Thuật ngữ về AI, phần mềm và quy định số.

Kết quả AI nghe có vẻ chắc chắn nhưng không có căn cứ trong nguồn hoặc trong thực tế. Hiện tượng này giảm đi, chứ không biến mất, khi câu trả lời dựa trên nguồn được truy xuất, bắt buộc trích dẫn, cho phép hệ thống nói rằng mình không biết và đo tỷ lệ này trong đánh giá.

Thiết kế trong đó một người xem xét, chỉnh sửa hoặc phê duyệt kết quả AI trước khi kết quả đó có hiệu lực. Với hệ thống AI rủi ro cao, Đạo luật AI của EU yêu cầu sự giám sát hiệu quả của con người, do những người có năng lực và thẩm quyền can thiệp thực hiện.

Các biện pháp kiểm soát bao quanh mô hình ngôn ngữ để giữ việc sử dụng trong giới hạn đã thống nhất: kiểm tra đầu vào và đầu ra, giới hạn chủ đề, che dữ liệu cá nhân, kiểm tra quyền trước khi gọi một công cụ và các bước phê duyệt cho thao tác có hệ quả.

Kiểm thử có hệ thống một hệ thống AI trên một bộ câu hỏi hoặc tài liệu tham chiếu, theo các tiêu chí đã thống nhất như độ chính xác, mức độ dựa trên nguồn, tính đầy đủ và việc từ chối trả lời khi không biết. Đánh giá được chạy trước khi đưa vào sử dụng và lặp lại sau mỗi thay đổi về mô hình, prompt hoặc dữ liệu.

Các thực hành giữ cho hệ thống học máy và mô hình ngôn ngữ vận hành ổn định: quản lý phiên bản mô hình, prompt và dữ liệu, đánh giá tự động, quy trình triển khai, và giám sát chất lượng, chi phí và độ trễ.

Mạng nơ-ron được huấn luyện trên lượng văn bản rất lớn để dự đoán từ tiếp theo. Mô hình có thể soạn thảo, tóm tắt, phân loại và trích xuất văn bản bằng nhiều ngôn ngữ, nhưng không phải là cơ sở dữ liệu về sự thật: nếu không dựa trên nguồn của chính tổ chức, mô hình có thể đưa ra câu trả lời trôi chảy nhưng sai.

Nền tảng dữ liệu lưu trữ dữ liệu ở định dạng tệp và bảng mở trên kho lưu trữ đối tượng chi phí thấp, như một data lake, và bổ sung các tính năng của kho dữ liệu: giao dịch, lược đồ, kiểm soát truy cập và SQL. Các định dạng bảng mở như Apache Iceberg và Delta Lake giúp điều này khả thi.

Một tập dữ liệu được quản lý như một sản phẩm: có người phụ trách được chỉ định, lược đồ được mô tả, chỉ số chất lượng được công bố, quy tắc truy cập rõ ràng và thời gian cập nhật đã thống nhất, để các nhóm khác sử dụng mà không cần hỏi nó được xây dựng thế nào.

Phần mềm dùng mô hình ngôn ngữ để lập kế hoạch và thực hiện các bước hướng tới một mục tiêu, như tra cứu một bản ghi, điền biểu mẫu hoặc gọi một API. Tác tử AI hành động trong phạm vi quyền hạn và công cụ được cấp, và mọi bước đều có thể được ghi nhật ký.

Mô hình kiến trúc trong đó hệ thống trước hết truy xuất các đoạn liên quan từ nguồn đã được phê duyệt, như quy trình, chính sách hoặc hồ sơ, rồi để mô hình ngôn ngữ trả lời chỉ dựa trên các đoạn đó. Câu trả lời có thể trích dẫn tài liệu và mục, và quyền truy cập của người dùng được tôn trọng ngay khi truy xuất.

Tìm kiếm theo ý nghĩa thay vì theo từ chính xác. Văn bản được chuyển thành các vector số (embedding), và hệ thống tìm những đoạn có vector gần với câu hỏi. Trong thực tế, cách này thường được kết hợp với tìm kiếm từ khóa, vì mã số, tên riêng và số điều luật cần khớp chính xác.

