Doanh nghiệp dùng AI phải làm gì theo luật
Cập nhật ngày 26 tháng 10, 2026
Nghĩa vụ của doanh nghiệp dùng AI ở marketing, bán hàng, chăm sóc khách theo Luật Trí tuệ nhân tạo, Nghị định 142/2026 và Luật Bảo vệ dữ liệu cá nhân, mỗi dòng kèm số điều. Dùng lại được, chỉ cần dẫn nguồn.
Trả lời ngắn
Doanh nghiệp dùng AI không phải xin phép trước, nhưng phải gắn nhãn dễ nhận biết cho nội dung AI giả người thật, giọng thật hoặc sự kiện thật, và chatbot phải cho khách biết họ đang nói chuyện với AI. Hệ thống AI đã chạy trước 01/3/2026 phải tuân thủ Luật Trí tuệ nhân tạo trước 01/3/2027, riêng y tế, giáo dục, tài chính trước 01/9/2027. Đưa dữ liệu khách thu tại Việt Nam vào công cụ AI đặt ở nước ngoài là chuyển dữ liệu cá nhân xuyên biên giới theo Luật 91/2025.
Đọc theo vai trước: cùng một doanh nghiệp có thể là bên triển khai khi dùng ChatGPT làm nội dung, và là nhà cung cấp khi đặt chatbot của hãng khác lên website dưới tên mình. MWY không phải công ty luật; trang này là bảng tra để biết phải hỏi gì, việc cần ý kiến pháp lý thì hỏi luật sư.
Doanh nghiệp đứng ở vai nào
Luật chia nghĩa vụ theo vai, không theo quy mô doanh nghiệp. Một doanh nghiệp có thể đứng ở hai vai cùng lúc: thuê chatbot của một hãng nhưng chạy dưới tên mình.
| Vai | Luật định nghĩa | Ở doanh nghiệp thường là | Hệ quả chính |
|---|---|---|---|
| Nhà cung cấp | Tổ chức, cá nhân đưa hệ thống AI ra thị trường hoặc đưa vào sử dụng dưới tên, thương hiệu của mình, dù hệ thống do mình hay bên thứ ba phát triển (Luật 134 Điều 3.4) | Hãng bán phần mềm AI. Doanh nghiệp đặt chatbot của hãng khác lên website, Zalo, fanpage dưới tên thương hiệu của mình có thể bị coi là nhà cung cấp | Tự phân loại rủi ro trước khi đưa vào dùng; thông báo kết quả phân loại lên Cổng một cửa nếu rủi ro trung bình hoặc cao; thiết kế để người dùng biết họ đang nói chuyện với AI |
| Bên triển khai | Tổ chức, cá nhân dùng hệ thống AI trong phạm vi kiểm soát của mình cho hoạt động nghề nghiệp, thương mại, cung cấp dịch vụ; dùng cá nhân, phi thương mại thì không tính (Điều 3.5) | Doanh nghiệp dùng ChatGPT, Gemini, công cụ tạo ảnh, giọng đọc AI để làm nội dung, quảng cáo, chăm sóc khách | Gắn nhãn nội dung AI có thể gây nhầm là thật; giữ hệ thống trong mức rủi ro đã phân loại, sửa đổi làm tăng rủi ro thì phân loại lại cùng nhà cung cấp (Điều 10.2) |
| Người sử dụng | Tổ chức, cá nhân tương tác trực tiếp với hệ thống hoặc dùng kết quả đầu ra của nó (Điều 3.6) | Nhân viên, khách hàng gõ vào chatbot | Với hệ thống rủi ro cao: làm đúng quy trình, không can thiệp trái phép, báo sự cố cho bên triển khai (Điều 14.3) |
Ba mức rủi ro
Nhà cung cấp tự phân loại trước khi đưa hệ thống vào dùng (Luật 134 Điều 10.1). Phần lớn công cụ AI doanh nghiệp dùng cho marketing, bán hàng, chăm sóc khách rơi vào mức trung bình hoặc thấp; danh mục rủi ro cao do Thủ tướng ban hành và đến ngày cập nhật trang này chưa có.
