Xác thực điện tử không thể mặc định sinh trắc học là an toàn tuyệt đối
Xác thực điện tử là quá trình kiểm tra danh tính của một chủ thể trên môi trường số để xác nhận họ có quyền tham gia một giao dịch hoặc hoạt động cụ thể. Nhưng khi AI có thể tạo hình ảnh, giọng nói và video giả đủ sức đánh lừa hệ thống, kết quả kiểm tra không thể mặc nhiên được xem là bằng chứng chắc chắn rằng chính người đó đã thực hiện giao dịch. Sáng 4/11, tại phiên thảo luận về dự án Luật Định danh và xác thực điện tử, đại biểu Phạm Trọng Nhân cảnh báo nguy cơ AI bị lợi dụng để giả mạo sinh trắc học, đồng thời nhấn mạnh luật phải bảo vệ người dân khi danh tính bị sử dụng trái phép. Đây là lời cảnh báo đúng trọng tâm: công nghệ có thể tăng tốc xác minh, nhưng không thể thay thế những quy tắc rõ ràng về trách nhiệm và xử lý tranh chấp. Sinh trắc học vẫn cần thiết, song khuôn mặt, giọng nói hay dấu vân tay không phải chiếc khóa không thể phá. Một khi dữ liệu bị lộ, người dùng khó có thể thay đổi chúng như mật khẩu.
Khi công nghệ giả vượt qua hệ thống, người dùng có thể thành người bị buộc tội
Rủi ro không còn là giả thuyết xa vời. Tháng 6/2026, Công an tỉnh Thanh Hóa triệt phá đường dây mua bán gần 1.000 tài khoản ngân hàng, trong đó các đối tượng dùng ảnh có sẵn để tạo video giả và can thiệp thiết bị nhằm qua mặt xác thực sinh trắc học. Đại biểu cũng dẫn số liệu ngành ngân hàng đã đối chiếu sinh trắc học cho hơn 175 triệu hồ sơ khách hàng cá nhân tính đến ngày 2/10; theo báo cáo của Entrust, cứ năm lượt tấn công gian lận sinh trắc thì có một lượt dùng deepfake, còn kiểu chèn video giả trực tiếp vào luồng xác thực tăng 40% trong một năm. Điểm đáng lo trong dự thảo là kết quả xác thực vừa có giá trị xác nhận chủ thể giao dịch, vừa có thể được xem là nguồn chứng cứ. Nếu kẻ gian vượt qua hệ thống, chính dấu vết đó có thể trở thành căn cứ bất lợi cho nạn nhân. Người cao tuổi và cư dân vùng sâu, vùng xa càng dễ chịu thiệt khi phải tự chứng minh mình không thực hiện giao dịch mà hệ thống ghi nhận là thành công.
Trách nhiệm xác thực phải đặt lên tổ chức vận hành hệ thống
Một luật bảo vệ người dùng không thể dừng ở quyền khiếu nại hay khả năng yêu cầu bồi thường. Khi xảy ra tranh chấp, cần xác định rõ ai phải đưa ra bằng chứng về quy trình đã được thực hiện. Đại biểu Phạm Trọng Nhân đề nghị cơ quan, tổ chức thực hiện xác thực có nghĩa vụ chứng minh quy trình tuân thủ đầy đủ yêu cầu chống giả mạo. Đây là cách phân bổ trách nhiệm hợp lý: đơn vị thiết kế, triển khai và lưu nhật ký hệ thống thường có điều kiện tiếp cận dữ liệu kỹ thuật hơn người dân. Dự thảo cũng cần quy định rằng khi chủ thể kịp thời thông báo và khiếu nại việc danh tính bị sử dụng trái phép, kết quả xác thực không mặc nhiên được xem là chứng cứ cho thấy chính họ đã thực hiện giao dịch. Các bên cần bảo toàn chứng cứ, phối hợp xác minh, khắc phục sai sót và bồi thường khi có căn cứ; nếu thiếu những nguyên tắc ấy, quyền khiếu nại sẽ khó trở thành biện pháp bảo vệ thực chất.
Luật cần đặt thêm lớp bảo vệ, không chỉ nâng mức xác thực
Với giao dịch rủi ro cao, đại biểu đề nghị chuẩn hóa và bắt buộc áp dụng mức xác thực 3, kết hợp ít nhất hai yếu tố, trong đó có yếu tố gắn với thiết bị bảo mật hoặc chứng thư số, chữ ký số bên cạnh yếu tố sinh trắc học. Cách làm này hợp lý hơn việc trao toàn quyền lựa chọn cho bên cung cấp dịch vụ, nhưng cũng không nên biến một mức kỹ thuật thành lời bảo đảm tuyệt đối. Hệ thống cần được kiểm định độc lập định kỳ, kiểm tra lại khi xuất hiện phương thức tấn công mới; kết luận tổng hợp cần được báo cáo cơ quan quản lý và công khai. Luật còn có thể yêu cầu gắn danh tính điện tử với hình ảnh, video và phát ngôn chính thức của cơ quan, tổ chức trên môi trường số theo lộ trình, để người dân kiểm chứng trên VNeID. Với giao dịch giá trị lớn hoặc làm phát sinh nghĩa vụ pháp lý quan trọng, thông báo và xác nhận phải rõ ràng, dễ hiểu, phù hợp với từng nhóm người dùng, nhất là người cao tuổi.
Ứng dụng công nghệ và bảo vệ quyền lợi người dùng không phải hai mục tiêu đối nghịch. Một hệ thống định danh điện tử chỉ đáng tin khi sai sót được điều tra minh bạch và người dân không phải đơn độc chứng minh danh tính của mình. Dự thảo luật cần quy định rõ trách nhiệm xác thực, cách xử lý tranh chấp và nghĩa vụ chứng minh của tổ chức vận hành. Đó mới là nền tảng để người dân có thể sử dụng dịch vụ số mà không phải đánh đổi quyền lợi lấy sự tiện lợi.
