Nếu chỉ hỏi Hồng Kông đã có một đạo luật AI riêng như một bộ luật chuyên biệt hay chưa, câu trả lời theo các nguồn công khai năm 2025 là: chưa có một khung pháp lý độc lập, chuyên biệt dành riêng cho AI, dữ liệu lớn hoặc học máy.[4]
Nhưng nếu câu hỏi thực tế hơn là: dùng AI tại Hồng Kông có bị ràng buộc bởi quy định, hướng dẫn và nghĩa vụ tuân thủ nào không, thì câu trả lời là: có. Trọng tâm hiện nay nằm ở sự kết hợp giữa luật hiện hành, hướng dẫn chính thức về AI tạo sinh và các yêu cầu bảo vệ dữ liệu cá nhân.
Với doanh nghiệp, điểm đáng nhớ là không nên chờ đến khi có một đạo luật AI riêng mới bắt đầu kiểm soát rủi ro. Việc cần làm ngay là quản trị công cụ AI, dữ liệu nhập vào, cách dùng đầu ra, quyền truy cập của nhân viên và rủi ro đối với dữ liệu cá nhân.
Nói ngắn gọn: chưa có luật AI riêng, nhưng đã có khung hướng dẫn đáng chú ý
Theo tổng quan pháp lý công khai năm 2025, Hồng Kông hiện chưa có một khung pháp lý độc lập chuyên biệt cho AI, dữ liệu lớn hoặc học máy.[4] Điều này không đồng nghĩa với việc AI nằm ngoài mọi khuôn khổ quản lý.
Ở cấp chính quyền, Văn phòng Chính sách số Hồng Kông — Digital Policy Office, viết tắt là DPO — đã phát hành Hướng dẫn kỹ thuật và ứng dụng AI tạo sinh của Hồng Kông vào ngày 15/4/2025.[5] Theo thông tin của chính quyền, tài liệu này bao gồm phạm vi và giới hạn ứng dụng, rủi ro tiềm ẩn và nguyên tắc quản trị đối với công nghệ AI tạo sinh; đồng thời đưa ra hướng dẫn vận hành thực tế cho nhà phát triển công nghệ, nhà cung cấp dịch vụ và người dùng.[
8]
Ở khía cạnh quyền riêng tư, Cơ quan Ủy viên Bảo vệ Dữ liệu cá nhân Hồng Kông — thường được nhắc đến bằng tên viết tắt PCPD — đã công bố Danh mục kiểm tra về hướng dẫn nhân viên sử dụng AI tạo sinh vào tháng 3/2025. Mục tiêu là giúp tổ chức xây dựng chính sách hoặc hướng dẫn nội bộ cho nhân viên sử dụng GenAI trong công việc, đồng thời đáp ứng yêu cầu của Pháp lệnh Bảo vệ dữ liệu cá nhân, tức PDPO.[9]
Các văn bản và khuôn khổ chính cần biết
| Văn bản hoặc khuôn khổ | Đối tượng chính | Điểm thực tế cần chú ý |
|---|---|---|
| Hướng dẫn kỹ thuật và ứng dụng AI tạo sinh của Hồng Kông | Nhà phát triển công nghệ, nhà cung cấp dịch vụ và người dùng.[ | Đề cập phạm vi ứng dụng, giới hạn, rủi ro tiềm ẩn và nguyên tắc quản trị AI tạo sinh.[ |
| Khuyến nghị chính sách nội bộ trong hướng dẫn của DPO | Tổ chức áp dụng dịch vụ AI tạo sinh.[ | Chính sách nội bộ có thể quy định công cụ được phép dùng, mục đích được phép, phạm vi áp dụng, loại và lượng dữ liệu được nhập vào, cách dùng đầu ra và cách lưu trữ đầu ra.[ |
| Danh mục kiểm tra về việc nhân viên dùng AI tạo sinh | Tổ chức có nhân viên sử dụng GenAI trong công việc.[ | Hỗ trợ xây dựng chính sách hoặc hướng dẫn nội bộ, đồng thời đáp ứng yêu cầu của PDPO.[ |
| Hướng dẫn rộng hơn của PCPD về AI và quyền riêng tư | Tổ chức mua sắm, sử dụng hoặc phát triển hệ thống AI có liên quan đến dữ liệu cá nhân.[ | Bao gồm hướng dẫn thực tế, nguyên tắc đạo đức AI và danh mục tự đánh giá nhằm hỗ trợ tuân thủ PDPO khi phát triển và sử dụng AI.[ |
Vì sao chưa có luật AI riêng nhưng doanh nghiệp vẫn phải hành động?
Một cách hiểu sai khá phổ biến là: chưa có luật AI riêng thì có thể dùng AI thoải mái. Với Hồng Kông, cách nhìn này quá rủi ro.
