7 quyết định công nghệ CEO không nên chỉ giao cho bộ phận IT

by mibi_content | Sep 12, 2026 | Bản tin mới, Công nghệ số và An ninh mạng

Một quyết định công nghệ không phải lúc nào cũng chỉ là quyết định kỹ thuật. Khi quyết định đó làm thay đổi mục đích sử dụng dữ liệu, thẩm quyền của người dùng, cách AI tham gia vào hoạt động kinh doanh, mức độ phụ thuộc vào nhà cung cấp hoặc quyền của khách hàng, doanh nghiệp phải xác định lại ai có quyền quyết định và ai chịu trách nhiệm. Hãng luật MIBI cho rằng rủi ro thường xuất hiện khi quyền kỹ thuật, quyền pháp lý và quyền quyết định trong doanh nghiệp không còn khớp với nhau.

Trong nhiều doanh nghiệp, những vấn đề có yếu tố công nghệ thường được mặc nhiên giao cho bộ phận IT. Khi doanh nghiệp muốn đưa một hệ thống lên điện toán đám mây, triển khai AI, mở rộng quyền ký số hoặc khai thác một tập dữ liệu mới, IT thường là đơn vị đầu tiên được hỏi ý kiến và cũng là đơn vị trực tiếp triển khai. Cách phân công này hoàn toàn hợp lý đối với phần kỹ thuật. Vấn đề bắt đầu khi một quyết định kỹ thuật đồng thời làm thay đổi quyền hoặc nghĩa vụ của doanh nghiệp. Việc cấp quyền truy cập dữ liệu có thể gắn với một mục đích xử lý mới. Việc chuyển hệ thống lên điện toán đám mây có thể làm thay đổi nơi dữ liệu được xử lý. Việc cấp quyền ký điện tử có thể tạo cho một nhân sự khả năng xác lập giao dịch trên hệ thống. Việc tích hợp AI vào quy trình tuyển dụng hoặc đánh giá khách hàng có thể khiến AI tham gia trực tiếp vào một quyết định tác động đến con người. Trong những tình huống đó, câu hỏi “IT có làm được không?” mới chỉ trả lời về khả năng kỹ thuật. Doanh nghiệp còn phải trả lời: Doanh nghiệp có quyền làm việc đó hay không; ai có thẩm quyền quyết định; và ai chịu trách nhiệm đối với hệ quả của quyết định.

Trong bài viết này, “CEO” được sử dụng để chỉ cấp điều hành có thẩm quyền đối với quyết định về kinh doanh, nguồn lực và rủi ro. Điều này không có nghĩa mọi nghĩa vụ dưới đây đều là nghĩa vụ pháp luật trực tiếp đặt lên cá nhân CEO. Các cơ chế phân công được MIBI đề xuất cũng là khuyến nghị quản trị, trừ những trường hợp bài viết dẫn rõ nghĩa vụ luật định.

Quan điểm của Hãng luật MIBI

Qua việc nghiên cứu các quy định hiện hành về dữ liệu cá nhân, an ninh mạng, trí tuệ nhân tạo, giao dịch điện tử, sở hữu trí tuệ và hoạt động số, MIBI cho rằng rủi ro pháp lý về công nghệ thường không chỉ phát sinh từ bản thân công nghệ. Rủi ro thường xuất hiện tại thời điểm quyền kỹ thuật trên hệ thống, quyền pháp lý của chủ thể và quyền quyết định trong cơ cấu doanh nghiệp không còn khớp với nhau. Vì vậy, giải pháp không phải là đưa mọi vấn đề công nghệ lên Ban điều hành hoặc yêu cầu pháp chế tham gia vào mọi công việc của IT. Doanh nghiệp cần xác định đúng những “điểm chuyển”: thời điểm một quyết định kỹ thuật bắt đầu làm thay đổi mục đích sử dụng dữ liệu, thẩm quyền của người dùng, quyền của khách hàng, mức độ phụ thuộc vào nhà cung cấp hoặc mức rủi ro mà doanh nghiệp phải chấp nhận. Tại những điểm đó, quyết định không nên tiếp tục được xử lý như một yêu cầu IT thông thường.

1. Có quyền truy cập dữ liệu không đồng nghĩa có quyền sử dụng dữ liệu cho mọi mục đích

Một tình huống phổ biến là doanh nghiệp đã có sẵn cơ sở dữ liệu khách hàng và một bộ phận muốn sử dụng lại tập dữ liệu đó cho mục đích mới. Marketing muốn triển khai một chiến dịch khác; bộ phận kinh doanh muốn phân tích hành vi khách hàng; phòng nhân sự muốn đưa hồ sơ ứng viên vào một công cụ AI. Khi yêu cầu được chuyển cho IT, câu hỏi thường là: “Có lấy được dữ liệu này không?”. Dưới góc độ kỹ thuật, IT có thể xác định dữ liệu đang nằm ở đâu, ai có quyền truy cập và có thể xuất dữ liệu bằng cách nào. Tuy nhiên, dưới góc độ pháp lý, câu hỏi cần đi trước một bước: doanh nghiệp đang sử dụng dữ liệu để làm gì và việc sử dụng đó có đáp ứng các điều kiện pháp luật hay không?

Theo điểm b khoản 1 Điều 37 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, bên kiểm soát dữ liệu cá nhân có trách nhiệm quyết định mục đích và phương tiện xử lý dữ liệu cá nhân. Cùng khoản này, pháp luật còn đặt ra trách nhiệm áp dụng biện pháp quản lý và kỹ thuật phù hợp, lựa chọn bên xử lý dữ liệu phù hợp và bảo đảm quyền của chủ thể dữ liệu. Luật có hiệu lực từ ngày 01/01/2026.

Điểm cần phân biệt là quyền truy cập trên hệ thống và tính hợp pháp của việc sử dụng dữ liệu không phải cùng một vấn đề. Một nhân viên marketing có quyền truy cập cơ sở dữ liệu khách hàng không có nghĩa việc sử dụng toàn bộ dữ liệu đó cho một chiến dịch mới đương nhiên phù hợp pháp luật. Tương tự, việc phòng nhân sự có thể xuất hồ sơ ứng viên khỏi hệ thống tuyển dụng không tự chứng minh rằng việc chuyển dữ liệu đó sang một nền tảng AI bên ngoài là phù hợp.

Góc nhìn MIBI:

Doanh nghiệp không nên đồng nhất quyền truy cập dữ liệu với quyền sử dụng dữ liệu. IT có thể được trao quyền rộng để quản trị hệ thống và triển khai hoạt động xử lý, nhưng mục đích sử dụng dữ liệu phải do đơn vị nghiệp vụ có thẩm quyền xác định và cần được kiểm tra về điều kiện pháp lý khi mục đích mới làm thay đổi phạm vi hoặc bản chất xử lý.

Nếu một mục đích sử dụng dữ liệu mới chỉ cần IT “mở quyền” là có thể triển khai mà không có cơ chế xác định ai chịu trách nhiệm về mục đích đó, cơ chế quản trị dữ liệu của doanh nghiệp đang có khoảng trống.

