AI vận hành không miễn trừ trách nhiệm
Rủi ro pháp lý AI là những hậu quả pháp luật doanh nghiệp có thể phải đối mặt khi hệ thống trí tuệ nhân tạo xử lý dữ liệu, đưa ra quyết định hoặc thực hiện công việc gây thiệt hại. Nói cách khác, đưa AI vào vận hành không đồng nghĩa chuyển trách nhiệm sang thuật toán hay nhà cung cấp.
Ngày 6/11, Diễn đàn Pháp lý doanh nghiệp Việt Nam 2026 diễn ra tại Học viện Tư pháp, trong bối cảnh nhiều luật về dữ liệu cá nhân, trí tuệ nhân tạo, chuyển đổi số và an ninh mạng bắt đầu có hiệu lực, siết chặt yêu cầu tuân thủ. Theo nhận định được nêu tại diễn đàn, doanh nghiệp ứng dụng AI là “bên triển khai” và phải chịu trách nhiệm về sự cố phát sinh; viện dẫn lỗi thuật toán từ đối tác nước ngoài không mặc nhiên giúp doanh nghiệp tránh bồi thường dân sự.
Đó là điểm cần được nhìn thẳng: trách nhiệm khi AI gây thiệt hại không thể chỉ gán cho người cuối cùng bấm nút. Doanh nghiệp chọn công cụ, cấp quyền truy cập, đặt mục tiêu và quyết định mức tự động hóa. Vì thế, nghĩa vụ quản trị phải đi cùng quyền kiểm soát thực tế.
Lỗi nhỏ có thể lan thành sự cố lớn
Các tác nhân AI ngày càng có thể tự thực hiện nhiệm vụ, kết nối với email hay cơ sở dữ liệu khách hàng. Khi hệ thống được quyền hành động thay vì chỉ soạn bản nháp, một chỉ dẫn sai có thể tạo hậu quả trước khi nhân viên kịp kiểm tra. Rủi ro không nằm riêng ở công nghệ mà còn ở cách doanh nghiệp phân quyền và giám sát.
Một nhà bán lẻ tại Mỹ từng gặp lỗi câu lệnh khiến chatbot gửi thông báo sai về hoàn tiền và hủy đơn cho hơn 18.000 khách hàng trong chưa đầy sáu tiếng, kéo theo hàng nghìn yêu cầu hỗ trợ. Ở một công ty điện tử tiêu dùng khác, AI đăng giá sai với mức giảm 85% trong khoảng ba tiếng, trước khi hơn 700 đơn hàng được đặt. Hai trường hợp cho thấy tác động đến khách hàng có thể vượt xa lỗi kỹ thuật ban đầu.
Khảo sát được dẫn trong nghiên cứu của Trường Kinh doanh Wharton cho thấy ý kiến về người chịu trách nhiệm chia gần đều giữa nhân viên triển khai, quản lý trực tiếp và bộ phận quản trị rủi ro; khoảng 10% chọn nhà cung cấp, và tỷ lệ tương tự chưa biết quy trách nhiệm cho ai. Khi chưa có phân công rõ, tranh cãi nội bộ dễ làm chậm cả việc khắc phục lẫn bồi hoàn.
Rủi ro pháp lý không dừng ở dữ liệu
Lộ lọt dữ liệu là nguy cơ dễ thấy, nhưng không phải duy nhất. AI còn có thể làm lộ thông tin kinh doanh, xâm phạm sở hữu trí tuệ hoặc hỗ trợ lừa đảo bằng hình ảnh, giọng nói giả lập. Nếu dữ liệu xuyên biên giới bị xử lý không đúng quy định, thiếu kiểm soát nội bộ có thể khiến doanh nghiệp đối mặt mức phạt lên tới 5% tổng doanh thu theo thông tin nêu tại diễn đàn.
Một phản hồi tự động, quyết định nhân sự hay thông tin giá sai cũng có thể kéo theo tranh chấp hợp đồng và khiếu nại của khách hàng. Tuy nhiên, không nên đánh đồng mọi hậu quả với tội phạm: trách nhiệm hình sự phải được xác định dựa trên hành vi cụ thể, yếu tố lỗi và dấu hiệu cấu thành theo luật, chứ không phải chỉ vì một giao dịch kinh tế thất bại.
Do đó, hồ sơ quan trọng không chỉ là hợp đồng với nhà cung cấp. Doanh nghiệp cần lưu lại ai phê duyệt hệ thống, dữ liệu nào được đưa vào, quyền truy cập ra sao, đầu ra được kiểm tra thế nào và phản ứng gì khi phát hiện sai sót. Thiếu dấu vết này, việc xác định trách nhiệm có thể biến thành tranh luận giữa nhân viên, quản lý, bộ phận rủi ro và đối tác.
Giám sát AI doanh nghiệp phải thành quy trình
Quy tắc thực dụng là mức giám sát phải tăng theo mức độ ảnh hưởng của quyết định và quyền tự chủ của hệ thống. Trong khảo sát được dẫn, 48% quản lý cho biết AI có thể thực hiện công việc nhưng cần con người phê duyệt trước khi triển khai; chỉ 17% cho phép AI hoạt động tự chủ kèm giám sát hoặc kiểm tra mẫu. Đây là lời nhắc rằng tự động hóa thiếu điểm dừng không phải là quản trị hiệu quả.
Doanh nghiệp nên ban hành quy chế sử dụng AI, lập danh mục dữ liệu cấm đưa lên nền tảng công cộng và phân tầng phê duyệt, nhất là với quyết định về nhân sự, tài chính, hợp đồng. Cần thẩm định nhà cung cấp, bổ sung điều khoản bảo vệ dữ liệu, rà soát hợp đồng và hoàn thiện đánh giá tác động dữ liệu; tiêu chuẩn ISO/IEC 42001 cũng được đề xuất như một công cụ quản trị.
Quan trọng hơn, phải chỉ định đầu mối có quyền tạm dừng hệ thống, điều tra sự cố và phối hợp pháp chế, công nghệ, kinh doanh. Lãnh đạo cần gắn chiến lược AI với mục tiêu doanh nghiệp, đào tạo nhân viên và kiểm tra định kỳ quyền truy cập. Một quy trình có người chịu trách nhiệm rõ ràng đáng giá hơn lời hứa rằng AI sẽ luôn làm đúng.
Kết luận: khi AI gây sự cố, doanh nghiệp không thể trông chờ vào việc tìm một cá nhân hay nhà cung cấp để đổ lỗi. Hàng rào pháp lý, giám sát theo mức độ rủi ro và hồ sơ kiểm soát là điều kiện để xác định trách nhiệm, hạn chế thiệt hại và chứng minh doanh nghiệp đã hành động cẩn trọng.
