Điều 88c của EU có cho phép huấn luyện AI bằng dữ liệu cá nhân mà không cần đồng ý?

Nhận định rằng Liên minh châu Âu (EU) sắp cho doanh nghiệp dùng dữ liệu cá nhân để huấn luyện AI mà không cần xin phép là cách diễn giải quá rộng.

Trọng tâm tranh luận là Điều 88c GDPR được đề xuất trong gói Digital Omnibus về dữ liệu. Điều khoản này sẽ ghi nhận rõ rằng “lợi ích hợp pháp” theo Điều 6(1)(f) GDPR có thể là cơ sở pháp lý cho việc xử lý dữ liệu cá nhân khi việc đó cần thiết về mặt chức năng để thiết kế, phát triển hoặc sử dụng hợp pháp một hệ thống hay mô hình AI.3

Nhưng đây không phải là việc xóa bỏ GDPR, hợp thức hóa mọi hoạt động thu thập dữ liệu từ web, hay khiến sự đồng ý trở nên vô nghĩa. Nếu luật EU hoặc luật quốc gia khác vẫn đòi hỏi sự đồng ý, yêu cầu đó vẫn áp dụng.1

Quan trọng hơn, Điều 88c thuộc đề xuất Digital Omnibus về dữ liệu, không phải Digital Omnibus về AI đã được ban hành. Hồ sơ này vẫn đang trong quy trình lập pháp EU, nên nội dung và kết quả cuối cùng chưa được chốt.

Điều 88c sẽ thay đổi điều gì?

Theo cách diễn đạt được đề xuất, bên kiểm soát dữ liệu hoặc bên thứ ba có thể dựa vào “lợi ích hợp pháp” để xử lý dữ liệu cá nhân trong toàn bộ vòng đời của hệ thống/mô hình AI, nếu việc xử lý đó cần thiết về mặt chức năng cho quá trình thiết kế, phát triển hoặc sử dụng hợp pháp.3

Đây chủ yếu là việc làm rõ một con đường vốn có thể đã tồn tại trong GDPR. Hội đồng Bảo vệ Dữ liệu châu Âu (EDPB) từng nhận định rằng, trong một số trường hợp, “lợi ích hợp pháp” có thể là cơ sở pháp lý phù hợp để phát triển và triển khai mô hình hoặc hệ thống AI.45

Tuy nhiên, chữ “có thể” là điểm quyết định. Doanh nghiệp không thể chỉ tuyên bố lợi ích xây dựng AI của mình quan trọng hơn quyền riêng tư. Họ vẫn phải đáp ứng khuôn khổ kiểm tra lợi ích hợp pháp thông thường, gồm:

• xác định một lợi ích hợp pháp thực sự;
• chứng minh việc xử lý là cần thiết cho lợi ích đó; và
• cân bằng lợi ích ấy với quyền, tự do của người có dữ liệu bị xử lý.15

Vì vậy, Điều 88c sẽ không phải là giấy phép chung để thu thập bất kỳ dữ liệu cá nhân công khai hay riêng tư nào rồi đưa vào kho dữ liệu huấn luyện.

Các rào chắn được đề xuất: vì sao không thể chỉ là hình thức?

Tranh luận về Điều 88c không chỉ nằm ở câu hỏi liệu “lợi ích hợp pháp” có thể áp dụng cho AI hay không, mà còn ở mức độ bảo vệ đi kèm.

Các biện pháp bảo vệ được nêu trong thảo luận gồm tối thiểu hóa dữ liệu khi chọn nguồn và huấn luyện, biện pháp kỹ thuật và tổ chức, minh bạch có ý nghĩa, cùng cơ chế nhận diện phản đối hoặc opt-out ở định dạng máy đọc được. Cách tiếp cận này cũng bao gồm quyền phản đối vô điều kiện đối với hoạt động xử lý liên quan.13

Ý nghĩa thực tế của những rào chắn này là rất lớn:

• Tối thiểu hóa dữ liệu ngăn lập luận rằng nhà phát triển có thể gom mọi thứ chỉ vì có thể hữu ích trong tương lai.
• Minh bạch giúp người dùng biết dữ liệu của họ đang bị xử lý như thế nào.
• Quyền phản đối hiệu quả đòi hỏi nhiều hơn một mục cài đặt khó tìm; tổ chức phải có quy trình thực sự vận hành được để tiếp nhận và thực hiện phản đối.

Dữ liệu nhạy cảm không phải vùng “tự do khai thác”

Thảo luận tại Hội đồng EU về một ngoại lệ liên quan đến dữ liệu nhạy cảm nhấn mạnh tình huống hẹp hơn: việc xử lý dữ liệu thuộc nhóm đặc biệt xảy ra một cách ngẫu nhiên và còn sót lại. Tức là bên kiểm soát ban đầu không có ý định xử lý dữ liệu nhạy cảm, nhưng một phần dữ liệu như vậy khó tránh khỏi trong hoạt động xử lý chính. Điều này khác với việc chủ động thu thập dữ liệu nhạy cảm để làm nguyên liệu huấn luyện.2

Vì sao EDPB và EDPS lo ngại?

