EU AI Act — Quy định (EU) 2024/1689 về trí tuệ nhân tạo — là đạo luật toàn diện đầu tiên trên thế giới điều chỉnh AI theo mức độ rủi ro. Luật chia hệ thống AI thành bốn nhóm: rủi ro không chấp nhận được (bị cấm), rủi ro cao (nghĩa vụ nặng trước và sau khi đưa ra thị trường), rủi ro hạn chế (nghĩa vụ minh bạch) và rủi ro tối thiểu (gần như không có nghĩa vụ bắt buộc). Luật có hiệu lực từ 1/8/2024 và áp dụng dần theo từng giai đoạn.
Doanh nghiệp Việt Nam không có pháp nhân ở châu Âu vẫn có thể thuộc phạm vi điều chỉnh, nếu đưa hệ thống AI vào thị trường EU hoặc đầu ra của hệ thống được sử dụng tại EU. Nhóm cần quan tâm nhất: công ty phần mềm gia công cho khách châu Âu, nhà sản xuất xuất khẩu sản phẩm có tích hợp AI, và nhà cung cấp công cụ nhân sự, tài chính có khách ở EU. Bài viết tóm tắt nguyên lý để bạn rà soát; nghĩa vụ cụ thể phải đối chiếu văn bản chính thức và tư vấn pháp lý.
Mốc áp dụng theo giai đoạn
Luật không áp dụng cùng lúc mà theo lộ trình. Các mốc chính theo văn bản ban hành năm 2024:
- 1/8/2024: luật có hiệu lực.
- 2/2/2025: áp dụng các điều cấm và nghĩa vụ bảo đảm hiểu biết về AI (AI literacy) cho nhân sự của nhà cung cấp và bên triển khai.
- 2/8/2025: áp dụng nghĩa vụ với mô hình AI đa dụng (general-purpose AI), cơ cấu quản trị và chế tài.
- 2/8/2026: áp dụng phần lớn các quy định còn lại, gồm nghĩa vụ với hệ thống rủi ro cao thuộc các lĩnh vực liệt kê ở Phụ lục III và nghĩa vụ minh bạch.
- 2/8/2027: áp dụng với hệ thống rủi ro cao là thành phần an toàn của sản phẩm đã chịu luật hài hoà của EU (máy móc, thiết bị y tế, đồ chơi…).
Cuối năm 2025, Uỷ ban châu Âu đã đề xuất một gói điều chỉnh có thể lùi một số mốc nghĩa vụ cho hệ thống rủi ro cao, gắn với việc sẵn sàng tiêu chuẩn hài hoà. Vì vậy trước khi lập kế hoạch tuân thủ, hãy kiểm tra văn bản hợp nhất mới nhất trên cổng pháp luật chính thức của EU thay vì dựa vào mốc trong các bài tổng hợp cũ, kể cả bài này.
Bốn mức rủi ro và nghĩa vụ tương ứng
Phân loại phụ thuộc mục đích sử dụng của hệ thống, không phụ thuộc công nghệ bên trong. Cùng một mô hình ngôn ngữ có thể ở mức tối thiểu khi viết nháp email và ở mức cao khi dùng để chấm điểm ứng viên.
| Mức | Ví dụ điển hình | Hệ quả pháp lý chính |
|---|---|---|
| Không chấp nhận được | Chấm điểm xã hội; thao túng hành vi gây hại; khai thác điểm yếu của người dễ tổn thương; thu thập ảnh khuôn mặt tràn lan để lập cơ sở dữ liệu; nhận diện cảm xúc ở nơi làm việc và trường học (trừ lý do y tế, an toàn) | Cấm đưa ra thị trường và sử dụng |
| Rủi ro cao | AI trong tuyển dụng và quản lý lao động; đánh giá tín dụng cá nhân; giáo dục (chấm thi, xét tuyển); hạ tầng trọng yếu; sinh trắc học; thành phần an toàn của sản phẩm được quản lý | Hệ thống quản lý rủi ro, quản trị dữ liệu, hồ sơ kỹ thuật, ghi nhật ký, giám sát của con người, độ chính xác và an ninh mạng, đánh giá sự phù hợp, đăng ký |
| Rủi ro hạn chế | Chatbot giao tiếp với người; nội dung tổng hợp như ảnh, âm thanh, video giả lập người thật | Thông báo cho người dùng biết đang tương tác với AI; đánh dấu nội dung do AI tạo |
| Rủi ro tối thiểu | Lọc thư rác, gợi ý trong trò chơi, tối ưu tồn kho | Không có nghĩa vụ bắt buộc riêng; khuyến khích bộ quy tắc tự nguyện |
Mức phạt cao nhất áp cho vi phạm điều cấm, có thể tới 7% doanh thu toàn cầu hằng năm hoặc một khoản cố định lớn, tuỳ mức nào cao hơn; các vi phạm khác có trần thấp hơn. Con số này khiến bộ phận pháp chế của khách hàng châu Âu rất thận trọng, và sự thận trọng đó sẽ được chuyển xuống nhà cung cấp qua hợp đồng.