| Mức | Khi nào | Không xếp vào mức này khi | Nhà nước kiểm thế nào |
|---|---|---|---|
| Cao | Có thể gây thiệt hại đáng kể tới tính mạng, sức khỏe, tài sản, quyền và lợi ích hợp pháp (Điều 9.1.a). Nghị định 142 xét mức độ tác động, mức tự động, lĩnh vực thiết yếu như y tế, giáo dục, phạm vi người bị ảnh hưởng | Chỉ thu thập, xử lý, phân loại, dịch dữ liệu mà không tự ra quyết định; có người có thẩm quyền xem lại và đổi được quyết định trước khi có hiệu lực; chỉ dùng nội bộ; hoặc chỉ khuyến nghị tham khảo, không làm căn cứ duy nhất (Nghị định 142) | Kiểm tra định kỳ hoặc khi có dấu hiệu vi phạm (Điều 10.5.a); đánh giá sự phù hợp trước khi dùng |
| Trung bình | Có thể làm người dùng nhầm, bị tác động hoặc thao túng vì không nhận ra mình đang tương tác với AI hay nội dung do AI tạo (Điều 9.1.b) | Chỉ sửa kỹ thuật để nội dung đẹp hơn, không tạo nội dung mới; công cụ văn phòng mà người dùng nhận rõ là AI; không đưa ra công chúng; nội dung hư cấu rõ ràng như phim, trò chơi; chỉ xử lý dữ liệu, không tương tác với người dùng (Nghị định 142) | Giám sát qua báo cáo, kiểm tra chọn mẫu hoặc đánh giá của tổ chức độc lập (Điều 10.5.b) |
| Thấp | Không thuộc hai mức trên (Điều 9.1.c) | Không áp dụng | Kiểm tra khi có sự cố, phản ánh, hoặc khi cần bảo đảm an toàn; không tạo nghĩa vụ không cần thiết (Điều 10.5.c) |
Hệ thống rủi ro trung bình và cao: nhà cung cấp lập hồ sơ phân loại (thông tin nhận diện, mô tả và bối cảnh dùng, loại dữ liệu đầu vào, quản lý rủi ro) và thông báo lên Cổng thông tin điện tử một cửa về AI trước khi đưa vào dùng; hồ sơ đánh giá tác động dữ liệu cá nhân được dùng làm một phần hồ sơ này.
Nghĩa vụ theo từng việc dùng AI
Các việc hay gặp nhất ở phía marketing, bán hàng, chăm sóc khách, và ai phải làm gì với từng việc.
| Việc | Ai chịu | Phải làm gì | Căn cứ |
|---|---|---|---|
| Chatbot trả lời khách trên website, Zalo, fanpage | Nhà cung cấp | Thiết kế và vận hành để người dùng biết mình đang giao tiếp với AI, trừ khi luật khác quy định khác | Luật 134 Điều 11.1 |
| Quảng cáo dùng người mẫu, giọng đọc AI giống người thật, hoặc dựng lại sự kiện thật | Bên triển khai | Gắn nhãn dễ nhận biết để phân biệt với nội dung thật, trước hoặc ngay khi người xem tiếp cận; nhãn đặt trên nội dung, chú thích, giao diện nền tảng hoặc bằng âm thanh | Luật 134 Điều 11.4; Nghị định 142 Điều 18 |
| Bài viết, ảnh, video do AI tạo hoặc sửa, có thể làm người xem nhầm về sự kiện hay nhân vật | Bên triển khai | Thông báo rõ ràng khi đưa ra công chúng | Luật 134 Điều 11.3 |
| Ảnh, âm thanh, video xuất ra từ công cụ AI | Nhà cung cấp công cụ | Đánh dấu ở dạng máy đọc được, gắn vào cấu trúc tệp hoặc siêu dữ liệu; doanh nghiệp không nên xoá dấu này khi chỉnh sửa | Luật 134 Điều 11.2; Nghị định 142 Điều 17 |
| Sửa chính tả, ngữ pháp, tóm tắt, dịch bằng AI mà không đổi nội dung gốc | Bên triển khai | Không phải gắn nhãn | Nghị định 142 Điều 18.4 |
| Nội dung AI chỉ dùng trong nội bộ, hoặc đang thử nghiệm và chưa công bố | Bên triển khai | Không phải gắn nhãn | Nghị định 142 Điều 18.4 |
| Sự cố nghiêm trọng: thiệt hại tính mạng, sức khỏe, tài sản đáng kể, xâm phạm nghiêm trọng quyền và lợi ích hợp pháp | Nhà cung cấp hoặc bên triển khai | Báo cáo sơ bộ qua Cổng một cửa (mẫu AI01a cho tổ chức); báo cáo kết quả khắc phục trong 15 ngày sau báo cáo sơ bộ; giữ nhật ký hệ thống | Luật 134 Điều 12; Nghị định 142 Điều 19 |
Dữ liệu khách hàng đưa vào công cụ AI
Luật Trí tuệ nhân tạo không thay Luật Bảo vệ dữ liệu cá nhân. Phần lớn công cụ AI doanh nghiệp đang dùng đặt máy chủ ở nước ngoài, nên dán danh sách khách, lịch sử mua, đoạn chat có tên và số điện thoại vào đó là việc luật dữ liệu điều chỉnh.
