Triển khai AI tại Việt Nam 2026 – 3 cửa ải theo Luật Trí tuệ nhân tạo và chênh lệch 1.8 lần công sức

Triển khai AI tại Việt Nam đã đi theo một trình tự khác hẳn các nước ASEAN còn lại, kể từ khi Luật Trí tuệ nhân tạo có hiệu lực ngày 1 tháng 3 năm 2026. Việt Nam là quốc gia duy nhất trong ASEAN có một đạo luật AI toàn diện đi trước. Nếu doanh nghiệp vẫn làm theo trình tự quen thuộc ở Thái Lan và các cơ sở ASEAN khác, tức là chạy PoC trước, thành công thì nhân rộng, còn quản trị thì tính sau, thì tại Việt Nam dự án sẽ dừng lại đúng ở giai đoạn nhân rộng. Bài viết này chỉ ra ba cửa ải mà cơ sở sản xuất của doanh nghiệp Nhật Bản tại Việt Nam chắc chắn phải đi qua, cùng con số cụ thể về chênh lệch công sức khi cho phần tuân thủ chạy song hành với PoC.

Triển khai AI tại Việt Nam đi theo trình tự khác các nước khác

Mức độ ứng dụng AI của doanh nghiệp Việt Nam đang sôi động nhất khu vực Đông Nam Á. Khảo sát của Deloitte cho thấy 93% doanh nghiệp Việt Nam trả lời rằng họ đã triển khai hoặc đang cân nhắc AI. Con số này được truyền thông trong và ngoài nước trích dẫn rất nhiều, nhưng đọc thẳng thành “93% đã triển khai xong” là sai. Cũng trong khảo sát đó, tỷ lệ doanh nghiệp đã đi tới mức nhân rộng toàn diện (at scale) chỉ dừng ở 13.8%. Con số 93% có phạm vi rộng, bao gồm cả giai đoạn cân nhắc; còn 13.8% có phạm vi hẹp, chỉ tính những doanh nghiệp đã vượt qua vận hành giới hạn để nhân rộng thật sự. Rất nhiều doanh nghiệp đang chuyển động, nhưng số đi được tới nhân rộng chưa đầy một trên bảy. Chính khoảng cách này mô tả đúng những gì đang diễn ra tại Việt Nam.

Có thêm vài con số làm chứng cứ cho nhận định trên. Tỷ lệ doanh nghiệp có chiến lược AI được văn bản hóa là 36.5%. Tỷ lệ doanh nghiệp coi thiếu hụt nhân lực là ràng buộc lớn nhất là 55%. Trong lĩnh vực sản xuất, 21% doanh nghiệp đang tìm kiếm giải pháp AI. Nói cách khác, ý chí và các thử nghiệm riêng lẻ thì đã đủ, nhưng tài liệu chiến lược và nhân lực không theo kịp, nên phần lớn vẫn giậm chân ở giai đoạn PoC hoặc vận hành giới hạn.

Nhiệt độ từ phía các doanh nghiệp Nhật Bản cũng vẫn rất cao. Hiện có khoảng 2400 công ty Nhật Bản đầu tư tại Việt Nam, trong đó ngành sản xuất chiếm khoảng 26%. Tỷ lệ doanh nghiệp Nhật Bản tại Việt Nam trả lời sẽ mở rộng kinh doanh trong một đến hai năm tới đạt 56.1%, mức cao nhất trong ASEAN. Ở chiều ngược lại, 62.0% nêu chi phí nhân công tăng cao là rủi ro của môi trường đầu tư. Theo nghị định ban hành tháng 11 năm 2025, lương tối thiểu vùng đã tăng bình quân khoảng 7% kể từ ngày 1 tháng 1 năm 2026. Tại miền Bắc, các khoản đầu tư quy mô lớn của doanh nghiệp Trung Quốc, Hàn Quốc và Đài Loan còn làm cuộc cạnh tranh giành nhân lực nóng thêm. Muốn mở rộng nhưng không thể tăng đầu người, nên việc hướng tới AI như một phương tiện tiết giảm lao động là dòng chảy tự nhiên.

Trên nền giậm chân đó, từ năm 2026 khung pháp lý chồng thêm vào. Ngày 10 tháng 12 năm 2025, Quốc hội đã thông qua Luật Trí tuệ nhân tạo (số hiệu 134/2025/QH15, Luật Trí tuệ nhân tạo) và luật có hiệu lực từ ngày 1 tháng 3 năm 2026. Đây là đạo luật AI độc lập đầu tiên của ASEAN. Cấu trúc khá gọn với 8 chương 35 điều, phần lớn chi tiết được giao cho nghị định của Chính phủ quy định. Dự thảo nghị định đã được công bố vào tháng 2 năm 2026.

Điều quan trọng ở đây không nằm ở nội dung luật, mà nằm ở trình tự. Thay vì chốt xong toàn bộ chi tiết rồi mới cho hiệu lực, Việt Nam để luật đứng lên trước, còn nghị định và danh mục đăng ký thì lấp dần về sau. Các cơ sở sản xuất của doanh nghiệp Nhật Bản tại Việt Nam vì thế rơi vào trạng thái đang chồng chất PoC thì đã bị yêu cầu phân loại và thông báo dưới một đạo luật đã có hiệu lực. Luật đi trước trong khi 93% đang chuyển động mà mới 13.8% nhân rộng được, đó là tình huống đặc thù của Việt Nam.