Đọc, phân loại và trích xuất dữ liệu từ tài liệu như biểu mẫu, hóa đơn, giấy chứng nhận và văn bản scan, bằng cách kết hợp nhận dạng ký tự, phân tích bố cục và mô hình ngôn ngữ. Mỗi giá trị trích xuất đi kèm điểm tin cậy, và giá trị dưới ngưỡng được chuyển cho con người xem xét.

Bản thể hiện số của một tài sản, quy trình hoặc mạng lưới vật lý, được cập nhật liên tục bằng dữ liệu từ đối tượng thật. Bản sao số được dùng để theo dõi tình trạng, thử nghiệm thay đổi trước khi thực hiện và lập kế hoạch bảo trì. Một mô hình 3D không có dữ liệu trực tiếp không phải là bản sao số.

Danh sách ở dạng máy đọc được về các thành phần và thư viện phụ thuộc trong một phần mềm, thường ở định dạng SPDX hoặc CycloneDX. Danh sách này cho thấy nhanh chóng một lỗ hổng mới công bố có ảnh hưởng đến quý vị hay không. Đạo luật Khả năng chống chịu trên không gian mạng của EU yêu cầu nhà sản xuất lập danh sách này cho sản phẩm của mình.

Dịch vụ đám mây trong đó vị trí dữ liệu, việc vận hành dịch vụ và quyền tài phán pháp lý áp dụng cho nó nằm dưới sự kiểm soát của châu Âu hoặc của quốc gia. Định nghĩa khác nhau tùy nơi: các chương trình quốc gia như SecNumCloud tại Pháp bổ sung yêu cầu rõ ràng về bảo vệ trước luật ngoài EU.

Mô hình kiến trúc trong sản xuất, trong đó một bộ trung chuyển sự kiện trung tâm lưu trạng thái hiện tại của nhà máy, sắp xếp theo địa điểm, khu vực, dây chuyền và máy. Các hệ thống phát dữ liệu lên và đăng ký nhận dữ liệu từ đó, thay vì được kết nối với nhau từng cặp một.

Kiến trúc trong đó các hệ thống phát đi sự kiện, tức những dữ kiện như “đã nhận hồ sơ” hoặc “đã xác nhận chỉ số công tơ”, đến một bộ trung chuyển, và các hệ thống khác phản ứng theo nhịp riêng của mình. Cách này tách rời các hệ thống, để một hệ thống có thể thay đổi hoặc gặp lỗi mà không làm dừng các hệ thống khác.

Môi trường đám mây được chuẩn bị sẵn với cấu trúc tài khoản hoặc subscription, danh tính, mạng, chính sách, ghi nhật ký và nền tảng an ninh trước khi khối lượng công việc đầu tiên được đưa lên. Nhờ đó mọi dự án sau đều nhanh hơn và các biện pháp kiểm soát luôn nhất quán.

Cách thay thế từng bước một hệ thống cũ. Một lớp giao diện được đặt trước hệ thống cũ, các chức năng lần lượt được chuyển sang dịch vụ mới phía sau lớp đó, và hệ thống cũ được ngừng sử dụng khi không còn yêu cầu nào đi tới. Cách này tránh một lần chuyển đổi toàn bộ nhiều rủi ro.

Họ tiêu chuẩn IEC (IEC 61970, IEC 61968 và IEC 62325) mô tả lưới điện, tài sản và trao đổi thông tin thị trường trong một mô hình dữ liệu chung. Các đơn vị vận hành lưới điện sử dụng nó để hệ thống quy hoạch, vận hành và thị trường mô tả lưới điện theo cùng một cách.

Mô hình an ninh trong đó không người dùng, thiết bị hay dịch vụ nào được tin cậy chỉ vì vị trí của nó trong mạng. Mọi yêu cầu đều được xác thực, cấp quyền và đánh giá dựa trên danh tính, trạng thái thiết bị và bối cảnh, và quyền truy cập được giới hạn ở mức công việc cần.

