TP. Hồ Chí Minh, Ngày 3 tháng 9 năm 2026
Việt Nam là quốc gia đầu tiên tại Đông Nam Á đưa một đạo luật toàn diện về trí tuệ nhân tạo vào thực thi. Phản ánh “Hiệu ứng Brussels” ngày càng rõ nét trong lĩnh vực quản lý AI, Luật Trí tuệ nhân tạo của Việt Nam, có hiệu lực từ ngày 1 tháng 3 năm 2026 (“Luật AI” hoặc “Luật”), áp dụng mô hình quản lý dựa trên mức độ rủi ro, với nhiều điểm tương đồng về cấu trúc so với Đạo luật AI của Liên minh Châu Âu.
Mặc dù Điều 7 quy định riêng về các hoạt động bị cấm, còn Điều 9 phân loại hệ thống AI thành ba mức độ rủi ro, khi nhìn vào bức tranh tổng thể, Luật AI của Việt Nam trên thực tế thiết lập bốn nhóm điều chỉnh: (1) hoạt động AI bị cấm, (2) hệ thống AI có rủi ro cao, (3) hệ thống AI có rủi ro trung bình và (4) hệ thống AI có rủi ro thấp.
Hệ thống AI có rủi ro cao phải tuân thủ các yêu cầu nghiêm ngặt nhất, trong đó nghĩa vụ cụ thể phụ thuộc vào vai trò của từng chủ thể trong chuỗi giá trị AI. Nhìn chung, các nhà cung cấp phải gánh vác nhiều nghĩa vụ đa dạng và đáp ứng các yêu cầu chặt chẽ hơn so với bên triển khai.
Quyết định số 33/2026/QĐ-TTg (“Quyết định 33”), có hiệu lực từ ngày 15 tháng 8 năm 2026, tiếp tục cụ thể hóa cơ chế này bằng việc ban hành Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao.
Trong bài viết này, chúng tôi tập trung vào các yêu cầu tuân thủ chính áp dụng đối với hệ thống AI có rủi ro cao theo Luật AI của Việt Nam.
Thế nào là hệ thống AI có “rủi ro cao”?
Theo Luật AI, hệ thống AI có rủi ro cao là hệ thống có thể gây thiệt hại đáng kể đến tính mạng, sức khỏe, quyền và lợi ích hợp pháp của tổ chức, cá nhân, lợi ích quốc gia, lợi ích công cộng, an ninh quốc gia. Việc phân loại xem xét các yếu tố như tác động đến quyền con người, an toàn và an ninh; lĩnh vực sử dụng; phạm vi người dùng và quy mô tác động; mức độ tự động hóa; vai trò của hệ thống trong việc ra quyết định cuối cùng; cũng như mức độ giám sát và can thiệp của con người theo Nghị định số 142/2026/NĐ-CP (“Nghị định 142”).
Quyết định 33 liệt kê 46 hệ thống AI có rủi ro cao thuộc sáu lĩnh vực gồm giáo dục, dân tộc và tôn giáo, y tế, ngân hàng, tố tụng và giao thông vận tải. Danh mục bao gồm, chẳng hạn, một số hệ thống AI được sử dụng để tự động đánh giá hoặc xếp hạng người học, hỗ trợ phẫu thuật, tự động thực hiện giao dịch ngân hàng hoặc quyết định cấp tín dụng mà không có sự phê duyệt độc lập của con người, cũng như các hệ thống AI thực hiện một số chức năng điều khiển và vận hành giao thông có ảnh hưởng trực tiếp đến an toàn.
Việc phân loại phụ thuộc vào mô tả cụ thể và các điều kiện áp dụng đối với từng hệ thống được liệt kê. Nghị định 142 nhìn chung loại trừ các hệ thống chỉ thực hiện việc xử lý dữ liệu theo phạm vi nhất định mà không trực tiếp ảnh hưởng đến quyền hoặc lợi ích hợp pháp; các hệ thống chịu sự xem xét thực chất và độc lập của con người trước khi quyết định có hiệu
lực; các hệ thống chỉ được sử dụng cho mục đích quản trị nội bộ; và các hệ thống mà kết quả phân tích, dự báo, đánh giá hoặc khuyến nghị không phải là cơ sở duy nhất để đưa ra quyết định cuối cùng.
Các nghĩa vụ tuân thủ chính
Đối với hệ thống AI có rủi ro cao, các yêu cầu tuân thủ chính bao gồm:
- Phân loại và thông báo: Nhà cung cấp phải tự phân loại hệ thống AI trước khi đưa hệ thống vào sử dụng. Đối với hệ thống rủi ro cao, phải lập hồ sơ phân loại và thông báo kết quả phân loại cho Bộ Khoa học và Công nghệ trước khi đưa hệ thống vào sử dụng. Trường hợp bên triển khai sửa đổi, tích hợp hoặc thay đổi chức năng của hệ thống theo cách tạo ra rủi ro mới hoặc mức độ rủi ro cao hơn, bên triển khai phải phối hợp với nhà cung cấp để thực hiện phân loại lại hệ thống.