Vì sao cách làm chạy PoC trước lại khó áp dụng riêng tại Việt Nam

Luật Trí tuệ nhân tạo có quy định chuyển tiếp cho các hệ thống AI đã vận hành trước ngày luật có hiệu lực. Ba lĩnh vực y tế, giáo dục và tài chính được 18 tháng, các lĩnh vực còn lại được 12 tháng. Vì ngày có hiệu lực là 1 tháng 3 năm 2026, thời hạn sẽ như sau.

Nhà máy của doanh nghiệp Nhật Bản về nguyên tắc thuộc nhóm các lĩnh vực khác. Nghĩa là hạn chót là ngày 1 tháng 3 năm 2027. Tính ngược từ thời điểm bạn đọc bài viết này, quỹ thời gian không còn nhiều. Hơn nữa, quy định chuyển tiếp không có nghĩa là trong khoảng thời gian đó không cần làm gì, mà có nghĩa là phải đưa hệ thống về trạng thái phù hợp trong khoảng thời gian đó. Nếu bắt tay ngay sát hạn, doanh nghiệp sẽ phải chọc tay vào hệ thống đang chạy.

Những phần làm lại phát sinh khi khởi động muộn có thể quy về ba nhóm lớn.

Thứ nhất, việc hỏi lại nhà cung cấp sẽ kéo theo cả đàm phán lại hợp đồng. Nếu đang dùng SaaS hoặc API bên ngoài có tính năng AI, doanh nghiệp cần xác nhận nhà cung cấp đó đã hoàn tất thông báo với tư cách bên cung cấp tại Việt Nam hay chưa, và nếu chưa thì phần trách nhiệm rơi lên doanh nghiệp là gì. Trước khi triển khai thì chỉ cần đưa câu hỏi này vào tiêu chí lựa chọn là xong; nhưng hỏi sau khi đã vận hành, nếu câu trả lời không như mong đợi, sẽ phát sinh việc rà lại điều khoản hợp đồng hoặc cân nhắc chuyển đổi nhà cung cấp.

Thứ hai, việc đưa yêu cầu minh bạch lên giao diện sẽ kéo theo kiểm thử hồi quy. Luật yêu cầu thông báo cho người dùng biết họ đang tương tác với AI, và công khai nội dung do AI tạo ra bao gồm âm thanh, hình ảnh và video. Đây là yêu cầu được điều chỉnh theo mức rủi ro và bối cảnh, nhưng một khi thuộc diện áp dụng thì phải thay đổi hiển thị trên màn hình và trên sản phẩm đầu ra. Nếu đưa vào ngay từ giai đoạn thiết kế thì chỉ mất vài giờ, còn gắn thêm vào hệ thống đang chạy chính thức thì phải rà phạm vi ảnh hưởng và kiểm thử lại.

Thứ ba, quyết định có dừng hệ thống đang chạy hay không sẽ trở thành việc của ban lãnh đạo. Nếu kết quả phân loại rơi vào rủi ro trung bình và phát hiện là chưa hoàn tất thông báo trước khi vận hành, doanh nghiệp phải quyết định dừng cho tới khi thông báo xong, hay vừa chạy vừa thông báo. Quyết định này hiện trường không tự đưa ra được, phải có cuộc họp cấp cao. Các cuộc họp như vậy khó nhìn thấy trên bảng công sức, nhưng trên thực tế lại ngốn nhiều thời gian nhất.

Cả ba nhóm này đều thuộc loại đã không phát sinh nếu phân loại được hoàn tất ngay từ giai đoạn PoC. Vì vậy, ở cơ sở tại Việt Nam, việc kiểm kê mục đích sử dụng, phân loại rủi ro và thông báo trước bắt buộc phải chạy song hành với PoC. Chỉ đổi trình tự thôi là công sức đã khác, đó là luận điểm của bài viết này. Khác bao nhiêu thì phần sau sẽ quy ra con số cụ thể.

Cửa ải 1 – Vị thế của doanh nghiệp thay đổi theo từng dự án

Cửa ải đầu tiên là xác định doanh nghiệp đang đứng ở vị thế nào. Luật Trí tuệ nhân tạo phân chia các chủ thể liên quan đến hệ thống AI thành những vai trò như bên phát triển, bên cung cấp và bên triển khai sử dụng, rồi gán nghĩa vụ tương ứng. Và cấu trúc của luật là bên cung cấp phải thực hiện phân loại trước khi đưa vào sử dụng.

Điểm khiến nhiều cơ sở của doanh nghiệp Nhật Bản vấp ngã là kết luận theo đơn vị công ty rằng chúng tôi chỉ dùng công cụ của nhà cung cấp nên là bên triển khai sử dụng. Vị thế không được quyết định theo đơn vị công ty, mà theo từng dự án. Trong cùng một nhà máy, ở dự án này doanh nghiệp chỉ là bên triển khai sử dụng, còn ở dự án khác lại trở thành bên cung cấp, đó là chuyện hoàn toàn bình thường.

Đặc biệt cần lưu ý là thời điểm doanh nghiệp tự dựng RAG hoặc chatbot trong nội bộ. Ngay cả khi chỉ gọi API của một LLM thương mại, nếu doanh nghiệp cho nó đọc tài liệu của mình, dựng màn hình của mình và cho nhân viên hoặc đối tác của mình sử dụng, thì bên cung cấp tổ hợp đó chính là doanh nghiệp. Bên cung cấp mô hình nền chỉ đang cung cấp API, còn người quyết định cho ai dùng hệ thống AI đó và dùng như thế nào lại là doanh nghiệp. Vạch sai ranh giới này đồng nghĩa với việc vận hành mà không nhận ra nghĩa vụ thông báo thuộc về mình.

