Dữ liệu trên Internet đang trở thành nguồn nguyên liệu quan trọng để huấn luyện trí tuệ nhân tạo tạo sinh (Gen AI). Tuy nhiên, một thông tin được công khai không có nghĩa là bất kỳ tổ chức nào cũng có quyền thu thập, khai thác và sử dụng cho mục đích thương mại. Khi Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 1/1/2026, bài toán đặt ra cho doanh nghiệp phát triển AI tại Việt Nam không chỉ là tiếp cận được bao nhiêu dữ liệu, mà còn là sử dụng chúng trên cơ sở pháp lý nào.
Tuy nhiên, khả năng tiếp cận dữ liệu về mặt kỹ thuật không đồng nghĩa với quyền sử dụng dữ liệu về mặt pháp lý.
Dữ liệu công khai không phải dữ liệu vô chủ
Một bức ảnh đăng trên mạng xã hội, hồ sơ nghề nghiệp, bình luận trên diễn đàn hay thông tin cá nhân xuất hiện trong bài báo đều có thể trở thành dữ liệu huấn luyện Gen AI.
Nhờ công nghệ thu thập tự động, doanh nghiệp có thể tập hợp hàng triệu nội dung từ Internet, xử lý và đưa vào các mô hình ngôn ngữ lớn hoặc hệ thống tạo sinh hình ảnh, âm thanh, video. Tuy nhiên, khả năng tiếp cận dữ liệu về mặt kỹ thuật không đồng nghĩa với quyền sử dụng dữ liệu về mặt pháp lý.
Một cá nhân công khai hình ảnh để giao lưu với bạn bè không có nghĩa họ đồng ý cho doanh nghiệp sử dụng hình ảnh đó để huấn luyện AI. Tương tự, việc công khai hồ sơ nghề nghiệp để tìm việc không mặc nhiên cho phép thông tin ấy được khai thác nhằm phát triển sản phẩm công nghệ thương mại. Rõ ràng, công khai thông tin là một hành vi; cho phép bên thứ ba xử lý thông tin cho mục đích mới là một vấn đề pháp lý khác. Đây là ranh giới quan trọng nhưng dễ bị bỏ qua.
Đối với Gen AI, ranh giới này càng đáng chú ý bởi dữ liệu không chỉ được lưu trữ hay hiển thị lại. Chúng có thể ảnh hưởng đến cách mô hình vận hành, tạo nội dung và trả lời người dùng. Trong một số trường hợp, mô hình còn có nguy cơ ghi nhớ hoặc tái tạo thông tin cá nhân từ tập dữ liệu huấn luyện.
Vì vậy, vấn đề doanh nghiệp cần lưu ý là “Dữ liệu này có tìm thấy trên Internet không?”, mà là “Chúng ta có đầy đủ quyền hợp pháp để sử dụng dữ liệu này để huấn luyện AI hay không?”.
Pháp luật Việt Nam quy định thế nào?
Trong quá trình huấn luyện Gen AI, doanh nghiệp có thể thực hiện nhiều hoạt động xử lý dữ liệu: thu thập, phân loại, phân tích, kết hợp, lưu trữ, sử dụng, chia sẻ hoặc chuyển dữ liệu cho đối tác. Các hoạt động này cần được xem xét theo quy định pháp luật áp dụng.
Điểm mấu chốt là không thể mặc nhiên coi dữ liệu cá nhân đã công khai là dữ liệu được tự do sử dụng cho mọi mục đích.
Doanh nghiệp phải xác định căn cứ pháp lý cho hoạt động xử lý, mục đích sử dụng và các nghĩa vụ bảo vệ dữ liệu tương ứng. Từ ngày 1/1/2026, việc xử lý dữ liệu cá nhân tại Việt Nam chịu sự điều chỉnh của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Đối với hoạt động huấn luyện Gen AI, doanh nghiệp phải xác định căn cứ xử lý dữ liệu phù hợp, thay vì mặc nhiên dựa vào việc thông tin đã được công khai. Sự đồng ý của chủ thể dữ liệu và các trường hợp xử lý không cần sự đồng ý phải được xem xét theo đúng điều kiện luật định. Đặc biệt, quyền tiếp cận một nội dung, quyền khai thác nội dung theo pháp luật sở hữu trí tuệ và căn cứ xử lý dữ liệu cá nhân là những vấn đề pháp lý khác nhau, không thể thay thế cho nhau.
Nếu dựa vào sự đồng ý, sự đồng ý đó phải đáp ứng yêu cầu pháp luật; nếu dựa vào trường hợp được xử lý không cần sự đồng ý, doanh nghiệp phải xác định rõ điều kiện áp dụng. Đặc biệt, sự đồng ý cho việc đăng tải hoặc công khai thông tin không đương nhiên là sự đồng ý cho việc huấn luyện AI.
