Doanh nghiệp mua dịch vụ AI cần coi mỗi lần nhà cung cấp đổi mô hình, dữ liệu hoặc quy tắc xử lý là một lần thay đổi quy trình. Hợp đồng nên chốt mục đích sử dụng dữ liệu, phiên bản mô hình, bằng chứng kiểm thử, đầu mối báo sự cố và cách xuất dữ liệu khi dừng dịch vụ. Trang giới thiệu Luật Cơ bản về AI của Đài Loan nêu bảy nguyên tắc thúc đẩy AI, còn khung phân loại rủi ro của Bộ Phát triển Kỹ thuật số Đài Loan chia công việc thành kiểm kê, nhận diện, đánh giá và ứng phó. Hai tài liệu này định hướng quản trị, không phải mẫu hợp đồng chung cho mọi công ty.

Việc chọn mô hình và việc ký hợp đồng là hai lớp quyết định khác nhau. Khi doanh nghiệp đã chọn dịch vụ, bộ phận kinh doanh, công nghệ thông tin, pháp chế và đơn vị sử dụng cần cùng xác định tiêu chí nghiệm thu. Những tiêu chí này phải trả lời được nhà cung cấp giữ dữ liệu ở đâu, dùng dữ liệu vào mục đích nào, thông báo thay đổi trước bao lâu và hỗ trợ khôi phục ra sao.

Khung quản trị AI của Đài Loan nói gì?

Các tài liệu về nguyên tắc AI, phân loại rủi ro và hợp đồng nhà cung cấp đặt cạnh nhau

Tài liệu chính thức của Đài Loan liệt kê các nguyên tắc về phát triển bền vững, quyền tự chủ của con người, quyền riêng tư và quản trị dữ liệu, an toàn, minh bạch, công bằng và trách nhiệm giải trình. Đây là nền tảng cho chính sách công, không phải biểu mẫu khai báo mà mọi doanh nghiệp tư nhân phải nộp.

Khung phân loại rủi ro AI của Đài Loan được giới thiệu như tiêu chuẩn đánh giá chung giữa các cơ quan. Khung này yêu cầu kiểm kê tình huống sử dụng, nhận diện rủi ro, đánh giá tác động rồi ứng phó. Trách nhiệm thực thi cuối cùng vẫn gắn với cơ quan quản lý từng lĩnh vực, vì vậy doanh nghiệp phải xác định dịch vụ của mình liên quan đến ngành, loại dữ liệu và quy trình nào.

Sổ tay tham khảo ứng dụng AI trong khu vực công của Đài Loan tách các trường thông tin như mục đích mô hình, nguồn dữ liệu, phiên bản, đầu ra, trách nhiệm, giám sát của con người, theo dõi, cập nhật và nghiệm thu. Đối tượng của sổ tay là cơ quan nhà nước, nhưng doanh nghiệp có thể dùng các trường này để thiết kế hồ sơ nội bộ và yêu cầu nhà cung cấp giao bằng chứng.

Năm trách nhiệm cần ghi vào hợp đồng nhà cung cấp

Hợp đồng AI đặt cạnh danh sách mục đích dữ liệu, thay đổi phiên bản, kiểm toán và báo sự cố

Hợp đồng có thể chia thành năm nhóm để các bộ phận cùng kiểm tra:

Mục đích và thời hạn lưu dữ liệu. Ghi rõ dữ liệu nhập, dữ liệu xuất, câu lệnh, nhật ký có được dùng để huấn luyện hay không; nơi lưu trữ, thời hạn lưu, cách xóa và danh sách bên xử lý phụ. Bằng chứng nghiệm thu gồm sơ đồ luồng dữ liệu, danh mục xử lý, nhật ký lưu và xóa.

Mô hình và thay đổi dịch vụ. Điều khoản cần bao quát mô hình nền, câu lệnh hệ thống, nguồn truy xuất, quyền dùng công cụ, giao diện, giá và điều kiện xử lý dữ liệu. Nhà cung cấp cần thông báo trước thời hạn đã thỏa thuận, kèm số phiên bản, mô tả thay đổi, đánh giá tác động và kết quả kiểm thử hồi quy.

Kiểm thử và kiểm toán. Doanh nghiệp nên yêu cầu bản tóm tắt kiểm thử, nhóm lỗi, lịch sử khả dụng, phạm vi phối hợp kiểm toán và giới hạn bảo mật. Nếu nhà cung cấp không mở toàn bộ mô hình, hợp đồng vẫn cần quy định loại bằng chứng thay thế mà họ phải cung cấp.

Sự cố và can thiệp của con người. Cần định nghĩa sự kiện phải báo, thời hạn báo, đầu mối liên hệ, cách giữ bằng chứng, bước phê duyệt thủ công và xử lý khiếu nại. Nghiệm thu không chỉ là xem hệ thống chạy, mà còn là kiểm tra nhật ký và diễn tập.

