Ví dụ thực tế về Dữ liệu cá nhân — Trang 2

Câu trả lời trung thực là: khung tiêu chí phân loại đã có trong Luật, nhưng DANH MỤC CỤ THỂ liệt kê từng loại hệ thống rủi ro cao thì CHƯA được tìm thấy ở đâu tại thời điểm bài viết này — nên không thể khẳng định chắc chắn một sản phẩm cụ thể có thuộc diện rủi ro cao hay không, chỉ có thể phân tích theo tinh thần của các tiêu chí đã ban hành. Đây cũng là một minh họa thực tế cho vấn đề mà chính các công cụ AI tra cứu pháp luật cần giải quyết: phân biệt giữa "luật đã quy định" và "văn bản hướng dẫn chưa ban hành" — không thể gộp hai thứ làm một khi tư vấn. VỀ KHUNG PHÂN LOẠI ĐÃ CÓ: Điều 9 Luật Trí tuệ nhân tạo 134/2025/QH15 chia hệ thống AI thành ba mức rủi ro — cao, trung bình, thấp — dựa trên các tiêu chí định tính: mức độ tác động đến quyền con người, an toàn, an ninh; lĩnh vực sử dụng; phạm vi người dùng và quy mô ảnh hưởng. Khoản 3 Điều 9 giao Chính phủ quy định chi tiết điều này. VỀ VIỆC AI TRA CỨU PHÁP LUẬT CÓ THUỘC DIỆN RỦI RO CAO HAY KHÔNG: xét theo tinh thần các tiêu chí định tính tại Điều 9 — mức độ tác động đến quyền con người, phạm vi người dùng — có thể lập luận theo cả hai hướng. Một mặt, công cụ tra cứu pháp luật không TRỰC TIẾP ra quyết định thay con người (không tự động phê duyệt khoản vay, không tự động ra phán quyết) — nó chỉ hỗ trợ tra cứu, cung cấp thông tin để người dùng (luật sư, doanh nghiệp, cá nhân) tự đưa ra quyết định, phù hợp với nguyên tắc tại khoản 2 Điều 4: "Trí tuệ nhân tạo phục vụ con người, không thay thế thẩm quyền và trách nhiệm của con người." Mặt khác, nếu công cụ được dùng rộng rãi để tư vấn pháp lý, và người dùng tin tưởng tuyệt đối vào kết quả tra cứu mà không kiểm chứng, một câu trả lời sai (trích dẫn nhầm điều luật, dùng văn bản đã hết hiệu lực) có thể dẫn đến hậu quả pháp lý thực sự cho người dùng — đây chính là loại rủi ro mà khung phân loại của Luật hướng tới xử lý. Khoản 4 Điều 13 Luật quy định rõ: "Thủ tướng Chính phủ quy định Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao, bao gồm danh mục hệ thống trí tuệ nhân tạo phải chứng nhận sự phù hợp trước khi đưa vào sử dụng." Đây là văn bản QUYẾT ĐỊNH sẽ trả lời chính xác câu hỏi này — nhưng tại thời điểm bài viết, sau khi tra cứu trực tiếp qua kho dữ liệu văn bản pháp luật, danh mục này CHƯA xuất hiện. Bất kỳ thông tin nào khẳng định đã có một danh mục cụ thể (ví dụ với một con số hệ thống cụ thể nào đó) mà không dẫn được đúng số hiệu văn bản chính thức, người đọc nên yêu cầu nguồn xác thực trước khi tin — đây chính xác là loại tuyên bố dễ bị lan truyền sai lệch trên mạng xã hội/báo chí trước khi văn bản gốc thực sự được ban hành. ĐIỀU CÓ THỂ NÓI CHẮC CHẮN NGAY BÂY GIỜ, không cần chờ danh mục: Điều 11 Luật quy định về minh bạch — hệ thống AI phải bảo đảm người dùng biết mình đang tương tác với AI, và với các ứng dụng có khả năng ảnh hưởng đến quyền lợi, cần có cơ chế giải trình về quyết định/kết quả đưa ra. Với một công cụ tra cứu pháp luật, điều này có nghĩa: (a) phải trích dẫn rõ nguồn — đúng Điều, Khoản, đúng văn bản, để người dùng có thể tự đối chiếu, không chỉ đưa câu trả lời không kiểm chứng được; (b) phải phân biệt rõ giữa luật đã ban hành/có hiệu lực và những gì còn đang chờ văn bản hướng dẫn — như chính bài viết này đang làm; (c) không được để người dùng lầm tưởng AI đang "ra phán quyết" thay vì hỗ trợ tra cứu, đúng tinh thần khoản 2 Điều 4 nêu trên. Về trách nhiệm nếu công cụ tra cứu gây thiệt hại: khoản 2 Điều 29 Luật quy định — dù hệ thống AI rủi ro cao được vận hành đúng quy định nhưng vẫn gây thiệt hại, bên triển khai (deployer, tức đơn vị cung cấp dịch vụ AI cho người dùng cuối) phải bồi thường trước, sau đó mới yêu cầu nhà phát triển hoàn trả nếu có thỏa thuận. Đây gần như trách nhiệm nghiêm ngặt đặt lên bên triển khai — dù chưa rõ công cụ tra cứu pháp luật có chính thức bị xếp vào "rủi ro cao" hay không, nguyên tắc thận trọng (trích dẫn chính xác, không suy diễn quá mức những gì luật chưa quy định) vẫn nên là tiêu chuẩn vận hành mặc định, không đợi đến khi có danh mục chính thức mới áp dụng. KẾT LUẬN THỰC TẾ: bất kỳ ai đang đánh giá một công cụ AI tra cứu pháp luật — bao gồm cả việc tự đánh giá sản phẩm của chính mình — nên đặt ra hai câu hỏi trước khi tin tưởng kết quả: (1) công cụ có trích dẫn được đúng Điều/Khoản, đúng văn bản còn hiệu lực, để tự đối chiếu hay không; (2) công cụ có phân biệt rõ ràng giữa "luật đã quy định" và "đang chờ văn bản hướng dẫn/danh mục cụ thể" hay đưa ra câu trả lời khẳng định chắc nịch về những thứ chưa tồn tại. Danh mục hệ thống rủi ro cao theo Điều 13 khoản 4 là ví dụ trực tiếp cho vế thứ hai — ngay lúc này, câu trả lời trung thực nhất là "chưa có," không phải một con số cụ thể nào đó.Nguồn: Điều 4, Điều 9, Điều 11, Điều 13, Điều 29 Luật Trí tuệ nhân tạo 134/2025/QH15

