Trách nhiệm AI trong doanh nghiệp: bằng chứng, hợp đồng và quản trị

Bộ trưởng Tài chính Mỹ Scott Bessent nói trong cuộc phỏng vấn với CNBC ngày 21 tháng 9 năm 2026 rằng nhà phát triển AI phải chịu trách nhiệm về hành vi của mình, còn chính phủ không nhận thay trách nhiệm của doanh nghiệp. Đây là tín hiệu chính sách và phát biểu chính trị, chưa phải luật mới. Với doanh nghiệp, thông điệp thực tế là phải kiểm tra mô hình, sản phẩm, khâu triển khai và cách xử lý sự cố trước khi đưa AI vào quy trình.

Phát biểu chính sách không thay thế luật hiện hành

TechNews dẫn lại cuộc phỏng vấn trong đó Scott Bessent cho biết chính phủ liên bang Mỹ không có ý định cung cấp cơ chế miễn trừ trách nhiệm cho nhà phát triển AI. Phát biểu này cho thấy chính quyền Mỹ chưa nghiêng về một “lá chắn” liên bang cho các công ty AI, nhưng không tự tạo nghĩa vụ mới cho doanh nghiệp.

Hiệu lực pháp lý còn phụ thuộc vào luật được ban hành, biện pháp hành chính, phán quyết, điều khoản hợp đồng và dữ kiện của từng vụ việc. Quy định về trách nhiệm sản phẩm, bảo vệ người tiêu dùng, an ninh mạng hoặc dữ liệu vẫn có thể được áp dụng theo nơi cung cấp dịch vụ và quan hệ giao dịch. Doanh nghiệp tại Việt Nam không nên xem phát biểu ở Mỹ là căn cứ để miễn kiểm soát nội bộ.

Chuỗi trách nhiệm nằm dọc vòng đời AI

Trách nhiệm nên được phân theo mô hình, sản phẩm, tích hợp và sử dụng. Tiêu chí chính là ai nắm thông tin, ai kiểm soát rủi ro, ai đưa ra cam kết với khách hàng và ai có khả năng phát hiện hoặc ngăn lỗi.

Nhà phát triển mô hình nắm dữ liệu huấn luyện, giới hạn năng lực, kết quả kiểm thử, thay đổi phiên bản và lỗi đã biết. Doanh nghiệp mua dịch vụ cần kiểm tra tình huống thử có gần với dữ liệu, ngôn ngữ, ngành và quy trình của mình hay không. Điểm benchmark hoặc model card chỉ là điểm bắt đầu, không thay cho nghiệm thu.

Nhà cung cấp sản phẩm hoặc bên tích hợp đưa mô hình vào giao diện, quyền truy cập và quy trình. Cùng một mô hình dùng để soạn thư chăm sóc khách hàng, hỗ trợ chấm điểm tín dụng hoặc kích hoạt đơn hàng sẽ tạo ra mức rủi ro khác nhau. Nếu đầu ra trực tiếp gửi thông báo, giao dịch hoặc ảnh hưởng quyết định nhân sự, bên tích hợp phải nêu rõ bước duyệt của con người, xử lý ngoại lệ và cách khôi phục.

Doanh nghiệp triển khai kiểm soát dữ liệu thực tế, người dùng và hậu quả vận hành. Doanh nghiệp quyết định AI được dùng ở đâu, ai được cấp quyền và đầu ra có được chấp nhận trực tiếp hay không. Vì vậy, đơn vị triển khai cần có phân loại tình huống, đào tạo, giám sát, thông báo sự cố và điều kiện dừng phù hợp với lĩnh vực hoạt động.

