Thực thi Luật Dữ liệu: DN lo ‘tuân thủ vẫn sai’ vì vướng thủ tục và hệ thống

Phải xác định rõ trách nhiệm của các chủ thể liên quan

Tại hội thảo “An toàn dữ liệu tài chính: Lá chắn trong kỷ nguyên AI”, các chuyên gia pháp lý cho rằng một trong những vấn đề cấp thiết hiện nay là phải xác định rõ trách nhiệm của các chủ thể liên quan đến trí tuệ nhân tạo (AI) và dữ liệu, trong bối cảnh công nghệ phát triển nhanh nhưng khung pháp lý vẫn còn nhiều khoảng trống.

Luật sư Nguyễn Thanh Hà, Chủ tịch Công ty Luật SBLAW cho biết, thông qua quá trình tư vấn và hỗ trợ doanh nghiệp, đặc biệt là các doanh nghiệp có vốn đầu tư nước ngoài, trong việc tuân thủ Luật Dữ liệu và các quy định về bảo vệ dữ liệu cá nhân, một vướng mắc nổi lên là quy trình đánh giá, xử lý và chuyển dữ liệu cá nhân ra nước ngoài.

Theo ông Hà, dù doanh nghiệp đã chủ động thực hiện các yêu cầu pháp lý như xây dựng hồ sơ, tuân thủ nghị định, hoàn thiện thủ tục theo quy định, nhưng khi triển khai trên thực tế lại gặp không ít khó khăn. Những khó khăn này không chỉ nằm ở quy định pháp luật mà còn ở khâu tổ chức thực hiện.

Cụ thể, trong quá trình nộp hồ sơ và làm việc với cơ quan quản lý, nhiều doanh nghiệp phản ánh việc tiếp cận hệ thống trực tuyến còn hạn chế. Có thời điểm hệ thống không thể truy cập, khiến việc thực hiện thủ tục theo hướng số hóa – vốn được kỳ vọng nhanh gọn và hiệu quả – lại bị gián đoạn, kéo dài thời gian xử lý.

Ngay cả trong trường hợp doanh nghiệp đã nộp hồ sơ bản giấy, việc theo dõi tiến độ xử lý hay nhận phản hồi từ cơ quan chức năng vẫn chưa thực sự rõ ràng.

Theo ông Hà, điều này tạo ra tâm lý lo ngại cho doanh nghiệp, đặc biệt trong bối cảnh sắp tới có thêm các quy định về xử phạt vi phạm hành chính liên quan đến dữ liệu. Khi đó, rủi ro không chỉ nằm ở việc tuân thủ quy định mà còn ở khả năng thực thi trên thực tế.

Pháp luật về dữ liệu và bảo vệ thông tin cá nhân thiếu tính đồng bộ

Ở một khía cạnh khác, vấn đề trách nhiệm pháp lý khi xảy ra sự cố liên quan đến AI cũng được đặt ra. Luật sư Nguyễn Thị Sen, Công ty Luật SBLAW cho rằng AI không phải là một hệ thống vận hành độc lập, mà phía sau luôn có nhiều chủ thể cùng tham gia, từ đơn vị phát triển công nghệ, đơn vị vận hành cho đến tổ chức sử dụng và khai thác dữ liệu.

Do đó, khi xảy ra sự cố như rò rỉ thông tin hoặc gây thiệt hại cho cá nhân, doanh nghiệp, việc xác định trách nhiệm cần được xem xét trên toàn bộ chuỗi liên quan. Theo bà Sen, nguyên tắc chung là phải quay về bản chất của từng mối quan hệ pháp lý để phân định trách nhiệm cụ thể.

Ví dụ, trong trường hợp một ngân hàng hoặc tổ chức tài chính ứng dụng AI vào hoạt động như chấm điểm tín dụng, thẩm định hồ sơ vay hay chăm sóc khách hàng, thì đơn vị trực tiếp cung cấp dịch vụ sẽ là bên chịu trách nhiệm trước khách hàng. Đây là chủ thể kiểm soát dữ liệu, nắm giữ thông tin và trực tiếp tương tác với người dùng.