Có khả năng cao là có — việc công ty mẹ ở nước ngoài truy cập được dữ liệu khách hàng Việt Nam, dù không phải "gửi file" theo cách hiểu thông thường, vẫn có thể bị coi là chuyển dữ liệu xuyên biên giới theo luật hiện hành, và đi kèm nghĩa vụ nộp hồ sơ đánh giá tác động trong một thời hạn cụ thể. Căn cứ khoản 2 Điều 20 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: bên chuyển dữ liệu cá nhân ra nước ngoài phải lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài và nộp bản gốc cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 NGÀY kể từ ngày bắt đầu xử lý (lần chuyển đầu tiên). Điểm quan trọng: khái niệm "chuyển dữ liệu ra nước ngoài" trong thực tiễn áp dụng ở nhiều khung pháp lý tương tự thường không giới hạn ở việc chủ động gửi file — bao gồm cả trường hợp một bên ở nước ngoài được CẤP QUYỀN TRUY CẬP vào hệ thống lưu trữ dữ liệu, dù dữ liệu vật lý vẫn nằm trên máy chủ tại Việt Nam. Với tình huống công ty mẹ ở Singapore có quyền truy cập hệ thống chung để phân tích dữ liệu khách hàng Việt Nam, đây rất có thể rơi vào phạm vi cần đánh giá — công ty nên rà soát kỹ, tốt nhất tham vấn đơn vị tư vấn pháp lý về phạm vi truy cập cụ thể để xác định chắc chắn có thuộc diện phải nộp hồ sơ hay không, vì cách xác định phụ thuộc nhiều vào tính chất, mức độ, mục đích của quyền truy cập đó. Về các trường hợp được miễn nghĩa vụ này, khoản 6 Điều 20 liệt kê một số trường hợp loại trừ, bao gồm: cơ quan nhà nước thực hiện theo chức năng, nhiệm vụ; chính chủ thể dữ liệu tự mình chuyển dữ liệu của bản thân ra nước ngoài; và đáng chú ý — người sử dụng lao động lưu trữ dữ liệu của CHÍNH NHÂN VIÊN mình trên nền tảng đám mây/hệ thống của họ đặt ở nước ngoài. Lưu ý trường hợp miễn này chỉ áp dụng cho dữ liệu NHÂN VIÊN của chính doanh nghiệp, không áp dụng cho dữ liệu KHÁCH HÀNG — nên tình huống công ty bạn nêu (dữ liệu khách hàng, không phải nhân viên) không thuộc diện miễn trừ này. Về nội dung hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, đây là văn bản cần mô tả: loại dữ liệu được chuyển, mục đích chuyển và xử lý ở nước tiếp nhận, bên tiếp nhận dữ liệu, các biện pháp bảo vệ dữ liệu áp dụng, và đánh giá rủi ro liên quan — cấu trúc cụ thể của hồ sơ do Nghị định 356/2025/NĐ-CP quy định chi tiết thêm. Một điểm cần lưu ý về mặt thời hạn: quy định nói "60 ngày kể từ ngày bắt đầu xử lý" (tức lần chuyển dữ liệu đầu tiên) — nếu công ty đã hoạt động theo mô hình chia sẻ dữ liệu với công ty mẹ từ TRƯỚC ngày 01/01/2026 (khi Luật có hiệu lực), cần đối chiếu với điều khoản chuyển tiếp tại Điều 39 Luật: nếu đã từng nộp hồ sơ đánh giá tác động chuyển dữ liệu theo Nghị định 13/2023/NĐ-CP cũ và đã được cơ quan chuyên trách tiếp nhận, hồ sơ đó vẫn có giá trị, không phải nộp lại — chỉ khi có thay đổi hoặc đây là lần đầu tiên công ty thực hiện việc chia sẻ dữ liệu kiểu này thì mới tính mốc 60 ngày từ thời điểm phát sinh. Công ty nên làm gì: 1) Xác định rõ bản chất kỹ thuật của việc "công ty mẹ có quyền truy cập": là truy cập trực tiếp vào hệ thống đặt tại Việt Nam, hay dữ liệu thực sự được đồng bộ/sao lưu sang máy chủ đặt tại Singapore? Cách trả lời ảnh hưởng đến việc xác định có phải chuyển dữ liệu ra nước ngoài hay không. 2) Kiểm tra xem trước đây công ty đã từng nộp hồ sơ đánh giá tác động chuyển dữ liệu theo Nghị định 13/2023 cũ chưa — nếu có và đã được tiếp nhận, có thể không cần nộp lại theo điều khoản chuyển tiếp. 3) Nếu chưa từng nộp và việc chia sẻ dữ liệu với công ty mẹ đã/đang diễn ra, nên khẩn trương chuẩn bị hồ sơ đánh giá tác động và nộp cho cơ quan chuyên trách, tính từ thời điểm sớm nhất có thể xác định là "ngày bắt đầu xử lý" để tránh vi phạm thời hạn 60 ngày. 4) Rà soát hợp đồng/thỏa thuận nội bộ tập đoàn về việc chia sẻ dữ liệu giữa công ty mẹ và chi nhánh Việt Nam, đảm bảo có điều khoản về bảo vệ dữ liệu, phạm vi sử dụng, thời hạn lưu trữ rõ ràng — đây thường là một phần nội dung cần thể hiện trong hồ sơ đánh giá tác động.Nguồn: Điều 20, Điều 39 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Nghị định 356/2025/NĐ-CP

