NỘI DUNG PHÁT BIỂU DÀNH CHO LUẬT SƯ KHÁCH MỜI
Hội thảo: Pháp lý đúng và đủ - Tự động hóa doanh nghiệp với AI
Thời lượng đề xuất: khoảng 25-30 phút. Văn bản dưới đây được viết theo dạng lời đọc trực tiếp, không phụ thuộc vào
I. Gợi ý tên bài nói
"Cơ sở pháp lý và rủi ro doanh nghiệp cần lưu ý khi ứng dụng Al vào quản trị hợp đồng, hồ sơ và
dữ liệu pháp lý."
Mục tiêu của phần trình bày là cung cấp góc nhìn pháp lý trung lập: doanh nghiệp có thể ứng dụng
công nghệ và AI trong quản trị pháp lý, nhưng cần nhận diện đúng giới hạn pháp luật, nghĩa vụ bảo
vệ dữ liệu, điều kiện giá trị pháp lý của hồ sơ điện tử và trách nhiệm khi sử dụng kết quả do AI hỗ
trợ.
II. Lời dẫn mở đầu
Kính thưa Quý vị,
Khi nói đến AI trong lĩnh vực pháp lý, nhiều người thường nghĩ đến việc hỏi đáp pháp luật hoặc tự
động soạn hợp đồng. Tuy nhiên, trong môi trường doanh nghiệp, giá trị thực tế của AI thường nằm
ở việc hỗ trợ quản trị hồ sơ, hợp đồng, quy trình phê duyệt, tìm kiếm thông tin, nhắc hạn, trích xuất
dữ liệu và cảnh báo những điểm cần rà soát.
Từ góc độ pháp lý, câu hỏi quan trọng không chỉ là "Al làm được gì", mà là "doanh nghiệp dùng A
với dữ liệu nào, trong phạm vi nào, ai được quyền truy cập, kết quả AI tạo ra được kiểm tra ra sao,
và trách nhiệm pháp lý thuộc về ai nếu phát sinh sai sót hoặc rò rỉ dữ liệu".
Vì vậy, tôi xin tập trung vào ba nhóm vấn đề: thứ nhất, cơ sở pháp lý của hồ sơ điện tử và hợp
đồng điện tử; thứ hai, các nhóm rủi ro khi sử dụng AI để xử lý hồ sơ, hợp đồng và dữ liệu cá nhân;
thứ ba, một số điều khoản, quy trình và nguyên tắc doanh nghiệp nên chuẩn bị trước khi triển khai
hệ thống AI hoặc DMS trong quản trị pháp lý.
Căn cứ pháp lý: Điều 7, 8, 9, 10, 11, 13, 34, 35, 36 và 38 Luật Giao dịch điện tử 2023; Điều 117, 119, 385, 398, 400,
401 và 404 Bộ luật Dân sự 2015; Điều 4, 7, 9, 23, 30 và 37 Luật Bảo vệ dữ liệu cá nhân 2025.
III. Hồ sơ điện tử, thông điệp dữ liệu và hợp đồng điện tử
Trước hết, doanh nghiệp cần hiểu rằng pháp luật Việt Nam hiện nay không phủ nhận giá trị pháp lý
của thông tin chỉ vì thông tin đó được thể hiện dưới dạng điện tử. Luật Giao dịch điện tử 2023 quy
định thông điệp dữ liệu có thể được thể hiện dưới nhiều hình thức như văn bản điện tử, tài liệu điện
tử, chứng từ điện tử, hợp đồng điện tử, thư điện tử và các hình thức trao đổi dữ liệu điện tử khác.
Điểm cốt lõi là: thông tin trong thông điệp dữ liệu không bị phủ nhận giá trị pháp lý chỉ vì thông tin
đó ở dạng thông điệp dữ liệu. Trường hợp pháp luật yêu cầu thông tin phải được thể hiện bằng văn
bản, thông điệp dữ liệu có thể đáp ứng yêu cầu này nếu thông tin có thể truy cập và sử dụng được
để tham chiếu. Trường hợp cần giá trị như bản gốc, thông điệp dữ liệu phải bảo đảm tính toàn vẹn
kể từ khi được khởi tạo và có thể truy cập, sử dụng dưới dạng hoàn chỉnh.
