Chuyển giao dữ liệu cho mục đích đào tạo AI: Trách nhiệm và rủi ro pháp lý

Trong bối cảnh trí tuệ nhân tạo (AI) phát triển mạnh mẽ và được ứng dụng rộng rãi, chuyển giao dữ liệu cho mục đích đào tạo AI đang trở thành nhu cầu phổ biến của nhiều doanh nghiệp. Tuy nhiên, việc sử dụng và chia sẻ dữ liệu, đặc biệt là dữ liệu cá nhân và dữ liệu nhạy cảm, cũng đặt ra nhiều rủi ro và yêu cầu tuân thủ pháp luật. Bài viết sau đây sẽ làm rõ các vấn đề pháp lý cần lưu ý khi chuyển giao dữ liệu cho mục đích đào tạo AI, giúp doanh nghiệp hạn chế rủi ro và bảo đảm tuân thủ quy định hiện hành.

I. Thực trạng liên quan đến chuyển giao dữ liệu cho mục đích đào tạo AI

Sự phát triển nhanh chóng của trí tuệ nhân tạo đã khiến chuyển giao dữ liệu cho mục đích đào tạo AI trở thành nhu cầu phổ biến của nhiều doanh nghiệp trong các lĩnh vực khác nhau. Dữ liệu được xem là nguồn đầu vào quan trọng để xây dựng, huấn luyện và hoàn thiện các mô hình AI, từ đó nâng cao hiệu quả hoạt động và khả năng cạnh tranh.

Tuy nhiên, trên thực tế, việc chuyển giao dữ liệu cho đào tạo AI vẫn còn nhiều bất cập. Không ít trường hợp doanh nghiệp thực hiện chia sẻ dữ liệu khi chưa làm rõ phạm vi sử dụng, thời hạn lưu trữ, biện pháp bảo mật và trách nhiệm pháp lý giữa các bên. Điều này làm gia tăng nguy cơ rò rỉ dữ liệu, đặc biệt là dữ liệu cá nhân và dữ liệu nhạy cảm, đồng thời đặt ra yêu cầu cấp thiết về việc tuân thủ chặt chẽ các quy định pháp luật liên quan.

II. Khái niệm về chuyển giao dữ liệu cho mục đích đào tạo AI

Để bảo đảm việc ứng dụng trí tuệ nhân tạo diễn ra hiệu quả và đúng quy định pháp luật, trước hết cần làm rõ khái niệm chuyển giao dữ liệu cho mục đích đào tạo AI, cũng như những lợi ích và giới hạn pháp lý đi kèm. Việc xác định đúng bản chất của hoạt động chuyển giao dữ liệu không chỉ giúp doanh nghiệp khai thác AI một cách hợp pháp mà còn góp phần hạn chế rủi ro liên quan đến bảo mật, quyền riêng tư và trách nhiệm pháp lý trong quá trình xử lý dữ liệu.

1. Chuyển giao dữ liệu cho mục đích đào tạo AI là gì?

Chuyển giao dữ liệu cho mục đích đào tạo AI là việc cá nhân, tổ chức hoặc doanh nghiệp cung cấp, chia sẻ hoặc cho phép bên khác sử dụng dữ liệu để huấn luyện, kiểm tra, cải thiện hoặc phát triển các hệ thống, mô hình trí tuệ nhân tạo. Hoạt động này có thể được thực hiện thông qua hợp đồng, thỏa thuận hoặc cơ chế kỹ thuật phù hợp, với điều kiện dữ liệu được sử dụng đúng mục đích, đúng phạm vi và tuân thủ quy định pháp luật về bảo vệ dữ liệu.