Nền tảng trên đám mây để xây dựng và vận hành tích hợp, với các bộ kết nối có sẵn, ánh xạ dữ liệu, điều phối và giám sát ở cùng một nơi. SAP Integration Suite và MuleSoft là các ví dụ.

Cách tiếp cận trong đó giao diện của hệ thống được thiết kế và thống nhất trước, thường dưới dạng đặc tả OpenAPI hoặc AsyncAPI, rồi mới triển khai. Các hệ thống khác, đối tác và giao diện người dùng sau đó tích hợp qua API có tài liệu và có phiên bản, thay vì truy cập trực tiếp vào cơ sở dữ liệu.

Tiêu chuẩn dữ liệu mở cho mô hình thông tin công trình (BIM), do buildingSMART công bố và được ban hành thành ISO 16739-1. Phiên bản IFC 4.3 bổ sung hạ tầng: đường sắt, đường bộ, cảng, đường thủy và cầu, để dữ liệu tài sản đi từ thiết kế, thi công đến vận hành mà không phải nhập lại.

Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an: cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân, tiếp nhận hồ sơ đánh giá tác động và thông báo vi phạm, với Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.

Bộ tiêu chuẩn quốc tế về an ninh cho hệ thống tự động hóa và điều khiển công nghiệp. Bộ tiêu chuẩn chia một cơ sở thành các vùng được nối bằng các kênh dẫn, đặt cấp độ an ninh và phân công trách nhiệm cho chủ sở hữu tài sản, đơn vị tích hợp hệ thống và nhà cung cấp sản phẩm.

Chỉ thị của EU về khả năng chống chịu về vật lý và tổ chức của các thực thể trọng yếu trong mười một ngành, bao gồm năng lượng, giao thông, y tế, nước sinh hoạt và hạ tầng số. Các quốc gia thành viên xác định thực thể trọng yếu của mình trước ngày 17/7/2026; sau đó các thực thể này đánh giá rủi ro và áp dụng biện pháp tăng cường khả năng chống chịu.

Quy định của EU về trí tuệ nhân tạo. Đạo luật phân loại hệ thống AI theo rủi ro: một số hành vi bị cấm, hệ thống rủi ro cao phải đáp ứng yêu cầu về dữ liệu, tài liệu, sự giám sát của con người và độ chính xác, và một số hệ thống có nghĩa vụ minh bạch. Các lệnh cấm áp dụng từ ngày 2/2/2025, nghĩa vụ minh bạch từ ngày 2/8/2026, và nghĩa vụ cho hệ thống rủi ro cao tại Phụ lục III từ ngày 2/12/2027 theo sửa đổi năm 2026. Đạo luật cũng áp dụng với nhà cung cấp và bên triển khai ngoài EU khi kết quả đầu ra của hệ thống AI được sử dụng tại EU.

Quy định của EU về truy cập và sử dụng dữ liệu công bằng, áp dụng từ ngày 12/9/2025. Quy định cho người dùng sản phẩm kết nối quyền truy cập dữ liệu mà sản phẩm đó tạo ra, giúp việc chuyển đổi giữa các dịch vụ đám mây và xử lý dữ liệu dễ dàng hơn, và hạn chế điều khoản hợp đồng không công bằng về chia sẻ dữ liệu.

Quy định của EU đặt ra yêu cầu an ninh mạng cho sản phẩm có thành phần kỹ thuật số, cả phần cứng và phần mềm, được đưa ra thị trường EU. Nhà sản xuất phải xử lý lỗ hổng trong suốt thời gian hỗ trợ và báo cáo các lỗ hổng đang bị khai thác từ ngày 11/9/2026; các nghĩa vụ chính áp dụng từ ngày 11/12/2027.