Nội dung tham khảo cho luật sư khách mời |
Điều này là cơ sở để doanh nghiệp quản lý hồ sơ, tài liệu và hợp đồng trên hệ thống điện tử. Tuy
nhiên, "số hóa" không chỉ là scan một bản giấy rồi lưu vào thư mục. Để hồ sơ điện tử có giá trị sử
dụng ổn định, doanh nghiệp cần quan tâm đến tính toàn vẹn của dữ liệu, khả năng truy cập, nguồn
gốc khởi tạo, người gửi, người nhận, thời điểm gửi - nhận, nhật ký lưu trữ và khả năng chứng minh
khi có tranh chấp.
Đối với hợp đồng, Bộ luật Dân sự 2015 quy định giao dịch dân sự thông qua phương tiện điện tử
dưới hình thức thông điệp dữ liệu theo pháp luật về giao dịch điện tử được coi là giao dịch bằng
văn bản. Đồng thời, hợp đồng là sự thỏa thuận giữa các bên về việc xác lập, thay đổi hoặc chấm
dứt quyền, nghĩa vụ dân sự. Vì vậy, hợp đồng điện tử hoặc hồ sơ điện tử không đứng ngoài pháp
luật hợp đồng; nó vẫn phải đáp ứng các điều kiện về chủ thể, sự tự nguyện, mục đích, nội dung,
hình thức và các điều kiện bắt buộc khác nếu pháp luật chuyên ngành có quy định.
Nói cách khác, doanh nghiệp có thể sử dụng hệ thống DMS, chữ ký điện tử, quy trình phê duyệt
điện tử và lưu trữ hồ sơ điện tử. Nhưng với các giao dịch mà pháp luật yêu cầu công chứng, chứng
thực, đăng ký hoặc điều kiện hình thức riêng, doanh nghiệp vẫn phải tuân thủ các yêu cầu đó. Công
nghệ giúp quy trình nhanh hơn và minh bạch hơn, nhưng không làm mất đi các điều kiện hiệu lực
của giao dịch.
Căn cứ pháp lý: Điều 7, 8, 9, 10, 11, 12, 13, 34, 35, 36 và 38 Luật Giao dịch điện tử 2023; Điều 117 và Điều 119 Bộ luật
Dân sự 2015.
IV. AI có thể hỗ trợ rà soát hợp đồng, nhưng không thay thế
trách nhiệm pháp lý của con người
Trong hoạt động quản trị hợp đồng, AI có thể hỗ trợ doanh nghiệp ở nhiều khâu: đọc hợp đồng,
trích xuất thông tin quan trọng, tóm tắt nội dung, so sánh phiên bản, tìm kiếm điều khoản, cảnh báo
hợp đồng sắp hết hạn hoặc phát hiện những điểm cần luật sư, pháp chế hoặc người có thẩm
quyền kiểm tra thêm.
Tuy nhiên, cần nhấn mạnh rằng AI chỉ là công cụ hỗ trợ xử lý thông tin. Kết quả do Al đưa ra không
nên được xem là kết luận pháp lý cuối cùng nếu chưa có người có chuyên môn hoặc người có
thầm quyền của doanh nghiệp kiểm tra. Trong thực tiễn, AI có thể đọc sai ngữ cảnh, bỏ sót thông
tin, hiểu nhầm điều khoản hoặc đề xuất nội dung không phù hợp với giao dịch cụ thể.
Với hợp đồng, Bộ luật Dân sự cho phép các bên thỏa thuận về nội dung hợp đồng. Một hợp đồng
thường cần xem xét các nhóm nội dung như đối tượng, số lượng, chất lượng, giá, phương thức
thanh toán, thời hạn, địa điểm, phương thức thực hiện, quyền và nghĩa vụ của các bên, trách nhiệm
do vi phạm và phương thức giải quyết tranh chấp. Đây là những nhóm nội dung mà hệ thống AI có
thể hỗ trợ trích xuất, đánh dấu và gợi ý kiểm tra.
