đặt lịch tư vấn

7 quyết định công nghệ CEO không nên chỉ giao cho bộ phận IT

by | Sep 12, 2026 | Bản tin mới, Công nghệ số và An ninh mạng

Một quyết định công nghệ không phải lúc nào cũng chỉ là quyết định kỹ thuật. Khi quyết định đó làm thay đổi mục đích sử dụng dữ liệu, thẩm quyền của người dùng, cách AI tham gia vào hoạt động kinh doanh, mức độ phụ thuộc vào nhà cung cấp hoặc quyền của khách hàng, doanh nghiệp phải xác định lại ai có quyền quyết định và ai chịu trách nhiệm. Hãng luật MIBI cho rằng rủi ro thường xuất hiện khi quyền kỹ thuật, quyền pháp lý và quyền quyết định trong doanh nghiệp không còn khớp với nhau.

Trong nhiều doanh nghiệp, những vấn đề có yếu tố công nghệ thường được mặc nhiên giao cho bộ phận IT. Khi doanh nghiệp muốn đưa một hệ thống lên điện toán đám mây, triển khai AI, mở rộng quyền ký số hoặc khai thác một tập dữ liệu mới, IT thường là đơn vị đầu tiên được hỏi ý kiến và cũng là đơn vị trực tiếp triển khai. Cách phân công này hoàn toàn hợp lý đối với phần kỹ thuật. Vấn đề bắt đầu khi một quyết định kỹ thuật đồng thời làm thay đổi quyền hoặc nghĩa vụ của doanh nghiệp. Việc cấp quyền truy cập dữ liệu có thể gắn với một mục đích xử lý mới. Việc chuyển hệ thống lên điện toán đám mây có thể làm thay đổi nơi dữ liệu được xử lý. Việc cấp quyền ký điện tử có thể tạo cho một nhân sự khả năng xác lập giao dịch trên hệ thống. Việc tích hợp AI vào quy trình tuyển dụng hoặc đánh giá khách hàng có thể khiến AI tham gia trực tiếp vào một quyết định tác động đến con người. Trong những tình huống đó, câu hỏi “IT có làm được không?” mới chỉ trả lời về khả năng kỹ thuật. Doanh nghiệp còn phải trả lời: Doanh nghiệp có quyền làm việc đó hay không; ai có thẩm quyền quyết định; và ai chịu trách nhiệm đối với hệ quả của quyết định.

Trong bài viết này, “CEO” được sử dụng để chỉ cấp điều hành có thẩm quyền đối với quyết định về kinh doanh, nguồn lực và rủi ro. Điều này không có nghĩa mọi nghĩa vụ dưới đây đều là nghĩa vụ pháp luật trực tiếp đặt lên cá nhân CEO. Các cơ chế phân công được MIBI đề xuất cũng là khuyến nghị quản trị, trừ những trường hợp bài viết dẫn rõ nghĩa vụ luật định.

Quan điểm của Hãng luật MIBI

Qua việc nghiên cứu các quy định hiện hành về dữ liệu cá nhân, an ninh mạng, trí tuệ nhân tạo, giao dịch điện tử, sở hữu trí tuệ và hoạt động số, MIBI cho rằng rủi ro pháp lý về công nghệ thường không chỉ phát sinh từ bản thân công nghệ. Rủi ro thường xuất hiện tại thời điểm quyền kỹ thuật trên hệ thống, quyền pháp lý của chủ thể và quyền quyết định trong cơ cấu doanh nghiệp không còn khớp với nhau. Vì vậy, giải pháp không phải là đưa mọi vấn đề công nghệ lên Ban điều hành hoặc yêu cầu pháp chế tham gia vào mọi công việc của IT. Doanh nghiệp cần xác định đúng những “điểm chuyển”: thời điểm một quyết định kỹ thuật bắt đầu làm thay đổi mục đích sử dụng dữ liệu, thẩm quyền của người dùng, quyền của khách hàng, mức độ phụ thuộc vào nhà cung cấp hoặc mức rủi ro mà doanh nghiệp phải chấp nhận. Tại những điểm đó, quyết định không nên tiếp tục được xử lý như một yêu cầu IT thông thường.

