EU AI Act cho doanh nghiệp: cần làm gì từ bây giờ?

EU AI Act — Đạo luật AI của Liên minh châu Âu — nên được nhìn như một khung quản trị và tuân thủ theo mức độ rủi ro. Với doanh nghiệp, thông điệp chính không phải là “AI bị cấm”, mà là: phải biết hệ thống AI đó được dùng để làm gì, doanh nghiệp đóng vai trò nào và trường hợp sử dụng có rơi vào nhóm bị cấm, nhóm mô hình AI đa dụng, gọi tắt là GPAI, hay nhóm rủi ro cao hay không.

Điều gì thay đổi với doanh nghiệp?

Câu hỏi thực tế không còn là: “Doanh nghiệp có được dùng AI không?”. Câu hỏi đúng hơn là: “Trường hợp sử dụng AI này được xếp vào nhóm nào?”.

Một công cụ nội bộ để tóm tắt văn bản sẽ khác rất xa một hệ thống sàng lọc hồ sơ tuyển dụng, chấm điểm hiệu suất nhân sự hoặc hỗ trợ ra quyết định về cá nhân. Các nguồn được cung cấp mô tả EU AI Act theo cách triển khai từng lớp: trước hết là các thực hành AI bị cấm, sau đó là nghĩa vụ với mô hình AI đa dụng — GPAI, tiếp theo là phần lớn nghĩa vụ với AI rủi ro cao, và sau nữa là một số hệ thống AI nằm trong các sản phẩm vốn đã chịu quy định an toàn sản phẩm của EU.

Vì vậy, mỗi doanh nghiệp nên bắt đầu bằng ba câu hỏi:

1. Use case: AI làm chính xác việc gì, dùng loại dữ liệu nào và ảnh hưởng ra sao tới quyết định?
2. Vai trò: Doanh nghiệp là bên triển khai/vận hành, bên cung cấp hệ thống AI, hay bên cung cấp mô hình GPAI?
3. Rủi ro: Trường hợp này có liên quan tới thực hành bị cấm, GPAI, AI rủi ro cao, hay chỉ là ứng dụng ít nhạy cảm hơn?

Các mốc thời gian quan trọng

Bảng dưới đây không thay thế tư vấn pháp lý, nhưng giúp doanh nghiệp lên kế hoạch sớm hơn thay vì chờ sát hạn.

Thời điểm	Nội dung bắt đầu có ý nghĩa	Doanh nghiệp cần hiểu gì
Từ tháng 2/2025	Các thực hành AI bị cấm	Doanh nghiệp nên rà soát trước tiên để loại trừ khả năng một use case rơi vào nhóm bị cấm. Giai đoạn này nhằm xử lý sớm các thực hành AI có khả năng gây hại nghiêm trọng.
Từ tháng 8/2025	Nghĩa vụ với mô hình GPAI	Bên cung cấp mô hình AI đa dụng cần kiểm tra các nghĩa vụ liên quan đến GPAI. Một nguồn cũng nêu rằng các sản phẩm GPAI chưa được phát hành trước tháng 8/2025 sẽ phải tuân theo quy định mới từ tháng 8/2025.
Từ ngày 2/8/2026	Nhiều nghĩa vụ với AI rủi ro cao	Với hệ thống AI rủi ro cao theo Phụ lục III, khung tuân thủ đầy đủ áp dụng từ ngày 2/8/2026. Một nguồn coi đây là mốc chính đối với nhiều doanh nghiệp.
2027/2028, tùy chế độ sản phẩm	Một số AI rủi ro cao được nhúng trong sản phẩm đã chịu quy định	Với hệ thống AI rủi ro cao được tích hợp trong các sản phẩm vốn đã thuộc khung quản lý an toàn sản phẩm của EU, một nguồn mô tả thời hạn chuyển tiếp dài hơn đến năm 2027 và 2028, tùy chế độ sản phẩm cụ thể.

Bài kiểm tra cốt lõi: use case, vai trò, rủi ro

1. AI thực sự đang làm gì?

Đừng bắt đầu bằng tên công cụ. Hãy bắt đầu bằng mục đích sử dụng. Việc một sản phẩm “có AI” chưa nói lên nhiều về nghĩa vụ pháp lý. Điều quan trọng là ứng dụng đó có đánh giá con người, ảnh hưởng tới cơ hội hoặc quyền lợi của họ, điều khiển quy trình liên quan đến an toàn, hay chỉ hỗ trợ công việc nội bộ thông thường.

Doanh nghiệp nên rà soát sớm các ứng dụng trong lĩnh vực nhạy cảm. Các nguồn nêu những lĩnh vực như sinh trắc học, hạ tầng trọng yếu, giáo dục, việc làm và dịch vụ công là những nơi dễ phát sinh câu hỏi về AI rủi ro cao.