Doanh nghiệp có thể sử dụng AI để đặt ra các câu hỏi kiểm soát như: hợp đồng có xác định rõ chủ
thể ký kết không; người ký có đúng thẩm quyền hoặc ủy quyền không; điều khoản thanh toán đã rõ
chưa; hợp đồng có quy định về phạt vi phạm, bồi thường thiệt hại, bảo mật, xử lý dữ liệu cá nhân,
chấm dứt hợp đồng, bất khả kháng và giải quyết tranh chấp chưa. Những nội dung này giúp doanh
nghiệp giảm rủi ro bỏ sót, nhưng quyết định sửa đổi, ký kết hoặc từ chối giao dịch vẫn phải do con
người chịu trách nhiệm.
Một điểm cần lưu ý thêm là khi hợp đồng có điều khoản không rõ ràng hoặc có thể hiểu theo nhiều
nghĩa, Bộ luật Dân sự có quy định về việc giải thích hợp đồng theo ý chí của các bên, mục đích,
Nội dung tham khảo cho luật sư khách mời |
tính chất của hợp đồng, tập quán, mối liên hệ giữa các điều khoản và các yếu tố liên quan. Đây là
công việc đòi hỏi đánh giá pháp lý và bối cảnh giao dịch, không nên giao hoàn toàn cho AI.
Căn cứ pháp lý: Điều 385, 398, 400, 401 và 404 Bộ luật Dân sự 2015.
V. Rủi ro dữ liệu cá nhân khi đưa hồ sơ vào Al hoặc hệ thống
DMS
Nhóm rủi ro quan trọng nhất khi doanh nghiệp ứng dụng AI trong pháp lý là rủi ro về dữ liệu cá
nhân. Trong hợp đồng, hồ sơ nhân sự, hồ sơ khách hàng, hồ sơ nhà cung cấp hoặc hồ sơ tranh
chấp, thường có các thông tin như họ tên, số giấy tờ tùy thân, địa chỉ, số điện thoại, email, tài
khoản ngân hàng, thông tin lương, thông tin giao dịch hoặc các dữ liệu có khả năng xác định một
cá nhân cụ thế.
Kể từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực. Luật này quy định quyền của
chủ thể dữ liệu cá nhân, bao gồm quyền được biết về hoạt động xử lý dữ liệu cá nhân, quyền đồng
ý hoặc không đồng ý, quyền yêu cầu rút lại sự đồng ý, quyền xem, chỉnh sửa, yêu cầu xóa, hạn chế
xử lý, phản đối xử lý, khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định pháp
luật.
Đối với sự đồng ý, luật yêu cầu sự đồng ý phải dựa trên sự tự nguyện và chủ thế dữ liệu phải biết
rõ loại dữ liệu được xử lý, mục đích xử lý, bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ
liệu, quyền và nghĩa vụ của mình. Sự im lặng hoặc không phản hồi không được coi là sự đồng ý.
Đối với Al, Luật Bảo vệ dữ liệu cá nhân 2025 có quy định riêng về dữ liệu cá nhân trong môi trường
dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo và điện toán đám mây. Theo đó, dữ liệu cá nhân
trong môi trường AI phải được xử lý đúng mục đích, giới hạn trong phạm vi cần thiết, bảo đảm
quyền và lợi ích hợp pháp của chủ thể dữ liệu cá nhân. Hệ thống và dịch vụ sử dụng AI phải tích
hợp các biện pháp bảo mật dữ liệu cá nhân phù hợp, sử dụng phương thức xác thực, định danh
phù hợp và phân quyền truy cập để xử lý dữ liệu cá nhân. Việc xử lý dữ liệu cá nhân bằng AI phải
phân loại theo mức độ rủi ro để có biện pháp bảo vệ phù hợp.
Từ các quy định này, doanh nghiệp không nên đưa toàn bộ hợp đồng, hồ sơ nhân sự, hồ sơ khách
hàng hoặc tài liệu mật vào các công cụ Al công cộng nếu chưa đánh giá điều khoản sử dụng, chính
sách bảo mật, vị trí lưu trữ dữ liệu, cơ chế huấn luyện dữ liệu và khả năng kiếm soát việc xóa dữ
liệu. Doanh nghiệp cần phân biệt rõ dữ liệu nào được phép xử lý, dữ liệu nào cần ẩn danh, dữ liệu
nào phải hạn chế truy cập và dữ liệu nào chỉ được xử lý trong hệ thống nội bộ hoặc theo hợp đồng
bảo mật chặt chẽ.
