Thời gian gần đây, trào lưu tạo ảnh nữ thần bằng trí tuệ nhân tạo (AI) đang thu hút sự quan tâm lớn trên các nền tảng mạng xã hội. Chỉ với một bức ảnh chân dung và vài thao tác đơn giản trên ứng dụng, người dùng có thể biến hóa hình ảnh của mình thành những nhân vật mang phong cách thần thoại, huyền bí với tạo hình lộng lẫy, bắt mắt. Tuy nhiên, đằng sau sự tiện lợi và tính giải trí của xu hướng này là những vấn đề đáng lưu ý liên quan đến việc thu thập, lưu trữ và xử lý dữ liệu cá nhân.
.jpg)
1. Nguy cơ lộ dữ liệu cá nhân từ việc tải ảnh chân dung lên ứng dụng AI
Để tạo ra hình ảnh theo yêu cầu, người dùng thường phải tải ảnh chân dung lên hệ thống của ứng dụng AI. Tại đây, hình ảnh có thể được phân tích, xử lý bằng các thuật toán nhận diện đặc điểm khuôn mặt, ánh sáng, đường nét và những yếu tố khác để tạo ra sản phẩm mới.
Tùy thuộc vào từng nền tảng, dữ liệu hình ảnh có thể được lưu trữ trong một khoảng thời gian nhất định, chuyển giao cho bên thứ ba hoặc được sử dụng cho những mục đích khác theo chính sách xử lý dữ liệu của nhà cung cấp dịch vụ. Do đó, việc tải ảnh lên ứng dụng không đơn thuần chỉ là thao tác tạo ra một bức ảnh mới mà còn có thể làm phát sinh hoạt động xử lý dữ liệu cá nhân.
Theo khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Như vậy, hình ảnh khuôn mặt có khả năng nhận diện một cá nhân thuộc phạm vi dữ liệu cá nhân được pháp luật bảo vệ.
Đặc biệt, cần phân biệt hình ảnh khuôn mặt thông thường với dữ liệu sinh trắc học. Không phải mọi bức ảnh chân dung đều mặc nhiên là dữ liệu sinh trắc học nhạy cảm. Theo khoản 2 Điều 31 Luật Bảo vệ dữ liệu cá nhân năm 2025, dữ liệu sinh trắc học là dữ liệu về thuộc tính vật lý, đặc điểm sinh học cá biệt và ổn định của một người để xác định người đó. Đồng thời, điểm đ khoản 1 Điều 4 Nghị định số 356/2025/NĐ-CP xếp dữ liệu sinh trắc học vào nhóm dữ liệu cá nhân nhạy cảm.
Vì vậy, khi các đặc điểm khuôn mặt được thu thập, phân tích và xử lý nhằm nhận dạng, xác thực danh tính cá nhân, dữ liệu này có thể thuộc phạm vi dữ liệu sinh trắc học và được áp dụng cơ chế bảo vệ tương ứng.
Khác với mật khẩu hoặc số điện thoại có thể thay đổi, đặc điểm sinh trắc học gắn liền với mỗi người. Vì vậy, nếu dữ liệu khuôn mặt bị chiếm đoạt, phát tán hoặc sử dụng trái phép, hậu quả có thể kéo dài và khó khắc phục.
2. Những rủi ro pháp lý và an toàn thông tin có thể phát sinh
Việc cung cấp hình ảnh cá nhân cho các ứng dụng AI không rõ nguồn gốc có thể dẫn đến nhiều nguy cơ.
Thứ nhất, hình ảnh và dữ liệu khuôn mặt có thể bị thu thập, lưu trữ hoặc sử dụng vượt quá mục đích ban đầu mà người dùng mong muốn, đặc biệt khi chính sách quyền riêng tư không minh bạch hoặc người dùng chưa đọc kỹ các điều khoản sử dụng. Hành vi xử lý dữ liệu cá nhân không đúng phạm vi, mục đích cụ thể, rõ ràng có thể vi phạm nguyên tắc bảo vệ dữ liệu cá nhân quy định tại khoản 2 và khoản 3 Điều 3 Luật Bảo vệ dữ liệu cá nhân năm 2025.
Thứ hai, dữ liệu khuôn mặt có thể bị khai thác để giả mạo danh tính, tạo hình ảnh hoặc video giả bằng AI, mạo danh tài khoản mạng xã hội, gây ảnh hưởng đến danh dự, uy tín và quyền riêng tư của cá nhân. Các hành vi chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân hoặc sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái pháp luật thuộc nhóm hành vi bị nghiêm cấm theo khoản 5, khoản 7 Điều 7 Luật Bảo vệ dữ liệu cá nhân năm 2025.