2. Lợi ích của việc chuyển giao dữ liệu cho mục đích đào tạo AI

Việc chuyển giao dữ liệu cho mục đích đào tạo AI mang lại nhiều lợi ích, cụ thể gồm:

• Nâng cao chất lượng mô hình AI nhờ được huấn luyện trên nguồn dữ liệu đa dạng, đầy đủ và sát với thực tế.
• Tăng độ chính xác và khả năng dự đoán của hệ thống AI, hạn chế sai lệch trong quá trình xử lý và phân tích dữ liệu.
• Tiết kiệm thời gian và chi phí thu thập, xử lý dữ liệu cho doanh nghiệp và đơn vị phát triển AI.
• Thúc đẩy đổi mới sáng tạo, mở rộng khả năng ứng dụng AI trong nhiều lĩnh vực.
• Tăng cường hợp tác giữa doanh nghiệp, tổ chức nghiên cứu và đơn vị công nghệ.

Có thể thấy, chuyển giao dữ liệu cho mục đích đào tạo AI là yếu tố then chốt giúp khai thác hiệu quả giá trị của dữ liệu, đồng thời tạo nền tảng cho việc phát triển các giải pháp AI bền vững và phù hợp với nhu cầu thực tiễn, với điều kiện phải được thực hiện đúng quy định pháp luật.

3. Phạm vi dữ liệu sử dụng cho đào tạo AI nên được xác định như thế nào?

Phạm vi dữ liệu sử dụng cho đào tạo AI cần được xác định rõ ràng ngay từ đầu nhằm bảo đảm tuân thủ pháp luật và hạn chế rủi ro phát sinh. Cụ thể, phạm vi dữ liệu nên được làm rõ theo các tiêu chí sau:

• Loại dữ liệu được sử dụng: dữ liệu cá nhân, dữ liệu phi cá nhân, dữ liệu nhạy cảm hoặc dữ liệu tổng hợp; chỉ sử dụng những dữ liệu phù hợp với mục đích đào tạo AI.
• Nguồn gốc dữ liệu: dữ liệu do doanh nghiệp tự thu thập, dữ liệu được chuyển giao hợp pháp từ bên thứ ba hoặc dữ liệu từ nguồn công khai hợp lệ.
• Mục đích sử dụng: dữ liệu chỉ được dùng cho việc huấn luyện, kiểm tra, cải tiến mô hình AI theo phạm vi đã thỏa thuận, không sử dụng cho mục đích khác.
• Thời hạn sử dụng và lưu trữ: xác định rõ thời gian được phép sử dụng, lưu trữ và nghĩa vụ xóa hoặc hoàn trả dữ liệu sau khi kết thúc mục đích đào tạo.
• Biện pháp bảo mật: quy định rõ trách nhiệm bảo vệ dữ liệu, kiểm soát truy cập và xử lý rủi ro rò rỉ dữ liệu.

Việc xác định phạm vi dữ liệu càng cụ thể và minh bạch sẽ giúp doanh nghiệp khai thác AI hiệu quả, đồng thời bảo đảm quyền lợi của các bên liên quan và tuân thủ quy định pháp luật về bảo vệ dữ liệu.

III. Quy định của pháp luật liên quan đến chuyển giao dữ liệu cho mục đích đào tạo AI

Hoạt động chuyển giao dữ liệu cho mục đích đào tạo AI không chỉ là vấn đề kỹ thuật hay thỏa thuận thương mại mà còn chịu sự điều chỉnh của nhiều quy định pháp luật khác nhau. Doanh nghiệp cần đặc biệt quan tâm đến các yêu cầu về hợp đồng, điều kiện pháp lý, phạm vi sử dụng dữ liệu và trách nhiệm khi xảy ra rủi ro. Việc hiểu đúng và tuân thủ đầy đủ các quy định này sẽ giúp quá trình chuyển giao dữ liệu diễn ra hợp pháp, an toàn và hạn chế tối đa các tranh chấp phát sinh.

1. Các bên liên quan cần ký kết những loại hợp đồng nào khi chuyển giao dữ liệu cho mục đích đào tạo AI?

Các bên liên quan khi chuyển giao dữ liệu cho mục đích đào tạo AI cần ký kết một số loại hợp đồng chủ chốt để đảm bảo quyền và nghĩa vụ của mỗi bên, cũng như tuân thủ quy định pháp luật hiện hành.