| Câu hỏi | Luật nói gì | Hệ quả cho doanh nghiệp | Căn cứ |
|---|---|---|---|
| Dùng ChatGPT, Gemini, Claude với dữ liệu khách có tính là chuyển dữ liệu ra nước ngoài không | Một trong ba trường hợp chuyển dữ liệu cá nhân xuyên biên giới là “sử dụng nền tảng ở ngoài lãnh thổ” Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam | Có. Cần căn cứ xử lý hợp lệ và hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới | Luật 91/2025 Điều 20.1.c |
| Có cần sự đồng ý của khách không | Thu thập dữ liệu cá nhân phải có sự đồng ý của chủ thể, trừ các trường hợp luật liệt kê; đồng ý phải kiểm chứng được và không đặt sẵn mặc định | Mục đích “đưa vào công cụ AI” phải nằm trong phạm vi khách đã đồng ý hoặc thuộc trường hợp không cần đồng ý | Luật 91/2025 Điều 19; Nghị định 356/2025 Điều 6 |
| Doanh nghiệp nhỏ có được miễn không | Doanh nghiệp nhỏ, khởi nghiệp được chọn không làm Điều 21, 22 và khoản 2 Điều 33 trong 5 năm từ 01/01/2026; hộ kinh doanh, doanh nghiệp siêu nhỏ không phải làm. Mất quyền này nếu kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm, hoặc xử lý dữ liệu từ 100 nghìn người trở lên | Doanh nghiệp vừa không có quyền chọn này. Điều 38 không nhắc tới Điều 20 về chuyển dữ liệu xuyên biên giới | Luật 91/2025 Điều 38.2, 38.3; Nghị định 356/2025 Điều 41 |
| Phạt thế nào | Mức phạt tối đa 3 tỷ đồng cho các vi phạm thông thường; vi phạm chuyển dữ liệu xuyên biên giới phạt tới 5% doanh thu năm trước. Không lập hồ sơ chuyển dữ liệu xuyên biên giới khi phải lập: tổ chức 30–50 triệu đồng | Phạt tiền kèm biện pháp khắc phục, có thể buộc dừng xử lý dữ liệu | Luật 91/2025 Điều 8; Nghị định 330/2026 Điều 56.1 |
Các mốc thời gian
Ngày có hiệu lực và hạn tuân thủ. Ngày kết thúc thời hạn chuyển tiếp là phép cộng từ ngày hiệu lực của Luật; văn bản ghi số tháng, không ghi ngày.
