Những yêu cầu pháp lý khi phát triển công nghệ

Khung pháp luật liên quan cũng đang thay đổi nhanh. Luật Khoa học, công nghệ và đổi mới sáng tạo số 93/2025/QH15 có hiệu lực từ ngày 01/10/2025; Luật Công nghiệp công nghệ số số 71/2025/QH15 và Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 cùng có hiệu lực từ ngày 01/01/2026; Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 01/07/2026. Vì vậy, tuân thủ pháp luật cần được xem là một yêu cầu xuyên suốt vòng đời công nghệ thay vì thủ tục chỉ thực hiện khi sản phẩm đã hoàn thành.

Xác định công nghệ có thuộc lĩnh vực chịu điều kiện pháp lý chuyên ngành hay không

Yêu cầu đầu tiên là xác định chính xác công nghệ sẽ được nghiên cứu, sản xuất, cung cấp hoặc khai thác trong lĩnh vực nào. Một phần mềm quản trị nội bộ, hệ thống AI hỗ trợ tuyển dụng, nền tảng tài chính, thiết bị y tế thông minh hay giải pháp an ninh mạng có thể cùng sử dụng công nghệ số nhưng chịu những lớp quy định hoàn toàn khác nhau.

Do đó, chủ thể không nên bắt đầu bằng câu hỏi “công nghệ này có cần giấy phép không”, mà phải xác định đầy đủ hoạt động pháp lý phát sinh từ mô hình vận hành. Cần làm rõ chủ thể sẽ chỉ nghiên cứu công nghệ, sản xuất sản phẩm, cung cấp dịch vụ, vận hành nền tảng, xử lý dữ liệu cho bên khác hay kinh doanh một dịch vụ thuộc ngành nghề có điều kiện.

Một số lĩnh vực còn đặt ra yêu cầu riêng về giấy phép, điều kiện nhân sự, hạ tầng, chứng nhận, kiểm định hoặc tiêu chuẩn kỹ thuật. Chẳng hạn, hoạt động kinh doanh một số sản phẩm và dịch vụ an ninh mạng hiện được điều chỉnh bởi Luật An ninh mạng 2025 cùng các nghị định hướng dẫn mới ban hành trong tháng 8/2026.

Điều này có ý nghĩa thực tế ngay từ lúc thiết kế. Nếu một chức năng khiến sản phẩm chuyển từ công cụ thông thường sang một dịch vụ chịu quản lý chuyên ngành, kiến trúc kỹ thuật, nhân sự vận hành và quy trình kinh doanh có thể phải thay đổi theo.

Bảo đảm quyền sở hữu trí tuệ đối với công nghệ và tài nguyên được sử dụng

Một công nghệ có thể tạo ra giá trị mới nhưng vẫn vi phạm pháp luật nếu được xây dựng từ mã nguồn, dữ liệu, thiết kế, sáng chế hoặc tài liệu mà chủ thể không có quyền sử dụng.

Vì vậy, yêu cầu pháp lý khi phát triển công nghệ không chỉ là bảo hộ thành quả do mình tạo ra mà còn phải kiểm tra nguồn gốc pháp lý của toàn bộ tài sản đầu vào. Pháp luật sở hữu trí tuệ Việt Nam hiện được áp dụng trên nền Luật Sở hữu trí tuệ và các sửa đổi, trong đó Luật số 07/2022/QH15 có hiệu lực từ ngày 01/01/2023.

Chủ thể phát triển cần làm rõ ít nhất ba vấn đề. Thứ nhất là ai sở hữu mã nguồn, thiết kế, thuật toán, cơ sở dữ liệu và kết quả nghiên cứu được tạo ra trong quá trình làm việc. Thứ hai là các thành phần lấy từ bên ngoài được sử dụng theo loại giấy phép nào và có cho phép sửa đổi, phân phối hoặc thương mại hóa hay không. Thứ ba là công nghệ có khả năng xâm phạm sáng chế, quyền tác giả, nhãn hiệu hoặc bí mật kinh doanh của chủ thể khác hay không.

Rủi ro thường xuất hiện khi doanh nghiệp chỉ kiểm tra quyền sở hữu ở thời điểm đăng ký bảo hộ. Trên thực tế, tranh chấp có thể phát sinh sớm hơn từ hợp đồng với nhân viên, nhà thầu, đối tác nghiên cứu hoặc việc tích hợp thành phần mã nguồn của bên thứ ba. Vì vậy, quyền sở hữu và quyền khai thác nên được xác lập bằng hợp đồng và hồ sơ ngay trong quá trình phát triển.

