Trong những năm gần đây, cùng với xu hướng chuyển đổi số và ứng dụng công nghệ vào hoạt động kinh doanh, các hệ thống trí tuệ nhân tạo (AI) và nhận diện khách hàng điện tử (eKYC – electronic Know Your Customer) đã trở thành nền tảng quan trọng trong nhiều lĩnh vực như tài chính, ngân hàng, bảo hiểm, thương mại điện tử và y tế.
- Các công nghệ này giúp doanh nghiệp tự động hóa quy trình, nâng cao độ chính xác trong xác minh danh tính, phân tích dữ liệu và tối ưu hóa trải nghiệm khách hàng. Tuy nhiên, để vận hành hiệu quả, các hệ thống AI và eKYC phải thu thập, lưu trữ và xử lý khối lượng lớn dữ liệu cá nhân, trong đó có nhiều dữ liệu thuộc nhóm nhạy cảm như dữ liệu sinh trắc học, thông tin định danh, dữ liệu tài chính và dữ liệu hành vi.
- Chính vì phạm vi và mức độ xử lý dữ liệu lớn, hoạt động vận hành hệ thống AI và eKYC tiềm ẩn nhiều rủi ro đối với quyền riêng tư của chủ thể dữ liệu nếu không được kiểm soát phù hợp. Theo Luật Bảo vệ dữ liệu cá nhân năm 2025 và các văn bản hướng dẫn thi hành, doanh nghiệp có trách nhiệm đánh giá trước những rủi ro này thông qua Đánh giá tác động xử lý dữ liệu cá nhân (DPIA).
- Đây không chỉ là yêu cầu nhằm bảo đảm tuân thủ pháp luật mà còn là công cụ giúp doanh nghiệp nhận diện nguy cơ, xây dựng biện pháp kiểm soát và chứng minh trách nhiệm giải trình trong quá trình xử lý dữ liệu. Vì vậy, khi triển khai AI hoặc hệ thống nhận diện khách hàng điện tử (eKYC), doanh nghiệp cần đặc biệt lưu ý các yêu cầu pháp lý và những nội dung đặc thù khi thực hiện DPIA.
CƠ SỞ PHÁP LÝ
– Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025 của Quốc hội nước Cộng hòa xã hội chủ nghĩa Việt Nam (có hiệu lực từ ngày 01/01/2026);
– Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;
I. KHÁI NIỆM HỆ THỐNG AI, EKYC VÀ DPIA
1.1. Hệ thống AI là gì?
Hệ thống AI (Artificial Intelligence) là hệ thống phần mềm sử dụng các thuật toán học máy, học sâu hoặc các phương pháp trí tuệ nhân tạo để phân tích dữ liệu, nhận dạng mẫu, đưa ra dự đoán và tự động ra quyết định mà không cần sự can thiệp thủ công của con người trong từng trường hợp cụ thể. Trong lĩnh vực bảo vệ dữ liệu cá nhân, hệ thống AI đặt ra những thách thức đặc biệt bởi khả năng xử lý lượng dữ liệu khổng lồ, tốc độ ra quyết định tự động và mức độ ảnh hưởng trực tiếp đến quyền lợi của chủ thể dữ liệu.
Theo Khoản 8 Điều 21 Nghị định số 356/2025/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân, dịch vụ xử lý dữ liệu cá nhân bao gồm các dịch vụ “xử lý dữ liệu tự động dựa trên công nghệ dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo”. Đây là nhóm hệ thống phải tuân thủ các yêu cầu nghiêm ngặt về bảo vệ dữ liệu cá nhân và thực hiện DPIA bắt buộc theo quy định pháp luật.
1.2. Hệ thống nhận diện khách hàng điện tử (eKYC) là gì?
eKYC (electronic Know Your Customer) là hình thức định danh khách hàng điện tử, cho phép người dùng thực hiện toàn bộ thủ tục xác minh danh tính trực tuyến thông qua ứng dụng trên thiết bị di động hoặc nền tảng số mà không cần đến trực tiếp quầy giao dịch. Công nghệ eKYC giúp doanh nghiệp đơn giản hóa thủ tục hành chính, tiết kiệm thời gian và nâng cao năng lực phục vụ, đặc biệt trong lĩnh vực ngân hàng và tài chính.
Thực chất, hệ thống eKYC là một ứng dụng cụ thể của AI (công nghệ OCR, Facematch, sinh trắc học,…) để xác thực danh tính – do đó vừa chịu sự điều chỉnh của các quy định chung về hệ thống AI, vừa có những yêu cầu đặc thù riêng xuất phát từ tính chất xử lý dữ liệu sinh trắc học ở quy mô lớn.
1.3. DPIA là gì và ai phải thực hiện?
DPIA (Data Protection Impact Assessment) – Đánh giá tác động xử lý dữ liệu cá nhân – là quy trình xác định, đánh giá và giảm thiểu rủi ro đối với quyền, lợi ích hợp pháp của chủ thể dữ liệu phát sinh từ hoạt động xử lý dữ liệu cá nhân. Theo quy định của Luật Bảo vệ dữ liệu cá nhân năm 2025, tất cả các tổ chức có xử lý dữ liệu cá nhân đều có nghĩa vụ lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA), trừ một số ít trường hợp được miễn trừ, cụ thể là các doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp, hộ kinh doanh và doanh nghiệp siêu nhỏ khi đáp ứng một số điều kiện nhất định theo quy định của Luật.