1. Có quyền truy cập dữ liệu không đồng nghĩa có quyền sử dụng dữ liệu cho mọi mục đích

Một tình huống phổ biến là doanh nghiệp đã có sẵn cơ sở dữ liệu khách hàng và một bộ phận muốn sử dụng lại tập dữ liệu đó cho mục đích mới. Marketing muốn triển khai một chiến dịch khác; bộ phận kinh doanh muốn phân tích hành vi khách hàng; phòng nhân sự muốn đưa hồ sơ ứng viên vào một công cụ AI. Khi yêu cầu được chuyển cho IT, câu hỏi thường là: “Có lấy được dữ liệu này không?”. Dưới góc độ kỹ thuật, IT có thể xác định dữ liệu đang nằm ở đâu, ai có quyền truy cập và có thể xuất dữ liệu bằng cách nào. Tuy nhiên, dưới góc độ pháp lý, câu hỏi cần đi trước một bước: doanh nghiệp đang sử dụng dữ liệu để làm gì và việc sử dụng đó có đáp ứng các điều kiện pháp luật hay không?

Theo điểm b khoản 1 Điều 37 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, bên kiểm soát dữ liệu cá nhân có trách nhiệm quyết định mục đích và phương tiện xử lý dữ liệu cá nhân. Cùng khoản này, pháp luật còn đặt ra trách nhiệm áp dụng biện pháp quản lý và kỹ thuật phù hợp, lựa chọn bên xử lý dữ liệu phù hợp và bảo đảm quyền của chủ thể dữ liệu. Luật có hiệu lực từ ngày 01/01/2026.

Điểm cần phân biệt là quyền truy cập trên hệ thống và tính hợp pháp của việc sử dụng dữ liệu không phải cùng một vấn đề. Một nhân viên marketing có quyền truy cập cơ sở dữ liệu khách hàng không có nghĩa việc sử dụng toàn bộ dữ liệu đó cho một chiến dịch mới đương nhiên phù hợp pháp luật. Tương tự, việc phòng nhân sự có thể xuất hồ sơ ứng viên khỏi hệ thống tuyển dụng không tự chứng minh rằng việc chuyển dữ liệu đó sang một nền tảng AI bên ngoài là phù hợp.

Góc nhìn MIBI:

Doanh nghiệp không nên đồng nhất quyền truy cập dữ liệu với quyền sử dụng dữ liệu. IT có thể được trao quyền rộng để quản trị hệ thống và triển khai hoạt động xử lý, nhưng mục đích sử dụng dữ liệu phải do đơn vị nghiệp vụ có thẩm quyền xác định và cần được kiểm tra về điều kiện pháp lý khi mục đích mới làm thay đổi phạm vi hoặc bản chất xử lý.

Nếu một mục đích sử dụng dữ liệu mới chỉ cần IT “mở quyền” là có thể triển khai mà không có cơ chế xác định ai chịu trách nhiệm về mục đích đó, cơ chế quản trị dữ liệu của doanh nghiệp đang có khoảng trống.

2. Quyền vận hành hệ thống không đồng nghĩa quyền quyết định doanh nghiệp sẽ chấp nhận rủi ro nào

Khi xảy ra sự cố an ninh mạng, IT hoặc đội an ninh thường phải hành động trước tiên. Họ có thể cô lập hệ thống, ngắt kết nối hoặc phục hồi từ bản sao lưu. Tuy nhiên, mỗi phương án đều có thể tạo ra hậu quả kinh doanh. Cô lập một hệ thống trọng yếu có thể khiến hoạt động bị gián đoạn. Phục hồi từ bản sao lưu có thể dẫn đến mất dữ liệu mới phát sinh. Tiếp tục vận hành trong khi điều tra lại có thể làm tăng nguy cơ sự cố lan rộng. IT có thể đánh giá hậu quả kỹ thuật của từng phương án, nhưng việc doanh nghiệp chấp nhận gián đoạn bao lâu hoặc tiếp tục hoạt động với mức rủi ro nào không còn là quyết định thuần túy kỹ thuật.

Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 01/07/2026. Điều 40 đặt ra trách nhiệm của chủ quản hệ thống thông tin trong bảo vệ hệ thống và thực hiện các nghĩa vụ thuộc phạm vi luật định. Theo khoản 2 Điều 4 Nghị định 331/2026/NĐ-CP, đối với doanh nghiệp và tổ chức thuộc trường hợp tương ứng, chủ quản hệ thống thông tin được xác định theo cấp có thẩm quyền quyết định đầu tư xây dựng, thiết lập, nâng cấp hoặc mở rộng hệ thống. Điều 5 quy định riêng về đơn vị vận hành hệ thống; Điều 31 tiếp tục quy định trách nhiệm ở cấp chủ quản và người đứng đầu chủ quản trong công tác bảo vệ an ninh mạng.

Sự phân biệt này cho thấy chủ thể chịu trách nhiệm ở cấp chủ quản và đơn vị trực tiếp vận hành không mặc nhiên là một. Đồng thời, cũng không nên suy rộng rằng CEO của mọi doanh nghiệp đương nhiên là chủ quản hệ thống; chủ thể cụ thể phải được xác định theo cơ cấu thẩm quyền và hệ thống tương ứng. Từ đó, doanh nghiệp cũng nên tách quyền xử lý kỹ thuật khỏi quyền chấp nhận hệ quả kinh doanh của sự cố. Một kế hoạch ứng cứu không nên chỉ mô tả IT phải cô lập máy chủ hoặc phục hồi dữ liệu thế nào. Doanh nghiệp còn phải biết khi nào IT được hành động ngay, khi nào phải chuyển vấn đề lên cấp có thẩm quyền và ai có quyền quyết định tiếp tục vận hành khi rủi ro chưa được xử lý hoàn toàn.

Góc nhìn MIBI:

IT có thể và cần được trao đủ quyền để xử lý sự cố về mặt kỹ thuật, nhưng không nên phải tự mình quyết định những đánh đổi có ảnh hưởng lớn đến hoạt động kinh doanh.

Nếu doanh nghiệp có quy trình ứng cứu kỹ thuật nhưng chưa xác định ai có quyền chấp nhận gián đoạn, mất dữ liệu hoặc rủi ro còn lại, doanh nghiệp có quy trình xử lý sự cố nhưng chưa có đầy đủ cơ chế quản trị sự cố.

3. Chuyển công việc cho nhà cung cấp không đồng nghĩa toàn bộ nghĩa vụ của doanh nghiệp cũng được chuyển theo

Việc sử dụng điện toán đám mây, phần mềm thuê bao hoặc dịch vụ công nghệ bên ngoài đã trở thành cách vận hành thông thường của doanh nghiệp. Vấn đề pháp lý vì vậy không nằm ở việc có được sử dụng điện toán đám mây hay không, mà ở việc doanh nghiệp phải biết mình đang giao cho nhà cung cấp công việc gì, dữ liệu gì và quyền truy cập nào; đồng thời nghĩa vụ nào vẫn tiếp tục thuộc về doanh nghiệp theo vai trò pháp lý của mình.

Điều 12 Nghị định 356/2025/NĐ-CP đặt ra các yêu cầu về bảo vệ dữ liệu cá nhân trong điện toán đám mây, bao gồm biện pháp kỹ thuật, tổ chức và các nội dung cần được xác định trong quan hệ giữa các bên liên quan đến xử lý dữ liệu. Nghị định có hiệu lực từ ngày 01/01/2026. Đáng chú ý, điểm a khoản 1 Điều 17 xác định trường hợp lưu trữ có việc chuyển dữ liệu cá nhân được thu thập, lưu trữ tại Việt Nam tới máy chủ đặt ngoài lãnh thổ Việt Nam hoặc trên dịch vụ điện toán đám mây của nhà cung cấp ở nước ngoài là một trong các trường hợp chuyển dữ liệu cá nhân xuyên biên giới. Do đó, nơi lưu trữ và luồng dữ liệu trong một số cấu hình điện toán đám mây không còn chỉ là vấn đề kiến trúc kỹ thuật.

Điều này không có nghĩa mọi trường hợp sử dụng dịch vụ của nhà cung cấp nước ngoài đều có thể được kết luận giống nhau. Doanh nghiệp phải xem xét dữ liệu nào được chuyển, cơ chế chuyển, vai trò của các bên và quy định áp dụng. Cũng không nên sử dụng công thức tuyệt đối rằng doanh nghiệp “không thể chuyển trách nhiệm cho nhà cung cấp”. Hợp đồng có thể và cần phân bổ nhiều nghĩa vụ, trách nhiệm và cơ chế bồi hoàn. Tuy nhiên, thỏa thuận giữa các bên không mặc nhiên làm mất những nghĩa vụ mà pháp luật trực tiếp đặt lên từng chủ thể theo vai trò của họ.

Góc nhìn MIBI:

Đối với hệ thống hoặc dữ liệu quan trọng, doanh nghiệp không nên phê duyệt nhà cung cấp chỉ dựa trên giá, thông số kỹ thuật và chứng nhận bảo mật. Quyết định thuê ngoài cần trả lời được ba vấn đề: doanh nghiệp đang giao dữ liệu và quyền truy cập nào; nghĩa vụ nào vẫn tiếp tục thuộc về doanh nghiệp; và doanh nghiệp sẽ tiếp tục hoạt động thế nào nếu quan hệ với nhà cung cấp kết thúc.

Nếu chưa có phương án thoát khỏi nhà cung cấp, rủi ro không còn chỉ nằm ở hợp đồng mà đã trở thành rủi ro vận hành doanh nghiệp.

4. Sử dụng một công cụ AI không giống với việc đưa AI vào một quyết định kinh doanh

Một trong những cách quản trị AI phổ biến hiện nay là lập danh sách công cụ nào nhân viên được sử dụng, công cụ nào bị cấm và loại dữ liệu nào không được nhập vào AI. Đây là bước cần thiết, nhưng mới xử lý một phần của vấn đề. Cùng một công cụ có thể được sử dụng để sửa câu chữ trong email, tóm tắt biên bản, sàng lọc hồ sơ ứng viên hoặc hỗ trợ đánh giá khách hàng. Tên sản phẩm không thay đổi, nhưng bản chất của việc sử dụng và mức độ tác động có thể hoàn toàn khác nhau.

Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ ngày 01/03/2026. Khoản 5 Điều 3 xác định khái niệm bên triển khai; Điều 9 phân loại hệ thống AI theo các mức độ rủi ro. Nghị định 142/2026/NĐ-CP có hiệu lực từ ngày 01/05/2026. Khoản 3 Điều 5 và khoản 4 Điều 6 quy định việc rà soát, phân loại lại trong những trường hợp việc triển khai, sửa đổi, tích hợp hoặc thay đổi chức năng, mục đích sử dụng làm phát sinh rủi ro mới hoặc mức rủi ro cao hơn. Điều này đặc biệt quan trọng đối với doanh nghiệp. Một hệ thống ban đầu được mua để hỗ trợ nhân viên có thể sau đó được tích hợp vào tuyển dụng, chăm sóc khách hàng hoặc phê duyệt nội bộ. Khi cách sử dụng thay đổi, hồ sơ rủi ro pháp lý cũng có thể thay đổi.

Do đó, thay vì chỉ hỏi “doanh nghiệp đang dùng AI nào?”, MIBI cho rằng cần hỏi “AI đang được dùng để làm gì?”. Với từng trường hợp sử dụng, doanh nghiệp nên xác định công việc AI thực hiện, loại dữ liệu được đưa vào, cách đầu ra được sử dụng, đối tượng có thể chịu tác động và người chịu trách nhiệm cuối cùng.

Đối với hệ thống AI đã được đưa vào hoạt động trước ngày 01/03/2026, Điều 35 Luật Trí tuệ nhân tạo quy định cơ chế chuyển tiếp. Các hệ thống thuộc lĩnh vực y tế, giáo dục và tài chính có thời hạn 18 tháng kể từ ngày Luật có hiệu lực, tương ứng đến 01/09/2027; các hệ thống khác có thời hạn 12 tháng, tương ứng đến 01/03/2027, trừ trường hợp cơ quan có thẩm quyền áp dụng biện pháp theo luật do nguy cơ gây thiệt hại nghiêm trọng. Vì vậy, tại thời điểm tháng 9/2026, doanh nghiệp rà soát một hệ thống AI hiện hữu cần kiểm tra thời điểm hệ thống được đưa vào hoạt động, lĩnh vực sử dụng, vai trò của doanh nghiệp và thời hạn chuyển tiếp tương ứng, thay vì áp cùng một cách đánh giá cho mọi hệ thống.

