Phần mềm nguồn mở KHÔNG phải "dùng chùa": nghĩa vụ giấy phép OSS (GPL/MIT/Apache) & rủi ro pháp lý cho doanh nghiệp Việt (2026)

Câu trả lời nhanh

"Nguồn mở" (open source) KHÔNG có nghĩa là "miễn phí và muốn làm gì thì làm". Mọi phần mềm nguồn mở vẫn có chủ sở hữu quyền tác giả; bạn được dùng theo một GIẤY PHÉP (license) kèm ĐIỀU KIỆN. Nếu bạn vi phạm điều kiện đó — điển hình là bỏ ghi công tác giả, xoá văn bản license, hoặc không công khai mã nguồn khi giấy phép copyleft (GPL/AGPL) yêu cầu — thì quyền sử dụng của bạn chấm dứt, và việc tiếp tục dùng trở thành hành vi xâm phạm quyền tác giả.

Tại Việt Nam, chương trình máy tính được bảo hộ như tác phẩm văn học theo Điều 22 Luật Sở hữu trí tuệ (Luật 50/2005/QH11, sửa đổi bởi Luật 07/2022/QH15). Vì vậy vi phạm giấy phép OSS về bản chất là sao chép/sử dụng tác phẩm vượt phạm vi được phép — có thể bị xử phạt vi phạm hành chính theo Nghị định 341/2025/NĐ-CP (hiệu lực 15/02/2026, thay Nghị định 131/2013), với mức phạt tối đa 250 triệu đồng (cá nhân) / 500 triệu đồng (tổ chức), chưa kể rủi ro dân sự và buộc gỡ bỏ/công khai mã.

Ba việc cần làm ngay: (1) lập danh mục phụ thuộc (dependency inventory / SBOM) biết mình đang dùng OSS nào, giấy phép gì; (2) phân loại permissive (MIT/BSD/Apache — nhẹ nghĩa vụ) vs copyleft (GPL/LGPL/AGPL — nặng nghĩa vụ, có thể "lây" ra sản phẩm của bạn); (3) giữ lại ghi công + văn bản giấy phép và xử lý đúng nghĩa vụ công khai mã khi có.

*Disclaimer: Bài viết mang tính thông tin, KHÔNG phải tư vấn pháp lý. Các trích dẫn luật đã được đối chiếu văn bản gốc tại thời điểm viết (xem mục nguồn cuối bài), nhưng luật có thể thay đổi và mỗi tình huống có tình tiết riêng. Trước khi ra quyết định, hãy tham vấn luật sư sở hữu trí tuệ.*

1. Ba hiểu lầm tai hại về phần mềm nguồn mở

Phần lớn rủi ro OSS ở doanh nghiệp Việt không đến từ ý đồ xấu, mà từ hiểu lầm. Nguồn mở là mô hình cấp phép, không phải là từ bỏ quyền. Tác giả vẫn giữ quyền tác giả và chỉ cho bạn dùng NẾU bạn tuân thủ điều kiện họ đặt ra trong giấy phép.

Khác biệt cốt lõi cần nắm: *nguồn mở* (open source, có giấy phép & điều kiện) khác *phạm vi công cộng* (public domain, thực sự không còn ràng buộc). Đại đa số thư viện bạn kéo về từ npm/PyPI/Maven/GitHub là có giấy phép, không phải public domain.

• Hiểu lầm 1 — "Miễn phí nên không có nghĩa vụ." Sai. Gần như mọi giấy phép OSS đều buộc giữ lại thông báo bản quyền và văn bản giấy phép; nhiều giấy phép còn buộc công khai mã nguồn.
• Hiểu lầm 2 — "Chỉ dùng nội bộ thì không sao." Đúng một phần: nghĩa vụ copyleft của GPL kích hoạt khi phân phối (distribute). Nhưng AGPL kích hoạt ngay cả khi bạn chỉ cung cấp qua mạng (chạy SaaS) — đây là bẫy phổ biến nhất.
• Hiểu lầm 3 — "Xoá header cho gọn code." Xoá dòng bản quyền/giấy phép trong file nguồn là vi phạm điều kiện license → chấm dứt quyền sử dụng.

2. Hai họ giấy phép: permissive vs copyleft

Hàng trăm giấy phép OSS có thể quy về hai họ theo mức độ ràng buộc. Hiểu đúng họ giấy phép giúp bạn biết một thư viện có thể "lây" nghĩa vụ mở mã sang sản phẩm thương mại của mình hay không.

