Cập nhật ngày 18/06/2026. Từ năm 2026, AI compliance Việt Nam không còn là chuyện tự nguyện. Hai bộ luật lớn cùng có hiệu lực — Luật Bảo vệ dữ liệu cá nhân (1/1/2026) và Luật Công nghiệp công nghệ số 2025 với chương riêng về trí tuệ nhân tạo — đặt ra nghĩa vụ cụ thể cho mọi tổ chức thu thập, xử lý dữ liệu hoặc vận hành hệ thống AI. Bài viết giải thích doanh nghiệp cần làm gì, đối chiếu với GDPR và đưa ra checklist thực hành. Đây là thông tin tham khảo, không thay thế tư vấn pháp lý chính thức.
Khung pháp lý: AI compliance Việt Nam 2026 gồm những gì
Nền tảng của AI compliance Việt Nam dựa trên hai trụ cột. Thứ nhất là Luật Bảo vệ dữ liệu cá nhân, được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 1/1/2026 — đạo luật toàn diện đầu tiên về dữ liệu cá nhân. Thứ hai là Luật Công nghiệp công nghệ số 2025, lần đầu thiết lập hành lang pháp lý cho AI tại Việt Nam với nguyên tắc lấy con người làm trung tâm, minh bạch và kiểm soát rủi ro.
Vì hầu hết hệ thống AI đều xử lý dữ liệu cá nhân, doanh nghiệp phải tuân thủ đồng thời cả hai luật chứ không chỉ một.
Luật Bảo vệ dữ liệu cá nhân và điểm GDPR tương đồng
Luật Bảo vệ dữ liệu cá nhân trao cho người dân các quyền cốt lõi: được thông báo, được đồng ý, được truy cập, chỉnh sửa và yêu cầu xóa dữ liệu. Những quyền này gần như tương ứng với GDPR của châu Âu, nên doanh nghiệp đã làm theo GDPR sẽ thấy quen thuộc.
Về phía tổ chức, nghĩa vụ gồm: công khai chính sách dữ liệu, bảo đảm an ninh trong suốt vòng đời dữ liệu (thu thập, xử lý, lưu trữ, chia sẻ), xóa dữ liệu khi chấm dứt hợp đồng và bảo vệ đặc biệt dữ liệu trẻ em. Điểm khác biệt đáng chú ý so với GDPR là yêu cầu về địa phương hóa và hồ sơ đánh giá tác động theo quy định Việt Nam.
Quy định về AI: nhận dạng và hành vi bị cấm
Luật Công nghiệp công nghệ số dành Chương IV cho trí tuệ nhân tạo. Một điểm doanh nghiệp cần nhớ ngay: theo Điều 44, hệ thống AI tương tác trực tiếp với con người phải có thông báo để người dùng biết họ đang làm việc với máy — trừ khi điều đó hiển nhiên. Nói cách khác, chatbot AI trên website phải minh bạch về danh tính.
Luật cũng quy định nguyên tắc quản lý hệ thống AI theo mức độ rủi ro và liệt kê các hành vi bị cấm. Doanh nghiệp triển khai chatbot, công cụ tạo nội dung hay hệ thống ra quyết định tự động cần rà soát để bảo đảm minh bạch và có cơ chế con người giám sát.
Checklist AI compliance Việt Nam cho doanh nghiệp
Các bước thực hành tối thiểu: (1) Lập danh mục dữ liệu cá nhân đang thu thập và mục đích; (2) Cập nhật chính sách quyền riêng tư công khai, rõ ràng; (3) Thiết lập cơ chế thu thập đồng ý và xử lý yêu cầu xóa dữ liệu; (4) Gắn nhãn/thông báo cho mọi điểm chạm AI với khách hàng; (5) Rà soát hợp đồng với nhà cung cấp công cụ AI về nơi lưu trữ và bảo mật dữ liệu; (6) Phân công người phụ trách tuân thủ và lưu hồ sơ.
Để xây dựng năng lực quản trị dữ liệu nội bộ, đội ngũ của bạn có thể học bài bản qua các khóa về dữ liệu và bảo mật.
Nâng cấp năng lực quản trị dữ liệu & bảo mật: khóa học thực chiến cho doanh nghiệp Việt. Xem khóa học trên Unica →
Ngoại lệ cho doanh nghiệp nhỏ và startup
Tin tốt cho SMB: doanh nghiệp nhỏ và startup được lựa chọn không thực hiện đánh giá tác động bảo vệ dữ liệu cá nhân trong 5 năm kể từ khi luật có hiệu lực — trừ trường hợp cung cấp dịch vụ xử lý dữ liệu, hoặc trực tiếp xử lý dữ liệu nhạy cảm và khối lượng lớn. Tuy vậy, các nghĩa vụ cơ bản như thông báo, đồng ý và bảo mật vẫn áp dụng, nên đừng chủ quan.
Xem thêm chiến lược tổng thể tại Cẩm nang AI cho doanh nghiệp 2026 và lộ trình triển khai AI cho SMB. Văn bản chính thức có thể tra cứu tại Báo Chính phủ.
Tiết lộ: Bài viết có chứa liên kết tiếp thị (affiliate). Nhịp AI có thể nhận hoa hồng khi bạn đăng ký qua liên kết, không phát sinh thêm chi phí cho bạn.
Câu hỏi thường gặp
AI compliance Việt Nam áp dụng cho doanh nghiệp quy mô nào?
Áp dụng cho mọi tổ chức thu thập, xử lý dữ liệu cá nhân hoặc vận hành hệ thống AI, không phân biệt quy mô. Doanh nghiệp nhỏ được miễn một số thủ tục đánh giá tác động trong 5 năm nhưng vẫn phải tuân thủ nghĩa vụ cơ bản.
Chatbot AI trên website có cần tuân thủ quy định gì không?
Có. Theo Điều 44 Luật Công nghiệp công nghệ số, hệ thống AI tương tác trực tiếp với người dùng phải thông báo rõ đó là AI. Ngoài ra, dữ liệu khách hàng thu thập qua chatbot phải được xử lý theo Luật Bảo vệ dữ liệu cá nhân.
AI compliance Việt Nam khác GDPR ở điểm nào?
Các quyền cơ bản của người dùng khá tương đồng GDPR. Khác biệt nằm ở yêu cầu địa phương hóa, hồ sơ theo quy định Việt Nam và việc Việt Nam có thêm luật riêng quản lý hệ thống AI bên cạnh luật dữ liệu.
