Nghĩa vụ tuân thủ về AI và dữ liệu cá nhân không được xác định theo quy mô doanh nghiệp. Một công ty mười người dùng công cụ AI nước ngoài để xử lý dữ liệu khách hàng chịu cùng khung nghĩa vụ như một tập đoàn.
Khác biệt nằm ở nguồn lực. Lộ trình dưới đây xếp công việc theo thứ tự giảm rủi ro nhiều nhất trên công sức bỏ ra — nếu chỉ làm được một phần thì phần làm trước cũng đã có giá trị.
Giai đoạn 1 — Ngày 1 đến 30: Nhìn thấy và cắt bớt
Mục tiêu: biết mình đang có gì, và giảm bớt thứ không cần.
| Tuần | Việc | Kết quả |
|---|---|---|
| 1 | Rà chứng từ chi 12 tháng; hỏi từng phòng ban bằng câu hỏi theo hành vi; rà mã theo dõi trên website | Danh sách công cụ AI thật |
| 2 | Với mỗi công cụ: ghi dùng cho việc gì, dữ liệu gì đưa vào, lưu ở đâu, có dùng để huấn luyện không | Bảng kiểm kê |
| 3 | Cắt bớt: gỡ công cụ trùng chức năng, công cụ không ai dùng, mã theo dõi từ dự án cũ | Giảm chi phí và giảm nghĩa vụ |
| 4 | Cấu hình lại: tắt chế độ dùng dữ liệu huấn luyện, chuyển vùng lưu trữ về trong nước nếu có tuỳ chọn | Giảm rủi ro lớn nhất trên công sức nhỏ nhất |
Nếu chỉ làm được giai đoạn này rồi dừng, doanh nghiệp vẫn đã giảm được phần rủi ro lớn nhất. Tuần 3 và 4 là hai tuần có tỷ lệ lợi ích trên công sức cao nhất trong cả 90 ngày.
Giai đoạn 2 — Ngày 31 đến 60: Quy tắc và phân loại
| Tuần | Việc |
|---|---|
| 5 | Phân loại rủi ro từng hệ thống: cao, trung bình, thấp. Đánh dấu riêng hệ thống tham gia quyết định về con người và hệ thống tương tác trực tiếp với khách hàng |
| 6 | Viết chính sách một trang: danh sách dữ liệu cấm, danh sách công cụ được phép, ba quy tắc với đầu ra, cơ chế báo cáo sự cố |
| 7 | Xử lý nghĩa vụ minh bạch: chatbot tự giới thiệu là trợ lý ảo ngay lượt đầu; chốt chuẩn gắn nhãn cho từng loại nội dung xuất bản ra ngoài |
| 8 | Đào tạo bằng năm tình huống thật của tổ chức, có ký nhận; công bố đầu mối hỏi đáp |
Tuần 7 đáng được ưu tiên nếu doanh nghiệp có chatbot hoặc xuất bản nội dung ra bên ngoài — đây là nhóm nghĩa vụ dễ bị phát hiện nhất từ bên ngoài, vì bất kỳ ai cũng nhìn thấy.
Giai đoạn 3 — Ngày 61 đến 90: Hồ sơ và duy trì
| Tuần | Việc |
|---|---|
| 9 | Rà nghĩa vụ về dữ liệu cá nhân: xác định luồng nào chuyển dữ liệu ra nước ngoài; đối chiếu Nghị định 356/2025/NĐ-CP về hồ sơ đánh giá tác động |
| 10 | Lập hồ sơ đánh giá tác động theo mẫu hiện hành; chỉ định nhân sự bảo vệ dữ liệu bằng văn bản, có tên và đầu mối liên hệ công khai |
| 11 | Rà hợp đồng: với nhà cung cấp AI — thoả thuận xử lý dữ liệu, cam kết không dùng dữ liệu huấn luyện, nghĩa vụ cung cấp nhật ký; với khách hàng — điều khoản chuyển giao quyền sở hữu trí tuệ nếu sản phẩm có dùng AI |
| 12 | Đưa quy tắc cốt lõi vào nội quy lao động; lập lịch rà soát định kỳ; chốt người chịu trách nhiệm cho từng phần |
Nếu chỉ có một tuần
Với doanh nghiệp không thể dành 90 ngày, đây là năm việc theo thứ tự ưu tiên tuyệt đối:
- Tắt chế độ dùng dữ liệu để huấn luyện trên mọi công cụ đang dùng — vài phút mỗi công cụ;
- Ra một quy tắc duy nhất và thông báo: danh sách loại tài liệu tuyệt đối không đưa vào công cụ AI;
- Cho chatbot tự giới thiệu là trợ lý ảo nếu có chatbot;
- Khoá cứng thông tin ràng buộc — giá, chính sách đổi trả, cam kết bảo hành — không để mô hình tự sinh;
- Chỉ định một đầu mối để nhân viên hỏi và báo cáo sự cố.
