Khi hình ảnh trẻ em bị làm giả bằng AI: Pháp luật bảo vệ trẻ như thế nào?

Chỉ từ một bức ảnh hoặc đoạn ghi âm được đăng tải trên mạng, công nghệ trí tuệ nhân tạo (AI) có thể tạo ra hình ảnh, giọng nói hoặc video giả mạo trẻ em với mức độ chân thực ngày càng cao. Deepfake vì thế có thể trở thành công cụ để bắt nạt, xúc phạm danh dự, lừa đảo hoặc tạo nội dung nhạy cảm liên quan đến trẻ em. Nội dung có thể là giả, nhưng tổn thương đối với danh dự, đời sống riêng tư, tâm lý và sự an toàn của trẻ lại hoàn toàn có thật. Pháp luật hiện hành bảo vệ trẻ em trước nguy cơ này như thế nào và ai phải chịu trách nhiệm khi deepfake bị tạo ra, đăng tải, phát tán?

Khi hình ảnh trẻ em bị khai thác để tạo deepfake

Một phụ huynh đăng lên mạng xã hội bức ảnh con mình tham gia hoạt động tại trường học. Bức ảnh chỉ ghi lại một khoảnh khắc sinh hoạt bình thường, nhưng sau đó bị người khác tải xuống, đưa vào công cụ AI để ghép khuôn mặt của trẻ vào một video phản cảm. Nội dung này tiếp tục được chia sẻ trong nhóm lớp rồi lan sang nhiều tài khoản khác. Chỉ trong thời gian ngắn, đứa trẻ trở thành đối tượng bị trêu chọc, chế giễu, né tránh bạn bè, thậm chí sợ đến trường và không muốn giao tiếp.

Tình huống trên cho thấy hình ảnh trẻ em trên môi trường số có thể bị khai thác theo những cách người đăng tải ban đầu không dự liệu. Việc cha mẹ công khai ảnh của con trên mạng xã hội không đồng nghĩa với việc bất kỳ ai cũng có quyền tải xuống, chỉnh sửa hoặc sử dụng cho mục đích khác. Khi AI cho phép tạo hình ảnh, âm thanh và video có mức độ mô phỏng cao, việc khai thác trái phép hình ảnh trẻ em có thể dẫn đến hậu quả nghiêm trọng hơn nhiều so với chỉnh sửa hình ảnh thông thường.

Deepfake vì vậy không chỉ đặt ra vấn đề về tính xác thực của nội dung số mà còn liên quan trực tiếp đến quyền đối với hình ảnh, danh dự, nhân phẩm, đời sống riêng tư và sự an toàn của trẻ. Trong khi đó, trẻ em thường chưa đủ khả năng tự nhận diện hành vi xâm phạm, yêu cầu nền tảng gỡ bỏ, lưu giữ chứng cứ điện tử hoặc lựa chọn biện pháp pháp lý phù hợp. Khi nội dung giả mạo đã được tạo ra và lan truyền, trách nhiệm thuộc về người tạo, người chia sẻ hay nền tảng công nghệ?

Deepfake không phải là trò đùa vô hại

Deepfake có thể được hiểu là hình ảnh, âm thanh hoặc video được tạo ra hoặc chỉnh sửa bằng AI nhằm mô phỏng khuôn mặt, giọng nói hay hành vi của một người với mức độ giống thật cao. Khác với ảnh ghép thông thường, công nghệ AI hiện nay có thể tạo nội dung giả trong thời gian ngắn nhưng đủ chân thực để khiến người xem nhầm tưởng đó là hình ảnh hoặc lời nói có thật.

Đối với trẻ em, nguy cơ càng đáng lo ngại bởi hình ảnh của các em thường xuất hiện trên mạng xã hội thông qua cha mẹ, nhà trường, bạn bè hoặc chính trẻ. Từ một vài bức ảnh hay đoạn ghi âm, người khác có thể ghép khuôn mặt trẻ vào video phản cảm; giả giọng nói để lừa đảo người thân; lập tài khoản giả mạo; tạo nội dung chế giễu, bắt nạt; thậm chí tạo hình ảnh có tính chất tình dục hoặc nội dung nhạy cảm từ ảnh sinh hoạt bình thường.

