Luật Trí tuệ nhân tạo: doanh nghiệp xây chính sách dùng AI nội bộ

Luật Trí tuệ nhân tạo có hiệu lực từ 1/3/2026 và Nghị định 142/2026/NĐ-CP hướng dẫn có hiệu lực từ 1/5/2026. Doanh nghiệp dùng AI trong vận hành, kể cả chỉ là chatbot chăm sóc khách hàng hay công cụ chấm điểm hồ sơ, cần biết mình đóng vai gì trong chuỗi giá trị AI, hệ thống đang dùng thuộc mức rủi ro nào, và có quy định nội bộ để nhân viên dùng AI đúng cách. Bài này tập trung vào phần quản trị bên trong doanh nghiệp, không bàn chuyện gắn nhãn nội dung truyền thông.

Xác định vai trò của doanh nghiệp

Theo phân tích của luật sư đăng trên Tạp chí Luật sư Việt Nam, luật chia các chủ thể thành bốn nhóm:

• Bên phát triển: trực tiếp xây hoặc tinh chỉnh mô hình, thuật toán, hệ thống.
• Bên cung cấp: đưa hệ thống ra thị trường, kể cả dưới thương hiệu của mình; phải tự phân loại rủi ro trước khi đưa vào sử dụng.
• Bên triển khai: dùng hệ thống dưới sự kiểm soát của mình cho mục đích nghề nghiệp, thương mại hoặc cung cấp dịch vụ.
• Người dùng cuối: dùng cho mục đích cá nhân.

Phần lớn doanh nghiệp vừa và nhỏ là bên triển khai: mua phần mềm có tích hợp AI hoặc gọi API của nhà cung cấp lớn. Nhưng khi doanh nghiệp đóng gói một công cụ AI dưới thương hiệu riêng để bán cho khách, vai trò chuyển thành bên cung cấp với nghĩa vụ nặng hơn.

Ba mức rủi ro theo Nghị định 142/2026

Theo bản tóm lược Nghị định 142/2026 của Luật Việt An, việc phân loại áp dụng cho hệ thống AI chứ không phải mô hình nền tảng:

Một chi tiết quan trọng với bên triển khai: nếu doanh nghiệp thay đổi chức năng hoặc mục đích của hệ thống và tạo ra rủi ro mới, có thể phải phân loại lại. Ví dụ một chatbot hỏi đáp chung được điều chỉnh để tư vấn khoản vay cho khách hàng là thay đổi đáng kể về mục đích.

Nghị định cũng quy định báo cáo sự cố nghiêm trọng: báo cáo sơ bộ trong 72 giờ với trường hợp khẩn cấp hoặc mất kiểm soát, trong 5 ngày làm việc với sự cố nghiêm trọng khác, và báo cáo kết quả khắc phục trong 15 ngày sau báo cáo sơ bộ. Hệ thống đã vận hành trước 1/3/2026 phải thông báo trên cổng trong 60 ngày kể từ khi nghị định có hiệu lực, kèm phương án tuân thủ hoặc chuyển đổi.

Lập danh mục AI đang dùng trong công ty

Bước đầu tiên nhiều doanh nghiệp bỏ qua là đơn giản biết mình đang dùng những công cụ nào. Nhân viên thường tự đăng ký tài khoản AI để viết email, tóm tắt tài liệu, phân tích dữ liệu bán hàng mà bộ phận IT không hay biết. Một bảng danh mục tối thiểu nên có các cột:

• tên công cụ, nhà cung cấp, bộ phận sử dụng;
• mục đích sử dụng và loại dữ liệu đưa vào;
• có tác động trực tiếp đến khách hàng hay chỉ dùng nội bộ;
• có ra quyết định tự động ảnh hưởng đến quyền lợi của ai không, ví dụ duyệt hồ sơ, chấm điểm ứng viên;
• người chịu trách nhiệm theo dõi.

Danh mục này cũng giúp đối chiếu với các hành vi bị cấm tại Điều 7 của luật, chẳng hạn khuyến nghị tự động không có giám sát của con người gây hại cho khách hàng, hoặc xử lý dữ liệu cá nhân trái phép.

Viết chính sách dùng AI nội bộ

Chính sách không cần dài. Một văn bản hai đến ba trang, rõ ràng, thường hiệu quả hơn bộ quy chế mấy chục trang không ai đọc. Các nội dung nên có:

1. Công cụ được phép: danh sách công cụ đã được duyệt, tài khoản doanh nghiệp thay cho tài khoản cá nhân.
2. Dữ liệu không được đưa vào: dữ liệu cá nhân khách hàng, hợp đồng mật, báo cáo tài chính chưa công bố, trừ khi công cụ đã được đánh giá về bảo mật.
3. Nguyên tắc con người kiểm tra: mọi đầu ra AI gửi cho khách hàng hoặc dùng để ra quyết định nhân sự, tín dụng phải có người duyệt.
4. Minh bạch với khách hàng: khi khách đang nói chuyện với chatbot, phải cho họ biết đó là AI.
5. Báo cáo sự cố: ai nhận báo cáo, trong bao lâu, để kịp các mốc thời hạn của nghị định.
6. Đào tạo: mỗi nhân viên mới được hướng dẫn chính sách trong tuần đầu.

Nếu doanh nghiệp đang triển khai AI để tự động hóa quy trình, bài ứng dụng AI trong quản trị doanh nghiệp bàn về cách chọn quy trình phù hợp. Chính sách tuân thủ nên được thiết kế song song, không phải sau khi đã triển khai xong.

Ai chịu trách nhiệm trong doanh nghiệp

Với công ty nhỏ, giao một người ở vị trí quản lý vận hành hoặc pháp chế làm đầu mối là đủ. Công ty lớn hơn có thể lập nhóm gồm IT, pháp chế, nhân sự và đại diện bộ phận kinh doanh, họp định kỳ để rà danh mục. Quan trọng là trách nhiệm được ghi rõ, vì khi có sự cố, câu hỏi đầu tiên luôn là ai đã duyệt việc sử dụng công cụ đó.

Quản trị AI cũng là một phần của chuyển đổi số doanh nghiệp, không phải dự án riêng lẻ của phòng IT.

Hỗ trợ dành cho doanh nghiệp nhỏ

Luật và nghị định có cơ chế thử nghiệm có kiểm soát (sandbox), trong đó doanh nghiệp nhỏ và vừa có thể được giảm một số nghĩa vụ tuân thủ khi thử nghiệm giải pháp AI mới. Doanh nghiệp khởi nghiệp có thể được ưu tiên tiếp cận hạ tầng tính toán, dữ liệu và Quỹ Phát triển trí tuệ nhân tạo quốc gia. Điều kiện cụ thể nên tra cứu trên cổng thông tin một cửa về AI do Bộ Khoa học và Công nghệ vận hành. Bài viết mang tính thông tin chung; với hệ thống có thể thuộc nhóm rủi ro cao, nên tham vấn luật sư.