Góc nhìn MIBI:

Doanh nghiệp không nên quản trị AI chỉ bằng danh sách công cụ được phép hoặc không được phép sử dụng. Đối tượng cần quản trị là từng trường hợp sử dụng AI, bởi cùng một công cụ có thể tạo ra mức độ rủi ro khác nhau trong những quy trình khác nhau. Với trường hợp AI có khả năng ảnh hưởng đáng kể đến quyền, cơ hội hoặc lợi ích của cá nhân, doanh nghiệp nên xác định rõ vai trò của AI, cơ chế kiểm soát của con người phù hợp với mức độ rủi ro và chủ thể chịu trách nhiệm cuối cùng.

Một quy định “không nhập dữ liệu mật vào AI” là cần thiết, nhưng chưa thể được coi là một cơ chế quản trị AI.

5. Hệ thống xác định được người ký không có nghĩa người đó có thẩm quyền ký

Số hóa quy trình phê duyệt và ký kết giúp doanh nghiệp giảm đáng kể thời gian xử lý. Tuy nhiên, nếu cơ chế thẩm quyền nội bộ không được thiết kế cùng với hệ thống, công nghệ có thể làm một sai lệch về thẩm quyền xảy ra nhanh hơn. Giả sử một Phó Tổng Giám đốc được cấp chữ ký số. Cơ chế chữ ký đáp ứng các điều kiện áp dụng và hệ thống ghi nhận đầy đủ chủ thể, thời điểm, thao tác thực hiện. Nhưng nếu người này chỉ được ủy quyền ký đến một hạn mức nhất định hoặc thời hạn ủy quyền đã hết, việc hệ thống vẫn cho phép ký không tự mở rộng quyền đại diện.

Luật Giao dịch điện tử hiện được hợp nhất tại Văn bản hợp nhất số 36/VBHN-VPQH ngày 13/03/2026. Khoản 2 Điều 1 xác định Luật không quy định về nội dung, điều kiện và hình thức của giao dịch; Điều 23 quy định giá trị pháp lý của chữ ký điện tử trong những trường hợp đáp ứng điều kiện luật định. Trong khi đó, Điều 135 Bộ luật Dân sự 2015 quy định các căn cứ xác lập quyền đại diện, bao gồm ủy quyền, quyết định của cơ quan có thẩm quyền, điều lệ của pháp nhân hoặc quy định của pháp luật. Vì vậy, cơ chế chữ ký và xác thực điện tử có thể cung cấp căn cứ xác định chủ thể thực hiện việc ký, nhưng việc người đó có quyền nhân danh doanh nghiệp xác lập giao dịch cụ thể hay không là một vấn đề khác.

Khoảng trống thường xuất hiện khi hai hệ thống được quản lý tách rời: nhân sự chuyển vị trí nhưng quyền trên phần mềm vẫn còn; ủy quyền hết hạn nhưng quyền ký chưa được thu hồi; hạn mức phê duyệt thay đổi nhưng quy trình điện tử vẫn giữ cấu hình cũ.

Góc nhìn MIBI:

Doanh nghiệp phải tách biệt quyền kỹ thuật trên hệ thống với thẩm quyền pháp lý của người sử dụng. Quyền ký, duyệt và xác lập giao dịch trên hệ thống cần được liên kết với chức danh, phạm vi ủy quyền, hạn mức và thời hạn tương ứng.

Nếu quyền pháp lý đã hết nhưng quyền trên hệ thống vẫn còn, doanh nghiệp không gặp lỗi công nghệ; doanh nghiệp đang có lỗi quản trị thẩm quyền.

6. Đang sử dụng một hệ thống không đồng nghĩa doanh nghiệp có đủ quyền đối với hệ thống đó

Trong nhiều dự án công nghệ, câu hỏi về quyền xuất hiện khá muộn. Giai đoạn triển khai, doanh nghiệp tập trung vào chức năng, tiến độ, tích hợp và chi phí. Khi hệ thống đã vận hành, mọi người dễ gọi đó là “hệ thống của công ty”. Chỉ khi quan hệ với nhà cung cấp có vấn đề, câu hỏi “của công ty” thực sự có nghĩa gì mới trở nên quan trọng. Doanh nghiệp có quyền đối với mã nguồn đến đâu? Có thể chỉnh sửa hoặc giao cho nhà cung cấp khác phát triển tiếp không? Thành phần nào là mã nguồn mở? Thành phần nào chỉ được cấp phép? Dữ liệu và tài liệu kỹ thuật có được bàn giao đầy đủ không?