Dù sự việc được mô tả là không có thật, việc gắn khuôn mặt của trẻ với hình ảnh phản cảm hoặc lời nói mà trẻ chưa từng thực hiện vẫn có thể gây tổn hại nghiêm trọng đến danh dự, nhân phẩm, đời sống riêng tư và quan hệ xã hội. Hình ảnh, giọng nói của trẻ cũng có thể bị dùng để quảng cáo, thu hút lượt xem hoặc phục vụ mục đích thương mại mà không có sự đồng ý hợp pháp.

So với hình ảnh chỉnh sửa thông thường, deepfake đặt ra ba nguy cơ nổi bật: nội dung có độ chân thực cao nên khó phân biệt thật - giả; việc tạo và chia sẻ diễn ra rất nhanh, trong khi phát hiện và xử lý thường chậm hơn; và dù nội dung ban đầu đã bị gỡ, các bản sao hoặc phiên bản chỉnh sửa vẫn có thể tiếp tục tồn tại trên nền tảng khác.

Vì vậy, với nội dung liên quan đến trẻ em, không thể chỉ dựa vào lời giải thích rằng người tạo “đùa vui” hay “không có ý xấu”. Điều cần xem xét là tính chất nội dung, phạm vi phát tán, khả năng gây tổn hại và hậu quả thực tế hoặc tiềm ẩn đối với trẻ.

Nội dung giả nhưng xâm phạm những quyền có thật của trẻ em

Deepfake có thể tạo ra nội dung hoàn toàn không có thật, nhưng những quyền bị xâm phạm lại là những quyền đã được pháp luật ghi nhận.

Trước hết là quyền đối với hình ảnh. Điều 32 Bộ luật Dân sự năm 2015 quy định cá nhân có quyền đối với hình ảnh của mình và, về nguyên tắc, việc sử dụng hình ảnh phải được sự đồng ý. Đối với trẻ em, việc cha mẹ hoặc người đại diện đồng ý đăng một bức ảnh lên mạng xã hội không thể được hiểu là sự cho phép để người khác tải ảnh về, đưa vào công cụ AI rồi tạo nội dung mới. Sự đồng ý cho một mục đích cụ thể không thể bị suy rộng thành quyền khai thác hình ảnh vô hạn. Khi deepfake làm thay đổi bối cảnh, hành vi hoặc thông điệp gắn với trẻ, việc sử dụng hình ảnh đã vượt khỏi mục đích ban đầu.

Cùng với quyền đối với hình ảnh là quyền về đời sống riêng tư, bí mật cá nhân và bí mật gia đình. Điều 21 Luật Trẻ em năm 2016 ghi nhận trẻ em có quyền bất khả xâm phạm về đời sống riêng tư, bí mật cá nhân và bí mật gia đình vì lợi ích tốt nhất của trẻ em; Điều 38 Bộ luật Dân sự năm 2015 cũng bảo vệ các quyền này. Điều 54 Luật Trẻ em đồng thời đặt ra trách nhiệm bảo vệ trẻ em trên môi trường mạng.

Trong trường hợp deepfake, người thực hiện có thể khai thác không chỉ khuôn mặt mà cả giọng nói, tên, tuổi, trường học, nơi sinh sống hoặc thông tin về cha mẹ. Khi các dữ liệu này được kết hợp, nguy cơ có thể phát triển từ sử dụng trái phép hình ảnh thành giả mạo danh tính, lừa đảo hoặc những hình thức xâm hại khác.

Deepfake cũng có thể trực tiếp xâm phạm danh dự, nhân phẩm và uy tín của trẻ em. Điều 34 Bộ luật Dân sự năm 2015 xác lập quyền được bảo vệ danh dự, nhân phẩm, uy tín của cá nhân. Việc nội dung là “giả” không làm giảm tính chất xâm phạm. Ngược lại, việc gán cho trẻ một lời nói, hành động hoặc hoàn cảnh mà trẻ chưa từng thực hiện có thể khiến người khác hiểu sai, dẫn đến chế giễu, kỳ thị hoặc cô lập. Tính hư cấu của nội dung không đồng nghĩa với tính hư cấu của thiệt hại.

