Trong làn sóng bùng nổ của Trí tuệ nhân tạo (AI), Generative AI (GenAI) và các giải pháp học máy (Machine Learning), rất nhiều doanh nghiệp đang tích cực ứng dụng AI vào chăm sóc khách hàng (Chatbot), phân tích dữ liệu, tự động hóa tuyển dụng, chấm công khuôn mặt hoặc huấn luyện mô hình riêng. Tuy nhiên, việc khai thác dữ liệu người dùng nạp vào AI tiềm ẩn rủi ro vi phạm pháp luật rất lớn. Doanh nghiệp cần nắm vững khung pháp lý theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP để vừa ứng dụng công nghệ đột phá, vừa tuân thủ pháp luật bảo vệ dữ liệu một cách an toàn và bền vững.
1. Khung pháp lý điều chỉnh hoạt động AI và Xử lý dữ liệu cá nhân#
Theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP:
• Dữ liệu từ kết quả suy luận (Inference Data) hoặc phân tích của AI nếu có thể định danh một cá nhân cụ thể đều được coi là Dữ liệu cá nhân và chịu sự điều chỉnh của Luật.
• Hoạt động nạp dữ liệu vào AI để huấn luyện (Training), tinh chỉnh (Fine-tuning) hay xử lý qua prompt được xác định là một hoạt động xử lý dữ liệu độc lập, đòi hỏi phải có căn cứ pháp lý riêng biệt thay vì dùng chung sự đồng ý của dịch vụ ban đầu.
• Doanh nghiệp phải thông báo minh bạch cho người dùng biết hệ thống có sử dụng AI để phân tích dữ liệu hoặc ra quyết định tự động.
2. Bốn rủi ro pháp lý nghiêm trọng khi doanh nghiệp ứng dụng AI#
1. Rò rỉ dữ liệu cá nhân lên các công cụ AI công cộng (Public GenAI): Nhân viên vô tình đưa danh sách khách hàng, báo cáo tài chính, thông tin nhân sự vào ChatGPT/Claude tài khoản miễn phí — nơi dữ liệu mặc định bị thu thập để huấn luyện lại mô hình công cộng.
2. Thu thập dữ liệu trái phép qua Web Scraping/Crawling: Sử dụng bot tự động quét hàng triệu thông tin cá nhân trên mạng xã hội, diễn đàn để gom dữ liệu nạp vào AI mà không có sự đồng ý của chủ thể dữ liệu.
3. Vi phạm quy định về chuyển dữ liệu ra nước ngoài: Sử dụng API của các nhà cung cấp AI nước ngoài (OpenAI, Anthropic, Google Cloud AI) mà máy chủ đặt ngoài lãnh thổ Việt Nam mà chưa hoàn thiện hồ sơ báo cáo Cục A05.
4. Quyết định tự động mang tính thiên vị và phân biệt đối xử (Algorithmic Bias): Ứng dụng AI chấm điểm ứng viên tuyển dụng hoặc từ chối cấp tín dụng tự động mà không giải trình được logic thuật toán và không có sự can thiệp của con người.
3. Căn cứ pháp lý hợp lệ khi sử dụng dữ liệu để huấn luyện (Train) mô hình AI#
Để sử dụng dữ liệu khách hàng hoặc nhân sự phục vụ việc train/fine-tune AI mà không vi phạm pháp luật, doanh nghiệp cần dựa vào 2 cơ sở cốt lõi:
a) Thu thập sự đồng ý riêng biệt (Explicit Consent Opt-in): Cung cấp tùy chọn rõ ràng cho phép người dùng đồng ý hoặc từ chối việc dữ liệu của họ được sử dụng cho mục đích huấn luyện AI. Nếu người dùng rút lại sự đồng ý (Withdraw Consent), doanh nghiệp phải có cơ chế loại bỏ dữ liệu khỏi tập dữ liệu huấn luyện hoặc áp dụng kỹ thuật Machine Unlearning.
b) Áp dụng Kỹ thuật Khử nhận dạng và Ẩn danh hóa nâng cao: Sử dụng các phương pháp kỹ thuật như K-Anonymity, L-Diversity hoặc Differential Privacy để loại bỏ hoàn toàn khả năng tái nhận dạng danh tính. Khi dữ liệu đã trở thành dữ liệu phi cá nhân (Anonymous Data), doanh nghiệp có thể tự do sử dụng để train AI.
4. Quyền của Chủ thể dữ liệu đối với Hệ thống AI & Quyết định tự động#
Luật PDPD 91/2025/QH15 trao cho chủ thể dữ liệu các quyền pháp lý mạnh mẽ khi tương tác với các hệ thống AI:
• Quyền được biết và giải trình thuật toán (Right to Explanation): Cá nhân có quyền yêu cầu doanh nghiệp giải thích logic hoạt động của thuật toán và các tiêu chí dẫn đến quyết định tác động đến họ.
• Quyền yêu cầu sự can thiệp của con người (Human Intervention): Cá nhân có quyền phản đối kết quả tự động của AI và yêu cầu chuyên viên con người trực tiếp đánh giá lại hồ sơ của mình.
• Quyền từ chối thu thập dữ liệu sinh trắc học: Doanh nghiệp sử dụng camera AI hoặc máy chấm công nhận diện khuôn mặt bắt buộc phải có phương án thay thế (thẻ từ, mã PIN) cho nhân sự không đồng ý cung cấp dữ liệu sinh trắc học.
5. Yêu cầu lập Báo cáo Đánh giá tác động DPIA cho Hệ thống AI#
Theo Nghị định 356/2025/NĐ-CP, việc phát triển hoặc ứng dụng AI xử lý dữ liệu cá nhân quy mô lớn, dữ liệu nhạy cảm hoặc ra quyết định tự động thuộc danh mục hoạt động rủi ro cao. Doanh nghiệp bắt buộc phải lập Báo cáo Đánh giá tác động DPIA nộp Cục A05 (Bộ Công an) trước khi chính thức vận hành hệ thống AI.
6. Checklist 7 bước quản trị AI nội bộ (AI Governance Checklist)#
1. Ban hành Quy chế sử dụng AI nội bộ (Internal AI Policy) nghiêm cấm đưa dữ liệu mật và dữ liệu cá nhân lên công cụ AI miễn phí.
2. Thực hiện Data Mapping xác định toàn bộ nguồn dữ liệu đầu vào nạp vào các mô hình AI/Chatbot.
3. Lọc bỏ (Data Cleaning) và khử nhận dạng dữ liệu trước khi đưa vào đường ống huấn luyện (Data Pipeline).
4. Cập nhật Privacy Notice và thiết lập cơ chế xin Consent riêng biệt cho việc ứng dụng AI.
5. Thẩm định điều khoản bảo mật và ký hợp đồng DPA với các nhà cung cấp dịch vụ AI/Cloud SaaS.
6. Lập và nộp hồ sơ báo cáo DPIA cho Cục An ninh mạng A05 theo đúng quy định.
7. Thiết lập cơ chế kiểm toán thuật toán (Audit) và quy trình phúc khảo quyết định tự động bởi con người.
Kết luận & Giải pháp tư vấn AI Compliance từ LexData#
Ứng dụng AI là tương lai của năng suất doanh nghiệp, nhưng tuân thủ pháp luật dữ liệu là rào chắn an toàn để phát triển bền vững. LexData cung cấp dịch vụ tư vấn Quản trị Dữ liệu AI (AI Data Governance), thẩm định thuật toán và lập hồ sơ DPIA chuyên biệt cho các dự án AI, giúp doanh nghiệp tự tin dẫn đầu công nghệ mà không đối mặt với rủi ro pháp lý.