Căn cứ pháp lý: Điều 4, 7, 9, 23, 30, 33, 34 và 37 Luật Bảo vệ dữ liệu cá nhân 2025. Có thể tham khảo thêm các nghĩa
vụ triển khai tại Nghị định 13/2023/NĐ-CP trong phạm vi còn phù hợp với Luật Bảo vệ dữ liệu cá nhân 2025 và các văn
bản hướng dẫn.
VI. Nghĩa vụ phân quyền, bảo mật, nhật ký truy cập và xử lý sự
cố
Một hệ thống quản trị pháp lý tốt không chỉ là nơi lưu file. Về mặt pháp lý và quản trị rủi ro, doanh
nghiệp nên quan tâm đến ít nhất bốn yếu tố: phân quyền, bảo mật, nhật ký truy cập và quy trình xử
lý sự cố.
Nội dung tham khảo cho luật sư khách mời |
Thứ nhất là phân quyền. Không phải mọi nhân sự trong doanh nghiệp đều cần hoặc được phép
xem toàn bộ hợp đồng, hồ sơ khách hàng, hồ sơ nhân sự hoặc tài liệu pháp lý nội bộ. Hệ thống cần
phân quyền theo vai trò, phòng ban, dự án, loại hồ sơ và mức độ nhạy cảm. Quyền xem, tải xuống,
chỉnh sửa, phê duyệt, chia sẻ và xóa dữ liệu nên được tách bạch rõ ràng.
Thứ hai là bảo mật. Khi hệ thống xử lý dữ liệu cá nhân, đặc biệt trong môi trường AI hoặc điện toán
đám mây, doanh nghiệp cần có biện pháp quản lý và kỹ thuật phù hợp. Các biện pháp này có thể
bao gồm xác thực người dùng, quản lý mật khấu, giới hạn quyền truy cập, mã hóa, sao lưu, kiếm
soát thiết bị, kiểm soát tải xuống, quy trình cấp và thu hồi tài khoản.
Thứ ba là nhật ký truy cập. Khi phát sinh tranh chấp hoặc sự cố, doanh nghiệp cần biết ai đã truy
cập hồ sơ, truy cập vào thời điểm nào, đã tải xuống hay chỉnh sửa nội dung gì, ai đã phê duyệt và
bản nào là bản cuối. Nhật ký hệ thống không chỉ phục vụ quản trị nội bộ, mà còn giúp chứng minh
quá trình lưu trữ, phê duyệt và xử lý dữ liệu khi cần.
Thứ tư là xử lý sự cố. Luật Bảo vệ dữ liệu cá nhân 2025 quy định trường hợp phát hiện vi phạm
quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại hoặc xâm phạm đến quyền, lợi ích của chủ
thể dữ liệu cá nhân thì phải thông báo cho cơ quan chuyên trách chậm nhất là 72 giờ kể từ khi phát
hiện hành vi vi phạm, đồng thời phải lập biên bản xác nhận và phối hợp xử lý. Vì vậy, doanh nghiệp
nên có sẵn quy trình tiếp nhận, đánh giá, cô lập, khắc phục và thông báo khi có sự cố dữ liệu.
Căn cứ pháp lý: Điều 23, 30, 33, 34 và 37 Luật Bảo vệ dữ liệu cá nhân 2025; Điều 11 và 13 Luật Giao dịch điện tử
2023 về giá trị chứng cứ và lưu trữ thông điệp dữ liệu.
VII. Các điều khoản nên có khi doanh nghiệp thuê hoặc triển
khai hệ thống AI/DMS
Khi doanh nghiệp thuê đơn vị cung cấp hệ thống AI, DMS hoặc nền tảng quản trị hợp đồng, hợp
đồng dịch vụ nên có các điều khoản rõ ràng để giảm rủi ro pháp lý. Tôi xin đề xuất một số nhóm
điều khoản ở mức nguyên tắc.