• Hợp đồng chuyển giao dữ liệu

Theo Điều 22 Luật Chuyển giao dữ liệu 2017, hợp đồng chuyển giao dữ liệu phải lập thành văn bản hoặc hình thức tương đương, được các bên ký, đóng dấu (nếu có) và giáp lai vào các trang hợp đồng, phụ lục.

• Mục đích: Xác lập việc chuyển giao dữ liệu từ bên cung cấp sang bên nhận, làm cơ sở pháp lý để sử dụng dữ liệu hợp pháp trong đào tạo AI.
• Nội dung chính: Tên dữ liệu/đối tượng dữ liệu, sản phẩm tạo ra; quyền sở hữu, quyền sử dụng dữ liệu; phương thức chuyển giao; quyền và nghĩa vụ các bên; giá, phương thức thanh toán; thời hạn, hiệu lực hợp đồng; kế hoạch, tiến độ, địa điểm thực hiện; trách nhiệm bảo hành dữ liệu; cơ quan giải quyết tranh chấp; các thỏa thuận khác giữa các bên.
• Hợp đồng bảo mật thông tin 

Theo khoản 2 Điều 387 Bộ luật Dân sự 2015, bên nhận thông tin bí mật trong quá trình giao kết hợp đồng có trách nhiệm bảo mật và không được sử dụng thông tin trái pháp luật hoặc cho mục đích riêng

• Mục đích: Bảo vệ thông tin nhạy cảm, dữ liệu bí mật trong quá trình chia sẻ và xử lý, tránh rò rỉ hoặc sử dụng trái pháp luật.
• Hình thức: Có thể thể hiện dưới dạng hợp đồng nguyên tắc, hợp đồng riêng biệt hoặc điều khoản/phụ lục trong hợp đồng chính.
• Nội dung chính: Xác định dữ liệu bí mật; cam kết không tiết lộ cho bên thứ ba; thời hạn bảo mật; trách nhiệm và hình thức xử lý khi vi phạm.
• Hợp đồng chuyển giao quyền sở hữu trí tuệ

Theo Điều 48 Luật Sở hữu trí tuệ năm 2005 (sửa đổi bổ sung 2022) quy định về Hợp đồng sử dụng quyền tác giả, quyền liên quan

• Mục đích: Quy định quyền sở hữu trí tuệ phát sinh từ dữ liệu và sản phẩm AI, xác định rõ quyền và nghĩa vụ của các bên liên quan.
   
• Nội dung chính:
  + Thông tin đầy đủ của bên chuyển quyền và bên được chuyển quyền;
  + Căn cứ chuyển quyền;
  + Phạm vi chuyển giao quyền;
  + Giá và phương thức thanh toán;
  + Quyền, nghĩa vụ của các bên;
  + Trách nhiệm do vi phạm hợp đồng.
   
• Hợp đồng xử lý dữ liệu

Theo Điều 39 Nghị định 13/2023/NĐ-CP về trách nhiệm của Bên Xử lý dữ liệu cá nhân (áp dụng nếu dữ liệu chứa thông tin cá nhân).

• Mục đích: Đảm bảo việc xử lý dữ liệu cá nhân tuân thủ quy định pháp luật, phân định trách nhiệm giữa bên cung cấp và bên xử lý dữ liệu.
• Nội dung chính: Mục đích, phạm vi, phương thức xử lý dữ liệu; trách nhiệm bảo mật, lưu trữ, xóa dữ liệu sau khi kết thúc dự án; quyền của chủ thể dữ liệu; thủ tục thông báo vi phạm dữ liệu nếu có.

