Zalo OA
Trường học dùng AI phải tuân thủ hai luật cùng lúc: Luật Trí tuệ nhân tạo 134/2025/QH15 (hiệu lực 01/3/2026) và Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026). Giáo dục nằm trong danh mục rủi ro cao, và trường — với tư cách bên triển khai — phải hoàn thành nghĩa vụ tuân thủ trước 01/9/2027.
Tháng 9 năm nay, nhiều trường vẫn đang dán trên website một dòng như thế này: "Chúng tôi xử lý dữ liệu cá nhân theo Nghị định 13/2023/NĐ-CP."
Nghị định đó đã hết hiệu lực từ 01/01/2026.
Tôi viết bài này không phải để doạ ai. Tôi viết vì trường chúng tôi cũng vừa phải rà lại toàn bộ trang chính sách của mình và tìm thấy đúng lỗi đó ở nhiều chỗ. Nếu một trường đã đầu tư nghiêm túc cho AI mà vẫn còn viện dẫn một văn bản hết hiệu lực, thì phụ huynh có lý do để nghi ngờ cả những thứ khác trường nói.
Bài này liệt kê những gì đã thay đổi, ai phải làm gì, và một bảng kiểm tám việc để bất kỳ trường nào cũng tự rà được trong một buổi.
Trường đang phải theo mấy luật, và từ khi nào?
Đây là chỗ nhầm phổ biến nhất: người ta gộp "Luật AI" và "luật dữ liệu" làm một. Chúng là hai văn bản riêng, do hai lý do riêng, và có hiệu lực vào ba thời điểm khác nhau.
| Văn bản | Ban hành | Hiệu lực | Điều chỉnh cái gì |
|---|---|---|---|
| Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 | 26/6/2025 | 01/01/2026 | Xử lý dữ liệu cá nhân, kể cả dữ liệu học sinh |
| Nghị định 356/2025/NĐ-CP | 31/12/2025 | 01/01/2026 | Chi tiết thi hành Luật 91/2025 |
| Luật Trí tuệ nhân tạo 134/2025/QH15 | 10/12/2025 | 01/3/2026 | Nghiên cứu, cung cấp và sử dụng hệ thống AI |
| Nghị định 142/2026/NĐ-CP | 30/4/2026 | 01/5/2026 | Chi tiết thi hành Luật AI |
| Nghị định 330/2026/NĐ-CP | 19/8/2026 | 19/8/2026 | Xử phạt vi phạm về an ninh mạng và bảo vệ dữ liệu cá nhân |
| Quyết định 33/2026/QĐ-TTg | 30/6/2026 | 15/8/2026 | Danh mục 46 hệ thống AI rủi ro cao, có lĩnh vực giáo dục |
Và một dòng quan trọng hơn cả bảng trên:
Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ 01/01/2026 — căn cứ khoản 2 Điều 42 Nghị
định 356/2025/NĐ-CP.
Mọi trang chính sách còn viện dẫn Nghị định 13 đều đang trích một văn bản không còn hiệu lực.
Trường là "bên triển khai" hay "bên cung cấp"?
Luật AI phân vai rõ. Trường học gần như không bao giờ là bên cung cấp hệ thống AI — trường không viết ra mô hình. Trường là bên triển khai và bên sử dụng: mua hoặc dùng công cụ có sẵn để dạy, chấm, quản lý.
Điều này quan trọng vì nghĩa vụ nặng nhất — tự phân loại rủi ro, lập hồ sơ phân loại, đánh giá hệ thống rủi ro cao — thuộc về bên cung cấp. Trường không phải làm hồ sơ đó.
Nhưng trường không miễn trừ. Ba nhóm nghĩa vụ vẫn thuộc về trường:
- Minh bạch với người dùng — học sinh và phụ huynh phải biết khi nào họ đang tương tác
với AI, và khi nào nội dung do AI tạo ra.
- Gắn nhãn nội dung AI theo Điều 11 khoản 4.
- Toàn bộ nghĩa vụ về dữ liệu cá nhân theo Luật 91/2025 — vì AI trong trường chạy trên
dữ liệu học sinh.
Hệ thống AI của trường thuộc mức rủi ro nào?
