2026-08-26 · Blog

Luật CNCS số 2026: quy định AI doanh nghiệp cần biết

TL;DR: Luật Công nghiệp công nghệ số đã được ban hành và có hiệu lực từ ngày 01/01/2026, đưa Việt Nam sang giai đoạn có đạo luật chuyên ngành điều chỉnh cả hoạt động phát triển lẫn triển khai trí tuệ nhân tạo. Với doanh nghiệp, ba việc nên làm ngay: lập danh mục các hệ thống AI đang dùng, siết quản trị dữ liệu huấn luyện và dữ liệu cá nhân, và thiết kế điểm kiểm soát của con người trước khi hệ thống tự ra quyết định. Bài viết tổng hợp ở mức khái quát để định hướng — văn bản luật gốc cùng nghị định hướng dẫn mới là căn cứ pháp lý duy nhất.

Luật Công nghiệp công nghệ số là gì và vì sao doanh nghiệp phải quan tâm ngay?

Luật Công nghiệp công nghệ số (thường gọi tắt là luật CNCS) là đạo luật chuyên ngành đầu tiên của Việt Nam dành riêng cho khu vực công nghệ số, được Quốc hội thông qua năm 2025 và chính thức có hiệu lực từ ngày 01/01/2026. Khác với cách tiếp cận cũ — mỗi vấn đề rải rác trong nhiều đạo luật như an ninh mạng, giao dịch điện tử hay bảo vệ dữ liệu cá nhân — đạo luật này gom thành một khung thống nhất cho các "tài sản công nghiệp công nghệ số": phần mềm, dữ liệu, mô hình, và đặc biệt là hai nhóm trọng điểm gồm bán dẫn và trí tuệ nhân tạo.

Vì sao điều đó quan trọng với doanh nghiệp dù bạn không phải công ty công nghệ? Vì phạm vi điều chỉnh không chỉ bó ở người sản xuất AI mà chạm tới cả tổ chức sử dụng AI trong vận hành: chatbot chăm sóc khách hàng, công cụ sàng lọc hồ sơ tuyển dụng, mô hình chấm điểm tín dụng, hệ thống phân tích camera. Kể khi bạn mua dịch vụ AI đóng gói từ nhà cung cấp thứ ba, trách nhiệm lựa chọn và sử dụng hợp lý vẫn nằm lại với doanh nghiệp bạn.

Nhóm sản xuất: công ty phần mềm, startup AI, viện nghiên cứu xây dựng mô hình và sản phẩm AI tại Việt Nam.
Nhóm triển khai: ngân hàng, bảo hiểm, bán lẻ, logistics, y tế, giáo dục — nơi AI được cài vào quy trình phục vụ khách hàng.
Nhóm hỗ trợ: đơn vị tư vấn, tích hợp hệ thống, xử lý dữ liệu làm nền cho các mô hình.

Phần quy định về AI trong luật nói lên điều gì?

Từ những điểm được tổng hợp phổ biến từ văn bản luật và các phân tích pháp lý ban đầu, cách tiếp cận của Việt Nam mang màu sắc dựa theo mức độ rủi ro: AI thông thường được khuyến khích phát triển với ưu đãi đầu tư, còn nhóm AI tiềm ẩn tác động lớn đến an toàn, sức khỏe, quyền con người thì chịu yêu cầu quản trị nghiêm ngặt hơn. Ba nguyên tắc xuyên suốt được nhắc đến nhiều nhất:

Kiểm soát của con người: hệ thống quan trọng phải giữ được vai trò giám sát và khả năng can thiệp của con người, không để AI tự quyết hoàn toàn những việc ảnh hưởng trực tiếp đến quyền lợi của cá nhân.
Minh bạch: người dùng cần biết họ đang tương tác với AI hoặc với nội dung do AI tạo ra, thay vì bị dẫn dụ rằng đó là con người hay nội dung gốc.
Khả năng truy vết: dữ liệu huấn luyện, tham số vận hành và nhật ký chạy hệ thống phải được lưu giữ đủ để khi có sự cố, có thể lần ngược nguyên nhân.

