Dùng AI giả mạo sinh trắc học có thể bị phạt 50 triệu đồng

AI, Deepfake bị xử lý khi được dùng để vượt qua xác thực tài khoản

Sự phát triển của công nghệ tạo sinh giúp việc mô phỏng khuôn mặt, giọng nói và nhiều đặc điểm nhận dạng của một người trở nên dễ dàng hơn. Trong lĩnh vực tài khoản số, đây cũng là nguy cơ có thể bị lợi dụng để vượt qua các bước kiểm tra danh tính.

Để kiểm soát hành vi này, khoản 2 Điều 34 Nghị định 330/2026/NĐ-CP quy định mức phạt đối với cá nhân sử dụng AI, Deepfake hoặc các giải pháp công nghệ cao nhằm làm giả dữ liệu sinh trắc học phục vụ việc xác thực tài khoản trái phép.

Theo đó, người thực hiện hành vi giả mạo khuôn mặt hoặc giọng nói để xác thực tài khoản có thể bị phạt từ 30 triệu đồng đến 50 triệu đồng.

Điểm đáng chú ý nằm ở việc quy định không chỉ tập trung vào phương thức truyền thống mà đã đề cập trực tiếp đến những công nghệ mới như AI và Deepfake. Điều này cho thấy pháp luật đang chủ động mở rộng phạm vi quản lý trước các phương thức gian lận ngày càng tinh vi trên môi trường số.

Không chỉ Deepfake, nhiều thủ đoạn giả mạo giấy tờ cũng bị xử phạt

Phạm vi xử lý tại Điều 34 không giới hạn ở việc làm giả dữ liệu sinh trắc học.

Mức phạt 30–50 triệu đồng còn được áp dụng đối với một số hành vi như sử dụng giấy tờ tùy thân của người khác để thực hiện xác thực tài khoản số; sử dụng giấy tờ giả hoặc tạo lập, chỉnh sửa, cắt ghép hình ảnh giấy tờ nhằm phục vụ quá trình xác thực.

Như vậy, quy định mới hướng tới cả hai nhóm rủi ro lớn trong quá trình định danh:

• Giả mạo đặc điểm sinh trắc học, chẳng hạn khuôn mặt hoặc giọng nói.
• Giả mạo hoặc sử dụng trái phép giấy tờ nhận dạng để vượt qua yêu cầu xác thực.

Việc đặt các hành vi này trong cùng một nhóm xử phạt phản ánh mục tiêu bảo đảm tài khoản số phải được gắn với danh tính thực tế của chủ thể sử dụng.

Trách nhiệm của đơn vị cung cấp và quản lý tài khoản số

Không chỉ người dùng phải chịu trách nhiệm. Nghị định 330/2026/NĐ-CP còn đặt ra yêu cầu đối với tổ chức, cá nhân cung cấp và quản lý tài khoản số.

Theo khoản 1 Điều 34, chủ thể quản lý tài khoản có thể bị xử phạt từ 20–30 triệu đồng nếu không thực hiện việc xác thực, định danh bằng giấy tờ tùy thân hợp pháp đối với tài khoản thuộc diện bắt buộc phải xác thực hoặc sử dụng giấy tờ không hợp pháp trong quá trình xác thực.

Quy định này đặt trách nhiệm kiểm soát không chỉ ở phía người đăng ký tài khoản mà còn ở đơn vị vận hành hệ thống.

Điều đó có ý nghĩa đặc biệt trong bối cảnh tài khoản số ngày càng được sử dụng để tiếp cận các dịch vụ tài chính, giao dịch tài sản và thực hiện nhiều hoạt động quan trọng trên môi trường mạng.

Phải cảnh báo khi phát sinh giao dịch có rủi ro

Một yêu cầu khác được đặt ra là cơ chế cảnh báo đối với chủ tài khoản.

Đơn vị cung cấp tài khoản có thể bị phạt 20–30 triệu đồng nếu không xây dựng biện pháp cảnh báo khi tài khoản phát sinh những giao dịch liên quan đến tiền, tài chính, chứng khoán hoặc tài sản khác có khả năng chuyển nhượng trên không gian mạng.