Do đó, hệ thống AI và hệ thống eKYC đều thuộc diện bắt buộc phải thực hiện DPIA bởi đặc tính xử lý dữ liệu cá nhân ở quy mô lớn – bao gồm dữ liệu sinh trắc học, thông tin tài chính, hình ảnh cá nhân và nhiều loại dữ liệu nhạy cảm khác.
II. TẠI SAO HỆ THỐNG AI VÀ EKYC BẮT BUỘC PHẢI THỰC HIỆN DPIA?
2.1. Đối với hệ thống AI
Hệ thống AI bắt buộc phải thực hiện DPIA xuất phát từ những đặc điểm vốn có của công nghệ này: xử lý dữ liệu cá nhân ở quy mô lớn và liên tục; ra quyết định hoàn toàn tự động có thể ảnh hưởng trực tiếp đến quyền lợi của chủ thể dữ liệu; và tiềm ẩn nguy cơ sai lệch thuật toán. Nghị định số 356/2025/NĐ-CP xác định rõ các dịch vụ xử lý dữ liệu cá nhân dựa trên công nghệ trí tuệ nhân tạo là đối tượng phải đáp ứng các điều kiện nghiêm ngặt và thực hiện đầy đủ thủ tục pháp lý liên quan, trong đó có DPIA.
2.2. Đối với hệ thống eKYC
Hệ thống nhận diện khách hàng (eKYC) thuộc diện phải thực hiện DPIA bắt buộc bởi hai lý do cốt lõi: loại dữ liệu xử lý và quy mô vận hành. Về loại dữ liệu, hệ thống eKYC thu thập và xử lý dữ liệu sinh trắc học – loại dữ liệu được Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 xếp vào nhóm dữ liệu cá nhân nhạy cảm và đặt ra bảo vệ đặc biệt.
Về quy mô, hệ thống eKYC trong lĩnh vực ngân hàng và tài chính có thể xử lý hàng triệu lượt định danh mỗi năm, hoàn toàn tự động và liên tục. Sự kết hợp giữa dữ liệu sinh trắc học nhạy cảm không thể thay đổi như mật khẩu, quy mô xử lý lớn và mức độ tự động hóa cao khiến hệ thống eKYC luôn thuộc diện phải lập hồ sơ DPIA bắt buộc theo pháp luật bảo vệ dữ liệu cá nhân hiện hành.
III. NỘI DUNG CẦN LƯU Ý KHI THỰC HIỆN DPIA CHO HỆ THỐNG AI VÀ EKYC
3.1. Mô tả đầy đủ và chính xác các hoạt động xử lý dữ liệu
Theo Điều 19 Nghị định số 356/2025/NĐ-CP, hồ sơ DPIA phải thể hiện rõ:
- Thông tin và chi tiết liên lạc của bên kiểm soát dữ liệu; thông tin người phụ trách bảo vệ dữ liệu cá nhân (DPO);
- Mô tả mục đích, chi tiết hoạt động xử lý; chính sách lưu trữ, xóa, hủy dữ liệu;
- Các biện pháp bảo vệ dữ liệu được áp dụng.
Đối với hệ thống AI, cần mô tả rõ logic vận hành của mô hình, dữ liệu huấn luyện đã sử dụng, cơ chế ra quyết định tự động và mức độ ảnh hưởng của các quyết định đó đến chủ thể dữ liệu. Đối với hệ thống eKYC, cần xác định cụ thể các công nghệ tích hợp (OCR, Facematch, sinh trắc học,…), mức độ tự động hóa trong quy trình nhận diện khách hàng và cơ chế xử lý khi hệ thống ra quyết định sai hoặc từ chối xác minh nhầm. Đây là những rủi ro đặc thù mà hồ sơ DPIA của hệ thống AI và eKYC phải phản ánh đầy đủ.
3.2. Đánh giá rủi ro đặc thù của từng loại hệ thống
Một trong những yêu cầu trọng tâm của DPIA là xác định và đánh giá toàn diện các rủi ro tiềm ẩn. Nghị định số 356/2025/NĐ-CP quy định hồ sơ DPIA phải nêu rõ “hậu quả, thiệt hại không mong muốn có khả năng xảy ra, các biện pháp giảm thiểu hoặc loại bỏ nguy cơ, tác hại đó”. Với hệ thống AI nói chung, các rủi ro đặc thù bao gồm: sai lệch thuật toán; quyết định tự động ảnh hưởng bất lợi đến người dùng mà không có cơ chế giải trình; rủi ro lộ lọt dữ liệu từ mô hình AI bị khai thác; và nguy cơ dữ liệu huấn luyện bị sử dụng sai mục đích.