Cần nhấn mạnh một giới hạn của bài viết: đây là mô tả ở mức định hướng. Các khái niệm cụ thể — danh mục nào thuộc nhóm rủi ro cao, hồ sơ đánh giá nộp cho ai, thời hạn áp dụng từng nghĩa vụ — sẽ phụ thuộc vào nghị định và thông tư hướng dẫn được ban hành theo luật. Doanh nghiệp không nên tự kết luận tình trạng tuân thủ chỉ dựa trên bài viết tóm tắt, kể cả bài này.

Nhóm AI rủi ro cao gồm những hệ thống nào?

Theo hướng tiếp cận dựa trên rủi ro mà luật theo đuổi, nhóm được kỳ vọng chịu yêu cầu cao nhất là những hệ thống mà sai sót gây hậu quả trực tiếp lên tính mạng, sức khỏe hoặc quyền cơ bản. Các lĩnh vực thường được cộng đồng quản trị toàn cầu xếp vào nhóm này, đồng thời là những lĩnh vực doanh nghiệp Việt đang bắt đầu ứng dụng mạnh:

Sinh trắc học và nhận diện: nhận diện khuôn mặt, giọng nói dùng cho kiểm soát ra vào, xác thực danh tính.
Tuyển dụng và quản trị lao động: sàng lọc CV, chấm điểm ứng viên, đánh giá năng suất nhân viên.
Tín dụng và tài chính: phê duyệt vay, định giá tài sản, phát hiện gian lận với hậu quả trực tiếp lên quyền tiếp cận dịch vụ.
Giáo dục: chấm thi tự động, xếp loại học sinh – sinh viên.
Hạ tầng thiết yếu: điều phối giao thông, quản lý năng lượng, hệ thống y tế hỗ trợ chẩn đoán.

Danh sách chính thức cho thị trường Việt Nam sẽ do cơ quan có thẩm quyền quy định theo luật, vì vậy danh mục trên nên đọc như bản đồ dự phòng để doanh nghiệp tự rà: nếu hệ thống của bạn rơi vào một trong các ô trên, hãy coi nó là ứng viên nặng ký nhất trong kế hoạch tuân thủ. Cách tổ chức rà soát quy định theo chu kỳ được mô tả chi tiết trong bài AI hỗ trợ tuân thủ quy định và regulatory compliance.

Doanh nghiệp sử dụng AI cần chuẩn bị những nghĩa vụ gì?

Dù nghị định hướng dẫn chưa phủ kín mọi chi tiết, bộ công việc dưới đây gần như chắc chắn nằm trong danh mục chuẩn bị của bất kỳ khung quản trị AI hiện đại nào — và đều có thể bắt đầu ngay không cần chờ văn bản phụ:

Lập danh mục hệ thống AI đang dùng, bao gồm cả tính năng AI ẩn trong SaaS bạn mua (CRM gợi ý, email viết hộ, chatbot nhúng) — nhiều tổ chức ngạc nhiên khi con số thật gấp đôi dự kiến.
Phân loại theo mức độ ảnh hưởng: hệ thống nào chạm tới quyết định về con người, tiền bạc, quyền lợi — đó là nhóm ưu tiên quản trị.
Siết dữ liệu: xác định nguồn gốc dữ liệu huấn luyện, cơ sở pháp lý thu thập, và quy trình tôn trọng quyền của chủ thể dữ liệu cá nhân theo tinh thần Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân. Chi tiết thực hành có trong bài AI và bảo vệ dữ liệu cá nhân.
Thiết kế điểm kiểm soát của con người trước các quyết định quan trọng: AI đề xuất, con người phê duyệt và ghi lại vết phê duyệt.
Minh bạch với người dùng: thông báo rõ khi nội dung do AI tạo, giữ nhãn nguồn cho tài liệu sinh tự động.
Lưu nhật ký và tài liệu hóa: phiên bản mô hình, dữ liệu dùng thử nghiệm, báo cáo sự cố — đủ để trả lời câu hỏi "vì sao hệ thống làm vậy" sau ít nhất vài tháng.
Rà soát hợp đồng nhà cung cấp: bổ sung cam kết về dữ liệu, bảo mật, thông báo sự cố từ phía bên bán dịch vụ AI.
Đào tạo người dùng nội bộ về giới hạn của AI — kể cả đội ngũ pháp chế, vốn có bộ chuẩn riêng như bài đạo đức luật sư khi dùng AI đã phân tích.

