Ngày 2 tháng 8 năm 2026 không phải là soft launch. Đó là ngày Văn phòng AI châu Âu có được quyền điều tra chính thức theo EU AI Act — khả năng yêu cầu tài liệu, tiến hành điều tra, và áp đặt tiền phạt. Nếu sản phẩm của bạn tiếp cận người dùng ở EU và sử dụng LLM, bạn đang trong phạm vi.
Hầu hết engineering team chưa bắt đầu lên kế hoạch tuân thủ. Những team đã làm hầu hết đang lên kế hoạch cho tầng sai — các nghĩa vụ AI rủi ro cao được hiển thị và thảo luận nhiều, không có hiệu lực cho đến tháng 12 năm 2027 hoặc tháng 8 năm 2028. Các nghĩa vụ có hiệu lực ngay hôm nay khác, đơn giản hơn, và đối với hầu hết software team, có thể thực hiện ngay.
Đây là phân tích kỹ thuật về những gì có hiệu lực ngay bây giờ, những gì sắp đến, và những gì team bạn thực sự nên làm.
Có Hiệu Lực Hôm Nay: Nghĩa Vụ Minh Bạch Article 50
Article 50 của EU AI Act là chương minh bạch, và nó có thể thực thi từ ngày 2 tháng 8 năm 2026. Nó bao gồm ba danh mục:
Hệ thống AI tương tác phải công bố chúng là AI. Bất kỳ chatbot, trợ lý ảo, hoặc giao diện AI-powered nào tương tác với người tự nhiên theo thời gian thực phải rõ ràng công bố với người dùng rằng họ đang tương tác với hệ thống AI — không phải con người — một cách kịp thời. Ngoại lệ là khi điều này “rõ ràng từ context” (trợ lý AI được gắn nhãn rõ ràng), nhưng “rõ ràng từ context” được diễn giải hẹp. Nếu có bất kỳ sự mơ hồ nào, bạn cần công bố rõ ràng.
Nội dung do AI tạo ra phải mang machine-readable marks. Hình ảnh, video, và âm thanh do AI tạo ra phải được đánh dấu bằng watermarking machine-readable hoặc phương tiện kỹ thuật khác cho phép phát hiện tự động. Tiêu chuẩn C2PA (Coalition for Content Provenance and Authenticity) là implementation hàng đầu: ký điện tử mật mã của nội dung media nhúng metadata nguồn gốc. Quy định không bắt buộc C2PA cụ thể, nhưng đó là tiêu chuẩn de facto và hơn 180 tổ chức đã đồng chỉnh theo nó theo Code of Practice của EU về minh bạch nội dung AI.
Nhận diện cảm xúc và phân loại sinh trắc học phải được gắn nhãn. Bất kỳ hệ thống nào sử dụng AI để phân tích hoặc phân loại trạng thái cảm xúc của con người hoặc để phân loại người tự nhiên theo dữ liệu sinh trắc học phải gắn nhãn rõ ràng các khả năng đó cho người dùng.
Điều article không làm: không cấm các hệ thống này hay đòi hỏi ủy quyền đặc biệt. Nó đòi hỏi minh bạch. Chatbot là ổn; chatbot không nói với người dùng đó là chatbot thì không.
Chưa Có Hiệu Lực: Các Nghĩa Vụ Rủi Ro Cao
Các yêu cầu hệ thống AI rủi ro cao — các phần của AI Act được đưa tin nhiều nhất trong báo chí và thảo luận tuân thủ — bị hoãn lại theo chỉ thị Digital Omnibus:
- Hệ thống AI rủi ro cao Annex III (công cụ tuyển dụng, chấm điểm tín dụng, nhận dạng sinh trắc học, đánh giá giáo dục, AI cơ sở hạ tầng quan trọng): thực thi bắt đầu ngày 2 tháng 12 năm 2027
- AI nhúng trong sản phẩm được quản lý (thiết bị y tế, hệ thống an toàn, sản phẩm tiêu dùng theo chỉ thị CE hiện có): thực thi bắt đầu ngày 2 tháng 8 năm 2028
Điều này có nghĩa là công cụ tuyển dụng tự động, công cụ sàng lọc ứng viên, hay AI chấm điểm tín dụng của bạn có 16 tháng trước khi nghĩa vụ được thực thi. Thiết bị y tế AI của bạn có hai năm. Thời gian rảnh là có thật, nhưng cơ sở hạ tầng quản trị bạn xây dựng bây giờ cho Article 50 là nền tảng bạn sẽ mở rộng — xây dựng hai lần vì bạn không bắt đầu sớm là điều tránh được.