Một lớp bảo vệ quan trọng khác đến từ pháp luật về dữ liệu cá nhân. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026 và dành Điều 24 quy định riêng về bảo vệ dữ liệu cá nhân của trẻ em. Đáng chú ý, khi xử lý dữ liệu nhằm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ từ đủ 07 tuổi trở lên, pháp luật yêu cầu phải có sự đồng ý của cả trẻ em và người đại diện theo pháp luật. Việc xử lý phải dừng trong một số trường hợp, như khi sự đồng ý bị rút lại hoặc cơ quan có thẩm quyền có đủ căn cứ xác định việc xử lý có thể xâm phạm quyền, lợi ích hợp pháp của trẻ.

Quy định này có ý nghĩa trực tiếp đối với deepfake bởi khuôn mặt, giọng nói và thông tin có khả năng nhận diện trẻ có thể trở thành dữ liệu đầu vào của hệ thống AI. Luật Bảo vệ dữ liệu cá nhân còn yêu cầu dữ liệu trong môi trường AI phải được xử lý đúng mục đích, trong phạm vi cần thiết và bảo đảm quyền, lợi ích hợp pháp của chủ thể dữ liệu; không được sử dụng hoặc phát triển hệ thống AI có dùng dữ liệu cá nhân để xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm hoặc tài sản của người khác.

Từ năm 2026, cơ chế bảo vệ này tiếp tục được bổ sung bởi Luật Trí tuệ nhân tạo số 134/2025/QH15, có hiệu lực từ ngày 01/3/2026. Luật xác lập nguyên tắc lấy con người làm trung tâm, bảo đảm quyền con người và quyền riêng tư; Điều 7 nghiêm cấm việc lợi dụng điểm yếu của nhóm dễ bị tổn thương, trong đó có trẻ em, để gây tổn hại. Luật cũng đặt ra yêu cầu minh bạch, nhận diện tương tác với AI và gắn nhãn đối với nội dung do AI tạo ra; Nghị định số 142/2026/NĐ-CP tiếp tục cụ thể hóa cơ chế quản lý rủi ro và trách nhiệm của các chủ thể liên quan.

Tuy nhiên, phải phân biệt nghĩa vụ minh bạch với tính hợp pháp của nội dung. Việc một video được gắn nhãn “do AI tạo ra” chỉ giúp người tiếp nhận biết nguồn gốc công nghệ, không phải là sự miễn trừ trách nhiệm. Nếu video sử dụng trái phép hình ảnh của trẻ, làm tổn hại danh dự, tiết lộ đời sống riêng tư hoặc xử lý dữ liệu cá nhân trái pháp luật, việc gắn nhãn không làm cho hành vi trở nên hợp pháp.

Như vậy, trẻ em không đứng trong một “khoảng trống” về quyền trước deepfake. Thách thức lớn hơn là làm thế nào để những quyền ấy được thực thi đủ nhanh trước tốc độ tạo và lan truyền nội dung giả mạo.

Ai chịu trách nhiệm khi deepfake trẻ em bị phát tán?

Một nội dung deepfake thường có nhiều chủ thể tham gia: người thu thập hình ảnh, người dùng AI để tạo nội dung, người đăng tải, người chia sẻ và nền tảng cung cấp môi trường phát tán. Chuỗi hành vi này khiến việc xác định trách nhiệm phức tạp, nhưng trách nhiệm pháp lý không vì thế mà bị “hòa tan”.

Trước hết, người tạo nội dung giả mạo là chủ thể trực tiếp cần được xem xét trách nhiệm. Việc tự ý lấy khuôn mặt, giọng nói hoặc dữ liệu nhận diện của trẻ đưa vào công cụ AI để tạo video, âm thanh hay hình ảnh mới có thể xâm phạm đồng thời nhiều quyền nhân thân. Nếu nội dung được tạo ra nhằm chế giễu, xúc phạm, đe dọa, giả mạo để lừa đảo hoặc thu lợi, mức độ trách nhiệm càng nghiêm trọng.