- Quản lý rủi ro và quản trị dữ liệu: Nhà cung cấp phải thiết lập và duy trì hệ thống quản lý rủi ro phù hợp với mục đích sử dụng, phạm vi triển khai và mức độ rủi ro của hệ thống, đồng thời bảo đảm chất lượng, tính phù hợp và tính đại diện của dữ liệu huấn luyện, kiểm thử và đánh giá có liên quan. Bên triển khai phải quản lý rủi ro trong quá trình vận hành, giám sát hệ thống để phát hiện sai lệch, rủi ro và sự cố, đồng thời duy trì cơ chế giám sát phù hợp của con người.
- Đánh giá sự phù hợp: Mọi hệ thống AI có rủi ro cao phải được đánh giá sự phù hợp trước khi đưa vào sử dụng và được đánh giá lại khi có thay đổi đáng kể ảnh hưởng đến kết quả đánh giá ban đầu. Hệ thống thuộc trường hợp bắt buộc chứng nhận sự phù hợp phải được đánh giá bởi tổ chức đánh giá sự phù hợp đã đăng ký hoặc được thừa nhận. Đối với các hệ thống AI có rủi ro cao khác, nhà cung cấp có thể tự thực hiện đánh giá hoặc sử dụng tổ chức đánh giá sự phù hợp đủ điều kiện.
- Tài liệu, giám sát của con người và tính minh bạch: Nhà cung cấp phải lập, cập nhật và lưu giữ hồ sơ kỹ thuật và nhật ký hoạt động theo yêu cầu, đồng thời thiết kế hệ thống bảo đảm khả năng giám sát và can thiệp của con người. Nhà cung cấp và bên triển khai còn phải thực hiện các nghĩa vụ về minh bạch và xử lý sự cố, bao gồm các yêu cầu áp dụng về thông báo và gắn nhãn đối với nội dung do AI tạo ra. Việc tuân thủ nhìn chung không yêu cầu tiết lộ mã nguồn, thuật toán chi tiết, bộ tham số mô hình hoặc bí mật kinh doanh, bí mật công nghệ được pháp luật bảo hộ.
- Trách nhiệm bồi thường: Trường hợp hệ thống AI có rủi ro cao được quản lý, vận hành và sử dụng đúng quy định pháp luật nhưng vẫn gây thiệt hại, bên triển khai phải bồi thường cho người bị thiệt hại, trừ các trường hợp được miễn trách nhiệm theo quy định của pháp luật. Sau khi bồi thường, bên triển khai có thể yêu cầu nhà cung cấp, nhà phát triển hoặc các bên liên quan hoàn trả khoản tiền bồi thường nếu các bên có thỏa thuận về việc phân bổ trách nhiệm này.
Doanh nghiệp cần làm gì tiếp theo?
Đối với doanh nghiệp, bước đầu tiên để tuân thủ là xác định xem hệ thống AI của mình có thuộc danh mục hệ thống AI rủi ro cao theo Quyết định 33 hay không, bằng cách đối chiếu với mô tả và điều kiện áp dụng tương ứng.
Thời hạn tuân thủ sau đó sẽ phụ thuộc vào thời điểm hệ thống được đưa vào vận hành. Đối với hệ thống rủi ro cao đã vận hành trước ngày 15/8/2026, thời hạn tuân thủ là trước ngày 1/9/2027 đối với hệ thống thuộc lĩnh vực y tế, giáo dục và tài chính,* và trước ngày 1/3/2027 đối với hệ thống thuộc các lĩnh vực còn lại. Đối với hệ thống được đưa vào vận hành trong vòng sáu tháng kể từ ngày 15/8/2026, thời hạn tuân thủ là trước ngày 1/3/2027.
* Điều 4.1(a) sử dụng thuật ngữ “lĩnh vực tài chính”, trong khi Phụ lục xác định “lĩnh vực ngân hàng” là một trong sáu lĩnh vực thuộc Danh mục. Quyết định 33 không làm rõ sự khác biệt về thuật ngữ này.
—
Đọc các phần trước tại đây: Phần 1| Phần 2
—
Nếu doanh nghiệp đang phát triển, cung cấp hoặc triển khai các hệ thống AI, vui lòng liên hệ đội ngũ của chúng tôi để được tư vấn phù hợp về các yêu cầu tuân thủ:
📧 info@indochinecounsel.com
☎️ (+84) 28 3823 9640
