English
中文 (中国)
日本語
Trong kỷ nguyên chuyển đổi số, trí tuệ nhân tạo (AI) ngày càng giữ vai trò trung tâm trong hầu hết các lĩnh vực đời sống – từ chăm sóc sức khỏe, giáo dục, tài chính đến quản lý đô thị, thương mại điện tử và hành chính công. Nền tảng cho sự phát triển của AI là dữ liệu – đặc biệt là dữ liệu cá nhân – với vai trò là “nhiên liệu” để huấn luyện, vận hành và tối ưu hóa các mô hình học máy.
Việc thu thập, phân tích và khai thác dữ liệu ở quy mô lớn (big data) đã trở thành yếu tố thiết yếu để đảm bảo độ chính xác và khả năng thích ứng của các hệ thống AI hiện đại.
Tuy nhiên, song song với sự phát triển vượt bậc của công nghệ, những lo ngại về xâm phạm quyền riêng tư, lạm dụng dữ liệu cá nhân và vi phạm quyền con người ngày càng gia tăng. Các hệ thống AI – nếu không được thiết kế và kiểm soát chặt chẽ – có thể trở thành công cụ tự động hóa các hình thức phân biệt đối xử, giám sát không minh bạch hoặc khai thác dữ liệu ngoài phạm vi cho phép. Điều này đặt ra một thách thức lớn cho hệ thống pháp luật, đòi hỏi phải thiết lập hành lang pháp lý về kinh doanh tại Việt Nam đủ mạnh để kiểm soát rủi ro nhưng đồng thời không cản trở đổi mới công nghệ.
Tại Việt Nam, Quốc hội đã chính thức thông qua Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 (“Luật Bảo vệ Dữ liệu Cá nhân 2025”), có hiệu lực thi hành từ ngày 01 tháng 01 năm 2026. Sự kiện này đánh dấu một bước ngoặt trong tiến trình hoàn thiện khung pháp lý bảo vệ quyền riêng tư trong môi trường số. Luật được xây dựng trên cơ sở tiếp thu có chọn lọc các nguyên tắc quốc tế về bảo vệ dữ liệu cá nhân, đặc biệt là các quy định trong Quy định chung về bảo vệ dữ liệu (GDPR) của Liên minh Châu Âu, đồng thời có tính đến điều kiện thực tiễn tại Việt Nam.
Luật không chỉ đặt ra những chuẩn mực pháp lý rõ ràng, mang tính bắt buộc đối với việc thu thập, xử lý, lưu trữ và chuyển giao dữ liệu cá nhân, mà còn tạo ra áp lực điều chỉnh đáng kể đối với các tổ chức và doanh nghiệp kinh doanh tại Việt Nam đang phát triển và vận hành các hệ thống AI có sử dụng dữ liệu người dùng. Những thay đổi mang tính bước ngoặt này buộc các chủ thể xử lý dữ liệu phải xây dựng chiến lược tuân thủ nghiêm ngặt và tích hợp yếu tố pháp lý vào quá trình thiết kế, phát triển công nghệ ngay từ đầu.
Trí tuệ nhân tạo, dữ liệu lớn và thách thức pháp lý về quyền riêng tư
Trong một thế giới mà công nghệ ngày càng chi phối các lĩnh vực kinh tế – xã hội, trí tuệ nhân tạo nổi lên như một trụ cột của nền kinh tế số và đổi mới sáng tạo. Cốt lõi của AI là dữ liệu – không chỉ dữ liệu thông thường mà đặc biệt là dữ liệu cá nhân. Đây chính là loại dữ liệu phản ánh hành vi, xu hướng, nhu cầu và thậm chí cả cảm xúc của người dùng – nguồn nguyên liệu không thể thiếu để các hệ thống AI học hỏi, suy luận và ra quyết định.
Các ứng dụng AI hiện đại ngày càng phụ thuộc vào việc thu thập và phân tích dữ liệu ở quy mô lớn (big data). Từ hoạt động cá nhân hóa nội dung trong thương mại điện tử, tự động hóa ra quyết định trong lĩnh vực tài chính – ngân hàng, đến việc hỗ trợ chẩn đoán trong y tế, hầu hết các hệ thống AI đều cần xử lý lượng dữ liệu cá nhân khổng lồ để đảm bảo độ chính xác và khả năng thích ứng với môi trường vận hành.
Thậm chí, nhiều mô hình AI được xây dựng dựa trên dữ liệu nhạy cảm như hồ sơ sức khỏe, vị trí địa lý, khuôn mặt, thói quen di chuyển, hay lịch sử mua sắm,… Những dữ liệu này, một khi bị lạm dụng hoặc xử lý không minh bạch, có thể dẫn đến rủi ro xâm phạm nghiêm trọng quyền riêng tư của cá nhân.
