AI đã thành một phần hoạt động, trách nhiệm chưa theo kịp
Trách nhiệm pháp lý AI là nghĩa vụ của các bên liên quan trong việc ngăn ngừa, xử lý và chịu hậu quả theo luật khi hệ thống trí tuệ nhân tạo gây thiệt hại trong quá trình được đưa vào sử dụng. Điểm mấu chốt không phải tìm một thuật toán để đổ lỗi, mà là xác định ai có quyền quyết định và kiểm soát hệ thống.
Ngày 6/11, Diễn đàn pháp lý doanh nghiệp Việt Nam 2026 tại Học viện Tư pháp tập trung vào rủi ro pháp lý và giải pháp quản trị an toàn cho lãnh đạo. Bối cảnh đã đổi khác: hơn 245.000 doanh nghiệp trong nước đang đẩy mạnh ứng dụng AI vào quản trị, kinh doanh, trong khi năm 2026, các luật về dữ liệu cá nhân, trí tuệ nhân tạo, chuyển đổi số, dữ liệu và an ninh mạng chính thức đi vào đời sống.
Khoảng trống nằm ở chỗ doanh nghiệp khuyến khích thử nghiệm để tăng hiệu suất nhưng nhiều nơi chưa phân định trách nhiệm cuối cùng. Khảo sát của Trường Kinh doanh Wharton cho thấy người tham gia chia gần đều giữa nhân viên triển khai AI, quản lý trực tiếp và bộ phận quản trị rủi ro khi được hỏi ai chịu trách nhiệm nếu chatbot mắc lỗi đáng kể. Cách phân chia này bộc lộ vấn đề: nếu vai trò không được quy định trước, sau sự cố mỗi bên có thể đẩy trách nhiệm sang bên khác.
Một lỗi nhỏ có thể thành thiệt hại lớn
AI càng được trao quyền tự gửi email, cập nhật cơ sở dữ liệu hay công bố thông tin, sai sót càng dễ lan rộng trước khi người vận hành kịp can thiệp. Tại một nhà bán lẻ lớn ở Mỹ, lỗi câu lệnh khiến chatbot báo sai về hoàn tiền và hủy đơn của hơn 18.000 khách hàng trong chưa đầy sáu tiếng, kéo theo hàng nghìn yêu cầu hỗ trợ. Ở một công ty điện tử tiêu dùng khác, lỗi tự động đăng giá khiến sản phẩm chủ lực bị niêm yết giảm 85% trong khoảng ba tiếng; hơn 700 đơn hàng được đặt trước khi phát hiện sai sót, và doanh nghiệp mất nhiều tuần xử lý hậu quả.
Đây không phải lỗi kỹ thuật tách rời hoạt động kinh doanh. Với khách hàng, đó là thông báo sai, đơn hàng bất định và thời gian chờ xử lý. Với doanh nghiệp, đó có thể là tranh chấp hợp đồng, khiếu nại và tổn hại niềm tin. Rủi ro AI doanh nghiệp còn bao gồm lộ lọt dữ liệu, xâm phạm sở hữu trí tuệ và lừa đảo bằng Deepfake. Vì vậy, quyền tự động hóa phải đi cùng giới hạn, giám sát và khả năng dừng hệ thống.
Doanh nghiệp triển khai không thể núp sau nhà cung cấp
Theo Luật Trí tuệ nhân tạo được nêu tại diễn đàn, doanh nghiệp dùng AI trong hoạt động được xác định là bên triển khai và phải chịu trách nhiệm đối với sự cố phát sinh; viện dẫn lỗi thuật toán của nhà cung cấp nước ngoài không giúp né trách nhiệm bồi thường dân sự. Đây là lý do trách nhiệm cần được xác định theo quyền hạn và khả năng kiểm soát thực tế, thay vì mặc định quy lỗi cho nhân viên cuối cùng thao tác.
Nhà cung cấp vẫn là mắt xích cần thẩm định và ràng buộc bằng hợp đồng, nhưng doanh nghiệp quyết định mục đích sử dụng, dữ liệu đưa vào và mức độ tự chủ được cấp cho hệ thống. Thiếu kiểm soát nội bộ còn có thể khiến doanh nghiệp đối mặt mức phạt lên tới 5% tổng doanh thu khi vi phạm quy định về dữ liệu xuyên biên giới.
Cũng cần phân biệt vi phạm hành chính, tranh chấp dân sự và trách nhiệm hình sự. Không phải mọi vi phạm nghĩa vụ hay tranh chấp kinh tế đều cấu thành tội phạm; trách nhiệm hình sự phải căn cứ vào hành vi, lỗi và dấu hiệu luật định. Nhưng nếu sự cố do AI gắn với dữ liệu hoặc quyết định kinh doanh, thiếu hồ sơ và quy trình kiểm soát sẽ khiến doanh nghiệp khó chứng minh mình đã hành động thận trọng.
Dựng hàng rào pháp lý trước khi trao quyền cho AI
Quản trị AI doanh nghiệp không nên dừng ở một văn bản nguyên tắc. Doanh nghiệp cần quy chế sử dụng AI, danh mục dữ liệu cấm đưa lên nền tảng công cộng và phân tầng quyền hạn; các quyết định quan trọng về nhân sự, tài chính, hợp đồng phải có người phê duyệt. Đồng thời, cần thẩm định nhà cung cấp, ký phụ lục bảo vệ dữ liệu, hoàn thiện hồ sơ đánh giá tác động và cân nhắc áp dụng ISO/IEC 42001.
Kiểm soát phải bám sát từng quy trình: AI được đọc dữ liệu nào, được thực hiện hành động gì, ai duyệt đầu ra và ai có quyền ngắt hệ thống. Hợp đồng cần làm rõ nghiệm thu, trách nhiệm khi lỗi phát sinh, xử lý dữ liệu và phối hợp khắc phục. Nhân viên cũng cần được đào tạo để không đưa thông tin nhạy cảm vào công cụ không được phép, đồng thời biết cách báo cáo sự cố.
Các biện pháp này không loại bỏ mọi lỗi, nhưng giúp hạn chế thiệt hại và tạo bằng chứng về nghĩa vụ cẩn trọng hợp lý. Doanh nghiệp nên bố trí đầu mối pháp lý chuyên trách để tiếp nhận cảnh báo, rà soát hồ sơ và phối hợp xử lý khi có sự cố. Kết luận cần rõ ràng: AI có thể hỗ trợ thực hiện công việc, nhưng trách nhiệm không thể được tự động hóa hay để trống. Muốn hưởng lợi từ công nghệ, doanh nghiệp phải xác định trước ai kiểm soát, ai phê duyệt và ai chịu trách nhiệm.
