Luật Trí tuệ nhân tạo của Việt Nam có hiệu lực từ khi nào?

Luật Trí tuệ nhân tạo số 134/2025/QH15 được Quốc hội thông qua ngày 10/12/2025 và có hiệu lực từ ngày 01/03/2026. Theo các bản tóm tắt pháp lý, hệ thống AI đã vận hành trước ngày này có thời gian chuyển tiếp từ 12 đến 18 tháng. Doanh nghiệp nên đối chiếu văn bản chính thức để xác định thời hạn cụ thể cho hệ thống của mình.

Luật AI có bắt buộc gắn nhãn nội dung do AI tạo ra không?

Có. Theo các bản tóm tắt pháp lý, Điều 11 yêu cầu gắn nhãn âm thanh, hình ảnh và video do AI tạo ra mô phỏng người thật hoặc sự kiện có thật. Doanh nghiệp dùng AI cho tiếp thị, video đào tạo hay giọng nói tổng hợp cần gắn nhãn rõ ràng và lưu hồ sơ nội dung đã tạo. Hình thức nhãn cụ thể cần đối chiếu văn bản chính thức.

Luật Bảo vệ dữ liệu cá nhân ảnh hưởng thế nào đến dự án AI?

Theo Tilleke & Gibbins, Luật 91/2025/QH15 có hiệu lực từ 01/01/2026 yêu cầu đánh giá tác động khi xử lý dữ liệu cá nhân và thông báo sự cố trong vòng 72 giờ. Hệ thống AI xử lý dữ liệu khách hàng hoặc nhân viên đều thuộc phạm vi. Vi phạm chuyển dữ liệu xuyên biên giới có thể bị phạt đến 5% doanh thu năm trước.

Luật AI Việt Nam 2025: Checklist tuân thủ cho doanh nghiệp

Luật Trí tuệ nhân tạo 134/2025/QH15 có hiệu lực từ ngày 01/03/2026. Doanh nghiệp triển khai AI cần kiểm kê hệ thống AI, phân loại rủi ro từng hệ thống, gắn nhãn nội dung do AI tạo mô phỏng người thật hoặc sự kiện thật, giữ vai trò quyết định của con người, và xử lý dữ liệu cá nhân theo Luật 91/2025/QH15, gồm đánh giá tác động và thông báo sự cố trong 72 giờ.

Đây không phải tư vấn pháp lý. Bài viết tổng hợp thông tin công khai để tham khảo. Một số chi tiết đến từ các bản tóm tắt pháp lý thứ cấp và được ghi chú rõ trong bài. Doanh nghiệp cần đối chiếu văn bản chính thức và tham khảo luật sư trước khi ra quyết định tuân thủ.

Năm 2026, những văn bản nào điều chỉnh việc dùng AI tại Việt Nam?

Với doanh nghiệp triển khai AI, có ba văn bản quan trọng nhất.

Văn bản	Tình trạng	Nội dung chính
Luật Trí tuệ nhân tạo 134/2025/QH15	Thông qua 10/12/2025, hiệu lực 01/03/2026	Phân loại rủi ro (thấp, trung bình, cao), hành vi bị cấm (Điều 7), gắn nhãn nội dung do AI tạo (Điều 11)
Nghị định 142/2026/NĐ-CP	Hướng dẫn thi hành Luật AI	Phân loại trước khi đưa vào sử dụng, phối hợp phân loại lại, đánh giá sự phù hợp với hệ thống rủi ro cao
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15	Thông qua 26/06/2025, hiệu lực 01/01/2026	Đánh giá tác động, thông báo sự cố trong 72 giờ, mức phạt cao hơn

Theo tóm tắt của Vietcetera và Apolat Legal, Luật AI gồm 8 chương, 35 điều. Theo VietnamPlus, Nghị định 142 yêu cầu nhà cung cấp phân loại hệ thống AI trước khi đưa vào sử dụng, bên triển khai phối hợp khi phân loại lại, và quy định đánh giá sự phù hợp với hệ thống rủi ro cao. Các nội dung về Luật Bảo vệ dữ liệu cá nhân dựa trên phân tích của Tilleke & Gibbins.

Luật AI gắn với Nghị quyết 57-NQ/TW như thế nào?

Nghị quyết 57-NQ/TW ngày 22/12/2024 định hướng phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia. Theo VietnamPlus, mục tiêu về AI là đưa Việt Nam vào nhóm ba nước dẫn đầu Đông Nam Á về nghiên cứu và phát triển AI vào năm 2030.

Luật AI tạo khung pháp lý cho mục tiêu đó. Với doanh nghiệp, tuân thủ là điều kiện để dùng AI ở quy mô lớn mà vẫn giữ được niềm tin của khách hàng, cơ quan quản lý và người lao động.

