Triển khai AI trong trường học: Cần làm rõ trách nhiệm pháp lý

NHỮNG KHOẢNG TRỐNG TRONG THỰC THI

Câu trả lời là chưa, và đây không phải vấn đề kỹ thuật mà là khoảng trống thể chế. Luật Trí tuệ nhân tạo 2025 (luật AI 2025) được Quốc hội thông qua ngày 10.12.2025 và có hiệu lực từ ngày 1.3.2026. Luật này đặt ra 4 nguyên tắc cốt lõi: lấy con người làm trung tâm, AI không thay thế thẩm quyền con người, đảm bảo công bằng, minh bạch và thúc đẩy AI xanh bền vững. Đồng thời, luật Bảo vệ dữ liệu cá nhân 2025 (có hiệu lực từ ngày 1.1.2026) quy định cụ thể về quyền dữ liệu của công dân.

ẢNH: BẢO CHÂU

Thực tế hai luật này chỉ là luật khung với các nguyên tắc chung. Luật AI 2025 gồm 35 điều được thiết kế ngắn gọn, những nội dung kỹ thuật sẽ được quy định tại nghị định. Đây là cách tiếp cận phù hợp với lĩnh vực công nghệ phát triển nhanh, nhưng cũng tạo ra khoảng trống trong thực thi.

TP.HCM đang dẫn đầu cả nước trong việc đưa AI vào giảng dạy. Từ học kỳ 2 năm học 2025-2026, khoảng 170 trường phổ thông trên địa bàn thành phố bắt đầu thí điểm dạy AI cho học sinh (HS). Điều này đáng hoan nghênh trong bối cảnh chuyển đổi số và phát triển công nghệ.

Tuy nhiên khi TP.HCM triển khai AI vào nhà trường thì các nghị định hướng dẫn chi tiết vẫn chưa được ban hành.

Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đã có hiệu lực từ ngày 1.7.2023, quy định cụ thể về xử lý dữ liệu trẻ em. Theo điều 20, việc xử lý dữ liệu cá nhân của trẻ em luôn được thực hiện theo nguyên tắc bảo vệ các quyền và vì lợi ích tốt nhất của trẻ em. Đối với trẻ từ đủ 7 tuổi trở lên phải có "đồng ý kép" - sự đồng ý của cả trẻ em và cha mẹ hoặc người giám hộ. Bên kiểm soát dữ liệu phải xác minh tuổi của trẻ em trước khi xử lý dữ liệu.

Vấn đề nằm ở chỗ ai sẽ giám sát việc các trường học và đối tác công nghệ tuân thủ các quy định này? Sở GD-ĐT TP.HCM trong kế hoạch triển khai chỉ đề cập việc đào tạo giáo viên, phối hợp với doanh nghiệp, khai thác hiệu quả cơ sở vật chất nhưng không nêu rõ cơ chế thanh tra, kiểm soát việc thu thập và xử lý dữ liệu HS. Khi dữ liệu HS bị lộ, ai chịu trách nhiệm?

Theo luật Bảo vệ dữ liệu cá nhân 2025, chủ thể dữ liệu có quyền được biết, đồng ý, truy cập, chỉnh sửa, yêu cầu xóa dữ liệu và khiếu nại, khởi kiện, yêu cầu bồi thường thiệt hại. Bên kiểm soát dữ liệu và bên xử lý dữ liệu phải thực hiện yêu cầu của chủ thể dữ liệu trong 72 giờ sau khi nhận được yêu cầu, theo Nghị định 13/2023/NĐ-CP.

Trong mô hình AI giáo dục, trường học đóng vai trò bên kiểm soát dữ liệu còn công ty công nghệ là bên xử lý dữ liệu, nhưng trên thực tế ranh giới này khá mờ nhạt. Khi HS sử dụng nền tảng AI để học tập, dữ liệu hành vi học tập (thời gian truy cập, câu hỏi đặt ra, lỗi thường gặp) được thu thập liên tục. Vấn đề đặt ra là dữ liệu này thuộc về ai; được lưu trữ ở đâu, trong bao lâu; có được chuyển ra nước ngoài không?

Luật AI 2025 quy định về trách nhiệm bồi thường nghiêm ngặt: tổ chức, cá nhân phải bồi thường thiệt hại cho các chủ thể liên quan ngay cả khi không có lỗi đối với hệ thống AI rủi ro cao. Nhưng luật không xếp hệ thống AI giáo dục vào nhóm "nguồn nguy hiểm cao độ" vì đây là phần mềm với rủi ro từ việc ra quyết định, không phải rủi ro vật lý như xe cơ giới. Điều này dẫn đến câu hỏi, nếu AI đánh giá sai năng lực HS, gây ảnh hưởng tâm lý hoặc định hướng sai nghề nghiệp, trách nhiệm thuộc về ai?

Theo bộ luật Dân sự 2015, thiệt hại có thể bao gồm thiệt hại tài sản, sức khỏe, tinh thần và danh dự, nhân phẩm. Tuy nhiên, việc chứng minh thiệt hại từ AI trong giáo dục cực kỳ phức tạp vì khó tách biệt tác động của AI với các yếu tố khác.

