AI rủi ro cao theo EU AI Act: Mốc áp dụng, nghĩa vụ tuân thủ và mức phạt

Điểm quan trọng nhất là thời điểm áp dụng: các nghĩa vụ đầy đủ của Liên minh châu Âu (EU) đối với hệ thống AI rủi ro cao đã được lùi lại, chứ chưa đồng loạt có hiệu lực. Với các hệ thống độc lập được liệt kê tại Phụ lục III, các yêu cầu dự kiến áp dụng từ ngày 2/12/2027. Với AI rủi ro cao là một phần của một số sản phẩm đã chịu quản lý chuyên ngành, mốc áp dụng muộn hơn là ngày 2/8/2028. 18

Đối với doanh nghiệp muốn đưa các hệ thống này ra thị trường EU, việc cần làm không đơn thuần là chờ đến sát hạn rồi hoàn thiện giấy tờ. Họ cần xây dựng một quy trình tuân thủ có khả năng chứng minh tính an toàn, khả năng truy vết và trách nhiệm giải trình trước khi sản phẩm được phát hành.

Hệ thống AI nào được xem là rủi ro cao?

Nhóm AI rủi ro cao gồm hai loại lớn:

• Hệ thống AI được dùng như bộ phận an toàn của sản phẩm thuộc các đạo luật sản phẩm cụ thể của EU, trong trường hợp sản phẩm đó phải trải qua đánh giá sự phù hợp bởi bên thứ ba.
• Hệ thống AI được sử dụng trong các lĩnh vực thuộc Phụ lục III, tùy theo các điều kiện và ngoại lệ được quy định trong Đạo luật. 15

Việc phân loại là then chốt, bởi trạng thái “rủi ro cao” sẽ kích hoạt tập hợp nghĩa vụ xuyên suốt vòng đời hệ thống khắt khe hơn đáng kể so với các công cụ AI thông thường.

Nhà cung cấp phải chuẩn bị những gì?

Trước khi một hệ thống AI rủi ro cao được đưa ra thị trường EU, nhà cung cấp cần có các biện pháp kiểm soát được tích hợp ngay trong vòng đời phát triển sản phẩm — thay vì chỉ chắp vá khi cơ quan quản lý yêu cầu giải trình.

Quản trị rủi ro và dữ liệu

Nhà cung cấp phải thiết lập biện pháp đánh giá và giảm thiểu rủi ro. Họ cũng cần sử dụng các bộ dữ liệu có chất lượng phù hợp nhằm giảm nguy cơ tạo ra kết quả phân biệt đối xử. Khung quy định cho AI rủi ro cao nhấn mạnh dữ liệu huấn luyện, xác thực và kiểm thử phải liên quan đến mục đích sử dụng, có tính đại diện và được quản trị phù hợp. 115

Tài liệu kỹ thuật và khả năng truy vết

Hệ thống AI rủi ro cao phải duy trì nhật ký hoạt động để hỗ trợ truy vết, đồng thời có tài liệu kỹ thuật chi tiết về hệ thống và mục đích sử dụng dự kiến. Những bằng chứng này giúp cơ quan có thẩm quyền đánh giá hệ thống có đáp ứng quy định hay không. 1

Giám sát của con người và khả năng vận hành ổn định

EU cũng yêu cầu các biện pháp giám sát phù hợp của con người, cùng mức độ cao về độ chính xác, tính vững chắc và an ninh mạng. Nhà cung cấp phải cung cấp cho bên triển khai thông tin rõ ràng, đầy đủ để hệ thống được sử dụng đúng mục đích và người dùng hiểu được các giới hạn của nó. 1

Đánh giá sự phù hợp, đăng ký và theo dõi sau khi đưa ra thị trường

Nhà cung cấp phải hoàn tất quy trình đánh giá sự phù hợp áp dụng trước khi đưa hệ thống AI rủi ro cao ra thị trường. Khi được yêu cầu, họ phải đăng ký hệ thống, theo dõi hiệu năng sau phát hành và báo cáo các sự cố nghiêm trọng. Điều này biến tuân thủ thành một chức năng vận hành liên tục, thay vì một lần xin phê duyệt rồi kết thúc. 115

Checklist chuẩn bị cho AI rủi ro cao

Các tổ chức chuẩn bị cho mốc 2027 và 2028 nên có thể trả lời rõ những câu hỏi sau:

1. Hệ thống có thực sự thuộc nhóm rủi ro cao? Đối chiếu trường hợp sử dụng với các nhóm tại Phụ lục I và Phụ lục III.
2. Ai chịu trách nhiệm? Phân định đầu mối phụ trách an toàn sản phẩm, tuân thủ pháp lý, tài liệu kỹ thuật và phản ứng sự cố.
3. Rủi ro có thể được chứng minh và giảm thiểu không? Duy trì quy trình quản trị rủi ro lặp lại được, kèm hồ sơ kiểm thử và quyết định xử lý.
4. Biện pháp kiểm soát dữ liệu có đủ sức bảo vệ khi bị xem xét? Lưu tài liệu về tính liên quan, tính đại diện, kiểm tra chất lượng và các hạn chế đã biết của dữ liệu.
5. Hệ thống có thể được kiểm toán không? Lưu giữ nhật ký, hồ sơ kỹ thuật và hướng dẫn cho người dùng, nêu rõ mục đích sử dụng cũng như các giới hạn.
6. Giám sát của con người có hiệu quả trong thực tế? Xác định khi nào con người được can thiệp, ghi đè đầu ra hoặc dừng sử dụng hệ thống.
7. Cơ chế theo dõi sau khi đưa ra thị trường đã sẵn sàng chưa? Chuẩn bị quy trình theo dõi hiệu năng, khắc phục và báo cáo sự cố.

Mức phạt có thể áp dụng theo EU AI Act

EU AI Act áp dụng chế tài dựa trên cả mức tiền cố định bằng euro lẫn doanh thu hằng năm trên toàn cầu. Mức nghiêm khắc nhất, dành cho các hành vi AI bị cấm, có thể lên tới 35 triệu euro hoặc 7% doanh thu hằng năm trên toàn cầu. Các vi phạm khác có thể bị phạt tới 15 triệu euro hoặc 3% doanh thu hằng năm trên toàn cầu. 3

Quy mô của mức phạt tiềm tàng cho thấy chương trình tuân thủ AI rủi ro cao không thể chỉ giao cho bộ phận pháp chế. Các nhóm sản phẩm, an ninh, khoa học dữ liệu, mua sắm, tuân thủ và vận hành đều cần tham gia, đồng thời có bằng chứng cho thấy các biện pháp bảo vệ thực sự hoạt động.

Vì sao thời hạn lùi lại vẫn đáng lo ngay từ bây giờ?

Các mốc mới cho doanh nghiệp thêm thời gian chuẩn bị, nhưng các yêu cầu cốt lõi vẫn rất rộng và sâu. Một nhà cung cấp chờ đến cuối năm 2027 có thể vẫn phải gấp rút xây dựng hệ thống tài liệu, thay đổi quy trình phát triển mô hình, triển khai ghi nhật ký, kiểm thử cơ chế giám sát của con người và thiết lập quy trình báo cáo sau khi sản phẩm ra thị trường.

Cách tiếp cận hữu ích nhất là coi EU AI Act như một chuẩn quản trị sản phẩm: sớm nhận diện các trường hợp sử dụng rủi ro cao, thu thập bằng chứng ngay trong lúc xây dựng hệ thống, và đưa an toàn, khả năng truy vết cùng quyền kiểm soát của con người vào quy trình phát hành ngay từ đầu. 115