Có — và đây là một trong những điểm doanh nghiệp nhỏ/startup nên biết sớm để không tự đặt gánh nặng tuân thủ quá mức cần thiết, nhưng cũng cần hiểu rõ giới hạn của ưu đãi này để tránh chủ quan. Căn cứ khoản 2 và khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, được Điều 41 Nghị định 356/2025/NĐ-CP cụ thể hóa: doanh nghiệp nhỏ và khởi nghiệp được TẠM HOÃN thực hiện ba nhóm nghĩa vụ trong thời hạn 5 NĂM kể từ ngày Luật có hiệu lực (tức từ 01/01/2026 đến khoảng 01/01/2031): 1) Điều 21 — lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (thường gọi tắt là ĐTA, tương đương khái niệm DPIA quốc tế). 2) Điều 22 — cập nhật hồ sơ đánh giá tác động khi có thay đổi đáng kể. 3) Khoản 2 Điều 33 — chỉ định bộ phận/nhân sự chuyên trách bảo vệ dữ liệu cá nhân. Riêng với hộ kinh doanh và doanh nghiệp SIÊU NHỎ, mức ưu đãi còn cao hơn: được MIỄN HOÀN TOÀN ba nghĩa vụ trên, không chỉ tạm hoãn có thời hạn. TUY NHIÊN — đây là phần quan trọng nhất, nhiều startup dễ bỏ sót: ưu đãi này KHÔNG áp dụng vô điều kiện. Có ba trường hợp loại trừ khiến doanh nghiệp dù nhỏ vẫn phải tuân thủ đầy đủ ngay từ đầu, không được hưởng tạm hoãn: (a) Hoạt động cốt lõi của doanh nghiệp là CUNG CẤP DỊCH VỤ XỬ LÝ DỮ LIỆU — ví dụ một startup làm nền tảng CRM, phân tích dữ liệu khách hàng, hoặc dịch vụ xử lý dữ liệu thuê ngoài cho doanh nghiệp khác thì bản thân việc xử lý dữ liệu chính là sản phẩm/dịch vụ, không được coi là hoạt động phụ trợ để hưởng ưu đãi. (b) Doanh nghiệp trực tiếp XỬ LÝ DỮ LIỆU NHẠY CẢM — theo khoản 1 Điều 4 Nghị định 356, dữ liệu nhạy cảm bao gồm cả những loại phổ biến với startup công nghệ như dữ liệu sinh trắc học, dữ liệu tài khoản/thẻ ngân hàng, dữ liệu vị trí, dữ liệu hành vi trên mạng xã hội/viễn thông. Một startup fintech, app quét khuôn mặt, hay app theo dõi vị trí gần như chắc chắn đã chạm ngưỡng này ngay từ đầu, dù quy mô còn rất nhỏ. (c) Số lượng chủ thể dữ liệu đã xử lý LŨY KẾ đạt từ 100.000 NGƯỜI TRỞ LÊN — đây là ngưỡng định lượng cụ thể chỉ nêu tại Nghị định 356 (không có trong bản thân Luật). Với một ứng dụng có lượng người dùng tăng nhanh, mốc 100.000 có thể đến rất sớm — doanh nghiệp cần theo dõi số liệu này liên tục, không chỉ kiểm tra một lần rồi thôi, vì ưu đãi sẽ tự động mất hiệu lực ngay khi vượt ngưỡng. Một lưu ý khác: dù được tạm hoãn ba nghĩa vụ trên, các nghĩa vụ KHÁC trong Luật vẫn áp dụng đầy đủ cho mọi quy mô doanh nghiệp — ví dụ nguyên tắc phải có sự đồng ý trước khi thu thập dữ liệu (Điều 11), quyền rút lại đồng ý và thời hạn xử lý yêu cầu (Điều 10, Điều 5 Nghị định), nghĩa vụ thông báo vi phạm dữ liệu trong 72 giờ (Điều 23). Tạm hoãn CHỈ áp dụng cho ba nghĩa vụ hành chính/tổ chức nội bộ nêu trên (đánh giá tác động, cập nhật đánh giá, chỉ định nhân sự chuyên trách), không phải miễn trừ toàn bộ Luật. Startup nên làm gì: 1) Tự đánh giá xem có rơi vào một trong ba trường hợp loại trừ (a)-(c) hay không — nếu mô hình kinh doanh gắn với dữ liệu nhạy cảm hoặc chính là dịch vụ xử lý dữ liệu, nên chuẩn bị tuân thủ đầy đủ ngay từ đầu thay vì trông chờ vào ưu đãi. 2) Nếu đủ điều kiện tạm hoãn, vẫn nên xây dựng sẵn quy trình cơ bản về xin đồng ý đúng chuẩn, phản hồi yêu cầu của người dùng đúng thời hạn, và có kế hoạch ứng phó sự cố — vì các nghĩa vụ này không nằm trong diện được tạm hoãn. 3) Theo dõi số lượng người dùng/chủ thể dữ liệu theo thời gian thực nếu sản phẩm đang tăng trưởng nhanh, để chủ động chuẩn bị nguồn lực tuân thủ đầy đủ (đánh giá tác động, chỉ định nhân sự) trước khi chạm ngưỡng 100.000, tránh bị động khi ưu đãi hết hiệu lực.Nguồn: Điều 4, Điều 5, Điều 10, Điều 11, Điều 21, Điều 22, Điều 23, Điều 33, Điều 38 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 41 Nghị định 356/2025/NĐ-CP

Với đặc thù ngành tài chính tiêu dùng — xử lý khối lượng lớn dữ liệu nhạy cảm (CCCD, tài khoản ngân hàng, sinh trắc học, lịch sử tín dụng) và số lượng khách hàng thường vượt xa ngưỡng miễn trừ cho doanh nghiệp nhỏ — một công ty như vậy gần như chắc chắn thuộc diện phải tuân thủ đầy đủ, không được hưởng ưu đãi tạm hoãn 5 năm dành cho SME. Dưới đây là khung checklist dựa trên các nghĩa vụ cụ thể trong Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP hiện hành — mang tính minh họa cho một công ty điển hình trong ngành, không phải đánh giá cho một doanh nghiệp cụ thể nào. ☐ 1) XÁC ĐỊNH DỮ LIỆU NHẠY CẢM ĐANG XỬ LÝ. Theo khoản 1 Điều 4 Nghị định 356, với một công ty cho vay tiêu dùng, gần như chắc chắn có: số CCCD/thông tin định danh, dữ liệu tài khoản/thẻ ngân hàng và lịch sử giao dịch