Vai trò	Điểm kiểm soát chính	Bằng chứng cần yêu cầu
Nhà phát triển mô hình	Dữ liệu, giới hạn, kiểm thử, phiên bản	Model card, phương pháp đánh giá, hồ sơ thay đổi
Nhà cung cấp hoặc bên tích hợp	API, giao diện, quyền, quy trình và cam kết đầu ra	Sơ đồ hệ thống, ma trận quyền, báo cáo thử nghiệm
Doanh nghiệp triển khai	Tình huống dùng, dữ liệu, duyệt thủ công và ứng phó sự cố	Quy trình, nhật ký, biên bản phê duyệt, diễn tập

Nhà cung cấp cần đưa ra bằng chứng nào

NIST AI RMF 1.0 chia quản trị rủi ro AI thành các chức năng Govern, Map, Measure và Manage. Khung này là tài liệu tự nguyện, không dành riêng cho một ngành. Hồ sơ về AI tạo sinh của NIST bổ sung các hướng kiểm tra dữ liệu, đầu ra, sự cố, phiên bản và trách nhiệm. Doanh nghiệp có thể chuyển các điểm này thành bảng hỏi, điều kiện nghiệm thu và hồ sơ nội bộ, nhưng bản thân khung NIST không tự tạo nghĩa vụ pháp lý.

Nhóm bằng chứng đầu tiên là năng lực và giới hạn. Nhà cung cấp cần nói rõ nhiệm vụ phù hợp, lỗi đã biết, dữ liệu kiểm thử, phương pháp đánh giá và khả năng thay đổi đầu ra sau khi cập nhật phiên bản. Một tỷ lệ chính xác duy nhất không cho biết mô hình có phù hợp với quy trình tiếng Việt, dữ liệu nội bộ hoặc nhóm người dùng cụ thể hay không.

Nhóm thứ hai là dữ liệu và quyền truy cập. Trước khi mua, doanh nghiệp cần vẽ đường đi của dữ liệu: dữ liệu đi qua dịch vụ nào, được giữ trong bao lâu, ai được xem, có dùng để huấn luyện lại hay không, bên thứ ba nào xử lý và dữ liệu đi qua biên giới nào. Dữ liệu khách hàng, người lao động, bí mật kinh doanh và nội dung có bản quyền cần được phân loại trước khi đưa vào công cụ.

Nhóm thứ ba là sự cố. Hợp đồng và quy trình cần xác định loại sự cố, đầu mối thông báo, thời gian giữ nhật ký, sửa lỗi, quay về phiên bản trước, tắt dịch vụ và đánh giá sau sự cố. Nếu không thể tái tạo phiên bản mô hình, câu lệnh, dữ liệu và người dùng, doanh nghiệp sẽ khó xác định lỗi bắt đầu ở đâu.

Hợp đồng AI phải gắn trách nhiệm với nghĩa vụ kiểm chứng

Hợp đồng nên mô tả nghĩa vụ dịch vụ có thể kiểm tra, giới hạn dùng dữ liệu, thông báo thay đổi, báo cáo sự cố, bồi thường và quyền chấm dứt. Giới hạn trách nhiệm có thể phân bổ rủi ro thương mại, nhưng không biến nghĩa vụ bắt buộc theo luật thành lời hứa miễn trách nhiệm.

Điều khoản dữ liệu và sở hữu trí tuệ cần nêu mục đích xử lý, thời hạn lưu, xóa dữ liệu, huấn luyện lại và vị trí xử lý. Cục Sở hữu trí tuệ Đài Loan lưu ý nội dung do AI tạo ra vẫn có khả năng tương đồng đáng kể với tác phẩm của người khác, nên việc dùng cho thương mại phải xét theo từng trường hợp và phạm vi cấp phép.

Điều khoản thay đổi dịch vụ cần nói rõ phiên bản mới, kiểm thử lại, thông báo sự cố, sửa lỗi, trả dữ liệu và quyền tiếp quản thủ công trong tình huống rủi ro cao. Phần bồi thường và trần trách nhiệm là thỏa thuận thương mại; nghĩa vụ về dữ liệu cá nhân, an ninh mạng, người tiêu dùng, bản quyền và quản lý ngành vẫn phải được xem theo luật áp dụng và sự kiện cụ thể.