Theo Bộ luật Dân sự năm 2015, khi quyền nhân thân bị xâm phạm, người có quyền có thể yêu cầu chấm dứt hành vi, cải chính, xin lỗi và bồi thường thiệt hại khi có căn cứ. Đối với thiệt hại do danh dự, nhân phẩm, uy tín bị xâm phạm, trách nhiệm bồi thường có thể bao gồm chi phí hợp lý để hạn chế, khắc phục thiệt hại và khoản tiền bù đắp tổn thất tinh thần. Tùy tính chất, mức độ và hậu quả, hành vi còn có thể bị xử phạt hành chính hoặc bị xem xét trách nhiệm hình sự nếu đáp ứng đầy đủ dấu hiệu của tội phạm tương ứng. Không phải mọi hành vi tạo deepfake đều đương nhiên là tội phạm; việc xác định phải dựa trên hành vi, lỗi, mục đích, hậu quả và các tình tiết cụ thể.

Người đăng tải hoặc chia sẻ lại cũng phải chịu trách nhiệm đối với hành vi của mình. Nghị định số 147/2024/NĐ-CP quy định người sử dụng phải chịu trách nhiệm về nội dung do mình cung cấp, lưu trữ, truyền đưa và chia sẻ trên mạng. Vì vậy, lập luận “chỉ chia sẻ lại, không phải người tạo” không đương nhiên loại trừ trách nhiệm. Mỗi lượt chia sẻ có thể làm tăng phạm vi tiếp cận, kéo dài thời gian tồn tại của nội dung và khiến tổn thương đối với trẻ nghiêm trọng hơn. Ngay cả việc đăng lại với mục đích “cảnh báo cộng đồng” cũng cần thận trọng; cách phù hợp hơn thường là lưu chứng cứ, báo cáo với nền tảng và chuyển thông tin cho chủ thể có thẩm quyền.

Một mắt xích ngày càng quan trọng là nhà cung cấp hệ thống hoặc công cụ AI. Luật Trí tuệ nhân tạo và Nghị định số 142/2026/NĐ-CP đặt ra cách tiếp cận quản trị rủi ro trong quá trình phát triển và vận hành hệ thống AI. Trong bối cảnh trẻ em là nhóm dễ bị tổn thương, nhà cung cấp công nghệ không thể hoàn toàn đứng ngoài cách thức hệ thống của mình được sử dụng. Các biện pháp hạn chế yêu cầu tạo nội dung xâm hại trẻ em, cảnh báo khi khai thác hình ảnh người khác, hỗ trợ truy xuất nguồn gốc và phối hợp với cơ quan có thẩm quyền là những yêu cầu quan trọng của quản trị rủi ro.

Sau khi deepfake được đưa lên mạng, nền tảng mạng xã hội giữ vai trò đặc biệt trong việc hạn chế hậu quả. Nghị định số 147/2024/NĐ-CP đặt ra nghĩa vụ ngăn chặn, gỡ bỏ thông tin vi phạm pháp luật và xử lý nội dung theo yêu cầu của cơ quan có thẩm quyền trong các trường hợp luật định. Đối với deepfake trẻ em, điều quan trọng không chỉ là “gỡ được hay không” mà còn là gỡ đủ nhanh hay không. Nền tảng cần có cơ chế tiếp nhận phản ánh dễ sử dụng, ưu tiên nội dung liên quan đến trẻ em, hạn chế khả năng tái đăng tải và không làm lộ thêm thông tin nhận diện của trẻ trong quá trình xử lý.

Gia đình và nhà trường có vai trò quan trọng trong phòng ngừa nhưng không nên bị biến thành chủ thể “chịu lỗi thay” cho người xâm phạm. Phụ huynh cần cân nhắc trước khi công khai hình ảnh, tên trường, lớp học, địa điểm thường xuyên hoặc lịch trình của con; nhà trường cần có quy trình rõ ràng khi thu thập, sử dụng và đăng tải hình ảnh học sinh. Tuy nhiên, việc cha mẹ từng đăng ảnh con công khai hoặc chưa thận trọng trong quản lý dữ liệu không tạo ra quyền cho người khác lấy hình ảnh đó để giả mạo, xuyên tạc hay khai thác trái pháp luật.

