Những nguyên tắc pháp luật về công nghệ cần tuân thủ

Tính đến ngày 26/8/2026, khuôn khổ này còn phải được đọc trong bối cảnh nhiều đạo luật mới đã có hiệu lực, gồm Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 từ ngày 1/1/2026, Luật Trí tuệ nhân tạo số 134/2025/QH15 từ ngày 1/3/2026 và Luật An ninh mạng số 116/2025/QH15 từ ngày 1/7/2026. Vì vậy, tuân thủ pháp luật về công nghệ không thể chỉ kiểm tra sản phẩm ở thời điểm phát hành mà cần được tích hợp từ thiết kế, thu thập dữ liệu, vận hành đến xử lý sự cố và chấm dứt hệ thống.

Hoạt động công nghệ trước hết phải nằm trong phạm vi pháp luật cho phép

Nguyên tắc đầu tiên là quyền phát triển và ứng dụng công nghệ không đồng nghĩa với quyền hành động ngoài giới hạn pháp luật. Luật Công nghệ thông tin quy định tổ chức, cá nhân có quyền tiến hành hoạt động ứng dụng công nghệ thông tin theo luật này và các quy định pháp luật có liên quan. Điều đó tạo ra hai mặt của cùng một nguyên tắc: pháp luật thừa nhận quyền ứng dụng công nghệ, nhưng cách ứng dụng vẫn phải tuân theo những quy định điều chỉnh lĩnh vực, đối tượng và hành vi cụ thể.

Vì vậy, tính hợp pháp không thể được đánh giá chỉ bằng câu hỏi “công nghệ này có bị cấm hay không”. Một hệ thống về mặt kỹ thuật hoàn toàn hợp pháp vẫn có thể phát sinh vi phạm khi được dùng để thu thập dữ liệu không đúng căn cứ, thực hiện giao dịch trái quy định, sử dụng tài sản trí tuệ không được phép hoặc tạo ra rủi ro mà pháp luật chuyên ngành yêu cầu phải kiểm soát.

Cơ chế pháp lý ở đây là tuân thủ theo chức năng và bối cảnh sử dụng. Công nghệ càng tham gia sâu vào hoạt động ngân hàng, y tế, giáo dục, viễn thông, thương mại hay dịch vụ công thì chủ thể càng phải kiểm tra thêm pháp luật chuyên ngành. Không nên hiểu “pháp luật về công nghệ” là một lớp quy định tách biệt với các ngành khác.

Quyền con người, quyền riêng tư và dữ liệu cá nhân phải được bảo vệ

Dữ liệu là đầu vào của phần lớn hệ thống số, nhưng khả năng thu thập được dữ liệu không tự động tạo ra quyền xử lý dữ liệu đó theo mọi mục đích. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã có hiệu lực từ ngày 1/1/2026, tạo cơ sở pháp lý ở cấp luật cho việc bảo vệ dữ liệu cá nhân tại Việt Nam.

Về nguyên tắc, chủ thể công nghệ phải xác định dữ liệu nào thực sự cần thiết, dữ liệu được xử lý để làm gì, ai được tiếp cận, được sử dụng trong phạm vi nào và phải được bảo vệ ra sao. Việc dữ liệu đã được thu thập hợp pháp cho một hoạt động không có nghĩa nó mặc nhiên được sử dụng cho mọi hoạt động khác. Chẳng hạn, quy định về dữ liệu thu được từ ghi âm, ghi hình tại nơi công cộng yêu cầu dữ liệu được xử lý, sử dụng phù hợp với mục đích xử lý và không được dùng vào mục đích trái pháp luật hoặc xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu.

Ý nghĩa thực tế là yêu cầu bảo vệ dữ liệu phải đi vào thiết kế hệ thống. Quyền truy cập, phân quyền nhân sự, thời hạn lưu dữ liệu, nhật ký xử lý, cơ chế xóa hoặc hủy dữ liệu và quy trình phản ứng khi dữ liệu bị xâm phạm đều có thể trở thành vấn đề pháp lý, không chỉ là vấn đề kỹ thuật.

Một nhầm lẫn phổ biến là đồng nhất bảo vệ dữ liệu với việc “có sự đồng ý là đủ”. Sự đồng ý có thể là yếu tố pháp lý quan trọng trong nhiều trường hợp, nhưng nghĩa vụ của chủ thể còn phụ thuộc loại dữ liệu, mục đích xử lý, vai trò của từng bên và căn cứ pháp luật áp dụng. Tuân thủ vì thế phải được đánh giá trên toàn bộ quá trình xử lý dữ liệu.

An ninh mạng phải được xem là nghĩa vụ xuyên suốt vòng đời công nghệ

Từ ngày 1/7/2026, Luật An ninh mạng số 116/2025/QH15 có hiệu lực và Luật An toàn thông tin mạng năm 2015 cùng Luật An ninh mạng năm 2018 hết hiệu lực. Đây là điểm đặc biệt quan trọng khi đánh giá quy định hiện hành, bởi việc tiếp tục viện dẫn hai luật cũ như nguồn điều chỉnh chính sau thời điểm này có thể làm sai lệch cơ sở pháp lý.

