Phần lớn các văn bản pháp luật về dữ liệu năm 2026 của Việt Nam ra đời dưới dạng những bộ quy tắc hoàn toàn mới: một nghị định cho sàn giao dịch dữ liệu, một cho cấp phép sản phẩm an ninh mạng, một cho mật mã dân sự. Nghị định 347/2026/NĐ-CP thuộc một kiểu khác. Đây là một nghị định “dọn dẹp” — một văn bản duy nhất sửa đổi bốn nghị định không liên quan gì đến nhau — và các dòng tít trên báo chí Việt Nam đều xoay quanh chuyện kiểm tra phòng cháy, chữa cháy. Tuy nhiên, ẩn trong Điều 1 là một thay đổi nhỏ nhưng có hệ quả thực sự cho bất kỳ ai đang bán dịch vụ phân tích dữ liệu hay AI tại Việt Nam.
Văn bản này là gì
Nghị định 347/2026/NĐ-CP “sửa đổi, bổ sung một số điều” của bốn nghị định trước đó. Nghị định được Chính phủ ban hành ngày 8/9/2026, do Phó Thủ tướng Thường trực Phạm Gia Túc thay mặt Chính phủ ký. Nghị định có hiệu lực từ ngày 15/9/2026 — chỉ một tuần chuẩn bị, ngắn bất thường ngay cả so với nhịp độ lập pháp của năm nay.
Bốn nghị định được sửa đổi gồm:
- Nghị định 169/2025/NĐ-CP ngày 30/6/2025 về hoạt động khoa học, công nghệ, đổi mới sáng tạo và sản phẩm, dịch vụ về dữ liệu;
- Nghị định 105/2025/NĐ-CP ngày 15/5/2025 quy định chi tiết Luật Phòng cháy, chữa cháy và cứu nạn, cứu hộ;
- Nghị định 106/2025/NĐ-CP ngày 15/5/2025 về xử phạt vi phạm hành chính trong lĩnh vực phòng cháy, chữa cháy, cứu nạn, cứu hộ;
- Nghị định 282/2025/NĐ-CP ngày 30/10/2025 về xử phạt vi phạm hành chính trong lĩnh vực an ninh, trật tự, an toàn xã hội; phòng, chống tệ nạn xã hội; phòng, chống bạo lực gia đình.
Chỉ nghị định đầu tiên là văn bản về công nghệ. Và đó cũng chính là nghị định mà báo chí bỏ qua.
Điều gì thay đổi với dịch vụ dữ liệu và AI
Nghị định 169/2025/NĐ-CP là văn bản đầu tiên đưa “sản phẩm, dịch vụ phân tích, tổng hợp dữ liệu” vào hệ thống quy định của Việt Nam. Điều 27 của nghị định này phân loại chúng theo bốn mức: mức 1 là phân tích do con người thực hiện bằng phần mềm không có AI; mức 2 là con người được AI hỗ trợ một phần; mức 3 là hoàn toàn bằng AI có con người giám sát; mức 4 là hoàn toàn bằng AI không có con người tham gia.
Điều 28 sau đó chia nhà cung cấp thành hai nhóm. Nhóm nặng hơn cần Giấy chứng nhận đủ điều kiện kinh doanh: dịch vụ phân tích mức 3 và mức 4 vận hành trong hệ thống thông tin của Nhà nước, dịch vụ kết nối hoặc chia sẻ với cơ sở dữ liệu quốc gia, cơ sở dữ liệu chuyên ngành, và dịch vụ sử dụng “dữ liệu cốt lõi, dữ liệu quan trọng”. Nhóm nhẹ hơn — tất cả các trường hợp còn lại, bao gồm rõ ràng trợ lý ảo, hệ thống AI tạo sinh, sản phẩm phân tích tự động video/hình ảnh/tin tức có tương tác trực tiếp với người dùng, dịch vụ xử lý dữ liệu cá nhân nhạy cảm của từ một triệu người trở lên, tự động hóa mức 3–4 bao phủ ít nhất 20% một ngành công nghiệp, và mô hình được huấn luyện trên 10 TB dữ liệu trở lên — trước đây chỉ phải gửi thông báo tới Bộ Công an “khi thực hiện cung cấp” dịch vụ.
