Luật Trí tuệ nhân tạo và Nghị định 142: phần mềm tích hợp AI cần gì

Nếu sản phẩm phần mềm của bạn có tính năng dùng AI, từ chatbot chăm sóc khách hàng đến mô-đun chấm điểm hồ sơ ứng viên, thì Luật Trí tuệ nhân tạo số 134/2025/QH15 (hiệu lực từ 1/3/2026) và Nghị định 142/2026/NĐ-CP (hiệu lực từ 1/5/2026) đã áp dụng cho bạn. Việc cốt lõi là tự phân loại rủi ro của hệ thống AI trước khi đưa vào sử dụng; nếu ở mức trung bình hoặc cao thì phải lập hồ sơ và thông báo qua cổng một cửa, đồng thời có quy trình báo cáo sự cố trong 72 giờ. Bài này viết cho đội sản phẩm và pháp chế của công ty phần mềm B2B.

Bạn đóng vai trò nào trong chuỗi giá trị AI

Luật sư Nguyễn Việt Hùng, trong bài viết đăng trên Tạp chí Luật sư Việt Nam ngày 8/3/2026, chia các chủ thể thành nhà phát triển, nhà cung cấp, bên triển khai và người sử dụng. Nghĩa vụ khác nhau theo vai trò, nên bước đầu tiên là xác định mình ở đâu.

• Công ty tự xây mô hình và bán hệ thống thường vừa là nhà phát triển vừa là nhà cung cấp.
• Công ty gọi API của mô hình bên thứ ba rồi đóng gói thành tính năng trong sản phẩm của mình thường là nhà cung cấp hệ thống AI, dù không tự huấn luyện mô hình.
• Khách hàng doanh nghiệp mua phần mềm và dùng cho nhân viên, khách của họ là bên triển khai.

Điểm quan trọng: theo tóm tắt của Luật Việt An về Nghị định 142/2026, nghĩa vụ phân loại áp dụng cho hệ thống AI, không áp dụng cho bản thân mô hình AI. Bên triển khai cũng phải rà soát, phân loại lại nếu thay đổi chức năng hoặc mục đích làm phát sinh rủi ro mới, và bài viết lưu ý việc tích hợp API bên thứ ba có thể thuộc trường hợp này.

Ba mức rủi ro và nghĩa vụ đi kèm

Nguồn: tóm tắt Nghị định 142/2026/NĐ-CP của Luật Việt An.

Với phần mềm B2B, chatbot trả lời khách hàng mà không cho biết đó là AI là ví dụ điển hình của rủi ro trung bình. Luật cũng xác lập quyền của người dùng được biết khi đang tương tác với AI, điểm được nhắc lại trong tổng hợp chính sách công nghệ trên cổng tỉnh Hà Tĩnh. Một dòng thông báo rõ ràng ngay đầu cuộc trò chuyện là cách đơn giản để giảm rủi ro nhầm lẫn.

Các tính năng tác động tới quyền lợi của con người, chẳng hạn sàng lọc ứng viên, đánh giá tín dụng, cần được đối chiếu kỹ với danh mục rủi ro cao khi danh mục chính thức được công bố. Nếu sản phẩm của bạn là phần mềm nhân sự, bài tích hợp AI vào phần mềm HRM mô tả các tính năng thường gặp để bạn lập danh sách rà soát.

Gắn nhãn nội dung do AI tạo ra

Kể từ 1/5/2026, sản phẩm âm thanh, hình ảnh, video được AI tạo nhằm mô phỏng một người có thật hay dựng lại sự kiện có thật đều phải mang nhãn dễ nhận biết. Nghị định có bốn ngoại lệ: chỉnh sửa kỹ thuật; xử lý văn bản không làm sai lệch nội dung; sử dụng nội bộ; nghiên cứu, thử nghiệm trong môi trường kiểm soát.

Với nhà cung cấp phần mềm, điều này có nghĩa tính năng tạo avatar nói chuyện, lồng tiếng giọng người thật hay tạo video giới thiệu nên có cơ chế gắn nhãn mặc định, không để khách hàng tự nhớ. Nhãn nên nằm trong tệp xuất ra, không chỉ hiển thị trong giao diện phần mềm.

Báo cáo sự cố: ba mốc thời gian

Sự cố nghiêm trọng là sự cố gây thiệt hại tới tính mạng, sức khỏe, tài sản lớn, xâm phạm quyền con người hoặc làm gián đoạn dịch vụ thiết yếu. Nghị định yêu cầu báo cáo sơ bộ qua cổng một cửa:

• Trong 72 giờ kể từ khi xác nhận, với sự cố khẩn cấp hoặc mất kiểm soát.
• Trong 5 ngày làm việc với các sự cố nghiêm trọng khác.
• Báo cáo kết quả khắc phục trong 15 ngày kể từ khi nộp báo cáo sơ bộ.

Hợp đồng với khách hàng doanh nghiệp nên quy định ai phát hiện, ai báo cáo, và thông tin nào được chia sẻ giữa nhà cung cấp và bên triển khai trong từng mốc. Nếu không, khi sự cố xảy ra, hai bên sẽ mất thời gian tranh luận thay vì xử lý.

Đã qua mốc chuyển tiếp: nếu chưa làm thì sao

Hệ thống AI vận hành trước 1/3/2026 phải thông báo qua cổng một cửa kèm kế hoạch chuyển đổi hoặc phương án tuân thủ trong 60 ngày kể từ khi Nghị định 142 có hiệu lực, tức khoảng cuối tháng 6/2026. Thủ tục này không đòi hỏi phê duyệt trước. Doanh nghiệp đã lỡ mốc nên chủ động hoàn tất càng sớm càng tốt và lưu lại bằng chứng, thay vì chờ tới đợt kiểm tra.

Đưa tuân thủ AI vào quy trình phát triển

Cách bền vững nhất là biến yêu cầu pháp lý thành tiêu chí trong quy trình phát triển phần mềm, giống như kiểm thử bảo mật hay kiểm thử hiệu năng:

1. Khi viết đặc tả: mỗi tính năng AI có một mục "mức rủi ro dự kiến" và lý do.
2. Khi thiết kế: thông báo tương tác AI, nhãn nội dung, nhật ký đầu vào, đầu ra được thiết kế từ đầu.
3. Khi kiểm thử: bộ kiểm thử có tình huống đầu ra sai lệch, thiên lệch, nội dung cấm. Bài quản trị chất lượng QA/QC có khung để bổ sung nhóm kiểm thử này.
4. Khi phát hành: cập nhật hồ sơ kỹ thuật nếu thay đổi làm đổi mức rủi ro.
5. Sau phát hành: giám sát, ghi nhận phản hồi, kích hoạt quy trình báo cáo sự cố khi cần.

Ưu đãi không nên bỏ qua

Luật Việt An nêu các hỗ trợ đi kèm như tiếp cận hạ tầng tính toán và dữ liệu, Quỹ Phát triển AI quốc gia, hỗ trợ chi phí tuân thủ và ưu tiên trong đấu thầu công. Doanh nghiệp nhỏ và vừa có giải pháp mới có thể đăng ký cơ chế thử nghiệm có kiểm soát (sandbox) với đề án thử nghiệm và biện pháp kiểm soát rủi ro; hệ thống có khả năng gây thiệt hại lớn phải có bảo hiểm trách nhiệm dân sự hoặc biện pháp bảo đảm tương đương.