Ngoài Luật Bảo vệ dữ liệu cá nhân, hoạt động này còn có thể chịu sự điều chỉnh của Luật Dữ liệu năm 2024, pháp luật về an ninh mạng, Bộ luật Dân sự và Luật Sở hữu trí tuệ.
Điều 38 Bộ luật Dân sự năm 2015 bảo vệ quyền về đời sống riêng tư, bí mật cá nhân và bí mật gia đình; Điều 32 quy định về quyền của cá nhân đối với hình ảnh. Những quy định này đặc biệt đáng lưu ý khi dữ liệu huấn luyện chứa ảnh chân dung, thông tin đời tư hoặc nội dung có khả năng nhận diện một người cụ thể.
Một tập dữ liệu cũng có thể đồng thời chứa dữ liệu cá nhân và tác phẩm được bảo hộ quyền tác giả. Vì thế, việc đáp ứng yêu cầu bảo vệ dữ liệu cá nhân không đồng nghĩa với việc đã giải quyết xong vấn đề bản quyền.
Cần tuân thủ gì khi thu thập dữ liệu từ Internet
Web scraping, tức sử dụng công cụ tự động thu thập nội dung từ website, là phương thức phổ biến để xây dựng tập dữ liệu huấn luyện AI. Nhưng một website cho phép người dùng truy cập công khai không có nghĩa doanh nghiệp được phép sao chép và khai thác toàn bộ nội dung trên đó.
Trước hết là ranh giới về dữ liệu cá nhân. Doanh nghiệp cần xác định thông tin thu thập có thể nhận diện trực tiếp hoặc gián tiếp một người hay không. Nếu có, việc xử lý phải đáp ứng các yêu cầu pháp luật tương ứng, bất kể dữ liệu được lấy từ nguồn công khai.
Tiếp theo là ranh giới về quyền sở hữu trí tuệ. Bài báo, hình ảnh, sách, tác phẩm nghệ thuật và nhiều loại nội dung trực tuyến có thể được bảo hộ. Không thể chỉ dựa vào việc nội dung xuất hiện trên Internet để kết luận rằng chúng được phép sử dụng cho huấn luyện AI.
Cuối cùng là giới hạn về phương thức tiếp cận. Doanh nghiệp phải xem xét các điều kiện sử dụng dịch vụ, cơ chế kiểm soát truy cập và quy định về bảo mật hệ thống. Việc vượt qua các biện pháp bảo vệ kỹ thuật để thu thập dữ liệu có thể làm phát sinh rủi ro pháp lý riêng.
Nói cách khác, thu thập dữ liệu để huấn luyện AI không đơn thuần là bài toán kỹ thuật. Đó là hoạt động phải được quản trị đồng thời về pháp lý, công nghệ và đạo đức.
Rủi ro lớn nằm ở dữ liệu nhạy cảm và khả năng tái nhận diện
Thực tế cho thấy không phải mọi dữ liệu cá nhân đều có mức độ rủi ro như nhau. Một người có thể chia sẻ trải nghiệm điều trị bệnh trên diễn đàn để tìm kiếm sự đồng cảm. Nhưng nếu nội dung đó bị thu thập, kết hợp với thông tin khác và đưa vào mô hình AI, hậu quả đối với quyền riêng tư có thể vượt xa mục đích chia sẻ ban đầu. Tương tự, dữ liệu tài chính, sinh trắc học, vị trí hoặc những thông tin riêng tư khác đòi hỏi mức độ thận trọng cao hơn.
Rủi ro còn đến từ khả năng kết hợp dữ liệu. Một bình luận ẩn danh có thể không tiết lộ danh tính, nhưng khi ghép với địa điểm, nghề nghiệp, hình ảnh và lịch sử hoạt động trực tuyến, cá nhân liên quan có thể bị nhận diện.
Bởi vậy, xóa tên hoặc số điện thoại không có nghĩa dữ liệu đã được ẩn danh an toàn. Đối với Gen AI, doanh nghiệp cần đánh giá cả nguy cơ tái nhận diện lẫn khả năng mô hình ghi nhớ, tiết lộ thông tin cá nhân thông qua nội dung đầu ra. Những nguồn dữ liệu chứa thông tin nhạy cảm, dữ liệu trẻ em hoặc thông tin có nguy cơ gây tổn hại đáng kể cần được sàng lọc và áp dụng biện pháp bảo vệ phù hợp.
