Luật AI của Việt Nam đã có hiệu lực. Nhưng nếu chỉ nhìn nó như một tin pháp lý thì sẽ bỏ lỡ điều quan trọng hơn: AI giờ đã bước thẳng vào vùng giao nhau giữa quản trị rủi ro, an ninh mạng và vận hành doanh nghiệp.
Luật bắt đầu áp dụng từ ngày 1/3/2026. Sau đó, Bộ Khoa học và Công nghệ cũng đã nói rõ về triển khai, đào tạo và hướng dẫn thực hiện. Điều này quan trọng vì một đạo luật chỉ thật sự có ý nghĩa khi nó đi vào quy trình hằng ngày, chứ không chỉ nằm trên giấy hoặc trong bản tin.
Điểm cốt lõi là AI không hề đứng một mình. Nó chạy trên dữ liệu, hạ tầng đám mây, quyền truy cập, nhà cung cấp bên ngoài, nhật ký hệ thống và quy trình nội bộ. Nếu một trong những lớp đó yếu, AI sẽ khuếch đại rủi ro rất nhanh. Nếu những lớp đó được kiểm soát tốt, AI mới thật sự mang lại hiệu quả mà không mở thêm lỗ hổng.
Cách cơ quan quản lý Việt Nam mô tả luật này cũng cho thấy điều đó. Các từ khóa như kiểm soát rủi ro, ngăn chặn gian lận công nghệ cao và tăng cường cơ chế quản trị không phải là ngôn ngữ “trang trí”. Đó là ngôn ngữ an ninh. Nghĩa là từ góc nhìn của nhà quản lý, AI không chỉ là câu chuyện tăng trưởng, mà còn là câu chuyện phòng vệ.
Ở góc nhìn doanh nghiệp, nguy cơ lại càng dễ thấy. Một công cụ AI có thể viết email, tóm tắt tài liệu, trả lời khách hàng, tạo đề xuất hoặc hỗ trợ nội bộ. Nhưng cùng một công cụ đó cũng có thể bị dùng để giả mạo, lừa đảo, rò rỉ dữ liệu, tạo nội dung sai lệch hoặc đẩy một quyết định sai đi nhanh hơn rất nhiều. Khi sự cố xảy ra, vấn đề không còn là “chính sách AI” nữa mà là ứng cứu sự cố, kiểm soát truy cập, bảo vệ dữ liệu và giữ niềm tin của khách hàng.
Bối cảnh thị trường cũng không hề nhẹ. Các báo cáo gần đây về môi trường an ninh mạng tại Việt Nam cho thấy số lượng tấn công vẫn cao. Trong khi đó, tốc độ ứng dụng AI trong khu vực thường đi nhanh hơn tốc độ củng cố phòng thủ. Chính khoảng cách đó mới là nơi rủi ro lớn lên. Doanh nghiệp chạy nhanh quá sớm thường nghĩ mình đang tiết kiệm thời gian, nhưng thực tế là đang vay rủi ro của tương lai.
Vì vậy, bước đầu tiên không phải là “mua thêm AI”, mà là nhìn lại toàn bộ các điểm đang dùng AI trong công ty. Ai đang dùng? Dùng ở đâu? Nhập dữ liệu gì? Kết quả đi đâu? Có bị lưu lại, chia sẻ ra ngoài, hay dùng lại cho mục đích khác không? Nếu chưa trả lời được các câu này, doanh nghiệp chưa thật sự quản trị AI, mà mới chỉ đang tiêu dùng AI.
Tiếp theo là câu chuyện nhà cung cấp. Rất nhiều rủi ro AI đến từ bên thứ ba chứ không phải từ mô hình do doanh nghiệp tự xây. Vì vậy, cần kiểm tra AI vendor với cùng mức độ kỹ lưỡng như khi kiểm tra nhà cung cấp cloud hoặc hệ thống quan trọng khác. Họ có lưu dữ liệu hay không? Có log không? Có cam kết xóa dữ liệu không? Nếu xảy ra sự cố thì ai chịu trách nhiệm? Những câu hỏi này phải được trả lời trước khi đưa công cụ vào vận hành.
Một điểm nữa là con người vẫn phải nằm trong vòng kiểm soát. Bất cứ thứ gì ảnh hưởng đến khách hàng, giao dịch, hồ sơ pháp lý hay dữ liệu nhạy cảm đều không nên để AI tự quyết hoàn toàn. Cần có bước duyệt, có người chịu trách nhiệm, có nhật ký kiểm tra và có đường thoát nếu mô hình trả lời sai. Nếu không có các lớp đó, AI rất dễ trở thành một hộp đen nhanh nhưng khó kiểm soát.