Các Yêu Cầu Tài Liệu GPAI
Nhà cung cấp mô hình AI đa năng đối mặt với track thứ ba: nghĩa vụ tài liệu cho các mô hình có khả năng đa năng rộng. Điều này áp dụng cho nhà cung cấp mô hình, không chỉ người dùng chúng. Nhưng nếu bạn đã fine-tune một foundation model hoặc sửa đổi base model để phân phối, bạn có thể là nhà cung cấp.
Nhà cung cấp GPAI model phải duy trì:
- Tài liệu kỹ thuật của mô hình
- Tóm tắt dữ liệu training (không phải toàn bộ dataset, mà các danh mục, nguồn, và phạm vi)
- Chính sách tuân thủ bản quyền thể hiện cách xử lý quyền dữ liệu training
- Tuân thủ Code of Practice về minh bạch
Điều này có tác động ngay lập tức cho các team thực hiện fine-tuning đáng kể và phân phối AI model nội bộ hoặc bên ngoài. Verify liệu tài liệu tuân thủ của nhà cung cấp của bạn có tồn tại và liệu các fine-tuned model của chính bạn có kích hoạt nghĩa vụ nhà cung cấp không.
Checklist Kỹ Thuật: Phải Làm Gì Ngay Bây Giờ
Ngay Lập Tức (có hiệu lực từ 2 tháng 8 năm 2026)
1. Kiểm toán tất cả tương tác AI người dùng. Map mọi touchpoint nơi sản phẩm của bạn sử dụng AI để tương tác với người dùng EU. Điều này bao gồm: chatbot, AI assistant, tự động hóa hỗ trợ khách hàng, nội dung do AI tạo trong email, hình ảnh hoặc video do AI tạo trong sản phẩm. Câu hỏi cho mỗi cái: người dùng có biết họ đang tương tác với AI hoặc nội dung do AI tạo không?
2. Triển khai disclosure cho chatbot và AI assistant. Triển khai kỹ thuật đơn giản: nhãn rõ ràng hoặc thông báo disclosure khi bắt đầu session cho bất kỳ AI tương tác nào. Nên đọc là “Bạn đang nói chuyện với AI assistant” — đủ cụ thể để đáp ứng yêu cầu “timely disclosure.” Ghi lại ngày triển khai.
3. Thêm C2PA marking cho media do AI tạo nếu bạn tạo nó.
Nếu sản phẩm của bạn tạo hình ảnh, video, hoặc âm thanh bằng AI và deliver chúng cho người dùng EU, bạn cần C2PA metadata. Python c2pa-python SDK và Node.js tương đương có sẵn. Integration thường đòi hỏi: ký nội dung được tạo với certificate, nhúng C2PA manifest, surface provenance trong UI hoặc cho phép verification bên ngoài. Nếu bạn dùng third-party generation service (OpenAI, Google Imagen, v.v.), kiểm tra liệu họ đã thêm C2PA mark chưa — một số làm, và nó có thể thỏa mãn nghĩa vụ của bạn mà không cần thêm công việc.
4. Tạo compliance log. Thực thi EU được thúc đẩy bằng tài liệu. Điều tra viên kiểm tra xem bạn có biết về nghĩa vụ và có thực hiện các bước để đáp ứng chúng không. Log đơn giản về: những gì bạn đã kiểm toán, những disclosure nào bạn đã thêm, khi nào, và ai sở hữu ongoing compliance, là bằng chứng có ý nghĩa về good faith compliance — và thiếu nó là bằng chứng có ý nghĩa về điều ngược lại.
Ngắn Hạn (Q3-Q4 2026)
5. Map tài liệu GPAI provider của bạn. Yêu cầu hoặc verify rằng mọi LLM API bạn sử dụng đã xuất bản tài liệu tuân thủ GPAI. Các nhà cung cấp lớn (Anthropic, OpenAI, Google DeepMind) đã xuất bản hoặc đang xuất bản compliance doc. Các mô hình nhỏ hơn hoặc open-source được sử dụng trong production là khu vực gap. Ghi lại các nhà cung cấp nào bạn đã verify.