Tuân thủ pháp luật về dữ liệu cá nhân ngay từ khâu thiết kế

Nếu công nghệ thu thập, phân tích, lưu trữ hoặc chia sẻ dữ liệu có thể liên quan đến cá nhân, nghĩa vụ bảo vệ dữ liệu phải được xác định trước khi hệ thống đi vào vận hành.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026 và Nghị định 356/2025/NĐ-CP quy định chi tiết việc thi hành cũng có hiệu lực từ cùng thời điểm. Khung pháp lý này đặt trách nhiệm trực tiếp lên các chủ thể tham gia kiểm soát và xử lý dữ liệu cá nhân.

Về mặt triển khai, doanh nghiệp cần biết mình đang thu thập dữ liệu gì, cho mục đích nào, dựa trên căn cứ pháp lý nào, ai có quyền truy cập, dữ liệu được lưu bao lâu và có được chuyển cho bên thứ ba hoặc ra nước ngoài hay không. Những hoạt động thuộc trường hợp pháp luật yêu cầu đánh giá tác động cũng phải được nhận diện và thực hiện theo cơ chế tương ứng.

Điểm quan trọng là bảo vệ dữ liệu không thể chỉ giải quyết bằng một thông báo quyền riêng tư sau khi sản phẩm đã hoàn thiện. Kiến trúc hệ thống phải hỗ trợ việc hạn chế dữ liệu không cần thiết, phân quyền truy cập, bảo vệ dữ liệu trong lưu trữ và truyền dẫn, kiểm soát thời hạn lưu giữ cũng như thực hiện quyền của chủ thể dữ liệu.

Đối với một số hoạt động chuyên biệt, yêu cầu còn cao hơn. Chẳng hạn, Nghị định 356/2025/NĐ-CP đặt ra các điều kiện cụ thể về nhân sự và hạ tầng đối với tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân.

Đáp ứng nghĩa vụ về an ninh mạng và khả năng kiểm soát sự cố

Bảo vệ dữ liệu cá nhân và an ninh mạng có liên hệ chặt chẽ nhưng không phải là một nghĩa vụ duy nhất. Bảo vệ dữ liệu tập trung vào việc xử lý dữ liệu cá nhân đúng pháp luật, trong khi an ninh mạng còn liên quan đến sự an toàn của hệ thống, dữ liệu, dịch vụ và hoạt động trên không gian mạng.

Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 01/07/2026. Khung mới tăng trách nhiệm của tổ chức và doanh nghiệp trong việc chủ động phòng ngừa, phát hiện và xử lý nguy cơ thay vì chỉ ứng phó sau khi sự cố đã xảy ra.

Với chủ thể phát triển công nghệ, điều này dẫn đến các yêu cầu thực tế như quản lý quyền truy cập, xác thực người dùng, bảo vệ tài khoản đặc quyền, quản lý lỗ hổng, ghi nhận sự kiện hệ thống, sao lưu, phục hồi, ứng phó sự cố và thiết lập cơ chế phối hợp khi cơ quan có thẩm quyền yêu cầu.

Nghị định 333/2026/NĐ-CP, có hiệu lực từ ngày 19/08/2026, đã cụ thể hóa thêm nhiều nghĩa vụ đối với hoạt động bảo đảm an ninh thông tin mạng của doanh nghiệp. Trong một số trường hợp thuộc phạm vi điều chỉnh, hệ thống phải duy trì khả năng truy xuất nhật ký trong thời gian tối thiểu 12 tháng và doanh nghiệp phải đáp ứng các yêu cầu về xử lý thông tin, dịch vụ hoặc ứng dụng vi phạm theo quy định.

Tuy nhiên, không nên áp dụng một cách máy móc mọi yêu cầu kỹ thuật cho mọi sản phẩm. Mức nghĩa vụ cụ thể phụ thuộc vào loại hệ thống, dịch vụ, dữ liệu và vai trò pháp lý của doanh nghiệp.

Đáp ứng tiêu chuẩn về chất lượng, an toàn và khả năng đưa sản phẩm ra thị trường

Một công nghệ hoạt động đúng về mặt kỹ thuật chưa đồng nghĩa với việc được phép đưa ra thị trường.

