Nếu sống tại Liên minh Châu Âu và sử dụng các sản phẩm hoặc dịch vụ tích hợp AI cho mục đích cá nhân hoặc công việc, Đạo luật AI của EU có thể sẽ ảnh hưởng theo một cách nào đó.

Có thể đã thấy một trong những tác động của đạo luật này: nhãn hoặc thông tin tiết lộ chỉ ra rằng hình ảnh, video, đoạn âm thanh hoặc nội dung khác được tạo hoặc thao túng bằng AI trên các nền tảng như Instagram hoặc TikTok(cửa sổ mới). Các quy định này bắt đầu áp dụng từ tháng Tám năm 2026 như một phần của các quy tắc minh bạch trong Đạo luật AI của EU, và là một phần của một bộ luật rộng lớn hơn đang được triển khai theo từng giai đoạn.

Đạo luật AI của EU cũng cấm một số hành vi sử dụng AI nhất định, đưa ra các yêu cầu nghiêm ngặt đối với các hệ thống được coi là có rủi ro cao, đồng thời thiết lập quy tắc cho các công ty phát triển, cung cấp hoặc sử dụng AI, với các điều khoản khác nhau có hiệu lực vào những thời điểm khác nhau.

Vậy chính xác Đạo luật AI của EU là gì, áp dụng cho những hệ thống AI nào và có ý nghĩa gì đối với cá nhân hoặc doanh nghiệp? Dưới đây là những điều cần biết.

Đạo luật AI của EU là gì?

Đạo luật AI của EU là luật của Liên minh Châu Âu nhằm quản lý trí tuệ nhân tạo. Tên gọi chính thức là Quy định (EU) 2024/1689, mục tiêu là làm cho AI an toàn hơn, minh bạch hơn, đáng tin cậy và lấy con người làm trung tâm, đồng thời bảo vệ các quyền cơ bản và cho phép đổi mới sáng tạo cũng như áp dụng AI tại EU.

Nói một cách đơn giản, có thể coi Đạo luật AI của EU như GDPR dành cho AI, mặc dù hai đạo luật này quản lý các đối tượng khác nhau: GDPR chủ yếu điều chỉnh cách thu thập và xử lý dữ liệu cá nhân, trong khi Đạo luật AI của EU điều chỉnh cách các hệ thống AI được phát triển, cung cấp, triển khai và sử dụng, đặc biệt khi chúng có thể ảnh hưởng đến quyền lợi, sự an toàn hoặc các quyết định quan trọng trong cuộc sống của con người.

Cách xử lý rủi ro AI theo Đạo luật Trí tuệ Nhân tạo của EU

Thay vì quản lý tất cả AI theo cùng một cách, Đạo luật AI của EU áp dụng phương pháp tiếp cận dựa trên rủi ro, có thể phân thành bốn cấp độ:

  • Không thể chấp nhận (bị cấm)
  • Rủi ro cao
  • Rủi ro hạn chế (minh bạch)
  • Rủi ro thấp hoặc không có rủi ro

Tám lệnh cấm đầu tiên có hiệu lực vào tháng Hai năm 2025, trong khi lệnh cấm cuối cùng có hiệu lực vào tháng Mười hai năm 2026.

Nhìn chung, tác hại tiềm ẩn mà một hệ thống AI có thể gây ra càng lớn thì các quy định càng nghiêm ngặt. Luật không định nghĩa một cách chính thức bốn “cấp độ rủi ro”, nhưng các quy định thường được nhóm thành bốn danh mục rộng để dễ hiểu hơn.

Các ví dụ thực tế dưới đây không phải là các vụ việc được xử lý theo Đạo luật AI của EU. Thay vào đó, chúng minh họa cho các loại tác hại hoặc hành vi sử dụng mà luật AI được thiết kế để ngăn chặn, hạn chế hoặc quản lý tại EU.

AI có rủi ro không thể chấp nhận

Một số hành vi sử dụng AI được coi là về bản chất không thể chấp nhận được thay vì là điều có thể quản lý thông qua giảm thiểu rủi ro, tài liệu hướng dẫn hoặc giám sát. Dưới đây là những gì bị cấm:

Thao túng và lừa dối

AI thao túng hoặc lừa dối mọi người đưa ra các quyết định có hại mà họ sẽ không đưa ra nếu không bị ảnh hưởng.

Một người đàn ông Bỉ đã tự tử vào năm 2023(cửa sổ mới) sau khi một chatbot AI khuyến khích và phản chiếu cảm xúc của ông trong nhiều tuần.

Lợi dụng những người dễ bị tổn thương

AI lợi dụng mọi người vì lý do tuổi tác, khuyết tật, hoặc hoàn cảnh xã hội hay kinh tế.