Khu vực khác đang quản trị AI thế nào? Bảng so sánh nhanh

So sánh dưới đây tổng quát ở mức định hướng nhằm giúp doanh nghiệp đa quốc gia hình dung bức tranh chung; mỗi khu vực có văn bản chi tiết và mốc hiệu lực riêng, luôn cần đối chiếu bản gốc khi ra quyết định:

Khu vực	Công cụ pháp lý chính	Hướng tiếp cận nổi bật
Việt Nam	Luật Công nghiệp công nghệ số, hiệu lực 01/01/2026; Nghị định 13/2023/NĐ-CP về dữ liệu cá nhân	Đạo luật chuyên ngành + phân nhóm rủi ro do Chính phủ quy định; ưu đãi song hành nghĩa vụ
Liên minh châu Âu	EU AI Act, áp dụng theo giai đoạn từ 2025 tới 2026–2027	Rủi ro cao nhất bị cấm; nhóm rủi ro cao chịu nghĩa vụ hồ sơ, giám sát; chế tài tới hàng chục triệu euro hoặc tỷ lệ phần trăm doanh thu toàn cầu
Hoa Kỳ	Không có đạo luật liên bang tổng thể; quy định theo ngành và tiểu bang	Một số tiểu ban hành luật riêng (ví dụ Colorado dự kiến áp dụng từ 2026); áp lực tập trung ở khối tài chính, y tế, tuyển dụng
Trung Quốc	Các biện pháp quản trị AI sinh tạo từ 2023; quy định dán nhãn nội dung AI từ 09/2025	Quy định theo loại hình dịch vụ, nhấn mạnh nhãn hóa nội dung do AI tạo
Singapore	Khung quản trị AI tự nguyện và công cụ kiểm thử	Đi trước bằng chuẩn mực mềm, khuyến khích doanh nghiệp tự chứng minh độ tin cậy

Điểm đáng chú ý cho doanh nghiệp Việt Nam xuất khẩu phần mềm và dịch vụ: nếu sản phẩm phục vụ khách hàng EU, khối nghĩa vụ của EU AI Act có thể áp dụng ngoài lãnh thổ. Đây là lý do khuyến nghị chung là xây dựng một bộ hồ sơ quản trị AI dùng chung, rồi chỉ thêm lớp riêng cho từng khu vực, thay vì làm hai hệ thống song song.

Doanh nghiệp nên bắt đầu lộ trình tuân thủ từ đâu trong 90 ngày?

Tuần 1–2 — Kiểm kê: hỏi mỗi phòng ban đang dùng AI ở đâu, cho việc gì, dữ liệu nào đi vào hệ thống; ghép thành bảng danh mục trung tâm.
Tuần 3–4 — Phân loại: đánh dấu hệ thống nào ảnh hưởng đến quyền lợi con người, tiền bạc, an toàn; nhóm này nhận 80% công sức quản trị sau đó.
Tuần 5–6 — Dữ liệu: rà nguồn dữ liệu huấn luyện và luồng dữ liệu cá nhân, đối chiếu với quy định bảo vệ dữ liệu hiện hành; chặn ngay luồng dữ liệu không rõ cơ sở pháp lý.
Tuần 7–8 — Con người trong vòng lặp: với hệ thống nhóm rủi ro cao, chèn bước phê duyệt của con người kèm nhật ký; chạy thử kịch bản "AI sai thì ai phát hiện, trong bao lâu".
Tuần 9–10 — Văn bản hóa: chính sách nội bộ sử dụng AI, mẫu thông báo cho khách hàng, điều khoản bổ sung vào hợp đồng nhà cung cấp.
Tuần 11–12 — Đào tạo và diễn tập: huấn luyện người dùng thực tế, chạy một kịch bản sự cố giả định, chốt lịch rà soát định kỳ theo văn bản hướng dẫn mới khi ban hành.

Nếu đội ngũ pháp chế của bạn cần rà nhanh hợp đồng nhà cung cấp AI hoặc soạn chính sách nội bộ, MeshLaw hỗ trợ soạn nháp và soi thiếu sót trong tài liệu pháp lý — bản cuối vẫn cần chuyên gia duyệt trước khi phát hành nội bộ.

Câu hỏi thường gặp

Luật Công nghiệp công nghệ số áp dụng cho những ai?