tài chính, dữ liệu sinh trắc học (khuôn mặt qua eKYC). Vì có xử lý dữ liệu nhạy cảm, công ty KHÔNG thuộc diện miễn trừ SME dù quy mô nhỏ (điều kiện loại trừ ưu đãi tại Điều 41 Nghị định 356). ☐ 2) RÀ SOÁT CƠ CHẾ XIN ĐỒNG Ý. Theo khoản 4 Điều 6 Nghị định 356, với dữ liệu nhạy cảm phải thông báo rõ đây là dữ liệu nhạy cảm khi xin đồng ý — không gộp chung vào điều khoản dịch vụ dài dòng mà khách hàng không thực sự đọc. Giao diện đăng ký khoản vay/app cho vay cần: tách riêng mục xin đồng ý xử lý dữ liệu sinh trắc học/tài chính; không mặc định tick sẵn; lưu vết bằng chứng đồng ý (thời điểm, nội dung, hình thức) để chứng minh khi cần theo khoản 2 Điều 6. ☐ 3) LẬP HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG XỬ LÝ DỮ LIỆU (ĐTA). Khoản 1 Điều 21 Luật yêu cầu nộp hồ sơ đánh giá tác động cho cơ quan chuyên trách trong 60 NGÀY kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Nếu công ty đã hoạt động trước 01/01/2026 và đã nộp hồ sơ theo Nghị định 13/2023 cũ, hồ sơ đó vẫn có giá trị theo điều khoản chuyển tiếp (khoản 2 Điều 39 Luật) — không cần nộp lại, chỉ cập nhật khi có thay đổi đáng kể về mục đích/phạm vi xử lý (Điều 22). ☐ 4) NẾU CÓ CHUYỂN DỮ LIỆU RA NƯỚC NGOÀI (ví dụ dùng nền tảng eKYC/chấm điểm tín dụng đặt máy chủ ở nước ngoài, hoặc công ty mẹ ở nước ngoài truy cập dữ liệu khách hàng Việt Nam): khoản 2 Điều 20 yêu cầu nộp hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới trong 60 NGÀY kể từ lần chuyển đầu tiên — cần rà soát toàn bộ nhà cung cấp dịch vụ (core banking, chấm điểm tín dụng, lưu trữ đám mây) xem máy chủ đặt ở đâu. ☐ 5) CHỈ ĐỊNH BỘ PHẬN/NHÂN SỰ BẢO VỆ DỮ LIỆU. Điều 33 khoản 1-2 Luật yêu cầu có bộ phận/nhân sự phụ trách — Điều 13 Nghị định 356 đặt tiêu chuẩn: trình độ cao đẳng trở lên, tối thiểu 2 năm kinh nghiệm liên quan (pháp lý, CNTT, an ninh mạng, quản trị rủi ro...), được đào tạo về bảo vệ dữ liệu cá nhân. Với công ty tài chính, nhân sự này thường nên phối hợp chặt với bộ phận tuân thủ/pháp chế và bộ phận an ninh thông tin sẵn có. ☐ 6) XÂY DỰNG QUY TRÌNH PHẢN HỒI YÊU CẦU CỦA KHÁCH HÀNG. Theo khoản 2 Điều 5 Nghị định 356: phản hồi yêu cầu rút lại đồng ý/hạn chế xử lý trong 2 NGÀY LÀM VIỆC, hoàn tất trong 15 NGÀY (hoặc 20 ngày nếu có bên thứ ba xử lý dữ liệu liên quan, ví dụ đơn vị chấm điểm tín dụng thuê ngoài). Với ngành cho vay, cần lưu ý ngoại lệ tại Điều 19 Luật — một số dữ liệu vẫn cần giữ lại để thực hiện nghĩa vụ hợp đồng vay đang có hiệu lực, cần nêu rõ căn cứ khi từ chối yêu cầu xóa toàn bộ dữ liệu của khách hàng đang có khoản vay chưa tất toán. ☐ 7) XÂY DỰNG QUY TRÌNH ỨNG PHÓ SỰ CỐ RÒ RỈ DỮ LIỆU. Khoản 1 Điều 23 Luật yêu cầu thông báo cơ quan chuyên trách CHẬM NHẤT 72 GIỜ kể từ khi phát hiện vi phạm có khả năng ảnh hưởng đến tính mạng, sức khỏe, danh dự, tài sản của khách hàng. Với công ty tài chính nắm dữ liệu tài khoản ngân hàng của hàng chục nghìn khách hàng, đây là rủi ro cao nếu bị tấn công mạng — cần có quy trình phát hiện sớm, mẫu thông báo (Mẫu số 08 theo Điều 28 Nghị định 356) chuẩn bị sẵn, không phải soạn từ đầu khi sự cố xảy ra. ☐ 8) RÀ SOÁT HỢP ĐỒNG VỚI ĐỐI TÁC XỬ LÝ DỮ LIỆU BÊN NGOÀI. Các nhà cung cấp dịch vụ chấm điểm tín dụng, eKYC, thu hồi nợ thuê ngoài đều là "bên xử lý dữ liệu" hoặc "bên thứ ba" theo Luật — hợp đồng với các đối tác này cần có điều khoản ràng buộc về bảo vệ dữ liệu, phối hợp khi có yêu cầu rút lại đồng ý hoặc sự cố rò rỉ. Mức độ ưu tiên thực tế: với một công ty tài chính tiêu dùng đã hoạt động một thời gian, mục (2) sửa giao diện xin đồng ý và mục (7) quy trình ứng phó sự cố thường là hai điểm rủi ro cao nhất bị bỏ sót trong thực tế, vì đây là chỗ trực tiếp ảnh hưởng đến số đông khách hàng và dễ bị phát hiện vi phạm nhất khi có khiếu nại hoặc thanh tra.Nguồn: Điều 4, Điều 5, Điều 6, Điều 19, Điều 20, Điều 21, Điều 22, Điều 23, Điều 33, Điều 39, Điều 41 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP

Có — và luật quy định thời hạn cụ thể theo từng bước, không phải một con số chung chung mơ hồ. Về quyền của khách hàng: khoản 1 Điều 10 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định "Chủ thể dữ liệu cá nhân có quyền yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, yêu cầu hạn chế xử lý dữ liệu cá nhân của mình khi có nghi ngờ về phạm vi, mục đích xử lý dữ liệu cá nhân hoặc tính chính xác của dữ liệu cá nhân, trừ trường hợp quy định tại Điều 19 của Luật này." Yêu cầu này phải được thể hiện bằng văn bản (bao gồm cả dạng điện tử như email, tin nhắn — miễn có thể kiểm chứng được) và gửi cho bên kiểm soát dữ liệu — đúng như tình huống công ty bạn đang gặp. Về thời hạn xử lý cụ thể, đây là phần quan trọng nhất mà nhiều doanh nghiệp bỏ sót vì bản thân Luật chỉ nói chung chung "theo thời hạn quy định của pháp luật" — thời hạn chính xác nằm ở khoản 2 Điều 5 Nghị định 356/2025/NĐ-CP, quy định theo hai bước rõ ràng: Bước 1 — phản hồi ban đầu: "Khi nhận được yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, hạn chế xử lý dữ liệu cá nhân, phản đối xử lý dữ liệu cá nhân theo đúng thủ tục... bên kiểm soát dữ liệu cá nhân... phải phản hồi trong thời hạn 02 NGÀY LÀM VIỆC, cung cấp đầy đủ thông tin cho chủ thể dữ liệu cá nhân về thủ tục ngừng xử lý dữ liệu cá nhân..." Bước 2 — thực hiện thực tế: "...và thực hiện trong thời hạn 15 NGÀY." Đây là thời hạn để công ty thực sự ngừng xử lý dữ liệu theo yêu cầu, không chỉ dừng ở việc phản hồi bằng lời. Bước 3 — nếu có bên thứ ba liên quan: "Trường hợp cần yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba ngừng xử lý dữ liệu cá nhân... thì thực hiện trong thời hạn 20 NGÀY." Tức nếu công ty bạn có chia sẻ dữ liệu của khách hàng này cho một đơn vị xử lý dữ liệu bên ngoài (ví dụ nhà cung cấp dịch vụ CRM, đối tác marketing), thời hạn để đảm bảo cả bên thứ ba đó cũng ngừng xử lý là 20 ngày, dài hơn so với trường hợp chỉ xử lý nội bộ. Về gia hạn: nếu có lý do chính đáng, công ty được phép gia hạn thêm tối đa 15 ngày so với các mốc trên, nhưng phải thông báo rõ lý do cho khách hàng biết trong quá trình xử lý — không được im lặng kéo dài quá thời hạn mà không giải thích. Một điểm quan trọng khác cần lưu ý: theo khoản 4 Điều 10 Luật, việc rút lại đồng ý KHÔNG có hiệu lực hồi tố — nghĩa là việc công ty đã xử lý dữ liệu hợp pháp TRƯỚC thời điểm nhận được yêu cầu rút lại vẫn được coi là hợp pháp, công ty không phải "xóa dấu vết" toàn bộ lịch sử xử lý trước đó, chỉ cần ngừng các hoạt động xử lý MỚI kể từ khi nhận yêu cầu. Cũng cần lưu ý về ngoại lệ tại Điều 19 Luật (được dẫn chiếu ở trên) — có một số trường hợp bên kiểm soát dữ liệu có thể tiếp tục xử lý dữ liệu dù chủ thể dữ liệu đã yêu cầu rút lại đồng ý/hạn chế xử lý, ví dụ khi việc xử lý là cần thiết để thực hiện nghĩa vụ theo hợp đồng đang có hiệu lực với chính chủ thể dữ liệu đó, hoặc theo yêu cầu của pháp luật — công ty nên rà soát kỹ trường hợp cụ thể của mình trước khi từ chối yêu cầu của khách hàng dựa trên ngoại lệ này, tránh viện dẫn sai. Doanh nghiệp nên làm gì khi nhận được yêu cầu như trên: 1) Trong vòng 2 ngày làm việc, phản hồi xác nhận đã nhận được yêu cầu và cung cấp thông tin về thủ tục ngừng xử lý sẽ thực hiện. 2) Rà soát xem dữ liệu của khách hàng này có đang được chia sẻ với bên thứ ba nào không, để tính đúng thời hạn áp dụng (15 ngày nếu chỉ nội bộ, 20 ngày nếu có bên thứ ba). 3) Thực hiện việc ngừng xử lý đúng thời hạn, lưu lại bằng chứng đã hoàn thành (thời điểm, phạm vi đã ngừng xử lý) để có thể chứng minh nếu sau này có khiếu nại. 4) Nếu công ty có lý do để tiếp tục xử lý một phần dữ liệu theo ngoại lệ Điều 19, cần nêu rõ căn cứ pháp lý cụ thể trong phản hồi gửi khách hàng, không nên từ chối chung chung mà không giải thích.Nguồn: Điều 10, Điều 19 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 5 Nghị định 356/2025/NĐ-CP

Rất có thể là có — và nếu đúng, quy trình xin đồng ý phải chặt chẽ hơn dữ liệu cá nhân thông thường một bước quan trọng. Danh mục dữ liệu cá nhân nhạy cảm được quy định cụ thể tại khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP, bao gồm (tóm lược): dữ liệu về chủng tộc/dân tộc; quan điểm chính trị/tôn giáo; đời sống riêng tư/bí mật gia đình; tình trạng sức khỏe; dữ liệu sinh trắc học (vân tay, khuôn mặt, mống mắt...); dữ liệu di truyền; xu hướng tính dục; tiền án/tiền sự; dữ liệu vị trí; và đáng chú ý — thông tin xác thực định danh điện tử, dữ liệu tài khoản/thẻ ngân hàng và lịch sử giao dịch tài chính, cùng dữ liệu hành vi trên mạng viễn thông/mạng xã hội. Với tình huống bạn nêu: số CCCD (gắn với định danh), thông tin tài khoản ngân hàng, và dữ liệu sinh trắc học ĐỀU thuộc danh mục dữ liệu nhạy cảm theo quy định này. Về nguyên tắc chung, khoản 1 Điều 11 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định: "Dữ liệu cá nhân được thu thập phải được sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập, trừ trường hợp pháp luật có quy định khác." Đây là nguyên tắc áp dụng cho MỌI loại dữ liệu cá nhân. Nhưng với dữ liệu NHẠY CẢM, có thêm một yêu cầu riêng tại khoản 4 Điều 6 Nghị định 356: "Đối với việc xin sự đồng ý xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm." Nói ngắn gọn: không đủ nếu chỉ xin đồng ý chung chung "cho phép xử lý dữ liệu cá nhân của tôi" — với dữ liệu nhạy cảm, phải nói RÕ với khách hàng rằng loại dữ liệu sắp thu thập được xếp vào diện nhạy cảm, để họ hiểu đúng mức độ và quyết định có đồng ý hay không. Về hình thức thể hiện sự đồng ý (áp dụng chung cho cả dữ liệu thường và nhạy cảm), khoản 1-3 Điều 6 Nghị định 356 đặt ra các nguyên tắc: sự đồng ý phải được thể hiện rõ ràng, cụ thể, tự nguyện và có thể kiểm chứng được — có thể dưới dạng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn/email/trang thông tin điện tử/ứng dụng hoặc hình thức khác thể hiện được; bên kiểm soát dữ liệu có trách nhiệm CHỨNG MINH được sự đồng ý của chủ thể dữ liệu khi có tranh chấp, khiếu nại; và đặc biệt — không được thiết kế giao diện đồng ý/không đồng ý theo hướng mặc định đồng ý (default opt-in) hay gây hiểu lầm về việc chủ thể dữ liệu đã đồng ý. Một điểm quan trọng khác cần biết: dù đã có đồng ý, chủ thể dữ liệu vẫn giữ quyền rút lại sự đồng ý bất cứ lúc nào theo Điều 10 Luật (xem thêm bài viết riêng về quyền rút lại đồng ý) — việc thu thập dữ liệu nhạy cảm hợp lệ ban đầu không có nghĩa doanh nghiệp được xử lý dữ liệu đó vĩnh viễn không cần quan tâm ý chí sau này của khách hàng. Doanh nghiệp nên làm gì: 1) Rà soát lại toàn bộ các trường dữ liệu đang thu thập từ khách hàng, đối chiếu với danh mục tại khoản 1 Điều 4 Nghị định 356 để xác định chính xác đâu là dữ liệu nhạy cảm. 2) Sửa lại mẫu/giao diện xin đồng ý (form đăng ký, điều khoản sử dụng, checkbox...) để có thông báo rõ ràng, riêng biệt cho các trường dữ liệu nhạy cảm, thay vì gộp chung vào một dòng đồng ý tổng quát. 3) Đảm bảo hệ thống lưu vết được bằng chứng đồng ý (thời điểm, nội dung đã đồng ý, hình thức đồng ý) để có thể chứng minh khi cần, vì nghĩa vụ chứng minh thuộc về bên kiểm soát dữ liệu, không phải khách hàng. 4) Rà soát lại toàn bộ giao diện đồng ý hiện tại xem có đang mặc định tick sẵn ô đồng ý hay không — nếu có, đây là điểm cần sửa ngay vì trái với quy định cấm mặc định đồng ý.Nguồn: Điều 11, Điều 10 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 4, Điều 6 Nghị định 356/2025/NĐ-CP

Đúng — nhưng đây không đơn thuần là một nghị định thay một nghị định khác. Từ 01/01/2026, khung pháp lý về bảo vệ dữ liệu cá nhân đã được nâng lên thành LUẬT, không còn dừng ở cấp nghị định như trước. Văn bản gốc hiện hành là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, được Quốc hội thông qua ngày 26/6/2025, có hiệu lực từ 01/01/2026. Đi kèm là Nghị định 356/2025/NĐ-CP (ban hành 31/12/2025, hiệu lực cùng ngày 01/01/2026) — quy định chi tiết một số điều và biện pháp thi hành Luật này. Khoản 2 Điều 42 Nghị định 356 nêu rõ: "Nghị định số 13/2023/NĐ-CP ngày 17 tháng 4 năm 2023 của Chính phủ về bảo vệ dữ liệu cá nhân hết hiệu lực kể từ ngày Nghị định này có hiệu lực thi hành." Nói cách khác: Nghị định 13/2023 đã hết hiệu lực từ đúng ngày 01/01/2026 — nếu doanh nghiệp vẫn đang tra cứu và áp dụng theo Nghị định 13, cần cập nhật ngay sang Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Một số thay đổi đáng chú ý so với khung Nghị định 13 cũ mà doanh nghiệp cần nắm: 1) Đánh giá tác động xử lý dữ liệu cá nhân (ĐTA — tương đương DPIA): Điều 21 khoản 1 Luật 91/2025/QH15 yêu cầu bên kiểm soát dữ liệu phải lập hồ sơ đánh giá tác động và nộp bản gốc cho cơ quan chuyên trách trong thời hạn 60 NGÀY kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Đây là nghĩa vụ một lần cho suốt vòng đời hoạt động, cập nhật khi có thay đổi đáng kể (Điều 22). 2) Chuyển dữ liệu ra nước ngoài: khoản 2 Điều 20 áp dụng cùng thời hạn 60 ngày kể từ lần chuyển dữ liệu xuyên biên giới đầu tiên để nộp hồ sơ đánh giá tác động chuyển dữ liệu — có một số trường hợp được miễn tại khoản 6 (cơ quan nhà nước, chủ dữ liệu tự chuyển, người sử dụng lao động lưu trữ dữ liệu nhân viên trên nền tảng đám mây của chính họ...). 