Nền tảng chatbot Character.AI và Google đã đồng ý vào tháng Một năm 2026 về việc dàn xếp các vụ kiện(cửa sổ mới) liên quan đến tác hại gây ra cho thanh thiếu niên, bao gồm một vụ kiện từ một người mẹ có con trai tuổi teen tự tử sau khi nảy sinh sự gắn bó cảm xúc sâu sắc với một chatbot đã khuyến khích cậu “trở về nhà” với nó.

Chấm điểm xã hội

AI xếp hạng mọi người dựa trên hành vi hoặc đặc điểm cá nhân của họ và sử dụng các điểm số đó để đối xử bất công với họ.

Hệ thống tín dụng xã hội của Trung Quốc đã được sử dụng để cấm những công dân có điểm số thấp mua vé máy bay hoặc vé tàu. Vào năm 2021, Trung Quốc đã ký một cam kết không ràng buộc của LHQ(cửa sổ mới) để chấm dứt việc chấm điểm xã hội, nhưng kể từ đó chỉ tiếp tục mở rộng hệ thống này và không rõ có bao nhiêu phần trong đó vẫn chạy bằng AI.

Dự đoán tội phạm

AI dự đoán liệu ai đó có phạm tội hay không chỉ dựa trên việc lập hồ sơ hoặc đặc điểm nhân cách. Các hành vi sử dụng AI khác trong cơ quan thực thi pháp luật, như đánh giá chứng cứ hoặc đánh giá rủi ro dựa trên thực tế có thể kiểm chứng, là có rủi ro cao nhưng không bị cấm.

In December 2025, Dutch police discontinued CAS(cửa sổ mới), an algorithm used since 2017 to predict where crime was likely to happen, after an audit found reinforced bias caused by historical over-policing of certain neighborhoods.

Cơ sở dữ liệu nhận dạng khuôn mặt

AI thu thập hình ảnh một cách bừa bãi từ internet hoặc dữ liệu CCTV để xây dựng cơ sở dữ liệu nhận dạng khuôn mặt.

Công ty Clearview AI của Mỹ đã thu thập hàng tỷ bức ảnh trực tuyến (bao gồm nhiều bức ảnh của công dân EU) cho các cơ quan thực thi pháp luật và cơ quan chính phủ và đã bị các cơ quan quản lý EU phạt hàng chục triệu euro(cửa sổ mới).

Nhận dạng cảm xúc

AI cố gắng suy đoán cảm xúc của nhân viên hoặc học sinh tại nơi làm việc hoặc trường học, ngoại trừ lý do y tế hoặc an toàn chính đáng. Nhận dạng cảm xúc bên ngoài hai cài đặt đó thuộc các quy tắc rủi ro cao thay vì bị cấm.

Vào năm 2018, một trường trung học cơ sở ở Hàng Châu, Trung Quốc đã lắp đặt camera trong lớp học(cửa sổ mới) để quét khuôn mặt học sinh nhằm đo lường mức độ chú ý và tập trung của các em, điều này đã dấy lên cuộc tranh luận toàn quốc về việc giám sát trẻ em. Chương trình đó được cho là đã tạm dừng sau làn sóng phản đối, nhưng hoạt động giám sát tương tự sớm lan sang các trường học khác.

Đến năm 2022, một số nơi đã chuyển sang dùng băng đeo đầu đo sóng não, với việc giám sát mở rộng sang học từ xa và theo dõi bài tập về nhà trong kỳ nghỉ hè(cửa sổ mới).

Lập hồ sơ sinh trắc học nhạy cảm

AI sử dụng dữ liệu sinh trắc học để suy đoán các đặc điểm như chủng tộc, quan điểm chính trị, tư cách thành viên công đoàn, tôn giáo, đời sống tình dục hoặc xu hướng tính dục. Phân loại sinh trắc học cho các mục đích khác là có rủi ro cao, không bị cấm.

Vào năm 2025, Đại hội Duy Ngô Nhĩ Thế giới đã khởi kiện(cửa sổ mới) Hikvision, Huawei và Dahua tại Pháp, cáo buộc công nghệ nhận dạng khuôn mặt đã giúp nhận diện và đàn áp người Duy Ngô Nhĩ.

Nhận dạng khuôn mặt trực tiếp của cảnh sát

Nhận dạng khuôn mặt theo thời gian thực được lực lượng thực thi pháp luật sử dụng ở nơi công cộng, ngoại trừ một số ít trường hợp được kiểm soát chặt chẽ, chẳng hạn như tìm kiếm người mất tích hoặc bị bắt bớ, ngăn chặn mối đe dọa sắp xảy ra hoặc xác định vị trí nghi phạm trong các vụ án nghiêm trọng. Nhận dạng khuôn mặt không theo thời gian thực, không ở nơi công cộng hoặc không do lực lượng thực thi pháp luật sử dụng là có rủi ro cao thay vì bị cấm.