Một là điều khoản về phạm vi dịch vụ. Hợp đồng cần mô tả rõ hệ thống làm gì và không làm gì: lưu
trữ hồ sơ, OCR, tìm kiếm, tóm tắt, cảnh báo hạn, quản lý phê duyệt, dashboard, chatbot nội bộ, hỗ
trợ rà soát hợp đồng hay các chức năng khác. Càng rõ phạm vi, càng dễ xác định trách nhiệm khi
phát sinh lỗi.
Hai là điều khoản về bảo mật. Nhà cung cấp không được tiết lộ, bán, chia sẻ hoặc sử dụng dữ liệu
của khách hàng ngoài phạm vi hợp đồng. Cần quy định rõ nhân sự nào của nhà cung cấp được
tiếp cận dữ liệu, mục đích tiếp cận, nghĩa vụ bảo mật, thời hạn bảo mật và chế tài khi vi phạm.
Ba là điều khoản về dữ liệu cá nhân. Hợp đồng cần xác định vai trò của các bên trong hoạt động xử
lý dữ liệu: bên kiểm soát dữ liệu, bên xử lý dữ liệu hoặc bên kiểm soát và xử lý dữ liệu. Đồng thời
cần nêu mục đích xử lý, loại dữ liệu xử lý, phạm vi xử lý, thời gian lưu trữ, điều kiện xóa hoặc hoàn
trả dữ liệu khi chấm dứt hợp đồng.
Bốn là điều khoản về phân quyền và nhật ký hệ thống. Hợp đồng nên yêu cầu hệ thống có cơ chế
quản lý người dùng, phân quyền truy cập, nhật ký đăng nhập, nhật ký chỉnh sửa, nhật ký tải xuống,
nhật ký phê duyệt và khả năng truy xuất lịch sử xử lý hồ sơ.
Năm là điều khoản về giới hạn trách nhiệm của AI. Cần ghi nhận rõ AI chỉ hỗ trợ phân tích, trích
xuất, tóm tắt, cảnh báo hoặc tạo bản nháp. Kết quả do Al đưa ra không đương nhiên là tư vấn pháp
Nội dung tham khảo cho luật sư khách mời |
lý cuối cùng, không thay thế quyết định của luật sư, pháp chế, lãnh đạo hoặc người có thẩm quyền
cúa doanh nghiệp.
Sáu là điều khoản về xử lý sự cố và thông báo vi phạm. Hợp đồng cần quy định đầu mối liên hệ,
thời hạn thông báo, trách nhiệm phối hợp, biện pháp khắc phục, trách nhiệm lưu giữ chứng cứ và
trách nhiệm bồi thường nếu có lỗi gây thiệt hại.
Bảy là điều khoản về bàn giao, xóa dữ liệu và chấm dứt hợp đồng. Khi kết thúc dịch vụ, doanh
nghiệp cần có quyền nhận lại dữ liệu ở định dạng có thế sử dụng được, yêu cầu xóa hoặc hủy dữ
liệu còn lưu trên hệ thống của nhà cung cấp, và nhận xác nhận về việc xóa hoặc hủy dữ liệu trong
phạm vi pháp luật cho phép.
Căn cứ pháp lý: Điều 36 Luật Giao dịch điện tử 2023 về quyền thỏa thuận yêu cầu kỹ thuật, điều kiện bảo đảm tính
toàn vẹn, bảo mật trong hợp đồng điện tử; Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025 về trách nhiệm của bên kiểm
soát, bên xử lý và bên kiểm soát, xử lý dữ liệu cá nhân; Điều 398 Bộ luật Dân sự 2015 về nội dung hợp đồng.
Vill. Ket Iuan
Từ góc độ pháp lý, doanh nghiệp hoàn toàn có thể ứng dụng AI và hệ thống quản trị tài liệu để
nâng cao hiệu quả quản lý hợp đồng, hồ sơ và rủi ro pháp lý. Pháp luật hiện hành đã có cơ sở cho
thông điệp dữ liệu, hồ sơ điện tử, hợp đồng điện tử và lưu trữ điện tử. Đồng thời, pháp luật cũng
đặt ra các yêu cầu ngày càng rõ hơn về bảo vệ dữ liệu cá nhân, phân quyền truy cập, bảo mật hệ
thống và trách nhiệm khi xử lý dữ liệu bằng AI.