Luật Sở hữu trí tuệ hiện được hợp nhất tại Văn bản hợp nhất số 67/VBHN-VPQH ngày 23/03/2026. Điều 22 quy định về quyền tác giả đối với chương trình máy tính; Điều 39 quy định về chủ sở hữu quyền tác giả trong trường hợp tổ chức giao nhiệm vụ sáng tạo cho tác giả là người thuộc tổ chức mình hoặc tổ chức, cá nhân giao kết hợp đồng với tác giả, trừ trường hợp có thỏa thuận khác; Điều 41 quy định trường hợp chủ sở hữu quyền tác giả là tổ chức, cá nhân được chuyển giao quyền.

Do đó, không nên sử dụng công thức “đã trả tiền thì đương nhiên sở hữu tất cả”. Ngược lại, cũng không thể mặc nhiên cho rằng thuê nhà cung cấp phát triển đồng nghĩa doanh nghiệp không có quyền đối với kết quả. Câu trả lời phụ thuộc vào quan hệ pháp lý, hợp đồng, chủ thể sáng tạo, việc chuyển giao quyền và từng thành phần của hệ thống. Một nền tảng hiện đại có thể chứa đồng thời mã nguồn do nhân viên phát triển, thành phần của nhà cung cấp, thư viện mã nguồn mở, phần mềm thương mại, giao diện lập trình ứng dụng, dịch vụ điện toán đám mây, dữ liệu và mô hình AI. Mục tiêu pháp lý vì vậy không nhất thiết là “sở hữu tất cả”, mà là bảo đảm doanh nghiệp có đủ quyền cần thiết cho mục tiêu sử dụng và mức độ tự chủ mà mình lựa chọn.

Góc nhìn MIBI:

Đối với công nghệ quan trọng, doanh nghiệp không nên chỉ xác định ai sở hữu mã nguồn mà cần xác định toàn bộ các quyền cần thiết để duy trì, sửa đổi, chuyển giao và tiếp tục khai thác hệ thống.

Nếu nhà cung cấp dừng phục vụ mà doanh nghiệp không thể tiếp tục vận hành, vấn đề không còn chỉ là sở hữu trí tuệ; đó là rủi ro về tính liên tục kinh doanh.

7. Người dùng đã bấm “đồng ý” không có nghĩa toàn bộ quá trình giao dịch đã phù hợp pháp luật

Trong sản phẩm số, đội sản phẩm thường được yêu cầu giảm số bước và tăng tỷ lệ hoàn thành giao dịch. Đây là mục tiêu kinh doanh chính đáng. Tuy nhiên, một số thay đổi về trải nghiệm người dùng có thể đồng thời làm thay đổi cách doanh nghiệp thực hiện nghĩa vụ pháp lý. Giả sử quy trình mua dịch vụ được rút từ năm bước xuống hai bước. Nhưng để đạt được kết quả đó, một khoản phí quan trọng chỉ xuất hiện ở bước cuối, điều kiện gia hạn trở nên khó nhận biết hoặc nhiều mục đích xử lý dữ liệu được gộp vào một lựa chọn. Khi đó, vấn đề không còn chỉ là thiết kế giao diện hay trải nghiệm người dùng.

Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15, có hiệu lực từ ngày 01/07/2024, hiện được hợp nhất tại Văn bản hợp nhất số 47/VBHN-VPQH ngày 17/03/2026. Đối với giao dịch từ xa với người tiêu dùng, Điều 37 đặt ra nghĩa vụ cung cấp thông tin; Điều 38 quy định về công cụ, biện pháp để người tiêu dùng nghiên cứu nội dung, trao đổi, xác nhận đồng ý và thực hiện các quyền liên quan trong giao dịch từ xa. Luật Thương mại điện tử số 122/2025/QH15 có hiệu lực từ ngày 01/07/2026. Điều 12, đối với nền tảng thương mại điện tử có chức năng đặt hàng trực tuyến thuộc phạm vi điều chỉnh, đặt ra các yêu cầu liên quan đến nội dung giao kết, thông tin hàng hóa hoặc dịch vụ, chi phí, thanh toán và cơ chế để người mua xem xét thông tin trước khi đặt hàng.