Một điểm nữa, Luật Trí tuệ nhân tạo của Việt Nam có hiệu lực ngoài lãnh thổ. Đối tượng áp dụng là tổ chức và cá nhân Việt Nam cũng như nước ngoài có tham gia vào hoạt động liên quan đến AI trên lãnh thổ Việt Nam. Một hệ thống do trụ sở chính tại Nhật Bản phát triển rồi phát cho nhà máy ở Việt Nam, hay một dịch vụ đám mây chạy trên vùng Singapore, nếu có liên quan tới hoạt động trong lãnh thổ Việt Nam thì đều nằm trong tầm với của luật này. Tách bạch rằng đây chỉ là chuyện của pháp nhân tại chỗ là một cách nghĩ nguy hiểm.

Xác định vị thế qua 6 mô hình điển hình tại nhà máy sản xuất

Dưới đây là phần sắp xếp lại vị thế và điểm cần lưu ý cho sáu mô hình xuất hiện nhiều nhất trong thực tế.

Việc xác định này không phải làm một lần là xong. Mục đích sử dụng tăng thì dự án tăng, và mỗi dự án lại cần một lần xác định. Chính vì vậy, dựng sẵn khuôn mẫu xác định khi số dự án còn ít sẽ rẻ hơn nhiều. Về cách sắp xếp các tình huống cho nhân viên sử dụng AI tạo sinh, mời tham khảo thêm cách xây dựng quy chế sử dụng AI tạo sinh. Chỉ cần thêm một cột trong quy chế để ghi mục đích này thì ai là bên cung cấp, việc kiểm kê về sau đã nhẹ đi đáng kể.

Cửa ải 2 – Phân loại rủi ro AI do mục đích sử dụng quyết định chứ không phải sản phẩm

Cửa ải thứ hai là phân loại rủi ro. Luật Trí tuệ nhân tạo của Việt Nam áp dụng ba mức cao, trung bình và thấp. Tiêu chí phân loại là tác động tiềm tàng tới tính mạng, sức khỏe, quyền và lợi ích hợp pháp của con người, lợi ích công cộng và trật tự xã hội; chi tiết sẽ do nghị định của Chính phủ quy định.

Điều dễ bị hiểu nhầm nhất trong ba mức này là đơn vị phân loại. Phân loại được quyết định bởi mục đích sử dụng, không phải bởi sản phẩm. Cùng một LLM, dùng để tóm tắt biên bản họp nội bộ và dùng cho chatbot đa ngôn ngữ hướng ra bên ngoài sẽ có phân loại khác nhau. Nếu sắp xếp theo đơn vị sản phẩm kiểu công ty chúng tôi dùng LLM của hãng A nên thuộc rủi ro thấp, thì hồ sơ căn cứ sẽ vỡ ngay khi mục đích sử dụng tăng lên. Trong tình huống kiểm toán hoặc cơ quan quản lý hỏi tới, điều đau nhất không phải là phân loại sai, mà là không giải thích được căn cứ phân loại.

Nghĩa vụ khi rơi vào rủi ro cao thì nặng hơn nhiều. Sẽ có thêm quản lý rủi ro và bảo đảm an toàn trên toàn vòng đời, giám sát bởi con người, lưu giữ tài liệu kỹ thuật và hồ sơ, tuân thủ các tiêu chuẩn áp dụng, cùng đánh giá sự phù hợp theo quy định của cơ quan quản lý. Một khi đánh giá sự phù hợp xuất hiện, việc ứng phó không còn gói gọn trong khâu làm hồ sơ nội bộ mà cần một kế hoạch có sự tham gia của bên ngoài.

Về rủi ro trung bình, dự thảo nghị định công bố tháng 2 năm 2026 đưa ra ví dụ về các yếu tố kích hoạt, gồm việc không nêu rõ đang tương tác với AI, deepfake và truyền thông tổng hợp, cùng việc tạo nội dung thao túng độ tin cậy. Với rủi ro cao, cách xây dựng là những gì được đưa vào danh mục AI rủi ro cao do Thủ tướng Chính phủ quy định thì thuộc diện này. Vì đã ở dạng danh mục, nội dung sẽ còn được cập nhật trong tương lai. Hãy quyết định biểu mẫu hồ sơ căn cứ trên giả định rằng phân loại không phải là thứ cố định một lần là xong.

Thử phân loại 10 use case thường gặp trong nhà máy sản xuất

Dưới đây là danh sách các mục đích sử dụng thường gặp tại nhà máy của doanh nghiệp Nhật Bản, kèm phán đoán sơ bộ dựa trên thông tin hiện có. Phân loại cuối cùng vẫn phải theo nội dung nghị định và danh mục, nhưng bảng này giúp hình dung nên suy nghĩ theo trục nào.

Nhìn bảng có thể thấy các nghiệp vụ lõi của nhà máy như kiểm tra, bảo trì và lập kế hoạch nghiêng về rủi ro thấp, còn mục đích nào càng chạm tới con người thì phân loại càng đi lên. Phán đoán thực tiễn rút ra từ đây rất đơn giản. Hãy chạy PoC từ các mục đích rủi ro thấp trước, còn những mục đích chạm tới con người thì chốt xong phân loại và bộ máy rồi mới bắt tay. Chỉ cần theo trình tự này, số dự án từ rủi ro trung bình trở lên phải xử lý trước hạn chuyển tiếp đã giảm đi đáng kể.