Thứ ba, trong trường hợp dữ liệu bị kết hợp với các thông tin khác như họ tên, số điện thoại, tài khoản mạng xã hội hoặc thông tin liên hệ, các đối tượng xấu có thể sử dụng để xây dựng kịch bản lừa đảo có tính thuyết phục cao hơn, chẳng hạn giả danh người thân, đồng nghiệp hoặc người quen để yêu cầu chuyển tiền.
Tuy nhiên, cũng cần lưu ý rằng việc tải ảnh lên ứng dụng AI không đồng nghĩa chắc chắn dữ liệu sẽ bị rò rỉ. Mức độ rủi ro phụ thuộc vào cơ chế bảo mật, chính sách lưu trữ, mục đích xử lý và cách thức quản lý dữ liệu của từng nhà cung cấp dịch vụ.
3. Quy định pháp luật về bảo vệ dữ liệu cá nhân khi sử dụng ứng dụng AI
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 là căn cứ pháp lý quan trọng điều chỉnh hoạt động thu thập và xử lý dữ liệu cá nhân trong môi trường số, bao gồm cả hoạt động ứng dụng trí tuệ nhân tạo.
Theo khoản 1 Điều 11 Luật Bảo vệ dữ liệu cá nhân năm 2025, dữ liệu cá nhân được thu thập phải có sự đồng ý của chủ thể dữ liệu trước khi thu thập, trừ trường hợp pháp luật có quy định khác.
Bên cạnh đó, Điều 9 Luật này quy định sự đồng ý của chủ thể dữ liệu cá nhân chỉ có hiệu lực khi dựa trên sự tự nguyện và người dùng biết rõ loại dữ liệu được xử lý, mục đích xử lý, bên kiểm soát dữ liệu và quyền, nghĩa vụ của mình. Đặc biệt, theo khoản 4 Điều 9, sự đồng ý phải được thể hiện riêng đối với từng mục đích; không được kèm theo điều kiện bắt buộc người dùng đồng ý với những mục đích khác ngoài nội dung thỏa thuận.
Như vậy, việc người dùng đồng ý tải ảnh lên để tạo hình không đương nhiên đồng nghĩa với việc họ đồng ý cho nhà cung cấp sử dụng hình ảnh đó vào mọi mục đích khác, chẳng hạn quảng cáo, chia sẻ cho bên thứ ba hoặc huấn luyện hệ thống AI. Việc sử dụng dữ liệu cho những mục đích này cần được xem xét theo phạm vi đồng ý và các quy định pháp luật có liên quan.
Đáng chú ý, Điều 30 Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định riêng về bảo vệ dữ liệu cá nhân trong hoạt động xử lý dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo và điện toán đám mây. Theo đó:
- Khoản 1 yêu cầu dữ liệu cá nhân phải được xử lý đúng mục đích, giới hạn trong phạm vi cần thiết và bảo đảm quyền, lợi ích hợp pháp của chủ thể dữ liệu.
- Khoản 3 yêu cầu hệ thống và dịch vụ sử dụng trí tuệ nhân tạo phải tích hợp các biện pháp bảo mật dữ liệu cá nhân phù hợp, sử dụng phương thức xác thực, định danh và phân quyền truy cập phù hợp.
- Khoản 4 quy định việc xử lý dữ liệu cá nhân bằng trí tuệ nhân tạo phải được phân loại theo mức độ rủi ro để có biện pháp bảo vệ dữ liệu cá nhân phù hợp.
Đối với dữ liệu sinh trắc học, khoản 4 Điều 31 Luật Bảo vệ dữ liệu cá nhân năm 2025 yêu cầu tổ chức, cá nhân thu thập và xử lý loại dữ liệu này phải có biện pháp bảo mật vật lý đối với thiết bị lưu trữ, truyền tải; hạn chế quyền truy cập và thiết lập hệ thống theo dõi nhằm phòng ngừa, phát hiện hành vi xâm phạm dữ liệu sinh trắc học.
Về phía người dùng, Điều 4 Luật Bảo vệ dữ liệu cá nhân năm 2025 ghi nhận các quyền quan trọng như được biết về hoạt động xử lý dữ liệu cá nhân; đồng ý hoặc không đồng ý; yêu cầu rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu; yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu; khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại khi quyền, lợi ích hợp pháp bị xâm phạm.
