Trách nhiệm pháp lý của doanh nghiệp khi ứng dụng hệ thống trí tuệ nhân tạo trong tuyển dụng

Tóm tắt: Bằng phương pháp phân tích quy phạm kết hợp so sánh pháp luật, bài viết làm rõ trách nhiệm pháp lý của doanh nghiệp trong vai trò bên triển khai và người sử dụng hệ thống trí tuệ nhân tạo. Kết quả nghiên cứu cho thấy pháp luật Việt Nam chưa có tiêu chí riêng để phân loại rủi ro đối với hệ thống trí tuệ nhân tạo trong tuyển dụng; nghĩa vụ minh bạch chưa bao phủ đầy đủ hoạt động sàng lọc tự động; cơ chế chứng minh phân biệt đối xử và phân bổ trách nhiệm giữa doanh nghiệp với nhà cung cấp còn thiếu rõ ràng. Trên cơ sở các hạn chế còn tồn đọng, bài viết đề xuất hoàn thiện tiêu chí phân loại, quyền yêu cầu con người rà soát, cơ chế kiểm toán thuật toán, bảo vệ dữ liệu ứng viên và quy tắc phân bổ trách nhiệm.

Từ khóa: trí tuệ nhân tạo; tuyển dụng; trách nhiệm pháp lý của doanh nghiệp.

LEGAL RESPONSIBILITIES OF ENTERPRISES USING ARTIFICIAL INTELLIGENCE SYSTEMS IN RECRUITMENT

Abstract: The use of artificial intelligence in screening, scoring, and selecting job applicants can improve recruitment efficiency but also gives rise to risks of discrimination, personal data infringements, lack of transparency, and difficulties in determining legal responsibility. Using doctrinal legal research combined with comparative legal analysis, this article examines the legal responsibilities of enterprises as AI deployers and users in the recruitment process. The findings reveal that Vietnamese law has not yet established specific criteria for classifying the risks of AI systems used in recruitment; transparency obligations do not adequately extend to automated screening activities; and the mechanisms for proving discrimination and allocating liability between enterprises and AI providers remain unclear. In response to these shortcomings, the article proposes recommendations to refine risk classification criteria, strengthen the right to human review, establish algorithmic auditing mechanisms, enhance the protection of applicants' personal data, and clarify rules on the allocation of legal responsibility.

Keywords: artificial intelligence; recruitment; legal responsibilities of enterprises.

1. Đặt vấn đề

Sự phát triển của trí tuệ nhân tạo (AI) đang làm thay đổi hoạt động tuyển dụng của doanh nghiệp, từ sàng lọc hồ sơ đến phỏng vấn tự động qua chatbot, nhưng cũng đặt ra rủi ro pháp lý về phân biệt đối xử do thiên vị thuật toán, xâm phạm dữ liệu cá nhân, thiếu minh bạch và khó xác định trách nhiệm khi phát sinh thiệt hại. Luật Trí tuệ nhân tạo năm 2025 lần đầu tiên tạo khung pháp lý chuyên ngành cho AI theo cách tiếp cận quản lý rủi ro, nhưng chưa có quy định riêng cho lĩnh vực tuyển dụng.

Từ đó, bài viết đặt ra hai câu hỏi: pháp luật hiện hành đã có cơ chế đầy đủ để xác định và phân bổ trách nhiệm pháp lý của doanh nghiệp khi ứng dụng hệ thống AI trong tuyển dụng hay chưa; và pháp luật cần được hoàn thiện theo hướng nào? Các nghiên cứu trong nước đã phân tích Luật Trí tuệ nhân tạo hoặc trách nhiệm pháp lý liên quan đến việc sử dụng AI, nhưng chưa tập trung hệ thống vào trách nhiệm pháp lý của doanh nghiệp khi ứng dụng AI trong tuyển dụng. Bằng phương pháp phân tích quy phạm kết hợp so sánh có chọn lọc với EU AI Act, Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu (GDPR) và cơ chế phân bổ trách nhiệm theo Điều 29 Luật Trí tuệ nhân tạo năm 2025, bài viết làm rõ cơ sở xác định trách nhiệm của doanh nghiệp, những hạn chế của pháp luật hiện hành và kiến nghị hoàn thiện.

2. Trí tuệ nhân tạo trong tuyển dụng và cơ sở xác định trách nhiệm pháp lý của doanh nghiệp

2.1. Khái niệm, ứng dụng và rủi ro pháp lý

2.1.1. Khái niệm ứng dụng hệ thống trí tuệ nhân tạo trong tuyển dụng

Theo khoản 1 Điều 3 Luật Trí tuệ nhân tạo năm 2025, trí tuệ nhân tạo là việc thực hiện bằng điện tử các năng lực trí tuệ của con người, bao gồm học tập, suy luận, nhận thức, phán đoán và hiểu ngôn ngữ tự nhiên. Bên cạnh đó, khoản 2 Điều 3 của Luật quy định hệ thống trí tuệ nhân tạo là hệ thống dựa trên máy, hoạt động với mức độ tự chủ nhất định, có khả năng tự thích nghi sau khi triển khai và suy luận từ dữ liệu đầu vào để tạo ra các đầu ra như dự đoán, nội dung, khuyến nghị hoặc quyết định.