Nghị định 13/2023/NĐ-CP quy định phụ huynh có quyền rút lại sự đồng ý, yêu cầu xóa dữ liệu, phản đối xử lý dữ liệu. Tuy nhiên trong thực tế triển khai AI tại trường học, quyền này gần như không thể thực thi.

Khi trường học lồng ghép AI vào môn tin học hoặc các môn học khác như Sở GD-ĐT TP.HCM đang định hướng, việc sử dụng AI trở thành một phần của chương trình giảng dạy. Liệu phụ huynh có thể yêu cầu con mình không tham gia các bài học sử dụng AI không? Nếu được, điều đó có nghĩa là HS bị tách khỏi lớp, ảnh hưởng đến quá trình học tập. Nếu không, quyền đồng ý của phụ huynh chỉ là hình thức.

Hơn nữa, thông báo về xử lý dữ liệu thường được viết bằng ngôn ngữ pháp lý phức tạp. Nghị định 13/2023/NĐ-CP yêu cầu thông báo phải rõ ràng về mục đích xử lý, phạm vi dữ liệu được thu thập, thời gian lưu trữ, các bên thứ ba nhận dữ liệu. Thế nhưng có bao nhiêu phụ huynh thực sự đọc và hiểu những điều khoản này? Có bao nhiêu trường công khai chính sách bảo vệ dữ liệu của mình?

TP.HCM đã có động thái tích cực khi yêu cầu nhà trường không được cung cấp dữ liệu HS cho giải pháp ngoài hệ thống chính thức nếu chưa có sự đồng ý tự nguyện của phụ huynh. Tuy nhiên "hệ thống chính thức" được hiểu như thế nào? Các nền tảng AI do Sở GD-ĐT chọn có tự động được coi là chính thức và không cần xin sự đồng ý?

ảnh: Nhật Thịnh

BA CỘT TRỤ THỂ CHẾ ĐỂ PHÁT TRIỂN AI

Để AI trong giáo dục phát triển bền vững, cần có 3 cột trụ thể chế:

Thứ nhất, cơ chế thanh tra độc lập. Cần thành lập đơn vị chuyên trách thuộc Bộ Công an hoặc Thanh tra Chính phủ có nhiệm vụ kiểm tra định kỳ và đột xuất việc thu thập, lưu trữ, xử lý dữ liệu HS tại các trường triển khai AI. Đơn vị này phải công khai báo cáo vi phạm.

Thứ hai, chế độ bảo hiểm trách nhiệm dữ liệu bắt buộc. Trường học và đối tác công nghệ phải mua bảo hiểm để đảm bảo khả năng bồi thường khi xảy ra sự cố. Đây là thông lệ phổ biến ở các nước phát triển nhưng vẫn chưa được đề cập trong các văn bản pháp lý VN.

Thứ ba, đào tạo nhận thức cho phụ huynh. Sở GD-ĐT cần tổ chức các buổi tập huấn giúp phụ huynh hiểu rõ quyền của mình, cách thức theo dõi dữ liệu con em, và cách khiếu nại khi có vi phạm. Không thể để quyền đồng ý trở thành hình thức vì thiếu hiểu biết.

HOÀN THIỆN THỂ CHẾ SONG SONG VỚI PHÁT TRIỂN CÔNG NGHỆ

VN không phải quốc gia duy nhất đối mặt với vấn đề này. Chẳng hạn EU đã ban hành Quy định chung về bảo vệ dữ liệu (GDPR) với quy định nghiêm ngặt về bảo vệ dữ liệu trẻ em, yêu cầu sự đồng ý từ phụ huynh cho trẻ dưới 16 tuổi (có thể hạ xuống 13 tùy quốc gia thành viên) và thực hiện đánh giá tác động bảo vệ dữ liệu (DPIA) cho các hoạt động xử lý dữ liệu quy mô lớn. Mức phạt vi phạm có thể lên đến 4% doanh thu toàn cầu.

Kinh nghiệm quốc tế cho thấy các nước phát triển luôn đi song song giữa đổi mới công nghệ và hoàn thiện thể chế. Singapore khi triển khai AI trong giáo dục đã xây dựng bộ khung đạo đức AI và thiết lập cơ quan độc lập giám sát. Hàn Quốc yêu cầu mọi hệ thống AI giáo dục phải được chứng nhận an toàn dữ liệu trước khi triển khai.

Trong khi đó, các trường VN bắt đầu dạy AI nhưng các nghị định hướng dẫn chi tiết luật AI 2025 vẫn chưa ra đời.

Triển khai AI trong giáo dục là tất yếu và đúng đắn nhưng nhiệt tình không thể thay thế minh bạch và tốc độ không thể hy sinh sự an toàn. Câu hỏi đặt ra không phải là "có nên dạy AI cho HS không?" mà là "khi dạy AI, chúng ta đã sẵn sàng bảo vệ dữ liệu của các em chưa?".

Một vụ rò rỉ dữ liệu lớn có thể phá hủy niềm tin của xã hội vào công nghệ giáo dục khiến các nỗ lực chuyển đổi số bị lùi lại nhiều năm. Chi phí để xây dựng thể chế ngay từ đầu luôn thấp hơn chi phí để xử lý hậu quả sau này.

Do đó cần hoàn thiện thể chế trước khi tiếp tục cuộc đua công nghệ để đi đúng hướng.