Với hệ thống eKYC, ngoài các rủi ro chung của AI, còn phát sinh rủi ro đặc thù từ dữ liệu sinh trắc học – loại dữ liệu không thể thay đổi như mật khẩu, một khi bị rò rỉ sẽ gây thiệt hại vĩnh viễn cho chủ thể dữ liệu. Khoản 4 Điều 31 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 quy định cơ quan, tổ chức thu thập và xử lý dữ liệu sinh trắc học phải có hệ thống theo dõi để phòng ngừa, phát hiện hành vi xâm phạm dữ liệu sinh trắc học; tuân thủ quy định của pháp luật và tiêu chuẩn quốc tế có liên quan. Yêu cầu này phải được phản ánh cụ thể trong hồ sơ DPIA.
3.3. Đảm bảo cơ sở pháp lý và cơ chế đồng ý của chủ thể dữ liệu
Cả hệ thống AI và hệ thống eKYC đều chỉ được phép xử lý dữ liệu cá nhân khi có đầy đủ cơ sở pháp lý. DPIA cần xem xét và ghi nhận:
- Sự đồng ý của chủ thể dữ liệu có được thu thập một cách tự nguyện, chủ động và đầy đủ thông tin hay không;
- Mục đích xử lý dữ liệu có được tuyên bố rõ ràng trước khi thu thập không;
- Cơ chế để chủ thể dữ liệu thực hiện quyền truy cập, chỉnh sửa, xóa và rút lại sự đồng ý đã được thiết lập chưa.
Pháp luật bảo vệ dữ liệu cá nhân hiện hành nghiêm cấm các hình thức đồng ý mặc định, ô chọn đã được đánh dấu sẵn hoặc điều khoản chung chung không rõ mục đích. Đối với hệ thống AI ra quyết định tự động ảnh hưởng đến quyền lợi người dùng, DPIA cũng phải ghi nhận cơ chế giải trình và phản hồi khiếu nại. Đối với hệ thống nhận diện khách hàng (eKYC), hồ sơ DPIA phải mô tả cụ thể quy trình lấy sự đồng ý tích cực, chủ động trước khi thu thập dữ liệu sinh trắc học, đảm bảo khách hàng hiểu rõ dữ liệu của họ sẽ được xử lý bởi công nghệ AI như thế nào và vì mục đích gì.
3.4. Biện pháp bảo vệ dữ liệu và yêu cầu kỹ thuật
DPIA cho hệ thống AI và eKYC phải mô tả đầy đủ các biện pháp kỹ thuật và tổ chức được áp dụng để bảo vệ dữ liệu trong suốt vòng đời xử lý. Theo khoản 4 Điều 31 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, cơ quan, tổ chức, cá nhân thu thập và xử lý dữ liệu sinh trắc học phải có biện pháp bảo mật vật lý đối với thiết bị lưu trữ và truyền tải dữ liệu sinh trắc học; hạn chế quyền truy cập vào dữ liệu sinh trắc học.
3.5. Nghĩa vụ nộp và cập nhật hồ sơ DPIA khi hệ thống có thay đổi
Sau khi hoàn thiện hồ sơ DPIA nội bộ, tổ chức phải nộp hồ sơ theo Mẫu số 10 ban hành kèm Nghị định số 356/2025/NĐ-CP về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) – Bộ Công an trong vòng 60 ngày kể từ ngày bắt đầu xử lý dữ liệu. Hồ sơ phải luôn sẵn có để phục vụ hoạt động kiểm tra, đánh giá của cơ quan chức năng.
Đặc biệt, hồ sơ DPIA không phải là tài liệu lập một lần và lưu trữ mãi. Tổ chức có nghĩa vụ cập nhật, bổ sung hồ sơ mỗi khi có sự thay đổi theo điều 20 Nghị định 356/2025/NĐ-CP.
KẾT LUẬN
DPIA cho hệ thống AI và hệ thống nhận diện khách hàng (eKYC) là nghĩa vụ pháp lý bắt buộc và liên tục theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP. Hai loại hệ thống này có điểm chung là xử lý dữ liệu cá nhân ở quy mô lớn và mức độ tự động hóa cao, nhưng cũng có những rủi ro và yêu cầu đặc thù riêng mà hồ sơ DPIA phải phản ánh đầy đủ – đặc biệt là rủi ro quyết định sai lệch tự động trong hệ thống AI và rủi ro lộ lọt dữ liệu sinh trắc học không thể khôi phục trong hệ thống eKYC.
Thực hiện DPIA đúng quy định không chỉ giúp tổ chức phòng ngừa rủi ro pháp lý mà còn xây dựng nền tảng tin cậy với người dùng – yếu tố then chốt trong kỷ nguyên kinh tế số. Nếu doanh nghiệp đang triển khai hoặc có kế hoạch đưa vào vận hành hệ thống AI hoặc hệ thống eKYC, hãy rà soát ngay nghĩa vụ DPIA và tham khảo tư vấn pháp lý chuyên sâu để đảm bảo tuân thủ đầy đủ pháp luật bảo vệ dữ liệu cá nhân hiện hành.
