Đạo luật AI của EU cho cơ quan nhà nước: cần chuẩn bị gì trước tháng 12/2027

01Tình hình vào mùa thu năm 2026

Đạo luật AI (mở trang web bên ngoài), tức Quy định (EU) 2024/1689, có hiệu lực từ ngày 1/8/2024 và được áp dụng theo từng giai đoạn. Tháng 7/2026, EU thông qua gói Digital Omnibus về AI, Quy định (EU) 2026/1744 (mở trang web bên ngoài), lùi thời hạn áp dụng các quy định rủi ro cao và sửa đổi một số điều khoản khác. Quy định này có hiệu lực từ ngày 27/7/2026, chỉ vài ngày trước mốc rủi ro cao ban đầu.

Kết quả là một lộ trình trong đó một số nghĩa vụ đã áp dụng, một số đến vào cuối năm nay, và những nghĩa vụ nặng nhất với cơ quan nhà nước trong vai trò bên triển khai đến vào tháng 12/2027.

Gói Omnibus cũng viết lại Điều 4 về hiểu biết AI. Nhà cung cấp và bên triển khai nay phải có biện pháp hỗ trợ hiểu biết AI của nhân sự, thay vì bảo đảm một mức hiểu biết đầy đủ. Nghĩa vụ vẫn còn; điều cần chứng minh đã thay đổi. Đào tạo phù hợp với từng vai trò, kèm hồ sơ lưu lại, vẫn là cách đáp ứng hợp lý.

02Nhà cung cấp hay bên triển khai?

Phần lớn cơ quan nhà nước là bên triển khai: họ sử dụng hệ thống AI dưới thẩm quyền của mình. Một tổ chức là nhà cung cấp khi phát triển một hệ thống AI, hoặc thuê phát triển, rồi đưa vào sử dụng dưới tên của mình. Điều này bao gồm cả hệ thống do đội ngũ nội bộ hoặc nhà thầu xây dựng theo đặc tả của tổ chức.

Vai trò cũng có thể thay đổi. Theo Điều 25, bên triển khai thay đổi đáng kể một hệ thống rủi ro cao, hoặc thay đổi mục đích sử dụng khiến hệ thống trở thành rủi ro cao, sẽ phải gánh nghĩa vụ của nhà cung cấp. Hãy ghi rõ vai trò dự kiến trong hồ sơ mời thầu và hợp đồng, để không ai phát hiện ra chúng trong một cuộc kiểm toán.

03Ý nghĩa với doanh nghiệp và độc giả tại Việt Nam

Các nghĩa vụ của bên triển khai trong bài này ràng buộc cơ quan nhà nước tại EU. Đạo luật AI của EU áp dụng cho nhà cung cấp đưa hệ thống AI ra thị trường EU, dù được thành lập ở đâu, và cả cho nhà cung cấp và bên triển khai ở ngoài EU nếu kết quả đầu ra của hệ thống AI được sử dụng tại EU (điểm a và điểm c khoản 1 Điều 2). Một công ty phần mềm tại Việt Nam phát triển hệ thống AI cho khách hàng khu vực công ở châu Âu vì vậy có thể là nhà cung cấp theo Đạo luật, và khách hàng sẽ yêu cầu hướng dẫn sử dụng, hồ sơ đánh giá sự phù hợp và quyền truy cập nhật ký như nêu trong kế hoạch dưới đây.

Cơ quan nhà nước tại Việt Nam thực hiện theo khung pháp lý riêng. Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ ngày 1/3/2026, được quy định chi tiết bởi Nghị định số 142/2026/NĐ-CP (có hiệu lực từ ngày 1/5/2026), với thời gian chuyển tiếp cho hệ thống AI đã đưa vào hoạt động đến ngày 1/3/2027, hoặc đến ngày 1/9/2027 trong lĩnh vực y tế, giáo dục và tài chính. Chiến lược quốc gia về trí tuệ nhân tạo đến năm 2030, tầm nhìn đến năm 2045 được ban hành theo Quyết định số 1671/QĐ-TTg ngày 28/8/2026. Với độc giả tại Việt Nam, cách châu Âu tổ chức danh mục, giám sát của con người và ghi nhật ký có thể là tài liệu tham khảo, không phải nghĩa vụ.

04Tình huống sử dụng nào là rủi ro cao?

Phụ lục III liệt kê các lĩnh vực mà hệ thống AI trong đó được coi là rủi ro cao. Với cơ quan nhà nước, các lĩnh vực liên quan nhất là:

• Tiếp cận dịch vụ công thiết yếu và phúc lợi: đánh giá điều kiện hưởng, cấp, giảm, thu hồi hoặc đòi lại phúc lợi và dịch vụ.
• Di cư, tị nạn và kiểm soát biên giới, thực thi pháp luật và quản lý tư pháp.
• Giáo dục và đào tạo nghề: tuyển sinh, đánh giá kết quả học tập, giám sát trong khi thi.
• Việc làm: tuyển dụng, thăng chức, phân công công việc và giám sát nhân sự. Cơ quan nhà nước cũng là người sử dụng lao động.
• Hạ tầng trọng yếu: thành phần an toàn trong quản lý hạ tầng số, giao thông đường bộ và các dịch vụ điện, nước, khí đốt.