Việc ký kết đầy đủ các hợp đồng trên không chỉ giúp xác lập rõ quyền và nghĩa vụ giữa các bên mà còn bảo vệ doanh nghiệp trước rủi ro pháp lý, đảm bảo tuân thủ các quy định về bảo vệ dữ liệu, quyền sở hữu trí tuệ và an toàn thông tin trong quá trình chuyển giao dữ liệu cho mục đích đào tạo AI.

2. Doanh nghiệp có phải xin giấy phép trước khi chuyển giao dữ liệu cho mục đích đào tạo AI không?

Doanh nghiệp không mặc nhiên phải xin giấy phép chỉ vì chuyển giao dữ liệu để đào tạo AI. Tuy nhiên, doanh nghiệp vẫn phải tuân thủ đầy đủ các nghĩa vụ pháp lý bắt buộc sau:

• Sự đồng ý của chủ thể dữ liệu: Theo Điều 11 Nghị định 13/2023/NĐ-CP, việc thu thập, sử dụng, chuyển giao dữ liệu cá nhân để đào tạo AI phải có sự đồng ý hợp pháp, rõ ràng và cụ thể của chủ thể dữ liệu, trừ trường hợp pháp luật cho phép xử lý không cần sự đồng ý.
• Chuyển dữ liệu cá nhân ra nước ngoài: Theo Điều 25 Nghị định 13/2023/NĐ-CP, nếu việc đào tạo AI liên quan đến chuyển dữ liệu cá nhân ra nước ngoài, doanh nghiệp phải thực hiện thủ tục đánh giá tác động và đăng ký với cơ quan có thẩm quyền theo quy định.
• Xin phép hoặc tuân thủ quản lý chuyên ngành đối với dữ liệu hạn chế, bí mật: Căn cứ khoản 1 và khoản 2 Điều 14 Nghị định 165/2025/NĐ-CP( sửa đổi bởi Khoản 3 Điều 23 Nghị định 278/2025/NĐ-CP), dữ liệu hạn chế, quan trọng, cốt lõi hoặc bí mật nhà nước chỉ được doanh nghiệp chuyển giao khi có phép cơ quan có thẩm quyền và tuân thủ khung quản trị, quản lý dữ liệu: khung quốc gia do Thủ tướng ban hành áp dụng chung, khung chi tiết do cơ quan quản lý cơ sở dữ liệu xây dựng cho dữ liệu mình quản lý và phù hợp với khung quốc gia.

Doanh nghiệp không cần xin giấy phép chung cho mọi hoạt động chuyển dữ liệu đào tạo AI, nhưng vẫn có thể phải xin phép hoặc thực hiện thủ tục bắt buộc nếu dữ liệu là dữ liệu cá nhân, dữ liệu chuyển ra nước ngoài, hoặc dữ liệu thuộc diện hạn chế/bí mật theo quy định pháp luật.

Theo Điều 30 Luật Chuyển giao dữ liệu 2017, hồ sơ, trình tự, thủ tục cấp Giấy phép chuyển giao công nghệ bao gồm:

• Văn bản đề nghị cấp Giấy phép: ghi rõ cam kết của các bên về việc thực hiện hợp đồng tuân thủ pháp luật.
• Văn bản chứng minh tư cách pháp lý của các bên tham gia hợp đồng.
• Hợp đồng chuyển giao công nghệ: bản gốc bằng tiếng Việt hoặc bản sao có chứng thực; nếu hợp đồng bằng ngôn ngữ khác phải có bản dịch tiếng Việt công chứng hoặc chứng thực.
• Danh mục tài liệu công nghệ, máy móc, thiết bị kèm hợp đồng (nếu có).
• Bản sao có chứng thực văn bằng bảo hộ các đối tượng sở hữu trí tuệ (nếu có).
• Tiêu chuẩn, chất lượng sản phẩm/dịch vụ do ứng dụng công nghệ chuyển giao tạo ra.
• Giải trình về điều kiện sử dụng công nghệ.
• Văn bản thẩm định giá công nghệ trong trường hợp bên nhận sử dụng vốn nhà nước.

