửa bằng AI nhằm mô phỏng người thật hoặc sự kiện thực tế phải được gắn nhãn để dễ nhận biết, nhằm phân biệt nội dung thật với nội dung do AI tạo và hạn chế thông tin sai lệch.
Khi chính bạn dùng AI tạo một bức ảnh, một đoạn lồng tiếng hay một video rồi đăng công khai, nhất là khi nội dung mô phỏng người thật, hãy ghi rõ đây là nội dung do AI tạo.
Với tư cách người dùng, bạn có quyền được biết mình đang tương tác với AI, được cảnh báo về rủi ro, và được pháp luật bảo vệ khi hệ thống AI gây thiệt hại. Đổi lại, bạn có nghĩa vụ dùng AI đúng mục đích, không tạo nội dung giả mạo để lừa đảo, bôi nhọ hay xuyên tạc, và không xóa bỏ hay làm sai lệch các nhãn, cảnh báo bắt buộc của hệ thống.
Một sinh viên dùng công cụ AI tạo đoạn video trong đó một giảng viên phát biểu những câu người đó chưa bao giờ nói, rồi đăng lên nhóm lớp cho vui, không ghi chú gì. Nhiều bạn tưởng thật và chia sẻ tiếp, gây hiểu nhầm về quan điểm của giảng viên.
Câu hỏi thảo luận: hành vi này vi phạm nghĩa vụ nào trong Luật Trí tuệ nhân tạo 2025? Nếu video có gắn nhãn rõ ràng thì rủi ro pháp lý và đạo đức thay đổi ra sao, và liệu gắn nhãn đã đủ để được phép đăng chưa?
Ai chịu trách nhiệm khi hệ thống AI gây hại
Một câu hỏi tự nhiên đặt ra: nếu một hệ thống AI đưa ra kết quả sai và gây thiệt hại, ai là người phải chịu? Luật Trí tuệ nhân tạo tiếp cận theo chuỗi vai trò, chứ không dồn hết cho một phía. Bên nghiên cứu và phát triển chịu trách nhiệm về chất lượng và độ an toàn của mô hình mình tạo ra. Bên cung cấp phải bảo đảm hệ thống khi đưa ra thị trường đáp ứng các yêu cầu về minh bạch và kiểm soát. Bên triển khai, tức tổ chức đưa hệ thống vào dùng trong thực tế, phải giám sát vận hành, gắn nhãn khi cần và tiếp nhận khiếu nại của người bị ảnh hưởng. Người sử dụng cuối cũng có phần của mình: dùng đúng mục đích, không cố ý lạm dụng, không gỡ bỏ nhãn hay cảnh báo.
Nguyên tắc xuyên suốt là con người vẫn giữ quyền quyết định cuối cùng, nên không ai được lấy lý do máy làm chứ không phải tôi để trốn trách nhiệm. Khi một quyết định có hệ trọng, chẳng hạn tuyển dụng, cấp tín dụng hay chẩn đoán, luôn cần một con người đứng ra chịu trách nhiệm về kết quả, dù kết quả đó có sự tham gia của AI. Với sinh viên, ý nghĩa thực tế nằm ở chỗ: khi bạn dùng đầu ra của AI cho một sản phẩm hay một quyết định, chính bạn là người ký tên vào kết quả, và trách nhiệm không tự động chuyển sang công cụ.
2. Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Luật Dữ liệu 60/2024/QH15
Luật Dữ liệu số 60/2024/QH15 đặt khung chung về xây dựng, quản trị và khai thác dữ liệu trong nền kinh tế số, trong đó dữ liệu cá nhân là loại dữ liệu được bảo vệ đặc biệt. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ 01/01/2026, đi sâu vào quyền của con người đối với chính dữ liệu của mình.
Dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, hình ảnh, âm thanh hoặc dạng tương tự gắn với một con người cụ thể hoặc giúp xác định một con người cụ thể. Luật chia thành hai nhóm:
- Dữ liệu cá nhân cơ bản: thông tin nhân thân phổ biến, thường xuyên sử dụng. Ví dụ họ tên, ngày sinh, giới tính, số điện thoại, địa chỉ, số căn cước.
- Dữ liệu cá nhân nhạy cảm: thông tin gắn liền với quyền riêng tư, nếu bị xâm phạm sẽ ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp. Ví dụ tình trạng sức khỏe, dữ liệu sinh trắc học, quan điểm chính trị, đời sống tình dục, dữ liệu về tội phạm. Nhóm này được bảo vệ chặt chẽ hơn.
