Lưu ý quan trọng: Bài này là thông tin tham khảo, không phải tư vấn pháp lý. Nội dung được tổng hợp từ báo chí và các bài phân tích pháp lý, chưa thay thế việc đọc văn bản gốc. Trước khi áp dụng vào doanh nghiệp của bạn, hãy nhờ chuyên gia pháp lý xác nhận.
Nhiều chủ doanh nghiệp nhỏ đang đưa chatbot, trợ lý AI vào chăm sóc khách hàng, bán hàng, kế toán. Từ đầu năm 2026, hai nhóm quy định mới liên quan trực tiếp đến việc này: Luật Trí tuệ nhân tạo và bộ quy định về bảo vệ dữ liệu cá nhân. Bài viết giúp bạn nắm những điểm chính để biết cần hỏi gì, kiểm tra gì.
Hai mốc cần nhớ
- Luật Trí tuệ nhân tạo (Luật số 134/2025/QH15): Quốc hội thông qua ngày 10/12/2025, có hiệu lực từ ngày 01/3/2026. Luật gồm 35 điều và quản lý hệ thống AI theo mức độ rủi ro.
- Bảo vệ dữ liệu cá nhân: theo các bài tổng hợp, Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực từ 01/01/2026. Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết, có hiệu lực cùng ngày và thay thế Nghị định 13/2023/NĐ-CP (hai bài tổng hợp cùng nêu điều này).
Lưu ý: các mốc này chúng tôi lấy từ báo chí và bài phân tích của các đơn vị pháp lý; chúng tôi chưa đọc được bản toàn văn trên cổng chính thức hay Công báo, nên số điều, thời hạn và con số cụ thể bên dưới cần được đối chiếu với văn bản gốc.
Điều 1: Khách phải biết mình đang nói chuyện với AI
Theo một bài phân tích đăng trên tạp chí của ngành ngân hàng, Điều 11 của Luật yêu cầu hệ thống AI tương tác trực tiếp với con người, như chatbot hay voicebot, phải được thiết kế để người dùng biết ngay từ đầu họ đang làm việc với AI.
Với SME, hành động rất cụ thể:
- Lời chào đầu tiên của chatbot, voicebot nên nói rõ đây là trợ lý AI.
- Luôn có đường chuyển sang nhân viên thật khi khách cần.
- Không đặt tên, giọng nói hay ảnh đại diện khiến khách tưởng là người thật.
Nội dung do AI tạo ra
Cũng theo các nguồn trên, âm thanh, hình ảnh, video do AI tạo ra hoặc chỉnh sửa cần có dấu hiệu nhận biết, và bên triển khai phải thông báo rõ khi công bố nội dung có AI can thiệp mà có thể gây nhầm lẫn về tính xác thực. Nếu bạn làm quảng cáo bằng ảnh hay video AI, đặc biệt có hình ảnh giống người thật, hãy hỏi chuyên gia pháp lý cách gắn nhãn đúng chuẩn, vì chi tiết kỹ thuật do Chính phủ quy định.
Điều 2: Biết hệ thống của mình thuộc nhóm rủi ro nào
Một bài phân tích cho biết Luật chia hệ thống AI thành ba nhóm: rủi ro cao, trung bình, thấp. Bài này nêu ví dụ chatbot hỗ trợ khách hàng thuộc nhóm trung bình, còn hệ thống tự động ra quyết định tín dụng thuộc nhóm cao. Báo VnEconomy cũng cho biết các ứng dụng nguy cơ cao trong tài chính, y tế, tư pháp, lao động, giáo dục phải đáp ứng tiêu chuẩn chặt hơn về dữ liệu, kiểm định, giám sát và có con người can thiệp.
Cách phân loại chính thức và danh mục cụ thể có thể còn nằm trong văn bản hướng dẫn. Vì vậy đừng tự kết luận; hãy lập danh sách các công cụ AI đang dùng và nhờ chuyên gia xếp nhóm.
Thời gian chuyển tiếp
Hai nguồn tổng hợp cùng nêu hệ thống AI đã vận hành trước khi Luật có hiệu lực có thời hạn chuyển tiếp 12 đến 18 tháng tùy lĩnh vực (một nguồn nêu 18 tháng cho y tế, giáo dục, tài chính - ngân hàng, còn lại 12 tháng). Đây là điểm bạn cần xác nhận với luật sư, vì có điều kiện đi kèm.
