Việt Nam không cấp một giấy phép kinh doanh dịch vụ AI riêng lẻ, nhưng từ ngày 01/3/2026 Luật Trí tuệ nhân tạo số 134/2025/QH15 dựng một khung nghĩa vụ chạy theo mức rủi ro của hệ thống thay vì theo giấy phép. Nhà cung cấp có trách nhiệm tự phân loại hệ thống AI của mình vào nhóm rủi ro cao, trung bình hay thấp theo tiêu chí luật và hướng dẫn của Nghị định 142/2026/NĐ-CP, và nghĩa vụ tuân thủ bám theo kết quả phân loại đó: hệ thống rủi ro cao chịu yêu cầu về quản lý rủi ro, chất lượng dữ liệu, hồ sơ kỹ thuật, nhật ký hoạt động, giám sát của con người và đánh giá sự phù hợp trước khi đưa vào sử dụng, trong khi hệ thống rủi ro thấp chủ yếu chịu nghĩa vụ minh bạch cơ bản. Doanh nghiệp bán dịch vụ AI phải thực hiện việc phân loại này một cách có văn bản, vì khách hàng doanh nghiệp tại Việt Nam sẽ yêu cầu kết quả phân loại trong thẩm định nhà cung cấp.
Dịch vụ AI không có giấy phép riêng, nhưng có nghĩa vụ theo mức rủi ro
Nhà cung cấp nước ngoài cung cấp API AI cho doanh nghiệp Việt Nam chạm pháp lý Việt Nam ở bốn điểm dù không đặt máy chủ trong nước. Thứ nhất, Luật Trí tuệ nhân tạo 134/2025/QH15 áp dụng cho tổ chức nước ngoài tham gia hoạt động AI trên lãnh thổ Việt Nam, nên nghĩa vụ với hệ thống rủi ro cao không tránh được bằng cách đặt pháp nhân ở nước ngoài. Thứ hai, dòng tiền dịch vụ vào Việt Nam kích hoạt cơ chế thuế nhà thầu với nghĩa vụ khấu trừ của bên mua Việt Nam. Thứ ba, nếu dịch vụ thuộc nhóm dịch vụ số phải thông báo theo pháp luật viễn thông như điện toán đám mây, nghĩa vụ thông báo cung cấp dịch vụ xuyên biên giới có thể áp dụng. Thứ tư, hợp đồng với khách hàng Việt Nam vẫn chịu các đòi hỏi về bảo vệ dữ liệu và bồi hoàn sở hữu trí tuệ mà thị trường áp đặt qua đàm phán, bất kể điều khoản luật áp dụng ghi ở đâu.
Nhà cung cấp nước ngoài bán API vào Việt Nam: điểm chạm pháp lý thực tế
Ở lớp dữ liệu, nhà cung cấp AI xử lý dữ liệu cá nhân của người dùng cuối của khách hàng trong vai trò bên xử lý: chỉ xử lý theo chỉ thị của khách hàng là bên kiểm soát, áp dụng biện pháp bảo vệ tương xứng, thông báo sự cố trong thời hạn hợp đồng yêu cầu để khách hàng kịp hoàn thành nghĩa vụ thông báo theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, và không dùng dữ liệu khách hàng cho mục đích riêng như huấn luyện mô hình dùng chung nếu không có thỏa thuận riêng. Nghĩa vụ minh bạch với người dùng cuối, gồm cho biết họ đang tương tác với AI và gắn nhãn nội dung do AI tạo ra trong các trường hợp luật định, phải được phân bổ rõ trong hợp đồng là việc của nhà cung cấp ở lớp nền tảng hay của khách hàng ở lớp ứng dụng, vì bỏ trống điểm này khiến cả hai bên cùng tưởng bên kia đang làm.
Nghĩa vụ dữ liệu khi dịch vụ AI xử lý dữ liệu của người dùng cuối
Nhà cung cấp muốn bán bền vững vào thị trường doanh nghiệp Việt Nam nên đóng gói sẵn một bộ hồ sơ tuân thủ gồm: bản phân loại rủi ro của từng dịch vụ kèm căn cứ, mô tả biện pháp quản lý rủi ro và giám sát con người cho dịch vụ rủi ro cao, phụ lục xử lý dữ liệu theo chuẩn thị trường, cam kết về huấn luyện dữ liệu và vị trí lưu trữ dữ liệu, cùng đầu mối liên hệ sự cố hoạt động liên tục. Bộ hồ sơ này biến nghĩa vụ pháp lý thành lợi thế bán hàng, vì ở thị trường mà khách hàng phải tự chứng minh tuân thủ của chuỗi cung ứng của mình, nhà cung cấp trả lời được bằng tài liệu sẽ thắng nhà cung cấp chỉ trả lời bằng cam kết miệng.
Câu hỏi thường gặp
Công ty nước ngoài cung cấp API AI cho doanh nghiệp Việt Nam cần tuân thủ gì?
Phân loại rủi ro hệ thống và nghĩa vụ tương ứng theo Luật Trí tuệ nhân tạo 134/2025/QH15, cơ chế thuế nhà thầu ở đầu thanh toán của khách hàng Việt Nam, thông báo dịch vụ xuyên biên giới nếu dịch vụ thuộc nhóm phải thông báo, và nghĩa vụ bên xử lý dữ liệu trong hợp đồng với khách hàng.
Dịch vụ AI có phải đăng ký, cấp phép tại Việt Nam không?
Không có giấy phép riêng cho dịch vụ AI; quản lý đi theo phân loại rủi ro của hệ thống và các pháp luật chuyên ngành đã có như viễn thông với dịch vụ đám mây, bảo vệ dữ liệu cá nhân và thuế nhà thầu với doanh thu xuyên biên giới.
Nhà cung cấp AI có được dùng dữ liệu khách hàng để huấn luyện mô hình không?
Không mặc định: nhà cung cấp trong vai trò bên xử lý chỉ xử lý theo chỉ thị của khách hàng theo Luật 91/2025/QH15; dùng dữ liệu khách hàng cho huấn luyện mô hình riêng cần thỏa thuận riêng rõ ràng và là điều khoản khách hàng doanh nghiệp đàm phán chặt nhất.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng