Từ 2/8/2026, EU AI Act phạt AI rủi ro cao tới 3% doanh thu

Hôm nay, ngày 2/8/2026, Điều 9 đến Điều 17 và Điều 26 của EU AI Act chính thức có hiệu lực. Nếu sản phẩm AI của bạn chạm tới một người dùng hay một doanh nghiệp ở châu Âu, bạn không còn thời gian để trì hoãn nữa.

Bạn phải tuân thủ những điều khoản nào

Điều 9 đến Điều 17 đặt ra nghĩa vụ cho nhà cung cấp hệ thống AI rủi ro cao: bạn phải xây dựng hệ thống quản lý rủi ro, kiểm soát chất lượng dữ liệu huấn luyện, ghi log đầy đủ, đảm bảo minh bạch với người dùng cuối, và duy trì khả năng giám sát của con người trong suốt vòng đời sản phẩm. Điều 26 bổ sung nghĩa vụ cho bên triển khai, tức công ty đang vận hành hệ thống đó trong thực tế. Bạn giám sát nhân viên bằng công cụ chấm điểm AI? Bạn dùng AI để duyệt hồ sơ vay hay xét tuyển ứng viên? Cả hai vai trò, nhà cung cấp và bên triển khai, đều nằm trong phạm vi điều chỉnh từ hôm nay.

Điều 15 buộc bạn nghĩ lại về bảo mật

Phần đáng chú ý nhất nằm ở Điều 15: hệ thống AI rủi ro cao phải chống chịu được các cuộc tấn công đối kháng (adversarial attack) trên toàn bộ lớp hành động của hệ thống, không chỉ ở đầu ra của model. Nghĩa là bạn không thể chỉ kiểm tra xem model có bị đánh lừa bởi một input độc hại hay không. Bạn phải bảo vệ cả pipeline, từ khâu tiền xử lý dữ liệu, tới bước ra quyết định, tới hành động cuối cùng mà hệ thống thực hiện. Đội bảo mật của bạn đã từng test kịch bản nào như vậy chưa? Nếu chưa, đây là lúc bắt đầu.

Bạn đã chuẩn bị đủ hồ sơ trước ngày này chưa

Trước 2/8, các công ty bị ảnh hưởng phải hoàn tất đánh giá sự phù hợp (conformity assessment), hoàn thiện tài liệu kỹ thuật, gắn nhãn CE, và đăng ký hệ thống vào cơ sở dữ liệu của EU. Nếu bạn làm việc trong lĩnh vực nhận diện sinh trắc học, hạ tầng trọng yếu, hoặc thực thi pháp luật, hồ sơ của bạn còn phải qua một notified body độc lập đánh giá. Bạn đã nộp hồ sơ chưa? Nếu câu trả lời là chưa, bạn đang vận hành một hệ thống không hợp lệ theo luật, kể từ hôm nay.

Trụ sở ở Mỹ hay châu Á không giúp bạn thoát

EU AI Act áp dụng cho ba nhóm: nhà cung cấp đưa hệ thống AI ra thị trường EU, bên triển khai vận hành hệ thống rủi ro cao trong EU, và cả tổ chức ngoài EU có đầu ra AI được sử dụng tại EU. Công ty bạn đặt trụ sở ở San Francisco hay Singapore không quan trọng. Nếu một khách hàng doanh nghiệp ở Đức hay Pháp đang dùng sản phẩm AI của bạn, bạn vẫn chịu sự điều chỉnh của luật này. Rất nhiều startup AI Mỹ và châu Á đang phát hiện ra điều đó ngay lúc này, khi luật sư của khách hàng châu Âu bắt đầu gửi câu hỏi về conformity assessment.

💶 Cái giá của việc phớt lờ

Mức phạt cho vi phạm lên tới 15 triệu Euro hoặc 3% doanh thu toàn cầu hàng năm, tùy mức nào cao hơn. Với một công ty doanh thu 500 triệu Euro, 3% tương đương 15 triệu Euro, đủ để xóa sổ lợi nhuận cả năm. Bạn đang phục vụ khách hàng châu Âu, dù trực tiếp hay qua một đối tác trung gian? Đây là lúc bạn ngồi lại với đội pháp lý, rà soát từng hệ thống AI đang chạy, và xác nhận xem hệ thống nào thuộc nhóm rủi ro cao.

Bạn đã kiểm tra hệ thống AI của mình theo Điều 15 chưa, hay vẫn đang chờ khách hàng châu Âu hỏi trước?

#VibeAICoder #EUAIAct #AICompliance #AIRegulation #TechLaw