Vào năm 2025, Hungary đã cấm các sự kiện LGBTQ Pride và thông qua luật cho phép cảnh sát sử dụng tính năng nhận dạng khuôn mặt trực tiếp để xác định người tham dự. Các nhóm tự do dân sự đã phản đối luật này(cửa sổ mới), cho rằng luật vi phạm trực tiếp Điều 5 của Đạo luật AI của EU. Vào tháng Tư năm 2026, tòa án tối cao của EU đã phán quyết Hungary vi phạm các quyền cơ bản của người LGBTQ; các cáo buộc chống lại người tổ chức Pride đã được bãi bỏ và việc thay đổi chính phủ trong cùng tháng đó đã thu hồi lệnh cấm.

Lạm dụng tình dục và nội dung thân mật không có sự đồng thuận

Các hệ thống AI tạo ra tài liệu lạm dụng tình dục trẻ em (CSAM), hoặc tạo ra hay thao túng hình ảnh miêu tả khiêu dâm hoặc thân mật về những người thực, có thể định danh mà không có sự đồng thuận của họ.

Grok, chatbot AI được tích hợp vào X, từng có “chế độ nhạy cảm” tạo ra các hình ảnh deepfake gợi dục về người thật, bao gồm cả trẻ em, tạo ra hơn 4,4 triệu hình ảnh chỉ trong hơn 9 ngày. Vào tháng 1 năm 2026, các chưởng lý bang của Mỹ đã yêu cầu xAI loại bỏ tính năng này, và nhiều vụ kiện đã diễn ra sau đó(cửa sổ mới).

AI có rủi ro cao

Các hệ thống AI có rủi ro cao được phép xuất hiện trên thị trường EU miễn là nhà cung cấp đáp ứng một bộ nghĩa vụ khắt khe. Một hệ thống AI được coi là có rủi ro cao theo một trong hai cách:

  1. It is a product or the safety component of a product already covered by EU product-safety law and subject to a third-party conformity assessment, such as medical devices, machinery, lifts, or toys. These systems are classified as high-risk under Article 6(1) and Annex I, and become subject to the high-risk obligations starting in August 2028.
  2. Đó là hệ thống thuộc một trong các danh mục trường hợp sử dụng cụ thể được liệt kê trong Điều 6(2) và Phụ lục III. Các nghĩa vụ đối với nhóm này bắt đầu từ tháng Mười hai năm 2027 và bao gồm những điều sau:

Sinh trắc học

Danh mục này bao gồm nhận dạng sinh trắc học từ xa không theo thời gian thực, không ở nơi công cộng hoặc không do lực lượng thực thi pháp luật sử dụng, phân loại sinh trắc học cho các mục đích khác ngoài việc suy đoán các đặc điểm nhạy cảm bị cấm ở trên, và nhận dạng cảm xúc bên ngoài bối cảnh nơi làm việc hoặc giáo dục (điều này không bao gồm xác minh sinh trắc học cơ bản, như mở khóa điện thoại bằng khuôn mặt).

Một trường trung học ở Thụy Điển đã thử nghiệm nhận dạng khuôn mặt để theo dõi điểm danh của học sinh vào năm 2019. Cơ quan bảo vệ dữ liệu của Thụy Điển đã phạt nhà trường(cửa sổ mới), phán quyết rằng học sinh không thể đưa ra sự đồng ý hợp lệ vì sự phụ thuộc của họ vào nhà trường.

Hạ tầng thiết yếu

AI quản lý hạ tầng kỹ thuật số, lưu lượng giao thông đường bộ hoặc việc cung cấp nước, khí đốt, sưởi ấm hoặc điện được coi là có rủi ro cao.

Vào tháng 8 năm 2024, Praha đã triển khai một hệ thống điều khiển lưu lượng giao thông bằng AI(cửa sổ mới) nhằm điều chỉnh thời gian đèn giao thông theo thời gian thực dựa trên điều kiện hiện tại và ưu tiên phương tiện giao thông công cộng cũng như xe cấp cứu. Đây là một trong những đợt triển khai quy mô lớn đầu tiên thuộc loại này tại Châu Âu.

Giáo dục và đào tạo nghề

AI quyết định ai được vào trường học hoặc chương trình đào tạo, chấm điểm, đánh giá trình độ giáo dục phù hợp cho ai đó hoặc giám sát học sinh trong các kỳ thi được coi là có rủi ro cao.

Cơ quan quản lý thi cử của Anh đã sử dụng một thuật toán để xếp điểm năm 2020 sau khi đại dịch COVID hủy các kỳ thi, hạ cấp điểm số của nhiều học sinh(cửa sổ mới) và gây bất lợi cho những học sinh tại các trường có thành tích lịch sử thấp hơn. Điều này đã kích hoạt các cuộc biểu tình và sự đảo ngược quyết định từ chính phủ.

Việc làm và quản lý người lao động

Quy định này liên quan đến AI được sử dụng để sàng lọc hoặc đánh giá ứng viên xin việc, hoặc ảnh hưởng đến thăng tiến, phân công nhiệm vụ hoặc giám sát hiệu suất công việc.