Quy định này chuyển trọng tâm từ việc chỉ kiểm tra danh tính tại thời điểm đăng ký sang theo dõi rủi ro trong quá trình tài khoản được sử dụng.

Đây là cách tiếp cận quan trọng bởi một tài khoản đã vượt qua bước xác thực ban đầu vẫn có thể bị chiếm quyền kiểm soát hoặc bị sử dụng cho những giao dịch bất thường về sau.

Dữ liệu đăng nhập phải được lưu trữ trong thời gian tối thiểu

Nghị định cũng yêu cầu đơn vị cung cấp tài khoản lưu giữ một số thông tin phục vụ việc xác định và truy vết hoạt động trên hệ thống.

Các dữ liệu được đề cập bao gồm thông tin thiết bị, địa chỉ IP và thời điểm đăng nhập, với thời gian lưu trữ tối thiểu 90 ngày.

Ngoài ra, việc không lưu vết xác thực, không duy trì nhật ký truy cập hoặc không xây dựng cơ chế nhận diện hoạt động bất thường cũng thuộc nhóm hành vi có thể bị xử phạt.

Có thể thấy, yêu cầu này không đơn thuần nhằm phục vụ quản trị hệ thống. Việc lưu lại dấu vết kỹ thuật còn tạo cơ sở để xác định diễn biến sử dụng tài khoản khi xảy ra sự cố, hành vi giả mạo hoặc giao dịch đáng ngờ.

Khi có dấu hiệu rủi ro, tài khoản có thể phải tạm dừng giao dịch

Một điểm đáng chú ý khác là nghĩa vụ kiểm soát tài khoản sau khi phát hiện vấn đề.

Nếu xuất hiện sai sót, nhầm lẫn, dấu hiệu lộ lọt thông tin hoặc có yêu cầu từ lực lượng chuyên trách bảo vệ an ninh mạng, đơn vị có trách nhiệm mà không tạm dừng giao dịch hoặc phong tỏa tài khoản số theo quy định có thể bị xử phạt từ 20–30 triệu đồng.

Quy định này cho thấy trách nhiệm của đơn vị quản lý tài khoản không dừng lại ở việc thiết lập hệ thống xác thực. Khi đã phát hiện nguy cơ ảnh hưởng đến an toàn tài khoản, chủ thể quản lý còn phải có biện pháp phản ứng phù hợp nhằm hạn chế hậu quả có thể phát sinh.

Người vi phạm còn có thể phải khôi phục tình trạng ban đầu

Ngoài tiền phạt, người thực hiện hành vi vi phạm còn có thể phải thực hiện biện pháp khắc phục hậu quả là buộc khôi phục lại tình trạng ban đầu theo khoản 3 Điều 34.

Điều này cho thấy chế tài không chỉ hướng tới việc xử lý người vi phạm về mặt tài chính mà còn đặt mục tiêu đưa hệ thống hoặc trạng thái bị tác động bởi hành vi vi phạm trở lại tình trạng phù hợp.

Trong thực tế, việc áp dụng biện pháp khắc phục sẽ phụ thuộc vào tính chất, hậu quả và điều kiện cụ thể của từng hành vi.

Tổ chức vi phạm có thể chịu mức phạt cao hơn

Cần lưu ý rằng các mức phạt được quy định tại Điều 34 là mức áp dụng đối với cá nhân.

Theo khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP, trường hợp tổ chức thực hiện cùng hành vi vi phạm thì mức phạt tiền được áp dụng gấp 02 lần mức phạt đối với cá nhân.

Do đó, cùng một hành vi thuộc khung phạt 30–50 triệu đồng đối với cá nhân, tổ chức vi phạm có thể phải chịu mức phạt tương ứng từ 60–100 triệu đồng.

Đây là điểm các doanh nghiệp và đơn vị vận hành nền tảng tài khoản số cần đặc biệt lưu ý khi xây dựng quy trình xác thực và kiểm soát tài khoản.