Ngoài ra, Điều 10 và Điều 14 Luật này quy định về quyền yêu cầu rút lại sự đồng ý, hạn chế xử lý, xóa hoặc hủy dữ liệu cá nhân trong những trường hợp luật định. Tuy nhiên, việc rút lại sự đồng ý không làm ảnh hưởng đến tính hợp pháp của hoạt động xử lý dữ liệu đã được thực hiện trước thời điểm yêu cầu rút lại.
Như vậy, người dùng không mất đi quyền kiểm soát dữ liệu cá nhân chỉ vì đã tải hình ảnh lên một ứng dụng AI.
Bên cạnh đó, quyền đối với hình ảnh và quyền riêng tư của cá nhân còn được bảo vệ theo pháp luật dân sự. Cụ thể, Điều 32 Bộ luật Dân sự năm 2015 quy định cá nhân có quyền đối với hình ảnh của mình và việc sử dụng hình ảnh của cá nhân phải được người đó đồng ý, trừ những trường hợp ngoại lệ do luật định. Điều 38 Bộ luật Dân sự năm 2015 cũng ghi nhận quyền về đời sống riêng tư, bí mật cá nhân, bí mật gia đình; việc thu thập, lưu giữ, sử dụng, công khai thông tin liên quan đến đời sống riêng tư, bí mật cá nhân phải được người đó đồng ý, trừ trường hợp luật có quy định khác.
4. Khuyến nghị đối với người dùng
Để hạn chế nguy cơ lộ, lọt dữ liệu cá nhân khi tham gia các trào lưu tạo ảnh bằng AI, Luật Sao Việt khuyến nghị người dùng cần chủ động thực hiện một số biện pháp sau:
- Chỉ sử dụng ứng dụng có nguồn gốc rõ ràng, được cung cấp bởi đơn vị có thông tin pháp lý và chính sách quyền riêng tư minh bạch.
- Đọc kỹ điều khoản sử dụng, đặc biệt là nội dung liên quan đến mục đích thu thập, thời gian lưu trữ, việc chia sẻ và sử dụng hình ảnh để huấn luyện AI.
- Hạn chế tải lên những hình ảnh chứa thông tin nhạy cảm, hình ảnh giấy tờ tùy thân hoặc dữ liệu có thể làm lộ thêm thông tin cá nhân.
- Không cung cấp quyền truy cập danh bạ, vị trí, thư viện ảnh hoặc các dữ liệu khác nếu ứng dụng không thực sự cần thiết cho chức năng tạo ảnh.
- Kiểm tra và sử dụng các quyền liên quan đến dữ liệu cá nhân, bao gồm yêu cầu xóa hình ảnh hoặc rút lại sự đồng ý khi có căn cứ và phù hợp với quy định pháp luật.
Có thể thấy, trí tuệ nhân tạo mang lại nhiều tiện ích và cơ hội sáng tạo cho người dùng, nhưng cũng đặt ra yêu cầu cao hơn đối với việc bảo vệ dữ liệu cá nhân trên không gian mạng. Một bức ảnh được tạo ra chỉ trong vài giây có thể mang lại trải nghiệm thú vị, nhưng dữ liệu khuôn mặt được cung cấp cho nền tảng AI lại có thể để lại những rủi ro lâu dài nếu không được quản lý đúng cách.
Vì vậy, trước khi tham gia bất kỳ trào lưu tạo ảnh AI nào, người dùng cần tìm hiểu kỹ nền tảng, mục đích xử lý dữ liệu và chính sách bảo mật. Bảo vệ dữ liệu cá nhân không chỉ là trách nhiệm của nhà cung cấp dịch vụ mà còn bắt đầu từ sự thận trọng của chính mỗi người dùng.
Liên hệ ngay để được Luật sư, Chuyên viên pháp lý hỗ trợ kịp thời:
- CÔNG TY LUẬT TNHH SAO VIỆT -
"Sự bảo hộ hoàn hảo trong mọi quan hệ pháp luật"
Tổng đài tư vấn pháp luật: 1900 6243
Địa chỉ tư vấn trực tiếp: Số 525 đường Lạc Long Quân, P. Tây Hồ, TP. Hà Nội
Gửi thư tư vấn hoặc yêu cầu dịch vụ qua Email: congtyluatsaoviet@gmail.com