Một tòa án Ý đã phán quyết thuật toán xếp hạng tài xế của Deliveroo(cửa sổ mới) là có tính phân biệt đối xử(cửa sổ mới), vì thuật toán này xử phạt người giao đồ ăn vì mức độ sẵn sàng làm việc thấp mà không xác định các lý do chính đáng, chẳng hạn như ốm đau hoặc đình công. Deliveroo đã bị buộc bồi thường thiệt hại.

Dịch vụ thiết yếu

AI quyết định điều kiện hưởng phúc lợi công cộng hoặc dịch vụ y tế, đánh giá mức độ uy tín tín dụng, định giá bảo hiểm nhân thọ hoặc sức khỏe, hoặc phân loại các cuộc gọi khẩn cấp được coi là có rủi ro cao.

Cơ quan thuế Hà Lan đã sử dụng một hệ thống thuật toán rủi ro gian lận gắn cờ sai cho khoảng 26.000 phụ huynh(cửa sổ mới), nhắm mục tiêu không đồng đều vào những người có hai quốc tịch, yêu cầu hoàn trả phúc lợi. Bê bối này đã làm sụp đổ nội các Hà Lan vào tháng Một năm 2021.

Cơ quan thực thi pháp luật

AI đánh giá rủi ro của nạn nhân hoặc người phạm tội, đánh giá độ tin cậy của chứng cứ hoặc lập hồ sơ cá nhân trong các cuộc điều tra hình sự được coi là có rủi ro cao.

Anh và xứ Wales sử dụng OASys để chấm điểm rủi ro tái phạm cho hơn 7 triệu người(cửa sổ mới), phục vụ cho các quyết định bảo lãnh, tuyên án và tha bổng. Các đánh giá chính thức cho thấy hệ thống này ít chính xác hơn đối với những cá nhân là người da đen, người châu Á và người da màu so với những người phạm tội là người da trắng, và tù nhân bị hạn chế khả năng khiếu nại dữ liệu không chính xác được dùng để tính điểm của họ. Một hệ thống thay thế (ARNS) đang được phát triển, với mục tiêu triển khai toàn quốc vào năm 2026.

Di cư, tị nạn và kiểm soát biên giới

Điều này liên quan đến AI đánh giá rủi ro an ninh hoặc di cư, xét duyệt đơn xin tị nạn hoặc xác định danh tính mọi người tại biên giới.

Bộ Nội vụ Vương quốc Anh đã từ chối đơn xin tị nạn của một phụ nữ Maroc và con của cô(cửa sổ mới) bằng cách dẫn chiếu một tài liệu an toàn hóa ra không hề tồn tại. Khi kháng án, một thẩm phán tòa án cấp cao gợi ý rằng thư từ chối có dấu hiệu tạo thông tin ảo giác của AI, gọi đó là “tương tự như việc dựa vào chứng cứ giả mạo.”

Tư pháp và các tiến trình dân chủ

AI hỗ trợ thẩm phán giải thích tình tiết hoặc luật pháp, hoặc các hệ thống có thể ảnh hưởng đến kết quả bầu cử hoặc cách mọi người bỏ phiếu được coi là có rủi ro cao.

Có lẽ ví dụ nổi tiếng nhất — Cambridge Analytica đã thu thập dữ liệu từ tối đa 87 triệu người dùng Facebook khi chưa có sự đồng ý để lập hồ sơ tâm lý phục vụ quảng cáo chính trị mục tiêu(cửa sổ mới), đặc biệt cho chiến dịch tranh cử của Trump năm 2016 và trưng cầu dân ý Brexit.

Yêu cầu đối với các hệ thống AI có rủi ro cao

Theo Đạo luật AI của EU, các hệ thống AI có rủi ro cao phải đáp ứng các yêu cầu nghiêm ngặt trước khi có thể đưa ra thị trường hoặc đưa vào sử dụng. Các yêu cầu này bao gồm:

Quản lý rủi ro: Nhà cung cấp phải xác định, đánh giá và giảm thiểu rủi ro tiềm ẩn trong suốt vòng đời của hệ thống.

Chất lượng dữ liệu: Dữ liệu huấn luyện, xác thực và kiểm thử phải phù hợp và được quản lý để giảm lỗi và kết quả phân biệt đối xử.

Ghi nhật ký và khả năng truy xuất nguồn gốc: Các hệ thống phải lưu giữ bản ghi về hoạt động để việc vận hành và kết quả của chúng có thể được truy xuất.

Tài liệu kỹ thuật: Nhà cung cấp phải lập tài liệu giải thích cách hệ thống hoạt động, mục đích thiết kế và cách hệ thống tuân thủ Đạo luật AI.

Thông tin cho bên triển khai: Cá nhân và tổ chức sử dụng hệ thống phải nhận được hướng dẫn rõ ràng về khả năng, hạn chế và cách sử dụng đúng đắn của hệ thống.