Luật mới tiếp cận an ninh mạng không chỉ theo nghĩa phòng chống tấn công. Khái niệm an ninh thông tin mạng còn gắn với việc bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng của thông tin, tránh truy cập, sử dụng, tiết lộ, sửa đổi hoặc phá hoại trái phép.

Do đó, nguyên tắc pháp lý phù hợp là security by design, tức yêu cầu bảo vệ phải xuất hiện ngay khi thiết kế chứ không phải chỉ bổ sung sau khi xảy ra sự cố. Một hệ thống có chức năng đúng nhưng phân quyền quá rộng, không kiểm soát truy cập hoặc không đủ khả năng phát hiện hành vi bất thường vẫn có thể tạo ra rủi ro pháp lý đáng kể.

Mức nghĩa vụ cụ thể không giống nhau đối với mọi hệ thống. Chủ thể phải xét loại hệ thống, loại dữ liệu, mức độ quan trọng của hoạt động, phạm vi người dùng và các yêu cầu chuyên ngành. Đây cũng là lý do tuân thủ an ninh mạng không thể được thay thế bằng một chứng nhận kỹ thuật đơn lẻ.

Giao dịch điện tử phải bảo đảm quyền của các bên và độ tin cậy của quá trình điện tử

Khi công nghệ được dùng để hình thành hợp đồng, xác nhận ý chí, ký kết, gửi nhận thông điệp dữ liệu hoặc thực hiện quy trình giao dịch, vấn đề pháp lý không chỉ nằm ở phần mềm vận hành ổn định mà còn ở khả năng xác định giao dịch và quyền của các bên.

Luật Giao dịch điện tử năm 2023, có hiệu lực từ ngày 1/7/2024 và đã được cập nhật theo những thay đổi pháp luật sau đó, ghi nhận việc bảo vệ quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân; đồng thời bảo đảm quyền tự nguyện lựa chọn thực hiện giao dịch điện tử và lựa chọn công nghệ, phương tiện điện tử hoặc hình thức xác nhận, trừ trường hợp luật có quy định khác. Các chủ thể thực hiện giao dịch điện tử cũng phải tuân thủ yêu cầu về an ninh mạng.

Từ nguyên tắc này, doanh nghiệp không nên chỉ hỏi “nút bấm đã hoạt động chưa” mà phải hỏi người dùng có thực sự thể hiện ý chí hay không, thông tin có được giữ toàn vẹn không, danh tính hoặc thẩm quyền có cần xác thực không và bằng chứng điện tử có đủ để chứng minh quá trình giao dịch khi xảy ra tranh chấp hay không.

Công nghệ có thể tự động hóa thao tác nhưng không làm mất đi bản chất pháp lý của giao dịch. Càng tự động hóa nhiều bước, thiết kế càng phải bảo đảm có thể truy vết những sự kiện pháp lý quan trọng.

Sở hữu trí tuệ phải được kiểm tra đối với cả đầu vào và đầu ra của công nghệ

Phần mềm, mã nguồn, tài liệu, hình ảnh, cơ sở dữ liệu, mô hình, nội dung số và các thành phần được tích hợp vào sản phẩm có thể gắn với nhiều quyền sở hữu trí tuệ khác nhau. Vì thế, việc một tài nguyên có thể tải xuống, sao chép hoặc truy cập bằng kỹ thuật không có nghĩa chủ thể được tự do khai thác nó.

Pháp luật sở hữu trí tuệ hiện hành bảo hộ chương trình máy tính như tác phẩm văn học dù được thể hiện dưới dạng mã nguồn hay mã máy. Luật Sở hữu trí tuệ tiếp tục được sửa đổi bởi Luật số 131/2025/QH15, có hiệu lực từ ngày 1/4/2026.

Một điểm cần phân biệt là quyền đối với sưu tập dữ liệu và quyền đối với từng dữ liệu cấu thành không phải là một. Sưu tập dữ liệu có tính sáng tạo trong việc tuyển chọn, sắp xếp có thể được bảo hộ, nhưng sự bảo hộ đó không mặc nhiên bao gồm chính các tư liệu nằm trong sưu tập.

Trong thực tế, nguyên tắc này buộc chủ thể phải kiểm tra nguồn gốc và phạm vi quyền sử dụng trước khi đưa tài nguyên vào sản phẩm. Với phần mềm nguồn mở, thư viện của bên thứ ba, tập dữ liệu huấn luyện hoặc nội dung do người dùng cung cấp, câu hỏi pháp lý thường không phải chỉ là “có quyền truy cập hay không” mà là “được phép làm gì với tài nguyên đó và trong điều kiện nào”.