Không nên từ đó suy rộng rằng mọi website hoặc ứng dụng đều chịu cùng một tập hợp nghĩa vụ. Phạm vi áp dụng phụ thuộc vào loại giao dịch, chức năng nền tảng và vai trò của doanh nghiệp. Tuy nhiên, trong môi trường số, giao diện có thể chính là nơi doanh nghiệp cung cấp thông tin, thu thập dữ liệu, ghi nhận ý chí và tổ chức giao kết. Một bộ điều khoản được soạn đúng ở phía sau chưa chắc giải quyết được vấn đề nếu người dùng không được tiếp cận thông tin đúng thời điểm.

Góc nhìn MIBI:

Doanh nghiệp không nên coi giao diện là một lớp kỹ thuật hoàn toàn nằm ngoài phạm vi rà soát pháp lý. Nhưng cũng không cần đưa mọi thay đổi về giao diện hoặc trải nghiệm người dùng qua pháp chế. Điều cần thiết là xác định đúng những thay đổi làm ảnh hưởng đến thông tin, dữ liệu, cách thể hiện ý chí hoặc quyền và nghĩa vụ của người dùng để kích hoạt bước rà soát phù hợp.

Việc hệ thống ghi nhận một cú nhấp chuột chỉ chứng minh người dùng đã thực hiện thao tác đó; nó không tự chứng minh toàn bộ quá trình hình thành sự đồng ý hoặc giao dịch trước đó đã đáp ứng pháp luật.

Vấn đề không phải là đưa thêm việc lên CEO, mà là xác định đúng ranh giới thẩm quyền

Các phân tích trên không dẫn đến kết luận rằng Ban điều hành phải tham gia vào hầu hết quyết định công nghệ. Một cơ chế mà CEO phải duyệt từng thay đổi hệ thống vừa làm chậm hoạt động vừa làm mờ trách nhiệm của người có chuyên môn. Vấn đề cũng không phải là bổ sung thêm một tầng pháp chế vào mọi quy trình IT. Doanh nghiệp cần xác định trường hợp nào IT được tự quyết, trường hợp nào cần đánh giá pháp lý và trường hợp nào cần được đưa đến cấp có thẩm quyền để quyết định trước khi triển khai.

Đơn vị nghiệp vụ chịu trách nhiệm về mục tiêu kinh doanh. IT chịu trách nhiệm về khả năng và phương án kỹ thuật. Pháp chế hoặc tuân thủ tham gia khi quyết định chạm tới quyền, nghĩa vụ hoặc giới hạn pháp luật. Khi vấn đề vượt khỏi phạm vi mà từng bộ phận được quyền tự quyết, quyết định phải được đưa đến cấp quản trị tương ứng.

Khoảng trống MIBI cho rằng doanh nghiệp cần quan tâm nhất không hẳn là thiếu kỹ sư hay thiếu luật sư. Đó là thiếu cơ chế nối đánh giá kỹ thuật, đánh giá pháp lý và quyết định kinh doanh thành một quyết định thống nhất.

MIBI đề xuất bắt đầu bằng “Bản đồ quyết định pháp lý về công nghệ”

Đối với doanh nghiệp chưa có hệ thống quản trị pháp lý công nghệ hoàn chỉnh, MIBI không cho rằng bước đầu tiên nhất thiết phải là ban hành thêm một bộ quy chế dài. Quy chế chỉ có ý nghĩa khi doanh nghiệp đã biết mình cần kiểm soát quyết định nào. Doanh nghiệp có thể bắt đầu từ một nhóm nhỏ các quyết định công nghệ trọng yếu hoặc thường xuyên phát sinh, chẳng hạn: thay đổi mục đích sử dụng dữ liệu, đưa dữ liệu cho bên thứ ba, triển khai một trường hợp sử dụng AI mới, chuyển dữ liệu ra nước ngoài, mở rộng quyền ký điện tử, thuê ngoài một hệ thống trọng yếu hoặc thay đổi cơ chế đồng ý trên sản phẩm số.