Thuộc một lĩnh vực của Phụ lục III chưa phải là kết luận cuối cùng. Theo khoản 3 Điều 6, một hệ thống trong lĩnh vực đó không phải rủi ro cao khi không gây rủi ro đáng kể, chẳng hạn vì nó thực hiện một tác vụ thủ tục hẹp, cải thiện kết quả của công việc con người đã hoàn thành, phát hiện mẫu hình mà không thay thế đánh giá của con người, hoặc thực hiện một tác vụ chuẩn bị. Hệ thống lập hồ sơ đặc điểm cá nhân (profiling) luôn là rủi ro cao. Nếu dựa vào ngoại lệ này, hãy ghi lại lập luận.

Nhiều công cụ hữu ích hoàn toàn không phải rủi ro cao: hỗ trợ soạn thảo, tìm kiếm tri thức nội bộ, dịch thuật, tóm tắt. Nghĩa vụ minh bạch và GDPR vẫn áp dụng cho các công cụ này, nhưng chế độ rủi ro cao thì không.

05Bên triển khai hệ thống rủi ro cao phải làm gì

Từ ngày 2/12/2027, một cơ quan nhà nước triển khai hệ thống rủi ro cao thuộc Phụ lục III có các nghĩa vụ theo Điều 26 (mở trang web bên ngoài). Các nghĩa vụ chính:

• Sử dụng hệ thống theo hướng dẫn sử dụng của nhà cung cấp, với biện pháp kỹ thuật và tổ chức phù hợp.
• Giao việc giám sát của con người cho những người có năng lực, được đào tạo và có thẩm quyền cần thiết, và hỗ trợ họ.
• Bảo đảm dữ liệu đầu vào thuộc quyền kiểm soát của mình phù hợp và đủ tính đại diện cho mục đích dự kiến.
• Theo dõi hoạt động của hệ thống, và thông báo không chậm trễ cho nhà cung cấp và cơ quan chức năng về rủi ro và sự cố nghiêm trọng.
• Lưu nhật ký do hệ thống tự động tạo ra trong ít nhất sáu tháng, trừ khi pháp luật khác của Liên minh hoặc quốc gia quy định khác.
• Thông báo cho đại diện người lao động và nhân sự chịu tác động trước khi sử dụng hệ thống rủi ro cao tại nơi làm việc.
• Với tư cách cơ quan nhà nước, đăng ký việc sử dụng hệ thống vào cơ sở dữ liệu của EU trước khi đưa vào sử dụng (khoản 8 Điều 26 và Điều 49). Hệ thống chưa đăng ký không được sử dụng.
• Thông báo cho người dân khi một hệ thống rủi ro cao được dùng để ra quyết định, hoặc hỗ trợ ra quyết định, liên quan đến họ (khoản 11 Điều 26). Người dân cũng có quyền được giải thích về quyết định cá nhân (Điều 86).

Đánh giá tác động đến quyền cơ bản

Theo Điều 27 (mở trang web bên ngoài), các tổ chức chịu sự điều chỉnh của luật công, và tổ chức tư nhân cung cấp dịch vụ công, phải đánh giá tác động đến quyền cơ bản trước khi sử dụng lần đầu phần lớn các hệ thống thuộc Phụ lục III. Hệ thống dành cho hạ tầng trọng yếu được loại trừ. Bản đánh giá mô tả:

1. 01các quy trình sẽ sử dụng hệ thống, phù hợp với mục đích dự kiến;
2. 02thời gian và tần suất sử dụng;
3. 03các nhóm người và cộng đồng có khả năng chịu tác động;
4. 04các rủi ro gây hại cụ thể đối với những người đó;
5. 05cách thực hiện giám sát của con người;
6. 06những gì xảy ra nếu rủi ro trở thành hiện thực, gồm cơ chế quản trị nội bộ và cơ chế khiếu nại.

Kết quả được thông báo cho cơ quan giám sát thị trường. Bản đánh giá bổ sung, và có thể kế thừa, đánh giá tác động bảo vệ dữ liệu theo Điều 35 GDPR, vì vậy nên thực hiện cả hai cùng lúc. Khoản 5 Điều 27 giao Văn phòng AI (AI Office) xây dựng bảng câu hỏi mẫu; hãy kiểm tra tình trạng của mẫu này trước khi tự thiết kế. Một số quốc gia đã có phương pháp riêng, như phương pháp đánh giá tác động đến quyền con người và thuật toán của Chính phủ Hà Lan (Impact Assessment Mensenrechten en Algoritmes, IAMA).