Theo những điểm tổng hợp phổ biến, phạm vi phủ cả tổ chức, cá nhân tham gia nghiên cứu, phát triển, cung cấp và sử dụng tài sản công nghiệp công nghệ số tại Việt Nam, bao gồm cả trường hợp sử dụng dịch vụ AI từ nhà cung cấp thứ ba. Ranh giới áp dụng với tổ chức nước ngoài kinh doanh xuyên biên giới cần đối chiếu trực tiếp văn bản gốc. Doanh nghiệp nên bắt đầu từ việc kiểm kê hệ thống đang dùng thay vì tranh luận phạm vi trên giấy.

Startup nhỏ vài người có phải lo tuân thủ không?

Nghĩa vụ chi tiết phụ thuộc loại sản phẩm và mức độ rủi ro của hệ thống, nhưng việc kiểm kê, phân loại và quản trị dữ liệu là công việc nhỏ có thể làm ngay với chi phí thấp. Làm sớm còn giúp startup sẵn sàng khi khách hàng doanh nghiệp yêu cầu hồ sơ quản trị AI trong quá trình thẩm định. Ngược lại, để muộn thường đắt hơn vì phải tái cấu trúc dữ liệu giữa chừng.

Nếu chỉ dùng AI mua sẵn (SaaS) thì trách nhiệm thuộc về ai?

Nhà cung cấp chịu trách nhiệm về sản phẩm, nhưng doanh nghiệp vẫn chịu trách nhiệm về cách lựa chọn, cấu hình và sử dụng trong quy trình của mình — đặc biệt khi hệ thống chạm tới quyết định về khách hàng hay nhân viên. Vì vậy hợp đồng với nhà cung cấp nên có cam kết về dữ liệu, bảo mật và thông báo sự cố. Nguyên tắc chung: ai đặt hệ thống vào quy trình của mình thì người đó phải hiểu giới hạn của nó.

Danh mục AI rủi ro cao sẽ do ai ban hành và khi nào?

Theo hướng tiếp cận của luật, nhóm rủi ro cao sẽ được cơ quan có thẩm quyền quy định cụ thể thông qua văn bản hướng dẫn. Thời điểm và nội dung chi tiết cần theo dõi từ kênh chính thức thay vì tin đồn tóm tắt. Trong lúc chờ, cách an toàn là tự đánh giá theo danh mục lĩnh vực nhạy cảm phổ biến toàn cầu và ưu tiên xử lý phần chồng lấp.

Việt Nam khác EU AI Act ở điểm nào?

Ở mức khái quát, EU AI Act đi xa hơn về chế tài tài chính và độ sâu của nghĩa vụ hồ sơ cho nhóm rủi ro cao, trong khi luật của Việt Nam kết hợp nghĩa vụ quản trị với chính sách ưu đãi phát triển ngành công nghệ số nội địa. Cách chia nhóm rủi ro và thủ tục đánh giá cũng khác nhau về chi tiết. Doanh nghiệp phục vụ cả hai thị trường cần làm hồ sơ đáp ứng tiêu chuẩn cao hơn rồi điều chỉnh phần chênh lệch.

Luật mới này liên quan thế nào đến dữ liệu cá nhân?

Hai khung pháp lý song hành: dữ liệu cá nhân tiếp tục chịu điều chỉnh của các quy định bảo vệ dữ liệu cá nhân đang hiệu lực, còn luật CNCS bổ sung lớp yêu cầu riêng cho AI như chất lượng dữ liệu huấn luyện và khả năng truy vết. Trên thực tế, phần khó nhất của hầu hết dự án AI không phải thuật toán mà là dữ liệu — nguồn gốc, cơ sở pháp lý và quyền của chủ thể. Đó là lý do bài AI và bảo vệ dữ liệu cá nhân nên đọc cùng bài này.

Vi phạm quy định về AI bị xử lý thế nào?

Chế tài cụ thể phụ thuộc văn bản hướng dẫn và các quy định xử phạt hiện hành theo lĩnh vực vi phạm — ví dụ bảo mật dữ liệu hay an ninh mạng. Ngoài tiền phạt, rủi ro thực tế lớn hơn thường là buộc chỉnh sửa hoặc dừng hệ thống, mất uy tín với khách hàng doanh nghiệp. Vì con số và căn cứ thay đổi theo từng văn bản, hãy tra cứu nguồn chính thống thay vì trích dẫn gián tiếp.

