Sự phát triển nhanh chóng của trí tuệ nhân tạo (“AI”) đang thúc đẩy nhu cầu đầu tư vào các trung tâm dữ liệu có năng lực tính toán cao tại Việt Nam. Bên cạnh các trung tâm dữ liệu truyền thống, nhiều dự án đang được định hướng phát triển theo mô hình AI Data Center, với hệ thống GPU, năng lực tính toán hiệu suất cao, nền tảng điện toán đám mây và hạ tầng phục vụ việc phát triển, huấn luyện và triển khai các mô hình AI.

Sự phát triển này đặt ra một vấn đề pháp lý đáng lưu ý: Một AI Data Center có phải thực hiện thủ tục phân loại hoặc đăng ký hệ thống trí tuệ nhân tạo tại Việt Nam hay không?

Câu trả lời phụ thuộc trước hết vào bản chất của hoạt động mà Data Center thực hiện. Việc một trung tâm dữ liệu được sử dụng để vận hành các hệ thống AI không đồng nghĩa với việc toàn bộ trung tâm dữ liệu đó trở thành một “hệ thống trí tuệ nhân tạo” và đương nhiên phải thực hiện các nghĩa vụ pháp lý áp dụng cho hệ thống AI.

1. Khung pháp lý về trí tuệ nhân tạo tại Việt Nam

Việt Nam đã thiết lập khung pháp lý riêng đối với hoạt động phát triển, cung cấp và sử dụng trí tuệ nhân tạo. Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ ngày 01/03/2026, đặt nền tảng cho cơ chế quản lý AI theo mức độ rủi ro, bao gồm các quy định về phân loại hệ thống AI, quản lý rủi ro, đánh giá sự phù hợp và cơ sở dữ liệu quốc gia về hệ thống AI. Tiếp đó, Nghị định số 142/2026/NĐ-CP có hiệu lực từ ngày 01/05/2026, quy định chi tiết và hướng dẫn thi hành một số nội dung của Luật Trí tuệ nhân tạo. Ngoài ra, Quyết định số 33/2026/QĐ-TTg, có hiệu lực từ ngày 15/08/2026, đã quy định danh mục các hệ thống AI có rủi ro cao.

Điều 6 Nghị định 142/2026/NĐ-CP đã quy định rõ trách nhiệm phân loại hệ thống trí tuệ nhân tạo thuộc về Nhà cung cấp. Việc tự thực hiện việc phân loại hệ thống trí tuệ nhân tạo được thực hiện theo quy định tại khoản 1 Điều 10 Luật Trí tuệ nhân tạo 2025 trước khi đưa hệ thống vào sử dụng và Nhà cung cấp phải chịu trách nhiệm trước pháp luật về tính chính xác, trung thực của kết quả phân loại. Trường hợp bên triển khai sửa đổi, tích hợp, thay đổi chức năng hoặc mục đích sử dụng của hệ thống so với công bố ban đầu của nhà cung cấp làm phát sinh rủi ro mới hoặc rủi ro cao hơn, bên triển khai có trách nhiệm phối hợp với nhà cung cấp để rà soát, phân loại lại mức độ rủi ro.

Tuy nhiên, cần phải lưu ý việc phân loại này chỉ áp dụng đối với hệ thống trí tuệ nhân tạo; không áp dụng đối với mô hình trí tuệ nhân tạo, trừ trường hợp mô hình được sử dụng như một thành phần của hệ thống trí tuệ nhân tạo cụ thể.

Hệ thống trí tuệ nhân tạo được phân loại thành ba mức. Mức độ rủi ro của hệ thống trí tuệ nhân tạo được xác định như sau:

• Hệ thống trí tuệ nhân tạo được phân loại rủi ro cao: Các hệ thống thuộc Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao do Thủ tướng Chính phủ ban hành theo quy định tại khoản 4 Điều 13 Luật Trí tuệ nhân tạo 2025;

• Hệ thống trí tuệ nhân tạo được phân loại có rủi ro trung bình: Các hệ thống không thuộc trường hợp trên và thuộc các trường hợp quy định tại Điều 9 Nghị định 142/2026/NĐ-CP;

• Hệ thống trí tuệ nhân tạo được phân loại có rủi ro thấp: Các hệ thống không thuộc trường hợp quy định tại 2 trường hợp nêu trên.

