Ngày 1/3/2026, Luật Trí tuệ nhân tạo số 134/2025/QH15 (“Luật TTNT”) chính thức có hiệu lực. Cùng với Nghị định 142/2026/NĐ-CP hướng dẫn thi hành và Quyết định 33/2026/QĐ-TTg ban hành danh mục hệ thống trí tuệ nhân tạo (“Hệ thống AI”) có rủi ro cao, những văn bản này tạo thành khung pháp lý riêng về trí tuệ nhân tạo tại Việt Nam.
Luật TTNT và các văn bản hướng dẫn không tạo ra các tiêu chuẩn riêng về dữ liệu cá nhân hay quyền tác giả. Nhưng thông qua kỹ thuật dẫn chiếu và các quy định liên quan, đạo luật này tạo ra những tác động đáng kể đến hai chế định đó. Bài viết này phân tích mối liên hệ và một số tác động của khung pháp lý về AI đối với pháp luật về bảo vệ dữ liệu cá nhân và sở hữu trí tuệ, bao gồm: (i) nghĩa vụ về nguồn gốc dữ liệu huấn luyện mô hình AI; (ii) điều kiện sử dụng văn bản, dữ liệu có bản quyền để huấn luyện AI; và (iii) điều kiện bảo hộ quyền tác giả đối với sản phẩm có sự hỗ trợ của AI.
Vi phạm luật chuyên ngành đồng thời là vi phạm Luật TTNT
Điều 7 Luật TTNT cấm hành vi thu thập, xử lý hoặc sử dụng dữ liệu để phát triển, huấn luyện, kiểm thử hoặc vận hành Hệ thống AI trái với quy định của pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ và an ninh mạng.
Đây là một kỹ thuật lập pháp có chủ đích. Điều 7 không tự mình định nghĩa hành vi vi phạm mà viện dẫn tới quy định của pháp luật chuyên ngành, theo đó hành vi vi phạm các quy định trong lĩnh vực tương ứng, khi diễn ra trong quá trình thu thập, xử lý hoặc sử dụng dữ liệu cho Hệ thống AI, đồng thời cấu thành hành vi bị cấm theo Luật TTNT. Hệ quả là bên cạnh chế tài của luật chuyên ngành, doanh nghiệp còn chịu thêm các biện pháp quản lý riêng của khung pháp lý về AI, trong đó cơ quan có thẩm quyền có thể buộc phân loại lại mức độ rủi ro của Hệ thống AI và, trong trường hợp nghiêm trọng, yêu cầu tạm dừng vận hành.
Chế tài theo luật chuyên ngành thường áp dụng chế tài phạt tiền tương ứng với hành vi vi phạm, trong khi biện pháp theo Luật TTNT hướng vào chính Hệ thống AI đang vận hành và tác động tới khả năng tiếp tục khai thác Hệ thống AI đó. Nói cách khác, một sai sót ở khâu chuẩn bị, khai thác dữ liệu, vốn thường được xem là vấn đề kỹ thuật, có thể chuyển thành rủi ro gián đoạn kinh doanh.
Tình huống vi phạm về dữ liệu cá nhân phổ biến
Trên thực tế, vi phạm về dữ liệu cá nhân khi huấn luyện Hệ thống AI thường đến từ thói quen vận hành hơn là từ chủ ý. Tình huống thứ nhất là doanh nghiệp dùng kho dữ liệu khách hàng sẵn có, gồm lịch sử giao dịch, hành vi sử dụng dịch vụ hay nội dung trao đổi với bộ phận chăm sóc khách hàng, để huấn luyện mô hình hoặc Hệ thống AI nội bộ mà không khử nhận dạng, mã hóa hay áp dụng các biện pháp bảo mật được yêu cầu. Về pháp lý, huấn luyện AI có thể là một mục đích mới, nằm ngoài phạm vi sự đồng ý ban đầu vốn chỉ bao gồm việc cung cấp dịch vụ và tiếp thị. Pháp luật Việt Nam lại không cho phép dựa vào lợi ích hợp pháp ở phạm vi rộng như pháp luật Liên minh châu Âu để doanh nghiệp viện dẫn. Trái lại, Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP còn siết chặt hơn khi buộc sự đồng ý phải được thể hiện đối với từng mục đích, cấm thiết lập phương thức mặc định đồng ý như ô đồng ý được tích sẵn và đặt trách nhiệm chứng minh sự đồng ý lên bên kiểm soát dữ liệu(1).