Quyền của chủ thể dữ liệu
Chủ thể dữ liệu là cá nhân mà dữ liệu cá nhân phản ánh, nói gọn là chính bạn đối với dữ liệu của bạn. Luật trao cho bạn một loạt quyền để kiểm soát dữ liệu của mình trong suốt vòng đời, từ lúc thu thập tới lúc xóa.
Dưới đây là vòng đời của một dữ liệu cá nhân, với quyền hoặc nghĩa vụ gắn liền ở từng chặng. Đây chỉ là tinh thần của quy định, chi tiết quyền cụ thể xem bảng ngay bên dưới.
| Quyền | Nghĩa là gì | Ví dụ thực hiện |
|---|---|---|
| Được biết | Biết dữ liệu của mình bị thu thập, dùng vào việc gì, ai giữ | Đọc thông báo quyền riêng tư trước khi cài ứng dụng |
| Đồng ý và rút đồng ý | Tự quyết định cho hay không cho xử lý dữ liệu, rút lại bất cứ lúc nào | Tắt quyền truy cập danh bạ, hủy đăng ký nhận tin |
| Truy cập và xem | Yêu cầu được xem dữ liệu mà bên xử lý đang giữ về mình | Yêu cầu dịch vụ cung cấp bản sao dữ liệu của bạn |
| Chỉnh sửa | Yêu cầu sửa dữ liệu sai hoặc đã cũ | Cập nhật lại địa chỉ, số điện thoại bị nhập sai |
| Xóa | Yêu cầu xóa dữ liệu khi không còn cần thiết hoặc khi rút đồng ý | Yêu cầu xóa tài khoản và toàn bộ dữ liệu liên quan |
| Hạn chế và phản đối | Yêu cầu ngừng hoặc giới hạn việc xử lý dữ liệu của mình | Phản đối việc dùng dữ liệu để quảng cáo nhắm đối tượng |
| Khiếu nại, khởi kiện, bồi thường | Khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường khi bị vi phạm | Báo cơ quan chức năng khi dữ liệu bị rò rỉ, lạm dụng |
Nguyên tắc đồng ý
Về nguyên tắc, việc xử lý dữ liệu cá nhân chỉ hợp pháp khi có sự đồng ý của chủ thể dữ liệu, trừ một số trường hợp luật cho phép. Sự đồng ý phải rõ ràng, tự nguyện, cho một mục đích cụ thể, và chủ thể phải được biết trước dữ liệu dùng làm gì.
Gắn liền với đồng ý là nguyên tắc mục đích. Dữ liệu thu thập cho một việc thì về nguyên tắc chỉ được dùng đúng việc đó, muốn dùng cho mục đích mới thì phải hỏi lại. Một ứng dụng xin dữ liệu để giao hàng rồi lặng lẽ dùng chính dữ liệu ấy để dựng hồ sơ quảng cáo là đã đi ra ngoài phạm vi đồng ý ban đầu, dù người dùng từng bấm nút đồng ý một lần. Cũng vì thế, đồng ý cho một dịch vụ hôm nay không có nghĩa là đồng ý cho mọi việc dịch vụ đó nghĩ ra về sau.
Đồng ý không phải là cái bấm cho qua. Nó hợp lệ khi: bạn được nói rõ dữ liệu dùng vào việc gì, bạn tự nguyện chọn, và bạn có thể rút lại bất cứ lúc nào. Một dịch vụ ép bạn cho toàn bộ quyền truy cập mới cho dùng tính năng cơ bản là dấu hiệu cần cảnh giác.
Cấm mua bán dữ liệu cá nhân
Luật Bảo vệ dữ liệu cá nhân nghiêm cấm hành vi mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác. Hành vi này có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm theo quy định. Vì vậy, mua một danh sách số điện thoại để gửi quảng cáo cho dự án khởi nghiệp là hành vi bị cấm, dù người bán nói dữ liệu đó công khai.
Nhiều người nghĩ rằng thông tin ai đó tự đăng công khai lên mạng xã hội thì mặc nhiên được gom lại và dùng cho mục đích khác. Tinh thần của Luật Bảo vệ dữ liệu cá nhân không như vậy. Việc một dữ liệu đang ở trạng thái công khai không xóa bỏ quyền của chủ thể đối với dữ liệu đó, cũng không biến nó thành thứ được tự do mua bán hay dùng sai mục đích ban đầu. Thu thập dữ liệu công khai để dựng hồ sơ, gọi điện tiếp thị hay huấn luyện một hệ thống mà không có cơ sở hợp pháp vẫn có thể là vi phạm.
