Phân loại rủi ro hệ thống trí tuệ nhân tạo

Bài viết theo Luật Trí tuệ nhân tạo 134/2025/QH15 và Nghị định 142/2026/NĐ-CP, hiệu lực từ 1/5/2026

Doanh nghiệp đưa một công cụ trí tuệ nhân tạo ra thị trường, hoặc gắn nó vào sản phẩm của mình, giờ có một nghĩa vụ đứng trước cả việc bán hàng: tự phân loại mức độ rủi ro của hệ thống. Nghị định 142/2026/NĐ-CP hướng dẫn Luật Trí tuệ nhân tạo đặt ra ba mức rủi ro cùng bộ nghĩa vụ đi kèm.

Nắm nhanh

Ba mức: rủi ro cao, rủi ro trung bình, rủi ro thấp.
Nhà cung cấp tự phân loại trước khi đưa hệ thống vào sử dụng và chịu trách nhiệm về tính chính xác của kết quả.
Mức trung bình và cao phải lập hồ sơ phân loại và thông báo qua Cổng thông tin điện tử một cửa về trí tuệ nhân tạo.
Phân loại lại mà ra mức cao hơn thì thông báo trong 15 ngày làm việc kể từ ngày hoàn thành rà soát.

Ba mức rủi ro được xác định thế nào

Điều 6 dựng thang phân loại theo lối loại trừ dần, nên đọc từ trên xuống.

Mức	Cách xác định
Rủi ro cao	Hệ thống thuộc Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao do Thủ tướng Chính phủ ban hành
Rủi ro trung bình	Không thuộc danh mục trên, nhưng có khả năng gây nhầm lẫn, tác động hoặc thao túng người sử dụng do người dùng không nhận biết được mình đang tương tác với trí tuệ nhân tạo hoặc đang xem nội dung do hệ thống tạo ra
Rủi ro thấp	Các hệ thống còn lại

Phân loại áp cho hệ thống, không áp cho mô hình

Khoản 2 Điều 6 nói rõ việc phân loại chỉ áp dụng với hệ thống trí tuệ nhân tạo.

Mô hình trí tuệ nhân tạo chỉ bị kéo vào khi được dùng như một thành phần của một hệ thống cụ thể.

Ba trường hợp không xếp vào rủi ro trung bình

Khoản 3 Điều 9 gỡ bớt gánh nặng cho các công cụ phổ thông trong doanh nghiệp. Nhà cung cấp và bên triển khai không xếp hệ thống vào nhóm rủi ro trung bình khi thuộc một trong ba trường hợp sau.

Hệ thống chỉ hỗ trợ chỉnh sửa kỹ thuật để cải thiện hình thức nội dung, không tạo nội dung mới và không thay đổi danh tính của chủ thể.
Hệ thống hỗ trợ công việc văn phòng mà người dùng nhận biết rõ bản chất là công cụ trí tuệ nhân tạo qua bối cảnh sử dụng, và không có chức năng mô phỏng, giả lập gây nhầm lẫn về danh tính hay tính xác thực của sự kiện.
Hệ thống không tương tác, không cung cấp trực tiếp dịch vụ hoặc nội dung ra công chúng.

Ví dụ, một công cụ nội bộ dùng để tóm tắt tài liệu cho phòng kế toán thường rơi vào nhóm rủi ro thấp, còn một chatbot chăm sóc khách hàng nói chuyện như người thật thì phải cân nhắc mức trung bình.

Hồ sơ phân loại gồm những gì

Điều 12 buộc lập hồ sơ phân loại rủi ro với hệ thống mức cao và mức trung bình, trước khi đưa vào sử dụng. Bốn nhóm tài liệu tối thiểu.

