Quản trị AI và bảo vệ dữ liệu cá nhân tại Việt Nam cần bắt đầu từ dữ liệu đang được xử lý và trách nhiệm của từng bên. Đây là hướng dẫn vận hành, không phải tư vấn pháp lý hoặc bản xác nhận tình trạng pháp luật năm 2026; mọi nghĩa vụ phải đối chiếu văn bản còn hiệu lực tại thời điểm áp dụng.
Cần đối chiếu quy định hiện hành tại nguồn chính thức trước khi triển khai. Nghị định 13/2023/NĐ-CP được nêu trong bản cũ là tham chiếu lịch sử về dữ liệu cá nhân; không nên xem đó là toàn bộ hoặc chắc chắn là quy định mới nhất áp dụng trong năm 2026.
Đối chiếu nguồn chính thức ngày 23/10/2026: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 trên Công báo Chính phủ có hiệu lực từ 01/01/2026; Luật Trí tuệ nhân tạo số 134/2025/QH15 trên Cổng văn bản Chính phủ có hiệu lực từ 01/03/2026. Khi áp dụng, cần kiểm tra thêm phạm vi, quy định chuyển tiếp và văn bản hướng dẫn; các mốc này không tự xác nhận một workflow cụ thể đã tuân thủ.
Checklist tuân thủ cơ bản
Checklist tuân thủ cần mô tả dữ liệu, mục đích, căn cứ xử lý, nhà cung cấp và quyền truy cập cho từng workflow. Không có một mẫu consent hoặc tên gói công cụ nào tự bảo đảm tuân thủ. Người phụ trách pháp lý cần xác nhận yêu cầu áp dụng cho hoạt động cụ thể.
- Lập danh mục dữ liệu cá nhân đang dùng trong các workflow AI.
- Xác định mục đích xử lý dữ liệu và cơ sở đồng ý/pháp lý phù hợp.
- Không đưa dữ liệu nhạy cảm vào công cụ AI chưa được phê duyệt.
- Phân quyền theo vai trò, log truy cập và log output quan trọng.
- Kiểm tra hợp đồng và điều khoản xử lý dữ liệu với nhà cung cấp AI.
AI policy nội bộ là bước cần làm ngay
AI policy nội bộ nên quy định công cụ, dữ liệu, quyền hành động, kiểm duyệt và báo sự cố. Chính sách phải nối với quy trình nhân sự và IT, có owner cập nhật. Đây là công cụ quản trị cần thiết nhưng không thay thế hồ sơ pháp lý hoặc nghĩa vụ theo luật hiện hành.
Chính sách nội bộ cần được rà soát cùng Luật Trí tuệ nhân tạo và quy định bảo vệ dữ liệu cá nhân đang áp dụng. Một tài liệu ngắn có thể ghi công cụ được dùng, dữ liệu cấm nhập, người phê duyệt, cách kiểm duyệt đầu ra và quy trình báo sự cố; độ dài tài liệu không thay thế việc thực thi và kiểm chứng nghĩa vụ pháp lý.
Tham chiếu khung quản trị quốc tế
Các khung như NIST AI Risk Management Framework và OECD AI Principles đều nhấn mạnh quản trị rủi ro, trách nhiệm, minh bạch, dữ liệu đại diện và quyền con người. SME Việt Nam có thể dùng các khung này như checklist thực hành.
Rủi ro pháp lý lớn nhất không phải là dùng AI, mà là dùng AI với dữ liệu nhạy cảm mà không có quy định, phân quyền và log.
Bước tiếp theo
DNAI có thể hỗ trợ doanh nghiệp xây AI policy, đào tạo nhân viên và đánh giá use case qua tư vấn AI Đà Nẵng.
Bản đồ dữ liệu AI doanh nghiệp cần lập
Bản đồ dữ liệu phải chỉ luồng từ nguồn đến nhà cung cấp và nơi lưu kết quả, kể cả log, bản sao và tích hợp phụ. Với mỗi điểm, ghi mục đích, người truy cập và thời hạn lưu dự kiến. Không thể đánh giá đầy đủ rủi ro nếu chỉ nhìn dữ liệu đầu vào.
Trước khi nói về luật AI, doanh nghiệp cần biết AI đang chạm vào dữ liệu nào. Hãy lập bản đồ dữ liệu gồm dữ liệu khách hàng, nhân viên, nhà cung cấp, tài chính, hợp đồng, hình ảnh, ghi âm, lịch sử chat và dữ liệu nhạy cảm. Với mỗi nhóm, cần ghi rõ mục đích xử lý, công cụ dùng, người truy cập, thời gian lưu và nhà cung cấp liên quan.
