Khung pháp lý Việt Nam đã sẵn sàng cho HaaS?

Câu trả lời là “đang hoàn thiện nhưng chưa hoàn chỉnh”. Việt Nam đã có những bước tiến rất nhanh trong việc xây dựng khung pháp lý cho nền kinh tế số, nhưng HaaS (phần cứng dưới dạng dịch vụ) - với bản chất nằm giữa phần cứng, dữ liệu và dịch vụ - lại đang đứng ở vùng giao thoa mà luật pháp Việt Nam chưa theo kịp hoàn toàn.

Những năm gần đây, Việt Nam đã liên tục ban hành các đạo luật quan trọng để đặt nền móng cho nền kinh tế số. Nổi bật nhất là Luật Công nghiệp Công nghệ số 2025 có hiệu lực từ ngày 1.1.2026, lần đầu tạo ra một khung pháp lý toàn diện cho các lĩnh vực như AI, bán dẫn và tài sản số ở nước ta.

Bên cạnh đó, Luật AI có hiệu lực từ ngày 1.3.2026 đưa Việt Nam vào nhóm các quốc gia sớm xây dựng luật riêng cho AI, với cách tiếp cận quản lý theo mức độ rủi ro và nhấn mạnh yếu tố an toàn, minh bạch.

Một mảnh ghép quan trọng khác là Luật Bảo vệ dữ liệu cá nhân 2025 chính thức có hiệu lực từ ngày 1.1.2026, đánh dấu lần đầu tiên Việt Nam có một khung pháp lý đầy đủ về quyền riêng tư và bảo mật dữ liệu.

Nhìn tổng thể, có thể nói Việt Nam đã “xây xong nền móng” cho kinh tế số. Thế nhưng, HaaS lại đặt ra những vấn đề vượt ra ngoài phạm vi của từng luật riêng lẻ. Bởi lẽ đây không chỉ là câu chuyện công nghệ mà còn về quyền sở hữu, trách nhiệm pháp lý và kiểm soát dữ liệu trong một môi trường mà tài sản vật lý không còn nằm trong tay doanh nghiệp.

Trong mô hình truyền thống, doanh nghiệp sở hữu máy chủ, dữ liệu lưu trữ trên hệ thống của mình và trách nhiệm pháp lý tương đối rõ ràng. Song với HaaS, ranh giới này trở nên mờ đi. Phần cứng thuộc về nhà cung cấp, dữ liệu thuộc về doanh nghiệp, nhưng cả hai lại tồn tại trên cùng một hạ tầng. Từ đó, câu hỏi được quan tâm là: Khi xảy ra sự cố, từ mất dữ liệu đến rò rỉ thông tin, ai sẽ chịu trách nhiệm?

Hiện tại, pháp luật Việt Nam chưa có quy định cụ thể cho mô hình “thuê phần cứng như một dịch vụ”. Các luật hiện hành chủ yếu điều chỉnh từng mảnh riêng lẻ: AI, dữ liệu hoặc công nghệ số nói chung. Điều đó có nghĩa là doanh nghiệp phải tự “ghép nối” các quy định này để xây dựng khung tuân thủ cho HaaS, một việc không hề đơn giản.

Đặc biệt, Luật Bảo vệ dữ liệu cá nhân 2025 đặt ra yêu cầu rất nghiêm ngặt với việc xử lý và lưu trữ dữ liệu. Các doanh nghiệp phải đảm bảo dữ liệu cá nhân được bảo vệ, có sự đồng ý của người dùng và tuân thủ các quy định về chuyển dữ liệu, kể cả trong trường hợp sử dụng hạ tầng bên thứ ba. Những yêu cầu ngày tạo ra áp lực lớn cho các mô hình HaaS, nơi dữ liệu thường nằm trên hệ thống do nhà cung cấp quản lý, thậm chí có thể phân tán qua nhiều quốc gia.

Vì thế, bài toán khó là làm sao cân bằng giữa bảo mật dữ liệu và thúc đẩy đổi mới công nghệ.

HaaS đặt ra những vấn đề vượt ra ngoài phạm vi của từng luật riêng lẻ ở Việt Nam hiện tại - Ảnh: SV

“Phần chìm” của HaaS

Nếu pháp lý là “phần nổi”, thì rủi ro bảo mật chính là “phần chìm” của HaaS. Khi không còn kiểm soát trực tiếp phần cứng, doanh nghiệp cũng đồng thời mất đi một phần quyền kiểm soát hệ thống. Trong kỷ nguyên mà dữ liệu được ví như “dầu mỏ mới” của nền kinh tế số, đây có thể trở thành điểm yếu chí mạng.