Doanh nghiệp cần xác định rõ trường hợp chuyển giao dữ liệu thuộc phạm vi bắt buộc đăng ký hay không. Việc chuẩn bị đầy đủ hồ sơ và tuân thủ thủ tục giúp doanh nghiệp tránh rủi ro pháp lý và chứng minh hợp pháp hóa quá trình chuyển giao công nghệ trong đào tạo AI.

3. Việc sử dụng dữ liệu thu thập từ nguồn công khai để đào tạo AI có phải tuân thủ yêu cầu pháp lý nào?

Việc sử dụng dữ liệu thu thập từ nguồn công khai để đào tạo AI vẫn phải tuân thủ các quy định pháp luật hiện hành, bao gồm:

• Bảo vệ dữ liệu cá nhân: Nếu dữ liệu chứa thông tin cá nhân, phải tuân thủ Điều 3 Nghị định 13/2023/NĐ-CP về nguyên tắc bảo vệ dữ liệu cá nhân, bao gồm việc xử lý, lưu trữ, xóa dữ liệu và bảo mật thông tin.
• Sở hữu trí tuệ: Phải tôn trọng quyền tác giả, quyền sở hữu công nghiệp theo Điều 47 Luật Sở hữu trí tuệ 2005 (sửa đổi bởi Khoản 13 Điều 1 Luật Sở hữu trí tuệ sửa đổi 2022 ) về quy định chung về chuyển quyền sử dụng quyền tác giả, quyền liên quan, không sử dụng dữ liệu vi phạm bản quyền hay quyền của bên thứ ba.
• Trách nhiệm dân sự: Theo Điều 584 Bộ luật Dân sự 2015, nếu dữ liệu gây thiệt hại cho cá nhân hoặc tổ chức, bên sử dụng dữ liệu phải chịu trách nhiệm bồi thường.

Dù dữ liệu công khai, doanh nghiệp vẫn phải đảm bảo bảo mật, tôn trọng quyền sở hữu trí tuệ và tuân thủ các quy định về dữ liệu cá nhân khi sử dụng cho đào tạo AI.

4. Trách nhiệm bồi thường được xác định như thế nào nếu xảy ra rò rỉ dữ liệu trong quá trình chuyển giao dữ liệu cho đào tạo AI?

Căn cứ khoản 10 Điều 9 Nghị định 13/2023/NĐ-CP, khi xảy ra rò rỉ dữ liệu trong quá trình chuyển giao dữ liệu cho đào tạo AI làm xâm phạm quyền bảo vệ dữ liệu cá nhân, chủ thể dữ liệu có quyền yêu cầu bồi thường thiệt hại, trừ trường hợp các bên có thỏa thuận khác hoặc pháp luật có quy định riêng.

Trách nhiệm bồi thường được xác định dựa trên hành vi vi phạm nghĩa vụ bảo vệ dữ liệu, mức độ lỗi của các bên liên quan và thiệt hại thực tế phát sinh, phù hợp với quy định của pháp luật dân sự.

IV. Giải đáp các vấn đề thắc mắc thường gặp liên quan đến chuyển giao dữ liệu cho mục đích đào tạo AI

Trong quá trình triển khai đào tạo AI, nhiều doanh nghiệp và tổ chức thường băn khoăn về các yêu cầu pháp lý liên quan đến chuyển giao dữ liệu. Phần này sẽ giải đáp một số thắc mắc phổ biến, bao gồm:

1. Chuyển giao dữ liệu cho mục đích đào tạo AI có yêu cầu phải ký hợp đồng hoặc thỏa thuận bảo mật giữa các bên không?

Có. Theo Điều 22 Luật Chuyển giao dữ liệu 2017 và khoản 2 Điều 387 Bộ luật Dân sự 2015, các bên khi chuyển giao dữ liệu cần ký hợp đồng hoặc thỏa thuận bảo mật để:

• Xác định rõ quyền và nghĩa vụ của các bên;
• Bảo vệ thông tin nhạy cảm, dữ liệu bí mật;
• Quy định trách nhiệm pháp lý nếu vi phạm;
• Là cơ sở pháp lý để xử lý tranh chấp hoặc yêu cầu bồi thường nếu dữ liệu bị lộ, mất.