2. Quyền vận hành hệ thống không đồng nghĩa quyền quyết định doanh nghiệp sẽ chấp nhận rủi ro nào

Khi xảy ra sự cố an ninh mạng, IT hoặc đội an ninh thường phải hành động trước tiên. Họ có thể cô lập hệ thống, ngắt kết nối hoặc phục hồi từ bản sao lưu. Tuy nhiên, mỗi phương án đều có thể tạo ra hậu quả kinh doanh. Cô lập một hệ thống trọng yếu có thể khiến hoạt động bị gián đoạn. Phục hồi từ bản sao lưu có thể dẫn đến mất dữ liệu mới phát sinh. Tiếp tục vận hành trong khi điều tra lại có thể làm tăng nguy cơ sự cố lan rộng. IT có thể đánh giá hậu quả kỹ thuật của từng phương án, nhưng việc doanh nghiệp chấp nhận gián đoạn bao lâu hoặc tiếp tục hoạt động với mức rủi ro nào không còn là quyết định thuần túy kỹ thuật.

Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 01/07/2026. Điều 40 đặt ra trách nhiệm của chủ quản hệ thống thông tin trong bảo vệ hệ thống và thực hiện các nghĩa vụ thuộc phạm vi luật định. Theo khoản 2 Điều 4 Nghị định 331/2026/NĐ-CP, đối với doanh nghiệp và tổ chức thuộc trường hợp tương ứng, chủ quản hệ thống thông tin được xác định theo cấp có thẩm quyền quyết định đầu tư xây dựng, thiết lập, nâng cấp hoặc mở rộng hệ thống. Điều 5 quy định riêng về đơn vị vận hành hệ thống; Điều 31 tiếp tục quy định trách nhiệm ở cấp chủ quản và người đứng đầu chủ quản trong công tác bảo vệ an ninh mạng.

Sự phân biệt này cho thấy chủ thể chịu trách nhiệm ở cấp chủ quản và đơn vị trực tiếp vận hành không mặc nhiên là một. Đồng thời, cũng không nên suy rộng rằng CEO của mọi doanh nghiệp đương nhiên là chủ quản hệ thống; chủ thể cụ thể phải được xác định theo cơ cấu thẩm quyền và hệ thống tương ứng. Từ đó, doanh nghiệp cũng nên tách quyền xử lý kỹ thuật khỏi quyền chấp nhận hệ quả kinh doanh của sự cố. Một kế hoạch ứng cứu không nên chỉ mô tả IT phải cô lập máy chủ hoặc phục hồi dữ liệu thế nào. Doanh nghiệp còn phải biết khi nào IT được hành động ngay, khi nào phải chuyển vấn đề lên cấp có thẩm quyền và ai có quyền quyết định tiếp tục vận hành khi rủi ro chưa được xử lý hoàn toàn.

Góc nhìn MIBI:

IT có thể và cần được trao đủ quyền để xử lý sự cố về mặt kỹ thuật, nhưng không nên phải tự mình quyết định những đánh đổi có ảnh hưởng lớn đến hoạt động kinh doanh.

Nếu doanh nghiệp có quy trình ứng cứu kỹ thuật nhưng chưa xác định ai có quyền chấp nhận gián đoạn, mất dữ liệu hoặc rủi ro còn lại, doanh nghiệp có quy trình xử lý sự cố nhưng chưa có đầy đủ cơ chế quản trị sự cố.

3. Chuyển công việc cho nhà cung cấp không đồng nghĩa toàn bộ nghĩa vụ của doanh nghiệp cũng được chuyển theo

Việc sử dụng điện toán đám mây, phần mềm thuê bao hoặc dịch vụ công nghệ bên ngoài đã trở thành cách vận hành thông thường của doanh nghiệp. Vấn đề pháp lý vì vậy không nằm ở việc có được sử dụng điện toán đám mây hay không, mà ở việc doanh nghiệp phải biết mình đang giao cho nhà cung cấp công việc gì, dữ liệu gì và quyền truy cập nào; đồng thời nghĩa vụ nào vẫn tiếp tục thuộc về doanh nghiệp theo vai trò pháp lý của mình.

Điều 12 Nghị định 356/2025/NĐ-CP đặt ra các yêu cầu về bảo vệ dữ liệu cá nhân trong điện toán đám mây, bao gồm biện pháp kỹ thuật, tổ chức và các nội dung cần được xác định trong quan hệ giữa các bên liên quan đến xử lý dữ liệu. Nghị định có hiệu lực từ ngày 01/01/2026. Đáng chú ý, điểm a khoản 1 Điều 17 xác định trường hợp lưu trữ có việc chuyển dữ liệu cá nhân được thu thập, lưu trữ tại Việt Nam tới máy chủ đặt ngoài lãnh thổ Việt Nam hoặc trên dịch vụ điện toán đám mây của nhà cung cấp ở nước ngoài là một trong các trường hợp chuyển dữ liệu cá nhân xuyên biên giới. Do đó, nơi lưu trữ và luồng dữ liệu trong một số cấu hình điện toán đám mây không còn chỉ là vấn đề kiến trúc kỹ thuật.

Điều này không có nghĩa mọi trường hợp sử dụng dịch vụ của nhà cung cấp nước ngoài đều có thể được kết luận giống nhau. Doanh nghiệp phải xem xét dữ liệu nào được chuyển, cơ chế chuyển, vai trò của các bên và quy định áp dụng. Cũng không nên sử dụng công thức tuyệt đối rằng doanh nghiệp “không thể chuyển trách nhiệm cho nhà cung cấp”. Hợp đồng có thể và cần phân bổ nhiều nghĩa vụ, trách nhiệm và cơ chế bồi hoàn. Tuy nhiên, thỏa thuận giữa các bên không mặc nhiên làm mất những nghĩa vụ mà pháp luật trực tiếp đặt lên từng chủ thể theo vai trò của họ.

Góc nhìn MIBI:

Đối với hệ thống hoặc dữ liệu quan trọng, doanh nghiệp không nên phê duyệt nhà cung cấp chỉ dựa trên giá, thông số kỹ thuật và chứng nhận bảo mật. Quyết định thuê ngoài cần trả lời được ba vấn đề: doanh nghiệp đang giao dữ liệu và quyền truy cập nào; nghĩa vụ nào vẫn tiếp tục thuộc về doanh nghiệp; và doanh nghiệp sẽ tiếp tục hoạt động thế nào nếu quan hệ với nhà cung cấp kết thúc.

Nếu chưa có phương án thoát khỏi nhà cung cấp, rủi ro không còn chỉ nằm ở hợp đồng mà đã trở thành rủi ro vận hành doanh nghiệp.

4. Sử dụng một công cụ AI không giống với việc đưa AI vào một quyết định kinh doanh

Một trong những cách quản trị AI phổ biến hiện nay là lập danh sách công cụ nào nhân viên được sử dụng, công cụ nào bị cấm và loại dữ liệu nào không được nhập vào AI. Đây là bước cần thiết, nhưng mới xử lý một phần của vấn đề. Cùng một công cụ có thể được sử dụng để sửa câu chữ trong email, tóm tắt biên bản, sàng lọc hồ sơ ứng viên hoặc hỗ trợ đánh giá khách hàng. Tên sản phẩm không thay đổi, nhưng bản chất của việc sử dụng và mức độ tác động có thể hoàn toàn khác nhau.

Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ ngày 01/03/2026. Khoản 5 Điều 3 xác định khái niệm bên triển khai; Điều 9 phân loại hệ thống AI theo các mức độ rủi ro. Nghị định 142/2026/NĐ-CP có hiệu lực từ ngày 01/05/2026. Khoản 3 Điều 5 và khoản 4 Điều 6 quy định việc rà soát, phân loại lại trong những trường hợp việc triển khai, sửa đổi, tích hợp hoặc thay đổi chức năng, mục đích sử dụng làm phát sinh rủi ro mới hoặc mức rủi ro cao hơn. Điều này đặc biệt quan trọng đối với doanh nghiệp. Một hệ thống ban đầu được mua để hỗ trợ nhân viên có thể sau đó được tích hợp vào tuyển dụng, chăm sóc khách hàng hoặc phê duyệt nội bộ. Khi cách sử dụng thay đổi, hồ sơ rủi ro pháp lý cũng có thể thay đổi.