Tại Việt Nam thì sao

Doanh nghiệp ở Việt Nam không nên tìm một “giá AI” duy nhất để quyết định có triển khai hay không. Chi phí thường tách thành phí tài khoản hoặc giấy phép, số lượt gọi dịch vụ, máy chủ, lưu trữ, tích hợp với phần mềm đang dùng, làm sạch dữ liệu, đào tạo người sử dụng và kiểm thử an toàn. Một công cụ có mức phí thấp vẫn tạo chi phí lớn nếu nhân viên phải sửa nhiều đầu ra hoặc không có người quản lý quyền truy cập. Khi lập ngân sách, doanh nghiệp nên ghi riêng chi phí công cụ và chi phí thiết kế lại quy trình, rồi đo thời gian xử lý, tỷ lệ làm lại và lỗi trước khi mở rộng.

Quyết định 127/QĐ-TTg ngày 26 tháng 1 năm 2021 của Thủ tướng Chính phủ ban hành chiến lược quốc gia về nghiên cứu, phát triển và ứng dụng AI đến năm 2030 là điểm tra cứu chính sách chung tại Việt Nam. Đây không phải giấy phép để doanh nghiệp tự động đưa mọi loại dữ liệu vào một công cụ. Khi xem một chương trình hỗ trợ hoặc đào tạo, doanh nghiệp cần đối chiếu cơ quan chủ trì, nhóm đối tượng, thời hạn và thủ tục trong văn bản hiện hành.

Nghị định 13/2023/NĐ-CP của Chính phủ về bảo vệ dữ liệu cá nhân là nguồn cần đưa vào bảng kiểm khi hệ thống AI nhận dữ liệu khách hàng, người lao động hoặc người dùng. Quy trình nội bộ nên bắt đầu bằng việc xác định loại dữ liệu, mục đích xử lý, bên được truy cập, thời gian lưu và việc chuyển dữ liệu cho nhà cung cấp. Nếu nhà cung cấp dùng dữ liệu để cải thiện dịch vụ hoặc xử lý qua một bên khác, điều đó phải được làm rõ trước khi ký hợp đồng.

Luật Công nghiệp công nghệ số số 71/2025/QH15 có hiệu lực từ ngày 1 tháng 1 năm 2026 và điều chỉnh các nội dung liên quan đến công nghiệp công nghệ số, AI và quyền, trách nhiệm của chủ thể liên quan tại Việt Nam. Doanh nghiệp nên đọc toàn văn trên Cơ sở dữ liệu quốc gia về văn bản pháp luật để xác định hoạt động của mình thuộc phạm vi nào. Không nên dùng thông tin tiếp thị của nhà cung cấp thay cho văn bản pháp luật hoặc hồ sơ tư vấn cho giao dịch cụ thể.

Mức độ sẵn có của AI ở Việt Nam phụ thuộc cả vào kết nối dịch vụ, ngôn ngữ, dữ liệu và năng lực tích hợp. Một doanh nghiệp bán lẻ có thể bắt đầu bằng việc soạn bản nháp chăm sóc khách hàng, nhưng cần giữ người duyệt trước khi gửi. Doanh nghiệp tuyển dụng phải xác định ai kiểm tra tiêu chí và kết quả gợi ý. Doanh nghiệp sản xuất cần ghi rõ phiên bản phần mềm, người duyệt cảnh báo và điều kiện dừng máy. Các ví dụ này là cách phân loại tình huống để lập hồ sơ thử nghiệm, không phải khẳng định mọi ngành có cùng mức rủi ro.

Giá dịch vụ cũng cần được hỏi theo phạm vi cụ thể: số người dùng, số lượt gọi, dữ liệu lưu ở đâu, hỗ trợ tiếng Việt, thời gian phản hồi, mức hỗ trợ kỹ thuật và phí đưa dữ liệu ra ngoài. Tính đến thời điểm bài viết được thực hiện, chúng tôi chưa tìm thấy bảng giá hoặc số liệu chính thức của cơ quan chức năng Việt Nam dùng để so sánh chi phí triển khai AI giữa các ngành. Doanh nghiệp nên yêu cầu báo giá có thời hạn, điều kiện sử dụng và các khoản phát sinh, sau đó ghi lại giả định dùng để so sánh.