Điều 9 Luật AI chia hệ thống AI làm ba mức rủi ro:
| Mức | Đặc trưng |
|---|---|
| Cao | Có thể gây tổn hại đáng kể tới tính mạng, sức khoẻ, quyền và lợi ích hợp pháp của tổ chức, cá nhân, lợi ích quốc gia, lợi ích công cộng, an ninh quốc gia |
| Trung bình | Có thể gây nhầm lẫn, tác động hoặc thao túng người dùng do họ không nhận ra mình đang tương tác với AI, hoặc nội dung do AI tạo ra |
| Thấp | Không thuộc hai trường hợp trên |
Tiêu chí phân loại dựa trên mức độ tác động tới quyền con người, an toàn, an ninh; lĩnh vực sử dụng — đặc biệt là lĩnh vực thiết yếu hoặc liên quan trực tiếp tới lợi ích công cộng; và phạm vi người dùng, quy mô tác động.
Giáo dục CÓ tên trong danh mục rủi ro cao
Đây là phần nhiều bài viết khác lướt qua, và cũng là phần quan trọng nhất với các trường.
Quyết định số 33/2026/QĐ-TTg ban hành Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao, gồm sáu lĩnh vực: giáo dục, dân tộc và tôn giáo, y tế, ngân hàng, tố tụng, giao thông vận tải.
Trong lĩnh vực giáo dục, danh mục nêu ba loại hệ thống:
| # | Hệ thống AI được xếp rủi ro cao trong giáo dục | Trường có dùng không? |
|---|---|---|
| 1 | Cung cấp nội dung tự học theo chương trình giáo dục, có sử dụng nguồn dữ liệu không kiểm soát | Có, nếu trường giao học sinh dùng chatbot hoặc app học tự động |
| 2 | Tự động kiểm tra, đánh giá kết quả, xếp hạng người học | Có, nếu trường dùng công cụ chấm bài hoặc xếp hạng tự động |
| 3 | Giám sát, phân tích hành vi người học | Có, nếu trường dùng camera phân tích hành vi hoặc phần mềm theo dõi màn hình |
Nếu trường đang dùng bất kỳ hệ thống nào thuộc ba loại trên, đó là hệ thống rủi ro cao — bất kể nhà cung cấp gọi nó là gì trong tài liệu bán hàng.
Lộ trình: trường có đến 01/9/2027, không phải vô thời hạn
Với hệ thống đã đưa vào hoạt động trước ngày 15/8/2026, Quyết định 33 cho một lộ trình chuyển tiếp: nhà cung cấp và bên triển khai phải hoàn thành nghĩa vụ tuân thủ trước 01/9/2027 với lĩnh vực y tế, giáo dục và tài chính (các lĩnh vực còn lại là trước 01/3/2027).
Chữ "và bên triển khai" là chữ các trường cần đọc kỹ. Ở mục trên tôi đã nói hồ sơ phân loại là việc của bên cung cấp — điều đó vẫn đúng. Nhưng lộ trình tuân thủ này áp cho cả hai phía, nên trường không thể chỉ chờ nhà cung cấp làm rồi coi như xong phần mình.
Trong thời hạn chuyển tiếp, các hệ thống đó vẫn được phép hoạt động, trừ khi cơ quan nhà nước xác định có nguy cơ gây thiệt hại nghiêm trọng và yêu cầu tạm dừng — theo khoản 2 Điều 35 Luật Trí tuệ nhân tạo.
Việc nên làm ngay: liệt kê mọi công cụ AI trường đang dùng, đối chiếu với ba dòng trong bảng trên, và với mỗi công cụ rơi vào danh mục thì hỏi nhà cung cấp hai câu — hệ thống này đã được phân loại rủi ro chưa, và bên triển khai như chúng tôi phải làm gì trước 01/9/2027? Câu trả lời cho biết khá nhiều về mức độ nghiêm túc của đối tác.
Nội dung nào bắt buộc phải gắn nhãn AI?
Đây là nghĩa vụ cụ thể nhất, rõ ràng nhất, và cũng là nghĩa vụ mà trường vi phạm dễ nhất mà không biết.
Điều 11 khoản 4 Luật AI, cùng Điều 18 Nghị định 142/2026/NĐ-CP, buộc gắn nhãn dễ nhận biết với hình ảnh và video "nhằm mô phỏng, giả lập ngoại hình, giọng nói của người thật hoặc tái hiện sự kiện thực tế".
Với một trường học, điều này chạm vào đúng chỗ trường hay dùng AI nhất: ảnh minh hoạ cho bài viết, bản tin, và bài đăng mạng xã hội.