Tình huống thứ hai kín đáo hơn và vì thế cũng phổ biến hơn. Doanh nghiệp tích hợp một Hệ thống AI của nước ngoài qua giao diện lập trình ứng dụng để làm trợ lý nội bộ hay công cụ tóm tắt hồ sơ, rồi gửi dữ liệu khách hàng qua đó, trong đó có dữ liệu cá nhân. Mỗi lần gửi như vậy là một hành vi xử lý và chuyển dữ liệu cá nhân ra nước ngoài, phải lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài và phải có thỏa thuận bằng văn bản xác định rõ mục đích, loại dữ liệu, thời hạn lưu trữ và trách nhiệm của các bên(2). Trên thực tế, vẫn còn rất nhiều tổ chức, cá nhân chưa nhận thức đầy đủ để tuân thủ quy định này.
Huấn luyện Hệ thống AI cho mục đích phi thương mại không phải trả tiền bản quyền
Luật sửa đổi, bổ sung một số điều của Luật Sở hữu trí tuệ số 131/2025/QH15, có hiệu lực từ ngày 1/4/2026, đã bổ sung khoản 5 vào Điều 7 Luật Sở hữu trí tuệ hiện hành, cho phép sử dụng văn bản và dữ liệu là đối tượng quyền sở hữu trí tuệ đã được công bố hợp pháp để phục vụ nghiên cứu khoa học, thử nghiệm và huấn luyện Hệ thống AI, với điều kiện việc sử dụng này không ảnh hưởng bất hợp lý đến quyền và lợi ích hợp pháp của tác giả, chủ sở hữu quyền sở hữu trí tuệ theo quy định của Luật này.
Theo quy định này, tổ chức, cá nhân được sử dụng kho nội dung và dữ liệu công khai, bao gồm cả văn bản và dữ liệu là đối tượng được bảo hộ quyền tác giả, quyền liên quan, để nghiên cứu khoa học, thử nghiệm và huấn luyện Hệ thống AI mà không cần sự đồng ý của tác giả, chủ sở hữu quyền tác giả, chủ sở hữu quyền liên quan và không phải trả tiền bản quyền. Tuy nhiên, theo Nghị định 134/2026/NĐ-CP(3), ngoại lệ này chỉ áp dụng khi hai nhóm điều kiện sau được đáp ứng:
- Nhóm điều kiện thứ nhất: văn bản và dữ liệu phải (i) được công bố hợp pháp cho công chúng; (ii) được tiếp cận thông qua hành vi hợp pháp từ nguồn hợp pháp; và (iii) không được hủy bỏ hay vô hiệu hóa biện pháp công nghệ bảo vệ quyền do chủ sở hữu quyền áp dụng(4); và
- Nhóm điều kiện thứ hai: việc sử dụng (i) chỉ nhằm mục đích nghiên cứu khoa học, thử nghiệm, huấn luyện Hệ thống AI và không nhằm mục đích thương mại; (ii) không được mâu thuẫn với việc khai thác bình thường văn bản và dữ liệu là đối tượng được bảo hộ quyền tác giả, quyền liên quan và không gây thiệt hại một cách bất hợp lý đến lợi ích hợp pháp của tác giả, chủ sở hữu quyền tác giả, chủ sở hữu quyền liên quan; và (iii) kết quả đầu ra của Hệ thống AI không thay thế thị trường tiêu thụ hoặc khai thác bình thường đối tượng quyền tác giả, quyền liên quan, không tạo ra việc cạnh tranh không lành mạnh đối với việc khai thác, sử dụng đối tượng quyền tác giả, quyền liên quan(5).
Ngoài ra, tổ chức, cá nhân sử dụng văn bản, dữ liệu là đối tượng được bảo hộ quyền tác giả, quyền liên quan để huấn luyện Hệ thống AI phải lưu giữ hồ sơ kỹ thuật cùng dữ liệu huấn luyện, sẵn sàng cung cấp cho cơ quan nhà nước có thẩm quyền để phục vụ xác minh, giải quyết tranh chấp, xử lý hành vi vi phạm pháp luật có liên quan và phải tôn trọng quyền bảo lưu của chủ sở hữu quyền(6).