Công nghệ AI phải đặt con người, tính minh bạch và trách nhiệm giải trình ở trung tâm

Đối với trí tuệ nhân tạo, các nguyên tắc chung đã được cụ thể hóa mạnh hơn. Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ ngày 1/3/2026 quy định hoạt động AI phải lấy con người làm trung tâm, bảo đảm quyền con người, quyền riêng tư, lợi ích quốc gia, lợi ích công cộng và an ninh quốc gia, đồng thời tuân thủ Hiến pháp và pháp luật.

Đặc biệt, AI không thay thế thẩm quyền và trách nhiệm của con người. Luật yêu cầu duy trì sự kiểm soát và khả năng can thiệp của con người đối với quyết định, hành vi của hệ thống, đồng thời đặt ra các yêu cầu về an toàn hệ thống, an ninh dữ liệu, khả năng kiểm tra và giám sát. Nguyên tắc công bằng, minh bạch, không thiên lệch, không phân biệt đối xử và trách nhiệm giải trình cũng được xác lập trực tiếp.

Điều này làm thay đổi cách tiếp cận tuân thủ. Nếu một thuật toán tham gia vào quyết định có khả năng ảnh hưởng đáng kể đến quyền hoặc cơ hội của con người, doanh nghiệp không thể lấy lý do “hệ thống tự quyết định” để tách trách nhiệm khỏi người phát triển hoặc bên triển khai.

Luật cũng thể hiện hướng quản lý tương xứng với mức độ rủi ro. Vì vậy, không phải mọi công cụ AI đều cần cùng một mức kiểm soát; mức độ giám sát, hồ sơ, đánh giá và biện pháp bảo vệ phải được đặt trong quan hệ với rủi ro thực tế mà hệ thống tạo ra.

Trách nhiệm pháp lý phải được phân bổ từ thiết kế đến vận hành

Điểm chung của các nguyên tắc trên là pháp luật không chỉ quan tâm đến sản phẩm công nghệ ở trạng thái cuối cùng. Nhiều rủi ro hình thành sớm hơn: chọn nguồn dữ liệu không phù hợp, thiết kế quyền truy cập quá rộng, dùng mã hoặc nội dung không đủ quyền, thiếu cơ chế xác thực giao dịch hoặc giao quá nhiều quyền quyết định cho hệ thống tự động.

Do đó, một quy trình tuân thủ hiệu quả cần gắn mỗi chức năng công nghệ với câu hỏi pháp lý tương ứng ngay từ đầu. Nếu chức năng xử lý dữ liệu cá nhân, phải xác định quy tắc dữ liệu áp dụng. Nếu tạo giao dịch hoặc bằng chứng điện tử, phải kiểm tra quy định về giao dịch điện tử. Nếu sử dụng tài sản của bên thứ ba, phải xác định quyền sở hữu trí tuệ và phạm vi cấp phép. Nếu hệ thống kết nối mạng hoặc nắm giữ thông tin quan trọng, phải đánh giá nghĩa vụ an ninh mạng. Nếu sử dụng AI, phải xác định thêm mức rủi ro, khả năng giám sát của con người và trách nhiệm giải trình.

Cách tiếp cận này cũng giải thích vì sao tuân thủ pháp luật không thể là một bước kiểm tra cuối dự án. Khi một yêu cầu pháp lý tác động trực tiếp đến kiến trúc dữ liệu, quyền truy cập, cách lưu bằng chứng hoặc cơ chế can thiệp của con người, sửa hệ thống sau khi đã triển khai thường phức tạp hơn nhiều so với tích hợp yêu cầu ngay từ thiết kế.

Hoạt động công nghệ hợp pháp không chỉ là hoạt động “không bị cấm”. Chủ thể phải bảo đảm công nghệ được phát triển và sử dụng đúng khuôn khổ pháp luật, tôn trọng quyền con người và dữ liệu cá nhân, duy trì an ninh mạng, bảo đảm độ tin cậy của giao dịch điện tử, tôn trọng sở hữu trí tuệ và chịu trách nhiệm đối với hậu quả do hệ thống tạo ra. Với AI, yêu cầu này còn được cụ thể hóa bằng nguyên tắc lấy con người làm trung tâm, duy trì khả năng kiểm soát của con người, minh bạch và trách nhiệm giải trình.

Vì nghĩa vụ cụ thể thay đổi theo chức năng, dữ liệu và lĩnh vực ứng dụng, cách tuân thủ phù hợp nhất là xác định rủi ro pháp lý song song với quá trình thiết kế và vận hành công nghệ. Khi pháp luật được xem như một yêu cầu của kiến trúc hệ thống thay vì thủ tục kiểm tra sau cùng, chủ thể vừa giảm nguy cơ vi phạm vừa xác định rõ hơn trách nhiệm của mình trong toàn bộ vòng đời công nghệ.