EDPB và Cơ quan Giám sát Bảo vệ Dữ liệu châu Âu (EDPS) không phủ nhận rằng “lợi ích hợp pháp” đôi khi có thể hỗ trợ cho hoạt động liên quan đến AI. Lập luận chính của họ là không cần một Điều 88c riêng, bởi phân tích GDPR hiện hành vốn đã cho phép kết luận này trong trường hợp phù hợp.45

Mối lo không chỉ mang tính kỹ thuật pháp lý. Một điều khoản riêng cho AI có thể bị hiểu là đi xa hơn việc làm rõ quy tắc, từ đó gây bất định đối với các bảo vệ đã có của GDPR. Ý kiến của hai cơ quan này có tính tư vấn, không ràng buộc, nhưng có trọng lượng trong quá trình lập pháp.5

Điều 88c hiện đang ở trạng thái nào?

Tài liệu lập pháp cho thấy công việc tại Hội đồng EU vẫn còn nhiều bất đồng. Một cuộc bỏ phiếu dự kiến của COREPER — cơ chế chuẩn bị cho các quyết định của Hội đồng — về ủy quyền đàm phán của Hội đồng đã bị hủy do chưa giải quyết được các vấn đề còn mở; sau đó công việc được tiếp tục dưới nhiệm kỳ Chủ tịch Hội đồng EU của Ireland.

Chương trình chủ tịch của Ireland đặt mục tiêu đạt thỏa thuận với Nghị viện châu Âu về gói Digital Omnibus vào cuối năm 2026. Tuy vậy, các tài liệu chính thức được cung cấp không xác lập độc lập rằng Điều 88c đã được khôi phục dứt khoát trong một lập trường cuối cùng của Hội đồng.

Do đó, mô tả thận trọng nhất là: Điều 88c vẫn gây tranh cãi về chính trị và còn có thể được đàm phán. Doanh nghiệp chưa thể xem đây là cơ sở pháp lý có hiệu lực để thay thế các yêu cầu hiện hành của GDPR.

Đừng nhầm hai hồ sơ Digital Omnibus

Một phần nhầm lẫn đến từ việc EU có một văn bản khác: Digital Omnibus về AI. Văn bản này đã được thông qua dưới dạng Quy định (EU) 2026/1744.

Văn bản về AI này điều chỉnh lịch thực thi một số phần của AI Act. Cụ thể, các nghĩa vụ cho hệ thống AI rủi ro cao độc lập thuộc Phụ lục III sẽ áp dụng từ ngày 2/12/2027; các hệ thống rủi ro cao tích hợp trong sản phẩm thuộc diện quản lý có thời hạn muộn hơn.1920

Khi các yêu cầu Phụ lục III có hiệu lực, chúng bao gồm đánh giá và giảm thiểu rủi ro, dữ liệu chất lượng cao nhằm hạn chế kết quả phân biệt đối xử, ghi nhật ký và truy xuất, tài liệu kỹ thuật, thông tin cho bên triển khai, giám sát của con người, cùng các biện pháp về độ vững chắc và an ninh mạng.20

Đây là nghĩa vụ theo AI Act, tách biệt với câu hỏi theo GDPR về việc dữ liệu cá nhân có thể được xử lý để huấn luyện AI hay không. Việc lùi thời điểm áp dụng nghĩa vụ với AI rủi ro cao không đồng nghĩa Điều 88c đã thành luật.

Điều này có ý nghĩa gì với doanh nghiệp và người dùng?

Với nhà phát triển AI, Điều 88c — nếu được thông qua — có thể đem lại sự rõ ràng hơn về mặt câu chữ, chứ không phải lối tắt tuân thủ. Một cách tiếp cận có thể bảo vệ được vẫn cần đánh giá bằng văn bản về tính cần thiết và cân bằng lợi ích, tối thiểu hóa dữ liệu, thông tin minh bạch, cùng quy trình thực thi phản đối.

Với người có dữ liệu, câu hỏi then chốt là liệu luật cuối cùng có giữ được các giới hạn thực chất hay không: việc dùng dữ liệu có thật sự cần thiết; dữ liệu nhạy cảm có tiếp tục bị giới hạn chặt; và quyền phản đối có hiệu quả về kỹ thuật thay vì chỉ mang tính tượng trưng.

Bức tranh lớn hơn không phải là EU từ bỏ cách quản lý AI mang tính phòng ngừa. Digital Omnibus về AI đã được thông qua để lùi một số nghĩa vụ rủi ro cao, còn đề xuất về dữ liệu đang xem xét cách làm rõ cơ sở xử lý dữ liệu cho một số hoạt động AI. Cán cân cuối cùng sẽ phụ thuộc vào đàm phán giữa Hội đồng EU và Nghị viện châu Âu, cũng như cách diễn giải và thực thi bất kỳ văn bản nào được thông qua.19