Luật Trí tuệ nhân tạo 2025 có gì? 3 mức rủi ro, gắn nhãn nội dung AI và việc người dùng, doanh nghiệp cần làm

Luật Trí tuệ nhân tạo là gì, có hiệu lực khi nào?

Luật Trí tuệ nhân tạo số 134/2025/QH15 được Quốc hội khoá XV thông qua ngày 10/12/2025 tại kỳ họp thứ 10 và có hiệu lực từ ngày 01/3/2026. Luật gồm 8 chương, 35 điều, điều chỉnh việc nghiên cứu, phát triển, cung cấp, triển khai và sử dụng hệ thống AI tại Việt Nam, áp dụng cho cả tổ chức, cá nhân Việt Nam lẫn nước ngoài; AI chỉ phục vụ quốc phòng, an ninh, cơ yếu nằm ngoài phạm vi luật.

Đây là luật khung: nhiều nội dung giao cho văn bản dưới luật. Nghị định 142/2026/NĐ-CP (hiệu lực 01/5/2026) quy định chi tiết, Quyết định 33/2026/QĐ-TTg (hiệu lực 15/8/2026) ban hành danh mục hệ thống AI rủi ro cao, Bộ Khoa học và Công nghệ là cơ quan đầu mối và vận hành Cổng thông tin một cửa về AI tại ai.dda.gov.vn từ 28/8/2026. Chương về AI trong Luật Công nghiệp công nghệ số 71/2025/QH15 đã bị bãi bỏ từ 01/3/2026, nên các khái niệm cũ như “AI tác động lớn” không còn dùng.

Ai chịu trách nhiệm gì theo luật?

Điều 3 của luật định nghĩa trí tuệ nhân tạo là việc thực hiện bằng điện tử các năng lực trí tuệ của con người (giải thích dễ hiểu ở bài trí tuệ nhân tạo là gì), rồi chia các vai trò:

• Nhà phát triển: thiết kế, xây dựng, huấn luyện, kiểm thử hoặc tinh chỉnh model, thuật toán, hệ thống AI.
• Nhà cung cấp: đưa hệ thống AI ra thị trường hoặc vào sử dụng dưới tên, thương hiệu của mình, dù hệ thống do mình phát triển hay do bên thứ ba phát triển.
• Bên triển khai: dùng hệ thống AI trong hoạt động nghề nghiệp, thương mại hoặc cung cấp dịch vụ; không gồm việc dùng cho mục đích cá nhân, phi thương mại.
• Người sử dụng: người trực tiếp tương tác với hệ thống AI hoặc dùng kết quả của nó; người bị ảnh hưởng: người bị hệ thống tác động trực tiếp hay gián tiếp.

Ba mức rủi ro của hệ thống AI

Điều 9 của luật chia hệ thống AI thành ba mức (dự thảo từng có bốn mức, luật thông qua giữ ba):

• Rủi ro cao: có thể gây thiệt hại đáng kể tới tính mạng, sức khoẻ, quyền lợi hợp pháp, lợi ích quốc gia. Đó là các hệ thống trong danh mục của Quyết định 33/2026/QĐ-TTg, thuộc sáu lĩnh vực: giáo dục, dân tộc và tôn giáo, y tế, ngân hàng, tố tụng, giao thông vận tải; phần lớn chỉ áp dụng khi hệ thống tự ra quyết định cuối cùng mà không có con người phê duyệt độc lập.
• Rủi ro trung bình: có thể gây nhầm lẫn, tác động hoặc thao túng người dùng vì họ không biết mình đang tương tác với AI hay với nội dung do AI tạo.
• Rủi ro thấp: các hệ thống còn lại.
• Nghị định 142 loại trừ khỏi mức trung bình một số trường hợp, ví dụ công cụ hỗ trợ văn phòng mà người dùng biết rõ là AI và không có chức năng giả lập gây nhầm lẫn danh tính, hệ thống không cung cấp trực tiếp ra công chúng, hay sản phẩm nghệ thuật, trò chơi rõ là hư cấu.