Nếu công nghệ được tích hợp vào hàng hóa, thiết bị hoặc dịch vụ thuộc lĩnh vực có tiêu chuẩn, quy chuẩn hoặc yêu cầu an toàn bắt buộc, chủ thể phải xác định từ giai đoạn phát triển xem sản phẩm có thuộc diện thử nghiệm, kiểm định, chứng nhận, công bố hợp quy hoặc các cơ chế quản lý chuyên ngành khác hay không.

Mức yêu cầu phụ thuộc trực tiếp vào hậu quả có thể phát sinh khi công nghệ sai lệch. Một công cụ gợi ý nội dung thông thường không thể được đánh giá pháp lý giống phần mềm điều khiển thiết bị y tế, hệ thống giao thông, hạ tầng trọng yếu hoặc công nghệ xử lý thông tin tài chính.

Vì vậy, yêu cầu về an toàn nên được chuyển thành tiêu chí kỹ thuật có thể kiểm chứng: hệ thống phải đạt điều kiện nào, thử nghiệm bằng phương pháp nào, bằng chứng được lưu giữ ra sao và ai chịu trách nhiệm xác nhận trước khi phát hành.

Pháp luật hiện hành cũng đang tiếp tục mở rộng khung quản lý đối với công nghệ mới. Luật Công nghiệp công nghệ số số 71/2025/QH15 có hiệu lực từ ngày 01/01/2026, còn Luật Công nghệ cao số 133/2025/QH15 có hiệu lực từ ngày 01/07/2026, tạo thêm cơ sở pháp lý cho hoạt động phát triển và kinh doanh trong các nhóm công nghệ thuộc phạm vi điều chỉnh.

Minh bạch với người dùng và bảo vệ quyền lợi người tiêu dùng

Khi công nghệ được thương mại hóa cho cá nhân, nghĩa vụ pháp lý không dừng lại ở việc sản phẩm hoạt động an toàn. Chủ thể còn phải bảo đảm người dùng nhận được thông tin đầy đủ, không bị dẫn dắt bằng thông tin sai lệch và có cơ chế xử lý khi sản phẩm hoặc dịch vụ không đáp ứng cam kết.

Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15 có hiệu lực từ ngày 01/07/2024 và đã đặt ra các yêu cầu phù hợp hơn với giao dịch trên không gian mạng và nền tảng số.

Trong thực tế phát triển sản phẩm, yêu cầu này tác động trực tiếp đến giao diện và luồng trải nghiệm người dùng. Thông tin về giá, chức năng, điều kiện sử dụng, hạn chế của dịch vụ, cơ chế hủy hoặc chấm dứt giao dịch và phương thức tiếp nhận khiếu nại phải được thiết kế sao cho người dùng có thể tiếp cận và hiểu trước khi ra quyết định.

Đối với sản phẩm sử dụng thuật toán hoặc tự động hóa, doanh nghiệp cũng cần thận trọng với cách mô tả năng lực hệ thống. Một công nghệ chỉ hỗ trợ dự đoán không nên được quảng bá như công cụ cho kết quả chắc chắn; một hệ thống có giới hạn kỹ thuật quan trọng phải thể hiện giới hạn đó khi việc che giấu có thể khiến người dùng đưa ra quyết định sai.

Trách nhiệm này càng quan trọng đối với nền tảng số trung gian, nơi hoạt động của nhà cung cấp nền tảng có thể ảnh hưởng trực tiếp đến việc người tiêu dùng nhìn thấy, lựa chọn và giao dịch với bên bán.

Bảo đảm giá trị pháp lý của giao dịch và quy trình điện tử

Khi công nghệ được dùng để giao kết hợp đồng, xác nhận giao dịch, gửi thông báo, lưu chứng từ hoặc thực hiện quy trình hoàn toàn trên môi trường số, hệ thống phải bảo đảm các điều kiện pháp lý của giao dịch điện tử.

Luật Giao dịch điện tử số 20/2023/QH15 có hiệu lực từ ngày 01/07/2024 là một nền tảng quan trọng cho việc thực hiện giao dịch bằng phương tiện điện tử tại Việt Nam.

Điều này khiến việc thiết kế cơ chế xác thực, lưu vết, xác định thời điểm gửi và nhận, bảo đảm tính toàn vẹn của dữ liệu hoặc sử dụng chữ ký điện tử không còn đơn thuần là vấn đề trải nghiệm người dùng.