Về nguyên tắc, Nhà cung cấp tự kê khai, tự chịu trách nhiệm trước pháp luật về nội dung thông báo. Tuy nhiên, đối với hệ thống AI thuộc nhóm rủi ro trung bình hoặc rủi ro cao, nhà cung cấp phải thông báo kết quả phân loại rủi ro cho Bộ Khoa học và Công nghệ thông qua Cổng thông tin điện tử một cửa về trí tuệ nhân tạo trước khi đưa hệ thống vào sử dụng theo quy định tại Điều 14 Nghị định 142/2026/NĐ-CP. Sau khi thông báo, doanh nghiệp cần lưu giữ hồ sơ và cập nhật khi có thay đổi làm ảnh hưởng đến kết quả phân loại.

Hồ sơ phân loại rủi ro phải đảm bảo bao gồm các tài liệu sau đây:

(i) Thông tin nhận diện hệ thống, bao gồm: Tên hệ thống; phiên bản; mã định danh nội bộ hoặc mã định danh do cơ quan nhà nước có thẩm quyền cấp; tên, địa chỉ và thông tin liên hệ của nhà cung cấp;

(ii) Mô tả hệ thống và bối cảnh sử dụng: Mục đích sử dụng; chức năng chính; kiến trúc hệ thống ở mức chức năng, nghiệp vụ; phạm vi triển khai; nhóm người sử dụng và người bị ảnh hưởng;

(iii) Thông tin về dữ liệu: Mô tả khái quát loại dữ liệu đầu vào chủ yếu được sử dụng để vận hành hệ thống;

(iv) Nội dung quản lý rủi ro: Tóm tắt các biện pháp quản lý rủi ro, bảo đảm an toàn và tính minh bạch của hệ thống.

2. Nghĩa vụ phân loại rủi ro và thông báo hệ thống trí tuệ nhân tạo của Chủ đầu tư AI Data Center

Để áp dụng các quy định nêu trên vào một dự án Data Center cụ thể, cần phân biệt rõ hạ tầng Data Center với hệ thống AI được triển khai trên hạ tầng đó. Data Center về bản chất là một hạ tầng kỹ thuật phục vụ việc đặt, lưu trữ, kết nối và xử lý dữ liệu, có thể cung cấp nhiều loại dịch vụ khác nhau như colocation, cloud, hosting, lưu trữ dữ liệu, kết nối mạng và các dịch vụ hạ tầng kỹ thuật khác. Trong khi đó, hệ thống AI là hệ thống có các chức năng, mục đích và phương thức vận hành cụ thể liên quan đến việc sử dụng công nghệ AI. Hệ thống này có thể được triển khai trên các máy chủ, thiết bị và tài nguyên tính toán đặt tại Data Center. Do đó, việc một Data Center cung cấp hạ tầng để khách hàng lưu trữ dữ liệu, đặt máy chủ hoặc vận hành hệ thống AI không đồng nghĩa với việc Data Center hoặc chủ đầu tư Data Center trở thành hệ thống AI hoặc Nhà cung cấp hệ thống AI.

Ví dụ, một doanh nghiệp đầu tư và vận hành Data Center tại Việt Nam, cung cấp dịch vụ colocation cho một tập đoàn công nghệ nước ngoài để triển khai hệ thống AI. Trong trường hợp này, chủ đầu tư Data Center chủ yếu cung cấp hạ tầng vật lý như không gian đặt thiết bị, nguồn điện, hệ thống làm mát, kết nối mạng, an ninh vật lý và các dịch vụ kỹ thuật liên quan. Tập đoàn công nghệ là chủ thể triển khai và vận hành hệ thống AI, tự quyết định mục đích sử dụng, chức năng, dữ liệu đầu vào và phương thức vận hành hệ thống. Theo đó, cần xác định tập đoàn công nghệ có phải là Nhà cung cấp hệ thống AI hay không dựa trên vai trò thực tế của các bên. Nếu tập đoàn này phát triển và cung cấp hệ thống AI cho người dùng hoặc thị trường, nghĩa vụ phân loại rủi ro về nguyên tắc thuộc về Nhà cung cấp. Chủ đầu tư Data Center không đương nhiên phải thực hiện việc phân loại chỉ vì đang cung cấp hạ tầng cho hệ thống đó.