3) Nhân sự/bộ phận bảo vệ dữ liệu (tương đương DPO): Điều 33 khoản 1-2 yêu cầu chỉ định một bộ phận/nhân sự nội bộ hoặc thuê đơn vị có chức năng bảo vệ dữ liệu cá nhân. Nghị định 356 Điều 13 đặt tiêu chuẩn cụ thể: trình độ từ cao đẳng trở lên, tối thiểu 2 năm kinh nghiệm liên quan (pháp lý, công nghệ thông tin, an ninh mạng, an toàn dữ liệu, quản trị rủi ro, nhân sự), được đào tạo về pháp luật/kỹ năng bảo vệ dữ liệu cá nhân. 4) Thông báo vi phạm dữ liệu: Điều 23 khoản 1 quy định thời hạn thông báo cho cơ quan chuyên trách CHẬM NHẤT 72 GIỜ kể từ khi phát hiện hành vi vi phạm có khả năng gây ảnh hưởng đến quốc phòng, an ninh, trật tự hoặc đến tính mạng, sức khỏe, danh dự, tài sản của chủ thể dữ liệu. VỀ ƯU ĐÃI CHO DOANH NGHIỆP NHỎ VÀ STARTUP: Điều 38 khoản 2-3 Luật, được Nghị định 356 Điều 41 cụ thể hóa, cho phép doanh nghiệp nhỏ/khởi nghiệp được TẠM HOÃN thực hiện các nghĩa vụ tại Điều 21 (đánh giá tác động), Điều 22 (cập nhật), và khoản 2 Điều 33 (chỉ định bộ phận bảo vệ dữ liệu) trong 5 NĂM kể từ ngày Luật có hiệu lực (tức đến khoảng 01/01/2031); hộ kinh doanh/doanh nghiệp siêu nhỏ được miễn hoàn toàn các nghĩa vụ này. Tuy nhiên, ưu đãi này KHÔNG áp dụng nếu: hoạt động cốt lõi là cung cấp dịch vụ xử lý dữ liệu, doanh nghiệp trực tiếp xử lý dữ liệu nhạy cảm, hoặc số lượng chủ thể dữ liệu đã xử lý lũy kế đạt từ 100.000 người trở lên (ngưỡng này chỉ nêu tại Nghị định, không có trong Luật). VỀ GIAI ĐOẠN CHUYỂN TIẾP: khoản 1 Điều 39 Luật quy định hoạt động xử lý dữ liệu đang thực hiện mà đã được sự đồng ý hoặc theo thỏa thuận theo Nghị định 13/2023 (cũ) trước ngày Luật có hiệu lực thì được tiếp tục thực hiện, KHÔNG phải xin lại đồng ý hay thỏa thuận lại. Khoản 2 cũng cho biết hồ sơ đánh giá tác động/chuyển dữ liệu đã nộp và được cơ quan tiếp nhận theo Nghị định 13 cũ vẫn có giá trị, không phải nộp lại — chỉ khi có cập nhật sau ngày Luật có hiệu lực mới áp dụng quy định mới. Doanh nghiệp nên làm ngay: (1) xác định mình có thuộc diện được tạm hoãn 5 năm hay không (dựa vào quy mô, có xử lý dữ liệu nhạy cảm hay không, số chủ thể dữ liệu đã xử lý); (2) nếu KHÔNG thuộc diện tạm hoãn và đã bắt đầu xử lý dữ liệu, tính ngược thời hạn 60 ngày để nộp hồ sơ đánh giá tác động nếu chưa nộp; (3) chỉ định bộ phận/nhân sự phụ trách bảo vệ dữ liệu đúng tiêu chuẩn tại Điều 13 Nghị định 356 nếu thuộc diện bắt buộc; (4) xây dựng quy trình nội bộ để đáp ứng thời hạn 72 giờ thông báo vi phạm nếu có sự cố xảy ra.Nguồn: Điều 20, Điều 21, Điều 22, Điều 23, Điều 33, Điều 38, Điều 39 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 13, Điều 41, Điều 42 Nghị định 356/2025/NĐ-CP

Luật Trí tuệ nhân tạo số 134/2025/QH15 được Quốc hội thông qua ngày 10/12/2025, có hiệu lực thi hành từ ngày 01/03/2026 (Điều 34). Đây là đạo luật khung (principle-based), tiếp cận theo mức độ rủi ro (risk-based) — về hướng tiếp cận tổng thể có nét tương đồng với EU AI Act, nhưng có một điểm đi xa hơn: luật khẳng định rõ ràng AI không thay thế thẩm quyền của con người, người ra quyết định vẫn phải chịu trách nhiệm pháp lý khi sử dụng AI. BA ĐIỂM CỐT LÕI ĐÃ CÓ TRONG LUẬT: 1) Con người vẫn là người chịu trách nhiệm cuối cùng. Khoản 2 Điều 4 quy định: "Trí tuệ nhân tạo phục vụ con người, không thay thế thẩm quyền và trách nhiệm của con người. Bảo đảm duy trì sự kiểm soát và khả năng can thiệp của con người đối với mọi quyết định và hành vi của hệ thống trí tuệ nhân tạo." Với công ty tài chính, điều này có nghĩa: không thể để một hệ thống AI tự động ra quyết định cuối cùng (ví dụ duyệt/từ chối khoản vay) mà không có cơ chế con người kiểm soát, can thiệp được — kể cả khi hệ thống AI đó do bên thứ ba cung cấp. 2) Nguyên tắc không thiên lệch, không phân biệt đối xử — nhưng chi tiết chưa được luật hóa cụ thể. Khoản 3 Điều 4 nêu nguyên tắc chung: "Bảo đảm công bằng, minh bạch, không thiên lệch, không phân biệt đối xử và không gây hại cho con người hoặc xã hội... thực hiện trách nhiệm giải trình về các quyết định và hệ quả của hệ thống trí tuệ nhân tạo." Cần lưu ý: bản thân Luật KHÔNG liệt kê cụ thể các đặc điểm được bảo vệ (tuổi tác, giới tính, dân tộc...) hay quy định riêng cho lĩnh vực tuyển dụng — đây là nguyên tắc chung. Ví dụ một hệ thống AI tuyển dụng tự động loại ứng viên theo độ tuổi hoặc dân tộc mà không có căn cứ hợp pháp là minh họa cho tinh thần của nguyên tắc này, không phải trích dẫn nguyên văn luật. Chi tiết hóa nguyên tắc công bằng, không phân biệt đối xử được giao cho Khung đạo đức trí tuệ nhân tạo quốc gia (Điều 26) — văn bản này do Bộ trưởng Bộ Khoa học và Công nghệ ban hành, tại thời điểm luật có hiệu lực vẫn CHƯA được ban hành. 3) Phân loại theo mức độ rủi ro. Điều 9 chia hệ thống AI thành ba mức: rủi ro cao (có thể gây thiệt hại đáng kể đến tính mạng, sức khỏe, quyền lợi hợp pháp, an ninh quốc gia), rủi ro trung bình (có khả năng gây nhầm lẫn/thao