Nhà cung cấp, bên triển khai và những vai khác
Nhà cung cấp (provider). Bên phát triển hệ thống AI, hoặc đặt người khác phát triển, rồi đưa ra thị trường hay đưa vào sử dụng dưới tên hoặc nhãn hiệu của mình. Gánh phần lớn nghĩa vụ với hệ thống rủi ro cao: hồ sơ kỹ thuật, đánh giá sự phù hợp, hệ thống quản lý chất lượng, giám sát sau khi đưa ra thị trường.
Bên triển khai (deployer). Tổ chức sử dụng hệ thống AI trong hoạt động nghề nghiệp. Với hệ thống rủi ro cao, phải dùng đúng hướng dẫn, giao người đủ năng lực giám sát, lưu nhật ký trong phạm vi kiểm soát, thông báo cho người lao động khi dùng AI tại nơi làm việc; một số bên triển khai như cơ quan công quyền hay tổ chức đánh giá tín dụng phải đánh giá tác động đến quyền cơ bản.
Nhà nhập khẩu, nhà phân phối, đại diện được uỷ quyền. Nhà cung cấp ngoài EU đưa hệ thống rủi ro cao vào thị trường phải chỉ định đại diện được uỷ quyền tại EU. Nhà nhập khẩu và phân phối phải kiểm tra hệ thống đã có dấu phù hợp và hồ sơ cần thiết.
Khi nào bên triển khai trở thành nhà cung cấp. Nếu bạn gắn tên mình lên một hệ thống rủi ro cao, sửa đổi đáng kể nó, hoặc đổi mục đích sử dụng khiến nó trở thành rủi ro cao, bạn có thể bị coi là nhà cung cấp và gánh nghĩa vụ tương ứng. Đây là bẫy với các công ty "đóng gói lại" mô hình của bên khác.
Doanh nghiệp Việt Nam rơi vào phạm vi luật như thế nào
Điều khoản phạm vi của luật nhắm vào thị trường chứ không nhắm vào quốc tịch. Ba tình huống phổ biến với doanh nghiệp Việt Nam: một là công ty phần mềm phát triển sản phẩm AI mang thương hiệu riêng và bán cho khách châu Âu — khi đó công ty là nhà cung cấp. Hai là công ty gia công phát triển hệ thống theo đặt hàng, khách châu Âu đưa ra thị trường dưới tên họ — khách là nhà cung cấp, nhưng hợp đồng sẽ đòi bên gia công cung cấp hồ sơ kỹ thuật, dữ liệu kiểm thử, hỗ trợ đánh giá sự phù hợp. Ba là nhà sản xuất xuất khẩu máy móc, thiết bị có thành phần AI đảm nhiệm chức năng an toàn — khi đó luật AI cộng thêm vào các quy định sản phẩm sẵn có.
Ngoài ra, nếu một hệ thống đặt tại Việt Nam tạo ra đầu ra được sử dụng ở EU — ví dụ dịch vụ chấm điểm hồ sơ ứng viên cho một công ty châu Âu — luật cũng có thể áp dụng. Ngược lại, công cụ AI chỉ phục vụ hoạt động nội bộ ở Việt Nam, không liên quan thị trường EU, thì không thuộc phạm vi.
Ngay cả khi không trực tiếp chịu luật, tác động gián tiếp là có thật: khách hàng châu Âu sẽ đưa yêu cầu về minh bạch dữ liệu huấn luyện, nhật ký, khả năng giải thích và quyền kiểm toán vào hợp đồng. Doanh nghiệp chuẩn bị sớm sẽ có lợi thế khi đấu thầu.