2. Doanh nghiệp giữ vai trò nào?

Cùng một doanh nghiệp có thể có vai trò khác nhau tùy từng ứng dụng. Nếu mua một công cụ AI có sẵn để dùng nội bộ, doanh nghiệp thường gần với vai trò bên triển khai/vận hành. Nếu đưa ra thị trường một sản phẩm có tính năng AI do mình cung cấp, nghĩa vụ của bên cung cấp hệ thống AI có thể trở nên liên quan. Nếu tự phát triển hoặc cung cấp mô hình AI đa dụng, các câu hỏi riêng về GPAI sẽ xuất hiện.

Việc xác định vai trò rất quan trọng vì nghĩa vụ không chỉ phụ thuộc vào mức rủi ro của hệ thống, mà còn phụ thuộc vào việc doanh nghiệp đang cung cấp, triển khai hay đóng vai trò nhà cung cấp mô hình.

3. Mức rủi ro nào là hợp lý?

Một cách sàng lọc ban đầu có thể đi theo bốn bước:

1. Loại trừ rủi ro bị cấm: Nếu use case rơi vào nhóm bị cấm, đây không phải chuyện “để sau tính”, mà là vấn đề cần xử lý ngay.
2. Kiểm tra liên quan đến GPAI: Doanh nghiệp có tự cung cấp mô hình GPAI không, hay chỉ sử dụng mô hình của bên khác trong một ứng dụng cụ thể?
3. Kiểm tra khả năng rủi ro cao: Use case có nằm trong lĩnh vực nhạy cảm hoặc ảnh hưởng tới quyết định về cá nhân không?
4. Kiểm tra chế độ sản phẩm: AI có được nhúng trong một sản phẩm đã chịu quy định riêng, nơi có thể áp dụng thời hạn chuyển tiếp đặc biệt không?

Doanh nghiệp nên thiết lập gì ngay bây giờ?

Lập sổ đăng ký AI

Việc đầu tiên nên làm là lập một sổ đăng ký AI đủ đầy. Đừng chỉ ghi nhận các dự án AI lớn mang tính chiến lược. Hãy đưa vào cả công cụ hỗ trợ nội bộ, tính năng AI trong phần mềm SaaS mua ngoài, tự động hóa, tính năng AI trong sản phẩm của chính doanh nghiệp và các mô hình đang được sử dụng.

Một sổ đăng ký AI hữu ích nên có tối thiểu:

• tên công cụ hoặc hệ thống;
• mục đích sử dụng và phòng ban liên quan;
• triển khai nội bộ hay dùng dịch vụ bên ngoài;
• loại dữ liệu được xử lý;
• cá nhân hoặc nhóm người có thể bị ảnh hưởng;
• mức độ ảnh hưởng tới quyết định;
• nhà cung cấp, người phụ trách nội bộ và nhóm chịu trách nhiệm;
• đánh giá sơ bộ: có rủi ro bị cấm, liên quan đến GPAI, khả năng rủi ro cao hay rủi ro thấp hơn.

Bản kiểm kê này là nền tảng để đánh giá vai trò và nhóm rủi ro của từng use case một cách có thể giải trình.

Ưu tiên các use case nhạy cảm

Không phải mọi ứng dụng AI đều cần cùng mức chú ý. Nên ưu tiên các hệ thống đánh giá con người, ảnh hưởng tới cơ hội hoặc quyền lợi của họ, hoặc được dùng trong các lĩnh vực nhạy cảm đã được nêu: sinh trắc học, hạ tầng trọng yếu, giáo dục, việc làm và dịch vụ công.

Trong thực tế doanh nghiệp, nhóm này thường bao gồm công cụ nhân sự, sàng lọc ứng viên, đánh giá hiệu suất, ứng dụng gần với an toàn và các hệ thống chuẩn bị quyết định về cá nhân. Tuy nhiên, một trường hợp cụ thể có thực sự là AI rủi ro cao hay không còn phụ thuộc vào quy trình vận hành chi tiết và vai trò của doanh nghiệp.

Chuẩn bị quản trị và tài liệu

Với hệ thống AI rủi ro cao, các nguồn nhắc tới những yêu cầu như quản lý rủi ro, tài liệu kỹ thuật và đánh giá sự phù hợp. Nhiệm vụ nào thực sự thuộc về doanh nghiệp sẽ phụ thuộc vào vai trò và hệ thống cụ thể. Với hệ thống AI rủi ro cao theo Phụ lục III, khung tuân thủ đầy đủ có ý nghĩa từ ngày 2/8/2026.

Những việc nên chuẩn bị sớm:

• chỉ định người phụ trách ở bộ phận nghiệp vụ, IT, bảo vệ dữ liệu, pháp chế và tuân thủ;
• thiết lập quy trình phê duyệt công cụ AI mới;
• yêu cầu nhà cung cấp cung cấp tài liệu kỹ thuật, thông tin rủi ro và cam kết hợp đồng liên quan;
• ghi nhận mục đích sử dụng, dữ liệu, rủi ro, cơ chế giám sát của con người và thay đổi trong hệ thống;
• đưa các trường hợp ranh giới đi đánh giá pháp lý sớm.