Checklist tuân thủ khi dùng AI
- Có quy định nội bộ về dữ liệu không được đưa vào AI.
- Có danh sách công cụ AI được phê duyệt.
- Có cơ chế consent hoặc căn cứ xử lý phù hợp với dữ liệu cá nhân.
- Có quy trình xử lý yêu cầu rút consent, sửa hoặc xóa dữ liệu nếu áp dụng.
- Có đánh giá rủi ro với use case AI ảnh hưởng đến khách hàng hoặc nhân viên.
- Có kiểm tra nhà cung cấp về lưu trữ, bảo mật và xử lý dữ liệu.
Vai trò của lãnh đạo và phòng ban
Tuân thủ AI không thể giao riêng cho IT. Lãnh đạo cần đặt nguyên tắc, pháp chế/nhân sự kiểm tra dữ liệu cá nhân, IT kiểm soát công cụ, phòng ban chịu trách nhiệm use case và quản lý trực tiếp phê duyệt output rủi ro. Mỗi người phải biết trách nhiệm của mình trước khi AI được scale.
Nội dung này không thay thế tư vấn pháp lý
Nội dung này không xác nhận doanh nghiệp đã tuân thủ và không thay tư vấn pháp lý. Với tuyển dụng, tài chính, dữ liệu nhạy cảm hoặc quyết định tự động, cần chuyên gia xem văn bản hiện hành cùng luồng dữ liệu thực tế. Tránh suy từ một nghị định cũ rằng đó là toàn bộ quy định áp dụng.
Các hướng dẫn trong bài mang tính quản trị và vận hành, không phải tư vấn pháp lý chính thức. Với các use case liên quan dữ liệu nhạy cảm, tài chính, tuyển dụng hoặc tự động ra quyết định, doanh nghiệp nên tham khảo chuyên gia pháp lý và cập nhật quy định mới nhất.
DNAI có thể giúp doanh nghiệp chuẩn bị AI policy, đào tạo nhận thức và đánh giá use case rủi ro qua tư vấn AI Đà Nẵng.
Rà văn bản, nhà cung cấp và trách nhiệm
Rà soát pháp lý cần có nguồn chính thức còn hiệu lực, bản đồ dữ liệu và điều khoản nhà cung cấp thực tế. Người chuyên môn xác nhận nghĩa vụ áp dụng; IT và nghiệp vụ thực hiện kiểm soát tương ứng. Checklist quốc tế hoặc chính sách nội bộ chỉ hỗ trợ quản trị, không thay việc đối chiếu quy định Việt Nam.
Kiểm tra tình trạng pháp luật bằng hồ sơ nguồn
Người được giao cần lập danh sách văn bản liên quan, cơ quan ban hành, ngày hiệu lực, điều khoản áp dụng và thay đổi hoặc thay thế nếu có. Tra nguồn chính thức tại thời điểm triển khai; không lấy ngày xuất bản bài blog làm bằng chứng văn bản vẫn còn đầy đủ. Các tham chiếu như Nghị định 13/2023/NĐ-CP trong bài là điểm bắt đầu tra cứu lịch sử, không phải khẳng định đó là cơ sở duy nhất hoặc mới nhất cho năm 2026.
Rà nhà cung cấp qua luồng dữ liệu thực
Hỏi dữ liệu đầu vào, đầu ra và log được lưu ở đâu, bên nào tiếp cận, có nhà thầu phụ nào và cách hỗ trợ yêu cầu sửa hoặc xóa ra sao. Kiểm tra điều khoản cùng cấu hình tài khoản, không chỉ đọc thông điệp quảng cáo. Việc nhà cung cấp nói không dùng dữ liệu để huấn luyện chưa trả lời toàn bộ câu hỏi về lưu giữ, chia sẻ, chuyển dữ liệu và quyền truy cập của doanh nghiệp.
Nếu có yêu cầu liên quan dữ liệu cá nhân, xác minh danh tính theo quy trình trước khi xử lý và ghi bằng chứng hành động phù hợp. Xóa bản trong một ứng dụng chưa chắc xóa bản trong log, file xuất hoặc hệ thống tích hợp. Bản đồ dữ liệu phải giúp biết nơi nào cần phối hợp, còn nghĩa vụ, thời hạn và ngoại lệ cụ thể phải do người chuyên môn đối chiếu văn bản hiện hành.