Đối với mỗi quyết định, doanh nghiệp cần trả lời bốn câu hỏi: ai có quyền đề xuất; ai đánh giá kỹ thuật; khi nào cần rà soát pháp lý; và cấp nào có quyền đưa ra quyết định cuối cùng. Sau khi bản đồ này được hình thành, doanh nghiệp mới quyết định vấn đề nào cần quy trình chính thức, vấn đề nào chỉ cần checklist và vấn đề nào có thể giao hoàn toàn cho IT hoặc đơn vị nghiệp vụ tự chủ.

Góc nhìn chung của Hãng luật MIBI

Hãng luật MIBI không cho rằng quản trị pháp lý công nghệ đồng nghĩa với việc đưa pháp chế vào mọi quy trình của IT. Cách làm đó có thể làm tăng thủ tục nhưng chưa chắc giải quyết đúng rủi ro.Điều quan trọng hơn là xác định đúng các “điểm chuyển”: thời điểm một quyết định kỹ thuật bắt đầu làm thay đổi mục đích sử dụng dữ liệu, thẩm quyền của người sử dụng, nghĩa vụ với khách hàng, mức phụ thuộc vào nhà cung cấp hoặc mức rủi ro mà doanh nghiệp phải đối mặt.

MIBI đề xuất doanh nghiệp xây dựng một Bản đồ quyết định pháp lý về công nghệ, trong đó xác định rõ đối với từng nhóm quyết định: ai được đề xuất, ai đánh giá kỹ thuật, khi nào cần rà soát pháp lý và cấp nào có quyền quyết định. Nếu được thiết kế đúng, cách tiếp cận này giúp IT biết rõ phạm vi được tự chủ; pháp chế và tuân thủ biết đúng thời điểm cần tham gia; đơn vị nghiệp vụ hiểu trách nhiệm của mình; và Ban điều hành chỉ phải xử lý những vấn đề thực sự cần quyết định ở cấp quản trị. Theo MIBI, đó mới là mục tiêu của quản trị pháp lý công nghệ: không phải đưa mọi quyết định lên trên, mà là đưa đúng quyết định đến đúng người trước khi rủi ro phát sinh.

Căn cứ pháp lý chính

Bài viết được cập nhật theo pháp luật hiện hành tại ngày 12/09/2026.

MIBI có thể hỗ trợ doanh nghiệp như thế nào?

MIBI có thể cùng doanh nghiệp xây dựng Bản đồ quyết định pháp lý về công nghệ cho các nhóm dữ liệu, AI, điện toán đám mây, giao dịch điện tử và nhà cung cấp công nghệ. Qua đó, doanh nghiệp có thể xác định rõ điểm nào IT được tự chủ, điểm nào cần rà soát pháp lý và điểm nào cần được đưa đến cấp có thẩm quyền để quyết định. Trên cơ sở bản đồ này, doanh nghiệp có thể tiếp tục xây dựng quy trình, checklist hoặc ma trận phân quyền phù hợp với quy mô, mô hình kinh doanh và mức độ rủi ro thực tế, thay vì áp dụng một bộ thủ tục giống nhau cho mọi hoạt động công nghệ.

Nếu có bất kỳ thắc mắc hoặc cần tư vấn chuyên sâu hơn, hãy liên hệ Hãng luật MIBI TẠI ĐÂY hoặc qua số Hotline, Email để trao đổi về phạm vi rà soát phù hợp với doanh nghiệp. Mời bạn theo dõi Fanpage và Youtube của chúng tôi để cập nhật các thông tin pháp luật mới nhất.

Hotline/Zalo: 0866.155.669 Email: info@mibilaw.vn

Quy tắc sử dụng các bài viết trên website này:

(i) Bài viết trên website thuộc bản quyền của Hãng luật MIBI. Mọi sao chép, trích dẫn (nếu có) cần được ghi rõ nguồn.

(ii) Bài viết trên website chỉ dành cho mục đích tham khảo, tra cứu. Hãng luật MIBI không khuyến nghị Quý khách hàng tự động áp dụng trong mọi trường hợp. Đồng thời, chúng tôi không chịu trách nhiệm về những trường hợp tự áp dụng mà không có tư vấn của luật sư.