Từ các quy định trên có thể hiểu, việc ứng dụng hệ thống AI trong tuyển dụng là việc doanh nghiệp sử dụng hệ thống AI để xử lý, phân tích dữ liệu của ứng viên nhằm tạo ra các dự đoán, khuyến nghị hoặc quyết định phục vụ hoạt động tuyển dụng.

2.1.2. Các ứng dụng của hệ thống trí tuệ nhân tạo trong tuyển dụng

Trên thực tế, hệ thống AI được ứng dụng ở hầu hết các giai đoạn của quy trình tuyển dụng. AI được sử dụng trong bốn giai đoạn chính: (i) tiếp cận ứng viên (như hỗ trợ soạn thảo mô tả công việc và tối ưu nội dung tin tuyển dụng để thu hút ứng viên); (ii) sàng lọc (thông qua việc trích xuất, phân tích và xếp hạng hồ sơ theo các tiêu chí đã thiết lập); (iii) đánh giá (bao gồm phân tích phỏng vấn video, bài kiểm tra kỹ năng hoặc các bài đánh giá mô phỏng nhằm dự đoán mức độ phù hợp của ứng viên); và (iv) hỗ trợ hành chính (như chatbot trả lời câu hỏi của ứng viên, sắp xếp lịch phỏng vấn và tự động gửi thư mời làm việc).[1]

2.1.3. Những rủi ro pháp lý chính

Thứ nhất, nguy cơ phân biệt đối xử và thiên vị thuật toán. Hệ thống AI được huấn luyện trên dữ liệu tuyển dụng lịch sử có thể học và tái tạo thiên vị sẵn có, chẳng hạn ưu tiên một giới tính hoặc độ tuổi nhất định. Năm 2018, Amazon đã hủy bỏ công cụ AI tuyển dụng sau khi phát hiện hệ thống tự động đánh giá thấp hồ sơ của ứng viên nữ do được huấn luyện chủ yếu trên dữ liệu ứng tuyển của nam giới.[2]

Thứ hai, rủi ro xâm phạm dữ liệu cá nhân. Hệ thống AI trong tuyển dụng thường thu thập và xử lý lượng lớn dữ liệu cá nhân, bao gồm dữ liệu sinh trắc học từ phỏng vấn video, làm gia tăng nguy cơ thu thập vượt mục đích hoặc sử dụng, chuyển giao trái phép. Năm 2019, Trung tâm Thông tin Quyền riêng tư Điện tử (EPIC) đã khiếu nại HireVue lên Ủy ban Thương mại Liên bang Hoa Kỳ liên quan đến việc thu thập và sử dụng dữ liệu sinh trắc học của ứng viên trong quá trình đánh giá.[3]

Thứ ba, thiếu minh bạch và khó giải thích kết quả. Nhiều hệ thống AI hoạt động như “hộp đen”, khiến doanh nghiệp khó giải thích vì sao một ứng viên được lựa chọn hoặc bị loại. Sau một cuộc kiểm toán độc lập, HireVue đã chấm dứt việc sử dụng phân tích khuôn mặt vào năm 2021 vì yếu tố này hầu như không có giá trị dự báo hiệu suất làm việc. Trường hợp này cho thấy một tiêu chí đánh giá thiếu cơ sở khoa học vẫn có thể được sử dụng trong một thời gian mà không được giải thích đầy đủ.[4]

Thứ tư, khó xác định trách nhiệm khi AI gây thiệt hại. Khi hệ thống AI tạo ra quyết định sai hoặc gây thiệt hại, nguyên nhân có thể xuất phát từ dữ liệu huấn luyện, thiết kế thuật toán hoặc cách doanh nghiệp triển khai và sử dụng hệ thống. Điều này làm phức tạp việc xác định lỗi và phân bổ trách nhiệm giữa các chủ thể liên quan.

2.2. Các chủ thể trong quá trình triển khai hệ thống trí tuệ nhân tạo

Khi ứng dụng hệ thống AI trong tuyển dụng, việc xác định trách nhiệm pháp lý cần dựa trên vai trò của từng chủ thể trong vòng đời hệ thống. Theo Luật Trí tuệ nhân tạo 2025, có thể phân biệt: (i) nhà phát triển – thiết kế, xây dựng mô hình, thuật toán; (ii) nhà cung cấp – đưa hệ thống ra thị trường, chịu trách nhiệm phân loại rủi ro ban đầu; (iii) bên triển khai – chủ thể đưa hệ thống AI vào sử dụng trong phạm vi kiểm soát của mình, cụ thể là các doanh nghiệp sử dụng hệ thống AI để hỗ trợ quá trình tuyển dụng; và (iv) người sử dụng – chủ thể trực tiếp tương tác hoặc sử dụng kết quả đầu ra, mà doanh nghiệp cũng đồng thời mang tư cách này khi dùng kết quả AI để ra quyết định tuyển dụng. Bên cạnh bốn nhóm chủ thể này, khoản 4 Điều 29 của Luật còn dự liệu tình huống thiệt hại phát sinh do bên thứ ba xâm nhập, chiếm quyền điều khiển hoặc can thiệp trái pháp luật vào hệ thống. Khi đó, trách nhiệm bồi thường thuộc về chính bên thứ ba đó.[5]

Việc phân định các chủ thể này có ý nghĩa trong việc xác định phạm vi trách nhiệm pháp lý của từng bên. Cụ thể, nhà phát triển và nhà cung cấp chịu trách nhiệm đối với việc thiết kế, phát triển và cung cấp hệ thống AI; trong khi doanh nghiệp với tư cách là bên triển khai và người sử dụng, chịu trách nhiệm đối với việc vận hành và ứng dụng hệ thống AI trong hoạt động tuyển dụng thuộc phạm vi kiểm soát của mình. Do đó, trách nhiệm pháp lý không nên quy hoàn toàn cho một chủ thể duy nhất, mà cần phân tích theo cơ chế phân bổ giữa các chủ thể này.

2.3. Phân loại rủi ro theo chức năng của hệ thống

Điều 9 Luật Trí tuệ nhân tạo 2025 phân loại hệ thống AI thành ba mức rủi ro: cao, trung bình, thấp. Rủi ro cao được xác định dựa trên khả năng gây thiệt hại đáng kể đến tính mạng, sức khỏe, quyền và lợi ích hợp pháp của cá nhân, lợi ích công cộng, an ninh, trật tự. Rủi ro trung bình chủ yếu liên quan đến khả năng gây nhầm lẫn hoặc thao túng do người sử dụng không nhận biết đang tương tác với AI hoặc tiếp cận nội dung do AI tạo ra. Rủi ro thấp được xác định theo phương pháp loại trừ, là hệ thống không thuộc hai trường hợp nêu trên. Như vậy, tiêu chí phân loại dựa trên chức năng, mức độ ảnh hưởng và cách thức hệ thống được sử dụng. Tuy nhiên, để xác định một hệ thống AI thuộc mức rủi ro nào vẫn cần có danh mục hoặc hướng dẫn cụ thể – và đây chính là điểm còn thiếu đối với tuyển dụng.

Tại Việt Nam, tuyển dụng hiện chưa được nêu tên trong bất kỳ danh mục hay tiêu chí hướng dẫn nào. Quyết định số 33/2026/QĐ-TTg, có hiệu lực từ ngày 15/8/2026, chỉ liệt kê sáu lĩnh vực thuộc nhóm rủi ro cao và không bao gồm lao động, tuyển dụng. Đối với hệ thống AI có rủi ro trung bình, Nghị định số 142/2026/NĐ-CP cũng chỉ quy định tiêu chí chung mà chưa xây dựng danh mục theo từng lĩnh vực. Trong khi đó, cơ chế hiện hành giao cho nhà cung cấp tự xác định mức rủi ro trước khi đưa vào sử dụng. Chính vì tuyển dụng chưa có tên trong danh mục hay tiêu chí cụ thể nào, nhà cung cấp không có căn cứ rõ ràng để tự phân loại đúng, dẫn đến hệ quả là hệ thống AI tuyển dụng có thể bị xếp nhầm vào mức rủi ro thấp hơn thực tế, khiến các nghĩa vụ pháp lý đáng lẽ phải thực hiện bị bỏ sót ngay từ đầu.[6]