| Mốc | Ngày | Áp cho | Căn cứ |
|---|---|---|---|
| Luật Bảo vệ dữ liệu cá nhân có hiệu lực | 01/01/2026 | Mọi doanh nghiệp xử lý dữ liệu cá nhân | Luật 91/2025; Nghị định 356/2025 |
| Luật Trí tuệ nhân tạo có hiệu lực | 01/3/2026 | Hệ thống AI đưa vào dùng từ ngày này | Luật 134/2025 Điều 34 |
| Nghị định 142 có hiệu lực | 01/5/2026 | Nhãn, đánh dấu, phân loại, báo cáo sự cố | Nghị định 142/2026 |
| Hạn tuân thủ cho hệ thống đã chạy trước 01/3/2026 | 01/3/2027 | Mọi lĩnh vực trừ ba lĩnh vực dưới; hệ thống được chạy tiếp trong thời gian này trừ khi bị yêu cầu dừng | Luật 134/2025 Điều 35.1.b, 35.2 |
| Hạn tuân thủ cho hệ thống đã chạy trước 01/3/2026 | 01/9/2027 | Y tế, giáo dục, tài chính | Luật 134/2025 Điều 35.1.a |
| Báo cáo sơ bộ sự cố nghiêm trọng | 72 giờ | Sự cố khẩn cấp, không kiểm soát được, tính từ lúc xác nhận sự cố | Nghị định 142 Điều 19 |
| Báo cáo sơ bộ sự cố nghiêm trọng | 5 ngày làm việc | Các sự cố nghiêm trọng còn lại | Nghị định 142 Điều 19 |
| Hết quyền chọn 5 năm của doanh nghiệp nhỏ về dữ liệu cá nhân | 01/01/2031 | Doanh nghiệp nhỏ, khởi nghiệp | Luật 91/2025 Điều 38.2 |
Hỗ trợ cho doanh nghiệp nhỏ và vừa
Phần hỗ trợ trong Luật chủ yếu dành cho bên phát triển AI, không phải cho doanh nghiệp mua công cụ. Đừng lập ngân sách dựa trên khoản hỗ trợ chưa có thủ tục.
| Khoản hỗ trợ | Dành cho | Nội dung | Căn cứ |
|---|---|---|---|
| Chi phí đánh giá sự phù hợp | Doanh nghiệp nhỏ và vừa, khởi nghiệp sáng tạo | Hỗ trợ chi phí; hồ sơ mẫu, công cụ tự đánh giá, đào tạo và tư vấn miễn phí; ưu tiên từ Quỹ Phát triển trí tuệ nhân tạo quốc gia | Luật 134 Điều 25.1 |
| Phiếu hỗ trợ phát triển AI | Doanh nghiệp nhỏ và vừa, khởi nghiệp, tổ chức khoa học và công nghệ, nhóm nghiên cứu có dự án khả thi | Thanh toán hạ tầng tính toán, dữ liệu dùng chung, mô hình ngôn ngữ tiếng Việt, nền tảng huấn luyện, kiểm thử, tư vấn kỹ thuật cho nghiên cứu và phát triển AI | Luật 134 Điều 25.2; Nghị định 142 Điều 40 |
| Thử nghiệm có kiểm soát | Bên muốn thử hệ thống AI với người thật trước khi được phép đầy đủ | Ba cấp độ; đăng ký qua Cổng Dịch vụ công Quốc gia; doanh nghiệp nhỏ và vừa dùng hồ sơ rút gọn ở cấp 1 | Luật 134 Điều 25.4; Nghị định 142 |
Nguồn
Mỗi dòng đọc từ văn bản luật, nghị định hoặc bản tóm tắt của hãng luật, ghi rõ ở từng mục. Danh mục hệ thống AI rủi ro cao của Thủ tướng chưa ban hành; khi có, bảng sẽ cập nhật.
Luật Trí tuệ nhân tạo số 134/2025/QH15
Quốc hội thông qua ngày 10/12/2025, hiệu lực 01/3/2026. Đọc toàn văn các Điều 3, 9, 10, 11, 12, 14, 25, 34, 35 ngày 26/10/2026.
Nghị định 142/2026/NĐ-CP
Ban hành 30/4/2026, hiệu lực 01/5/2026. Đọc qua hai bản tóm tắt của hãng luật: Frasers Law Company (cập nhật pháp lý tháng 6/2026) và LexNovum (Điều 17, 18, 19), ngày 26/10/2026. Toàn văn đăng trên Công báo.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định 356/2025/NĐ-CP, Nghị định 330/2026/NĐ-CP
Luật và Nghị định 356 hiệu lực 01/01/2026; Nghị định 330 về xử phạt hiệu lực 19/8/2026. Đọc bản ký số trên cổng chinhphu.vn, tháng 10/2026.
Dẫn lại trang này
Được phép trích dẫn và dùng lại bảng, kèm tên MWY Consulting và đường dẫn tới trang. Thấy một dòng đã lỗi thời thì báo cho chúng tôi qua trang Liên hệ.
Công cụ AI nào trong công ty bạn đang chạm vào dữ liệu khách?
Ba mươi phút đầu không mất phí. Bạn kể đang dùng gì, chúng tôi chỉ ra chỗ cần rà trước 01/3/2027.