Nếu doanh nghiệp không lưu được bằng chứng về việc người dùng đã thực hiện thao tác nào, chấp nhận điều khoản nào và vào thời điểm nào, vấn đề có thể chỉ bộc lộ khi xảy ra tranh chấp. Vì vậy, khả năng chứng minh giao dịch phải được xem là một phần của kiến trúc hệ thống.

Kiểm soát việc chuyển giao, cấp phép và khai thác công nghệ

Công nghệ không phải lúc nào cũng chỉ được phát triển để doanh nghiệp tự sử dụng. Khi công nghệ được chuyển giao, cấp quyền sử dụng, góp vốn, nhập khẩu, xuất khẩu hoặc chuyển cho đối tác ở quốc gia khác, một lớp nghĩa vụ pháp lý mới có thể phát sinh.

Luật số 115/2025/QH15 sửa đổi, bổ sung Luật Chuyển giao công nghệ có hiệu lực từ ngày 01/04/2026. Vì vậy, trước một giao dịch chuyển giao, chủ thể cần xác định công nghệ có thuộc nhóm chịu hạn chế, điều kiện hoặc cơ chế quản lý đặc thù hay không, đồng thời kiểm tra quyền thực tế của mình đối với tài sản được chuyển giao.

Hai vấn đề phải được tách biệt. Việc doanh nghiệp sở hữu hoặc có quyền khai thác một công nghệ không tự động có nghĩa là mọi hình thức chuyển giao đều được phép. Ngược lại, một giao dịch được phép thực hiện về mặt quản lý nhà nước cũng không giải quyết được tranh chấp nếu bên chuyển giao không có đầy đủ quyền sở hữu trí tuệ đối với công nghệ.

Đối với giao dịch xuyên biên giới, phạm vi kiểm tra còn có thể mở rộng sang dữ liệu, bảo mật, kiểm soát xuất nhập khẩu và quy định của quốc gia nơi công nghệ được tiếp nhận.

Tuân thủ pháp luật cần được tích hợp vào toàn bộ vòng đời phát triển

Cách kiểm soát hiệu quả nhất không phải là hoàn thiện sản phẩm rồi mới chuyển cho bộ phận pháp lý kiểm tra. Khi đó, một yêu cầu pháp luật có thể buộc doanh nghiệp phải sửa kiến trúc dữ liệu, thay đổi cách xác thực người dùng hoặc loại bỏ một chức năng đã tốn nhiều nguồn lực phát triển.

Thay vào đó, mỗi giai đoạn nên có một điểm kiểm tra tương ứng. Khi hình thành ý tưởng cần xác định lĩnh vực pháp lý và giới hạn sử dụng. Khi thiết kế cần kiểm tra dữ liệu, an ninh, quyền của người dùng và tiêu chuẩn kỹ thuật. Khi phát triển cần quản lý mã nguồn, quyền sở hữu, nhật ký và bằng chứng kiểm thử. Trước khi thương mại hóa phải kiểm tra điều kiện kinh doanh, thông tin cung cấp cho khách hàng, hợp đồng và các thủ tục chuyên ngành. Sau khi triển khai cần duy trì giám sát, xử lý sự cố và cập nhật khi pháp luật thay đổi.

Đây cũng là lý do các yêu cầu pháp lý khi phát triển công nghệ không thể được giản lược thành một giấy phép hoặc một chính sách bảo mật. Chúng là hệ thống nghĩa vụ liên kết giữa bản chất công nghệ, quyền đối với tài sản trí tuệ, cách xử lý dữ liệu, mức độ rủi ro của hệ thống và cách sản phẩm được cung cấp cho thị trường.

Một chủ thể phát triển công nghệ về cơ bản cần kiểm soát bảy lớp pháp lý: điều kiện hoạt động chuyên ngành, sở hữu trí tuệ, bảo vệ dữ liệu cá nhân, an ninh mạng, chất lượng và an toàn, quyền lợi người dùng cùng giao dịch điện tử, sau đó xem xét thêm nghĩa vụ chuyển giao hoặc xuyên biên giới khi có phát sinh.

Không phải mọi dự án đều chịu toàn bộ các nghĩa vụ ở cùng mức độ. Điểm quyết định là phải xác định đúng chúng trước khi công nghệ được triển khai thực tế. Khi pháp lý được đưa vào ngay từ yêu cầu thiết kế, doanh nghiệp có thể biến nghĩa vụ tuân thủ thành tiêu chí kỹ thuật, hồ sơ chứng minh và quy trình kiểm soát cụ thể thay vì xử lý vi phạm sau khi sản phẩm đã ra thị trường.