2.4. Chủ thể chịu trách nhiệm và phạm vi trách nhiệm pháp lý của doanh nghiệp

Chủ thể chịu trách nhiệm pháp lý là một vấn đề cần làm rõ. Một số quan điểm học thuật quốc tế từng đề xuất khả năng trao cho AI tư cách pháp lý riêng, đáng chú ý là đề xuất “người điện tử” (electronic personhood) của Nghị viện châu Âu năm 2017. Tuy nhiên, hướng tiếp cận này không được Liên minh châu Âu tiếp tục theo đuổi trong các văn bản sau đó, kể cả EU AI Act. Pháp luật Việt Nam cũng không ghi nhận tư cách chủ thể riêng cho AI. Điều 1 Bộ luật Dân sự 2015 xác định phạm vi chủ thể của quan hệ dân sự chỉ gồm cá nhân và pháp nhân; Luật Trí tuệ nhân tạo 2025 tiếp tục ghi nhận nguyên tắc “lấy con người làm trung tâm” tại Điều 4. Do đó, doanh nghiệp – với tư cách bên triển khai và sử dụng hệ thống trong quan hệ tuyển dụng – là chủ thể có khả năng phải gánh chịu trách nhiệm pháp lý trực tiếp trước ứng viên. Tuy nhiên, như đã trình bày tại mục 1.2, điều này không có nghĩa doanh nghiệp là chủ thể duy nhất chịu trách nhiệm, cơ chế phân bổ trách nhiệm giữa doanh nghiệp với nhà cung cấp, nhà phát triển được phân tích cụ thể tại mục 2.4.[7][8]

Về phạm vi, trong khoa học pháp lý Việt Nam, trách nhiệm pháp lý thường được tiếp cận theo nghĩa hẹp, gắn liền với vi phạm pháp luật, được hiểu là hậu quả pháp lý bất lợi mà chủ thể vi phạm phải gánh chịu, thể hiện qua các hình thức cưỡng chế được quy định trong chế tài của quy phạm pháp luật tương ứng. Tuy nhiên, cách tiếp cận này đã được chỉ ra là còn phiến diện, chịu ảnh hưởng của tư duy luật hình sự và chưa bao quát hết thực tiễn đời sống pháp lý.[9]

Đối với hoạt động tuyển dụng có sử dụng AI, việc xác định trách nhiệm của doanh nghiệp không chỉ đặt ra khi đã có vi phạm hay xảy ra thiệt hại mà còn phải xem xét các nghĩa vụ pháp lý mà doanh nghiệp phải tuân thủ trong quá trình triển khai hệ thống. Khi các nghĩa vụ này bị vi phạm thì mới làm phát sinh các hậu quả pháp lý tương ứng. Trên cơ sở đó, trong phạm vi bài viết, trách nhiệm pháp lý của doanh nghiệp khi ứng dụng hệ thống AI trong tuyển dụng được phân tích theo ba tầng: (1) nghĩa vụ phòng ngừa, tuân thủ mà doanh nghiệp phải thực hiện trong quá trình triển khai hệ thống AI; (2) trách nhiệm pháp lý phát sinh khi doanh nghiệp vi phạm các nghĩa vụ đó; và (3) trách nhiệm bồi thường thiệt hại khi việc ứng dụng AI xâm phạm quyền, lợi ích hợp pháp của ứng viên.

Ba tầng này được điều chỉnh bởi nhiều văn bản pháp luật khác nhau. Cụ thể, Luật Trí tuệ nhân tạo năm 2025, Bộ luật Lao động năm 2019 và Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định các nghĩa vụ tuân thủ của doanh nghiệp cùng chế tài khi các nghĩa vụ đó bị vi phạm. Các nội dung này được phân tích tại các mục 2.1, 2.2 và 2.3. Riêng trách nhiệm bồi thường thiệt hại được xác định trên cơ sở kết hợp Điều 29 Luật Trí tuệ nhân tạo năm 2025 và Điều 584 Bộ luật Dân sự năm 2015, được trình bày tại mục 2.4.

3. Pháp luật Việt Nam về trách nhiệm pháp lý của doanh nghiệp

3.1. Nghĩa vụ của bên triển khai và người sử dụng theo Luật Trí tuệ nhân tạo

Như đã đề cập, doanh nghiệp ứng dụng AI trong tuyển dụng có thể đồng thời mang hai tư cách: bên triển khai và người sử dụng.

Với bên triển khai, Luật Trí tuệ nhân tạo năm 2025 quy định trách nhiệm theo nguyên tắc: rủi ro càng cao thì trách nhiệm càng nặng và càng phải chủ động thực hiện ngay từ đầu, thay vì chỉ chờ khi có vấn đề. Đối với hệ thống rủi ro cao, doanh nghiệp phải vận hành, giám sát đúng phạm vi đã phân loại, bảo đảm an toàn, bảo mật dữ liệu và khả năng can thiệp của con người; bảo đảm minh bạch, xử lý sự cố, giải trình với cơ quan nhà nước có thẩm quyền và phối hợp với nhà cung cấp trong khắc phục sự cố (khoản 2 Điều 14). Ở mức rủi ro trung bình, trách nhiệm nhẹ hơn, chủ yếu là bảo đảm minh bạch và giải trình khi được yêu cầu (khoản 1 Điều 15). Còn ở mức rủi ro thấp, doanh nghiệp chỉ phải giải trình khi đã có dấu hiệu vi phạm hoặc ảnh hưởng đến quyền, lợi ích hợp pháp của người khác (khoản 2 Điều 15).