Điều 3: Dữ liệu khách hàng đưa vào công cụ AI
Đây là chỗ SME dễ sơ suất nhất: dán danh sách khách, hợp đồng, lịch sử giao dịch vào một công cụ AI bên ngoài để "cho nhanh". Một bài tổng hợp cho biết Luật AI cấm thu thập, xử lý, sử dụng dữ liệu để phát triển, huấn luyện, kiểm thử hay vận hành AI trái quy định về dữ liệu và dữ liệu cá nhân (Điều 7). Theo các bài về Nghị định 356/2025/NĐ-CP, có mấy điểm đáng chú ý:
- Đồng ý rõ ràng: sự đồng ý phải cho mục đích cụ thể, thể hiện rõ (văn bản, giọng nói hoặc đánh dấu ô đồng ý), không dùng đồng ý mặc định. Doanh nghiệp phải lưu bằng chứng.
- Dữ liệu nhạy cảm mở rộng: gồm dữ liệu theo dõi hành vi trên mạng, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm.
- Xử lý bằng AI: theo các bài tổng hợp, tổ chức dùng AI cần thông báo và giải thích nguyên tắc hoạt động của thuật toán.
- Quyền của chủ thể dữ liệu: có mốc thời gian riêng; theo các bài tổng hợp, yêu cầu rút đồng ý cần được phản hồi trong 02 ngày làm việc và thực hiện trong vòng 15 ngày.
- Sự cố dữ liệu: các bài tổng hợp nêu mốc thông báo 72 giờ kể từ khi phát hiện lộ lọt dữ liệu nhạy cảm; hãy kiểm tra điều kiện áp dụng trong văn bản gốc.
- Chuyển dữ liệu ra nước ngoài: điều kiện chặt hơn, có hồ sơ đánh giá tác động. Nếu công cụ AI bạn dùng đặt máy chủ ở nước ngoài, đây là câu hỏi cần làm rõ.
Ví dụ: cửa hàng nội thất 15 người
Giả sử một cửa hàng nội thất muốn dùng trợ lý AI trả lời tin nhắn và gợi ý báo giá. Một quy trình an toàn hơn có thể như sau (đây là ví dụ minh họa, không phải khách hàng thật):
- Lập danh sách dữ liệu AI sẽ chạm tới: tên, số điện thoại, địa chỉ giao hàng.
- Chỉ cho AI truy cập phần cần thiết; không đưa dữ liệu thanh toán.
- Tin nhắn đầu tiên ghi rõ "Đây là trợ lý AI của cửa hàng", kèm nút gặp nhân viên.
- Có dòng xin đồng ý xử lý dữ liệu, lưu lại thời điểm đồng ý.
- Hỏi nhà cung cấp công cụ AI: dữ liệu lưu ở đâu, có dùng để huấn luyện mô hình không, xóa thế nào khi khách yêu cầu.
Việc nên làm trong 30 ngày
- Kiểm kê mọi công cụ AI nhân viên đang dùng, kể cả dùng riêng lẻ.
- Quy định nội bộ: loại dữ liệu nào không được đưa vào AI bên ngoài.
- Cập nhật lời chào chatbot và điều khoản thu thập dữ liệu.
- Mời chuyên gia pháp lý rà soát phân loại rủi ro và nghĩa vụ riêng của ngành bạn.
Cách BLA Tech nhìn vấn đề này
Tuân thủ không nên là lớp giấy tờ dán lên sau. Khi xây hệ thống AI Agents cho doanh nghiệp, chúng tôi muốn bắt đầu từ quy trình: dữ liệu nào đi vào, ai duyệt, khi nào chuyển cho người. Thiết kế sẵn những điểm đó từ đầu giúp doanh nghiệp vừa vận hành hiệu quả, vừa dễ trả lời khi cần chứng minh. Nếu bạn đang cân nhắc đưa AI vào quy trình, hãy bắt đầu bằng việc vẽ ra luồng dữ liệu; phần còn lại sẽ rõ hơn nhiều.
Thông tin tham khảo, không phải tư vấn pháp lý; cần chuyên gia pháp lý xác nhận trước khi áp dụng.
Nguồn tham khảo
- Luật Trí tuệ nhân tạo sẽ có hiệu lực từ ngày 1/3/2026 (VnEconomy)
- Luật Trí tuệ nhân tạo năm 2025 và những tác động đến lĩnh vực ngân hàng tại Việt Nam (Tạp chí Ngân hàng)
- Luật Trí tuệ nhân tạo 2025 số 134/2025/QH15 (Apolat Legal)
- Một số thay đổi cần lưu ý trong xử lý dữ liệu cá nhân từ 01/01/2026 (LSVN)
- Điểm mới của Nghị định 356/2025 so với Nghị định 13/2023 (Luật Việt An)
- Nghị định 356/2025/NĐ-CP: Lá chắn mới bảo vệ dữ liệu cá nhân từ năm 2026 (Hệ thống pháp luật)