Do đó, thay vì chỉ hỏi “doanh nghiệp đang dùng AI nào?”, MIBI cho rằng cần hỏi “AI đang được dùng để làm gì?”. Với từng trường hợp sử dụng, doanh nghiệp nên xác định công việc AI thực hiện, loại dữ liệu được đưa vào, cách đầu ra được sử dụng, đối tượng có thể chịu tác động và người chịu trách nhiệm cuối cùng.

Đối với hệ thống AI đã được đưa vào hoạt động trước ngày 01/03/2026, Điều 35 Luật Trí tuệ nhân tạo quy định cơ chế chuyển tiếp. Các hệ thống thuộc lĩnh vực y tế, giáo dục và tài chính có thời hạn 18 tháng kể từ ngày Luật có hiệu lực, tương ứng đến 01/09/2027; các hệ thống khác có thời hạn 12 tháng, tương ứng đến 01/03/2027, trừ trường hợp cơ quan có thẩm quyền áp dụng biện pháp theo luật do nguy cơ gây thiệt hại nghiêm trọng. Vì vậy, tại thời điểm tháng 9/2026, doanh nghiệp rà soát một hệ thống AI hiện hữu cần kiểm tra thời điểm hệ thống được đưa vào hoạt động, lĩnh vực sử dụng, vai trò của doanh nghiệp và thời hạn chuyển tiếp tương ứng, thay vì áp cùng một cách đánh giá cho mọi hệ thống.

Góc nhìn MIBI:

Doanh nghiệp không nên quản trị AI chỉ bằng danh sách công cụ được phép hoặc không được phép sử dụng. Đối tượng cần quản trị là từng trường hợp sử dụng AI, bởi cùng một công cụ có thể tạo ra mức độ rủi ro khác nhau trong những quy trình khác nhau. Với trường hợp AI có khả năng ảnh hưởng đáng kể đến quyền, cơ hội hoặc lợi ích của cá nhân, doanh nghiệp nên xác định rõ vai trò của AI, cơ chế kiểm soát của con người phù hợp với mức độ rủi ro và chủ thể chịu trách nhiệm cuối cùng.

Một quy định “không nhập dữ liệu mật vào AI” là cần thiết, nhưng chưa thể được coi là một cơ chế quản trị AI.

5. Hệ thống xác định được người ký không có nghĩa người đó có thẩm quyền ký

Số hóa quy trình phê duyệt và ký kết giúp doanh nghiệp giảm đáng kể thời gian xử lý. Tuy nhiên, nếu cơ chế thẩm quyền nội bộ không được thiết kế cùng với hệ thống, công nghệ có thể làm một sai lệch về thẩm quyền xảy ra nhanh hơn. Giả sử một Phó Tổng Giám đốc được cấp chữ ký số. Cơ chế chữ ký đáp ứng các điều kiện áp dụng và hệ thống ghi nhận đầy đủ chủ thể, thời điểm, thao tác thực hiện. Nhưng nếu người này chỉ được ủy quyền ký đến một hạn mức nhất định hoặc thời hạn ủy quyền đã hết, việc hệ thống vẫn cho phép ký không tự mở rộng quyền đại diện.

Luật Giao dịch điện tử hiện được hợp nhất tại Văn bản hợp nhất số 36/VBHN-VPQH ngày 13/03/2026. Khoản 2 Điều 1 xác định Luật không quy định về nội dung, điều kiện và hình thức của giao dịch; Điều 23 quy định giá trị pháp lý của chữ ký điện tử trong những trường hợp đáp ứng điều kiện luật định. Trong khi đó, Điều 135 Bộ luật Dân sự 2015 quy định các căn cứ xác lập quyền đại diện, bao gồm ủy quyền, quyết định của cơ quan có thẩm quyền, điều lệ của pháp nhân hoặc quy định của pháp luật. Vì vậy, cơ chế chữ ký và xác thực điện tử có thể cung cấp căn cứ xác định chủ thể thực hiện việc ký, nhưng việc người đó có quyền nhân danh doanh nghiệp xác lập giao dịch cụ thể hay không là một vấn đề khác.

Khoảng trống thường xuất hiện khi hai hệ thống được quản lý tách rời: nhân sự chuyển vị trí nhưng quyền trên phần mềm vẫn còn; ủy quyền hết hạn nhưng quyền ký chưa được thu hồi; hạn mức phê duyệt thay đổi nhưng quy trình điện tử vẫn giữ cấu hình cũ.

Góc nhìn MIBI:

Doanh nghiệp phải tách biệt quyền kỹ thuật trên hệ thống với thẩm quyền pháp lý của người sử dụng. Quyền ký, duyệt và xác lập giao dịch trên hệ thống cần được liên kết với chức danh, phạm vi ủy quyền, hạn mức và thời hạn tương ứng.

Nếu quyền pháp lý đã hết nhưng quyền trên hệ thống vẫn còn, doanh nghiệp không gặp lỗi công nghệ; doanh nghiệp đang có lỗi quản trị thẩm quyền.

6. Đang sử dụng một hệ thống không đồng nghĩa doanh nghiệp có đủ quyền đối với hệ thống đó

Trong nhiều dự án công nghệ, câu hỏi về quyền xuất hiện khá muộn. Giai đoạn triển khai, doanh nghiệp tập trung vào chức năng, tiến độ, tích hợp và chi phí. Khi hệ thống đã vận hành, mọi người dễ gọi đó là “hệ thống của công ty”. Chỉ khi quan hệ với nhà cung cấp có vấn đề, câu hỏi “của công ty” thực sự có nghĩa gì mới trở nên quan trọng. Doanh nghiệp có quyền đối với mã nguồn đến đâu? Có thể chỉnh sửa hoặc giao cho nhà cung cấp khác phát triển tiếp không? Thành phần nào là mã nguồn mở? Thành phần nào chỉ được cấp phép? Dữ liệu và tài liệu kỹ thuật có được bàn giao đầy đủ không?

Luật Sở hữu trí tuệ hiện được hợp nhất tại Văn bản hợp nhất số 67/VBHN-VPQH ngày 23/03/2026. Điều 22 quy định về quyền tác giả đối với chương trình máy tính; Điều 39 quy định về chủ sở hữu quyền tác giả trong trường hợp tổ chức giao nhiệm vụ sáng tạo cho tác giả là người thuộc tổ chức mình hoặc tổ chức, cá nhân giao kết hợp đồng với tác giả, trừ trường hợp có thỏa thuận khác; Điều 41 quy định trường hợp chủ sở hữu quyền tác giả là tổ chức, cá nhân được chuyển giao quyền.

Do đó, không nên sử dụng công thức “đã trả tiền thì đương nhiên sở hữu tất cả”. Ngược lại, cũng không thể mặc nhiên cho rằng thuê nhà cung cấp phát triển đồng nghĩa doanh nghiệp không có quyền đối với kết quả. Câu trả lời phụ thuộc vào quan hệ pháp lý, hợp đồng, chủ thể sáng tạo, việc chuyển giao quyền và từng thành phần của hệ thống. Một nền tảng hiện đại có thể chứa đồng thời mã nguồn do nhân viên phát triển, thành phần của nhà cung cấp, thư viện mã nguồn mở, phần mềm thương mại, giao diện lập trình ứng dụng, dịch vụ điện toán đám mây, dữ liệu và mô hình AI. Mục tiêu pháp lý vì vậy không nhất thiết là “sở hữu tất cả”, mà là bảo đảm doanh nghiệp có đủ quyền cần thiết cho mục tiêu sử dụng và mức độ tự chủ mà mình lựa chọn.