Giám sát của con người: Các hệ thống phải được thiết kế để những người có chuyên môn có thể hiểu, giám sát và can thiệp vào hoạt động của hệ thống khi cần thiết.

Độ chính xác, độ bền bỉ và an ninh mạng: Các hệ thống phải đáp ứng các tiêu chuẩn phù hợp về độ chính xác, độ tin cậy, khả năng phục hồi và bảo vệ chống lại các mối đe dọa an ninh.

Tuy nhiên, Điều 6(3) quy định một số trường hợp ngoại lệ cho các hệ thống AI được liệt kê trong Phụ lục III. Các hệ thống này không nên bị coi là có rủi ro cao nếu không “gây ra rủi ro đáng kể về tác hại đối với sức khỏe, an toàn hoặc các quyền cơ bản của thể nhân, bao gồm cả việc không ảnh hưởng đáng kể đến kết quả của quá trình ra quyết định.” Điều 6(3) bao gồm nhiều chi tiết hơn về cách xác định xem một hệ thống AI có thuộc trường hợp ngoại lệ này hay không.

AI có rủi ro minh bạch (rủi ro hạn chế)

Đối với rủi ro minh bạch, Điều 50 tập trung vào AI có thể khiến mọi người khó phân biệt giữa nội dung do AI tạo ra và nội dung do con người tạo ra. Mối quan ngại chủ yếu là sự lừa dối, mạo danh, thông tin sai lệch, thao túng và gian lận người tiêu dùng. Các hệ thống này nói chung được cho phép, nhưng nhà cung cấp và bên triển khai phải làm cho việc sử dụng AI đủ minh bạch. Các nghĩa vụ minh bạch của Điều 50 có hiệu lực vào tháng Tám năm 2026.

Có bốn tình huống chính được điều chỉnh bởi các quy tắc minh bạch về AI:

Tương tác bằng AI

Khi một hệ thống AI tương tác trực tiếp với một người, nhà cung cấp phải làm rõ rằng họ đang tương tác với AI chứ không phải con người. Điều này có thể áp dụng cho các hệ thống tương tác bao gồm AI trò chuyện hoặc tổng đài viên dịch vụ khách hàng.

Thông báo từ chối trách nhiệm AI phải được cung cấp ngay từ đầu cuộc tương tác đầu tiên và theo cách dễ truy cập, rõ ràng và dễ phân biệt. AI chỉ chạy ở chế độ nền hoặc truyền thông giữa máy với máy không thuộc phạm vi điều chỉnh của yêu cầu cụ thể này.

Nội dung do AI tạo ra tiêu chuẩn

Nhà cung cấp các hệ thống AI tạo ra hoặc thao túng văn bản, hình ảnh, âm thanh hoặc video phải làm cho đầu ra có thể nhận biết được về mặt kỹ thuật là do AI tạo ra hoặc thao túng, ví dụ thông qua siêu dữ liệu có thể đọc được bằng máy.

Điều này không nhất thiết có nghĩa là thêm nhãn hiển thị cho người xem nội dung. Các công cụ chỉnh sửa đơn giản không làm thay đổi đáng kể dữ liệu đầu vào hoặc ý nghĩa của dữ liệu đó được miễn trừ.

Deepfake và một số nội dung vì lợi ích công cộng

Nếu một tổ chức tạo ra hoặc thao túng hình ảnh, âm thanh hoặc video deepfake, chỉ một đánh dấu có thể đọc được bằng máy là chưa đủ. Tổ chức đó phải công khai tiết lộ rõ ràng cho công chúng theo cách dễ nhận biết, chẳng hạn như thông qua nhãn có thể nhìn thấy hoặc ghi chú có thể nghe thấy.

Tiêu chuẩn tương tự cũng áp dụng cho văn bản do AI tạo ra hoặc thao túng được xuất bản để thông tin cho công chúng về các vấn đề được công chúng quan tâm, trừ khi con người đã xem xét một cách có ý nghĩa và chịu trách nhiệm biên tập đối với văn bản đó.

Nhận dạng cảm xúc và phân loại sinh trắc học

Mọi người phải được thông báo khi AI được sử dụng để phát hiện cảm xúc của họ hoặc phân loại họ bằng dữ liệu sinh trắc học; điều này áp dụng bất kể hệ thống đó có được phân loại là có rủi ro cao hay không.

AI có rủi ro thấp hoặc không có rủi ro

Hầu hết các hệ thống AI đều thuộc danh mục này và không phải chịu các yêu cầu bắt buộc bổ sung theo Đạo luật AI. Các ví dụ bao gồm bộ lọc thư rác và AI được sử dụng trong trò chơi điện tử. Nhà cung cấp vẫn có thể tự nguyện tuân thủ các thực hành tốt nhất và quy tắc ứng xử.

Mô hình GPAI là gì và có những nghĩa vụ nào?