Ranh giới chúng tôi đang áp dụng, sau khi soi từng ảnh chứ không đoán theo tên file:
| Loại ảnh | Gắn nhãn? | Vì sao |
|---|---|---|
| Ảnh AI trông như ảnh chụp, có người | Phải gắn | Dễ bị nhầm là ảnh thật — đúng diện Điều 11.4 |
| Đồ hoạ, infographic, minh hoạ vẽ | Không | Không mô phỏng người thật, không tái hiện sự kiện thực tế |
| Ảnh chụp thật của trường | Không | Nhưng chú thích phải mô tả đúng những gì có trong ảnh |
Và một ranh giới chúng tôi tự đặt, chặt hơn luật: không dựng ảnh AI từ ảnh người thật của trường. Lấy một ví dụ cho dễ hình dung: nếu đưa ảnh một cô giáo của trường cho AI rồi nhờ nó dựng ra cảnh cô đang đứng lớp — một cảnh chưa từng xảy ra — thì dù chỉ để minh hoạ, việc đó đã là "giả lập ngoại hình của người thật" theo đúng câu chữ Điều 11.4. Chúng tôi không làm, và đây là tình huống giả định để nêu ranh giới, không phải việc trường đã làm.
Mức phạt không còn là chuyện xa. Nghị định xử phạt 330/2026/NĐ-CP đã có hiệu lực từ 19/8/2026 — không còn giai đoạn nhắc nhở. Trần phạt với tổ chức là 3 tỷ đồng.
Dữ liệu học sinh phải xử lý khác đi thế nào?
AI trong trường chạy trên dữ liệu học sinh, nên phần này quan trọng không kém phần AI.
Luật 91/2025 không chỉ đổi số hiệu văn bản. Nó đổi cả nội dung. Bảng dưới đây là ánh xạ chúng tôi dựng khi rà lại trang chính sách của mình:
| Nghị định 13/2023 (đã hết hiệu lực) | Luật 91/2025 + Nghị định 356/2025 |
|---|---|
| Điều 9 — 11 quyền của chủ thể dữ liệu | khoản 1 Điều 4 Luật — 06 quyền |
| Điều 20 — trẻ em dưới 7 tuổi / 7–16 tuổi | Điều 24 Luật |
| Điều 23 — thông báo vi phạm | Điều 23 Luật + Điều 28–29 Nghị định 356 |
| Điều 25 — chuyển dữ liệu ra nước ngoài | Điều 20 Luật + Điều 17–19 Nghị định 356 |
| Mốc 72 giờ phản hồi | Điều 5 Nghị định 356 — 02 ngày làm việc |
Ba điều dễ sai nếu chỉ đổi số hiệu mà không đọc lại nội dung:
Một — "11 quyền" thành "06 quyền" không có nghĩa là bị cắt quyền. Quyền tự bảo vệ dữ liệu chuyển từ quyền sang nghĩa vụ (khoản 2 Điều 4), và Luật thêm một quyền mới: yêu cầu cơ quan có thẩm quyền áp dụng biện pháp bảo vệ.
Hai — mốc 72 giờ không còn là hạn phản hồi. Nghị định 356 Điều 5 quy định phản hồi trong 02 ngày làm việc; thực hiện yêu cầu trong 10 ngày (xem, sửa, cung cấp), 15 ngày (rút đồng ý, hạn chế, phản đối), 20 ngày (xoá). Một trường đang cam kết "phản hồi trong 72 giờ" thực chất chậm hơn mức luật buộc, vì 72 giờ tính theo lịch dài hơn 02 ngày làm việc.
Ba — 72 giờ giờ chỉ còn ở nghĩa vụ thông báo vi phạm, và là báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an (Điều 39 Nghị định 356), không phải báo cho chủ thể dữ liệu. Nghĩa vụ báo trực tiếp chủ thể trong 72 giờ chỉ áp dụng với dữ liệu vị trí và dữ liệu sinh trắc học (Điều 29 Nghị định 356).
Điều cuối cùng này đáng để mọi trường đọc kỹ, vì hệ thống điểm danh bằng khuôn mặt và thiết bị định vị xe đưa đón đều rơi đúng vào nhóm dữ liệu đó.