Doanh nghiệp tại Đài Loan cần bắt đầu từ tình huống dùng

Tại Đài Loan, doanh nghiệp nên xác định dữ liệu, người dùng, người phê duyệt và đối tượng bị ảnh hưởng trước khi chọn mô hình. AI Basic Law của Đài Loan nêu các nguyên tắc liên quan đến quyền riêng tư, quản trị dữ liệu, an toàn, minh bạch, công bằng và trách nhiệm. Đây là khung tham chiếu chính sách, không phải câu trả lời hoàn chỉnh cho từng hợp đồng tư nhân.

Luật Bảo vệ dữ liệu cá nhân của Đài Loan là nguồn cần kiểm tra khi doanh nghiệp xử lý thông tin nhận diện hoặc chuyển dữ liệu cho nhà cung cấp. Doanh nghiệp cũng cần xem quy định ngành, điều khoản dịch vụ và mục đích sử dụng dữ liệu trong từng hệ thống. Tên luật hoặc một điều khoản hợp đồng không tự chứng minh rằng quy trình đã tuân thủ.

Bảng kiểm trước khi đưa AI vào vận hành

1. Xác định tình huống: ghi đầu vào, đầu ra, người dùng, người phê duyệt và đối tượng chịu ảnh hưởng.
2. Phân loại dữ liệu: tách dữ liệu cá nhân, dữ liệu nhạy cảm, bí mật kinh doanh, nội dung có bản quyền và thông tin công khai.
3. Lập ma trận trách nhiệm: chỉ rõ ai chịu trách nhiệm về mô hình, sản phẩm, tích hợp, triển khai, duyệt thủ công và xử lý sự cố.
4. Yêu cầu bằng chứng: lấy model card, phương pháp đánh giá, hồ sơ phiên bản, thiết kế quyền, định dạng nhật ký và quy trình thông báo.
5. Hoàn tất đàm phán: xử lý dữ liệu, thay đổi dịch vụ, quyền kiểm tra, bồi thường, bảo hiểm, trần trách nhiệm, chấm dứt và trả dữ liệu.
6. Giám sát liên tục: đặt chỉ số cho lỗi, sai lệch, sự cố an ninh mạng, suy giảm dịch vụ và thay đổi hành vi mô hình.

Không có một bên duy nhất chịu mọi trách nhiệm

Phát biểu của Bộ trưởng Tài chính Mỹ là lời nhắc về trách nhiệm, không phải quyết định pháp lý áp dụng cho mọi doanh nghiệp. Khi mua hoặc tự xây hệ thống AI, doanh nghiệp cần phân rã rủi ro theo quyền kiểm soát, giữ bằng chứng và gắn quy trình sự cố với hợp đồng.

Hồ sơ có giá trị nhất không phải là một lời cam kết chung rằng AI an toàn. Đó là bằng chứng cho thấy doanh nghiệp đã xác định tình huống, kiểm tra dữ liệu, nghiệm thu đầu ra, phân quyền, lưu nhật ký và chuẩn bị cách dừng hoặc chuyển sang người xử lý.

Câu hỏi thường gặp

Chính phủ Mỹ không cấp miễn trừ thì doanh nghiệp Việt Nam có ngay lập tức chịu luật Mỹ không?
Không. Khả năng áp dụng luật phụ thuộc nơi cung cấp dịch vụ, đối tượng giao dịch, dòng dữ liệu, điều khoản chọn luật và sự kiện cụ thể.

AI sai thì nhà phát triển, bên tích hợp hay doanh nghiệp phải bồi thường?
Không có câu trả lời cố định. Cần xem ai kiểm soát khâu gây lỗi, ai đưa ra cam kết, ai có thể ngăn hoặc phát hiện lỗi, cùng với hợp đồng và nghĩa vụ bắt buộc.

Hợp đồng có trần trách nhiệm có miễn nghĩa vụ của doanh nghiệp không?
Không tự động. Trần trách nhiệm thường phân bổ rủi ro thương mại, còn dữ liệu cá nhân, an ninh mạng, người tiêu dùng, bản quyền và quy định ngành vẫn phải được xem riêng.

Doanh nghiệp nhỏ nên bắt đầu từ đâu?
Hãy chọn một tình huống có phạm vi hẹp, phân loại dữ liệu, giữ bước duyệt của con người, đặt điều kiện dừng và lưu bằng chứng trước khi mở rộng chức năng.