Những giới hạn pháp lý khi sử dụng công nghệ

Tại Việt Nam, khung pháp lý liên quan đến công nghệ hiện trải rộng trên nhiều nhóm quy định, từ bảo vệ dữ liệu cá nhân, an ninh mạng, sở hữu trí tuệ đến bảo vệ người tiêu dùng và pháp luật chuyên ngành. Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 2025 và Luật Công nghiệp công nghệ số 2025 đã có hiệu lực; Luật An ninh mạng 2025 có hiệu lực từ ngày 01/07/2026. Vì vậy, việc xác định giới hạn phải căn cứ vào pháp luật đang có hiệu lực tại thời điểm hoạt động công nghệ diễn ra.

Giới hạn pháp lý được xác định từ hành vi sử dụng, không chỉ từ tên công nghệ

Không tồn tại một giới hạn pháp lý duy nhất áp dụng giống nhau cho mọi công nghệ. Pháp luật thường điều chỉnh hành vi phát sinh khi công nghệ được triển khai.

Ví dụ, một hệ thống nhận diện khuôn mặt vừa liên quan đến công nghệ AI, vừa có thể xử lý dữ liệu sinh trắc học. Một nền tảng thương mại điện tử vừa là hệ thống công nghệ, vừa thực hiện giao dịch với người tiêu dùng. Một công cụ tự động thu thập thông tin trên Internet có thể đồng thời đặt ra vấn đề về dữ liệu cá nhân, quyền sở hữu trí tuệ hoặc an ninh mạng.

Do đó, trước khi xác định công nghệ có được sử dụng hay không, cần trả lời các câu hỏi pháp lý cốt lõi:

·         Công nghệ thực hiện hành vi gì

·         Dữ liệu hoặc tài sản nào bị tác động

·         Cá nhân, tổ chức nào chịu ảnh hưởng

·         Hoạt động thuộc ngành, lĩnh vực nào

·         Có điều kiện, giấy phép hoặc tiêu chuẩn chuyên ngành hay không

·         Hành vi diễn ra tại đâu và pháp luật của quốc gia nào được áp dụng

Cùng một công cụ có thể không bị cấm về mặt công nghệ nhưng cách triển khai cụ thể vẫn có thể vi phạm pháp luật.

Bảo vệ dữ liệu cá nhân là một giới hạn quan trọng đối với công nghệ xử lý dữ liệu

Khi công nghệ thu thập, phân tích, lưu trữ, chia sẻ hoặc tạo ra thông tin có thể xác định một cá nhân, giới hạn pháp lý về dữ liệu cá nhân trở thành một lớp kiểm soát trực tiếp.

Nghị định 356/2025/NĐ-CP, có hiệu lực từ ngày 01/01/2026 và hướng dẫn Luật Bảo vệ dữ liệu cá nhân 2025, phân biệt dữ liệu cá nhân cơ bản với dữ liệu cá nhân nhạy cảm. Nhóm nhạy cảm bao gồm những dữ liệu như sinh trắc học, sức khỏe, vị trí được xác định qua dịch vụ định vị, dữ liệu tài chính và dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng.

Điều này có nghĩa một hệ thống có khả năng kỹ thuật thu thập rất nhiều dữ liệu không đồng nghĩa với việc tổ chức được phép thu thập toàn bộ dữ liệu đó. Việc xử lý phải được giới hạn theo cơ sở pháp lý, mục đích và phạm vi tương ứng.

Đáng chú ý, quy định hiện hành yêu cầu phương thức xin sự đồng ý phải có khả năng kiểm chứng; bên kiểm soát dữ liệu phải lưu được bằng chứng về sự đồng ý và không được thiết lập cơ chế mặc định coi người dùng là đã đồng ý. Đối với dữ liệu nhạy cảm, chủ thể còn phải được thông báo rằng dữ liệu được xử lý thuộc nhóm nhạy cảm.

Công nghệ AI không loại trừ nghĩa vụ bảo vệ dữ liệu

Giới hạn này vẫn tồn tại khi dữ liệu được sử dụng để huấn luyện hoặc vận hành hệ thống AI. Nghị định 356/2025/NĐ-CP quy định việc sử dụng dữ liệu cá nhân để nghiên cứu, phát triển thuật toán tự học hoặc hệ thống AI phải tuân thủ pháp luật về bảo vệ dữ liệu cá nhân. Nếu thông tin do AI suy luận có thể xác định hoặc giúp xác định một người cụ thể, dữ liệu suy luận đó cũng phải được bảo vệ.