Nhóm nội dung	Yêu cầu
Thông tin nhận diện	Tên hệ thống, phiên bản, mã định danh nội bộ hoặc mã do cơ quan nhà nước cấp, tên và địa chỉ liên hệ của nhà cung cấp
Mô tả hệ thống và bối cảnh	Mục đích sử dụng, chức năng chính, kiến trúc ở mức chức năng nghiệp vụ, phạm vi triển khai, nhóm người dùng và người bị ảnh hưởng
Thông tin về dữ liệu	Mô tả khái quát loại dữ liệu đầu vào chủ yếu để vận hành hệ thống
Quản lý rủi ro	Tóm tắt các biện pháp quản lý rủi ro, bảo đảm an toàn và tính minh bạch

Hai giới hạn bảo vệ bí mật kinh doanh

Khoản 4 Điều 12 khẳng định việc lập và cung cấp hồ sơ không buộc tiết lộ mã nguồn, bộ tham số mô hình, thuật toán chi tiết hay dữ liệu huấn luyện thô.

Doanh nghiệp phát triển sản phẩm trên nền tảng, mô hình hoặc dịch vụ của bên thứ ba chỉ phải cung cấp thông tin kỹ thuật và thông tin dữ liệu trong phạm vi quyền tiếp cận và kiểm soát hợp pháp của mình.

Thông báo ở đâu và nhận lại cái gì

Theo Điều 14, nhà cung cấp hệ thống mức trung bình và mức cao phải thông báo kết quả phân loại cho Bộ Khoa học và Công nghệ qua Cổng thông tin điện tử một cửa về trí tuệ nhân tạo, trước khi đưa hệ thống vào sử dụng. Cách gửi có hai lựa chọn: kê khai trực tiếp theo biểu mẫu điện tử trên cổng, hoặc gửi tự động qua giao diện lập trình ứng dụng.

Cổng ghi nhận thông tin tự động, cấp mã định danh hệ thống trí tuệ nhân tạo và gửi xác nhận điện tử ngay sau khi nhà cung cấp gửi xong. Cơ chế ở đây là tự kê khai và tự chịu trách nhiệm trước pháp luật về nội dung đã khai.

Khi nào phải phân loại lại

Điều 11 nêu bốn sự kiện buộc nhà cung cấp rà soát và phân loại lại.

Hệ thống thay đổi đáng kể về chức năng, mục đích sử dụng hoặc ngữ cảnh triển khai, làm ảnh hưởng tiêu chí phân loại ban đầu.
Xảy ra sự cố nghiêm trọng chứng minh mức rủi ro thực tế cao hơn mức đã phân loại.
Thủ tướng Chính phủ sửa đổi, bổ sung Danh mục hệ thống có rủi ro cao làm thay đổi mức rủi ro của hệ thống.
Cơ quan quản lý nhà nước có thẩm quyền yêu cầu bằng văn bản.

Bên triển khai cũng có phần việc. Nếu bên triển khai sửa đổi, tích hợp hoặc đổi chức năng làm phát sinh rủi ro mới hoặc rủi ro cao hơn so với công bố ban đầu, họ phải phối hợp với nhà cung cấp để phân loại lại. Kết quả cho ra mức cao hơn thì phải thông báo trong 15 ngày làm việc kể từ ngày hoàn thành rà soát.

Thêm gì khi rơi vào nhóm rủi ro cao

Nhóm này gánh hai lớp nghĩa vụ. Thứ nhất, đánh giá sự phù hợp trước khi đưa vào sử dụng theo Điều 13, và đánh giá lại khi có thay đổi đáng kể. Thứ hai, thiết lập và duy trì hệ thống quản lý rủi ro theo Điều 15.

Nội dung tối thiểu của hệ thống quản lý rủi ro	Diễn giải
Xác định và đánh giá rủi ro	Với quyền con người, an toàn, an ninh, lợi ích công cộng, trong cả khâu thiết kế, phát triển và cung cấp
Chất lượng dữ liệu	Bảo đảm tính phù hợp và tính đại diện của dữ liệu huấn luyện, kiểm thử và đánh giá
Con người trong vòng lặp	Thiết kế và duy trì cơ chế giám sát và can thiệp của con người tương xứng mức rủi ro
Biện pháp kiểm soát	Áp dụng biện pháp kỹ thuật hoặc quản lý để phòng ngừa, hạn chế các rủi ro đã xác định
Cập nhật	Rà soát lại biện pháp khi hệ thống thay đổi đáng kể về mô hình, dữ liệu, cách vận hành hoặc mục đích

Điều 13 cũng vạch ranh giới cho khái niệm thay đổi đáng kể. Cập nhật dữ liệu định kỳ, sửa lỗi kỹ thuật, tối ưu hiệu năng hay nâng cấp phiên bản mà không ảnh hưởng tới việc đáp ứng yêu cầu của luật thì không tính là thay đổi đáng kể, nên không phải đánh giá lại.