Góc nhìn MIBI:

Đối với công nghệ quan trọng, doanh nghiệp không nên chỉ xác định ai sở hữu mã nguồn mà cần xác định toàn bộ các quyền cần thiết để duy trì, sửa đổi, chuyển giao và tiếp tục khai thác hệ thống.

Nếu nhà cung cấp dừng phục vụ mà doanh nghiệp không thể tiếp tục vận hành, vấn đề không còn chỉ là sở hữu trí tuệ; đó là rủi ro về tính liên tục kinh doanh.

7. Người dùng đã bấm “đồng ý” không có nghĩa toàn bộ quá trình giao dịch đã phù hợp pháp luật

Trong sản phẩm số, đội sản phẩm thường được yêu cầu giảm số bước và tăng tỷ lệ hoàn thành giao dịch. Đây là mục tiêu kinh doanh chính đáng. Tuy nhiên, một số thay đổi về trải nghiệm người dùng có thể đồng thời làm thay đổi cách doanh nghiệp thực hiện nghĩa vụ pháp lý. Giả sử quy trình mua dịch vụ được rút từ năm bước xuống hai bước. Nhưng để đạt được kết quả đó, một khoản phí quan trọng chỉ xuất hiện ở bước cuối, điều kiện gia hạn trở nên khó nhận biết hoặc nhiều mục đích xử lý dữ liệu được gộp vào một lựa chọn. Khi đó, vấn đề không còn chỉ là thiết kế giao diện hay trải nghiệm người dùng.

Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15, có hiệu lực từ ngày 01/07/2024, hiện được hợp nhất tại Văn bản hợp nhất số 47/VBHN-VPQH ngày 17/03/2026. Đối với giao dịch từ xa với người tiêu dùng, Điều 37 đặt ra nghĩa vụ cung cấp thông tin; Điều 38 quy định về công cụ, biện pháp để người tiêu dùng nghiên cứu nội dung, trao đổi, xác nhận đồng ý và thực hiện các quyền liên quan trong giao dịch từ xa. Luật Thương mại điện tử số 122/2025/QH15 có hiệu lực từ ngày 01/07/2026. Điều 12, đối với nền tảng thương mại điện tử có chức năng đặt hàng trực tuyến thuộc phạm vi điều chỉnh, đặt ra các yêu cầu liên quan đến nội dung giao kết, thông tin hàng hóa hoặc dịch vụ, chi phí, thanh toán và cơ chế để người mua xem xét thông tin trước khi đặt hàng.

Không nên từ đó suy rộng rằng mọi website hoặc ứng dụng đều chịu cùng một tập hợp nghĩa vụ. Phạm vi áp dụng phụ thuộc vào loại giao dịch, chức năng nền tảng và vai trò của doanh nghiệp. Tuy nhiên, trong môi trường số, giao diện có thể chính là nơi doanh nghiệp cung cấp thông tin, thu thập dữ liệu, ghi nhận ý chí và tổ chức giao kết. Một bộ điều khoản được soạn đúng ở phía sau chưa chắc giải quyết được vấn đề nếu người dùng không được tiếp cận thông tin đúng thời điểm.

Góc nhìn MIBI:

Doanh nghiệp không nên coi giao diện là một lớp kỹ thuật hoàn toàn nằm ngoài phạm vi rà soát pháp lý. Nhưng cũng không cần đưa mọi thay đổi về giao diện hoặc trải nghiệm người dùng qua pháp chế. Điều cần thiết là xác định đúng những thay đổi làm ảnh hưởng đến thông tin, dữ liệu, cách thể hiện ý chí hoặc quyền và nghĩa vụ của người dùng để kích hoạt bước rà soát phù hợp.

Việc hệ thống ghi nhận một cú nhấp chuột chỉ chứng minh người dùng đã thực hiện thao tác đó; nó không tự chứng minh toàn bộ quá trình hình thành sự đồng ý hoặc giao dịch trước đó đã đáp ứng pháp luật.

Vấn đề không phải là đưa thêm việc lên CEO, mà là xác định đúng ranh giới thẩm quyền

Các phân tích trên không dẫn đến kết luận rằng Ban điều hành phải tham gia vào hầu hết quyết định công nghệ. Một cơ chế mà CEO phải duyệt từng thay đổi hệ thống vừa làm chậm hoạt động vừa làm mờ trách nhiệm của người có chuyên môn. Vấn đề cũng không phải là bổ sung thêm một tầng pháp chế vào mọi quy trình IT. Doanh nghiệp cần xác định trường hợp nào IT được tự quyết, trường hợp nào cần đánh giá pháp lý và trường hợp nào cần được đưa đến cấp có thẩm quyền để quyết định trước khi triển khai.

Đơn vị nghiệp vụ chịu trách nhiệm về mục tiêu kinh doanh. IT chịu trách nhiệm về khả năng và phương án kỹ thuật. Pháp chế hoặc tuân thủ tham gia khi quyết định chạm tới quyền, nghĩa vụ hoặc giới hạn pháp luật. Khi vấn đề vượt khỏi phạm vi mà từng bộ phận được quyền tự quyết, quyết định phải được đưa đến cấp quản trị tương ứng.

Khoảng trống MIBI cho rằng doanh nghiệp cần quan tâm nhất không hẳn là thiếu kỹ sư hay thiếu luật sư. Đó là thiếu cơ chế nối đánh giá kỹ thuật, đánh giá pháp lý và quyết định kinh doanh thành một quyết định thống nhất.

MIBI đề xuất bắt đầu bằng “Bản đồ quyết định pháp lý về công nghệ”

Đối với doanh nghiệp chưa có hệ thống quản trị pháp lý công nghệ hoàn chỉnh, MIBI không cho rằng bước đầu tiên nhất thiết phải là ban hành thêm một bộ quy chế dài. Quy chế chỉ có ý nghĩa khi doanh nghiệp đã biết mình cần kiểm soát quyết định nào. Doanh nghiệp có thể bắt đầu từ một nhóm nhỏ các quyết định công nghệ trọng yếu hoặc thường xuyên phát sinh, chẳng hạn: thay đổi mục đích sử dụng dữ liệu, đưa dữ liệu cho bên thứ ba, triển khai một trường hợp sử dụng AI mới, chuyển dữ liệu ra nước ngoài, mở rộng quyền ký điện tử, thuê ngoài một hệ thống trọng yếu hoặc thay đổi cơ chế đồng ý trên sản phẩm số.

Đối với mỗi quyết định, doanh nghiệp cần trả lời bốn câu hỏi: ai có quyền đề xuất; ai đánh giá kỹ thuật; khi nào cần rà soát pháp lý; và cấp nào có quyền đưa ra quyết định cuối cùng. Sau khi bản đồ này được hình thành, doanh nghiệp mới quyết định vấn đề nào cần quy trình chính thức, vấn đề nào chỉ cần checklist và vấn đề nào có thể giao hoàn toàn cho IT hoặc đơn vị nghiệp vụ tự chủ.