Ngoài ra, việc chọn dịch vụ nào cũng quyết định gánh nặng thông báo với tư cách bên cung cấp có rơi lên doanh nghiệp hay không. Về việc lựa chọn dịch vụ nền tảng, các trục đánh giá đã được sắp xếp trong bài so sánh dịch vụ AI tạo sinh cho doanh nghiệp. Khi dùng tại cơ sở ở Việt Nam, hãy thêm một trục nữa vào bộ tiêu chí thông thường, đó là nhà cung cấp gánh giúp tới đâu vị thế bên cung cấp tại Việt Nam.

Cửa ải 3 – Thông báo trước không phải phê duyệt nhưng hồ sơ căn cứ vẫn ở lại

Cửa ải thứ ba là thông báo trước. Hệ thống AI thuộc rủi ro trung bình và rủi ro cao phải thông báo tới cơ quan quản lý có thẩm quyền trước khi vận hành, thông qua hệ thống thông tin AI quốc gia, tức cổng điện tử một cửa về AI.

Nội dung đưa vào thông báo gồm thông tin bên cung cấp, định danh hệ thống, tự phân loại và biện pháp giảm thiểu rủi ro. Điều cần nắm ở đây là đây không phải thủ tục phê duyệt. Đây không phải cơ chế chờ cơ quan quản lý cho phép rồi mới được vận hành, mà là cơ chế đăng ký vào cơ sở dữ liệu thông qua thông báo. Khác biệt này rất lớn trong thực tiễn, và doanh nghiệp không cần lo chuyện dự án đứng lại vì chờ thẩm định.

Tuy nhiên, không phải phê duyệt không có nghĩa là gánh nặng nhẹ đi. Nếu là chế độ phê duyệt thì cơ quan quản lý sẽ phán đoán tính hợp lý của phân loại, còn ở chế độ thông báo thì trách nhiệm phân loại ở lại với doanh nghiệp cho tới cùng. Nội dung đã thông báo, đặc biệt là tự phân loại và căn cứ của nó, được lưu giữ như tài liệu của doanh nghiệp và sẽ là đối tượng bị chất vấn về sau. Chính vì thế, làm hồ sơ căn cứ theo kiểu gắn thêm về sau là phương án kém lợi nhất. Thứ chỉ cần vài dòng ghi lại vì sao chọn phân loại đó ngay lúc quyết định mục đích sử dụng, nếu để một năm sau mới lần theo trí nhớ dựng lại thì tốn gấp nhiều lần thời gian.

Thông báo cũng không phải nộp một lần là hết. Nếu có thay đổi làm dịch chuyển mức rủi ro thì cần phân loại lại. Thay dữ liệu huấn luyện, mở mục đích vốn giới hạn nội bộ ra bên ngoài, hoặc cho kết quả phán đoán phản ánh thẳng mà không qua xác nhận của con người, tất cả đều là ngòi nổ cho việc phân loại lại. Chỉ cần chèn một dòng kiểm tra vào quy trình quản lý thay đổi, hỏi rằng thay đổi này có làm dịch chuyển mức rủi ro không, là đã phòng được việc bỏ sót phân loại lại.

Về nghĩa vụ sau khi vận hành, có báo cáo sự cố. Rủi ro cao là trong vòng 48 giờ kể từ khi xác nhận, rủi ro trung bình là trong vòng 72 giờ kể từ khi xác nhận. Trục thời gian này tan rất nhanh nếu phải chèn thêm tuyến báo cáo về trụ sở chính tại Nhật Bản. Trong 48 giờ, nếu dùng trọn một ngày cho xác minh sự việc tại chỗ và leo thang nội bộ thì chỉ còn lại một ngày. Cần chốt trước khi sự cố xảy ra rằng ai là người soạn báo cáo và ai là người phê duyệt.

Nếu đặt cạnh nhau mức độ nặng của nghĩa vụ giữa rủi ro trung bình và rủi ro cao thì sẽ như bảng dưới. Phía rủi ro cao là những gì luật ghi rõ là nghĩa vụ bổ sung, còn phía rủi ro trung bình là phần luật không nêu rõ mà giao cho nghị định.

Đọc phần luật không nêu rõ ở cột rủi ro trung bình thành không cần làm là vội vàng. Vì khi thông báo vẫn phải ghi tự phân loại và biện pháp giảm thiểu rủi ro, nên rốt cuộc vẫn cần hồ sơ làm căn cứ cho những nội dung đó. Dù hình thức không đòi hỏi chặt như rủi ro cao, riêng căn cứ phân loại thì với rủi ro trung bình cũng nên lưu lại, đó là cách làm thực tiễn.

Về chế tài, bản thân Luật Trí tuệ nhân tạo chưa xác định cụ thể mà giao cho các quy định tiếp theo. Đọc việc chưa chốt mức tiền thành có thể còn nghe ngóng là một phán đoán nguy hiểm. Chốt xong thiết kế trước khi mức chế tài được quy định vẫn chắc chắn hơn là nhìn mức chế tài rồi mới cuống lên.

