Ngày 2/8/2026 đánh dấu một mốc mới trong việc áp dụng AI Act của Liên minh châu Âu. Ủy ban châu Âu cho biết AI Office và các cơ quan có thẩm quyền quốc gia bắt đầu thực thi các quy định liên quan, trong đó có nghĩa vụ với nhà cung cấp mô hình AI đa dụng và các yêu cầu minh bạch mới đối với một số hệ thống AI. Đây không phải là tin chỉ dành cho các hãng công nghệ lớn. Với doanh nghiệp bán hàng, cung cấp dịch vụ số hoặc tham gia chuỗi cung ứng cho khách hàng tại EU, mốc này làm thay đổi cách cần quản trị AI trong sản phẩm, quy trình và hợp đồng.
Cần đặt đúng phạm vi của thông tin. AI Act là luật của EU; một doanh nghiệp Việt Nam không tự động chịu mọi nghĩa vụ chỉ vì đang dùng một công cụ AI. Tuy vậy, khi doanh nghiệp đưa hệ thống, dịch vụ hoặc nội dung vào thị trường EU, làm nhà cung cấp cho đối tác tại EU, hoặc nhận yêu cầu hợp đồng về tuân thủ, các câu hỏi từ khách hàng và đối tác sẽ trở nên cụ thể hơn. Họ sẽ không chỉ hỏi doanh nghiệp có “chính sách AI có trách nhiệm” hay không; họ sẽ hỏi hệ thống nào có chatbot, nội dung nào có yếu tố tổng hợp, ai sở hữu việc gắn nhãn và doanh nghiệp lưu bằng chứng ở đâu.
Từ một năm chuẩn bị sang giai đoạn có thể bị kiểm tra
Nghĩa vụ đối với nhà cung cấp mô hình AI đa dụng, hay GPAI, đã bắt đầu áp dụng từ ngày 2/8/2025. Theo hướng dẫn của Ủy ban châu Âu, nhà cung cấp thuộc phạm vi phải duy trì tài liệu kỹ thuật, cung cấp thông tin cho các đơn vị phát triển hệ thống ở hạ nguồn, xây dựng chính sách tuân thủ bản quyền và công bố bản tóm tắt đủ chi tiết về nội dung dùng để huấn luyện. Với mô hình có rủi ro hệ thống, nghĩa vụ còn cao hơn về đánh giá, giảm thiểu rủi ro và an ninh.
Từ 2/8/2026, Ủy ban bắt đầu thực thi đầy đủ các nghĩa vụ này đối với GPAI, kể cả bằng biện pháp xử phạt. Cùng thời điểm, các yêu cầu minh bạch theo Điều 50 bắt đầu áp dụng cho một số hệ thống: người dùng cần được thông báo khi đang tương tác với AI; deepfake cần được gắn nhãn; và nội dung do AI tạo hoặc chỉnh sửa cần có dấu hiệu có thể đọc bằng máy trong các trường hợp thuộc phạm vi. Các chi tiết áp dụng có ngoại lệ và phụ thuộc vai trò của từng bên, vì vậy doanh nghiệp không nên tự biến một bài báo thành tư vấn pháp lý. Nhưng về mặt quản trị, mốc này đủ rõ để yêu cầu một cuộc kiểm kê nghiêm túc.
Điều thay đổi đối với nhà quản lý: phải nhìn AI theo từng hệ thống
Nhiều tổ chức hiện có một chính sách dùng AI ở cấp công ty: không nhập dữ liệu nhạy cảm, phải kiểm tra đầu ra, không dùng AI thay người phê duyệt. Những nguyên tắc này vẫn hữu ích, nhưng chúng chưa đủ để trả lời các câu hỏi vận hành. Một chatbot trên website, một công cụ soạn nội dung nội bộ, một tính năng gợi ý trong ứng dụng khách hàng và một quy trình phân loại hồ sơ có rủi ro, người dùng, nguồn dữ liệu và nghĩa vụ minh bạch rất khác nhau.
Cách làm thực tế là xây dựng sổ đăng ký AI theo hệ thống hoặc use case, không chỉ theo tên nhà cung cấp. Với mỗi mục, nhóm phụ trách cần nêu mục đích kinh doanh, người dùng và thị trường phục vụ, mô hình hoặc dịch vụ nền, dữ liệu đầu vào, đầu ra tạo ra, khả năng có nội dung tổng hợp, người phê duyệt, đơn vị sở hữu và các bằng chứng sẵn có. Mục tiêu của sổ đăng ký không phải tạo thêm thủ tục. Nó giúp tổ chức trả lời nhanh khi đối tác hỏi và nhận ra nơi một tính năng đã được đưa ra thị trường mà chưa có chủ sở hữu rõ ràng.