Permissive (MIT, BSD-2/3, Apache-2.0): cho phép dùng trong sản phẩm đóng (proprietary), chỉ buộc giữ ghi công + văn bản giấy phép; Apache-2.0 thêm cấp quyền sáng chế rõ ràng và yêu cầu nêu thay đổi. Đây là họ "an toàn" cho doanh nghiệp.

Copyleft (GPL-2.0/3.0, LGPL, AGPL, MPL-2.0): nếu bạn phân phối sản phẩm có chứa/kết hợp mã copyleft, bạn có thể buộc phải phát hành mã nguồn phần liên quan theo cùng giấy phép. LGPL nới lỏng cho liên kết động; MPL copyleft ở mức từng file; AGPL mở rộng nghĩa vụ ra cả việc dùng qua mạng.

Xem Bảng 1 để so sánh nhanh, và Bảng 3 cho các tình huống dùng thực tế và nghĩa vụ tương ứng.

3. Vì sao vi phạm giấy phép OSS là chuyện pháp lý ở Việt Nam

Nhiều người nghĩ GPL/MIT là "luật nước ngoài" nên ở Việt Nam không sao. Thực tế ngược lại: giấy phép OSS chỉ là điều kiện của một quyền tác giả, mà quyền tác giả đối với chương trình máy tính được pháp luật Việt Nam bảo hộ trực tiếp.

Cơ chế pháp lý: chương trình máy tính là đối tượng quyền tác giả (Điều 22 Luật SHTT). Giấy phép OSS là sự cho phép có điều kiện của chủ sở hữu. Khi bạn không thực hiện điều kiện (không ghi công, không công khai mã theo copyleft…), phần cho phép tương ứng mất hiệu lực, và hành vi dùng tiếp trở thành sao chép/sử dụng bản sao chương trình máy tính không được phép — thuộc phạm vi điều chỉnh của Nghị định 341/2025/NĐ-CP.

Bảng 2 tổng hợp khung pháp lý cốt lõi (đã đối chiếu văn bản gốc). Lưu ý: khung tiền phạt là cho từng hành vi; tổng một vụ có thể cộng nhiều hành vi + biện pháp khắc phục nhưng không vượt trần 250 triệu (cá nhân)/500 triệu (tổ chức). Con số cụ thể do cơ quan có thẩm quyền quyết định — không tự suy diễn.

Ngoài chế tài hành chính, thực thi copyleft đã có tiền lệ trên thế giới (điển hình các vụ liên quan tới BusyBox tại Hoa Kỳ, và hoạt động của các tổ chức như Software Freedom Conservancy) — cho thấy chủ sở hữu OSS hoàn toàn có động lực và công cụ pháp lý để đòi tuân thủ.

4. Bạn dùng OSS kiểu nào? Bảng tra nghĩa vụ

Nghĩa vụ copyleft không phải lúc nào cũng kích hoạt. Điều quyết định là bạn phân phối hay chỉ dùng nội bộ, và có sửa đổi mã hay không. Bảng 3 tra nhanh các tình huống thường gặp ở doanh nghiệp Việt.

5. Quy trình 5 bước tuân thủ OSS cho doanh nghiệp

Tuân thủ OSS không cần công cụ đắt tiền, chỉ cần một quy trình lặp lại được. Năm bước dưới đây biến việc kiểm soát giấy phép thành thói quen vận hành thay vì một lần chữa cháy khi có sự cố.

• Bước 1 — Kiểm kê (SBOM). Sinh Software Bill of Materials cho mỗi sản phẩm: liệt kê mọi thư viện + phiên bản + giấy phép. Công cụ quét phụ thuộc/SCA giúp tự động hoá.
• Bước 2 — Phân loại rủi ro. Gắn nhãn mỗi thành phần: permissive (thấp), copyleft-yếu/LGPL/MPL (trung bình), GPL/AGPL (cao nếu có phân phối/SaaS).
• Bước 3 — Đặt chính sách. Quy định giấy phép nào được dùng tự do, giấy phép nào phải xin duyệt (đặc biệt AGPL trong sản phẩm SaaS đóng).
• Bước 4 — Thực hiện nghĩa vụ. Gộp file NOTICE/THIRD-PARTY-LICENSES kèm sản phẩm; giữ nguyên header bản quyền; chuẩn bị cơ chế cung cấp mã nguồn khi giấy phép yêu cầu.
• Bước 5 — Rà soát định kỳ. Mỗi lần thêm/nâng cấp phụ thuộc là một lần rủi ro giấy phép thay đổi — đưa kiểm tra license vào quy trình CI/CD.