Trong khi đó, đơn vị cung cấp công nghệ AI sẽ chịu trách nhiệm trong phạm vi hợp đồng đã ký với tổ chức sử dụng. Nếu sự cố phát sinh từ nền tảng công nghệ, trách nhiệm sẽ được xác định theo các điều khoản thỏa thuận giữa hai bên. Cách tiếp cận này cho phép phân tách rõ ràng giữa trách nhiệm vận hành và trách nhiệm công nghệ.

Khi xảy ra thiệt hại, đặc biệt là các sự cố liên quan đến lộ lọt dữ liệu hoặc sai lệch trong xử lý thông tin, trách nhiệm bồi thường và khắc phục sẽ phát sinh tương ứng với từng chủ thể. Tuy nhiên, theo nguyên tắc chung, khách hàng vẫn có quyền yêu cầu đơn vị cung cấp dịch vụ – như ngân hàng hoặc công ty tài chính – đứng ra giải quyết trước. Sau đó, việc xác định lỗi thuộc về công nghệ hay quy trình nội bộ sẽ tiếp tục được làm rõ để phân bổ trách nhiệm giữa các bên liên quan.

Thực tế triển khai cũng cho thấy, dù AI mang lại hiệu quả rõ rệt trong hoạt động vận hành, hệ thống pháp luật hiện hành đã bước đầu thiết lập một số giới hạn cần thiết. Các quy định về bảo vệ dữ liệu cá nhân yêu cầu phân loại mức độ rủi ro đối với các giao dịch có sử dụng AI.

Theo đó, với những giao dịch đơn giản, mức độ rủi ro thấp, việc ứng dụng AI có thể được khuyến khích nhằm nâng cao hiệu quả và giảm chi phí. Ngược lại, đối với các giao dịch tài chính quan trọng hoặc có giá trị lớn, cần có cơ chế kiểm soát chặt chẽ hơn, bao gồm phân cấp phê duyệt, đánh giá rủi ro và giám sát trước khi áp dụng công nghệ.

Từ thực tiễn hành nghề, các luật sư cho biết phần lớn các vụ việc phát sinh hiện nay liên quan đến lừa đảo, mất tài khoản hoặc rò rỉ thông tin cá nhân. Nhiều trường hợp bắt nguồn từ việc người dùng vô tình cung cấp dữ liệu trên các nền tảng số, sau đó bị các đối tượng xấu khai thác để thực hiện hành vi chiếm đoạt tài sản.

Bên cạnh đó, các vụ việc liên quan đến đầu tư trên các sàn tiền số, bị mất tài khoản nhưng không xác định được nguyên nhân hay cơ chế xử lý, cũng đang có xu hướng gia tăng. Điều này cho thấy rủi ro không chỉ đến từ công nghệ mà còn từ hành vi sử dụng và nhận thức của người dùng.

Một xu hướng đáng chú ý khác là việc lợi dụng công nghệ để giả mạo danh tính, đặc biệt với những người có ảnh hưởng. Các công nghệ giả giọng nói, hình ảnh ngày càng tinh vi, dẫn đến nhiều trường hợp bị xâm phạm danh dự, uy tín. Đây là những tình huống mới, đặt ra yêu cầu phải có cách tiếp cận pháp lý phù hợp, trong khi hệ thống hiện hành vẫn chưa theo kịp.

Nhìn tổng thể, vị chuyên gia khẳng định rằng dù hệ thống pháp luật về dữ liệu và bảo vệ thông tin cá nhân tại Việt Nam đã từng bước được hình thành, nhưng vẫn còn thiếu tính đồng bộ, chưa đủ chi tiết và chưa theo kịp tốc độ phát triển của công nghệ. Điều này đặt ra yêu cầu cấp thiết phải tiếp tục hoàn thiện khung pháp lý, đặc biệt trong việc xác định rõ trách nhiệm của từng chủ thể trong hệ sinh thái dữ liệu và AI, nhằm đảm bảo vừa thúc đẩy đổi mới sáng tạo, vừa kiểm soát hiệu quả các rủi ro phát sinh.