| Điểm quản trị | Câu hỏi cần đặt | Bằng chứng nên có |
|---|---|---|
| Phạm vi thị trường | Hệ thống có được cung cấp cho người dùng hoặc khách hàng tại EU không? | Thị trường, đối tượng khách hàng, điều khoản dịch vụ và đầu mối pháp chế. |
| Minh bạch với người dùng | Người dùng có biết đang tương tác với AI; nội dung tổng hợp có cần được thông báo hoặc đánh dấu không? | Thiết kế giao diện, thông báo, quy tắc xuất bản và kiểm thử trước phát hành. |
| Chuỗi cung ứng AI | Doanh nghiệp là nhà cung cấp, đơn vị triển khai hay chỉ dùng một dịch vụ của bên khác? | Hợp đồng, tài liệu nhà cung cấp, cấu hình mô hình và phân công trách nhiệm. |
| Kiểm soát thay đổi | Khi thay mô hình, thêm dữ liệu hoặc mở rộng thị trường, ai đánh giá lại? | Quy trình phê duyệt thay đổi, change log và hồ sơ rà soát. |
Minh bạch không chỉ là gắn một dòng chữ ở cuối màn hình
Nguy cơ phổ biến là biến yêu cầu minh bạch thành một câu thông báo chung chung. Nếu chatbot đóng vai trò tiếp nhận yêu cầu, thông báo phải xuất hiện ở thời điểm người dùng hiểu rõ họ đang trao đổi với hệ thống AI, không phải bị chôn trong điều khoản sử dụng. Nếu doanh nghiệp đăng nội dung hình ảnh hoặc âm thanh được tạo hay chỉnh sửa bằng AI, trách nhiệm không dừng ở nhóm truyền thông. Cần xác định ai kiểm tra nguồn tài sản, ai quyết định khi nào cần gắn nhãn, và cách thông tin này đi qua các phiên bản khi nội dung được tái sử dụng trên nhiều kênh.
Điểm khó nằm ở các quy trình lai. Một bản tin có thể được AI tạo bản nháp rồi biên tập viên kiểm tra, trong khi một ảnh minh họa được tổng hợp hoàn toàn. Hai tình huống này không giống nhau về rủi ro gây hiểu nhầm và cũng không nên bị xử lý bằng cùng một quy tắc. Doanh nghiệp cần diễn giải yêu cầu pháp lý dựa trên vai trò của hệ thống và cách nội dung đến với công chúng, sau đó biến thành hướng dẫn thao tác cho người thực hiện.
Ví dụ: doanh nghiệp SaaS Việt Nam phục vụ khách hàng châu Âu
Một công ty SaaS bổ sung chatbot vào trang hỗ trợ khách hàng và tính năng tạo tóm tắt cuộc gọi cho đội bán hàng. Bước đầu không phải là viết ngay một chính sách AI mới. Nhóm nên lập hai hồ sơ use case riêng: chatbot tương tác trực tiếp với khách truy cập nào, có thông báo rõ không, ai chịu trách nhiệm nội dung trả lời và khi nào chuyển sang nhân viên; tính năng tóm tắt sử dụng dữ liệu nào, bản tóm tắt được lưu ở đâu, ai có thể xem và liệu có được gửi ra ngoài tổ chức hay không. Sau đó, pháp chế và kỹ thuật mới có cơ sở để đánh giá cam kết với khách hàng và yêu cầu nào áp dụng theo từng thị trường.
Ba việc nên hoàn thành trong 30 ngày
Thứ nhất, lập danh mục các hệ thống AI đang được cung cấp hoặc đang ảnh hưởng trực tiếp tới khách hàng, người dùng và đối tác. Không chờ đến khi một dự án được gọi tên là “dự án AI”; hãy tính cả những tính năng nhỏ dùng mô hình nền, công cụ tạo nội dung và tự động hóa có quyết định hoặc giao tiếp với bên ngoài.
Thứ hai, phân loại từng use case theo vai trò và thị trường. Việc này nên do đơn vị kinh doanh, công nghệ, an ninh thông tin và pháp chế cùng thực hiện. Một bảng tính ngắn nhưng có người sở hữu từng dòng thường hữu ích hơn một chính sách dài không gắn với hệ thống cụ thể.
Thứ ba, chọn các use case có khả năng chạm tới EU hoặc có cam kết khách hàng quan trọng để kiểm tra bằng chứng. Xem lại giao diện, thông báo, tài liệu nhà cung cấp, điều khoản với khách hàng, quy trình phê duyệt nội dung và cách lưu hồ sơ. Nếu còn khoảng trống, hãy ghi rõ việc cần xử lý, chủ sở hữu và thời điểm hoàn thành thay vì tuyên bố đã “tuân thủ”.
Kết luận
Mốc thực thi AI Act không buộc mọi doanh nghiệp phải trở thành chuyên gia luật châu Âu. Nhưng nó gửi một tín hiệu quản trị rõ ràng: AI đang được đánh giá ngày càng nhiều bằng khả năng chứng minh cách một hệ thống vận hành, thông báo cho người dùng và phân công trách nhiệm. Chính sách cấp công ty vẫn cần thiết; tuy nhiên, giá trị thực nằm ở sổ đăng ký use case, quy trình thay đổi và bằng chứng có thể kiểm tra theo từng hệ thống. Doanh nghiệp nào làm được ba việc này sẽ chủ động hơn trước yêu cầu của thị trường và đối tác.
Nguồn tham khảo
European Commission. (2026, July 31). Commission starts enforcing AI Act rules and new transparency requirements on 2 August. https://digital-strategy.ec.europa.eu/en/news/commission-starts-enforcing-ai-act-rules-and-new-transparency-requirements-2-august
European Commission. (2026, August 7). The enforcement framework of the AI Act. https://digital-strategy.ec.europa.eu/en/policies/enforcement-ai-act
European Commission. (2026). Transparency obligations under Article 50 of the AI Act. https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act
European Commission. (2026). Guidelines on obligations for General-Purpose AI providers. https://digital-strategy.ec.europa.eu/en/faqs/guidelines-obligations-general-purpose-ai-providers