Cái mốc thời gian ấy chính là sợi chỉ lỏng. Theo bản gốc, khoản 5 Điều 31 Nghị định 169/2025 chỉ đặt ra nghĩa vụ báo cáo: nhà cung cấp thuộc phạm vi Điều 28 phải gửi báo cáo định kỳ theo Mẫu BC01 tới Bộ Công an, qua Trung tâm dữ liệu quốc gia, trước ngày 20/12 hằng năm, với số liệu tính từ ngày 15/12 năm trước đến ngày 14/12 của năm báo cáo, kèm báo cáo đột xuất theo yêu cầu.
Nghị định 347/2026/NĐ-CP viết lại khoản đó. Theo khoản 5 Điều 31 đã sửa đổi, tổ chức cung cấp sản phẩm, dịch vụ phân tích, tổng hợp dữ liệu phải gửi thông báo tới Trung tâm dữ liệu quốc gia trước khi bắt đầu hoạt động. Báo cáo BC01 hằng năm vẫn được giữ, với cùng các mốc tháng 12 và cùng kỳ số liệu, nay theo mẫu tại phụ lục của chính nghị định mới, và vẫn có thể nộp trực tiếp, qua bưu chính hoặc trực tuyến. Bước chuyển là từ “báo cho cơ quan quản lý rằng bạn đang làm việc này” sang “báo cho cơ quan quản lý trước khi bạn làm việc này” — một chỉnh sửa câu chữ khiêm tốn nhưng biến một thủ tục trong quá trình vận hành thành một cánh cổng ngay tại thời điểm ra mắt.
Với các dịch vụ đã hoạt động trước ngày 15/9/2026, quy định chuyển tiếp cho 20 ngày làm việc kể từ ngày hiệu lực để nộp thông báo. Nghĩa là hạn chót thực tế rơi vào giữa tháng 10/2026.
Ai chịu tác động
Phạm vi rộng hơn nhóm “các công ty AI”. Nhóm nhẹ của Điều 28 quét trúng bất kỳ tổ chức nào cung cấp chatbot hay trợ lý ảo cho người dùng Việt Nam, bất kỳ sản phẩm nào phân tích tự động video, hình ảnh, tin tức, bài viết mà đầu ra có thể dẫn dắt người dùng tới nội dung sai lệch, và bất kỳ dịch vụ phân tích nào chạm tới dữ liệu cá nhân nhạy cảm ở quy mô lớn. Khoản 3 Điều 28 có loại trừ hoạt động phân tích thuần túy nội bộ và những gì đã được pháp luật khác điều chỉnh, nên một công ty tự xử lý dữ liệu của mình cho mục đích của chính mình nằm ngoài nghĩa vụ thông báo.
Hai điểm thực tiễn kéo theo. Thứ nhất, thông báo là một thủ tục nộp hồ sơ, không phải giấy phép: không có gì trong nội dung sửa đổi nói rằng Trung tâm dữ liệu quốc gia phải phê duyệt điều gì trước khi ra mắt, và không có thời gian chờ nào được ấn định. Thứ hai, nộp thông báo không thay thế cho giấy chứng nhận trong trường hợp khoản 1 Điều 28 yêu cầu — hai nhóm vẫn tách bạch, và dịch vụ mức 3 hoặc mức 4 vận hành trong hệ thống của Nhà nước vẫn cần đầy đủ Giấy chứng nhận theo các điều kiện về nhân sự, cơ sở vật chất và phương án kinh doanh tại Điều 29.