Vì vậy, việc dữ liệu được AI “suy ra” thay vì được người dùng trực tiếp cung cấp không tự động đưa dữ liệu đó ra ngoài phạm vi pháp luật.

An ninh mạng giới hạn những hành vi có thể thực hiện bằng công nghệ

Một công nghệ có thể hoạt động đúng về mặt kỹ thuật nhưng vẫn không được sử dụng để thực hiện hành vi xâm phạm an ninh quốc gia, trật tự, an toàn xã hội hoặc quyền và lợi ích hợp pháp của tổ chức, cá nhân.

Luật An ninh mạng 2025, có hiệu lực từ ngày 01/07/2026, quy định trách nhiệm của cơ quan, tổ chức và cá nhân liên quan đến hoạt động trên không gian mạng. Luật cũng xác định nhiều nhóm hành vi sử dụng công nghệ thông tin hoặc phương tiện điện tử có thể bị xử lý, chẳng hạn chiếm đoạt tài sản, giả mạo trang thông tin điện tử, thu thập hoặc trao đổi trái phép một số loại thông tin tài khoản, vi phạm quyền sở hữu trí tuệ hoặc sử dụng môi trường mạng cho các hoạt động trái pháp luật khác.

Do đó, quyền tiếp cận một công cụ không đồng nghĩa với quyền sử dụng mọi chức năng mà công cụ đó cho phép. Giới hạn được xác định theo hậu quả và tính chất pháp lý của hành vi thực tế.

Một hệ thống tự động hóa, chẳng hạn, có thể được dùng hợp pháp để kiểm thử hệ thống thuộc quyền quản lý của doanh nghiệp nhưng việc dùng cùng kỹ thuật để truy cập hoặc khai thác hệ thống của chủ thể khác không có căn cứ pháp lý có thể tạo ra một vấn đề pháp lý hoàn toàn khác.

Quyền sở hữu trí tuệ giới hạn việc sao chép và khai thác tài sản bằng công nghệ

Công nghệ làm cho việc sao chép, chỉnh sửa, phân phối và tái sử dụng nội dung trở nên dễ dàng, nhưng khả năng kỹ thuật đó không loại bỏ quyền sở hữu trí tuệ.

Phần mềm, tác phẩm, cơ sở dữ liệu hoặc các đối tượng sở hữu trí tuệ khác vẫn chịu sự điều chỉnh của pháp luật tương ứng. Tại thời điểm hiện tại, hệ thống pháp luật sở hữu trí tuệ của Việt Nam đã tiếp tục được sửa đổi bằng Luật số 131/2025/QH15, có hiệu lực từ ngày 01/04/2026.

Vì vậy, trước khi dùng công nghệ để sao chép, khai thác, phân phối hoặc đưa tài sản của bên khác vào quy trình tự động, cần xác định ít nhất:

·         Đối tượng có được pháp luật bảo hộ hay không

·         Chủ thể nào đang nắm giữ quyền

·         Phạm vi giấy phép hoặc quyền sử dụng đã được cấp

·         Hoạt động dự kiến có thuộc trường hợp pháp luật cho phép hay không

Đây cũng là lý do nội dung có thể truy cập công khai trên Internet không mặc nhiên trở thành tài sản được phép khai thác không giới hạn.

Công nghệ kinh doanh phải tôn trọng quyền của người tiêu dùng

Khi công nghệ được sử dụng để bán hàng, cung cấp dịch vụ, vận hành nền tảng, cá nhân hóa nội dung hoặc thực hiện giao dịch từ xa, giới hạn pháp lý không chỉ nằm ở công nghệ mà còn nằm ở quan hệ giữa doanh nghiệp và người tiêu dùng.

Luật Bảo vệ quyền lợi người tiêu dùng 2023 coi giao dịch được thực hiện trên không gian mạng hoặc bằng phương tiện điện tử mà người tiêu dùng không thể trực tiếp kiểm tra sản phẩm, hàng hóa hoặc dịch vụ trước khi giao dịch là một dạng giao dịch từ xa. Người tiêu dùng có quyền được cung cấp thông tin chính xác, đầy đủ và được bảo vệ thông tin cũng như các quyền, lợi ích hợp pháp của mình.

Đối với nền tảng số trung gian, pháp luật còn đặt ra các trách nhiệm như công khai quy chế hoạt động, minh bạch thông tin sản phẩm và người bán, tạo khả năng truy cập hoặc lưu giữ chứng từ giao dịch và thực hiện các nghĩa vụ bảo vệ người tiêu dùng khác. Với nền tảng số lớn, Luật còn yêu cầu đánh giá định kỳ việc sử dụng hệ thống thuật toán, quảng cáo hướng đến người tiêu dùng và việc sử dụng AI hoặc giải pháp tự động.