Với tư cách người sử dụng, doanh nghiệp cũng chịu trách nhiệm theo cùng nguyên tắc đó: ở mức rủi ro cao phải tuân thủ quy trình vận hành và báo cáo sự cố kịp thời (khoản 3 Điều 14); ở mức trung bình phải thông báo và gắn nhãn hệ thống AI (điểm d khoản 1 Điều 15); còn ở mức rủi ro thấp, doanh nghiệp được tự do khai thác hệ thống nhưng phải tự chịu trách nhiệm về việc sử dụng của mình (điểm c khoản 2 Điều 15).

Về nghĩa vụ chung, theo Điều 12, doanh nghiệp (với tư cách bên triển khai, người sử dụng) phải bảo đảm an toàn, kịp thời phát hiện sự cố; khi sự cố nghiêm trọng xảy ra, cần ghi nhận, thông báo và phối hợp khắc phục, còn việc khắc phục kỹ thuật, tạm dừng hoặc thu hồi hệ thống thuộc trách nhiệm của nhà phát triển, nhà cung cấp.

Về chế tài, Điều 7 của Luật quy định các hành vi bị nghiêm cấm làm căn cứ áp dụng các biện pháp xử lý theo pháp luật. Theo Nghị định 142/2026/NĐ-CP, một số vi phạm lần đầu liên quan đến nghĩa vụ thủ tục như thông báo phân loại, gắn nhãn hoặc đánh giá sự phù hợp có thể bị cảnh cáo; cơ chế xử phạt vi phạm hành chính đầy đủ sẽ được áp dụng từ ngày 01/3/2027.

3.2. Trách nhiệm bảo đảm bình đẳng, không phân biệt đối xử

Điều 8 Bộ luật Lao động năm 2019 nghiêm cấm hành vi phân biệt đối xử trong lao động, bao gồm cả giai đoạn tuyển dụng, trên các căn cứ như giới tính, độ tuổi, dân tộc, tôn giáo, tình trạng hôn nhân. Quy định này là cơ sở để xem xét trách nhiệm của doanh nghiệp khi việc ứng dụng hệ thống AI trong tuyển dụng dẫn đến kết quả có dấu hiệu phân biệt đối xử giữa các ứng viên. Trường hợp việc sử dụng hệ thống AI vi phạm nguyên tắc bình đẳng, không phân biệt đối xử và đáp ứng các điều kiện theo quy định của pháp luật, doanh nghiệp có thể phải chịu trách nhiệm pháp lý tương ứng.

Về chế tài, Điều 10 Nghị định 283/2026/NĐ-CP (có hiệu lực từ ngày 10/09/2026) quy định hành vi phân biệt đối xử trong lao động có thể bị phạt tiền từ 5.000.000 đến 10.000.000 đồng. Tuy nhiên, Nghị định này chưa có quy định riêng đối với trường hợp hành vi phân biệt đối xử phát sinh từ việc ứng dụng hệ thống AI trong tuyển dụng.

Đợt sa thải tại Amazon diễn ra khi AI thay đổi quy trình làm việc, tập trung vào hiệu quả và tối ưu hóa lực lượng lao động toàn cầu (Đồ họa: Quang Minh – nguồn: laodong.vn)

3.3. Trách nhiệm bảo vệ dữ liệu cá nhân của ứng viên

Doanh nghiệp, với tư cách bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu, phải tuân thủ Luật Bảo vệ dữ liệu cá nhân năm 2025 khi xử lý dữ liệu ứng viên. Theo Điều 25, doanh nghiệp chỉ được xử lý dữ liệu trong phạm vi cần thiết cho mục đích tuyển dụng, phải có sự đồng ý của người dự tuyển và xóa hoặc hủy dữ liệu của ứng viên không trúng tuyển, trừ trường hợp có thỏa thuận khác.

Bên cạnh đó, theo Điều 21, doanh nghiệp phải lập và lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu. Theo Điều 31, trường hợp xử lý dữ liệu sinh trắc học hoặc dữ liệu nhạy cảm khác, hồ sơ phải đánh giá rủi ro, biện pháp bảo vệ và doanh nghiệp phải tuân thủ các yêu cầu về bảo mật, hạn chế truy cập và giám sát hành vi xâm phạm dữ liệu.

Trường hợp vi phạm pháp luật về bảo vệ dữ liệu cá nhân, Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025 quy định doanh nghiệp có thể bị xử phạt vi phạm hành chính, truy cứu trách nhiệm hình sự hoặc phải bồi thường thiệt hại tùy theo tính chất, mức độ và hậu quả của hành vi. Tuy nhiên, pháp luật hiện hành chưa có quy định xử phạt riêng đối với hành vi vi phạm nghĩa vụ bảo vệ dữ liệu cá nhân trong hoạt động tuyển dụng có sử dụng hệ thống AI.