06Nghĩa vụ minh bạch đã áp dụng

Điều 50 áp dụng từ ngày 2/8/2026. Nhà cung cấp phải thiết kế hệ thống tương tác với con người sao cho người dùng được biết họ đang tương tác với một hệ thống AI, trừ khi điều đó đã hiển nhiên, và phải đánh dấu nội dung tổng hợp theo cách máy đọc được. Bên triển khai phải công khai deepfake, và công khai văn bản do AI tạo ra hoặc chỉnh sửa được đăng tải để thông tin cho công chúng về các vấn đề lợi ích công, trừ khi văn bản đã được con người xem xét và có người chịu trách nhiệm biên tập.

Với một cơ quan nhà nước, trường hợp phổ biến nhất là trợ lý trò chuyện trên trang web hoặc trong một kênh dịch vụ. Hãy nói rõ đó là hệ thống AI, giải thích nó có thể và không thể giúp gì, và cung cấp cách liên hệ với một người.

07Kế hoạch chuẩn bị cho năm 2026 và 2027

1. 01Lập danh mục, ngay bây giờ. Liệt kê mọi hệ thống AI đang dùng hoặc đang mua sắm, kể cả tính năng AI bên trong các nền tảng đã có giấy phép. Ghi lại người phụ trách, mục đích, nhà cung cấp, dữ liệu sử dụng và những người chịu tác động.
2. 02Phân loại, trước đầu năm 2027. Bị cấm, rủi ro cao (kèm lập luận theo khoản 3 Điều 6), chỉ có nghĩa vụ minh bạch, hoặc rủi ro tối thiểu. Ghi lại vai trò nhà cung cấp hay bên triển khai cho từng hệ thống.
3. 03Chỉnh sửa hợp đồng, trong năm 2027. Yêu cầu nhà cung cấp cung cấp hướng dẫn sử dụng, hồ sơ đánh giá sự phù hợp và quyền truy cập nhật ký. Đưa việc hỗ trợ đánh giá tác động và báo cáo sự cố thành điều khoản hợp đồng.
4. 04Thiết kế cơ chế giám sát. Chỉ định các vai trò, đào tạo họ, trao thẩm quyền bác bỏ và đường báo cáo vượt cấp. Thiết kế để chống thiên kiến tự động hóa; bài viết Khi nào tác tử AI cần con người phê duyệt trình bày cách làm.
5. 05Thiết lập ghi nhật ký và theo dõi. Lưu nhật ký ít nhất sáu tháng, xác định thế nào là sự cố nghiêm trọng và ai báo cáo.
6. 06Trước lần sử dụng đầu tiên. Thực hiện đánh giá tác động đến quyền cơ bản cùng đánh giá tác động bảo vệ dữ liệu (DPIA), đăng ký vào cơ sở dữ liệu của EU, và thông báo cho nhân sự và những người chịu tác động.
7. 07Duy trì hiểu biết AI. Đào tạo theo vai trò cho người dùng, người duyệt và người ra quyết định, cập nhật khi hệ thống thay đổi, kèm hồ sơ ai đã được đào tạo.

08Chế tài và thực thi

Các quốc gia thành viên tự ban hành quy định về chế tài. Khoản 8 Điều 99 cho phép mỗi quốc gia thành viên quyết định có áp dụng phạt tiền hành chính đối với cơ quan và tổ chức công được thành lập tại quốc gia đó hay không, và ở mức nào. Đó không phải lý do để chờ đợi. Cơ quan giám sát thị trường vẫn có thể yêu cầu khắc phục, và tính chính danh của một quyết định công phụ thuộc vào việc quyết định đó có thể được giải thích và bị khiếu nại hay không.

09Cần theo dõi gì trong những tháng tới

• Hướng dẫn của Ủy ban châu Âu về phân loại hệ thống rủi ro cao (khoản 5 Điều 6), cùng hướng dẫn về các hành vi bị cấm (mở trang web bên ngoài) đã ban hành.
• Các tiêu chuẩn hài hòa cho yêu cầu rủi ro cao, mà nhà cung cấp sẽ dùng để chứng minh sự phù hợp.
• Việc chỉ định cơ quan giám sát thị trường tại từng quốc gia thành viên, và hướng dẫn đầu tiên của họ cho cơ quan nhà nước trong vai trò bên triển khai.
• Mẫu đánh giá tác động đến quyền cơ bản của Văn phòng AI.

AI Act Service Desk (mở trang web bên ngoài) của Ủy ban châu Âu cập nhật lộ trình chính thức và phần giải thích từng điều. Hãy lưu trang này, và ghi ngày cho mọi ghi chú nội bộ về Đạo luật: đây là văn bản vẫn đang thay đổi.