Trước hết, hướng dẫn của DPO đã đưa các vấn đề như giới hạn ứng dụng, rủi ro tiềm ẩn và nguyên tắc quản trị vào một khung thực hành chung. Thông tin của chính quyền cũng nêu rõ các rủi ro kỹ thuật cần xử lý, gồm rò rỉ dữ liệu, thiên lệch mô hình và lỗi của mô hình.[8]
Thứ hai, hễ việc sử dụng AI có liên quan đến dữ liệu cá nhân, PDPO trở thành yếu tố không thể bỏ qua. Danh mục kiểm tra của PCPD liên kết trực tiếp ba việc: nhân viên dùng GenAI trong công việc, tổ chức cần có chính sách nội bộ, và việc sử dụng đó phải đáp ứng yêu cầu của PDPO.[9]
Nói cách khác, bài toán của doanh nghiệp không chỉ là có được phép dùng ChatGPT, Claude, Gemini hay một công cụ GenAI nội bộ hay không. Bài toán đúng hơn là: ai được dùng, dùng vào việc gì, được nhập loại dữ liệu nào, đầu ra được kiểm tra ra sao, lưu ở đâu, và rủi ro dữ liệu cá nhân được kiểm soát thế nào.
Chính sách GenAI nội bộ nên có tối thiểu những gì?
Hướng dẫn của DPO nêu rằng tổ chức áp dụng dịch vụ AI tạo sinh nên xây dựng chính sách hoặc hướng dẫn nội bộ. Nội dung có thể bao gồm công cụ được phép, mục đích sử dụng được phép, phạm vi áp dụng chính sách, loại và lượng thông tin được phép nhập vào, cách sử dụng thông tin đầu ra và cách lưu trữ thông tin đầu ra.[1]
Từ góc độ vận hành, một chính sách GenAI dễ áp dụng nên bắt đầu bằng các điểm sau:
- Công cụ được phép dùng: liệt kê những công cụ AI tạo sinh công khai hoặc công cụ do nội bộ phát triển mà nhân viên được phép sử dụng.[
1]
- Mục đích được phép: quy định rõ có được dùng GenAI để soạn thảo, tóm tắt thông tin, tạo nội dung văn bản, âm thanh hoặc hình ảnh hay không.[
1]
- Phạm vi áp dụng: xác định chính sách áp dụng cho bộ phận nào, quy trình nào, nhóm nhân sự nào hoặc tình huống công việc nào.[
1]
- Loại và lượng dữ liệu được nhập vào: nêu rõ dữ liệu nào được phép nhập vào GenAI, dữ liệu nào không được nhập, và giới hạn khối lượng dữ liệu có thể đưa vào công cụ.[
1]
- Cách sử dụng đầu ra: quy định nội dung do AI tạo ra có được dùng để gửi khách hàng, công bố ra ngoài hoặc đưa vào tài liệu chính thức hay không; đồng thời xác định khi nào cần con người kiểm tra lại.[
1]
- Cách lưu trữ đầu ra: xác định đầu ra của AI được lưu ở đâu, có được sao chép sang hệ thống khác không, thời hạn lưu giữ và trách nhiệm quản lý.[
1]
- Quyền truy cập của nhân viên và thiết bị: theo thông tin từ PCPD, chính sách AI nên nêu rõ loại thiết bị mà nhân viên được phép dùng để truy cập công cụ GenAI và nhóm nhân viên nào được phép sử dụng.[
9]
- Quản trị rủi ro: đưa rò rỉ dữ liệu, thiên lệch mô hình và lỗi của mô hình vào quy trình đánh giá, phê duyệt và rà soát, vì đây là các rủi ro kỹ thuật được nêu trong hướng dẫn về GenAI của Hồng Kông.[
8]
PDPO: điểm nóng khi AI chạm vào dữ liệu cá nhân
Trong bối cảnh Hồng Kông, AI và quyền riêng tư dữ liệu không thể tách rời. Chỉ cần hệ thống AI xử lý, phân tích, tóm tắt hoặc tạo nội dung dựa trên dữ liệu cá nhân, doanh nghiệp cần xem xét nghĩa vụ theo PDPO.
PCPD cho biết Danh mục kiểm tra về hướng dẫn nhân viên sử dụng AI tạo sinh được công bố nhằm giúp tổ chức xây dựng chính sách hoặc hướng dẫn nội bộ cho việc nhân viên dùng GenAI trong công việc, đồng thời tuân thủ yêu cầu của PDPO.[9]
Ở phạm vi rộng hơn, hướng dẫn về AI của PCPD bao gồm hướng dẫn thực tế, nguyên tắc đạo đức và danh mục tự đánh giá để hỗ trợ tổ chức tuân thủ Pháp lệnh Bảo vệ dữ liệu cá nhân, Chương 486, khi phát triển và sử dụng AI.[10] Nguồn này cũng mô tả khuôn khổ hướng dẫn cho các tổ chức mua sắm và sử dụng hệ thống AI, bao gồm cả hệ thống dự đoán và AI tạo sinh, khi có sử dụng dữ liệu cá nhân.[
10]
Vì vậy, một chính sách AI tốt không chỉ trả lời câu hỏi có được dùng công cụ nào. Nó cần bao phủ toàn bộ vòng đời dữ liệu: dữ liệu đến từ đâu, ai được nhập dữ liệu vào hệ thống, nội dung nào bị cấm nhập, đầu ra được kiểm chứng ra sao, lưu giữ thế nào và ai chịu trách nhiệm khi có sai sót.