Bạn không chỉ là chủ thể dữ liệu, bạn cũng thường xuyên xử lý dữ liệu của người khác: lưu danh bạ, làm khảo sát cho đồ án, quản lý danh sách lớp. Khi đó bạn phải có cơ sở hợp pháp trước khi thu thập, chỉ dùng đúng mục đích đã nói, giữ an toàn không để rò rỉ, và không tự ý chia sẻ hay bán dữ liệu của người khác.
Dán tin nhắn riêng, ảnh, số điện thoại của người khác vào một công cụ AI để nhờ xử lý vừa có thể xâm phạm quyền riêng tư của họ, vừa khiến dữ liệu rời khỏi tầm kiểm soát của bạn. Hãy ẩn danh hoặc xin phép chủ thể trước.
Một nhóm sinh viên làm đồ án xây dựng ứng dụng đặt lịch. Để tiện, ứng dụng âm thầm đọc toàn bộ danh bạ và lịch sử vị trí của người dùng rồi lưu lên máy chủ, dù tính năng đặt lịch không cần những dữ liệu đó. Thông báo quyền riêng tư chỉ là một dòng chữ mờ ở cuối màn hình đăng ký.
Câu hỏi thảo luận: ứng dụng vi phạm nguyên tắc nào của Luật Bảo vệ dữ liệu cá nhân 2025, đặc biệt về đồng ý và mục đích thu thập? Nhóm nên thiết kế lại phần xin phép ra sao cho đúng luật?
3. Luật Giao dịch điện tử số 20/2023/QH15
Ngày càng nhiều giao dịch của sinh viên diễn ra trên môi trường điện tử: đăng ký học phần, ký xác nhận qua ứng dụng, mua hàng trực tuyến, thuê trọ qua nền tảng. Luật Giao dịch điện tử số 20/2023/QH15, hiệu lực từ 01/7/2024, xác định giá trị pháp lý của những giao dịch này. Ở mức người dùng, cần nắm ba ý.
Thông điệp dữ liệu là thông tin được tạo ra, gửi, nhận và lưu trữ bằng phương tiện điện tử, ví dụ một email, một tin nhắn, một tệp hợp đồng số. Nguyên tắc cốt lõi: thông tin trong thông điệp dữ liệu không bị phủ nhận giá trị pháp lý chỉ vì nó ở dạng điện tử.
Chữ ký điện tử dùng để xác nhận người ký và sự chấp thuận của người đó với nội dung thông điệp dữ liệu. Chữ ký điện tử bảo đảm an toàn theo quy định có thể có giá trị pháp lý tương đương chữ ký tay.
Hợp đồng điện tử là hợp đồng được thiết lập dưới dạng thông điệp dữ liệu, và không bị phủ nhận giá trị pháp lý chỉ vì được lập ở dạng điện tử. Theo Luật Giao dịch điện tử, thông báo dưới dạng thông điệp dữ liệu trong giao kết và thực hiện hợp đồng điện tử có giá trị pháp lý như thông báo bằng văn bản giấy.
Một cú bấm đồng ý hay một chữ ký điện tử trên ứng dụng có thể ràng buộc bạn về pháp lý y như ký giấy. Hãy đọc kỹ trước khi xác nhận, lưu lại bằng chứng giao dịch, và cảnh giác với những đường liên kết ký số đáng ngờ.
Ôn nhanh thuật ngữ
Bấm từng thẻ để lật xem định nghĩa. Đây là những từ khóa bạn cần nắm để hiểu quyền và nghĩa vụ của mình.
Tự kiểm
- 1Luật Trí tuệ nhân tạo của Việt Nam có số hiệu và ngày hiệu lực nào?
- 2Theo Luật Trí tuệ nhân tạo 2025, hệ thống AI có khả năng gây nhầm lẫn, thao túng do người dùng không nhận ra mình đang tương tác với AI thuộc nhóm nào?
- 3Theo Luật Trí tuệ nhân tạo 2025, nội dung âm thanh, hình ảnh, video do AI tạo ra để mô phỏng người thật phải làm gì?
- 4Thông tin nào sau đây là dữ liệu cá nhân nhạy cảm?
- 5Theo Luật Bảo vệ dữ liệu cá nhân 2025, hành vi nào bị nghiêm cấm?
- 6Bạn cần nhờ AI tóm tắt loạt tin nhắn khách hàng có tên và số điện thoại để làm báo cáo thực tập. Cách làm đúng luật nhất là gì?