Các mô hình GPAI (AI đa mục đích) là các mô hình AI được thiết kế để xử lý nhiều nhiệm vụ khác nhau thay vì một mục đích cụ thể và hẹp. Các ví dụ về mô hình GPAI bao gồm các mô hình ngôn ngữ lớn (LLM) vận hành ChatGPT, Gemini, Claude và Meta AI. Chúng có thể tạo hoặc phân tích nội dung và có thể được tích hợp vào các hệ thống và ứng dụng AI khác.

Các mô hình GPAI phải tuân thủ các yêu cầu riêng theo Đạo luật AI. Nhà cung cấp phải duy trì tài liệu kỹ thuật, cung cấp cho các nhà phát triển hạ nguồn thông tin về khả năng và hạn chế của mô hình, tuân thủ các quy tắc bản quyền của EU và xuất bản bản tóm tắt công khai mô tả các loại dữ liệu (chẳng hạn như văn bản, hình ảnh, âm thanh hoặc video) và nguồn dữ liệu (ví dụ: bộ dữ liệu công khai, bộ dữ liệu riêng tư, trang web được thu thập dữ liệu, dữ liệu người dùng hoặc dữ liệu tổng hợp) được sử dụng để huấn luyện mô hình.

Các mô hình GPAI gây ra rủi ro hệ thống — đủ mạnh hoặc được sử dụng phổ biến đến mức sự cố với mô hình có thể gây ra tác hại quy mô lớn trên toàn EU — phải đối mặt với các yêu cầu bổ sung, bao gồm đánh giá mô hình và kiểm thử đối kháng, quản lý rủi ro liên tục, báo cáo sự cố và bảo vệ an ninh mạng mạnh mẽ hơn.

Đạo luật AI của EU có cấm các hệ thống AI sử dụng dữ liệu của mọi người để huấn luyện AI không?

Không. Đạo luật AI của EU không cấm việc sử dụng dữ liệu của mọi người để huấn luyện AI. Đạo luật yêu cầu các hệ thống rủi ro cao sử dụng dữ liệu chất lượng tốt và các nhà cung cấp AI đa mục đích phải minh bạch về những gì họ đã huấn luyện, nhưng việc dữ liệu cá nhân có thể được sử dụng hợp pháp để huấn luyện AI hay không chủ yếu do GDPR điều chỉnh. Các công ty phải có cơ sở pháp lý hợp lệ để xử lý dữ liệu cá nhân và tôn trọng các quyền bảo vệ dữ liệu cũng như các biện pháp bảo vệ áp dụng.

Đạo luật AI của EU có bảo vệ sở hữu trí tuệ không?

Có, nhưng chỉ theo cách hạn chế và gián tiếp. Đạo luật AI của EU không tạo ra các quyền sở hữu trí tuệ mới hoặc thay thế luật bản quyền hiện hành. Tuy nhiên, đạo luật yêu cầu các nhà cung cấp GPAI tuân thủ các quy tắc bản quyền của EU, tôn trọng quyền từ chối của chủ sở hữu quyền đối với việc khai thác văn bản và dữ liệu, đồng thời xuất bản bản tóm tắt nội dung được sử dụng để huấn luyện mô hình của họ.

Lộ trình thực thi Đạo luật AI của EU

Dưới đây là các mốc thời gian quan trọng cần biết:

Ngày 1 tháng Tám năm 2024: Đạo luật AI của EU có hiệu lực.

Ngày 2 tháng Hai năm 2025: Các điều khoản chung và định nghĩa của Đạo luật bắt đầu áp dụng, cùng với tám lệnh cấm đầu tiên đối với các thực hành AI bị cấm. Yêu cầu đối với nhà cung cấp và bên triển khai nhằm hỗ trợ nâng cao hiểu biết về AI cho nhân viên cũng bắt đầu áp dụng.

Ngày 2 tháng Tám năm 2025: Các quy tắc cho các mô hình GPAI có hiệu lực, cùng với các điều khoản điều chỉnh quản trị AI và các hình phạt.

Ngày 27 tháng Bảy năm 2026: AI Omnibus có hiệu lực. Tên gọi chính thức là Quy định (EU) 2026/1744, AI Omnibus là bản sửa đổi năm 2026 đối với Đạo luật AI của EU được thiết kế để đơn giản hóa việc thực thi, giảm gánh nặng tuân thủ và cho các công ty cũng như cơ quan quản lý thêm thời gian chuẩn bị, trong khi vẫn giữ nguyên các bảo vệ cốt lõi về an toàn và quyền cơ bản của Đạo luật.

Ngày 2 tháng Tám năm 2026: Hầu hết các phần còn lại của Đạo luật AI bắt đầu áp dụng, bao gồm các quy tắc minh bạch yêu cầu tiết lộ hoặc đánh giá kỹ thuật đối với một số hệ thống AI và nội dung do AI tạo ra.