Xem thêm: Gắn nhãn nội dung do trí tuệ nhân tạo tạo ra: khi nào bắt buộc, khi nào được miễn

Xem thêm: Thử nghiệm có kiểm soát hệ thống trí tuệ nhân tạo: ba cấp độ, nộp cho ai và chờ bao lâu

Xem thêm: Khung đạo đức trí tuệ nhân tạo quốc gia: bốn nguyên tắc và việc cụ thể theo từng vai

Xem thêm: Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao và lộ trình tuân thủ

Việc cần làm

Lập danh sách các công cụ trí tuệ nhân tạo doanh nghiệp đang cung cấp ra ngoài hoặc gắn vào sản phẩm, tách riêng với công cụ dùng nội bộ.
Với mỗi công cụ, chạy thử thang ba mức để biết công cụ đó nằm ở đâu, rồi lập hồ sơ phân loại cho nhóm trung bình và cao.
Cử người theo dõi Danh mục hệ thống có rủi ro cao của Thủ tướng Chính phủ, vì danh mục thay đổi là mức rủi ro của sản phẩm có thể đổi theo.
Đưa mốc 15 ngày làm việc vào quy trình nội bộ, đếm từ ngày hoàn thành rà soát.

Công ty chỉ mua một phần mềm có tích hợp trí tuệ nhân tạo về dùng nội bộ thì có phải phân loại không

Nghĩa vụ tự phân loại đặt lên nhà cung cấp. Bên triển khai chỉ phải phối hợp phân loại lại khi họ sửa đổi, tích hợp hoặc đổi chức năng, mục đích sử dụng so với công bố ban đầu và việc đó làm phát sinh rủi ro mới hoặc rủi ro cao hơn.

Chatbot trả lời khách hàng trên website có phải rủi ro trung bình không

Phải xét theo tiêu chí ở điểm b khoản 1 Điều 9: hệ thống có khả năng gây nhầm lẫn do người dùng không nhận biết được mình đang nói chuyện với máy hay không. Một chatbot nói rõ mình là trợ lý ảo, không mô phỏng danh tính người thật, đứng ở vị thế khác một chatbot dựng giọng và tên của nhân viên thật.

Nâng cấp phiên bản có phải đánh giá sự phù hợp lại không

Khoản 1 Điều 13 loại trừ rõ: cập nhật dữ liệu định kỳ, sửa lỗi kỹ thuật, tối ưu hiệu năng và nâng cấp phiên bản mà không làm thay đổi việc đáp ứng các yêu cầu của Luật Trí tuệ nhân tạo thì không coi là thay đổi đáng kể.

Cơ quan nhà nước có bắt nộp mã nguồn để kiểm tra không

Khoản 4 Điều 12 quy định việc lập, cung cấp và quản lý hồ sơ phân loại rủi ro không bắt buộc nhà cung cấp tiết lộ mã nguồn, bộ tham số mô hình, thuật toán chi tiết hay dữ liệu huấn luyện thô.

Sản phẩm vừa là thiết bị y tế vừa có trí tuệ nhân tạo thì theo luật nào

Khoản 5 Điều 5 buộc tuân thủ pháp luật chuyên ngành của sản phẩm đó, đồng thời thực hiện các yêu cầu quản lý rủi ro đặc thù cho thành phần trí tuệ nhân tạo. Khoản 6 đặt nguyên tắc không trùng lặp giữa các cơ quan trong phân loại, đánh giá sự phù hợp và kiểm tra.