Phạm vi và tình trạng tiêu chuẩn
Liên kết đến phần này ↗ISO/IEC 42001:2023 là tiêu chuẩn quốc tế tự nguyện cho hệ thống quản lý AI (AIMS), dành cho tổ chức cung cấp hoặc sử dụng sản phẩm, dịch vụ dựa trên AI. ISO công bố ấn bản đầu ngày 18 tháng 12 năm 2023. Hồ sơ ISO được đối chiếu chưa ghi nhận ấn bản hoặc bản sửa đổi mới hơn. Tiêu chuẩn độc lập này không quy định nộp hồ sơ cho cơ quan nhà nước, thời hạn luật định hoặc mức phạt.
Việt Nam chấp nhận tương đương hoàn toàn với tên TCVN ISO/IEC 42001:2025, được công bố tại Quyết định 1001/QĐ-BKHCN ngày 28 tháng 5 năm 2025. Danh mục tiêu chuẩn quốc gia ghi nhận tiêu chuẩn này còn hiệu lực khi đối chiếu ngày 10 tháng 11 năm 2026.
Áp dụng cùng Luật Trí tuệ nhân tạo
Liên kết đến phần này ↗Luật Trí tuệ nhân tạo 134/2025/QH15, Nghị định 142/2026/NĐ-CP và Quyết định 33/2026/QĐ-TTg không nêu đích danh ISO/IEC 42001. Tổ chức vẫn phải phân loại hệ thống, giữ hồ sơ phân loại, xử lý và báo cáo sự cố, đánh giá sự phù hợp và quản lý rủi ro của hệ thống rủi ro cao theo văn bản áp dụng. Xác định hệ thống rủi ro cao theo danh mục tại Quyết định 33 và điểm a khoản 3 Điều 6 Nghị định 142. Khoản 5 Điều 12 Nghị định 142 cho phép dùng tài liệu kỹ thuật theo tiêu chuẩn quốc tế cho phần tương ứng của hồ sơ phân loại nếu tài liệu có đủ thông tin nghị định yêu cầu.
AIMS giúp tổ chức xác định phạm vi, phân công, đánh giá và xử lý rủi ro AI, đánh giá tác động, lập tuyên bố áp dụng, kiểm toán nội bộ và xem xét của lãnh đạo. Việc có chứng chỉ không xác nhận tuân thủ Luật. Hồ sơ AIMS ghi nhận các vai trò theo nghĩa của tiêu chuẩn, đồng thời hồ sơ tổ chức trong ComplianceOne dùng vai trò nhà phát triển, nhà cung cấp hoặc bên triển khai theo nghĩa của Luật.
AIMS, hệ thống quản lý an toàn thông tin theo ISO/IEC 27001 và hệ thống quản lý thông tin về quyền riêng tư theo ISO/IEC 27701 đều dùng cấu trúc điều khoản 4–10. Có thể phối hợp chu kỳ chính sách, kiểm toán và xem xét. Khi AI xử lý dữ liệu cá nhân, một phần bằng chứng AIMS có thể phục vụ cả PIMS.
Điều khoản và hồ sơ chuẩn bị
Liên kết đến phần này ↗| Điều khoản | Nội dung chuẩn bị |
|---|---|
| 4.1–4.3 | Bối cảnh, bên quan tâm, phạm vi, điểm tiếp giáp và phần loại trừ |
| 5.3 | Vai trò, trách nhiệm và thẩm quyền |
| 6.1.2–6.1.4 | Đánh giá và xử lý rủi ro AI, tuyên bố áp dụng và tác động đến cá nhân, nhóm và xã hội |
| 9.2–9.3 | Kiểm toán nội bộ và xem xét của lãnh đạo |
| 10.2 | Xử lý điểm không phù hợp và theo dõi hành động khắc phục |
| Phụ lục A, nhóm 2–5 | 14 biện pháp về chính sách, tổ chức, nguồn lực và đánh giá tác động |
| Phụ lục A, nhóm 6–7 | 9 biện pháp về vòng đời và 5 về dữ liệu. Năm biện pháp phát triển nằm trong hai nhóm này |
| Phụ lục A, nhóm 8–10 | 10 biện pháp về thông tin cho bên quan tâm, sử dụng AI và quan hệ với bên thứ ba, khách hàng |
Tiêu chuẩn không ban hành biểu mẫu chính thức. ComplianceOne có ba mẫu nội bộ gồm tuyên bố áp dụng AIMS (6.1.3), phạm vi và vai trò AIMS (4.3 và 5.3), và đánh giá tác động của hệ thống AI (6.1.4, nhóm A.5).