Nghĩa vụ theo từng mức rủi ro

Nhà cung cấp tự phân loại hệ thống trước khi đưa vào sử dụng và chịu trách nhiệm về kết quả:

• Rủi ro trung bình và cao: lập hồ sơ phân loại và thông báo kết quả cho Bộ Khoa học và Công nghệ qua Cổng ai.dda.gov.vn trước khi đưa vào sử dụng; Cổng cấp mã định danh ngay khi kê khai.
• Rủi ro cao: thêm đánh giá sự phù hợp trước khi dùng, quản lý rủi ro, quản trị dữ liệu, lưu nhật ký, bảo đảm con người giám sát và can thiệp được; nhà cung cấp nước ngoài cần đầu mối liên hệ hợp pháp tại Việt Nam.
• Rủi ro thấp: được khuyến khích công khai thông tin cơ bản; chỉ phải giải trình khi có dấu hiệu vi phạm.
• Mọi mức: sự cố nghiêm trọng phải báo cáo sơ bộ trong 72 giờ với sự cố khẩn cấp và 5 ngày làm việc với sự cố khác.
• Luật không bắt buộc tiết lộ mã nguồn, tham số, thuật toán chi tiết, dữ liệu huấn luyện thô hay bí mật kinh doanh. Doanh nghiệp nhỏ và vừa được cấp miễn phí hồ sơ mẫu, công cụ tự đánh giá và có thể xin phiếu hỗ trợ.

Khi nào phải gắn nhãn nội dung do AI tạo?

Điều 11 của luật và Điều 16–18 Nghị định 142 chia việc cho từng bên:

• Nhà cung cấp: chatbot và hệ thống tương tác trực tiếp phải cho người dùng biết họ đang nói chuyện với AI; âm thanh, hình ảnh, video do hệ thống tạo phải được đánh dấu ở dạng máy đọc được (nhúng vào tệp, siêu dữ liệu hoặc chữ ký số). Văn bản không bắt buộc đánh dấu máy đọc.
• Bên triển khai: khi đưa ra công chúng văn bản, âm thanh, hình ảnh, video do AI tạo hoặc chỉnh sửa có thể gây nhầm lẫn về sự kiện, nhân vật hay nguồn gốc, phải thông báo rõ ràng.
• Deepfake: nội dung mô phỏng ngoại hình, giọng nói của người thật hoặc tái hiện sự kiện thật phải gắn nhãn dễ nhận biết để phân biệt với nội dung thật.
• Cách gắn nhãn: rõ ràng, hiện trước hoặc ngay khi người xem tiếp cận, không che giấu; có thể đặt trên nội dung, ở tiêu đề, phần mô tả, chú thích, trên giao diện nền tảng hoặc bằng âm thanh. Phim, tác phẩm nghệ thuật gắn ở phần mở đầu, phần kết, danh đề hoặc mô tả.
• Không phải gắn nhãn hiển thị khi: chỉ chỉnh kỹ thuật để cải thiện chất lượng; văn bản chỉ sửa chính tả, ngữ pháp, tóm tắt, diễn giải hay dịch mà không sai lệch nội dung gốc; nội dung chỉ dùng nội bộ hoặc để nghiên cứu, thử nghiệm không đưa ra công chúng.
• Tẩy xoá hoặc làm sai lệch nhãn, cảnh báo bắt buộc là hành vi bị cấm. Hướng dẫn kỹ thuật về tiêu chuẩn đánh dấu và mẫu nhãn do Bộ Khoa học và Công nghệ công bố sau; tại ngày cập nhật bài chưa thấy ban hành.

Các hành vi bị nghiêm cấm

Điều 7 của luật cấm:

• Lợi dụng, chiếm đoạt hệ thống AI để vi phạm pháp luật hoặc xâm phạm quyền, lợi ích hợp pháp của người khác.
• Dùng yếu tố giả mạo, mô phỏng người và sự kiện thật để lừa dối, thao túng nhận thức, hành vi con người một cách có chủ đích, gây tổn hại nghiêm trọng.
• Lợi dụng điểm yếu của trẻ em, người cao tuổi, người khuyết tật và các nhóm dễ bị tổn thương để gây hại.
• Tạo, phát tán nội dung giả mạo có thể gây nguy hại nghiêm trọng tới an ninh quốc gia, trật tự, an toàn xã hội.
• Thu thập, dùng dữ liệu để huấn luyện, vận hành AI trái quy định về dữ liệu cá nhân, sở hữu trí tuệ, an ninh mạng.
• Vô hiệu hoá cơ chế giám sát của con người; che giấu thông tin bắt buộc công khai; tẩy xoá nhãn, cảnh báo bắt buộc.