Nhân viên và người dùng nên làm gì?
Hướng dẫn của DPO không chỉ nhắm tới nhà phát triển hoặc nhà cung cấp dịch vụ; đối tượng còn bao gồm cả người dùng công nghệ AI tạo sinh.[8] Với nhân viên, nguyên tắc thận trọng là không tự ý đưa tài liệu nội bộ, dữ liệu khách hàng, thông tin nhân sự hoặc dữ liệu nhạy cảm vào một công cụ AI công khai nếu chưa được tổ chức cho phép.
Cũng không nên coi đầu ra của AI là đúng tuyệt đối. Thông tin của chính quyền Hồng Kông đã nêu các rủi ro kỹ thuật như thiên lệch mô hình và lỗi của mô hình.[8] Vì vậy, các tài liệu quan trọng, nội dung gửi khách hàng, thông cáo đối ngoại hoặc nội dung có yếu tố pháp lý, y tế, tài chính hay dữ liệu cá nhân cần được con người rà soát trước khi sử dụng.
Câu hỏi thường gặp
Hồng Kông hiện đã có luật AI chưa?
Theo tổng quan pháp lý công khai năm 2025, Hồng Kông chưa có một khung pháp lý độc lập chuyên biệt dành riêng cho AI, dữ liệu lớn hoặc học máy.[4] Tuy nhiên, Hồng Kông đã có hướng dẫn chính thức về AI tạo sinh, hướng dẫn liên quan đến quyền riêng tư từ PCPD và các yêu cầu pháp lý hiện hành như PDPO cần được xem xét đồng thời.[
5][
9][
10]
Hướng dẫn GenAI của DPO điều chỉnh những gì?
DPO phát hành Hướng dẫn kỹ thuật và ứng dụng AI tạo sinh của Hồng Kông ngày 15/4/2025.[5] Theo thông tin của chính quyền, hướng dẫn này bao gồm phạm vi và giới hạn ứng dụng, rủi ro tiềm ẩn và nguyên tắc quản trị của AI tạo sinh, đồng thời cung cấp hướng dẫn vận hành thực tế cho nhà phát triển công nghệ, nhà cung cấp dịch vụ và người dùng.[
8]
Công ty có bắt buộc phải có chính sách sử dụng AI không?
Nguồn từ PCPD cho biết Danh mục kiểm tra về hướng dẫn nhân viên sử dụng AI tạo sinh nhằm hỗ trợ tổ chức xây dựng chính sách hoặc hướng dẫn nội bộ cho nhân viên sử dụng GenAI trong công việc, đồng thời đáp ứng yêu cầu của PDPO.[9] Hướng dẫn của DPO cũng nêu các nội dung mà chính sách nội bộ có thể bao phủ, như công cụ, mục đích sử dụng, dữ liệu đầu vào, cách dùng đầu ra và lưu trữ đầu ra.[
1]
Doanh nghiệp nhỏ có cần quan tâm không?
Có, nếu doanh nghiệp có nhân viên dùng GenAI trong công việc hoặc xử lý dữ liệu cá nhân liên quan đến Hồng Kông. Các hướng dẫn được nêu không chỉ dành cho tập đoàn công nghệ; DPO hướng tới cả nhà phát triển, nhà cung cấp dịch vụ và người dùng, còn PCPD tập trung vào việc tổ chức quản lý nhân viên dùng GenAI trong công việc.[8][
9]
Kết luận
Cách nói chính xác về bức tranh AI tại Hồng Kông là: theo các nguồn công khai năm 2025, Hồng Kông chưa có một đạo luật hoặc khung pháp lý độc lập chuyên biệt cho AI; nhưng đã có hướng dẫn GenAI của chính quyền, hướng dẫn về quyền riêng tư của PCPD và các yêu cầu theo PDPO cần được tính đến cùng lúc.[4][
5][
9][
10]
Nếu doanh nghiệp đang dùng hoặc chuẩn bị triển khai GenAI, bước đầu tiên thiết thực nhất là xây dựng một chính sách AI có thể thực thi: xác định công cụ được phép, mục đích được phép, giới hạn dữ liệu đầu vào, cách dùng và lưu trữ đầu ra, quyền truy cập của nhân viên và thiết bị, đồng thời đưa rò rỉ dữ liệu, thiên lệch và lỗi mô hình vào quy trình quản trị rủi ro.[1][
8][
9]
Bài viết này là phần tóm lược thông tin từ các nguồn công khai được dẫn, không phải ý kiến tư vấn pháp lý. Với các dự án AI có rủi ro cao, có xử lý dữ liệu cá nhân hoặc thuộc lĩnh vực được quản lý chặt, nên đọc trực tiếp tài liệu chính thức và xin tư vấn chuyên môn phù hợp.