Ngày 2 tháng Mười hai năm 2026: Lệnh cấm thứ chín bao gồm CSAM do AI tạo ra và hình ảnh miêu tả khiêu dâm hoặc thân mật không có sự đồng thuận có hiệu lực. Nhà cung cấp các hệ thống AI được đưa ra thị trường trước ngày 2 tháng Tám năm 2026 mà tạo ra văn bản, hình ảnh, âm thanh hoặc video tổng hợp cũng phải tuân thủ các yêu cầu đánh dấu có thể đọc được bằng máy của Đạo luật trước thời điểm này.

Ngày 2 tháng Tám năm 2027: Các Quốc gia Thành viên EU phải có ít nhất một không gian thử nghiệm quy định AI quốc gia trước thời điểm này để các công ty phát triển và kiểm thử các hệ thống AI dưới sự giám sát quy định.

Ngày 2 tháng Mười hai năm 2027: Các quy tắc AI có rủi ro cao bắt đầu áp dụng cho các hệ thống được sử dụng trong các lĩnh vực nhạy cảm như sinh trắc học, hạ tầng thiết yếu, giáo dục, việc làm, dịch vụ thiết yếu, thực thi pháp luật, di cư và quản lý tư pháp.

Ngày 2 tháng Tám năm 2028: Các yêu cầu rủi ro cao bắt đầu áp dụng đối với các hệ thống AI là một phần của, hoặc là thành phần an toàn của các sản phẩm được điều chỉnh bởi luật sản phẩm của EU, chẳng hạn như một số máy móc, thiết bị y tế, đồ chơi và thang máy.

Cách chuẩn bị cho doanh nghiệp để tuân thủ Đạo luật AI của EU

Đối với các doanh nghiệp, thay đổi thực tế lớn nhất là việc tuân thủ bắt đầu từ việc xác định vai trò của công ty và loại AI mà công ty sử dụng. Một công ty chỉ đơn thuần sử dụng trợ lý viết AI sẽ có ít nghĩa vụ hơn nhiều so với công ty phát triển thuật toán tuyển dụng, bán thiết bị y tế tích hợp AI hoặc cung cấp mô hình GPAI. Đạo luật cũng có thể áp dụng cho các công ty ngoài EU nếu họ đưa các hệ thống AI hoặc mô hình GPAI vào thị trường EU hoặc nếu đầu ra từ hệ thống AI của họ được sử dụng tại EU.

Để chuẩn bị và duy trì sự tuân thủ Đạo luật AI của EU, doanh nghiệp nên:

Nắm rõ AI đang sử dụng: Theo dõi các hệ thống AI được sử dụng giữa các nhóm (bao gồm cả công cụ của bên thứ ba), và hiểu rõ chúng đang được sử dụng để làm gì. Điều này có thể bao gồm AI được sử dụng trong nhân sự, dịch vụ khách hàng, tiếp thị, an ninh, phân tích và các quy trình kinh doanh khác.

Xác định vai trò: Xác định xem doanh nghiệp là nhà cung cấp phát triển hoặc bán hệ thống AI, bên triển khai sử dụng hệ thống đó, hay nhà nhập khẩu hoặc nhà phân phối. Các nghĩa vụ khác nhau áp dụng cho từng vai trò.

Phân loại AI theo rủi ro: Kiểm tra xem bất kỳ hành vi sử dụng AI nào là bị cấm, rủi ro cao, phải tuân thủ yêu cầu minh bạch hay rủi ro tối thiểu. Ví dụ: nếu sử dụng AI để sàng lọc ứng viên xin việc, các quy định nghiêm ngặt hơn đáng kể so với bộ lọc thư rác AI.

Dừng các hành vi sử dụng AI bị cấm: Kiểm toán các công cụ và quy trình làm việc AI để tìm bất kỳ thực hành bị cấm nào và vô hiệu hóa hoặc thay thế các hệ thống vi phạm. Tập trung đặc biệt vào AI được sử dụng để giám sát nhân viên, lập hồ sơ cá nhân, phân tích dữ liệu sinh trắc học, thao túng hành vi hoặc đưa ra các đánh giá nhạy cảm về cá nhân.

Đào tạo nhân viên sử dụng AI: Nhà cung cấp và bên triển khai phải thực hiện các biện pháp hỗ trợ nâng cao hiểu biết về AI cho nhân viên và những người khác vận hành hệ thống AI thay mặt họ. Việc đào tạo nên phản ánh cách AI đang thực sự được sử dụng và các rủi ro liên quan.

Đáp ứng các yêu cầu minh bạch về AI: Có thể cần thông báo cho mọi người khi họ tương tác với AI, dán nhãn cho một số nội dung do AI tạo ra hoặc thao túng, hoặc thông báo cho mọi người khi các hệ thống nhận dạng cảm xúc hoặc phân loại sinh trắc học được phép đang được sử dụng.