Như vậy, một thuật toán tối ưu doanh thu không thể chỉ được đánh giá bằng hiệu quả kinh doanh. Cách thuật toán cung cấp thông tin, tác động đến quyết định của người tiêu dùng hoặc xử lý dữ liệu của họ cũng có thể quyết định giới hạn pháp lý của việc sử dụng.

Công nghệ mới có thể chịu quy định riêng ngoài các nghĩa vụ chung

Một sai lầm phổ biến là cho rằng nếu công nghệ mới chưa có một đạo luật mang đúng tên của công nghệ đó thì hoạt động sử dụng chưa bị pháp luật điều chỉnh.

Trên thực tế, một công nghệ mới trước hết vẫn chịu các quy định chung liên quan đến hành vi mà nó thực hiện. Ngoài ra, một số công nghệ còn được đưa vào khuôn khổ pháp luật chuyên biệt.

Luật Công nghiệp công nghệ số 2025, có hiệu lực từ ngày 01/01/2026, đã đưa trí tuệ nhân tạo và tài sản số vào phạm vi điều chỉnh cùng với các quyền và trách nhiệm của cơ quan, tổ chức, cá nhân liên quan.

Điều đó tạo ra hai lớp kiểm tra. Một hệ thống AI, chẳng hạn, vừa phải đáp ứng quy định áp dụng riêng cho hoạt động công nghệ số, vừa phải tuân thủ các luật khác nếu hệ thống xử lý dữ liệu cá nhân, cung cấp dịch vụ cho người tiêu dùng, sử dụng tài sản trí tuệ hoặc hoạt động trên không gian mạng.

Nói cách khác, luật chuyên ngành thường bổ sung cho luật chung chứ không mặc nhiên thay thế toàn bộ các nghĩa vụ pháp lý khác.

Năm căn cứ giúp xác định giới hạn pháp lý khi sử dụng công nghệ

Trong thực tế, có thể xác định phạm vi được phép của một hoạt động công nghệ theo năm lớp.

1.    Mục đích và hành vi thực tế: Xác định công nghệ được dùng để thu thập dữ liệu, giao dịch, giám sát, tạo nội dung, truy cập hệ thống hay thực hiện hoạt động nào khác

2.    Đối tượng bị tác động: Kiểm tra hoạt động có liên quan đến dữ liệu cá nhân, tài sản, quyền sở hữu trí tuệ, quyền của người tiêu dùng hoặc lợi ích được pháp luật bảo vệ hay không

3.    Chủ thể và lĩnh vực sử dụng: Xác định người sử dụng là cá nhân, doanh nghiệp, nền tảng hay tổ chức thuộc ngành có điều kiện hoặc có quy định chuyên biệt

4.    Phạm vi lãnh thổ và pháp luật áp dụng: Một hoạt động xuyên biên giới có thể phải đáp ứng nhiều hệ thống quy định, không chỉ pháp luật nơi đặt máy chủ hoặc nơi phát triển công nghệ

5.    Thời điểm sử dụng: Công nghệ thay đổi nhanh và pháp luật cũng được sửa đổi; văn bản từng áp dụng có thể đã được thay thế hoặc xuất hiện thêm nghĩa vụ mới

Cách đánh giá này tránh hai cực đoan: cho rằng “công nghệ làm được thì pháp luật cho phép” hoặc ngược lại, cho rằng một công nghệ mới mặc nhiên bị cấm khi chưa có quy định gọi đích danh công nghệ đó.

Giới hạn pháp lý khi sử dụng công nghệ vì thế không được xác định bằng một danh sách công nghệ được phép và bị cấm. Căn cứ quan trọng hơn là mục đích sử dụng, hành vi được thực hiện, dữ liệu và quyền lợi bị tác động, lĩnh vực hoạt động, chủ thể thực hiện, lãnh thổ và hệ thống pháp luật đang có hiệu lực.

Trong bối cảnh Việt Nam năm 2026, các lớp pháp lý về bảo vệ dữ liệu cá nhân, an ninh mạng, công nghiệp công nghệ số, sở hữu trí tuệ và bảo vệ người tiêu dùng có thể đồng thời áp dụng đối với một hệ thống. Vì vậy, trước một ứng dụng công nghệ cụ thể, câu hỏi phù hợp không chỉ là “công nghệ này có được phép không?”, mà phải là “cách sử dụng cụ thể này tạo ra hành vi pháp lý nào và những quy định nào điều chỉnh hành vi đó?”