Phân công trách nhiệm có thể thực thi
Lãnh đạo quyết định phạm vi rủi ro chấp nhận và bố trí nguồn lực. Nghiệp vụ xác định mục đích cùng tiêu chí đầu ra; IT quản lý quyền và tích hợp; pháp chế hoặc người có chuyên môn rà căn cứ và nghĩa vụ. Khi xảy ra sự cố, cần đầu mối tiếp nhận, cách bảo toàn thông tin và quy trình đánh giá, không để từng nhân viên tự liên hệ nhà cung cấp rồi coi vấn đề đã kết thúc.
NIST AI RMF và OECD AI Principles có thể hỗ trợ đặt câu hỏi về rủi ro, minh bạch và trách nhiệm, nhưng không phải chứng nhận tuân thủ pháp luật Việt Nam. Khi dùng làm checklist, ghi phần nào áp dụng, phần nào cần điều chỉnh và người xác nhận. Phân biệt hướng dẫn thực hành quốc tế với yêu cầu pháp lý bắt buộc để không tạo cảm giác tuân thủ giả.
| Hồ sơ | Thông tin cần ghi | Người xác nhận |
|---|---|---|
| Bản đồ dữ liệu | Nguồn, mục đích, nơi lưu và log | Nghiệp vụ và IT |
| Căn cứ và nghĩa vụ | Văn bản hiệu lực, điều khoản áp dụng | Người có chuyên môn pháp lý |
| Nhà cung cấp | Điều khoản, cấu hình, bên liên quan | Mua sắm, IT, pháp lý |
| Xử lý yêu cầu và sự cố | Đầu mối, bằng chứng, nơi phối hợp | Người được giao thẩm quyền |
Từ [BAN_DO_DU_LIEU] và [DIEU_KHOAN_NHA_CUNG_CAP], liệt kê câu hỏi cần pháp lý và IT xác nhận cho [WORKFLOW]. Tách dữ kiện trong tài liệu khỏi điểm chưa rõ. Không tự kết luận tuân thủ, không đoán văn bản mới nhất. Ghi nguồn cần tra chính thức, phạm vi quyền, nơi lưu và việc cần kiểm chứng trước triển khai.
Với tài liệu có dữ liệu cá nhân, hãy ẩn danh họ tên, điện thoại, email và thông tin nhạy cảm trước khi dùng công cụ AI; chỉ xử lý trong phạm vi quyền và môi trường đã được phê duyệt.
Đọc thêm Cách bắt đầu dùng AI an toàn trong doanh nghiệp để đối chiếu phần liên quan. Có thể xem chương trình đào tạo AI, trao đổi phạm vi qua tư vấn AI Đà Nẵng, hoặc tham khảo triển khai AI cho doanh nghiệp khi đã xác định được tác vụ và người chịu trách nhiệm.
Câu hỏi thường gặp
- Việt Nam đã có luật AI riêng chưa?
- Không nên dùng bài lưu trữ này để xác nhận tình trạng luật tại thời điểm đọc. Cần tra văn bản chính thức còn hiệu lực và hỏi chuyên gia về nghĩa vụ áp dụng cho hoạt động cụ thể. Tên luật, nghị định, ngày hiệu lực và quan hệ thay thế phải được kiểm tra trước khi đưa vào quyết định triển khai.
- Decree 13/2023 liên quan gì đến AI?
- Nghị định được nêu như một tham chiếu lịch sử về bảo vệ dữ liệu cá nhân, vì AI có thể xử lý thông tin khách hàng và nhân viên. Doanh nghiệp không nên coi đó là toàn bộ hoặc chắc chắn là quy định mới nhất. Cần đối chiếu văn bản hiện hành, mục đích xử lý và luồng dữ liệu với người có chuyên môn.
- Doanh nghiệp nhỏ cần làm gì đầu tiên?
- Hãy lập danh mục workflow AI, dữ liệu đi qua, mục đích, công cụ và người truy cập. Tạm giới hạn dữ liệu nhạy cảm ở môi trường được phép, chỉ định đầu mối và rà điều khoản nhà cung cấp. Sau đó nhờ người chuyên môn xác nhận căn cứ cùng nghĩa vụ hiện hành; chính sách nội bộ không tự thay thế việc rà pháp lý.
Chia sẻ bài viết