Thay vì thu thập càng nhiều dữ liệu càng tốt, doanh nghiệp nên xây dựng chiến lược dữ liệu dựa trên tính hợp pháp, tính cần thiết và khả năng kiểm soát.
Xóa dữ liệu khỏi mô hình AI: Bài toán không đơn giản
Một trong những thách thức pháp lý và kỹ thuật lớn nhất xuất hiện khi chủ thể dữ liệu yêu cầu xóa thông tin đã được sử dụng để huấn luyện AI.
Với cơ sở dữ liệu thông thường, doanh nghiệp có thể xác định và xóa một bản ghi cụ thể. Nhưng trong mô hình AI, dữ liệu đã tham gia vào quá trình điều chỉnh các tham số, khiến việc loại bỏ hoàn toàn ảnh hưởng của chúng trở nên phức tạp.
Xóa dữ liệu khỏi kho lưu trữ hoặc tập huấn luyện không nhất thiết đồng nghĩa với việc mô hình đã ngừng ghi nhớ thông tin đó. Doanh nghiệp vì thế cần xây dựng cơ chế quản lý dữ liệu ngay từ đầu như: ghi nhận nguồn gốc, kiểm soát phiên bản tập huấn luyện, tiếp nhận yêu cầu của chủ thể dữ liệu và đánh giá các biện pháp kỹ thuật nhằm hạn chế hoặc loại bỏ ảnh hưởng của dữ liệu khi cần thiết. Điều quan trọng là không đưa ra cam kết xóa hoàn toàn dữ liệu khỏi mô hình nếu chưa có cơ sở kỹ thuật để kiểm chứng.
Bên cạnh đó, việc sử dụng đối tác gắn nhãn dữ liệu, nhà cung cấp điện toán đám mây hoặc hạ tầng huấn luyện đặt tại nước ngoài có thể làm phát sinh thêm nghĩa vụ về bảo mật, phân định trách nhiệm và chuyển dữ liệu cá nhân xuyên biên giới.
Doanh nghiệp cũng cần xác định trường hợp phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân hoặc đánh giá tác động chuyển dữ liệu xuyên biên giới theo quy định hiện hành.
Muốn huấn luyện Gen AI đúng luật, doanh nghiệp cần làm gì?
Thay vì thu thập càng nhiều dữ liệu càng tốt, doanh nghiệp nên xây dựng chiến lược dữ liệu dựa trên tính hợp pháp, tính cần thiết và khả năng kiểm soát.
Trước khi huấn luyện, cần xác định rõ nguồn dữ liệu, loại thông tin được thu thập, mục đích sử dụng và căn cứ pháp lý tương ứng. Những nguồn dữ liệu không chứng minh được quyền sử dụng nên được loại trừ hoặc đánh giá bổ sung.
Doanh nghiệp cần ưu tiên dữ liệu được cấp phép hợp lệ, dữ liệu tổng hợp hoặc dữ liệu đã được ẩn danh hiệu quả. Các thông tin nhận diện không cần thiết cho mục tiêu huấn luyện nên được loại bỏ.
Trong quá trình xử lý, cần áp dụng biện pháp bảo mật, phân quyền truy cập, lưu vết hoạt động và kiểm tra nguy cơ mô hình tiết lộ dữ liệu cá nhân. Khi triển khai sản phẩm, doanh nghiệp phải tiếp tục giám sát đầu ra, tiếp nhận phản ánh, xử lý yêu cầu hợp pháp của chủ thể dữ liệu và cập nhật biện pháp bảo vệ khi phát sinh rủi ro mới. Quan trọng hơn, trách nhiệm tuân thủ không chỉ thuộc về bộ phận pháp chế. Đội ngũ kỹ thuật, quản trị dữ liệu, an toàn thông tin và phát triển sản phẩm cần cùng tham gia ngay từ giai đoạn thiết kế. Vì một mô hình AI có thể hoạt động tốt về mặt kỹ thuật nhưng vẫn tiềm ẩn rủi ro lớn nếu nguồn dữ liệu huấn luyện thiếu minh bạch.
Dữ liệu cá nhân công khai không phải nguồn tài nguyên được tự do khai thác. Với Gen AI, câu hỏi quyết định không phải doanh nghiệp có thể thu thập bao nhiêu dữ liệu, mà là có quyền sử dụng chúng đến đâu và kiểm soát được những rủi ro nào. Phát triển AI có trách nhiệm vì thế phải bắt đầu từ tính hợp pháp của dữ liệu đầu vào, chứ không thể chỉ trông chờ vào việc khắc phục hậu quả ở đầu ra, khi mọi việc dường như là chuyện đã rồi.