3.4. Trách nhiệm bồi thường thiệt hại và phân bổ trách nhiệm giữa doanh nghiệp với nhà cung cấp, nhà phát triển

Khi việc ứng dụng hệ thống AI trong tuyển dụng gây thiệt hại cho ứng viên, cơ sở pháp lý trực tiếp để xác định trách nhiệm bồi thường là Điều 29 Luật Trí tuệ nhân tạo năm 2025. Theo quy định này, bên triển khai hệ thống AI có rủi ro cao có thể phải bồi thường cho người bị thiệt hại ngay cả khi hệ thống được vận hành đúng quy định. Áp dụng trong tuyển dụng, nếu hệ thống AI thuộc nhóm rủi ro cao gây thiệt hại cho ứng viên, doanh nghiệp với tư cách bên triển khai có thể phải chịu trách nhiệm bồi thường trực tiếp.

Điều 29 cũng quy định cơ chế phân bổ trách nhiệm giữa các chủ thể. Trường hợp thiệt hại do bên thứ ba xâm nhập hoặc can thiệp trái phép vào hệ thống, bên thứ ba phải chịu trách nhiệm. Nếu nhà cung cấp hoặc bên triển khai có lỗi tạo điều kiện cho hành vi này thì có thể phát sinh trách nhiệm liên đới. Đồng thời, sau khi bồi thường, bên triển khai có thể yêu cầu nhà cung cấp, nhà phát triển hoặc các bên liên quan hoàn trả khoản tiền đã bồi thường, nhưng chỉ khi giữa các bên có thỏa thuận về việc này (khoản 2).

Đối với những vấn đề mà Điều 29 chưa quy định, các nguyên tắc về bồi thường thiệt hại ngoài hợp đồng của Bộ luật Dân sự năm 2015 tiếp tục được áp dụng bổ sung. Như vậy, doanh nghiệp là chủ thể chịu trách nhiệm trực tiếp trước ứng viên nhưng trách nhiệm này không loại trừ trách nhiệm của nhà phát triển, nhà cung cấp hoặc bên thứ ba tùy theo nguyên nhân gây thiệt hại.[10]

4. Những hạn chế của pháp luật hiện hành

Thứ nhất, chưa có tiêu chí phân loại rủi ro riêng cho AI tuyển dụng. Do tuyển dụng chưa được nêu tên trong danh mục hay tiêu chí hướng dẫn cụ thể, doanh nghiệp có thể không biết chắc bộ nghĩa vụ tương ứng với mức rủi ro phải tuân thủ. Điều này dễ dẫn đến bỏ sót nghĩa vụ, chẳng hạn đánh giá sự phù hợp theo Điều 13 Luật Trí tuệ nhân tạo năm 2025.

Thứ hai, nghĩa vụ minh bạch chưa bao phủ hoạt động sàng lọc tự động không có sự tương tác trực tiếp của ứng viên. Điều 11 Luật Trí tuệ nhân tạo năm 2025 chưa đặt ra nghĩa vụ thông báo khi AI sàng lọc, chấm điểm hồ sơ mà ứng viên không trực tiếp tương tác, đồng thời chưa gắn với quyền được biết các tiêu chí chính ảnh hưởng đến quyết định tuyển dụng.

Thứ ba, chưa có quyền yêu cầu con người rà soát quyết định có yếu tố AI. Ứng viên bị loại bởi quyết định có yếu tố AI chưa có căn cứ pháp lý rõ ràng để yêu cầu doanh nghiệp giải thích logic dẫn đến quyết định, cũng như chưa xác định mức độ giải trình và thời hạn phản hồi.

Thứ tư, khó chứng minh phân biệt đối xử do thuật toán. Pháp luật lao động hiện hành chủ yếu xử lý hành vi phân biệt đối xử trực tiếp, có chủ ý; chưa có tiêu chí, phương thức chứng minh hoặc cơ chế xử lý riêng đối với phân biệt đối xử gián tiếp, mang tính hệ thống do thuật toán gây ra.

Thứ năm, chưa làm rõ cơ chế phân bổ trách nhiệm giữa doanh nghiệp và nhà cung cấp. Luật Trí tuệ nhân tạo năm 2025 đã bước đầu phân định trách nhiệm giữa nhà phát triển, nhà cung cấp, bên triển khai và người sử dụng. Tuy nhiên, khi thiệt hại phát sinh từ sự kết hợp giữa lỗi thiết kế thuật toán và lỗi vận hành, pháp luật chưa có tiêu chí cụ thể để xác định phạm vi trách nhiệm của từng chủ thể.