Tác động kép với Luật Bảo vệ dữ liệu cá nhân – nền tảng thứ hai đổi từ ngày 1 tháng 1 năm 2026

Tại Việt Nam, hai tháng trước Luật Trí tuệ nhân tạo, nền tảng bảo vệ dữ liệu cá nhân cũng đã được thay mới. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (thông qua ngày 26 tháng 6 năm 2025) cùng nghị định hướng dẫn 356/2025/ND-CP (ngày 31 tháng 12 năm 2025) đều có hiệu lực từ ngày 1 tháng 1 năm 2026, và nghị định cũ 13/2023/ND-CP đã hết hiệu lực. Sự tương thích với Luật Dữ liệu 60/2024/QH15 vốn đã có hiệu lực từ ngày 1 tháng 7 năm 2025 cũng được xử lý. Ngoài ra, Luật sửa đổi về sở hữu trí tuệ 131/2025/QH15 có hiệu lực từ ngày 1 tháng 4 năm 2026, bổ sung thêm các vấn đề về huấn luyện AI, tài sản hóa quyền sở hữu trí tuệ và trách nhiệm của nền tảng.

Trong khung mới, cấu trúc và cách nộp hồ sơ đánh giá tác động, thủ tục chuyển dữ liệu xuyên biên giới và cách thiết kế bộ máy bảo vệ đều đã được cụ thể hóa. Quy về thực tiễn nhà máy, điều này nghĩa là cứ mỗi tình huống AI chạm vào dữ liệu cá nhân thì cần một bản đánh giá tác động. Và những tình huống đó gần như trùng khớp với các mục đích sử dụng dễ bị nâng mức rủi ro theo Luật Trí tuệ nhân tạo.

Ở đây có một lối đi giúp làm nhẹ công việc thực tế. Đó là vì việc phân loại theo Luật Trí tuệ nhân tạo và việc đánh giá tác động theo Luật Bảo vệ dữ liệu cá nhân có thể dùng chung một bản kiểm kê mục đích sử dụng làm cửa vào. Chỉ cần làm một lần danh sách trả lời câu hỏi nghiệp vụ nào, dùng dữ liệu gì, đưa vào AI nào, phục vụ cho ai, thì từ danh sách đó có thể phái sinh ra cả căn cứ phân loại theo luật AI lẫn bản đánh giá tác động theo luật dữ liệu cá nhân. Ngược lại, nếu để hai bộ phận khác nhau chạy hai việc này bằng hai biểu mẫu khác nhau thì sẽ phải đi phỏng vấn cùng một nội dung tới hai lần. Với các cơ sở tại Việt Nam có phòng hệ thống thông tin và phòng hành chính tách biệt, việc chốt sự tích hợp này ngay từ đầu rất đáng giá.

Chuyển dữ liệu xuyên biên giới cũng gắn thẳng với việc dùng AI. Nếu gửi dữ liệu cá nhân thu thập trong lãnh thổ Việt Nam sang hệ thống của trụ sở chính tại Nhật Bản hoặc sang dịch vụ AI đặt tại vùng nước ngoài thì đó chính là chuyển dữ liệu xuyên biên giới. Khi dùng dịch vụ AI tạo sinh, không ít trường hợp doanh nghiệp không nắm được dữ liệu được xử lý tại vùng nào. Hãy đặt sẵn các trường để điền nơi xử lý và luồng dữ liệu ngay ở giai đoạn kiểm kê mục đích sử dụng.

Bài toán ước tính – tại cơ sở 400 người khoảng cách giữa song hành và chạy sau là khoảng 1.8 lần

Đến đây hãy quy mọi thứ về công sức. Đây không phải một dự án có thật mà là bài toán mô hình đặt trên các điều kiện thường gặp ở nhà máy Nhật Bản tại Việt Nam. Các giả định đều được nêu rõ, bạn hãy thay bằng điều kiện của mình để sử dụng.

Giả định như sau. Quy mô cơ sở là 400 người. Số mục đích đang dùng AI hoặc đang cân nhắc là 12. Trong đó rủi ro thấp 10, rủi ro trung bình 2 gồm chatbot đa ngôn ngữ đối ngoại và hình ảnh quảng bá do AI tạo sinh, rủi ro cao 0. Một người-ngày quy đổi bằng 8 giờ.

Công việc chuẩn cho mỗi mục đích được tách thành năm phần. (1) Kiểm kê và mô tả mục đích sử dụng. (2) Phân loại rủi ro và lập hồ sơ căn cứ. (3) Hỏi nhà cung cấp về tình trạng thông báo. (4) Chỉ với rủi ro trung bình, thủ tục thông báo qua cổng điện tử. (5) Chỉ với rủi ro trung bình, đưa việc nêu rõ tương tác AI và công khai nội dung lên giao diện. Các phần từ (1) đến (3) phát sinh cho cả 12 mục đích, còn (4) và (5) chỉ phát sinh với 2 mục đích rủi ro trung bình.

Trước hết là kịch bản B (song hành), tức chuẩn bị xong trước khi vận hành.

Tính ra 12 x (2 + 4 + 3) = 108 giờ, cộng với 2 mục đích rủi ro trung bình x (6 + 8) = 28 giờ, tổng cộng là 136 giờ tương đương 17 người-ngày. Vì tiền đề là chạy song hành với PoC nên hồ sơ căn cứ ở bước (2) được viết ngay sau khi chốt mục đích, còn bước (5) được đưa vào ngay trong thiết kế màn hình đầu tiên. Nhờ vậy thời gian cho mỗi đầu việc mới gọn được như trên.