Do đó, vấn đề không phải là có nên dùng Al hay không. Vấn đề là doanh nghiệp dùng Al theo cách
nào: có xác định dữ liệu được xử lý không, có giới hạn mục đích không, có phân quyền không, có
nhật ký truy cập không, có quy trình kiểm tra kết quả Al không, có hợp đồng bảo mật và xử lý dữ
liệu cá nhân với nhà cung cấp không, và có phương án xử lý sự cố không.
Al không thay thế vai trò của luật sư hoặc bộ phận pháp chế. Nhưng nếu được thiết kế và vận hành
đúng, AI có thể giúp pháp lý doanh nghiệp trở nên hệ thống hơn, minh bạch hơn, tìm kiếm nhanh
hơn, kiếm soát tốt hơn và giảm nguy cơ bỏ sót rủi ro.
Tôi xin kết thúc bằng một nguyên tắc ngắn gọn: công nghệ có thể tăng tốc quy trình, nhưng pháp lý
là khung kiểm soát để doanh nghiệp tăng tốc một cách an toàn.
IX. Danh mục căn cứ pháp lý chính
• Luật Giao dịch điện tử 2023, đặc biệt Điều 7, 8, 9, 10, 11, 12, 13, 34, 35, 36 và 38.
• Bộ luật Dân sự 2015, đặc biệt Điều 117, 119, 385, 398, 400, 401 và 404.
• Luật Bảo vệ dữ liệu cá nhân 2025, đặc biệt Điều 4, 7, 9, 23, 30, 33, 34 và 37.
• Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân: có thể tham khảo đối với nghĩa vụ triển
khai, trong phạm vi còn phù hợp với Luật Bảo vệ dữ liệu cá nhân 2025 và văn bản hướng dẫn.
• Luật An ninh mạng 2018: tham khảo thêm đối với nguyên tắc bảo vệ an ninh mạng, phòng
ngừa, phát hiện, ngăn chặn, xử lý hành vi xâm phạm an ninh mạng và trách nhiệm của cơ quan,
tổ chức, cá nhân trên không gian mạng.
Nội dung tham khảo cho luật sư khách mời |
X. Nguồn văn bản pháp luật đã tra cứu
• Luật Giao dịch điện tử 2023 - Thư viện Pháp luật:
https://thuvienphapluat.vn/van-ban/Cong-nghe-thong-tin/Luat-Giao-dich-dien-tu-2023-20-2023-Q
H15-513347.aspx
• Bộ luật Dân sự 2015 - Thư viện Pháp luật:
https://thuvienphapluat.vn/van-ban/Quyen-dan-su/Bo-luat-dan-su-2015-296215.aspx
• Luật Bảo vệ dữ liệu cá nhân 2025 - Cổng thông tin Chính phủ:
https://chinhphu.vn/?classid=1&docid=214590&pageid=27160&typegroupid=3
• Luật Bảo vệ dữ liệu cá nhân 2025 - Thư viện Pháp luật:
https://thuvienphapluat.vn/van-ban/Bo-may-hanh-chinh/Luat-Bao-ve-du-lieu-ca-nhan-2025-so-91
-2025-QH15-625628.aspx
• Nghị định 13/2023/NĐ-CP - Công thông tin Chính phủ:
https://vanban.chinhphu.vn/?docid=207759&pageid=27160
• Luật An ninh mạng 2018 - Thư viện Pháp luật:
https://thuvienphapluat.vn/van-ban/Cong-nghe-thong-tin/Luat-an-ninh-mang-2018-351416.aspx
XI. Ghi chú sử dụng
Tài liệu này là bản nội dung tham khảo để luật sư khách mời đọc tại hội thảo. Khi sử dụng chính
thức, luật sư nên rà soát lại văn bản pháp luật đang có hiệu lực tại thời điểm trình bày và điều chỉnh
theo chuyên môn, kinh nghiệm hành nghề và đối tượng người nghe. Nội dung này không thay thế ý
kiến tư vấn pháp lý cho một vụ việc hoặc giao dịch cụ thể.
Nội dung tham khảo cho luật sư khách mời |