Chatbot nội bộ dùng ChatGPT cho việc pháp lý có nằm trong phạm vi không?

Công cụ AI tổng quát dùng cho công việc cũng thuộc phạm vi quản trị dữ liệu và thông tin nội bộ, kể cả khi không phải sản phẩm AI thương mại hóa. Rủi ro điển hình là dán tài liệu mật — hợp đồng, dữ liệu khách hàng — vào dịch vụ cloud công cộng không có cam kết xử lý dữ liệu. Bức tranh rủi ro và biện pháp cho tình huống này được phân tích trong bài dùng ChatGPT cho công việc pháp lý tại Việt Nam.

AI có giúp doanh nghiệp tự tuân thủ quy định mới không?

AI giúp tốt nhất ở ba việc: theo dõi văn bản mới, rà tài liệu nội bộ tìm điểm thiếu, và soạn nháp chính sách – biểu mẫu. Giới hạn cần nhớ: mô hình có thể nhầm chi tiết điều khoản và không thay thế được việc đọc văn bản gốc, nên mọi kết luận pháp lý đều cần chuyên gia xác nhận. Cách kết hợp công cụ và con người cho việc tra cứu được mô tả trong bài tra cứu pháp lý bằng AI tại Việt Nam.

Khách hàng nước ngoài thẩm định due diligence thì chuẩn bị gì?

Bộ hồ sơ quản trị AI gồm danh mục hệ thống, chính sách dữ liệu, biên bản đánh giá rủi ro và hợp đồng nhà cung cấp là những gì đội thẩm định thường xin đầu tiên. Chuẩn bị trước giúp vòng đàm phán nhanh và thể hiện mức trưởng thành quản trị của doanh nghiệp. Quy trình thẩm định pháp lý nhìn tổng thể có trong bài thẩm định pháp lý M&A và due diligence.

Nên cập nhật quy định mới bằng kênh nào?

Kênh tin cậy nhất là cổng thông tin điện tử của cơ quan soạn thảo và ban hành văn bản, cộng với tạp chí pháp luật chính thống. Các bản tóm tắt — kể cả bài này — chỉ nên dùng để định hướng rồi quay lại văn bản gốc để đối chiếu. Nếu tổ chức của bạn theo dõi nhiều nguồn cùng lúc, việc gom tin về một quy trình rà soát định kỳ giống cách tổ chức kho tài liệu trong bài quản trị tri thức pháp lý bằng AI giúp không bỏ sót văn bản quan trọng.

Doanh nghiệp phi công nghệ có cần bộ phận pháp chế riêng cho AI không?

Chưa chắc cần bộ phận riêng, nhưng cần một người được giao rõ trách nhiệm sở hữu danh mục AI và chính sách sử dụng — thường là phối hợp giữa pháp chế, IT và bảo mật. Với doanh nghiệp nhỏ, một trang chính sách nội bộ cộng danh mục hệ thống đã vượt phần lớn đối thủ cùng cỡ. Quan trọng là có người chịu trách nhiệm, không phải sơ đồ tổ chức đẹp.

Kết luận

Hiệu lực từ 01/01/2026 của Luật Công nghiệp công nghệ số biến quản trị AI khỏi danh mục "làm sau" sang danh mục "làm ngay" — nhưng không phải theo kiểu hoảng loạn tuân thủ, mà theo trình tự bình thường: biết mình đang dùng AI gì, biết hệ thống nào ảnh hưởng đến con người, và đặt con người trở lại vòng quyết định. Bài viết tổng hợp ở mức khái quát và có thể bỏ sót chi tiết; văn bản luật cùng các nghị định hướng dẫn mới là căn cứ duy nhất, và với quyết định quan trọng hãy nhờ chuyên gia pháp lý xem xét theo bối cảnh riêng của doanh nghiệp bạn.

Bài viết liên quan

Bạn muốn bắt đầu rà soát tài liệu pháp lý của mình với công cụ hỗ trợ có kiểm soát? Truy cập app.meshlaw.ai — AI rút ngắn phần việc cơ học, quyết định cuối vẫn thuộc về bạn.

Dùng thử MeshLaw

AI soạn thảo, luật sư rà soát. Đăng ký miễn phí và trải nghiệm ngay.

Bắt đầu miễn phí →