Nhìn từ chuỗi phát sinh và lan truyền deepfake, trách nhiệm có thể tồn tại ở nhiều tầng: người tạo chịu trách nhiệm về hành vi tạo lập; người đăng tải, chia sẻ chịu trách nhiệm về việc tiếp tục phát tán; nhà cung cấp AI và nền tảng số phải thực hiện nghĩa vụ quản trị rủi ro, minh bạch và xử lý nội dung theo pháp luật. Công nghệ có thể làm hành vi xâm phạm phức tạp hơn, nhưng không thể làm trách nhiệm pháp lý biến mất.

Bảo vệ trẻ em phải nhanh hơn tốc độ lan truyền của deepfake

Thách thức lớn nhất trong bảo vệ trẻ em trước deepfake nằm ở khoảng cách giữa tốc độ lan truyền của nội dung và tốc độ của cơ chế bảo vệ. Một video giả mạo có thể được sao chép, tải xuống và chia sẻ qua nhiều tài khoản trong thời gian ngắn, trong khi việc xác minh nguồn phát tán, xác định chủ thể và yêu cầu xử lý cần nhiều thời gian hơn.

Deepfake có thể được tạo bằng công cụ trực tuyến, đăng qua tài khoản ẩn danh rồi tiếp tục bị chỉnh sửa và phát tán trên nhiều nền tảng. Chứng cứ điện tử lại dễ thay đổi hoặc biến mất: bài đăng bị xóa, tài khoản bị khóa, đường dẫn không còn tồn tại trước khi gia đình kịp lưu giữ. Ngay cả khi nội dung đã được gỡ, các bản sao vẫn có thể tiếp tục được đăng lại.

Một nguy cơ khác là trẻ có thể chịu tổn thương lần thứ hai trong chính quá trình được bảo vệ. Việc buộc trẻ xem lại nhiều lần hình ảnh giả mạo, kể lại vụ việc cho nhiều chủ thể hoặc để danh tính tiếp tục xuất hiện trên báo chí, mạng xã hội có thể kéo dài tác động tiêu cực. Đăng lại nội dung xâm hại với mục đích “cảnh báo” cũng có thể vô tình làm nó lan truyền thêm. Vì vậy, quyền và lợi ích tốt nhất của trẻ phải được bảo đảm cả trong tiếp nhận, xử lý và truyền thông về vụ việc.

Trong bối cảnh đó, cơ chế bảo vệ cần nhanh hơn và chủ động hơn. Trước hết, cần có cơ chế tiếp nhận và gỡ bỏ ưu tiên đối với deepfake có dấu hiệu xâm hại trẻ em. Khi cha mẹ, người đại diện, nhà trường hoặc cơ quan bảo vệ trẻ em cung cấp được thông tin ban đầu cho thấy nguy cơ xâm hại nghiêm trọng, nền tảng cần có quy trình xử lý nhanh, dễ tiếp cận và hạn chế tối đa thủ tục lặp lại.

Định hướng này phù hợp với Quyết định số 468/QĐ-TTg ngày 23/3/2026 phê duyệt Chương trình “Bảo vệ và hỗ trợ trẻ em phát triển trên môi trường mạng giai đoạn 2026-2030”, tiếp tục xác định bảo vệ trẻ em trong không gian số là nhiệm vụ chính sách ở cấp quốc gia.

Thứ hai, cần coi “an toàn ngay từ thiết kế” là yêu cầu quan trọng đối với các hệ thống AI có khả năng tạo hình ảnh, âm thanh và video. Thay vì chỉ xử lý sau khi nội dung xâm hại đã được tạo ra, nhà cung cấp cần chủ động thiết kế biện pháp nhận diện và hạn chế những yêu cầu có dấu hiệu tình dục hóa trẻ em, giả mạo để lừa đảo hoặc tạo nội dung xúc phạm nghiêm trọng. Đây cũng là hướng tiếp cận phù hợp với cơ chế quản trị rủi ro của pháp luật AI hiện hành.