Tiếp theo là kịch bản A (chạy sau), tức bắt tay ngay sát hạn chuyển tiếp. Có ba chỗ thay đổi. Bước (3) tăng từ 3 giờ lên 8 giờ vì phải chèn thêm việc đàm phán lại hợp đồng với nhà cung cấp. Bước (5) tăng từ 8 giờ lên 20 giờ vì là gắn thêm vào giao diện đang chạy chính thức nên cần kiểm thử hồi quy. Ngoài ra, cộng thêm 20 giờ cho cuộc họp quyết định có tạm dừng hay không đối với 2 mục đích rủi ro trung bình đang vận hành.

Tính ra 12 x (2 + 4 + 8) = 168 giờ, cộng 2 mục đích rủi ro trung bình x (6 + 20) = 52 giờ, cộng 20 giờ họp, tổng cộng là 240 giờ tương đương 30 người-ngày.

Chênh lệch là 104 giờ tương đương 13 người-ngày, quy ra hệ số là khoảng 1.8 lần. Cùng 12 mục đích, cùng một mức chất lượng, chỉ khác trình tự bắt tay mà đã lệch tới 13 người-ngày. Với cơ sở chỉ có vài người phụ trách hệ thống thông tin, 13 người-ngày nặng ngang việc phải dừng trọn một dự án khác. Hơn nữa, trong bối cảnh 56.1% doanh nghiệp Nhật Bản tại Việt Nam dự kiến mở rộng kinh doanh trong một đến hai năm tới, trong khi 62.0% nêu chi phí nhân công tăng cao là rủi ro, thì phương án tuyển thêm người để hấp thụ 13 người-ngày này là rất khó chọn.

Cách đọc bài toán này có hai lưu ý. Thứ nhất, chỉ cần xuất hiện một mục đích rủi ro cao thì đánh giá sự phù hợp sẽ được cộng vào và con số vượt ra ngoài phạm vi của bài toán. Với cơ sở có các mục đích chạm tới con người, hãy xem đây là cận dưới. Thứ hai, bài toán không quy ra tiền. Đơn giá giờ công tại cơ sở ở Việt Nam thay đổi rất mạnh theo cấp bậc và mức độ tham gia của chuyên gia người Nhật, nên không thể đặt một căn cứ hợp lý. Hãy thảo luận bằng công sức, còn đơn giá thì áp số thực tế của doanh nghiệp mình.

Nắm thêm độ nhạy khi thay đổi giả định sẽ giúp việc giải thích dễ hơn. Nếu số mục đích rủi ro trung bình tăng từ 2 lên 4, thì ở kịch bản B phần 28 giờ tăng thành 56 giờ, còn ở kịch bản A phần 52 giờ tăng thành 104 giờ. Nghĩa là mục đích rủi ro trung bình càng nhiều thì hiệu quả của việc chạy song hành càng lớn. Ngược lại, với cơ sở mà toàn bộ mục đích đều gói gọn trong rủi ro thấp thì chênh lệch chỉ còn nằm ở bước (3) và hệ số thu hẹp lại. Ước lượng xem số mục đích rủi ro trung bình của mình sẽ là bao nhiêu chính là chỗ rẽ của quyết định này.

Có thể mang nguyên thiết kế của cơ sở tại Thái Lan sang Việt Nam không

Đây là câu hỏi nhiều nhất từ các doanh nghiệp có cơ sở ở cả Thái Lan lẫn Việt Nam. Nói ngay kết luận, không thể phát nguyên bộ quy chế sang nhau được. Lý do là trong bức tranh quy định AI ASEAN, hai nước đang đứng ở hai giai đoạn trưởng thành thể chế khác hẳn nhau.

Luật AI của Thái Lan vẫn chưa có hiệu lực. Ngày 2 tháng 7 năm 2026, ETDA đã công bố bản dự thảo sửa đổi và đưa ra lấy ý kiến công chúng trong khoảng 30 ngày. Dự thảo áp dụng ba nhóm gồm cấm, rủi ro cao và sử dụng thông thường. Thái Lan cũng đã có các quy định theo từng lĩnh vực liên quan tới AI, nhưng một đạo luật AI toàn diện thì chưa được thông qua. Trong khi đó Việt Nam đã có hiệu lực, và nghĩa vụ thông báo trước khi vận hành đang phát huy tác dụng trên thực tế. Tình hình tại Thái Lan và cách đẩy việc ứng dụng AI đã được sắp xếp trong bài triển khai AI tại Thái Lan.

Bản thân khung phân loại cũng không trùng nhau. Việt Nam dùng ba mức cao, trung bình và thấp; dự thảo của Thái Lan dùng ba nhóm cấm, rủi ro cao và sử dụng thông thường. Số bậc bằng nhau nhưng nội dung khác nhau, nên không thể chuyển đổi kết quả phân loại một cách máy móc. Việc một mục đích được phân loại rủi ro trung bình tại Việt Nam sẽ rơi vào đâu trong dự thảo của Thái Lan là công việc lập bảng đối chiếu sau khi dự thảo được chốt.

Lớp có thể dùng chung và lớp phải tách theo từng cơ sở

Dù vậy, không cần làm mọi thứ riêng biệt. Nếu thiết kế theo từng lớp thì phần có thể dùng chung là khá nhiều.