Cần lưu ý rằng tác giả, chủ sở hữu quyền tác giả, chủ sở hữu quyền liên quan có quyền bảo lưu và không cho phép văn bản, dữ liệu của mình được sử dụng để huấn luyện Hệ thống AI, trừ trường hợp các điều kiện nêu trên được đáp ứng(7). Khi tổ chức, cá nhân sử dụng văn bản và dữ liệu là đối tượng được bảo hộ quyền tác giả, quyền liên quan để huấn luyện Hệ thống AI và sau đó khai thác thương mại thì phải trả tiền bản quyền cho tác giả, chủ sở hữu quyền tác giả, chủ sở hữu quyền liên quan(8).
Như vậy, nếu việc sử dụng không đáp ứng đầy đủ các điều kiện nêu trên thì không được hưởng ngoại lệ, và khi đó việc sử dụng văn bản, dữ liệu được bảo hộ để huấn luyện Hệ thống AI phải được sự cho phép của chủ sở hữu quyền tác giả, chủ sở hữu quyền liên quan và phải trả tiền bản quyền theo nguyên tắc chung của pháp luật sở hữu trí tuệ(9).
Chứng minh được đóng góp của con người mới có quyền tác giả
Điều 5a được bổ sung vào Nghị định 17/2023/NĐ-CP giải quyết một câu hỏi mà nhiều hệ thống pháp luật còn lúng túng, đó là sản phẩm tạo ra với sự hỗ trợ của AI có được bảo hộ quyền tác giả hay không. Câu trả lời là có, nhưng chỉ khi con người có đóng góp đáng kể và mang tính quyết định, thể hiện qua việc cung cấp dữ liệu đầu vào, thiết lập tham số kỹ thuật, đánh giá và lựa chọn kết quả, sao cho sản phẩm mang dấu ấn cá nhân và sự kiểm soát trực tiếp của con người chứ không phải kết quả ngẫu nhiên của thuật toán. Sản phẩm do AI tạo ra hoàn toàn thì không làm phát sinh quyền tác giả(10).
Tiêu chí này phù hợp với thông lệ quốc tế, nhưng điểm có tác động thực tế mạnh nhất lại nằm ở nghĩa vụ chứng minh đi kèm. Người yêu cầu bảo hộ phải kê khai việc sử dụng hệ thống AI và, khi có tranh chấp, phải cung cấp bằng chứng về sự kiểm soát của con người, gồm dữ liệu đầu vào, tham số kỹ thuật hoặc tài liệu thiết kế, và lịch sử tương tác.
Lịch sử tương tác, hiểu theo nghĩa thực tế, chính là nhật ký câu lệnh, sự trao đổi và tương tác giữa con người và Hệ thống AI trong quá trình tạo ra sản phẩm. Vì vậy, một công ty quảng cáo, một đơn vị thiết kế hay một đội phát triển phần mềm có dùng AI trong quy trình sản xuất mà không lưu lại ai đã dùng công cụ nào, đưa vào những gì và chỉnh sửa ra sao thì khi tranh chấp phát sinh sẽ không chứng minh được đóng góp mang tính quyết định của con người. Không chứng minh được thì không có quyền tác giả, đồng nghĩa với việc tài sản vô hình do chính mình tạo ra có thể không được bảo hộ tác quyền.
Những vấn đề còn bỏ ngỏ
Khung pháp lý hiện hành vẫn còn những vấn đề cần tiếp tục được nghiên cứu và hoàn thiện. Vấn đề đáng lưu tâm nhất là quan hệ giữa quyền yêu cầu xóa dữ liệu cá nhân(11) với Hệ thống AI đã được huấn luyện, bởi dữ liệu một khi đã được đưa vào huấn luyện và trở thành một phần của chính mô hình AI thì gần như không thể xóa riêng phần dữ liệu đó bằng kỹ thuật hiện có, trong khi pháp luật chưa làm rõ nghĩa vụ xóa dừng lại ở tập dữ liệu huấn luyện hay mở rộng tới mô hình cùng các bản sao đã triển khai.
Bên cạnh đó, ranh giới “không nhằm mục đích thương mại” chưa được định nghĩa rõ ràng và có thể khó xác định trên thực tế trong một số trường hợp. Chẳng hạn khi một Hệ thống AI được huấn luyện trong giai đoạn nghiên cứu (có mục đích phi thương mại) rồi sau đó được thương mại hóa thì sẽ được xác định như thế nào. Chủ Hệ thống AI hay đơn vị phát triển Hệ thống AI có phải trả phí bản quyền cho tác giả, chủ sở hữu quyền tác giả vì đã sử dụng dữ liệu và văn bản được bảo hộ quyền tác giả ở giai đoạn nghiên cứu, huấn luyện Hệ thống AI trước đó hay không?