Thứ sáu, thiếu cơ chế kiểm toán, giám sát định kỳ. Cơ chế hậu kiểm hiện hành chủ yếu dựa trên khai báo và hồ sơ của doanh nghiệp, chưa đặt ra yêu cầu kiểm toán độc lập, định kỳ riêng cho hệ thống AI tuyển dụng, trong khi hành vi của thuật toán có thể thay đổi theo thời gian khi được huấn luyện thêm trên dữ liệu mới.

5. Kiến nghị hoàn thiện pháp luật

Trên cơ sở các hạn chế đã nêu tại phần 3, bài viết đề xuất các kiến nghị cụ thể.

Thứ nhất, cần ban hành danh mục và tiêu chí phân loại hệ thống AI tuyển dụng theo từng chức năng (sàng lọc/chấm điểm/loại ứng viên tự động; tương tác với ứng viên; hỗ trợ hành chính đơn thuần), thay vì để nhà cung cấp tự phân loại mà thiếu căn cứ như hiện nay. Một nghiên cứu gần đây phân tích cho thấy AI tuyển dụng ở nhiều quốc gia hiện vẫn chủ yếu vận hành theo cơ chế tự điều tiết, doanh nghiệp có toàn quyền quyết định mà thiếu sự giám sát từ bên ngoài, và khuyến nghị các nhà hoạch định chính sách cần mở rộng khung pháp lý để bao phủ rõ ràng các ứng dụng AI đặc thù cho lĩnh vực nhân sự thay vì áp dụng quy định chung chung. Với vấn đề này, kinh nghiệm của EU AI Act có thể được tham khảo có chọn lọc. Điều 6(3) của văn bản này cho phép loại trừ một số công cụ chỉ làm nhiệm vụ thủ tục hẹp, chuẩn bị hoặc hỗ trợ mà không ảnh hưởng đáng kể đến kết quả, trong khi hệ thống thực hiện việc lập hồ sơ, phân tích đặc điểm cá nhân của ứng viên (profiling) vẫn được coi là rủi ro cao. Cách tiếp cận phân loại theo mức độ ảnh hưởng thực chất, thay vì theo tên gọi lĩnh vực, phù hợp để tham khảo khi xây dựng tiêu chí cho tuyển dụng tại Việt Nam.[11]

Thứ hai, cần bổ sung nghĩa vụ thông báo khi AI tham gia sàng lọc, chấm điểm hoặc loại ứng viên, gắn với quyền yêu cầu con người rà soát quyết định. Kinh nghiệm của GDPR là tham chiếu phù hợp. Trong đó, Điều 22 ghi nhận quyền của cá nhân không bị đặt dưới một quyết định chỉ dựa trên xử lý tự động nếu quyết định đó tạo ra hậu quả pháp lý hoặc ảnh hưởng đáng kể tương tự, kèm theo các ngoại lệ và quyền yêu cầu con người can thiệp, trình bày quan điểm, phản đối quyết định. Như vậy, Điều 22 GDPR không cấm tuyệt đối việc AI tự động đưa ra quyết định trong tuyển dụng, nhưng chỉ cho phép trong những trường hợp ngoại lệ và yêu cầu bảo đảm quyền của ứng viên được con người xem xét, can thiệp vào quyết định đó. Tuy nhiên, quyền yêu cầu con người rà soát chỉ giải quyết được vấn đề ai là người ra quyết định cuối cùng. Để quyền này có ý nghĩa thực chất, cần đi kèm với quyền được biết vì sao mình bị loại, được trình bày ở kiến nghị tiếp theo.[12]

Thứ ba, cần ghi nhận quyền của ứng viên được yêu cầu giải thích các tiêu chí chính ảnh hưởng đến quyết định tuyển dụng có yếu tố AI, kèm theo quy định về mức độ giải trình tối thiểu (chỉ cần nêu nhóm tiêu chí chính ảnh hưởng đến kết quả, không cần tiết lộ thuật toán hay bí mật kinh doanh) và thời hạn doanh nghiệp phải phản hồi (ví dụ 15-30 ngày làm việc). Kinh nghiệm từ GDPR cho thấy đây là vấn đề cần được quy định rõ ràng ngay từ đầu, tránh lặp lại tình trạng mơ hồ đã từng xảy ra tại Liên minh châu Âu. Cụ thể, GDPR không quy định trực tiếp một “quyền được giải thích” (right to explanation) mà chỉ yêu cầu tại Điều 13-15 rằng doanh nghiệp phải cung cấp cho cá nhân "thông tin có ý nghĩa về logic được sử dụng" (meaningful information about the logic involved) trong quyết định tự động, kết hợp với quyền phản đối quyết định tại Điều 22. Chính vì thuật ngữ này không được nêu tường minh và phạm vi của Điều 22 còn nhiều điểm mơ hồ, nên trên thực tế cá nhân bị ảnh hưởng bởi quyết định tự động khó có thể buộc doanh nghiệp giải trình đầy đủ, khiến cơ chế bảo vệ trở nên thiếu hiệu lực thực tế. Từ bài học này, pháp luật Việt Nam nên quy định rõ phạm vi thông tin phải giải trình, mức độ chi tiết tối thiểu và thời hạn doanh nghiệp phải phản hồi.[13]