Rủi ro đầu tiên và dễ thấy nhất là rò rỉ dữ liệu. Khi dữ liệu được lưu trữ và xử lý trên hạ tầng của bên thứ ba, doanh nghiệp phải phụ thuộc vào hệ thống bảo mật của nhà cung cấp. Một lỗi cấu hình nhỏ, lỗ hổng phần mềm hay thậm chí nhân viên nhà cung cấp cũng có thể trở thành điểm khởi phát cho vụ rò rỉ dữ liệu lớn. Trong bối cảnh các cuộc tấn công mạng ngày càng tinh vi, việc “ủy quyền” bảo mật cho bên thứ ba không còn là quyết định đơn giản.

Một vấn đề khác ít được nhắc đến là rủi ro đa người dùng. Hầu hết hệ thống HaaS đều vận hành theo mô hình chia sẻ hạ tầng, nơi nhiều khách hàng cùng sử dụng một hệ thống vật lý. Điều này giúp tối ưu chi phí, nhưng cũng mở ra nguy cơ dữ liệu bị “rò rỉ chéo” nếu cơ chế phân tách không đủ mạnh. Chỉ cần một lỗ hổng trong lớp ảo hóa hoặc quản lý tài nguyên, dữ liệu của doanh nghiệp có thể bị truy cập bởi công ty khác.

Ngoài ra, còn có rủi ro từ chuỗi cung ứng phần cứng. Trong mô hình HaaS, doanh nghiệp không kiểm soát được nguồn gốc thiết bị, firmware hay thậm chí là chip bên trong hệ thống. Các cuộc tấn công ở cấp độ phần cứng, vốn khó phát hiện và khó phòng ngừa hơn nhiều so với phần mềm, có thể trở thành mối đe dọa thực sự trong tương lai.

Vấn đề phụ thuộc vào nhà cung cấp HaaS

HaaS mở ra cánh cửa tiếp cận hạ tầng AI và sức mạnh tính toán chưa từng có, nhưng đồng thời cũng đặt doanh nghiệp vào một môi trường phức tạp hơn về pháp lý và bảo mật, đánh đổi giữa tốc độ, chi phí và quyền kiểm soát.

Hiện nay, thị trường HaaS chủ yếu do ba nhóm nhà cung cấp chi phối, gồm các gã khổng lồ điện toán đám mây như Amazon Web Services, Microsoft Azure và Google Cloud; những nền tảng GPU chuyên biệt như CoreWeave hay Lambda Labs; “chợ cho thuê GPU” như Vast.ai, RunPod. Mỗi nhóm có mức giá và mô hình dịch vụ khác nhau, nhưng đều chung một điểm: doanh nghiệp không cần sở hữu phần cứng mà trả tiền theo mức sử dụng, thường tính theo giờ.

Tùy loại GPU, chi phí có thể dao động từ dưới 1 USD đến hơn 10 USD mỗi giờ, thậm chí chênh lệch nhiều lần giữa các nhà cung cấp, cho thấy HaaS không chỉ là bài toán công nghệ mà còn tối ưu chi phí.

Một vấn đề khác mang tính chiến lược là sự phụ thuộc vào nhà cung cấp. Khi toàn bộ hệ thống vận hành dựa trên hạ tầng của một bên thứ ba, việc chuyển đổi sang nhà cung cấp khác có thể trở nên cực kỳ khó khăn và tốn kém. Không chỉ rủi ro về chi phí, khách hàng có thể gặp vấn đề với việc kiểm soát dữ liệu và tính linh hoạt trong dài hạn.

Trong bối cảnh đó, khung pháp lý đóng vai trò như một “hàng rào an toàn”. Song hiện tại, hàng rào này vẫn chưa đủ cao và đủ chắc để bao phủ toàn bộ các rủi ro của HaaS.

Việc ban hành đồng thời nhiều luật quan trọng trong giai đoạn 2025-2026 cho thấy một nỗ lực rõ ràng của nước ta trong xây dựng nền tảng pháp lý cho kinh tế số. Bài toán nằm ở mức độ chi tiết và khả năng thích ứng của các quy định này với mô hình như HaaS.

Trong tương lai gần, chúng ta có thể kỳ vọng Việt Nam sẽ tiếp tục hoàn thiện khung pháp lý theo hướng cụ thể hơn cho các mô hình dịch vụ hóa hạ tầng. Cụ thể là làm rõ trách nhiệm giữa nhà cung cấp và khách hàng, tiêu chuẩn bảo mật bắt buộc, cũng như các quy định về lưu trữ và xử lý dữ liệu trong môi trường đa quốc gia.

Doanh nghiệp cần quan tâm đến cách dùng HaaS thế nào cho an toàn và hiệu quả. Trong một thế giới mà công nghệ thay đổi nhanh hơn luật pháp, việc hiểu rõ rủi ro và chủ động xây dựng chiến lược quản trị sẽ quan trọng không kém việc lựa chọn công nghệ.