Hợp đồng có thể được lập dưới dạng: hợp đồng riêng, điều khoản trong hợp đồng chính, hoặc thỏa thuận nguyên tắc, tùy theo thỏa thuận của các bên.

2. Doanh nghiệp có được chuyển giao dữ liệu cho mục đích đào tạo AI nếu dữ liệu chứa thông tin nhạy cảm không?

Theo Nghị định 13/2023/NĐ-CP, doanh nghiệp có thể chuyển giao dữ liệu cá nhân nhạy cảm cho mục đích đào tạo AI, nhưng phải tuân thủ các quy định chặt chẽ nhằm bảo vệ quyền và lợi ích hợp pháp của chủ thể dữ liệu, cụ thể như sau:

• Sự đồng ý của chủ thể dữ liệu:
  + Theo Điều 11 Nghị định 13/2023/NĐ-CP, trước khi xử lý dữ liệu cá nhân nhạy cảm, doanh nghiệp phải thông báo cho chủ thể dữ liệu biết rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm.
  + Việc thông báo này là cơ sở để đảm bảo chủ thể dữ liệu nhận thức và đồng thuận với việc sử dụng dữ liệu của mình.
   
• Biện pháp bảo vệ dữ liệu cá nhân nhạy cảm:
  + Theo Điều 28 Nghị định 13/2023/NĐ-CP, doanh nghiệp phải áp dụng các biện pháp bảo vệ dữ liệu quy định tại khoản 2 Điều 26 và Điều 27 của Nghị định, bao gồm các biện pháp về kỹ thuật, quản lý, bảo mật, lưu trữ và xử lý dữ liệu.
  + Doanh nghiệp phải chỉ định bộ phận có chức năng bảo vệ dữ liệu cá nhân và nhân sự phụ trách bảo vệ dữ liệu, đồng thời trao đổi thông tin về bộ phận và cá nhân này với cơ quan chuyên trách bảo vệ dữ liệu cá nhân. Trường hợp bên kiểm soát hoặc xử lý dữ liệu là cá nhân hoặc bên thứ ba, thông tin về cá nhân thực hiện cũng phải được trao đổi đầy đủ.
   
• Thông báo về việc xử lý dữ liệu:
  + Theo khoản 3 Điều 28 Nghị định 13/2023/NĐ-CP, doanh nghiệp phải thông báo cho chủ thể dữ liệu biết về việc dữ liệu cá nhân nhạy cảm của họ được xử lý, trừ những trường hợp được quy định tại khoản 4 Điều 13, Điều 17 và Điều 18 của Nghị định 13/2023/NĐ-CP.

Việc chuyển giao dữ liệu nhạy cảm cho mục đích đào tạo AI phải dựa trên sự đồng ý của chủ thể dữ liệu, thực hiện đầy đủ các biện pháp bảo mật, chỉ định nhân sự phụ trách và thông báo minh bạch về việc xử lý dữ liệu để tuân thủ pháp luật.

3. Việc lưu trữ dữ liệu sau khi chuyển giao dữ liệu cho mục đích đào tạo AI có phải tuân theo thời hạn lưu trữ cụ thể không?

Theo khoản 1 Điều 27 Nghị định 53/2022/NĐ-CP, việc lưu trữ dữ liệu sau khi chuyển giao phải tuân thủ các quy định về thời hạn lưu trữ như sau:

• Thời gian lưu trữ dữ liệu:
  + Bắt đầu từ khi doanh nghiệp nhận được yêu cầu lưu trữ dữ liệu cho đến khi kết thúc yêu cầu;
  ​​​​​​​+ Thời gian lưu trữ tối thiểu là 24 tháng.
   