6. Cảnh báo marketing: đừng "gièm pha" hay "so sánh" đối thủ về tuân thủ OSS

Khi doanh nghiệp bạn đã tuân thủ OSS tốt, sẽ có cám dỗ đem chuyện này ra marketing theo kiểu hạ bệ đối thủ ("đối thủ X đang vi phạm GPL", "sản phẩm Y ăn cắp mã nguồn mở"). Đây là vùng rủi ro pháp lý riêng, tách khỏi câu chuyện bản quyền.

Luật Cạnh tranh 2018 (Luật 23/2018/QH14), Điều 45 khoản 3 cấm cung cấp thông tin không trung thực về doanh nghiệp khác gây ảnh hưởng xấu đến uy tín, tình trạng tài chính hoặc hoạt động kinh doanh của họ (hành vi gièm pha). Điều 45 khoản 5 điểm b cấm so sánh hàng hoá, dịch vụ của mình với sản phẩm cùng loại của doanh nghiệp khác mà không chứng minh được nội dung.

Thông điệp an toàn: nói về tiêu chuẩn tuân thủ của chính mình (có SBOM, có NOTICE, có quy trình review license) và dẫn sự thật kiểm chứng được; không quy kết vi phạm cho một doanh nghiệp cụ thể khi chưa có căn cứ chứng minh.

Câu hỏi thường gặp

1. Phần mềm nguồn mở có thực sự "miễn phí" không? Miễn phí về giá tiền không có nghĩa là miễn nghĩa vụ. Bạn thường không trả tiền license, nhưng phải tuân thủ điều kiện: giữ ghi công, kèm văn bản giấy phép, và với copyleft là công khai mã nguồn khi phân phối. Không tuân thủ = mất quyền dùng.

2. Dùng thư viện GPL trong sản phẩm bán ra có bắt buộc mở mã nguồn không? Nếu bạn phân phối (bán/phát hành) một sản phẩm chứa hoặc là tác phẩm phái sinh từ mã GPL, GPL yêu cầu phát hành mã nguồn phần liên quan theo cùng giấy phép. Chỉ dùng nội bộ (không phân phối) thì nghĩa vụ này thường chưa kích hoạt — trừ AGPL.

3. AGPL khác GPL ở điểm gì mà nói là "bẫy SaaS"? AGPL mở rộng nghĩa vụ copyleft ra cả trường hợp bạn cung cấp phần mềm qua mạng (SaaS) chứ không chỉ khi phát hành bản cài. Nếu backend SaaS của bạn dùng phần mềm AGPL đã sửa đổi, bạn có thể phải cung cấp mã nguồn cho người dùng dịch vụ.

4. Xoá dòng bản quyền trong file để code "gọn" có sao không? Có. Gần như mọi giấy phép OSS buộc giữ lại thông báo bản quyền và văn bản giấy phép. Xoá đi là vi phạm điều kiện → chấm dứt quyền sử dụng → có thể bị coi là xâm phạm quyền tác giả.

5. Ở Việt Nam vi phạm giấy phép OSS bị xử lý theo luật nào? Chương trình máy tính được bảo hộ quyền tác giả (Điều 22 Luật SHTT). Vi phạm điều kiện giấy phép = sử dụng vượt phạm vi cho phép, có thể bị xử phạt vi phạm hành chính theo Nghị định 341/2025/NĐ-CP (tối đa 250 triệu cá nhân / 500 triệu tổ chức), ngoài ra còn rủi ro dân sự.

6. Làm sao biết mình đang dùng OSS giấy phép gì? Lập SBOM (Software Bill of Materials) bằng công cụ quét phụ thuộc/SCA; đưa kiểm tra giấy phép vào CI/CD để mỗi lần thêm/nâng cấp thư viện đều được rà soát tự động.

*Bài viết mang tính tham khảo, không thay thế tư vấn pháp lý. Vui lòng đối chiếu văn bản gốc (cov.gov.vn, vanban.chinhphu.vn) hoặc tham vấn luật sư sở hữu trí tuệ trước khi ra quyết định.*

Kết luận

Nguồn mở là đòn bẩy tuyệt vời cho tốc độ và chi phí — nhưng nó đi kèm hợp đồng. Chi phí tuân thủ (một SBOM, một file NOTICE, một chính sách duyệt AGPL) là rất nhỏ so với rủi ro buộc công khai mã sản phẩm thương mại hoặc bị xử phạt quyền tác giả.

Bắt đầu từ việc đơn giản nhất hôm nay: bạn có biết sản phẩm của mình đang dùng bao nhiêu thư viện OSS và giấy phép gì không? Nếu chưa trả lời được, đó chính là rủi ro đầu tiên cần đóng.