Bảng kiểm 8 việc trường nên rà trong một buổi
- Tìm chuỗi "13/2023" trên toàn bộ website — không chỉ trang chính sách, mà cả điều
khoản sử dụng, trang khiếu nại, các trang landing và những file tĩnh lâu rồi không ai mở. Mỗi chỗ tìm được phải đổi sang Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, rồi đọc lại cả đoạn: nhiều chỗ không chỉ sai số hiệu mà sai luôn nghĩa vụ kèm theo, nên đổi số mà giữ nguyên câu thì vẫn sai.
- Rà mọi cam kết có con số thời gian — "72 giờ", "5 ngày làm việc". Đối chiếu với Điều 5
Nghị định 356; cam kết chậm hơn luật là cam kết không đạt chuẩn.
- Soi lại ảnh AI đã đăng. Ảnh nào trông như ảnh chụp và có người thì phải có nhãn.
- Hỏi nhà cung cấp công cụ AI về mức phân loại rủi ro và hồ sơ phân loại.
- Rà dữ liệu sinh trắc học và vị trí — điểm danh khuôn mặt, định vị xe đưa đón. Đây là
nhóm có nghĩa vụ thông báo 72 giờ trực tiếp cho gia đình.
- Kiểm tra quy trình đồng ý của phụ huynh cho học sinh dưới 16 tuổi theo Điều 24 Luật.
- Viết rõ trong quy chế: AI không ra quyết định cuối cùng về một học sinh. Con người phải
là người quyết định và chịu trách nhiệm.
- Ghi ngày cập nhật lên trang chính sách. Không có ngày thì không ai biết trang đó đã rà
theo luật mới hay chưa.
Thực tế tại Việt Anh
Chúng tôi công bố Bộ 7 Nguyên tắc Đạo đức AI, xây trên Khuyến nghị về Đạo đức Trí tuệ nhân tạo của UNESCO (2021). Hai nguyên tắc liên quan trực tiếp đến bài này:
- Nguyên tắc số 2 — giáo viên là người ra quyết định cuối cùng. Tại trường, AI không chấm
điểm học sinh. Một điểm số gửi cho đứa trẻ một thông điệp về chính nó, và thông điệp đó cần một người chịu trách nhiệm, có thể nhìn vào mắt học sinh mà giải thích.
- Nguyên tắc số 7 — bảo toàn năng lực con người.
Câu chúng tôi dùng để tóm cả bộ nguyên tắc: "AI ngồi sau lưng giáo viên, không đứng giữa cô và trò."
Chương trình AI của trường là 30 tiết mỗi lớp mỗi năm cho toàn hệ lớp 1–12 từ năm học 2026–2027, nằm trong học phí công bố — cao hơn mức sàn 12 tiết/năm tại Quyết định 2422/QĐ-BGDĐT. Khung năng lực AI cho học sinh theo chuẩn UNESCO 4D.
Và như đã nói ở đầu bài: chúng tôi cũng đang trong quá trình rà lại các trang chính sách của chính mình theo Luật 91/2025. Việc đó chưa xong. Tôi nói ra vì một bài viết khuyên trường khác đi rà mà giấu chuyện mình cũng đang rà thì không đáng tin.
Đọc thêm
- Chính sách AI của Trường Việt Anh — bản đầy đủ 7 nguyên tắc và cách áp dụng trong lớp.
- Khung AI Education Việt Anh: 30 tiết/năm, mỗi năm một sản phẩm — con học gì trong 30 tiết đó.
- So sánh khung giáo dục AI: Bộ GDĐT, UNESCO và Việt Anh — ba khung đặt cạnh nhau.
Nguồn tham khảo
- Luật Trí tuệ nhân tạo số 134/2025/QH15, ban hành 10/12/2025, hiệu lực 01/3/2026 — Điều 9 (phân loại rủi ro), Điều 11 (trách nhiệm minh bạch), khoản 2 Điều 35 (tạm dừng hệ thống).
- Nghị định 142/2026/NĐ-CP ngày 30/4/2026, hiệu lực 01/5/2026 — hướng dẫn thi hành Luật AI, Điều 18 (gắn nhãn).
- Nghị định 330/2026/NĐ-CP, ban hành và hiệu lực 19/8/2026 — xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (không phải về AI; bản trước của bài ghi sai phạm vi nghị định này).
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Quốc hội thông qua 26/6/2025, hiệu lực 01/01/2026.