Thứ ba, việc xử lý cần hướng tới ngăn nội dung quay trở lại, thay vì chỉ xóa một bài đăng. Các nền tảng cần tăng khả năng phát hiện bản sao hoặc phiên bản biến đổi của nội dung đã được xác định là xâm hại trẻ em. Với deepfake, yêu cầu này đặc biệt quan trọng bởi nội dung có thể chỉ thay đổi một phần hình ảnh, âm thanh hoặc thời lượng rồi tiếp tục phát tán.

Cuối cùng, cần xây dựng quy trình bảo vệ thân thiện với trẻ em. Danh tính của trẻ phải được giữ kín ở mức cần thiết; việc lấy thông tin cần hạn chế lặp lại; cha mẹ hoặc người đại diện cần được tham gia hỗ trợ; trường hợp trẻ chịu tác động tâm lý nghiêm trọng cần có hỗ trợ chuyên môn phù hợp. Mục tiêu không chỉ là xóa một video khỏi mạng mà còn là hạn chế tối đa hậu quả lâu dài đối với sự phát triển của trẻ.

Khi phát hiện hình ảnh của con bị làm giả, cha mẹ nên không bình luận hoặc chia sẻ lại nội dung; chụp màn hình và lưu đường dẫn, tên tài khoản, thời điểm đăng tải; gửi yêu cầu gỡ bỏ tới nền tảng; thông báo cho nhà trường nếu nội dung lan truyền trong học sinh; trình báo cơ quan có thẩm quyền khi có dấu hiệu lừa đảo, đe dọa, xúc phạm nghiêm trọng hoặc xâm hại tình dục. Quan trọng hơn, cha mẹ cần trấn an trẻ, tránh trách móc và không buộc trẻ nhiều lần tiếp xúc lại với nội dung đã gây tổn thương.

Trong môi trường số, bảo vệ trẻ em chỉ thực sự hiệu quả khi cơ chế bảo vệ có khả năng phát hiện sớm, xử lý nhanh và ngăn tổn thương tiếp tục lan rộng.

Kết luận

Deepfake là sản phẩm của sự phát triển công nghệ, nhưng công nghệ không phải là chủ thể chịu trách nhiệm pháp lý. Trách nhiệm thuộc về những cá nhân, tổ chức thiết kế, cung cấp, sử dụng và phát tán nội dung theo cách xâm phạm quyền, lợi ích hợp pháp của trẻ em. Vì vậy, bảo vệ trẻ em trước deepfake phải được tiếp cận như một vấn đề pháp lý tổng hợp, gắn với quyền đối với hình ảnh, quyền riêng tư, danh dự, nhân phẩm, dữ liệu cá nhân và quyền được bảo vệ an toàn trên môi trường mạng.

Bảo vệ trẻ em cũng không thể chỉ bắt đầu sau khi nội dung xâm hại đã lan truyền và hậu quả đã xảy ra. Cơ chế pháp luật cần chuyển mạnh từ xử lý vi phạm sang phòng ngừa rủi ro, phát hiện sớm, gỡ bỏ nhanh và hạn chế tái phát tán. Các hệ thống AI và nền tảng số phải được thiết kế, vận hành trên cơ sở ưu tiên bảo vệ nhóm dễ bị tổn thương.

Quyền và lợi ích tốt nhất của trẻ em phải là tiêu chuẩn xuyên suốt trong mọi quyết định liên quan đến công nghệ. Một nội dung giả mạo có thể được tạo ra chỉ trong vài phút, nhưng tổn thương mà nó để lại đối với một đứa trẻ có thể kéo dài nhiều năm. Vì vậy, pháp luật phải không chỉ đủ nghiêm để xử lý người vi phạm mà còn đủ nhanh để ngăn nội dung lan truyền và đủ thân thiện để trẻ em có thể thực sự được bảo vệ.