Các nội dung sửa đổi ngoài công nghệ
Để đầy đủ: các thay đổi về phòng cháy, chữa cháy phân bổ lại trách nhiệm nghiệm thu cho chủ đầu tư và chủ phương tiện, khẳng định lại thẩm quyền kiểm tra của cơ quan công an và Ủy ban nhân dân cấp tỉnh, yêu cầu thông báo trước ba ngày làm việc đối với một cuộc kiểm tra, chuẩn hóa biên bản kiểm tra theo mẫu PC03, và bổ sung thời lượng huấn luyện — 24 đến 32 giờ — cho người kiêm nhiều vai trò về phòng cháy, chữa cháy và cứu nạn, cứu hộ.
Các sửa đổi đối với Nghị định 282/2025 cơ cấu lại mức phạt về đăng ký cư trú theo số người không được đăng ký (2–4 triệu đồng với 1–3 người, 4–8 triệu đồng với 4–8 người, 8–12 triệu đồng với 9 người trở lên), bổ sung mức phạt 500.000–1.000.000 đồng cho hành vi không đăng ký lại mẫu con dấu trong hai ngày làm việc kể từ khi con dấu bị mất hoặc hỏng, và loại bỏ hẳn năm nhóm hành vi khỏi danh mục xử phạt.
Những câu hỏi còn bỏ ngỏ
Nghị định không nói thông báo trước khi hoạt động phải có nội dung gì, có biểu mẫu hay không, hay điều gì xảy ra nếu Trung tâm dữ liệu quốc gia phản đối — phụ lục chỉ cung cấp Mẫu BC01 cho báo cáo hằng năm, không có mẫu thông báo. Cũng chưa rõ nghĩa vụ mới tương tác thế nào với thông báo đã được mô tả tại khoản 2 Điều 28, vốn gửi tới Bộ Công an chứ không phải tới Trung tâm và gắn với thời điểm cung cấp dịch vụ: đây là một lần nộp hay hai lần, câu trả lời để lại cho thực tiễn. Và với một dịch vụ khởi đầu dưới ngưỡng rồi lớn dần vượt ngưỡng — một chatbot vượt mốc một triệu chủ thể dữ liệu nhạy cảm, một mô hình được huấn luyện lại vượt 10 TB — nghị định không có hướng dẫn nào về việc “trước khi hoạt động” đáng lẽ phải diễn ra khi nào. Với mốc hiệu lực 15/9 và hạn chuyển tiếp giữa tháng 10, những câu trả lời đó sẽ phải đến từ quầy tiếp nhận của Trung tâm dữ liệu quốc gia chứ không phải từ câu chữ của văn bản.
Bài viết mang tính thông tin, không phải tư vấn pháp lý.
Nguồn
- Nghị định số 347/2026/NĐ-CP sửa đổi 4 Nghị định về khoa học, công nghệ; phòng cháy, chữa cháy; an ninh, trật tự; phòng, chống tệ nạn xã hội, bạo lực gia đình — Xây dựng chính sách, Cổng TTĐT Chính phủ
- Chỉ đạo, điều hành của Chính phủ, Thủ tướng Chính phủ ngày 8/9/2026 — Báo Chính phủ
- Từ 15/9/2026, tổ chức cung cấp sản phẩm, dịch vụ phân tích dữ liệu phải gửi thông báo trước khi hoạt động — LuatVietnam
- Quy định mới về trách nhiệm của chủ đầu tư và quy trình kiểm tra phòng cháy, chữa cháy — Báo Chính phủ
- Quy định mới về xử phạt vi phạm hành chính trong lĩnh vực an ninh, trật tự, an toàn xã hội — Báo Chính phủ
- Từ 15/9, áp dụng quy định mới về kiểm tra phòng cháy, chữa cháy — VTV
- Nghị định số 169/2025/NĐ-CP — toàn văn trên Công báo Chính phủ
- Nghị định số 169/2025/NĐ-CP — Cổng TTĐT Chính phủ (vanban.chinhphu.vn)
- Chính sách ưu đãi phát triển hoạt động khoa học, công nghệ và đổi mới sáng tạo về dữ liệu — Báo Chính phủ