Góc nhìn chung của Hãng luật MIBI

Hãng luật MIBI không cho rằng quản trị pháp lý công nghệ đồng nghĩa với việc đưa pháp chế vào mọi quy trình của IT. Cách làm đó có thể làm tăng thủ tục nhưng chưa chắc giải quyết đúng rủi ro.Điều quan trọng hơn là xác định đúng các “điểm chuyển”: thời điểm một quyết định kỹ thuật bắt đầu làm thay đổi mục đích sử dụng dữ liệu, thẩm quyền của người sử dụng, nghĩa vụ với khách hàng, mức phụ thuộc vào nhà cung cấp hoặc mức rủi ro mà doanh nghiệp phải đối mặt.

MIBI đề xuất doanh nghiệp xây dựng một Bản đồ quyết định pháp lý về công nghệ, trong đó xác định rõ đối với từng nhóm quyết định: ai được đề xuất, ai đánh giá kỹ thuật, khi nào cần rà soát pháp lý và cấp nào có quyền quyết định. Nếu được thiết kế đúng, cách tiếp cận này giúp IT biết rõ phạm vi được tự chủ; pháp chế và tuân thủ biết đúng thời điểm cần tham gia; đơn vị nghiệp vụ hiểu trách nhiệm của mình; và Ban điều hành chỉ phải xử lý những vấn đề thực sự cần quyết định ở cấp quản trị. Theo MIBI, đó mới là mục tiêu của quản trị pháp lý công nghệ: không phải đưa mọi quyết định lên trên, mà là đưa đúng quyết định đến đúng người trước khi rủi ro phát sinh.

Căn cứ pháp lý chính

Bài viết được cập nhật theo pháp luật hiện hành tại ngày 12/09/2026.

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026.
• Nghị định 356/2025/NĐ-CP, có hiệu lực từ ngày 01/01/2026.
• Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 01/07/2026.
• Nghị định 331/2026/NĐ-CP, có hiệu lực từ ngày 19/08/2026.
• Luật Trí tuệ nhân tạo số 134/2025/QH15, có hiệu lực từ ngày 01/03/2026.
• Nghị định 142/2026/NĐ-CP, có hiệu lực từ ngày 01/05/2026.
• Văn bản hợp nhất số 36/VBHN-VPQH ngày 13/03/2026 hợp nhất Luật Giao dịch điện tử.
• Bộ luật Dân sự số 91/2015/QH13, có hiệu lực từ ngày 01/01/2017.
• Văn bản hợp nhất số 67/VBHN-VPQH ngày 23/03/2026 hợp nhất Luật Sở hữu trí tuệ.
• Văn bản hợp nhất số 47/VBHN-VPQH ngày 17/03/2026 hợp nhất Luật Bảo vệ quyền lợi người tiêu dùng (Luật số 19/2023/QH15 có hiệu lực từ ngày 01/07/2024).
• Luật Thương mại điện tử số 122/2025/QH15, có hiệu lực từ ngày 01/07/2026.

MIBI có thể hỗ trợ doanh nghiệp như thế nào?

MIBI có thể cùng doanh nghiệp xây dựng Bản đồ quyết định pháp lý về công nghệ cho các nhóm dữ liệu, AI, điện toán đám mây, giao dịch điện tử và nhà cung cấp công nghệ. Qua đó, doanh nghiệp có thể xác định rõ điểm nào IT được tự chủ, điểm nào cần rà soát pháp lý và điểm nào cần được đưa đến cấp có thẩm quyền để quyết định. Trên cơ sở bản đồ này, doanh nghiệp có thể tiếp tục xây dựng quy trình, checklist hoặc ma trận phân quyền phù hợp với quy mô, mô hình kinh doanh và mức độ rủi ro thực tế, thay vì áp dụng một bộ thủ tục giống nhau cho mọi hoạt động công nghệ.

Nếu có bất kỳ thắc mắc hoặc cần tư vấn chuyên sâu hơn, hãy liên hệ Hãng luật MIBI TẠI ĐÂY hoặc qua số Hotline, Email để trao đổi về phạm vi rà soát phù hợp với doanh nghiệp. Mời bạn theo dõi Fanpage và Youtube của chúng tôi để cập nhật các thông tin pháp luật mới nhất.

Hotline/Zalo: 0866.155.669 Email: info@mibilaw.vn

Quy tắc sử dụng các bài viết trên website này:

(i) Bài viết trên website thuộc bản quyền của Hãng luật MIBI. Mọi sao chép, trích dẫn (nếu có) cần được ghi rõ nguồn.

(ii) Bài viết trên website chỉ dành cho mục đích tham khảo, tra cứu. Hãng luật MIBI không khuyến nghị Quý khách hàng tự động áp dụng trong mọi trường hợp. Đồng thời, chúng tôi không chịu trách nhiệm về những trường hợp tự áp dụng mà không có tư vấn của luật sư.

Bản đồ pháp lý công nghệ 2026: 7 vùng rủi ro doanh nghiệp cần nhìn thấy

by mibi_content | Sep 8, 2026 | Công nghệ số và An ninh mạng, Bản tin mới

Pháp lý công nghệ không chỉ là vấn đề của các công ty công nghệ. Chỉ cần doanh nghiệp có nhân viên, khách hàng, sử dụng phần mềm quản trị, lưu dữ liệu trên điện toán đám mây, vận hành website, giao dịch điện tử hoặc sử dụng trí tuệ nhân tạo, các nghĩa vụ và rủi ro pháp lý về công nghệ đã có thể phát sinh. Vì vậy, câu hỏi quan trọng không còn là “Doanh nghiệp của tôi có phải công ty công nghệ hay không?”, mà là:

Công nghệ đang tham gia vào những hoạt động kinh doanh nào của doanh nghiệp, và mỗi hoạt động đó tạo ra những nghĩa vụ, trách nhiệm và rủi ro pháp lý nào?

Trong giai đoạn 2025-2026, nhiều lớp pháp luật quan trọng về dữ liệu, bảo vệ dữ liệu cá nhân, trí tuệ nhân tạo, an ninh mạng, thương mại điện tử và công nghiệp công nghệ số đã lần lượt có hiệu lực. Pháp lý công nghệ vì thế ngày càng trở thành một phần của quản trị doanh nghiệp, chứ không còn là vấn đề riêng của bộ phận công nghệ thông tin.

Bản đồ pháp lý công nghệ 2026 gồm những vùng nào?

1. Một doanh nghiệp bình thường đã trở thành “doanh nghiệp số” như thế nào?

Hãy hình dung Công ty A, một doanh nghiệp phân phối có khoảng 50 nhân sự.

Công ty A không phát triển phần mềm, không có trung tâm dữ liệu và không kinh doanh trí tuệ nhân tạo. Tuy nhiên, trong hoạt động hằng ngày, nhân viên sử dụng Microsoft 365; bộ phận nhân sự lưu hồ sơ và thông tin tài khoản của người lao động; văn phòng sử dụng camera và chấm công sinh trắc học; bộ phận kinh doanh sử dụng hệ thống quản lý quan hệ khách hàng; đơn hàng đến từ website và mạng xã hội; kế toán sử dụng phần mềm trên điện toán đám mây; một số hợp đồng được ký điện tử; website do một đơn vị bên ngoài quản trị; và nhân viên đã bắt đầu sử dụng ChatGPT, Gemini hoặc những công cụ AI khác.

Công ty A có phải doanh nghiệp công nghệ không? Không.

Nhưng Công ty A đã chạm tới hầu hết các vùng pháp lý về dữ liệu, an ninh mạng, nhà cung cấp công nghệ, giao dịch điện tử, thương mại điện tử, trí tuệ nhân tạo và sở hữu trí tuệ.

Quá trình số hóa hoạt động kinh doanh đang diễn ra nhanh hơn quá trình doanh nghiệp nhận diện các nghĩa vụ pháp lý đi kèm.