Thứ tư, cần thiết lập cơ chế cho phép ứng viên tiếp cận nhật ký vận hành của hệ thống ở mức độ hợp lý, hoặc chuyển/giảm nhẹ nghĩa vụ chứng minh cho ứng viên khi có dấu hiệu ban đầu về phân biệt đối xử, nhằm khắc phục bất cân xứng thông tin giữa ứng viên và doanh nghiệp đã nêu tại mục 2.2 và phần 3. Do ứng viên hầu như không có khả năng tiếp cận dữ liệu huấn luyện hay log vận hành mà doanh nghiệp và nhà cung cấp đang nắm giữ, cơ chế chuyển nghĩa vụ chứng minh khi có dấu hiệu ban đầu (prima facie) là hướng tham khảo phù hợp để cân bằng lại vị thế giữa hai bên. Theo cơ chế này, ứng viên chỉ cần đưa ra được dấu hiệu ban đầu hợp lý cho thấy có khả năng xảy ra phân biệt đối xử; sau đó nghĩa vụ chứng minh không có sự phân biệt đối xử sẽ chuyển sang cho doanh nghiệp. Cơ chế này đã được áp dụng trong pháp luật chống phân biệt đối xử của một số hệ thống pháp luật nước ngoài, ví dụ như trong Chỉ thị 2000/78/EC của Liên minh châu Âu.[14][15][16]

Thứ năm, cần cụ thể hóa cơ chế tại Điều 29 Luật Trí tuệ nhân tạo 2025 cho bối cảnh tuyển dụng, xác định rõ trách nhiệm trực tiếp của doanh nghiệp đối với ứng viên và quyền hoàn trả giữa doanh nghiệp với nhà cung cấp, nhà phát triển tương ứng với lỗi của từng chủ thể, như đã phân tích tại mục 2.4. Đây là kiến nghị gắn trực tiếp với tiêu đề và trọng tâm của bài viết, cùng với kiến nghị thứ tư, cần được ưu tiên thể chế hóa. Cụ thể, cần làm rõ liệu quyền hoàn trả có đương nhiên phát sinh theo mức độ lỗi hay còn phụ thuộc vào thỏa thuận hợp đồng giữa doanh nghiệp và nhà cung cấp, đồng thời xây dựng tiêu chí phân định ranh giới giữa lỗi vận hành (thuộc doanh nghiệp ứng dụng AI) và lỗi thiết kế/dữ liệu (thuộc nhà phát triển, nhà cung cấp) để cơ chế hoàn trả có căn cứ áp dụng thống nhất trên thực tế.

Thứ sáu, cần yêu cầu kiểm toán định kỳ (ví dụ hằng năm) đối với hệ thống AI tuyển dụng thuộc nhóm rủi ro trung bình/cao, thay vì chỉ dừng ở cơ chế hậu kiểm dựa trên khai báo hoặc rà soát khi có "thay đổi đáng kể" như hiện nay. Yêu cầu này xuất phát từ nguy cơ hệ thống thay đổi theo thời gian khi được huấn luyện thêm trên dữ liệu tuyển dụng mới, khiến một hệ thống công bằng, an toàn tại thời điểm triển khai không còn chắc vẫn giữ được điều đó sau một thời gian vận hành.

6. Kết luận

Việc ứng dụng hệ thống AI mang lại nhiều lợi ích cho hoạt động tuyển dụng nhưng cũng đặt ra yêu cầu hoàn thiện khung pháp lý tương ứng, đặc biệt khi pháp luật hiện hành chưa có quy định cụ thể cho lĩnh vực tuyển dụng. Doanh nghiệp, với tư cách bên triển khai và đồng thời là người sử dụng hệ thống, là chủ thể chịu trách nhiệm trực tiếp đối với việc sử dụng hệ thống AI trong tuyển dụng, đồng thời vẫn cần có cơ chế phân bổ trách nhiệm hợp lý với nhà phát triển, nhà cung cấp và các chủ thể liên quan. Việc hoàn thiện pháp luật theo các hướng kiến nghị nêu trên sẽ góp phần bảo vệ quyền, lợi ích hợp pháp của ứng viên, làm rõ trách nhiệm của doanh nghiệp và thúc đẩy việc ứng dụng hệ thống AI an toàn, minh bạch trong tuyển dụng tại Việt Nam.