Năm việc này làm trong một tuần và xử lý được phần lớn rủi ro có xác suất xảy ra cao nhất.
Ba sai lầm khi triển khai
- Bắt đầu bằng việc soạn chính sách. Chính sách viết trước khi kiểm kê là chính sách viết cho một tổ chức tưởng tượng — nó cấm những thứ không ai làm và bỏ sót những thứ đang diễn ra hằng ngày.
- Làm một đợt rồi thôi. Công cụ mới xuất hiện liên tục, nhà cung cấp bật thêm tính năng AI, quy định thay đổi. Không có lịch rà soát thì sau sáu tháng bảng kiểm kê không còn phản ánh thực tế.
- Giao cho một người rồi quên. Người được giao cần thẩm quyền tiếp cận thông tin ở mọi phòng ban và cần được lãnh đạo nhắc lại công khai — nếu không, các phòng ban sẽ coi đây là việc của riêng người đó.
Một điểm cần nhớ về mốc thời gian
Hệ thống AI đang hoạt động trước ngày Luật Trí tuệ nhân tạo có hiệu lực có thời hạn chuyển tiếp để đưa về trạng thái tuân thủ — 18 tháng với y tế, giáo dục, tài chính và 12 tháng với các lĩnh vực khác. Nhưng thời hạn này không áp dụng cho các hành vi bị nghiêm cấm, và cũng không áp dụng cho nghĩa vụ theo pháp luật về dữ liệu cá nhân — vốn thuộc đạo luật khác với mốc hiệu lực riêng.
Nói cách khác: không nên hiểu thời hạn chuyển tiếp thành "còn một năm nữa mới phải làm gì".
Hỏi đáp nhanh
Doanh nghiệp nhỏ có phải tuân thủ như doanh nghiệp lớn không?
Nghĩa vụ về AI và dữ liệu cá nhân không được xác định theo quy mô doanh nghiệp. Một công ty mười người dùng công cụ AI nước ngoài để xử lý dữ liệu khách hàng chịu cùng khung nghĩa vụ như tập đoàn; khác biệt chỉ nằm ở nguồn lực triển khai.
Nếu chỉ có một tuần thì nên làm gì?
Năm việc: tắt chế độ dùng dữ liệu để huấn luyện trên mọi công cụ; thông báo một danh sách loại tài liệu tuyệt đối không đưa vào AI; cho chatbot tự giới thiệu là trợ lý ảo; khoá cứng các thông tin ràng buộc như giá và chính sách đổi trả không để mô hình tự sinh; và chỉ định một đầu mối để nhân viên hỏi và báo sự cố.
Nên bắt đầu bằng việc soạn chính sách không?
Không. Chính sách viết trước khi kiểm kê là chính sách viết cho một tổ chức tưởng tượng — nó cấm những thứ không ai làm và bỏ sót những thứ đang diễn ra hằng ngày. Phải kiểm kê trước để biết tổ chức thực sự đang dùng gì.
Việc nào giảm rủi ro nhiều nhất trên công sức bỏ ra?
Cắt bớt công cụ không cần và cấu hình lại công cụ còn giữ — tắt chế độ dùng dữ liệu để huấn luyện, chuyển vùng lưu trữ về trong nước nếu có tuỳ chọn. Hai việc này mất khoảng hai tuần và xử lý được phần rủi ro lớn nhất.
Thời hạn chuyển tiếp có nghĩa là chưa cần làm gì trong một năm không?
Không. Thời hạn 18 tháng với y tế, giáo dục, tài chính và 12 tháng với lĩnh vực khác chỉ áp dụng cho việc đưa hệ thống AI đang hoạt động về trạng thái tuân thủ. Nó không áp dụng cho các hành vi bị nghiêm cấm, và cũng không áp dụng cho nghĩa vụ theo pháp luật về dữ liệu cá nhân vốn thuộc đạo luật khác với mốc hiệu lực riêng.
Lưu ý: Bài viết tổng hợp quy định đang có hiệu lực tại thời điểm đăng và chỉ mang tính tham khảo, không thay thế ý kiến pháp lý cho một vụ việc cụ thể. Văn bản pháp luật có thể được sửa đổi; vui lòng đối chiếu bản mới nhất hoặc trao đổi với luật sư trước khi quyết định.