Một ví dụ khác, nếu doanh nghiệp vận hành Data Center đồng thời tự phát triển, cung cấp hoặc trực tiếp vận hành một hệ thống AI cho khách hàng, chẳng hạn cung cấp nền tảng AI, hệ thống phân tích dữ liệu bằng AI hoặc dịch vụ AI được doanh nghiệp kiểm soát về chức năng và mục đích sử dụng, thì cần đánh giá lại vai trò của doanh nghiệp dưới pháp luật về AI. Khi đó, doanh nghiệp có thể phát sinh nghĩa vụ phân loại hệ thống, thông báo kết quả phân loại và thực hiện các biện pháp quản lý rủi ro tương ứng.

Do đó, trong quá trình thẩm định pháp lý một dự án Data Center có yếu tố AI, cần làm rõ các vấn đề: 

• Hệ thống AI do chủ thể nào phát triển và cung cấp?

• Chủ đầu tư Data Center chỉ cung cấp hạ tầng hay có tham gia vào việc quản trị, vận hành hệ thống AI?

• Dữ liệu được lưu trữ và xử lý là gì? Chỉ đơn thuần được dùng cho mục đích huấn luyện mô hình hay trực tiếp phục vụ người dùng cuối và từ đó thu thập thêm thông tin của họ?

• Hệ thống được sử dụng cho mục đích gì và thuộc mức độ rủi ro nào?

• Có phát sinh nghĩa vụ thông báo, lưu giữ hồ sơ hoặc quản lý rủi ro theo pháp luật về AI hay không?

Việc phân định rõ vai trò của từng chủ thể ngay từ giai đoạn thiết kế dự án sẽ giúp xác định đúng phạm vi nghĩa vụ pháp lý, tránh tình trạng đồng nhất việc cung cấp hạ tầng Data Center với việc cung cấp hoặc vận hành hệ thống AI, đồng thời hạn chế các rủi ro tuân thủ trong quá trình triển khai dự án.

Như vậy, đối với các dự án có yếu tố AI, việc đánh giá pháp lý không chỉ dừng ở các yêu cầu đối với hạ tầng Data Center mà còn cần xác định dự án có phát triển, cung cấp hoặc triển khai hệ thống AI thuộc phạm vi điều chỉnh của pháp luật về AI hay không. Đặc biệt, cần phân biệt rõ giữa hệ thống AI và mô hình AI, bởi nghĩa vụ phân loại rủi ro về nguyên tắc được áp dụng đối với hệ thống AI.

Việc phân loại không chính xác có thể dẫn đến xác định sai các nghĩa vụ về thông báo, hồ sơ và biện pháp quản lý rủi ro, từ đó phát sinh rủi ro pháp lý và vận hành. Tùy tính chất, mức độ và hậu quả của hành vi vi phạm, doanh nghiệp có thể phải khắc phục, điều chỉnh hoặc hạn chế việc cung cấp, sử dụng hệ thống, chịu xử phạt vi phạm hành chính hoặc các trách nhiệm khác theo quy định pháp luật. Trường hợp hệ thống AI gây thiệt hại cho người dùng, khách hàng hoặc bên thứ ba, doanh nghiệp còn có thể phát sinh khiếu nại, tranh chấp hoặc yêu cầu bồi thường.

Trong thực tiễn, việc xác định đúng mô hình pháp lý và phân định trách nhiệm giữa chủ đầu tư AI Data Center, Nhà cung cấp hệ thống AI và Bên sử dụng dịch vụ AI Data Center đòi hỏi phải xem xét đồng thời các yếu tố về công nghệ, mô hình kinh doanh và quy định pháp luật có liên quan. 

Nhận biết được nhu cầu này, DCompass cung cấp dịch vụ tư vấn pháp lý và đầu tư chuyên sâu cho các dự án Data Center và AI Data Center tại Việt Nam, hỗ trợ nhà đầu tư đánh giá mô hình đầu tư, rà soát khung pháp lý, xác định nghĩa vụ tuân thủ và nhận diện các rủi ro pháp lý ngay từ giai đoạn chuẩn bị và triển khai dự án.