Hạn chuyển tiếp cho hệ thống AI đang chạy

Theo Điều 35, hệ thống AI đã hoạt động trước ngày 01/3/2026 được tiếp tục hoạt động và phải hoàn thành nghĩa vụ trước ngày 01/9/2027 nếu thuộc y tế, giáo dục, tài chính, trước ngày 01/3/2027 với các lĩnh vực khác; trong thời gian này cơ quan quản lý vẫn có thể yêu cầu tạm dừng nếu có nguy cơ gây thiệt hại nghiêm trọng. Hệ thống trong danh mục rủi ro cao theo Quyết định 33/2026/QĐ-TTg cũng theo các mốc tương tự.

Vi phạm luật AI bị xử phạt thế nào?

Điều 29 quy định người vi phạm bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự, gây thiệt hại thì bồi thường theo pháp luật dân sự; với hệ thống rủi ro cao, bên triển khai bồi thường cho người bị hại trước rồi yêu cầu nhà cung cấp hoàn trả nếu có thoả thuận. Luật không ghi mức phạt cụ thể mà giao Chính phủ quy định; tới ngày 25/10/2026 chưa thấy nghị định xử phạt riêng về AI được ban hành. Các con số 2 tỷ đồng, 1 tỷ đồng hay 2% doanh thu từng được báo chí đưa là của dự thảo luật, không phải mức phạt hiện hành.

Các vi phạm liên quan dữ liệu cá nhân và an ninh mạng khi dùng AI bị xử phạt theo Nghị định 330/2026/NĐ-CP (hiệu lực 19/8/2026), mức tối đa về dữ liệu cá nhân tới 3 tỷ đồng với tổ chức. Tin giả do AI tạo được xử lý theo Nghị định 328/2026/NĐ-CP; nhãn “tin giả” do cơ quan có thẩm quyền gắn sau khi kiểm chứng.

Người dùng và doanh nghiệp nhỏ nên làm gì?

Một số việc thực tế, dựa trên các điều khoản trên:

• Khi đăng ảnh, video, giọng nói tạo bằng AI trông như người thật hoặc sự kiện thật, ghi rõ là nội dung tạo bằng AI ở ngay nội dung hoặc phần mô tả; không gỡ watermark của công cụ như SynthID trong ảnh Gemini hay watermark của Grok Imagine.
• Không dùng ảnh tạo hoặc chỉnh bằng AI cho căn cước, hộ chiếu: các giấy tờ này cần ảnh chụp thật, đúng diện mạo, xem bài tạo ảnh thẻ bằng AI.
• Không dùng AI để giả giọng, giả mặt người khác nhằm lừa đảo; cảnh giác với cuộc gọi video nhờ chuyển tiền. Xem thêm phần rủi ro ở bài AI tạo sinh là gì.
• Doanh nghiệp dùng AI làm quảng cáo, chăm sóc khách hàng: cho khách biết khi họ đang chat với AI, gắn nhãn nội dung dễ gây nhầm lẫn, giữ người duyệt trước khi đăng.
• Doanh nghiệp đưa chatbot hay dịch vụ AI mang thương hiệu riêng ra thị trường, kể cả khi chạy model của bên thứ ba: tự phân loại rủi ro, nếu là mức trung bình thì lập hồ sơ và thông báo qua ai.dda.gov.vn; nên hỏi luật sư vì chưa có hướng dẫn cho từng loại sản phẩm.
• Gửi dữ liệu cá nhân của khách vào dịch vụ AI đặt ở nước ngoài có thể thuộc diện chuyển dữ liệu cá nhân xuyên biên giới theo Luật Bảo vệ dữ liệu cá nhân; hạn chế đưa dữ liệu cá nhân vào prompt khi không cần.

Lưu ý khi đọc bài này

Bài tóm tắt văn bản pháp luật đã ban hành tới ngày 25/10/2026 để tham khảo, không thay thế tư vấn pháp lý. Nhiều hướng dẫn kỹ thuật và nghị định xử phạt còn đang được xây dựng; khi áp dụng cho trường hợp cụ thể, hãy đọc toàn văn trên Cổng thông tin điện tử Chính phủ và hỏi luật sư.

Câu hỏi thường gặp