Dừng dịch vụ và rút khỏi hợp đồng. Khi dịch vụ gián đoạn, không đạt nghiệm thu, đổi giá hoặc chấm dứt hợp đồng, doanh nghiệp phải xuất được dữ liệu, nhận xác nhận xóa, chuyển sang bản dự phòng hoặc quy trình thủ công. Nên diễn tập chuyển đổi trước khi đưa hệ thống vào quy trình chính.

Luật Bảo vệ dữ liệu cá nhân của Đài Loan coi việc ghi nhận, nhập, lưu trữ, chỉnh sửa, sao chép, truy xuất, xóa, xuất và truyền dữ liệu là các dạng xử lý dữ liệu. Khi dữ liệu đầu vào có hồ sơ bệnh án hoặc thông tin sức khỏe, doanh nghiệp phải đánh giá căn cứ xử lý trước khi hỏi nhà cung cấp về chế độ riêng tư. Hợp đồng không thay thế bước phân loại dữ liệu và kiểm tra mục đích.

Kiểm tra thay đổi mô hình theo phạm vi ảnh hưởng

Nhóm kỹ thuật so sánh kết quả kiểm thử hồi quy trước và sau khi cập nhật mô hình AI

Khi nhà cung cấp nói mô hình đã được nâng cấp, doanh nghiệp cần hỏi lớp nào đã thay đổi: mô hình nền, câu lệnh hệ thống, dữ liệu truy xuất, bộ lọc nội dung, quyền dùng công cụ, định dạng đầu ra hay điều khoản lưu dữ liệu. Tên sản phẩm không cho biết đủ phạm vi thay đổi.

Sổ tay AI khu vực công của Đài Loan đặt việc lặp mô hình và triển khai trong chu trình kiểm thử, theo dõi, cập nhật và nghiệm thu. Doanh nghiệp có thể chuyển các trường về phiên bản, nguồn dữ liệu, đầu ra, mục đích sử dụng, giám sát của con người và cơ chế phản hồi thành phiếu yêu cầu thay đổi.

Với thay đổi nhỏ ở định dạng hoặc giao diện, có thể kiểm tra định dạng, quyền truy cập và một bộ ca cố định trước khi phê duyệt. Với thay đổi ở phiên bản mô hình, câu lệnh, nguồn truy xuất hoặc quyền dùng công cụ, cần chạy lại ca đại diện, so sánh nhóm lỗi, tỷ lệ sửa thủ công, độ trễ và giá. Nếu đầu ra tác động đến quyền lợi, thanh toán, tuyển dụng hoặc điều kiện sử dụng dịch vụ, nên kiểm tra trong môi trường tách biệt, có phê duyệt độc lập, người kiểm tra và bài diễn tập quay về phiên bản cũ.

Ba mức trên là thiết kế kiểm soát của doanh nghiệp, không phải phân cấp pháp lý thống nhất của Đài Loan. NIST AI RMF Playbook là tài liệu tham khảo tự nguyện về quản lý rủi ro AI. Phần Manage của NIST đề cập theo dõi sau triển khai, hệ thống bên thứ ba, quản lý thay đổi, dừng hệ thống và khôi phục sự cố, phù hợp để kiểm tra xem doanh nghiệp có chỉ kiểm thử trước ngày vận hành hay không.

Tại Việt Nam thì sao

Doanh nghiệp ở Việt Nam không nên lấy tên luật của Đài Loan làm điều khoản pháp lý trong hợp đồng. Luật Trí tuệ nhân tạo số 134/2025/QH15 được ban hành ngày 10/12/2025 và có hiệu lực từ ngày 1/3/2026. Vì vậy, khi mua một dịch vụ AI tại Việt Nam, hồ sơ thẩm định nên ghi rõ ai là bên phát triển, bên cung cấp, bên triển khai và bên sử dụng; dịch vụ xử lý dữ liệu nào; đầu ra có cần người kiểm tra hay không; nhà cung cấp báo thay đổi mô hình và sự cố bằng kênh nào. Luật AI là điểm bắt đầu để rà nghĩa vụ, không phải lý do bỏ qua luật chuyên ngành của ngân hàng, y tế, lao động hoặc thương mại.

Phần dữ liệu cần được tách riêng trong hợp đồng. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 1/1/2026, còn Nghị định số 356/2025/NĐ-CP quy định chi tiết một số nội dung và biện pháp thi hành luật này cũng có hiệu lực từ ngày 1/1/2026. Khi gửi dữ liệu khách hàng, người lao động hoặc người dùng vào công cụ AI, doanh nghiệp cần lập danh mục trường dữ liệu, mục đích, thời hạn lưu, bên nhận, vị trí xử lý và cách xóa. Nếu nhà cung cấp dùng dữ liệu để cải thiện dịch vụ hoặc huấn luyện, điều đó phải được hỏi và ghi nhận riêng, không gộp vào câu mô tả chung về cung cấp dịch vụ.