Doanh nghiệp chỉ dùng công cụ AI có phải tuân thủ không?

Có. Nghị định 142 quy định nghĩa vụ cho cả nhà cung cấp, tức bên xây dựng hoặc cung cấp hệ thống AI, và bên triển khai, tức bên sử dụng hệ thống trong hoạt động của mình. Nhiều doanh nghiệp đóng cả hai vai. Một công ty xây dựng agent nội bộ trên mô hình của hãng khác vừa cung cấp agent đó cho nhân viên, vừa triển khai mô hình của hãng.

Câu hỏi thực tế là doanh nghiệp giữ vai trò nào với từng hệ thống. Hãy trả lời câu hỏi này cho từng hệ thống trong danh mục kiểm kê.

Mức xử phạt là bao nhiêu?

Theo các bản tóm tắt pháp lý, mức phạt theo Luật AI lên đến 2 tỷ đồng với tổ chức và 1 tỷ đồng với cá nhân, có thể đến 2% doanh thu tại Việt Nam trong trường hợp nghiêm trọng. Đây là số liệu từ nguồn thứ cấp, cần đối chiếu với văn bản luật.

Theo Tilleke & Gibbins, Luật Bảo vệ dữ liệu cá nhân quy định mức phạt đến 5% doanh thu năm trước đối với vi phạm chuyển dữ liệu xuyên biên giới.

Cũng theo các bản tóm tắt pháp lý, hệ thống AI đã vận hành trước ngày 01/03/2026 có thời gian chuyển tiếp từ 12 đến 18 tháng. Hãy xác nhận trong văn bản chính thức thời hạn nào áp dụng cho hệ thống của bạn.

Checklist tuân thủ AI cho doanh nghiệp

Bảng dưới đây chuyển ba văn bản trên thành đầu việc có người phụ trách. Hãy dùng làm điểm xuất phát khi làm việc với luật sư.

#	Đầu việc	Cách làm trong thực tế	Căn cứ	Người phụ trách thường gặp
1	Kiểm kê hệ thống AI	Liệt kê mọi công cụ và agent AI đang dùng, kể cả tính năng AI trong phần mềm SaaS và công cụ cá nhân của nhân viên. Ghi rõ mục đích, dữ liệu, người dùng và nhà cung cấp.	Luật AI; Nghị định 142	Giám đốc công nghệ hoặc trưởng IT
2	Phân loại rủi ro	Xếp từng hệ thống vào mức thấp, trung bình hoặc cao và ghi lại lập luận. Phối hợp với nhà cung cấp khi phân loại. Lên kế hoạch đánh giá sự phù hợp cho hệ thống rủi ro cao.	Phân loại rủi ro theo Luật AI; Nghị định 142	Pháp chế và quản trị rủi ro, cùng IT
3	Rà soát hành vi bị cấm	Đối chiếu từng tình huống sử dụng với các hành vi bị cấm tại Điều 7.	Điều 7 Luật AI	Pháp chế
4	Gắn nhãn nội dung do AI tạo	Gắn nhãn âm thanh, hình ảnh, video do AI tạo mô phỏng người thật hoặc sự kiện thật. Lập sổ theo dõi nội dung đã tạo.	Điều 11 Luật AI	Marketing và truyền thông
5	Duy trì giám sát của con người	Chỉ định người chịu trách nhiệm cho từng hệ thống. Bắt buộc con người duyệt trước khi kết quả AI trở thành quyết định về khách hàng, nhân sự hoặc tiền. Ghi nhật ký phê duyệt.	Cách tiếp cận dựa trên rủi ro của Luật AI; xác nhận nghĩa vụ theo mức rủi ro	Chủ quy trình
6	Đánh giá tác động xử lý dữ liệu cá nhân	Đánh giá từng trường hợp dùng AI có xử lý dữ liệu cá nhân. Cập nhật khi mục đích, dữ liệu hoặc nhà cung cấp thay đổi.	Luật 91/2025	Người phụ trách bảo vệ dữ liệu hoặc pháp chế
7	Sẵn sàng thông báo sự cố trong 72 giờ	Mở rộng quy trình xử lý sự cố sang công cụ AI: phát hiện, người quyết định, thông báo trong 72 giờ, và nhật ký cho biết AI đã truy cập dữ liệu nào.	Luật 91/2025	An toàn thông tin
8	Chặt chẽ hợp đồng nhà cung cấp	Quy định vị trí lưu dữ liệu, cam kết không huấn luyện trên dữ liệu công ty, bên xử lý phụ, chuyển dữ liệu ra nước ngoài, quyền kiểm toán, phối hợp phân loại, sở hữu trí tuệ và điều khoản chấm dứt.	Luật 91/2025; Nghị định 142	Mua hàng và pháp chế
9	Lưu hồ sơ	Lưu nhật ký ai dùng hệ thống nào, với dữ liệu gì và tạo ra kết quả gì.	Hỗ trợ toàn bộ các mục trên	IT
10	Đào tạo nhân viên	Hướng dẫn công cụ được phép dùng, cấp độ dữ liệu và quy tắc gắn nhãn.	Hỗ trợ toàn bộ các mục trên	Nhân sự

Vì sao nên bắt đầu từ kiểm kê?