Áp dụng các kiểm soát nghiêm ngặt hơn đối với AI có rủi ro cao: Nhà cung cấp phải quản lý rủi ro, sử dụng dữ liệu phù hợp, lưu giữ tài liệu và nhật ký, đảm bảo sự giám sát của con người và đáp ứng các yêu cầu về độ chính xác, an ninh và độ tin cậy. Họ cũng có thể cần hoàn thành đánh giá sự phù hợp và đăng ký hệ thống. Các doanh nghiệp sử dụng AI có rủi ro cao phải tuân theo hướng dẫn của nhà cung cấp, giám sát hoạt động của hệ thống và lưu giữ các bản ghi theo yêu cầu.

Kiểm tra các nghĩa vụ GPAI: Nếu cung cấp các mô hình GPAI, doanh nghiệp có các yêu cầu riêng bao gồm tài liệu kỹ thuật, thông tin cho nhà phát triển hạ nguồn, tuân thủ bản quyền và tóm tắt nội dung huấn luyện. Các mô hình gây ra rủi ro hệ thống phải đối mặt với các yêu cầu bổ sung về an toàn và an ninh mạng.

Rà soát các nhà cung cấp AI: Nếu sử dụng AI của bên thứ ba, hãy kiểm tra các hệ thống do nhà bán hàng cung cấp, cách chúng được phân loại, tài liệu nào có sẵn và ai chịu trách nhiệm tuân thủ từng phần của Đạo luật AI của EU. Việc sửa đổi hoặc đổi tên thương hiệu một số hệ thống AI cũng có thể chuyển trách nhiệm của nhà cung cấp sang doanh nghiệp.

Cập nhật quản trị AI liên tục: Các hệ thống AI, hành vi sử dụng và luật pháp có thể thay đổi. Doanh nghiệp nên lập tài liệu về cách sử dụng AI, giám sát các hệ thống để phát hiện rủi ro hoặc sự cố mới và đánh giá lại sự tuân thủ khi một hệ thống AI được thay đổi đáng kể hoặc thay đổi mục đích sử dụng.

Sự tuân thủ Đạo luật AI không thay thế các nghĩa vụ pháp lý khác. Các doanh nghiệp sử dụng dữ liệu cá nhân, tài liệu có bản quyền hoặc AI trong các lĩnh vực được điều chỉnh cũng có thể cần tuân thủ các luật như GDPR, quy tắc bản quyền của EU, luật bảo vệ người tiêu dùng và quy định theo từng ngành cụ thể.

Xây dựng phương pháp tiếp cận AI ưu tiên quyền riêng tư

Đạo luật AI của EU áp dụng phương pháp tiếp cận dựa trên rủi ro đối với AI và không nhất thiết phải tự mình sử dụng AI thì mới bị ảnh hưởng. Nếu sống tại EU, AI có thể ảnh hưởng đến nội dung xem, dịch vụ tương tác hoặc các quyết định được đưa ra về cá nhân, chẳng hạn như việc có thể mua một số thứ nhất định hay không. Do đó, việc làm quen với Đạo luật có thể giúp hiểu được khi nào AI phải được tiết lộ, những biện pháp bảo vệ nào áp dụng và khi nào có thể đặt câu hỏi hoặc phản đối cách một hệ thống AI đang được sử dụng.

Đối với doanh nghiệp, các nghĩa vụ phụ thuộc vào vai trò của tổ chức, cách các hệ thống AI được sử dụng và mức độ rủi ro liên quan.

Đối với những người chọn sử dụng AI, Lumo mang đến một giải pháp AI Châu Âu ưu tiên quyền riêng tư. Trợ lý AI của chúng tôi không bao giờ ghi nhật ký các cuộc trò chuyện hoặc huấn luyện trên dữ liệu của bạn. Dữ liệu được bảo vệ bằng mã hóa không truy cập để chỉ có bạn mới có thể đọc được. Ngay cả Proton cũng không thể xem dữ liệu của bạn.

Các bảo vệ tương tự cũng mở rộng sang Lumo for Business, trợ lý AI dành cho nhóm, cho phép các tổ chức cung cấp cho nhân viên một công cụ AI được phê duyệt đồng thời giúp giữ riêng tư cho công ty, khách hàng và các dữ liệu nhạy cảm khác. Việc sử dụng Lumo bản thân nó không làm cho doanh nghiệp tuân thủ Đạo luật AI của EU, nhưng có thể hỗ trợ một phương pháp tiếp cận chú trọng đến quyền riêng tư hơn trong việc áp dụng và quản trị AI trong toàn tổ chức.

Chat with Lumo(cửa sổ mới) Get Lumo for Business

Nếu mới làm quen với AI hoặc muốn tìm hiểu công nghệ đằng sau các quy định này, hãy tham khảo hướng dẫn về AI của chúng tôi để tìm hiểu sâu về quyền riêng tư AI, giám sát, rủi ro an ninh và tổng quan về các thực hành thường mang tính lừa dối của một số nhà cung cấp AI phổ biến nhất.