Cách chia này còn có hiệu ứng phụ tích cực. Nếu chốt xong lớp dùng chung trước, thì khi luật AI của Thái Lan được thông qua, phần phải làm thêm chỉ còn là định nghĩa phân loại và thủ tục. Ngược lại, nếu mỗi nước lại soạn quy chế từ đầu thì mỗi lần sửa luật là một lần viết lại toàn văn. Cách làm chung khi triển khai cùng một cơ chế ra nhiều cơ sở đã được tổng hợp trong bài triển khai hệ thống cho nhà máy ở nước ngoài, rất hữu ích nếu bạn muốn đồng bộ nhịp với các dự án triển khai ngoài mảng AI.

Trình tự 90 ngày để triển khai AI tại Việt Nam

Cuối cùng là trình tự cho trường hợp bắt tay ngay bây giờ, chia theo mốc 90 ngày. Ngay cả khi tính ngược từ hạn 1 tháng 3 năm 2027, việc dựng nền trong 90 ngày rồi dành phần còn lại cho khâu triển khai vẫn là thực tế nhất.

Ba mươi ngày đầu tập trung vào kiểm kê. Phỏng vấn hiện trường để liệt kê toàn bộ mục đích đang dùng AI và đang cân nhắc. Chỗ dễ sót ở đây là các tính năng AI nằm bên trong những SaaS mà từng bộ phận tự ký hợp đồng, và các dịch vụ AI tạo sinh mà nhân viên dùng bằng tài khoản cá nhân. Cái trước có thể nhặt từ dữ liệu thanh toán của kế toán, cái sau nhặt từ nhật ký truy cập mạng. Đồng thời, với từng mục đích hãy phán đoán tạm ai là bên cung cấp và gắn cờ đánh dấu mục đích đó có chạm vào dữ liệu cá nhân hay không. Danh sách này sẽ là cửa vào chung cho cả phần tuân thủ AI doanh nghiệp lẫn phần tuân thủ luật bảo vệ dữ liệu cá nhân.

Từ ngày 31 đến ngày 60 là phân loại và quyết định phương hướng. Gán mức cao, trung bình hoặc thấp cho từng mục đích trong danh sách và viết vài dòng căn cứ cho mỗi mục. Với các mục đích rơi vào rủi ro trung bình trở lên, hãy quyết định là tiếp tục như hiện tại, thu hẹp mục đích để kéo về rủi ro thấp, hay tạm dừng. Phương án thu hẹp mục đích để hạ phân loại thường bị bỏ quên, nhưng trên thực tế có những trường hợp chỉ cần giới hạn từ đối ngoại thành nội bộ là gánh nặng đã đổi hẳn. Song song đó, bắt đầu hỏi các nhà cung cấp. Vì câu trả lời thường mất thời gian nên khởi động càng sớm càng tốt.

Từ ngày 61 đến ngày 90 là thông báo và triển khai. Chuẩn bị hồ sơ thông báo qua cổng điện tử cho các mục đích rủi ro trung bình trở lên và nộp trước khi vận hành. Đưa phần hiển thị trên màn hình và trên sản phẩm đầu ra đáp ứng yêu cầu minh bạch vào thiết kế. Văn bản hóa quy trình báo cáo khi có sự cố, tức ai xác nhận, ai soạn, ai phê duyệt để nộp trong vòng 48 giờ hoặc 72 giờ. Cuối cùng, để lại một danh mục kiểm tra nhằm chạy đúng quy trình đó mỗi khi có mục đích sử dụng mới.

Điều cần ý thức trong thiết kế 90 ngày là không được làm dừng chính việc triển khai AI. Các mục đích rủi ro thấp hoàn toàn có thể tiến hành mà không cần chờ hết 30 ngày đầu. Thứ cần dừng chỉ là những mục đích có khả năng rơi vào rủi ro trung bình trở lên mà chưa hoàn tất thông báo. Càng sớm tách bạch được điều này thì càng ít phải làm gián đoạn hoạt động của hiện trường.

Câu hỏi thường gặp (FAQ)

Nên bắt đầu triển khai AI tại Việt Nam từ đâu

Từ việc kiểm kê mục đích sử dụng. Trước cả khâu chọn công cụ hay dựng bộ máy, hãy lập danh sách hiện đang dùng AI vào những việc gì. Không có danh sách này thì không thể bắt đầu phân loại hay thông báo, cũng không lập được bản đánh giá tác động theo luật bảo vệ dữ liệu cá nhân. Ngược lại, chỉ cần có danh sách thì mỗi mục đích chỉ mất vài giờ là ra được phán đoán sơ bộ. Việc kiểm kê không thể hoàn tất chỉ bằng phòng hệ thống thông tin, nên hãy dành sẵn thời gian hỏi các bộ phận sản xuất, chất lượng, nhân sự và kinh doanh ngay từ đầu.

Đối tượng của Luật Trí tuệ nhân tạo Việt Nam có phải chỉ là pháp nhân tại chỗ không

Không chỉ pháp nhân tại chỗ. Hiệu lực ngoài lãnh thổ của luật áp dụng cho tổ chức và cá nhân Việt Nam cũng như nước ngoài có tham gia vào hoạt động liên quan đến AI trên lãnh thổ Việt Nam. Hệ thống do trụ sở chính tại Nhật Bản phát triển rồi phát cho nhà máy ở Việt Nam, hay dịch vụ đám mây chạy ở vùng nước ngoài nhưng được sử dụng từ Việt Nam, đều nằm trong phạm vi điều chỉnh. Cả tập đoàn cần chốt theo từng dự án là sẽ thông báo dưới tên pháp nhân nào.