Doanh nghiệp cũng nên tránh cách làm quen thuộc là đẩy AI cho một nhóm nhỏ rồi chờ họ “tự xử”. AI không phải chuyện riêng của bộ phận kỹ thuật. Pháp chế cần biết dữ liệu đi đâu. IT cần biết mô hình chạy ở đâu. An ninh cần biết log và quyền truy cập. Mua sắm cần biết điều khoản của nhà cung cấp. Bộ phận nghiệp vụ cần biết giới hạn sử dụng. Khi các nhóm làm việc rời rạc, rủi ro sẽ len vào chính khoảng trống giữa họ.
Vậy nên ý nghĩa lớn nhất của Luật AI Việt Nam không phải là làm chậm doanh nghiệp, mà là buộc doanh nghiệp trưởng thành hơn khi dùng AI. Nó yêu cầu công ty chuyển từ tư duy “dùng cho nhanh” sang tư duy “dùng có kiểm soát”. Tư duy này không hề làm doanh nghiệp chậm đi. Ngược lại, nó giúp doanh nghiệp đi nhanh mà ít sự cố hơn, ít tranh cãi hơn và ít phải sửa sai hơn.
Thực tế hơn nữa, doanh nghiệp nên bắt đầu bằng một danh sách AI thật sự hữu dụng. Không phải slide đẹp để trình bày, mà là danh sách trả lời được: ai đang dùng, dùng công cụ nào, dữ liệu nào đi vào, đầu ra đi đâu, có lưu log không, có người duyệt không, và có cách tắt khi cần không. Chỉ cần làm được bước này, công ty đã khác rất nhiều so với trạng thái “ai dùng gì thì dùng”.
Chính sách cũng phải cụ thể. Một câu như “hãy dùng AI có trách nhiệm” nghe hay nhưng chưa đủ để vận hành. Nhân viên cần quy tắc rõ ràng hơn: không đưa dữ liệu khách hàng vào công cụ công khai, nội dung bên ngoài phải được duyệt, AI của bên thứ ba phải được đánh giá trước khi mua, và bất kỳ ứng dụng nào chạm vào dữ liệu nhạy cảm đều phải có người chịu trách nhiệm rõ ràng. Chính sách càng cụ thể thì càng dễ làm thật.
Bộ phận an ninh cũng không nên chỉ xuất hiện ở phút cuối. AI nên được quản lý giống cloud, identity hay rủi ro nhà cung cấp: nhận diện rủi ro, đặt kiểm soát, kiểm tra kiểm soát có hoạt động không, rồi điều chỉnh lại khi việc sử dụng thực tế thay đổi. Bản kiểm soát đầu tiên sẽ không hoàn hảo, nhưng đó không phải vấn đề. Không có kiểm soát mới là vấn đề lớn.
Một lỗi phổ biến khác là nghĩ rằng rủi ro AI là chuyện của tương lai. Thực tế, nó thường đã có mặt trong công việc hằng ngày: một nhân viên dán nội dung nội bộ vào chatbot công khai, một đội kinh doanh dùng nội dung tạo sẵn mà không duyệt, một nhà cung cấp lưu dữ liệu nhiều hơn dự kiến, hoặc một mô hình tự tin trả lời sai nhưng không ai nhận ra kịp. Từng việc riêng lẻ có vẻ nhỏ, nhưng cộng lại nó thành một mặt tấn công mới.
Những công ty làm tốt sẽ hưởng lợi rõ ràng. Họ có thể duyệt use case nhanh hơn vì quy trình đã rõ. Họ có thể triển khai an toàn hơn vì đã biết ai chịu trách nhiệm. Họ cũng xây được niềm tin với khách hàng và đối tác vì AI của họ không tạo cảm giác phóng nhanh mà không phanh. Còn những công ty bỏ qua phần này thì sớm muộn cũng sẽ phát hiện ra rằng “rủi ro AI” thực chất chỉ là một cách nói khác của sự cố an ninh đang chờ xảy ra.
Nói ngắn gọn, Luật AI của Việt Nam không chỉ là câu chuyện tuân thủ. Nó là lời nhắc rất rõ rằng AI và an ninh mạng giờ đã là cùng một bài toán. Nếu doanh nghiệp muốn dùng AI lâu dài, an toàn và có lợi thật sự, thì phải xây quản trị ngay từ đầu, thay vì chờ sự cố rồi mới vá.
Và điều đó không làm doanh nghiệp chậm lại. Ngược lại, khi nguyên tắc đã rõ, việc phê duyệt sẽ nhanh hơn, triển khai sẽ ít tranh cãi hơn, và mọi người sẽ biết cách xử lý khi hệ thống không hoạt động đúng như mong muốn. Doanh nghiệp trưởng thành không phải là doanh nghiệp dùng AI ồn ào nhất, mà là doanh nghiệp dùng AI ổn định nhất.