Trên thực tế, đã có không ít trường hợp các doanh nghiệp công nghệ bị cáo buộc sử dụng dữ liệu cá nhân vượt quá mục đích đã công bố, tự động ra quyết định ảnh hưởng tiêu cực đến người dùng mà không có sự đồng thuận rõ ràng, hoặc chia sẻ dữ liệu với bên thứ ba mà không thông báo cho chủ thể dữ liệu.
Những hiện tượng này cho thấy một mâu thuẫn ngày càng gay gắt giữa lợi ích của việc phát triển công nghệ và nghĩa vụ tôn trọng quyền riêng tư của con người. Việc thiếu vắng hành lang pháp lý đầy đủ có thể khiến AI trở thành công cụ tiếp tay cho các hành vi phân biệt đối xử tự động, giám sát quá mức hoặc thương mại hóa dữ liệu cá nhân một cách không kiểm soát.
Về nguyên tắc, Luật nhấn mạnh việc xử lý dữ liệu cá nhân phải tuân thủ các yêu cầu cốt lõi như: chỉ được thực hiện cho mục đích cụ thể, rõ ràng; đảm bảo tối thiểu hóa lượng dữ liệu thu thập; yêu cầu sự đồng ý minh bạch và có thể rút lại từ chủ thể dữ liệu; và có nghĩa vụ áp dụng biện pháp bảo mật phù hợp nhằm ngăn ngừa truy cập trái phép, lộ lọt thông tin. Những nguyên tắc này ảnh hưởng trực tiếp đến cách các hệ thống AI được xây dựng và vận hành, đặc biệt là khi AI thường hoạt động trên cơ sở phân tích các tập dữ liệu lớn, đa chiều và liên kết.
Đáng chú ý, Luật còn đặt ra các nghĩa vụ mới có tính bắt buộc đối với các tổ chức, doanh nghiệp kinh doanh tại Việt Nam phát triển và triển khai hệ thống AI. Cụ thể, đối với các hoạt động xử lý dữ liệu quy mô lớn, dữ liệu nhạy cảm, hoặc sử dụng công nghệ ra quyết định tự động, tổ chức đó phải thực hiện đánh giá tác động xử lý dữ liệu cá nhân (DPIA) theo quy định tại Điều 21 Luật Bảo vệ Dữ liệu Cá nhân 2025 và lưu trữ kết quả để phục vụ kiểm tra của cơ quan có thẩm quyền.
Luật cũng quy định việc bổ nhiệm người phụ trách bảo vệ dữ liệu cá nhân (DPO) đối với các tổ chức xử lý dữ liệu ở quy mô lớn, đồng thời đưa ra cơ chế xử phạt nghiêm khắc như phạt tiền, đình chỉ hoạt động, yêu cầu xóa dữ liệu hoặc xử lý các phần mềm, sản phẩm trí tuệ nhân tạo xây dựng trên dữ liệu thu thập, sử dụng bất hợp pháp. Những quy định này có tác dụng răn đe rõ rệt và đặt ra yêu cầu nghiêm ngặt về tuân thủ pháp lý về kinh doanh tại Việt Nam đối với bất kỳ chủ thể nào ứng dụng AI tại Việt Nam.
Tóm lại, trong khi AI mở ra cơ hội to lớn cho phát triển kinh tế và đổi mới sáng tạo, thì việc xử lý dữ liệu cá nhân phục vụ AI cần được đặt trong khuôn khổ pháp luật nhằm bảo đảm quyền con người và duy trì niềm tin của xã hội. Luật Bảo vệ Dữ liệu Cá nhân 2025 không chỉ là cơ sở pháp lý để giải quyết bài toán cân bằng giữa công nghệ và quyền riêng tư, mà còn là tín hiệu cho thấy Việt Nam đang chủ động bước vào kỷ nguyên pháp lý của nền kinh tế số.
Giải pháp và đề xuất cho doanh nghiệp, nhà phát triển AI trong bối cảnh Luật Bảo vệ Dữ liệu Cá nhân
Luật Bảo vệ Dữ liệu Cá nhân 2025 không chỉ đặt ra nghĩa vụ pháp lý mới cho các tổ chức xử lý dữ liệu, mà còn tạo ra áp lực điều chỉnh đối với cách thức phát triển, triển khai và vận hành hệ thống trí tuệ nhân tạo. Để có thể vận hành hiệu quả các hệ thống AI trong khuôn khổ pháp lý mới, các doanh nghiệp và tổ chức công nghệ cần chủ động xây dựng chiến lược tuân thủ toàn diện, đồng thời thiết lập văn hóa bảo vệ quyền riêng tư như một giá trị nền tảng.
