EU AI Act là quy định pháp lý toàn diện đầu tiên trên thế giới về trí tuệ nhân tạo, có hiệu lực từ tháng 8/2026. Các doanh nghiệp phát triển, triển khai hoặc sử dụng AI tại EU (và doanh nghiệp ngoài EU phục vụ thị trường EU) phải tuân thủ hoặc đối mặt phạt lên đến 7% doanh thu toàn cầu. Đây là bước ngoặt quan trọng cho ngành AI toàn cầu.
EU AI Act là gì? Bối cảnh và mục đích
AI Act (Regulation (EU) 2024/1689) được thông qua tháng 3/2024, công bố tháng 7/2024, có hiệu lực từ 2/8/2026. Quy định này áp dụng phương pháp risk-based approach — phân loại hệ thống AI theo mức độ rủi ro và áp dụng yêu cầu phù hợp. Mục tiêu kép: bảo vệ quyền cơ bản, an ninh, pháp luật EU; và thúc đẩy đổi mới AI tin cậy.
4 cấp độ rủi ro trong AI Act
1. Unacceptable Risk (Rủi ro không chấp nhận được) — CẤM
Các hệ thống AI đe dọa an toàn, quyền cơ bản. Cấm triển khai tại EU:
- Social scoring (chấm điểm xã hội) bởi chính phủ.
- Manipulative AI: kỹ thuật subliminal, khai thác điểm yếu nhóm dễ bị tổn thương.
- Real-time biometric identification ở không gian công (trừ ngoại lệ hẹp: tìm người mất tích, chống khủng bố).
- Emotion recognition tại nơi làm việc, trường học.
- Predictive policing đơn lẻ.
2. High Risk (Rủi ro cao) — QUY TRÌNH KHNG KHẨU
Hệ thống AI trong các lĩnh vực nhạy cảm, phải đáp ứng yêu cầu khắt khe:
| Lĩnh vực | Ví dụ hệ thống High-Risk |
|---|---|
| Y tế | Chẩn đoán hình ảnh, therapy planning, medical devices AI-embedded |
| Tài chính | Credit scoring, fraud detection, algorithmic trading |
| Tuyển dụng/HR | CV screening, phỏng vấn AI, promotion algorithms |
| Giáo dục | Admission scoring, proctoring, adaptive learning |
| Cơ sở hạ tầng | Traffic management, water/electricity grid control |
| Pháp luật | Legal outcome prediction, sentencing support |
Yêu cầu bắt buộc cho High-Risk AI:
- Hệ thống quản lý rủi ro (Risk Management System) suốt vòng đời.
- Data governance: training data phải relevant, representative, free từ bias.
- Technical documentation + record-keeping (logging) tự động.
- Transparency: cung cấp thông tin cho deployer và người chịu ảnh hưởng.
- Human oversight: con người phải có thể can thiệp, override.
- Accuracy, robustness, cybersecurity được kiểm tra độc lập.
- Conformity assessment (đánh giá sự tuân thủ) trước khi đưa ra thị trường.
- Đăng ký cơ sở dữ liệu EU (EU Database for High-Risk AI Systems).
3. Limited Risk (Rủi ro hạn chế) — TRONG SUỐT
Hệ thống AI tương tác trực tiếp với con người (chatbot, deepfake generator, emotion recognition). Yêu cầu: phải thông báo rõ ràng cho người dùng biết họ đang tương tác với AI. Ví dụ: “This content is AI-generated”.
4. Minimal Risk (Rủi ro tối thiểu) — TỰ QUY
Phần lớn ứng dụng AI: spam filter, recommendation engine, game AI, inventory optimization. Không có yêu cầu bắt buộc, khuyến khích code of conduct tự nguyện.
General Purpose AI (GPAI) — Quy định riêng
Foundation models (GPT-4, Llama, Gemini, Claude) thuộc nhóm GPAI. Có 2 phân loại:
- GPAI standard: Transparency obligations (training data summary, copyright policy, technical documentation).
- GPAI with systemic risk (training compute > 10^25 FLOPs): thêm model evaluation, adversarial testing, incident reporting, cybersecurity, energy efficiency reporting. Hiện tại: GPT-4, Gemini Ultra, Claude 3 Opus có thể rơi vào nhóm này.
Timeline tuân thủ quan trọng
| Mốc thời gian | Yêu cầu |
|---|---|
| 2/2/2025 | Cấm Unacceptable Risk AI systems |
| 2/8/2025 | GPAI transparency obligations |
| 2/8/2026 | Hiệu lực đầy đủ (High-Risk requirements, conformity assessment) |
| 2/8/2027 | High-Risk AI đã trên thị trường trước 2/8/2026 phải tuân thủ |
Phạt vi phạm
- Unacceptable AI / Data governance violations: 35 triệu EUR hoặc 7% global turnover (cao hơn GDPR).
- High-Risk AI non-compliance: 15 triệu EUR hoặc 3% turnover.
- GPAI violations: 15 triệu EUR hoặc 3% turnover.
- Sai thông tin cho authorities: 7.5 triệu EUR hoặc 1% turnover.
Ảnh hưởng đến doanh nghiệp Việt Nam
Doanh nghiệp Việt xuất khẩu phần mềm/AI sang EU, hoặc cung cấp SaaS AI cho khách EU phải tuân thủ. Các bước thực tế:
- Inventory: liệt kê tất cả hệ thống AI đang dùng/phát triển.
- Risk classification: xếp từng hệ thống vào 4 cấp độ rủi ro.
- Gap analysis: so sánh hiện trạng với yêu cầu AI Act.
- Implement: risk management, data governance, documentation, human oversight.
- Conformity assessment: tự đánh giá (internal) hoặc notified body (external) tùy loại.
- Đăng ký EU database (nếu High-Risk).
Kết luận
EU AI Act thiết lập tiêu chuẩn vàng cho AI governance toàn cầu. Giống như GDPR năm 2018, nó sẽ tạo hiệu ứng lan truyền (Brussels Effect) — các quốc gia khác (Canada, Brazil, Singapore, Việt Nam) đang nghiên cứu quy định tương tự. Doanh nghiệp chủ động tuân thủ sớm sẽ có lợi thế cạnh tranh, tránh rủi ro pháp lý và xây dựng niềm tin với khách hàng.