• Chi nhánh hoặc văn phòng đại diện tại Việt Nam:
  ​​​​​​​+ Thời hạn lưu trữ dữ liệu tại chi nhánh hoặc văn phòng đại diện bắt đầu từ khi nhận yêu cầu và kéo dài đến khi doanh nghiệp ngừng hoạt động tại Việt Nam hoặc dịch vụ không còn cung cấp tại Việt Nam.
   
• Nhật ký hệ thống phục vụ điều tra vi phạm an ninh mạng:
  + Theo điểm b khoản 2 Điều 26 Luật An ninh mạng 2018, nhật ký hệ thống phải được lưu tối thiểu 12 tháng.

Doanh nghiệp trong nước khi chuyển giao dữ liệu cho mục đích đào tạo AI phải lưu trữ dữ liệu tại Việt Nam với thời hạn tối thiểu 24 tháng, trừ những loại dữ liệu có quy định khác của pháp luật.

4. Khi chuyển giao dữ liệu cho mục đích đào tạo AI, doanh nghiệp có cần đánh giá tác động xử lý dữ liệu (DPIA) không?

Có, theo Điều 24 Nghị định 13/2023/NĐ-CP, doanh nghiệp có trách nhiệm lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) khi xử lý dữ liệu cá nhân, bao gồm cả dữ liệu được chuyển giao để đào tạo AI. Cụ thể:

• Trách nhiệm của Bên Kiểm soát dữ liệu cá nhân và Bên Kiểm soát – Xử lý dữ liệu cá nhân:
  - Lập và lưu giữ Hồ sơ đánh giá tác động từ thời điểm bắt đầu xử lý dữ liệu cá nhân;
  - Hồ sơ bao gồm:
  + Thông tin liên lạc của bên kiểm soát và xử lý dữ liệu;
  + Thông tin nhân sự phụ trách bảo vệ dữ liệu;
  ​​​​​​​+ Mục đích và phạm vi xử lý dữ liệu; các loại dữ liệu cá nhân; tổ chức/cá nhân nhận dữ liệu; trường hợp chuyển dữ liệu ra nước ngoài; thời gian xử lý và xóa dữ liệu; biện pháp bảo vệ; đánh giá mức độ rủi ro, hậu quả và các biện pháp giảm thiểu.
   
• Trách nhiệm của Bên Xử lý dữ liệu cá nhân:
  + Lập và lưu giữ hồ sơ DPIA khi thực hiện hợp đồng với Bên Kiểm soát dữ liệu cá nhân;
  ​​​​​​​+ Hồ sơ bao gồm: thông tin liên lạc, mô tả hoạt động xử lý và dữ liệu được xử lý, thời gian xử lý và xóa, trường hợp chuyển ra nước ngoài, biện pháp bảo vệ, rủi ro và biện pháp giảm thiểu.
   
• Yêu cầu về pháp lý và lưu trữ:
  + Hồ sơ DPIA phải được xác lập bằng văn bản có giá trị pháp lý;
  + Luôn có sẵn để kiểm tra, đánh giá và phải gửi 01 bản chính cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) trong vòng 60 ngày kể từ khi bắt đầu xử lý dữ liệu;
  + Hồ sơ phải được cập nhật, bổ sung khi có thay đổi về nội dung.

Doanh nghiệp khi chuyển giao dữ liệu cho mục đích đào tạo AI bắt buộc phải thực hiện đánh giá tác động xử lý dữ liệu (DPIA), lập và lưu giữ hồ sơ đầy đủ, cũng như báo cáo và cập nhật theo yêu cầu của cơ quan quản lý để tuân thủ pháp luật về bảo vệ dữ liệu cá nhân.