- Nghị định 356/2025/NĐ-CP ngày 31/12/2025, hiệu lực 01/01/2026 — Điều 5, Điều 29, Điều 39, khoản 2 Điều 42.
- UNESCO — Recommendation on the Ethics of Artificial Intelligence (2021).
- Quyết định 2422/QĐ-BGDĐT, Bộ Giáo dục và Đào tạo, ban hành 18/08/2026 — khung 12 tiết giáo dục AI mỗi lớp mỗi năm.
- Quyết định 33/2026/QĐ-TTg, ký 30/6/2026, hiệu lực 15/8/2026 — Danh mục 46 hệ thống trí tuệ nhân tạo có rủi ro cao, gồm lĩnh vực giáo dục với ba loại hệ thống; lộ trình tuân thủ tới 01/9/2027 (bản tin Chính phủ).
Truy cập: 14/09/2026; bổ sung và đối chiếu lại 24/09/2026.
Câu hỏi thường gặp
Trường học có phải đăng ký hay xin phép gì khi dùng AI không?
Theo Luật AI, nghĩa vụ tự phân loại rủi ro và lập hồ sơ phân loại thuộc về bên cung cấp hệ thống AI, không phải bên sử dụng. Trường học với vai trò bên triển khai không phải lập hồ sơ đó, nhưng vẫn phải bảo đảm minh bạch với người dùng và gắn nhãn nội dung do AI tạo ra.
Nghị định 13/2023 còn hiệu lực không?
Không. Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ 01/01/2026, căn cứ khoản 2 Điều 42 Nghị định 356/2025/NĐ-CP. Văn bản thay thế là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 cùng Nghị định 356/2025/NĐ-CP. Trường nào còn viện dẫn Nghị định 13 trên trang chính sách thì đang dẫn một văn bản không còn giá trị — nên rà lại toàn bộ trang chính sách, không chỉ sửa một chỗ.
Trường cam kết "phản hồi trong 72 giờ" có còn đúng không?
Không đạt chuẩn. Điều 5 Nghị định 356/2025 quy định phản hồi yêu cầu của chủ thể dữ liệu trong 02 ngày làm việc. Mốc 72 giờ tính theo lịch thường dài hơn 02 ngày làm việc, nên một cam kết 72 giờ thực chất chậm hơn mức luật buộc.
Ảnh minh hoạ do AI tạo có bắt buộc gắn nhãn không?
Chỉ bắt buộc với hình ảnh, video nhằm mô phỏng, giả lập ngoại hình, giọng nói của người thật hoặc tái hiện sự kiện thực tế (Điều 11 khoản 4 Luật AI, Điều 18 Nghị định 142/2026). Đồ hoạ, infographic hay minh hoạ vẽ không thuộc diện này. Khi không chắc, gắn nhãn là lựa chọn an toàn hơn.
Điểm danh bằng khuôn mặt có bị siết chặt hơn không?
Có. Dữ liệu sinh trắc học thuộc nhóm được bảo vệ chặt hơn: khi xảy ra vi phạm, trường phải thông báo trực tiếp cho chủ thể dữ liệu trong 72 giờ theo Điều 29 Nghị định 356 — nghĩa vụ này không áp dụng với các loại dữ liệu thông thường.
Học sinh dưới 16 tuổi thì xin đồng ý của ai?
Điều 24 Luật 91/2025 quy định riêng về dữ liệu cá nhân của trẻ em, thay cho Điều 20 Nghị định 13/2023 cũ. Trường cần rà lại quy trình xin đồng ý hiện hành theo đúng điều này, đặc biệt với hình ảnh học sinh dùng cho truyền thông.
Kết
Luật mới không làm cho việc dùng AI trong trường khó hơn. Nó chỉ buộc trường nói thật về ba điều: đang dùng gì, dữ liệu của con đi đâu, và ai là người quyết định cuối cùng.
Ba câu hỏi đó, một trường tử tế vốn phải trả lời được từ trước khi có luật.
Đọc Chính sách AI của Trường Việt Anh — bản đầy đủ, có ngày cập nhật.
Nguyễn Mạnh Dương — Nhà sáng lập & Chủ tịch hệ thống giáo dục K-12 Việt Anh (từ 2011). 15 năm thiết kế môi trường học tập chủ động cho trẻ 0–18 tuổi.
Cập nhật lần cuối: 25/09/2026