Đừng xem nhẹ AI literacy

AI literacy có thể hiểu là năng lực hiểu và sử dụng AI một cách phù hợp. Đây không chỉ là vấn đề của hệ thống rủi ro cao. Một nguồn mô tả yêu cầu về AI literacy là nghĩa vụ rộng đối với bên cung cấp và bên triển khai/vận hành, bất kể mức rủi ro của hệ thống; ngay cả tổ chức chỉ dùng hệ thống AI rủi ro tối thiểu cũng vẫn cần chú ý đến yêu cầu này và tránh các thực hành bị cấm.

Nói thực tế: nhân sự lựa chọn, cấu hình hoặc sử dụng AI cần hiểu giới hạn của hệ thống, các lỗi thường gặp và khi nào phải có con người kiểm tra lại.

Ba tình huống doanh nghiệp thường gặp

Tình huống 1: Chỉ dùng công cụ AI hỗ trợ nội bộ

Điều quan trọng là công cụ đó được dùng vào việc gì. Việc hỗ trợ viết, tóm tắt hoặc tra cứu nội bộ khác với việc dùng trong nhân sự, đánh giá, cấp quyền tiếp cận lợi ích hoặc các quy trình nhạy cảm khác. Dù rủi ro có thể thấp hơn, các công cụ này vẫn nên được đưa vào sổ đăng ký AI; quy tắc sử dụng và AI literacy vẫn có ý nghĩa, và trong một số trường hợp là yêu cầu được nêu rõ.

Tình huống 2: Xây sản phẩm SaaS có tính năng AI

Doanh nghiệp cần kiểm tra liệu mình có được xem là bên cung cấp hệ thống AI hay không, và tính năng đó có thể rơi vào bối cảnh rủi ro cao hay không. Với hệ thống rủi ro cao, từ năm 2026 các yêu cầu như quản lý rủi ro, tài liệu kỹ thuật và đánh giá sự phù hợp trở nên đặc biệt quan trọng.

Tình huống 3: Dùng AI trong tuyển dụng, chấm điểm hoặc hỗ trợ khách hàng

Tuyển dụng và các bối cảnh liên quan đến việc làm nên được kiểm tra sớm, vì việc làm được các nguồn nêu là một lĩnh vực có thể làm phát sinh câu hỏi về AI rủi ro cao. Với chấm điểm hoặc hỗ trợ khách hàng, điểm mấu chốt là AI chỉ hỗ trợ con người hay đang chuẩn bị, ảnh hưởng hoặc tự động hóa quyết định về cá nhân. Nếu chưa mô tả rõ quy trình vận hành, rất khó kết luận nghiêm túc về phân loại rủi ro.

Checklist hành động

1. Kiểm kê mọi ứng dụng AI: Ghi nhận công cụ, mô hình, tính năng sản phẩm và tự động hóa đang dùng.
2. Sàng lọc từng use case: Trước hết loại trừ thực hành bị cấm, sau đó kiểm tra liên quan đến GPAI và khả năng rủi ro cao.
3. Xác định vai trò: Với từng ứng dụng, làm rõ doanh nghiệp là bên triển khai/vận hành, bên cung cấp hệ thống AI hay bên cung cấp mô hình GPAI.
4. Ưu tiên lĩnh vực nhạy cảm: Đặc biệt chú ý nhân sự, sinh trắc học, hạ tầng trọng yếu, giáo dục, dịch vụ công và các quy trình gần với quyết định về cá nhân.
5. Rà soát nhà cung cấp: Với AI mua ngoài, cần biết nhà cung cấp đưa ra tài liệu gì, thông tin rủi ro nào, cập nhật ra sao và cam kết hợp đồng đến đâu.
6. Xây dựng quản trị nội bộ: Thiết lập trách nhiệm, quy trình phê duyệt, đào tạo và lưu trữ tài liệu.
7. Lập kế hoạch cho AI rủi ro cao: Nếu có khả năng thuộc Phụ lục III, hãy xem ngày 2/8/2026 là mốc chuẩn bị trọng yếu, không phải thời điểm mới bắt đầu.

Kết luận

Với EU AI Act, câu hỏi quan trọng nhất cho doanh nghiệp không phải là “có được dùng AI không?”, mà là: use case cụ thể là gì, doanh nghiệp giữ vai trò nào và mốc thời hạn nào áp dụng?

Nếu doanh nghiệp chỉ có vài công cụ AI nội bộ ít nhạy cảm, khối lượng công việc có thể không quá lớn. Tuy vậy, sổ đăng ký AI, quy tắc sử dụng và AI literacy vẫn là nền tảng nên có và trong một số trường hợp được nêu là có liên quan trực tiếp. Nếu doanh nghiệp dùng AI trong lĩnh vực nhạy cảm, cung cấp sản phẩm AI hoặc cung cấp mô hình GPAI, việc rà soát không nên chờ đến năm 2026.