Khi đánh giá một hệ thống AI sau ngày 1 tháng 3 năm 2026, bệnh viện cần tách ba câu hỏi. Luật nào đang điều chỉnh hệ thống? Mức rủi ro được xác định ra sao? Và bác sĩ được biết gì về kết quả mà hệ thống đưa ra?
Nếu gộp cả ba thành một câu hỏi chung về tuân thủ AI, bệnh viện rất dễ nhầm giữa nghĩa vụ pháp lý với một tính năng sản phẩm nghe có vẻ an toàn.
Luật AI đã thay thế Chương IV của luật cũ
Luật Công nghiệp công nghệ số số 71/2025/QH15 được thông qua ngày 14 tháng 6 năm 2025 và có hiệu lực từ ngày 1 tháng 1 năm 2026. Khi ban hành, Chương IV của luật này chứa khung quy định chung về AI.
Luật Trí tuệ nhân tạo số 134/2025/QH15 được thông qua ngày 10 tháng 12 năm 2025 và có hiệu lực từ ngày 1 tháng 3 năm 2026. Điều 33 của luật mới bãi bỏ Chương IV cùng một số điều khoản liên quan đến AI trong Luật Công nghiệp công nghệ số.
Vì vậy, hai luật không tạo ra hai bộ quy tắc AI đầy đủ cùng áp dụng song song. Luật Công nghiệp công nghệ số vẫn còn hiệu lực, nhưng các nghĩa vụ về AI trước đây trong Chương IV đã được chuyển sang luật chuyên biệt. Còn bệnh án điện tử vẫn chịu quy định riêng của ngành y tế, trong đó có Thông tư 13/2025/TT-BYT.
Y tế cần quản lý chặt hơn, nhưng không mặc nhiên là rủi ro cao
Luật AI chia hệ thống thành ba mức rủi ro. Hệ thống rủi ro cao có thể gây thiệt hại đáng kể đến tính mạng, sức khỏe, quyền và lợi ích hợp pháp, lợi ích công cộng hoặc an ninh quốc gia. Hệ thống rủi ro trung bình có khả năng làm người dùng nhầm lẫn, bị tác động hoặc bị thao túng vì không nhận ra mình đang tương tác với AI hay nội dung do AI tạo ra. Những hệ thống còn lại thuộc mức rủi ro thấp.
Điều 6 nêu y tế là lĩnh vực thiết yếu cần được quản lý rủi ro chặt chẽ hơn. Việc ứng dụng AI trong y tế phải chú ý đến an toàn người bệnh, độ tin cậy trong điều kiện sử dụng thực tế và bảo vệ dữ liệu sức khỏe.
Tuy nhiên, luật không xếp mọi phần mềm AI dùng trong bệnh viện vào nhóm rủi ro cao. Nhà cung cấp phải phân loại chính hệ thống trước khi đưa vào sử dụng. Với mức trung bình hoặc cao, nhà cung cấp phải có hồ sơ phân loại và thông báo cho Bộ Khoa học và Công nghệ. Hệ thống rủi ro cao còn phải đánh giá sự phù hợp và đáp ứng thêm yêu cầu về quản lý rủi ro, dữ liệu, hồ sơ kỹ thuật, giám sát của con người và xử lý sự cố.
Mốc 18 tháng không dành cho mọi hệ thống y tế
Điều 35 chỉ áp dụng thời gian chuyển tiếp cho hệ thống đã hoạt động trước ngày 1 tháng 3 năm 2026. Nhà cung cấp và bên triển khai hệ thống trong lĩnh vực y tế, giáo dục và tài chính có 18 tháng kể từ ngày luật có hiệu lực để thực hiện các nghĩa vụ, tức đến ngày 1 tháng 9 năm 2027. Các hệ thống cũ thuộc lĩnh vực khác có 12 tháng.
Trong thời gian đó, hệ thống được tiếp tục hoạt động. Cơ quan quản lý vẫn có quyền yêu cầu tạm dừng hoặc chấm dứt nếu xác định hệ thống có nguy cơ gây thiệt hại nghiêm trọng. Đây là thời gian chuyển tiếp cho hệ thống cũ, không phải khoảng miễn tuân thủ 18 tháng cho mọi sản phẩm AI y tế mới đưa ra sau ngày luật có hiệu lực.
Minh bạch chưa đồng nghĩa với truy được từng nguồn
Điều 11 yêu cầu hệ thống tương tác trực tiếp với con người phải được thiết kế và vận hành để người dùng nhận biết mình đang tương tác với AI, trừ trường hợp pháp luật có quy định khác. Luật cũng quy định việc đánh dấu hoặc thông báo đối với một số nội dung do AI tạo ra hay chỉnh sửa.
Với hệ thống rủi ro cao, Điều 14 giao trách nhiệm khác nhau cho từng chủ thể. Nhà cung cấp phải thiết kế hệ thống để con người có thể giám sát và can thiệp. Bên triển khai phải bảo đảm khả năng can thiệp trong quá trình sử dụng. Cả hai đều phải cung cấp cho người sử dụng và người bị ảnh hưởng thông tin công khai ở mức mô tả chức năng, cách thức vận hành và cảnh báo rủi ro.
Riêng nhà cung cấp phải giải trình với cơ quan nhà nước có thẩm quyền về mục đích sử dụng, nguyên lý hoạt động ở mức mô tả chức năng, loại dữ liệu đầu vào chủ yếu và biện pháp quản lý, kiểm soát rủi ro. Luật không yêu cầu mỗi câu trong một bản tóm tắt lâm sàng phải chỉ rõ ghi chú hay đoạn hướng dẫn đã hỗ trợ câu đó.
Khả năng truy vết nguồn giải quyết một vấn đề khác. Nhãn AI không cho bác sĩ biết kết quả đã dựa vào đâu. Đường dẫn về bệnh án hoặc tài liệu cũng không thay cho việc thông báo rõ rằng AI đã tạo ra kết quả.
Meddies được xây theo hướng cho thấy sự tham gia của AI và gắn các nhận định lâm sàng với dữ kiện người bệnh hoặc tài liệu liên quan. Phiên bản hiện tại đã giữ đoạn văn được truy xuất cùng các mã định danh phục vụ truy vết, nhưng giao diện chưa tạo được đường kiểm chứng hoàn chỉnh từ từng nhận định về đúng đoạn hỗ trợ. Có trích dẫn chưa có nghĩa là đã kiểm chứng.
Hướng thiết kế này có thể hỗ trợ minh bạch và việc bác sĩ tự xem xét kết quả. Nó không phải chứng nhận tuân thủ Luật AI. Nghĩa vụ cụ thể còn phụ thuộc vào mục đích sử dụng, mức rủi ro, cách hệ thống được triển khai và trách nhiệm của từng bệnh viện.
Vì vậy, bệnh viện không nên dừng ở câu hỏi công cụ có gắn nhãn AI hay không. Cần biết hệ thống được phân loại thế nào, dùng loại dữ liệu nào, bác sĩ có thể can thiệp ở đâu, sự cố được xử lý ra sao và nhận định nào có thể kiểm tra lại nguồn. Luật đặt ra mức sàn pháp lý. Giá trị lâm sàng vẫn phải được chứng minh bằng đánh giá trong điều kiện sử dụng thực tế.