ComplianceOne hỗ trợ AIMS
Liên kết đến phần này ↗- Cài riêng gói tiêu chuẩn từ danh mục gói thị trường. Gói Việt Nam hoặc khung chuyên ngành không tự cài tiêu chuẩn này. Hồ sơ Khung pháp lý liệt kê 32 tiểu điều khoản và 38 biện pháp của Phụ lục A theo mã, nhãn và hướng dẫn riêng bằng tiếng Anh và tiếng Việt.
- Tuyên bố áp dụng ghi đủ 38 biện pháp trong chín nhóm. Mỗi dòng cần quyết định và lý do, kể cả khi loại trừ, trước khi nộp biểu mẫu. Có thể bổ sung biện pháp từ nguồn khác và chọn người phụ trách, người phê duyệt trong tổ chức.
- Năm biện pháp phát triển phụ thuộc vai trò nhà phát triển hoặc nhà cung cấp trong hồ sơ tổ chức. Khi chưa khai vai trò, các biện pháp đó chờ xác định. Tổ chức chỉ triển khai hệ thống do bên khác xây dựng thường loại trừ năm biện pháp và ghi lý do.
- Mẫu đánh giá tác động liên kết với hồ sơ hệ thống AI và có trường tùy chọn về hệ quả đối với xã hội. Khi xử lý dữ liệu cá nhân, chỉ rõ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) hoặc lý do không áp dụng. Trang hệ thống AI liệt kê và cho phép liên kết biểu mẫu AIMS sau khi cài tiêu chuẩn.
- Đánh giá trước triển khai theo Điều 13 Thông tư 53/2026/TT-NHNN được lập và phê duyệt trên hồ sơ hệ thống. Báo cáo theo khoản 3 Điều 27 Luật Trí tuệ nhân tạo của cơ quan nhà nước dùng Mẫu AI02 theo Điều 20 Nghị định 142. Hai hồ sơ này có căn cứ riêng với mẫu AIMS nội bộ.
- Hồ sơ tiêu chuẩn dẫn chiếu Luật Trí tuệ nhân tạo, Nghị định 142, Quyết định 33, Thông tư 53, ISO/IEC 27001:2022 và ISO/IEC 27701:2025.
ComplianceOne hiển thị mã, nhãn ngắn và hướng dẫn của mình. Tổ chức dùng bản tiêu chuẩn hoặc bản TCVN của mình để đọc yêu cầu. ComplianceOne không cấp chứng nhận; ISO không phê duyệt hoặc bảo chứng sản phẩm. Nội dung cung cấp thông tin tham khảo và không thay thế tư vấn pháp lý.
Kiểm tra mức độ sẵn sàng
Liên kết đến phần này ↗- Có bản ISO/IEC 42001:2023 hoặc TCVN ISO/IEC 42001:2025.
- Ghi vai trò phát triển, cung cấp hoặc triển khai cho từng hệ thống.
- Xác định phạm vi, điểm tiếp giáp, phần loại trừ và hệ thống thuộc AIMS.
- Ghi quyết định và lý do cho từng biện pháp trong Phụ lục A.
- Liên kết đánh giá tác động với từng hệ thống thuộc phạm vi.
- Giữ riêng hồ sơ phân loại, sự cố và hệ thống rủi ro cao theo Luật.
Nguồn tham chiếu
Liên kết đến phần này ↗Đặt lịch demo hoặc trao đổi về việc triển khai thử nghiệm để xem hồ sơ phạm vi, tuyên bố áp dụng và đánh giá tác động.