Rà soát nhanh trong một tháng
Không cần chờ đủ hướng dẫn chi tiết mới bắt đầu. Một đợt rà soát gọn có thể làm như sau:
- Lập danh mục hệ thống AI đang phát triển, bán hoặc dùng, ghi rõ mục đích sử dụng, khách hàng và thị trường liên quan.
- Xác định vai trò của công ty với từng hệ thống: nhà cung cấp, bên triển khai, bên gia công cho nhà cung cấp, hay ngoài phạm vi.
- Sơ bộ phân loại mức rủi ro dựa trên mục đích sử dụng, đánh dấu ngay những hệ thống có thể thuộc điều cấm hoặc lĩnh vực rủi ro cao.
- Kiểm tra nghĩa vụ đã áp dụng: điều cấm và nghĩa vụ hiểu biết về AI đã có hiệu lực, nên xác nhận không có hệ thống nào vướng điều cấm và đã có chương trình đào tạo nhân sự phù hợp.
- Rà hợp đồng với khách châu Âu để biết những cam kết tuân thủ đã ký hoặc sắp bị yêu cầu.
- Lập kế hoạch khoảng trống cho các hệ thống rủi ro cao: hồ sơ kỹ thuật, quản trị dữ liệu, nhật ký, cơ chế giám sát của con người, quản lý chất lượng.
Các hệ thống quản lý sẵn có như ISO 9001, ISO/IEC 27001 hay ISO/IEC 42001 giúp đáp ứng phần lớn yêu cầu về quy trình. Tuy nhiên chứng nhận tiêu chuẩn không thay thế đánh giá sự phù hợp theo luật.
Hiểu lầm thường gặp
"Luật chỉ dành cho các hãng AI lớn". Nghĩa vụ với mô hình đa dụng nhắm vào nhà phát triển mô hình nền, nhưng nghĩa vụ với hệ thống rủi ro cao áp dụng cho bất kỳ ai đưa hệ thống đó ra thị trường, kể cả công ty nhỏ làm phần mềm tuyển dụng.
"Dùng mô hình của hãng lớn thì hãng lo tuân thủ". Hãng chịu nghĩa vụ ở tầng mô hình. Ứng dụng bạn xây trên đó, với mục đích sử dụng cụ thể, thuộc trách nhiệm của bạn nếu bạn là nhà cung cấp hệ thống.
"Gắn nhãn AI là đủ minh bạch". Nghĩa vụ minh bạch là một phần; hệ thống rủi ro cao còn cần hướng dẫn sử dụng nêu rõ khả năng, giới hạn, mức chính xác dự kiến và cách giám sát của con người.
"Việt Nam không thuộc EU nên không liên quan". Phạm vi luật dựa trên thị trường và nơi đầu ra được sử dụng. Đồng thời Việt Nam cũng đang xây dựng khung pháp lý về AI theo hướng quản lý theo rủi ro, nên tư duy phân loại này sẽ có ích cả ở trong nước; hãy theo dõi văn bản hiện hành.
Nghĩa vụ với hệ thống rủi ro cao, diễn giải cho đội sản phẩm
Văn bản luật viết theo ngôn ngữ pháp lý; dưới đây là cách hiểu ở mức nguyên lý để đội sản phẩm và kỹ thuật biết mình phải chuẩn bị gì. Chi tiết và ngoại lệ phải đối chiếu văn bản gốc và tiêu chuẩn hài hoà khi được ban hành:
- Hệ thống quản lý rủi ro xuyên suốt vòng đời: nhận diện rủi ro với sức khoẻ, an toàn, quyền cơ bản; có biện pháp giảm thiểu; kiểm thử trước khi đưa ra thị trường; cập nhật khi có thông tin mới.
- Quản trị dữ liệu: dữ liệu huấn luyện, kiểm chứng, kiểm thử phải phù hợp mục đích, có tính đại diện ở mức hợp lý, được xem xét thiên lệch có thể có; nguồn gốc và cách chuẩn bị phải được ghi lại.
- Hồ sơ kỹ thuật: mô tả hệ thống, mục đích, kiến trúc, dữ liệu, phương pháp kiểm thử, chỉ số hiệu năng — đủ để cơ quan có thẩm quyền đánh giá sự phù hợp.