Nếu thuê công ty Việt Nam phát triển AI thì ai gánh nghĩa vụ thông báo

Về nguyên tắc, bên cung cấp hệ thống AI đó gánh nghĩa vụ phân loại và thông báo. Ngay cả khi bên nhận thầu là bên phát triển, nếu hệ thống hoàn thiện được cung cấp dưới tên doanh nghiệp bạn cho nhân viên hoặc khách hàng của bạn sử dụng, thì bên cung cấp là bên đặt hàng. Nếu đưa vào hợp đồng điều khoản buộc bên nhận thầu cung cấp thông tin kỹ thuật cần thiết cho việc lập hồ sơ căn cứ phân loại thì công việc về sau sẽ trôi hơn. Hãy tránh cách hiểu rằng thuê ngoài phát triển thì nghĩa vụ cũng chuyển theo.

Có con số tham khảo về chi phí triển khai AI tại Việt Nam không

Bài viết này không đưa ra con số tiền. Đơn giá giờ công tại cơ sở ở Việt Nam thay đổi rất mạnh theo cấp bậc và mức độ tham gia của chuyên gia người Nhật, nên không thể đặt một đơn giá có căn cứ áp dụng đồng loạt. Thay vào đó, bài viết trình bày bằng công sức. Trong bài toán mô hình có đặt giả định, xử lý 12 mục đích theo cách song hành mất 136 giờ tương đương 17 người-ngày, còn xử lý theo cách chạy sau mất 240 giờ tương đương 30 người-ngày, chênh lệch 104 giờ tương đương 13 người-ngày. Hãy áp đơn giá thực tế của doanh nghiệp mình lên khối công sức này để ước tính. Nếu xuất hiện mục đích rủi ro cao thì đánh giá sự phù hợp sẽ được cộng vào và vượt ra ngoài phạm vi này.

Có dùng nguyên quy chế sử dụng AI tạo sinh của cơ sở tại Thái Lan được không

Nguyên bản thì không dùng được. Luật AI của Thái Lan vẫn chưa có hiệu lực; ngày 2 tháng 7 năm 2026 ETDA mới công bố bản dự thảo sửa đổi và đang trong giai đoạn lấy ý kiến công chúng khoảng 30 ngày. Khung phân loại cũng không khớp, khi Việt Nam dùng ba mức cao, trung bình và thấp còn dự thảo Thái Lan dùng ba nhóm cấm, rủi ro cao và sử dụng thông thường, nội dung không tương ứng. Biểu mẫu kiểm kê mục đích sử dụng, phân hạng mức độ mật của thông tin và danh sách mục đích bị cấm thì dùng chung được. Còn định nghĩa phân loại, thủ tục thông báo và hạn báo cáo sự cố thì hãy tách theo từng cơ sở.

Kết luận

Triển khai AI tại Việt Nam đã đổi trình tự so với các nước ASEAN khác, kể từ khi Luật Trí tuệ nhân tạo 134/2025/QH15 có hiệu lực ngày 1 tháng 3 năm 2026. Luật đi trước ở đúng giai đoạn mà 93% doanh nghiệp đã triển khai hoặc đang cân nhắc AI nhưng mới 13.8% đạt tới nhân rộng toàn diện, đó là tình huống đặc thù của Việt Nam. Hạn chuyển tiếp cho ngành sản xuất là ngày 1 tháng 3 năm 2027. Nếu cho việc kiểm kê, phân loại rủi ro và thông báo trước chạy song hành với PoC thì theo bài toán mô hình có đặt giả định chỉ mất 17 người-ngày, còn chạy sau sẽ thành 30 người-ngày, tức khoảng 1.8 lần. Ba cửa ải là vị thế của doanh nghiệp thay đổi theo từng dự án, phân loại do mục đích sử dụng quyết định chứ không phải sản phẩm, và thông báo tuy không phải phê duyệt nhưng trách nhiệm về hồ sơ căn cứ vẫn ở lại với doanh nghiệp. Chồng lên đó là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 cùng nghị định 356/2025/ND-CP, song bản kiểm kê mục đích sử dụng ở cửa vào thì hoàn toàn dùng chung được.

Chúng tôi sẵn sàng trao đổi cả ở giai đoạn doanh nghiệp mới bắt đầu bàn nội bộ về việc triển khai AI tại cơ sở ở Việt Nam, hoặc về cách tách quy chế giữa cơ sở Việt Nam và cơ sở Thái Lan. Chỉ cần cho chúng tôi xem một lần bảng kiểm kê mục đích sử dụng, chúng tôi có thể đưa ra phán đoán sơ bộ về những mục nào có khả năng rơi vào rủi ro trung bình và nên đi theo trình tự nào để tiết giảm công sức. Bạn chưa quyết định có triển khai hay không cũng không sao. Hãy liên hệ với chúng tôi qua trang liên hệ.

Nguồn tham khảo

• Vietnam enacts its first Law on Artificial Intelligence (VILAF)
• Ứng phó với Luật Trí tuệ nhân tạo Việt Nam (TMI Global Consulting)
• Law No. 134/2025/QH15 on Artificial Intelligence (LuatVietnam)
• Giải thích về Luật Trí tuệ nhân tạo Việt Nam (One Asia Lawyers)
• Khung pháp lý bảo vệ dữ liệu cá nhân tại Việt Nam (EY Japan)
• Thailand draft AI law (Norton Rose Fulbright)
• Cập nhật thị trường AI Việt Nam (B-Company)
• Xu hướng doanh nghiệp Nhật Bản tại Việt Nam (Career Link Asia)