Quy định của EU về khả năng liên thông xuyên biên giới của dịch vụ khu vực công. Các cơ quan nhà nước phải đánh giá tác động liên thông của dịch vụ công số xuyên châu Âu mới hoặc được thay đổi, và có thể chia sẻ, tái sử dụng các giải pháp liên thông qua một cổng chung.

Quy định của EU về khả năng chống chịu hoạt động số của lĩnh vực tài chính, áp dụng từ ngày 17/1/2025. Quy định bao gồm quản lý rủi ro ICT, báo cáo sự cố, kiểm tra khả năng chống chịu và quản lý nhà cung cấp dịch vụ ICT bên thứ ba, kể cả yêu cầu về hợp đồng và sổ đăng ký thông tin.

Chỉ thị của EU yêu cầu một số sản phẩm và dịch vụ phải dễ tiếp cận với người khuyết tật, bao gồm thương mại điện tử, dịch vụ ngân hàng cho người tiêu dùng, sách điện tử, trang web, ứng dụng và vé điện tử của dịch vụ vận tải hành khách. Chỉ thị áp dụng thông qua luật quốc gia từ ngày 28/6/2025, cho sản phẩm và dịch vụ đưa ra thị trường EU.

Hệ thống của EU, được thiết lập theo Quy định về cổng số một cửa, qua đó các cơ quan nhà nước trao đổi giấy tờ chính thức xuyên biên giới theo yêu cầu rõ ràng của người dân hoặc doanh nghiệp, để mọi người không phải nộp lại giấy tờ mà cơ quan nhà nước đã có. Các nghĩa vụ của hệ thống áp dụng từ ngày 12/12/2023.

Hệ thống mạng đấu thầu quốc gia do Bộ Tài chính quản lý. Khung pháp lý là Luật Đấu thầu số 22/2023/QH15, có hiệu lực từ ngày 1/1/2024, được sửa đổi, bổ sung bởi Luật số 57/2024/QH15 và Luật số 90/2025/QH15.

Hóa đơn điện tử tại Việt Nam được quy định tại Nghị định số 254/2026/NĐ-CP, có hiệu lực từ ngày 1/7/2026, thay thế Nghị định số 123/2020/NĐ-CP và Nghị định số 70/2025/NĐ-CP. Đây là quy định trong nước, tách biệt với Peppol, chuẩn trao đổi hóa đơn điện tử được sử dụng tại châu Âu.

Bộ hướng dẫn của W3C về nội dung web dễ tiếp cận, gồm các tiêu chí thành công ở mức A, AA và AAA. Mức AA là mục tiêu thường gặp trong đấu thầu và pháp luật; phiên bản hiện hành là WCAG 2.2, và tiêu chuẩn châu Âu EN 301 549 được xây dựng dựa trên bộ hướng dẫn này.

Tiêu chuẩn quốc tế về hệ thống quản lý an toàn thông tin. Một tổ chức đạt chứng nhận theo tiêu chuẩn này có một hệ thống đã được đánh giá để xác định rủi ro an ninh, lựa chọn biện pháp kiểm soát và cải tiến chúng theo thời gian. FromNine đạt chứng nhận ISO/IEC 27001.

Luật An ninh mạng số 116/2025/QH15, được thông qua ngày 10/12/2025 và có hiệu lực từ ngày 1/7/2026, thay thế Luật An toàn thông tin mạng số 86/2015/QH13 và Luật An ninh mạng số 24/2018/QH14.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, được thông qua ngày 26/6/2025 và có hiệu lực từ ngày 1/1/2026, được quy định chi tiết bởi Nghị định số 356/2025/NĐ-CP; Nghị định số 13/2023/NĐ-CP hết hiệu lực từ cùng ngày. Luật áp dụng cả với tổ chức nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam (điểm c khoản 2 Điều 1).

Trừ các trường hợp được miễn, luật yêu cầu hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, gửi cơ quan chuyên trách trong vòng 60 ngày kể từ lần chuyển đầu tiên (Điều 20), hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, gửi trong vòng 60 ngày kể từ ngày đầu tiên xử lý (Điều 21), và thông báo vi phạm trong vòng 72 giờ kể từ khi phát hiện đối với các trường hợp tại Điều 23.