Mặt khác, hiện tại cũng chưa có nghị định riêng về xử phạt vi phạm hành chính trong lĩnh vực trí tuệ nhân tạo nên không có căn cứ xử phạt trực tiếp mà phải áp dụng theo các nghị định xử phạt của luật chuyên ngành liên quan, nếu có hành vi vi phạm tương ứng. Điều này đặt ra yêu cầu cấp thiết cần phải xây dựng và ban hành quy định xử phạt hành chính để hoàn thiện khung pháp lý về AI tại Việt Nam.
Kết luận
Những vấn đề được phân tích ở trên có chung một đặc điểm. Dù là nghĩa vụ về nguồn gốc dữ liệu cá nhân, điều kiện sử dụng văn bản, dữ liệu được bảo hộ tác quyền hay điều kiện bảo hộ sản phẩm do AI hỗ trợ tạo ra, pháp luật buộc phải chứng minh được nguồn gốc và quá trình sử dụng phải tuân thủ quy định của pháp luật liên quan. Sự đồng ý của chủ thể dữ liệu phải chứng minh được, nguồn dữ liệu huấn luyện Hệ thống AI phải lưu giữ được, đóng góp của con người phải xác thực được.
Hệ quả là hồ sơ chứng minh trở thành một loại tài sản pháp lý. Hồ sơ nguồn gốc dữ liệu và điều kiện sử dụng dữ liệu quyết định doanh nghiệp được hưởng ngoại lệ hay phải trả tiền bản quyền khi sử dụng dữ liệu được bảo hộ tác quyền cho mục đích nghiên cứu, thực nghiệm hay huấn luyện Hệ thống AI. Hồ sơ đồng ý của chủ thể dữ liệu quyết định việc tái sử dụng dữ liệu khách hàng để huấn luyện AI có hợp pháp hay không, còn nhật ký câu lệnh và mức độ đóng góp của con người quyết định sản phẩm có sự hỗ trợ của AI có phát sinh quyền tác giả hay không.
(1) Điều 9.4.a Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (sự đồng ý phải được thể hiện đối với từng mục đích); Điều 6.2 và Điều 6.3 Nghị định 356/2025/NĐ-CP (trách nhiệm chứng minh sự đồng ý thuộc về bên kiểm soát dữ liệu; cấm thiết lập phương thức mặc định đồng ý); so sánh Điều 6.1.f GDPR
(2) Điều 20.1.b, Điều 20.1.c và Điều 20.2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15; Điều 18.2.b, Điều 18.3.c và Điều 18.3.d Nghị định 356/2025/NĐ-CP
(3) Mục 3 Chương III Nghị định 17/2023/NĐ-CP, gồm Điều 37a, Điều 37b và Điều 37c, được bổ sung bởi Nghị định 134/2026/NĐ-CP ngày 6/4/2026
(4) Điều 37a.1 Nghị định 17/2023/NĐ-CP, được bổ sung bởi Nghị định 134/2026/NĐ-CP
(5) Điều 37a.2.a, Điều 37a.2.b và Điều 37a.2.c Nghị định 17/2023/NĐ-CP, được bổ sung bởi Nghị định 134/2026/NĐ-CP
(6) Điều 37c.1 Nghị định 17/2023/NĐ-CP, được bổ sung bởi Nghị định 134/2026/NĐ-CP
(7) Điều 37b.1, Điều 37b.2 và Điều 37b.3 Nghị định 17/2023/NĐ-CP, được bổ sung bởi Nghị định 134/2026/NĐ-CP
(8) Điều 37c.2 Nghị định 17/2023/NĐ-CP, được bổ sung bởi Nghị định 134/2026/NĐ-CP
(9) Điều 20.3 Luật Sở hữu trí tuệ, theo đó việc khai thác quyền tài sản phải được sự cho phép của chủ sở hữu quyền tác giả và phải trả tiền bản quyền, trừ các trường hợp quy định tại Điều 25, Điều 25a, Điều 26, Điều 32 và Điều 33 của Luật này
(10) Điều 5a Nghị định 17/2023/NĐ-CP, được bổ sung bởi Nghị định 134/2026/NĐ-CP
(11) Điều 4.1.d và Điều 14.1 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15; Điều 5.4 Nghị định 356/2025/NĐ-CP về thời hạn thực hiện yêu cầu xóa dữ liệu cá nhân