5. Chuyển giao dữ liệu cho mục đích đào tạo AI có được phép thực hiện qua nền tảng điện toán đám mây hay không?

Theo Nghị định 13/2023/NĐ-CP và Nghị định 53/2022/NĐ-CP, việc chuyển giao dữ liệu, bao gồm dữ liệu cá nhân và dữ liệu nhạy cảm, có thể thực hiện qua nền tảng điện toán đám mây, nhưng doanh nghiệp phải tuân thủ các yêu cầu sau:

• Bảo đảm an toàn, bảo mật dữ liệu:
  + Dữ liệu phải được lưu trữ, xử lý và truyền tải theo các biện pháp bảo mật phù hợp với tính chất dữ liệu;
  + Đối với dữ liệu cá nhân, phải thực hiện các biện pháp kỹ thuật và tổ chức để bảo vệ dữ liệu, hạn chế rủi ro rò rỉ, mất mát hoặc truy cập trái phép.
   
• Tuân thủ quy định về địa lý lưu trữ dữ liệu:
  + Theo Điều 27 Nghị định 53/2022/NĐ-CP, dữ liệu doanh nghiệp trong nước phải được lưu trữ tại Việt Nam với thời hạn tối thiểu 24 tháng;
  ​​​​​​​+ Trường hợp sử dụng dịch vụ điện toán đám mây, doanh nghiệp phải đảm bảo nhà cung cấp có hạ tầng đặt tại Việt Nam hoặc thực hiện cơ chế sao lưu dữ liệu tại Việt Nam để đáp ứng yêu cầu pháp luật.
   
• Trách nhiệm với dữ liệu cá nhân nhạy cảm:
  ​​​​​​​+ Nếu dữ liệu chứa thông tin cá nhân nhạy cảm, doanh nghiệp phải tuân thủ Điều 28 Nghị định 13/2023/NĐ-CP, bao gồm: áp dụng biện pháp bảo vệ, chỉ định nhân sự phụ trách bảo vệ dữ liệu và thông báo cho chủ thể dữ liệu về việc xử lý.
   
• Hợp đồng với nhà cung cấp dịch vụ đám mây:
  + Doanh nghiệp nên ký hợp đồng xử lý dữ liệu (Data Processing Agreement – DPA) với nhà cung cấp dịch vụ đám mây, quy định rõ trách nhiệm bảo mật, lưu trữ, xóa dữ liệu, quyền của chủ thể dữ liệu và xử lý vi phạm dữ liệu.

Việc chuyển giao dữ liệu cho mục đích đào tạo AI qua nền tảng điện toán đám mây là được phép, nhưng doanh nghiệp phải đảm bảo các yêu cầu về bảo mật, lưu trữ tại Việt Nam, bảo vệ dữ liệu nhạy cảm và ký hợp đồng với nhà cung cấp dịch vụ để tuân thủ quy định pháp luật hiện hành.

V. Tại sao nên tìm luật sư tư vấn ở NPLAW khi có vấn đề về chuyển giao dữ liệu cho mục đích đào tạo AI

Trong bối cảnh pháp luật ngày càng chặt chẽ về bảo vệ dữ liệu, an toàn thông tin và quyền riêng tư, việc chuyển giao dữ liệu cho mục đích đào tạo AI nếu không tuân thủ đúng quy định có thể khiến doanh nghiệp đối mặt với rủi ro pháp lý nghiêm trọng, bao gồm xử phạt hành chính, yêu cầu bồi thường dân sự và trong một số trường hợp còn có thể bị truy cứu trách nhiệm hình sự.Do đó, việc được tư vấn kịp thời bởi luật sư am hiểu chuyên sâu là yếu tố then chốt giúp doanh nghiệp phòng ngừa rủi ro, tuân thủ pháp luật và xử lý hiệu quả các tình huống phát sinh.

Trên đây là các thông tin mang tính tham khảo. Quý khách hàng cần tư vấn chi tiết về trường hợp cụ thể, vui lòng liên hệ cho Hãng luật Á Châu Sunlaw để được tư vấn ngay.