Không thể phân loại thứ chưa tìm thấy. Việc nhân viên tự dùng AI ngoài kiểm soát rất phổ biến. Theo báo cáo MIT NANDA do Virtualization Review tóm tắt (19/08/2025), người lao động ở hơn 90% công ty dùng công cụ AI cá nhân. Mỗi công cụ như vậy là một luồng dữ liệu mà bản đánh giá tác động cần bao quát.

Gắn nhãn có ý nghĩa gì với bộ phận marketing?

Điều 11 nhắm đến âm thanh, hình ảnh, video tổng hợp mô phỏng người thật hoặc sự kiện thật. Video sản phẩm có người dẫn do AI tạo, giọng nói nhân bản cho tổng đài hay ảnh sự kiện do AI dựng đều thuộc phạm vi này. Hãy gắn nhãn dễ thấy và lưu lại file gốc cùng câu lệnh đã dùng.

Giám sát của con người trong thực tế là gì?

Chỉ định người duyệt cụ thể cho từng quy trình AI. Đặt bước phê duyệt của người đó là bắt buộc trước khi kết quả đến tay khách hàng, đi vào lệnh thanh toán hay hồ sơ nhân sự. Ghi lại ai đã duyệt gì, vào lúc nào. Đây cũng là bằng chứng mà cơ quan quản lý hoặc kiểm toán sẽ hỏi đến.

Hợp đồng với nhà cung cấp AI cần có gì?

Luật Bảo vệ dữ liệu cá nhân buộc doanh nghiệp chịu trách nhiệm về cách nhà cung cấp xử lý dữ liệu cá nhân thay mình. Nghị định 142 yêu cầu bên triển khai phối hợp phân loại, nên cần thông tin từ nhà cung cấp. Gartner bổ sung góc nhìn thương mại. Theo Gartner (29/09/2026), doanh nghiệp nên thống nhất từ đầu về quản trị, quyền sở hữu trí tuệ, chuyển giao tri thức và điều khoản chấm dứt trước khi để kỹ sư của nhà cung cấp xây dựng hệ thống agent cho mình.

Redstone hỗ trợ điều này như thế nào

Redstone được xây dựng xoay quanh Luật AI 134/2025/QH15 và Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15. Bản thân nền tảng không tự làm doanh nghiệp tuân thủ; quyết định phân loại rủi ro và gắn nhãn vẫn thuộc về doanh nghiệp. Redstone cung cấp các cơ chế kiểm soát và bằng chứng mà checklist trên đòi hỏi.

Một danh mục duy nhất. Khi nhân viên dùng AI qua một nền tảng, bảng điều khiển quản trị cho thấy ai dùng agent, mô hình và tích hợp nào, ở mức bao nhiêu.
Bốn cấp độ dữ liệu. Công khai, Nội bộ, Mật và Tối mật. Dữ liệu Mật chỉ chạy trên mô hình đặt tại Việt Nam. Dữ liệu Tối mật được cách ly và cần phê duyệt bằng văn bản. Nhờ đó luồng dữ liệu được thể hiện rõ cho việc đánh giá tác động.
Che dữ liệu cá nhân. Thông tin cá nhân có thể được che trước khi gửi đến mô hình.
Triển khai tại chỗ. Redstone chạy trên máy chủ của doanh nghiệp hoặc tại trung tâm dữ liệu ở Việt Nam, và dữ liệu công ty không được dùng để huấn luyện mô hình. Điều này giúp đơn giản hóa câu hỏi về chuyển dữ liệu ra nước ngoài và điều khoản với nhà cung cấp.
Nhật ký kiểm toán xuất CSV. Mọi thao tác của agent đều được ghi lại, giúp tái dựng sự cố trong khung 72 giờ và trả lời kiểm toán.
Con người duyệt. Agent đề xuất kỹ năng mới, con người phê duyệt. Trong AI Factory, agent hành động với tư cách người được giao và theo đúng quyền của người đó, con người duyệt kết quả.
Nút dừng khẩn cấp. Một thao tác dừng toàn bộ agent trong tổ chức.

Liên hệ với chúng tôi để cùng rà soát các hệ thống AI của doanh nghiệp theo checklist này.