- Ghi nhật ký tự động: hệ thống phải có khả năng ghi lại sự kiện trong vận hành để truy vết khi có sự cố.
- Minh bạch với bên triển khai: hướng dẫn sử dụng nêu rõ khả năng, giới hạn, mức chính xác dự kiến, điều kiện có thể dẫn tới sai, cách giám sát.
- Giám sát của con người: thiết kế để người giám sát hiểu đầu ra, nhận ra khi hệ thống bất thường, có thể bỏ qua hoặc dừng hệ thống; tránh tình trạng người giám sát chỉ bấm duyệt theo thói quen.
- Độ chính xác, độ bền vững và an ninh mạng ở mức phù hợp mục đích, kể cả trước các nỗ lực thao túng dữ liệu hoặc đầu vào.
- Sau khi đưa ra thị trường: giám sát hiệu năng thực tế, báo cáo sự cố nghiêm trọng cho cơ quan có thẩm quyền.
Nhiều yêu cầu trên trùng với thực hành kỹ thuật tốt mà một đội làm AI nghiêm túc vốn nên có: tập kiểm thử, nhật ký, theo dõi trôi dạt dữ liệu, tài liệu hoá. Khác biệt là luật biến chúng thành bằng chứng phải xuất trình được.
Câu hỏi thường gặp
Chatbot chăm sóc khách hàng cho khách châu Âu có phải hệ thống rủi ro cao không?
Thông thường không. Chatbot giao tiếp với người thuộc nhóm có nghĩa vụ minh bạch: người dùng phải được biết họ đang nói chuyện với AI, trừ khi điều đó đã hiển nhiên. Nếu chatbot được dùng để ra quyết định trong lĩnh vực rủi ro cao như xét tín dụng hay tuyển dụng thì phân loại sẽ khác.
Nghĩa vụ hiểu biết về AI yêu cầu cụ thể gì?
Luật yêu cầu nhà cung cấp và bên triển khai thực hiện biện pháp để nhân sự làm việc với hệ thống AI có mức hiểu biết đủ, phù hợp kiến thức kỹ thuật, kinh nghiệm và bối cảnh sử dụng. Luật không quy định một chứng chỉ cụ thể; cách làm hợp lý là đào tạo theo vai trò và lưu hồ sơ đào tạo.
Mô hình trọng số mở có được miễn trừ không?
Luật có một số miễn trừ cho mô hình đa dụng phát hành theo giấy phép tự do và mở, nhưng miễn trừ không áp dụng cho mô hình có rủi ro hệ thống và không miễn nghĩa vụ của người xây hệ thống rủi ro cao trên mô hình đó. Doanh nghiệp dùng mô hình mở để làm sản phẩm vẫn phải tự đánh giá nghĩa vụ của mình.
Công ty gia công phần mềm có phải tự làm đánh giá sự phù hợp không?
Nếu khách hàng châu Âu là bên đưa hệ thống ra thị trường dưới tên họ, khách hàng là nhà cung cấp và chịu trách nhiệm đánh giá. Bên gia công thường phải cung cấp tài liệu, dữ liệu và hỗ trợ theo hợp đồng. Hãy làm rõ phân vai bằng văn bản ngay từ khi ký, vì phân vai mơ hồ dễ dẫn tới tranh chấp trách nhiệm.
Luật AI của EU quan hệ thế nào với GDPR?
Hai văn bản áp dụng song song. GDPR điều chỉnh việc xử lý dữ liệu cá nhân, kể cả dữ liệu dùng để huấn luyện và vận hành AI. Luật AI điều chỉnh an toàn và quyền cơ bản liên quan đến hệ thống AI. Một hệ thống chấm điểm ứng viên có thể phải đáp ứng cả hai bộ nghĩa vụ cùng lúc.
Nên bắt đầu từ đâu nếu chưa có ai chuyên về luật AI?
Bắt đầu bằng danh mục hệ thống AI và phân vai, vì đó là việc nội bộ tự làm được. Sau đó dùng danh mục để hỏi tư vấn pháp lý có kinh nghiệm luật EU những câu cụ thể. Đi tư vấn khi chưa có danh mục thường tốn tiền cho những câu trả lời chung chung.