Một trong những nguyên tắc quan trọng mà các doanh nghiệp kinh doanh tại Việt Nam nên thực hiện là tích hợp tư duy “quyền riêng tư theo thiết kế” (Privacy by Design) ngay từ giai đoạn phát triển sản phẩm. Nguyên tắc này đòi hỏi mọi hệ thống AI phải được xây dựng trên cơ sở giảm thiểu rủi ro về dữ liệu cá nhân, từ việc chỉ thu thập lượng dữ liệu tối thiểu cần thiết, áp dụng kỹ thuật ẩn danh hóa hoặc giả danh hóa dữ liệu, cho đến việc thiết lập cơ chế kiểm soát quyền truy cập nội bộ. Việc đảm bảo dữ liệu không thể truy ngược về cá nhân cũng là một giải pháp quan trọng để tránh vi phạm quy định liên quan đến dữ liệu nhạy cảm.
Song song với đó, doanh nghiệp cần ban hành và vận hành một quy trình tuân thủ pháp lý nội bộ rõ ràng và minh bạch. Quy trình này bao gồm việc thực hiện đánh giá tác động xử lý dữ liệu cá nhân đối với các hệ thống AI có yếu tố rủi ro cao, như chấm điểm tín dụng, tự động sàng lọc ứng viên, dự đoán hành vi người dùng,… Ngoài ra, việc lưu trữ bằng chứng về sự đồng ý, lập nhật ký xử lý dữ liệu, và chủ động cung cấp thông tin cho người dùng về logic hoạt động của hệ thống AI là những nghĩa vụ bắt buộc.
Đối với các doanh nghiệp có hoạt động xử lý dữ liệu quy mô lớn, việc bổ nhiệm người phụ trách bảo vệ dữ liệu cá nhân là yêu cầu bắt buộc. Đây không chỉ là một vị trí mang tính hình thức, mà cần được trao quyền thực tế để tư vấn pháp lý, rà soát rủi ro, xử lý khiếu nại và đóng vai trò cầu nối giữa doanh nghiệp với cơ quan nhà nước có thẩm quyền. Tổ chức cũng cần bố trí ngân sách và nguồn lực phù hợp để đảm bảo các người phụ trách có thể thực hiện hiệu quả nhiệm vụ được giao.
Về mặt công nghệ, các doanh nghiệp nên xem xét đầu tư ra nước ngoài vào những giải pháp kỹ thuật tiên tiến có khả năng vừa đảm bảo hiệu quả của mô hình AI vừa bảo vệ dữ liệu cá nhân. Một số công nghệ nổi bật có thể kể đến như học liên kết (federated learning) – cho phép đào tạo mô hình mà không cần truyền dữ liệu thô ra khỏi thiết bị người dùng; kỹ thuật tạo nhiễu bảo mật (differential privacy) – giúp ẩn thông tin cá nhân trong quá trình phân tích; hay các nền tảng quản lý sự đồng ý (Consent Management Platforms) – cho phép người dùng kiểm soát dữ liệu của mình một cách trực quan và hiệu quả.
Sau cùng, không thể thiếu yếu tố con người và văn hóa tổ chức. Việc tuân thủ Luật không thể đạt được nếu chỉ áp dụng cơ học các quy định pháp lý, mà cần phải xuất phát từ nhận thức đầy đủ về đạo đức dữ liệu, ý thức tôn trọng quyền riêng tư và niềm tin vào việc vận hành một hệ thống công nghệ có trách nhiệm. Việc đào tạo nhân sự, phổ biến chính sách nội bộ và minh bạch trong xử lý khiếu nại sẽ là những yếu tố then chốt để đảm bảo việc tuân thủ không chỉ mang tính hình thức, mà thực sự trở thành năng lực cốt lõi của doanh nghiệp kinh doanh tại Việt Nam trong thời đại số.
ASL Law là công ty luật độc lập và cung cấp đầy đủ dịch vụ được tín nhiệm cao của Việt Nam gồm các luật sư giàu kinh nghiệm và tài năng. ASL Law được Legal500, Asia Law, WTR và Asia Business Law Journal xếp hạng là Công ty Luật hàng đầu tại Việt Nam. Có trụ sở tại Hà Nội và Thành phố Hồ Chí Minh, mục đích chính của ASL LAW là cung cấp lời tư vấn và giải pháp lý thiết thực, hiệu quả và hợp pháp nhất cho khách hàng trong nước và quốc tế. Nếu cần sự trợ giúp, Quý khách hàng có thể gửi email liên hệ tới [email protected].
Liên hệ với công ty Luật ASL LAW để được tư vấn về Luật sở hữu trí tuệ tại Việt Nam và quốc tế.
BÀI VIẾT HỮU ÍCH LIÊN QUAN
