Dùng dữ liệu khách hàng huấn luyện AI có cần xin đồng ý?

Có, trong đa số trường hợp, vì huấn luyện AI là một mục đích xử lý riêng. Nếu lúc thu thập bạn chỉ xin đồng ý cho bán hàng, chăm sóc khách thì chưa đủ. • Sự đồng ý phải cho từng mục đích, khách phải biết rõ loại dữ liệu và mục đích xử lý; im lặng không phải là đồng ý (Điều 9 khoản 2, 4 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15). Chỉ được xử lý đúng mục đích đã xác định (Điều 3 khoản 2). • Nghị định 356/2025/NĐ-CP cho phép dùng dữ liệu cá nhân để phát triển AI nhưng phải tuân thủ quy định bảo vệ dữ liệu (Điều 10 khoản 1). AI xử lý tự động thì phải báo cho khách, giải thích nguyên tắc thuật toán và cho họ quyền không tham gia (Điều 10 khoản 3). • Vị trí, giao dịch ngân hàng, dữ liệu theo dõi hành vi trên mạng là dữ liệu nhạy cảm (Điều 4 khoản 1 Nghị định 356/2025/NĐ-CP), phải báo rõ khi xin đồng ý. Cách không cần xin lại đồng ý: khử nhận dạng trước khi huấn luyện. Dữ liệu đã khử nhận dạng không còn là dữ liệu cá nhân (Điều 2 khoản 1 Luật 91/2025/QH15), miễn là không thể lần ra người cụ thể. Mức phạt doanh nghiệp theo Nghị định 330/2026/NĐ-CP (hiệu lực 19/08/2026): • Xử lý vượt mục đích đã xin đồng ý: 20–40 triệu đồng (Điều 39 khoản 1 điểm a). • Xử lý khi chưa có đồng ý: 30–50 triệu đồng (Điều 43 khoản 1 điểm a). • Không thông báo, giải thích thuật toán xử lý tự động: 50–70 triệu đồng (Điều 67 khoản 2 điểm a).Nguồn: Điều 2 khoản 1, Điều 3 khoản 2, Điều 9 khoản 2, 4 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 4 khoản 1, Điều 10 khoản 1, 3 Nghị định 356/2025/NĐ-CP; Điều 39 khoản 1, Điều 43 khoản 1, Điều 67 khoản 2 Nghị định 330/2026/NĐ-CP