Một phần mềm thường được lựa chọn dựa trên tính năng, giá và thời gian triển khai. Dịch vụ điện toán đám mây được đánh giá dựa trên chi phí và độ ổn định. Công cụ AI được sử dụng vì giúp nhân viên xử lý công việc nhanh hơn.

Nhưng từ góc độ pháp lý, cùng những quyết định đó có thể làm thay đổi nơi dữ liệu được xử lý, người có quyền truy cập, trách nhiệm của doanh nghiệp với khách hàng, khả năng chứng minh giao dịch, quyền đối với tài sản được tạo ra và mức độ phụ thuộc vào nhà cung cấp.

2. Không phải mọi doanh nghiệp đều có cùng nghĩa vụ

Việc nhận diện bảy vùng rủi ro dưới đây không có nghĩa mọi doanh nghiệp phải thực hiện toàn bộ nghĩa vụ giống nhau. Có thể hình dung phạm vi tác động qua ba lớp:

• Lớp nền tảng: dữ liệu, an ninh mạng, giao dịch điện tử, quyền đối với tài sản công nghệ;
• Lớp theo hoạt động: sử dụng AI, bán hàng qua website, dùng điện toán đám mây, sinh trắc học, chuyển dữ liệu cho nhà cung cấp, vận hành nền tảng số;
• Lớp chuyên ngành: ngân hàng, chứng khoán, bảo hiểm, viễn thông, y tế, giáo dục và các lĩnh vực có yêu cầu riêng.

Trước khi kết luận một nghĩa vụ là “bắt buộc”, cần xác định ít nhất bốn yếu tố: chủ thể áp dụng, hoạt động làm phát sinh nghĩa vụ, dữ liệu/hệ thống thuộc phạm vi và điều kiện hoặc ngoại lệ liên quan.

Không phải cứ sử dụng một công nghệ là mọi nghĩa vụ của một đạo luật đều tự động áp dụng.

3. Bảy vùng rủi ro pháp lý công nghệ

Vùng 1 – Dữ liệu và dữ liệu cá nhân

Gần như mọi doanh nghiệp đều bắt đầu từ dữ liệu: hồ sơ ứng viên, căn cước, thông tin lương, tài khoản ngân hàng, dữ liệu chấm công, hình ảnh camera, số điện thoại khách hàng, lịch sử giao dịch, dữ liệu trong hệ thống quản lý khách hàng hoặc thông tin thu thập qua website.

Luật Bảo vệ dữ liệu cá nhân không chỉ điều chỉnh sự đồng ý. Điều 9 quy định điều kiện của sự đồng ý; Điều 19 đồng thời quy định những trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý. Tùy trường hợp, doanh nghiệp còn phải xem xét hoạt động chuyển dữ liệu cá nhân xuyên biên giới, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và việc cập nhật các hồ sơ này theo Điều 20, Điều 21 và Điều 22. Đối với dữ liệu cá nhân nhạy cảm, Nghị định 356/2025/NĐ-CP xác định danh mục tại Điều 4. Vì vậy những hoạt động liên quan đến dữ liệu sinh trắc học hoặc các nhóm dữ liệu nhạy cảm khác cần được nhận diện và quản trị thận trọng hơn.

Câu hỏi đầu tiên không nên là “doanh nghiệp đã có chính sách bảo vệ dữ liệu cá nhân chưa?” mà nên là:

Doanh nghiệp đang có dữ liệu gì, của ai, lấy từ đâu, dùng cho mục đích gì, nằm trong hệ thống nào, được chia sẻ cho ai và lưu giữ đến bao giờ?

Dấu hiệu cần rà soát: cơ sở dữ liệu khách hàng gửi qua ứng dụng nhắn tin; không rõ nhà cung cấp đang xử lý dữ liệu ở đâu; dữ liệu người lao động không có thời hạn lưu giữ rõ; nhà cung cấp tiếp thị nhận toàn bộ danh sách khách hàng nhưng hợp đồng chỉ có điều khoản bảo mật chung.

MIBI khuyến nghị: Kiểm kê dữ liệu → Lập bản đồ dòng dữ liệu → Đánh giá khoảng trống tuân thủ.

Góc nhìn MIBI: Rủi ro dữ liệu thường xuất hiện trước khi chính sách bảo vệ dữ liệu được viết mà từ lúc doanh nghiệp không biết chính xác mình đang có dữ liệu gì và dữ liệu đang đi đâu.

Vùng 2 – An ninh mạng và hệ thống thông tin

Email, website, hệ thống quản trị doanh nghiệp, phần mềm kế toán, máy tính nhân viên, mạng không dây, máy chủ và điện toán đám mây đều là những thành phần doanh nghiệp phụ thuộc hằng ngày.

Nghị định 331/2026/NĐ-CP xác định chủ quản hệ thống thông tin đối với doanh nghiệp và tổ chức khác tại Điều 4; Điều 31 quy định trách nhiệm của chủ quản hệ thống thông tin, trong đó có việc tổ chức xác định cấp độ, quản lý rủi ro, kiểm tra đánh giá và báo cáo sự cố theo trường hợp áp dụng.

Vì vậy, an ninh mạng không chỉ là câu hỏi “đã mua phần mềm bảo mật hay chưa”. Doanh nghiệp cần biết mình đang vận hành những hệ thống nào, ai chịu trách nhiệm, quyền truy cập được quản lý ra sao, hệ thống nào quan trọng, nhà cung cấp được truy cập đến đâu và khi có sự cố thì ai xử lý. Không phải mọi hệ thống chịu cùng một cấp độ yêu cầu. Nghị định 331 thiết kế cơ chế bảo đảm an ninh mạng theo cấp độ. Việc áp dụng phải dựa trên hệ thống và trường hợp cụ thể, không nên biến thành một danh sách kiểm tra giống nhau cho mọi doanh nghiệp.

MIBI khuyến nghị: Kiểm kê hệ thống → Xác định người chịu trách nhiệm → Xếp hạng ưu tiên rủi ro.

Góc nhìn MIBI: An ninh mạng không chỉ là khả năng ngăn chặn tấn công. Từ góc độ pháp lý và quản trị, doanh nghiệp còn phải tổ chức được trách nhiệm, biện pháp kiểm soát và khả năng chứng minh.

Vùng 3 – Điện toán đám mây, SaaS và nhà cung cấp

Doanh nghiệp nhỏ và vừa ngày càng phụ thuộc vào nhà cung cấp: Microsoft 365, Google Workspace, phần mềm kế toán, hệ thống quản lý khách hàng, nhân sự, camera, tổng đài, website và hợp đồng điện tử. Doanh nghiệp cần phân biệt trách nhiệm cung cấp dịch vụ của nhà cung cấp với nghĩa vụ mà pháp luật trực tiếp đặt lên chính doanh nghiệp. Việc phân bổ trách nhiệm bằng hợp đồng không nên được hiểu là doanh nghiệp mặc nhiên được giải phóng khỏi mọi nghĩa vụ luật định. Trước khi ký hoặc gia hạn hợp đồng điện toán đám mây hoặc phần mềm cung cấp dưới dạng dịch vụ (SaaS), nên kiểm tra loại dữ liệu chuyển cho nhà cung cấp, bên phụ trợ, trách nhiệm khi xảy ra sự cố, quyền kiểm tra, việc hoàn trả/xóa dữ liệu và khả năng chuyển sang nhà cung cấp khác.