Luật Dữ liệu số 60/2024/QH15 có hiệu lực từ ngày 1/7/2025 bổ sung một lớp rà soát khác về dữ liệu và kết nối. Hợp đồng nên nêu dữ liệu nào được xuất, định dạng xuất, thời gian bàn giao, quyền truy cập nhật ký và trách nhiệm khi dịch vụ chuyển nhà cung cấp. Với dữ liệu xuyên biên giới, doanh nghiệp không nên chỉ hỏi giá theo người dùng hoặc theo lượng sử dụng; cần hỏi thêm nơi lưu trữ, địa điểm xử lý, bên xử lý phụ và phí xuất dữ liệu khi kết thúc. Tính sẵn có của các cam kết này phụ thuộc nhà cung cấp, nên ghi thành tiêu chí chấm thầu và nghiệm thu.

Ở Việt Nam, doanh nghiệp có thể bắt đầu bằng việc tra cứu văn bản trên Cổng Thông tin điện tử Chính phủ, sau đó đối chiếu quy định của cơ quan quản lý ngành trước khi ký. Nếu hợp đồng dùng cho bệnh viện, ngân hàng, tuyển dụng hoặc dịch vụ công, bộ phận pháp chế cần kiểm tra thêm quy định chuyên ngành và quy trình phê duyệt nội bộ. Hiện chưa có cơ sở để đưa ra một mức giá chung cho gói kiểm toán AI, phí lưu trữ nhật ký hoặc phí hỗ trợ chuyển đổi tại Việt Nam. Vì vậy, bảng mời thầu nên yêu cầu nhà cung cấp tách giá giấy phép, xử lý dữ liệu, lưu nhật ký, kiểm thử, hỗ trợ sự cố và thoát dịch vụ thành từng dòng.

Đưa hợp đồng vào quy trình của doanh nghiệp

Nhân sự công nghệ thông tin, pháp chế và kinh doanh cùng kiểm tra quy trình mua, nghiệm thu và dừng dịch vụ AI

Quy trình có thể bắt đầu từ năm bước:

Một, mô tả tình huống sử dụng. Ghi đầu ra cần nhận, người dùng, người bị tác động và người xử lý lỗi.

Hai, vẽ luồng dữ liệu. Liệt kê dữ liệu nhập, dữ liệu xuất, nhật ký, bản sao lưu, bên xử lý phụ, vị trí xuyên biên giới và vai trò quyền truy cập.

Ba, chốt giới hạn hợp đồng. Gán trách nhiệm cho mục đích dữ liệu, lưu và xóa, báo thay đổi, bằng chứng kiểm toán, báo sự cố, xuất dữ liệu và hỗ trợ chấm dứt.

Bốn, tạo bộ kiểm thử cố định. Dùng ca đại diện của quy trình thật, ghi ngưỡng đạt, tỷ lệ sửa thủ công và tình huống không giao cho AI.

Năm, diễn tập thoát dịch vụ. Dừng dịch vụ, chuyển sang quy trình thủ công hoặc phiên bản cũ, rồi xác nhận dữ liệu vẫn lấy được, quyền truy cập đã thu hồi và đầu mối sự cố còn hoạt động.

Hợp đồng không làm mất trách nhiệm của doanh nghiệp đối với dữ liệu và quyết định do mình đưa ra. Nếu nhà cung cấp không chịu cung cấp phiên bản, nhật ký, tóm tắt kiểm thử hoặc bằng chứng xóa dữ liệu, doanh nghiệp cần giảm phạm vi sử dụng, hạn chế loại dữ liệu hoặc chọn dịch vụ khác. Mục tiêu của hợp đồng là tạo đường kiểm tra và đường lui, không phải biến một công cụ chưa rõ giới hạn thành hệ thống được mặc nhiên tin cậy.

Câu hỏi thường gặp

Luật AI có buộc mọi doanh nghiệp ký cùng một mẫu hợp đồng không?
Không nên suy ra như vậy. Doanh nghiệp cần đối chiếu luật hiện hành, quy định ngành, loại dữ liệu, vai trò của nhà cung cấp và mức ảnh hưởng của đầu ra để lập điều khoản phù hợp.

Cập nhật mô hình có phải kiểm thử lại toàn bộ hệ thống không?
Phạm vi kiểm thử phụ thuộc lớp thay đổi. Nếu phiên bản, câu lệnh, dữ liệu truy xuất, quyền, mục đích đầu ra hoặc cách xử lý dữ liệu thay đổi, cần chạy các ca cố định tương ứng và lưu mô tả, kết quả cùng phê duyệt.

Nhà cung cấp không tiết lộ chi tiết mô hình thì có thể mua không?
Có thể đặt điều kiện thay thế như thông báo phiên bản, mô tả xử lý dữ liệu, tóm tắt kiểm thử, quy trình báo sự cố, xuất dữ liệu và xác nhận xóa. Nếu không thể đánh giá phạm vi tác động, doanh nghiệp nên thu hẹp mục đích hoặc tìm dịch vụ có khả năng cung cấp bằng chứng tốt hơn.