Luật Chuyển đổi số (Luật số 148/2025/QH15), có hiệu lực từ ngày 1/7/2026, thay thế Luật Công nghệ thông tin. Các yêu cầu tối thiểu của luật, trong đó có khả năng tiếp cận, bắt buộc đối với hệ thống của Nhà nước, hệ thống phục vụ lợi ích công cộng, dịch vụ số thiết yếu và doanh nghiệp được giao cung cấp dịch vụ công, và được khuyến khích áp dụng với các tổ chức khác.

Luật Dữ liệu số 60/2024/QH15, có hiệu lực từ ngày 1/7/2025. Nghị định số 165/2025/NĐ-CP quy định việc chuyển dữ liệu cốt lõi và dữ liệu quan trọng ra nước ngoài phải được chấp thuận.

Luật Trí tuệ nhân tạo số 134/2025/QH15, được thông qua ngày 10/12/2025 và có hiệu lực từ ngày 1/3/2026, được quy định chi tiết bởi Nghị định số 142/2026/NĐ-CP (có hiệu lực từ ngày 1/5/2026). Luật thay thế chương về trí tuệ nhân tạo của Luật Công nghiệp công nghệ số. Các hệ thống AI đã đưa vào hoạt động trước khi luật có hiệu lực có thời gian chuyển tiếp đến ngày 1/3/2027, hoặc đến ngày 1/9/2027 trong lĩnh vực y tế, giáo dục và tài chính.

Chỉ thị của EU về an ninh mạng cho các thực thể thiết yếu và quan trọng trong các ngành như năng lượng, giao thông, y tế, hạ tầng số và hành chính công. Chỉ thị yêu cầu biện pháp quản lý rủi ro, an ninh chuỗi cung ứng và báo cáo sự cố: cảnh báo sớm trong vòng 24 giờ và thông báo trong vòng 72 giờ. Chỉ thị áp dụng thông qua luật quốc gia, khác nhau giữa các nước thành viên.

Mạng lưới quốc tế và bộ đặc tả để trao đổi chứng từ kinh doanh có cấu trúc, như hóa đơn và đơn đặt hàng, qua các điểm truy cập được chứng nhận. Bỉ yêu cầu hóa đơn điện tử có cấu trúc giữa các doanh nghiệp từ ngày 1/1/2026, với Peppol là kênh mặc định. Hóa đơn điện tử trong nước tại Việt Nam tuân theo quy định riêng, tách biệt với Peppol.

Quy định của EU về xử lý dữ liệu cá nhân, áp dụng từ ngày 25/5/2018. Quy định đặt ra các nguyên tắc như giới hạn mục đích và tối thiểu hóa dữ liệu, quyền của chủ thể dữ liệu, và nghĩa vụ của bên kiểm soát và bên xử lý, kể cả đánh giá tác động đối với hoạt động xử lý có rủi ro cao. GDPR cũng áp dụng với bên kiểm soát ngoài EU khi cung cấp hàng hóa, dịch vụ cho người tại EU hoặc theo dõi hành vi của họ tại đó.

Ứng dụng ví theo Quy định eIDAS sửa đổi, trong đó người dân có thể lưu dữ liệu danh tính và các chứng thực như bằng cấp hoặc giấy phép, chỉ chia sẻ những gì một dịch vụ cần và ký tài liệu. Mỗi quốc gia thành viên phải cung cấp ít nhất một ví, và nhiều dịch vụ công và tư sẽ phải chấp nhận ví này.

Ứng dụng định danh quốc gia VNeID theo Nghị định số 69/2024/NĐ-CP (có hiệu lực từ ngày 1/7/2024), có tài khoản định danh điện tử cho tổ chức. Ứng dụng gắn với Đề án 06 (Quyết định số 06/QĐ-TTg ngày 6/1/2022) về dữ liệu dân cư và định danh điện tử.