Không có một luật duy nhất về điện toán đám mây áp dụng chung cho mọi doanh nghiệp. Rủi ro pháp lý thường nằm tại giao điểm giữa hợp đồng, dữ liệu, bảo vệ dữ liệu cá nhân, an ninh mạng, sở hữu trí tuệ và quy định chuyên ngành.

MIBI khuyến nghị: Lập danh mục nhà cung cấp → Phân loại mức độ rủi ro → Rà soát hợp đồng.

Góc nhìn MIBI: Thuê ngoài công nghệ có thể chuyển một phần công việc vận hành, nhưng không mặc nhiên chuyển toàn bộ trách nhiệm pháp lý của doanh nghiệp sang nhà cung cấp.

Vùng 4 – Giao dịch điện tử và chứng cứ số

Một giao dịch có thể hình thành qua email, được phê duyệt trên hệ thống quản trị, xác nhận bằng mã dùng một lần hoặc ký trên nền tảng hợp đồng điện tử.

Theo Điều 11 Luật Giao dịch điện tử 20/2023/QH15, thông điệp dữ liệu được sử dụng làm chứng cứ và giá trị chứng cứ được xem xét dựa trên độ tin cậy của cách thức khởi tạo, gửi, nhận, lưu trữ, khả năng duy trì tính toàn vẹn và xác định chủ thể. Điều 23 quy định giá trị pháp lý của chữ ký điện tử theo điều kiện luật định.

Do đó, câu hỏi quan trọng không chỉ là “có được ký điện tử không?” mà là:

Nếu sau hai năm xảy ra tranh chấp, doanh nghiệp có chứng minh được ai đã chấp thuận nội dung nào, người đó có thẩm quyền hay không, vào thời điểm nào và nội dung có bị thay đổi hay không?

Một giao dịch số nên được nhìn theo chuỗi: Danh tính → Thẩm quyền → Xác thực → Tính toàn vẹn → Nhật ký truy vết → Lưu trữ.

Góc nhìn MIBI: Số hóa giao dịch không chỉ là thay chữ ký bút bằng một hình thức ký điện tử. Doanh nghiệp cần số hóa cả chuỗi chứng minh giao dịch.

Vùng 5 – Website, thương mại điện tử và khách hàng

Website bán hàng, mạng xã hội, phát trực tiếp, tiếp thị liên kết, biểu mẫu thu thập khách hàng tiềm năng, tin nhắn và thư điện tử tiếp thị đều có thể là một phần của quá trình bán hàng.

Trong giao dịch từ xa, Điều 37 Luật Bảo vệ quyền lợi người tiêu dùng 19/2023/QH15 yêu cầu tổ chức, cá nhân kinh doanh cung cấp chính xác, đầy đủ nhiều nhóm thông tin trước giao dịch; Điều 38 điều chỉnh việc giao kết hợp đồng từ xa; Điều 39 quy định trách nhiệm trong giao dịch trên không gian mạng.

Luật Thương mại điện tử 122/2025/QH15 tiếp tục phân định trách nhiệm theo vai trò của các chủ thể. Ví dụ, Điều 21 quy định trách nhiệm của người bán trên nền tảng thương mại điện tử trung gian và mạng xã hội có hoạt động thương mại điện tử.

Vì vậy, câu hỏi đầu tiên cần xác định là:

Doanh nghiệp đang đóng vai trò gì trong giao dịch?

Website bán sản phẩm của chính doanh nghiệp không đồng nghĩa với sàn giao dịch. Người bán trên nền tảng cũng không có cùng nghĩa vụ với chủ thể vận hành nền tảng. Doanh nghiệp nên rà soát toàn bộ hành trình khách hàng: quảng cáo → thu thập thông tin → cung cấp thông tin → đặt hàng → thanh toán → giao hàng → khiếu nại → hậu mãi → tiếp tục tiếp thị.

MIBI khuyến nghị: Lập bản đồ hành trình khách hàng → Xác định điểm chạm pháp lý → Rà soát điều khoản và nội dung.

Góc nhìn MIBI: Mỗi bước doanh nghiệp làm cho quá trình mua hàng thuận tiện hơn cũng nên được kiểm tra xem có đồng thời tạo thêm rủi ro pháp lý hay không.

Vùng 6 – Trí tuệ nhân tạo

AI có thể đã đi vào doanh nghiệp từ dưới lên trước khi ban lãnh đạo ban hành một chính sách chính thức: nhân viên dùng ChatGPT, AI tóm tắt cuộc họp, trợ lý viết mã, AI hỗ trợ bán hàng hoặc sàng lọc hồ sơ.

Điều 9 Luật Trí tuệ nhân tạo 134/2025/QH15 phân loại hệ thống theo mức rủi ro cao, trung bình và thấp. Nghị định 142/2026/NĐ-CP chi tiết hóa việc phân loại; Quyết định 33/2026/QĐ-TTg ban hành Danh mục hệ thống AI có rủi ro cao và có hiệu lực từ 15/08/2026.

Do đó, sẽ không chính xác nếu kết luận rằng “doanh nghiệp dùng ChatGPT tức là đang sử dụng AI rủi ro cao”. Cần xác định hệ thống nào, mục đích gì, dữ liệu gì được sử dụng, doanh nghiệp đóng vai trò nào và AI đang tham gia quyết định gì. Những rủi ro thực tế thường bắt đầu từ việc đưa tài liệu mật lên công cụ AI công cộng, nhập dữ liệu khách hàng vào câu lệnh, để AI tham gia quyết định nhân sự mà không có người kiểm tra hoặc sử dụng tính năng AI do nhà cung cấp bổ sung mà chưa rà soát điều kiện xử lý dữ liệu.

MIBI khuyến nghị: Kiểm kê AI → Đánh giá rủi ro → Xây dựng quy tắc và biện pháp kiểm soát.

Góc nhìn MIBI: Chính sách AI nên là kết quả của việc doanh nghiệp biết mình đang sử dụng AI nào, với dữ liệu gì và rủi ro nằm ở đâu – thay vì là điểm khởi đầu.

Vùng 7 – Sở hữu trí tuệ và tài sản công nghệ

Doanh nghiệp thường thuê bên ngoài xây website, ứng dụng, phần mềm, logo, video, giao diện, chatbot hoặc nội dung số.

Nhưng câu hỏi “đã thanh toán đầy đủ chưa?” không tự động trả lời được câu hỏi “doanh nghiệp có những quyền gì?”

Điều 39 Luật Sở hữu trí tuệ quy định về chủ sở hữu quyền tác giả trong trường hợp tổ chức giao nhiệm vụ hoặc tổ chức, cá nhân giao kết hợp đồng với tác giả, với nguyên tắc “trừ trường hợp có thỏa thuận khác”. Vì vậy, không nên mặc định rằng thuê nhà cung cấp thì mọi quyền luôn thuộc nhà cung cấp, cũng không nên mặc định rằng đã trả tiền thì toàn bộ quyền đương nhiên thuộc khách hàng.

Doanh nghiệp nên kiểm tra: Tài sản → Chủ sở hữu → Phạm vi quyền sử dụng → Quyền của bên thứ ba → Khả năng chuyển giao → Phương án khi chấm dứt.

Dấu hiệu cần lưu ý gồm tên miền đứng tên đơn vị thiết kế, kho mã nguồn nằm trong tài khoản của nhà cung cấp, hợp đồng không quy định bàn giao mã nguồn, thành phần nguồn mở không được kiểm kê hoặc hình ảnh/nội dung của bên thứ ba không rõ quyền sử dụng.

Góc nhìn MIBI: Giá trị của tài sản công nghệ không chỉ nằm ở việc doanh nghiệp được sử dụng nó hôm nay, mà còn ở khả năng kiểm soát, sửa đổi, chuyển giao và tiếp tục sử dụng nó ngày mai.

4. Một quyết định kinh doanh có thể đi qua nhiều vùng pháp lý

Giả sử Công ty A mua một phần mềm AI cung cấp dưới dạng dịch vụ để đọc và phân loại hồ sơ khách hàng.

Từ góc độ nghiệp vụ, đây có thể chỉ là dự án giúp giảm thời gian xử lý. Nhưng từ góc độ pháp lý, ít nhất sáu nhóm câu hỏi đồng thời xuất hiện:

• AI: hệ thống gì, mục đích gì, mức độ rủi ro nào, con người giám sát ra sao?
• Dữ liệu cá nhân: hồ sơ chứa dữ liệu gì, mục đích và cơ sở xử lý là gì?
• Nhà cung cấp/điện toán đám mây: ai xử lý dữ liệu, có bên phụ trợ nào, doanh nghiệp có quyền kiểm tra gì?
• An ninh mạng: ai được truy cập và sự cố được xử lý như thế nào?
• Hợp đồng: trách nhiệm, thay đổi dịch vụ, chấm dứt và chuyển đổi nhà cung cấp được xử lý ra sao?
• Sở hữu trí tuệ: dữ liệu đầu vào, kết quả đầu ra và thành phần của bên thứ ba thuộc quyền của ai?

Nếu cấu trúc xử lý làm phát sinh trường hợp chuyển dữ liệu cá nhân xuyên biên giới theo Điều 20 Luật Bảo vệ dữ liệu cá nhân, doanh nghiệp cần tiếp tục xác định nghĩa vụ và ngoại lệ tương ứng; không nên suy luận chỉ từ vị trí vật lý của máy chủ.

Pháp lý công nghệ nên được nhìn từ quyết định kinh doanh và các lớp pháp luật giao nhau quanh quyết định đó – không phải từ từng đạo luật đứng riêng lẻ.

5. Doanh nghiệp nên bắt đầu rà soát pháp lý công nghệ từ đâu?

Doanh nghiệp không nhất thiết phải lập ngay một chương trình tuân thủ hàng trăm trang. Bước đầu quan trọng hơn là biết mình đang đứng ở đâu trên bản đồ.

Khung 5 câu hỏi MIBI về pháp lý công nghệ

1. KIỂM KÊ – Doanh nghiệp đang sử dụng những công nghệ nào?

2. PHẠM VI – Những dữ liệu, hệ thống, con người, khách hàng và quy trình nào bị tác động?

3. TRÁCH NHIỆM – Quy định nào thực sự áp dụng và ai chịu trách nhiệm?

4. BIỆN PHÁP KIỂM SOÁT – Doanh nghiệp đang kiểm soát rủi ro bằng chính sách, quy trình, phân quyền, hợp đồng hay biện pháp kỹ thuật nào?

5. BẰNG CHỨNG – Có gì chứng minh các biện pháp kiểm soát đó thực sự đang vận hành?

Không phải doanh nghiệp nào cũng cần giải quyết đồng thời cả bảy vùng. Doanh nghiệp thương mại nhỏ có thể ưu tiên dữ liệu, nhà cung cấp phần mềm, website và giao dịch điện tử; doanh nghiệp sản xuất có thể ưu tiên hệ thống vận hành, an ninh mạng, nhà cung cấp và tài sản công nghệ; ngân hàng hoặc fintech có thêm nhiều lớp yêu cầu chuyên ngành.

Một giải pháp pháp lý phù hợp phải bắt đầu từ hoạt động, quy mô, ngành nghề và mô hình vận hành thực tế của từng doanh nghiệp.

6. Từ tuân thủ đến năng lực kinh doanh

Trước đây, công nghệ thường được xem là quyết định của bộ phận công nghệ thông tin. Khi số hóa diễn ra sâu hơn, công nghệ trở thành quyết định kinh doanh. Và khi dữ liệu, AI, điện toán đám mây, giao dịch điện tử và nhà cung cấp công nghệ ngày càng trực tiếp tác động tới khách hàng, tài sản và hoạt động cốt lõi, quyết định công nghệ đồng thời trở thành quyết định về rủi ro và pháp lý.

Điều đó không có nghĩa mọi dự án phần mềm đều phải trở thành dự án pháp lý. Nhưng với những quyết định có tác động đáng kể tới dữ liệu, khách hàng, AI, hệ thống vận hành, giao dịch, tài sản công nghệ hoặc mức độ phụ thuộc vào nhà cung cấp, việc đặt câu hỏi pháp lý từ sớm thường hiệu quả hơn sửa chữa sau khi hệ thống đã triển khai.

Chi phí tuân thủ hiệu quả nhất thường là chi phí được đưa vào ngay từ lúc thiết kế quyết định – thay vì chi phí sửa sai sau khi công nghệ đã trở thành một phần của hoạt động kinh doanh.

BẢN ĐỒ PHÁP LÝ CÔNG NGHỆ MIBI 2026

Hãng luật MIBI xây dựng Bản đồ pháp lý công nghệ MIBI 2026 để giúp doanh nghiệp bước đầu nhận diện bảy vùng rủi ro và xác định khu vực cần ưu tiên rà soát.

Công nghệ nào đang được sử dụng → Dữ liệu và hệ thống nào bị tác động → Quy định nào áp dụng → Ai chịu trách nhiệm → Biện pháp kiểm soát nào đang có → Bằng chứng nào còn thiếu.

Nếu có bất kỳ thắc mắc hoặc cần tư vấn chuyên sâu hơn, hãy liên hệ Hãng luật MIBI TẠI ĐÂY hoặc qua số Hotline, Email để trao đổi về phạm vi rà soát phù hợp với doanh nghiệp. Mời bạn theo dõi Fanpage và Youtube của chúng tôi để cập nhật các thông tin pháp luật mới nhất.

Hotline/Zalo: 0866.155.669
Email: info@mibilaw.vn

Câu hỏi thường gặp

Pháp lý công nghệ có chỉ áp dụng cho công ty công nghệ không?

Không. Doanh nghiệp sản xuất, thương mại, dịch vụ hoặc bất động sản vẫn có thể chịu tác động nếu xử lý dữ liệu, sử dụng hệ thống thông tin, vận hành website, giao dịch điện tử, dùng AI hoặc thuê nhà cung cấp công nghệ.

Doanh nghiệp nhỏ có phải quan tâm đến bảo vệ dữ liệu cá nhân không?

Có thể có. Quy mô nhỏ không tự động loại doanh nghiệp khỏi phạm vi pháp luật bảo vệ dữ liệu cá nhân. Phải xác định hoạt động và vai trò xử lý dữ liệu cụ thể.

Thuê phần mềm điện toán đám mây có làm doanh nghiệp hết trách nhiệm pháp lý không?

Không nên hiểu như vậy. Hợp đồng có thể phân chia trách nhiệm, nhưng doanh nghiệp vẫn phải xác định nghĩa vụ pháp luật trực tiếp đặt lên mình.

Doanh nghiệp sử dụng ChatGPT có đồng nghĩa với sử dụng AI rủi ro cao không?

Không. Mức độ rủi ro phụ thuộc hệ thống, mục đích sử dụng, vai trò của chủ thể và tiêu chí pháp luật quy định.

Doanh nghiệp nên bắt đầu từ đâu?

MIBI khuyến nghị bắt đầu bằng 5 câu hỏi: Kiểm kê – Phạm vi – Trách nhiệm – Biện pháp kiểm soát – Bằng chứng.