túng do người dùng không nhận biết đang tương tác với AI), và rủi ro thấp (còn lại). Hệ thống rủi ro cao phải qua đánh giá sự phù hợp trước khi đưa vào sử dụng (Điều 13) — nhưng DANH MỤC cụ thể hệ thống nào được coi là rủi ro cao lại do Thủ tướng Chính phủ ban hành riêng (khoản 4 Điều 13), chưa có trong luật. DEADLINE CỤ THỂ CẦN LƯU Ý NGAY: khoản 1 Điều 35 (điều khoản chuyển tiếp) quy định thời hạn tuân thủ cho các hệ thống AI đã đưa vào hoạt động TRƯỚC ngày luật có hiệu lực: 18 tháng kể từ 01/03/2026 đối với hệ thống AI trong lĩnh vực y tế, giáo dục và TÀI CHÍNH (tức đến khoảng tháng 9/2027); 12 tháng đối với các lĩnh vực còn lại. Trong thời hạn chuyển tiếp, hệ thống vẫn được tiếp tục hoạt động, trừ khi cơ quan quản lý nhà nước xác định hệ thống có nguy cơ gây thiệt hại nghiêm trọng thì có quyền yêu cầu tạm dừng (khoản 2 Điều 35). Với một tổ chức tín dụng/cho vay đang dùng AI (chấm điểm tín dụng, phát hiện gian lận, chatbot tư vấn...), đây là mốc thời gian thực tế đầu tiên cần đưa vào kế hoạch tuân thủ. VỀ TRÁCH NHIỆM BỒI THƯỜNG: đáng chú ý, khoản 2 Điều 29 quy định — ngay cả khi hệ thống AI rủi ro cao được quản lý, vận hành đúng quy định nhưng vẫn gây thiệt hại, bên triển khai (deployer, tức chính doanh nghiệp sử dụng hệ thống) vẫn phải bồi thường trước cho người bị thiệt hại, sau đó mới có thể yêu cầu nhà cung cấp/nhà phát triển hoàn trả nếu có thỏa thuận. Đây gần như trách nhiệm nghiêm ngặt (strict liability) đặt lên bên triển khai — lý do quan trọng để đánh giá kỹ hợp đồng với nhà cung cấp AI (điều khoản bồi hoàn, phân chia trách nhiệm) trước khi triển khai, không đợi đến khi có sự cố. NHỮNG GÌ LUẬT CHƯA QUY ĐỊNH CHI TIẾT — CẦN THEO DÕI: đây là luật khung, Quốc hội cố ý để chi tiết cho nghị định hướng dẫn và quy định chuyên ngành. Riêng trong văn bản này đã có tới 16 điều khoản giao Chính phủ/Thủ tướng/Bộ quy định chi tiết, trong đó quan trọng nhất với doanh nghiệp: (a) tiêu chí và danh mục cụ thể hệ thống rủi ro cao (Điều 9, Điều 13); (b) hình thức đánh giá sự phù hợp, tổ chức đánh giá được công nhận (Điều 13); (c) Khung đạo đức trí tuệ nhân tạo quốc gia — nơi các nguyên tắc công bằng, không phân biệt đối xử sẽ được cụ thể hóa (Điều 26); (d) mức xử phạt hành chính cụ thể cho vi phạm liên quan AI (khoản 5 Điều 29). Tất cả các văn bản này CHƯA được xác nhận ban hành tại thời điểm bài viết — bộ phận pháp chế nên đặt lịch theo dõi Cổng thông tin điện tử một cửa về trí tuệ nhân tạo (Điều 8 của Luật) thay vì giả định chi tiết trước khi có văn bản chính thức. VIỆC CẦN LÀM NGAY với đội pháp chế/tuân thủ: (1) kiểm kê toàn bộ hệ thống AI đang dùng trong nghiệp vụ (chấm điểm tín dụng, KYC/AML, chatbot, hệ thống định giá...), sơ bộ xếp loại theo ba mức rủi ro của Điều 9 để chuẩn bị trước khi có danh mục chính thức; (2) rà soát hợp đồng với nhà cung cấp AI hiện tại — đặc biệt điều khoản trách nhiệm, quyền can thiệp/dừng hệ thống của con người, và nghĩa vụ minh bạch của Điều 11; (3) với hệ thống tài chính đã vận hành trước 1/3/2026, đưa deadline 18 tháng (khoảng 9/2027) vào lịch tuân thủ; (4) chỉ định người/bộ phận chịu trách nhiệm theo dõi các nghị định hướng dẫn khi được ban hành, vì phần lớn nghĩa vụ cụ thể (mức phạt, danh mục rủi ro cao, tiêu chuẩn đánh giá) sẽ nằm ở đó chứ không phải trong luật gốc. — BÌNH LUẬN (không phải trích dẫn luật): với các công cụ AI dùng cho tra cứu, nghiên cứu pháp lý nội bộ, nguyên tắc minh bạch và trách nhiệm giải trình của Luật này cũng đáng để đội pháp chế cân nhắc khi lựa chọn công cụ — dù luật không quy định riêng cho nhóm công cụ tra cứu/legal-research. Hai câu hỏi thực tế nên đặt ra: (a) dữ liệu truy vấn có được lưu trữ/xử lý ở đâu (data residency) — có phù hợp với chính sách bảo mật nội bộ và Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 hay không; (b) công cụ có trích dẫn rõ nguồn — đúng Điều, Khoản, đúng văn bản còn hiệu lực — để đội pháp chế tự đối chiếu, hay chỉ đưa ra câu trả lời không kiểm chứng được. Đây là góc nhìn thực tiễn khi đánh giá công cụ, không phải nghĩa vụ luật định. Nếu cần tra cứu nhanh một Điều, Khoản cụ thể của Luật Trí tuệ nhân tạo hay các văn bản liên quan trong lúc rà soát, Lawgical đưa kho 150.000+ văn bản pháp luật Việt Nam — cập nhật hàng ngày — vào thẳng Claude, ChatGPT hoặc Gemini bạn đang dùng, trả lời kèm trích dẫn Điều/Khoản để tự đối chiếu.Nguồn: Điều 4, Điều 7, Điều 9, Điều 11, Điều 13, Điều 26, Điều 29, Điều 34, Điều 35 Luật Trí tuệ nhân tạo 134/2025/QH15