6. Bắt đầu inventory hệ thống rủi ro cao. Ngay cả với 16 tháng trước khi thực thi, giai đoạn inventory cho hệ thống AI rủi ro cao mất nhiều thời gian hơn team mong đợi. Technical inventory đơn giản: bạn vận hành hệ thống AI nào, chúng ảnh hưởng đến quyết định nào? Regulatory mapping khó hơn: hệ thống này có thuộc các danh mục Annex III không? Câu hỏi đó được hưởng lợi từ legal review sớm trước khi sprint phút chót.
7. Đánh giá liệu triển khai C2PA của bạn có bao gồm tất cả kênh nội dung được tạo. C2PA signing tại thời điểm generation là table stakes, nhưng nội dung thường di chuyển: nhúng trong email, xuất sang third-party platform, chia sẻ qua API response. Mỗi kênh nơi người dùng EU nhận nội dung do AI tạo là điểm disclosure. Kiểm toán content distribution path của bạn.
Tầm Nhìn Lập Kế Hoạch (2027-2028)
8. Xây dựng nền tảng tuân thủ bây giờ cho yêu cầu Annex III. Hệ thống AI rủi ro cao sẽ đòi hỏi: conformity assessment, cơ chế human oversight, logging quyết định hệ thống để kiểm toán, tài liệu độ chính xác và độ bền, và đăng ký trong cơ sở dữ liệu hệ thống AI EU. Infrastructure kỹ thuật cho decision logging và human oversight là mục dẫn đầu dài — bạn cần 6-12 tháng log quyết định lịch sử để chứng minh hành vi hệ thống cho conformity assessment. Bắt đầu logging đó vào năm 2026 có nghĩa là bạn có nó khi thực thi đến. Bắt đầu vào cuối năm 2027 là quá muộn.
9. Thiết lập AI governance owner. EU AI Act là thực thi lặp đi lặp lại — kiểm toán viên kiểm tra xem bạn có quy trình quản trị không, không chỉ triển khai kỹ thuật. Gán một người hoặc team được đặt tên là AI compliance owner trước khi thực thi là lợi thế. Vai trò sở hữu đó nên bao gồm: theo dõi timeline nghĩa vụ, duy trì compliance log, sở hữu quan hệ tài liệu nhà cung cấp, và review tính năng AI mới dựa trên yêu cầu Article 50 trước khi ra mắt.
Tiêu Chuẩn Content Provenance: C2PA Thực Sự Là Gì
C2PA xứng đáng có ghi chú kỹ thuật ngắn vì nó có thể không quen thuộc với hầu hết engineering team và việc triển khai đơn giản hơn nghe có vẻ.
C2PA là tiêu chuẩn ký điện tử mật mã cho media file. Cơ chế: khi bạn tạo nội dung AI, bạn tạo C2PA manifest — cấu trúc JSON chứa provenance metadata (người tạo, timestamp, AI model được sử dụng, bất kỳ lịch sử chỉnh sửa nào) — và ký nó bằng certificate. Chữ ký và manifest được nhúng vào hoặc liên kết với media file. Bất kỳ viewer tương thích C2PA nào có thể verify chữ ký và surface thông tin provenance.
Certificate đến từ Content Credentials provider. Adobe, Google, Microsoft, và CAI (Content Authenticity Initiative) vận hành certificate infrastructure. Đối với hầu hết engineering team, luồng triển khai là: đăng ký certificate từ issuer tin cậy, tích hợp C2PA SDK vào media generation pipeline, ký nội dung tại thời điểm generation, tùy chọn surface badge “Content Credentials” trong UI.
Đây là vài tuần công việc triển khai cho team chưa làm. Không phải dự án nhiều năm. Bạn làm sớm, bạn có nhiều thời gian hơn để test triển khai trước khi thực thi tạo ra sự cấp bách.
Tại Sao Ngày 2 Tháng 8 Thực Sự Quan Trọng
Ủy quyền thực thi của Văn phòng AI châu Âu không phải mang tính tượng trưng. Lịch sử GDPR có tính hướng dẫn: quy định được thông qua vào năm 2016, thực thi bắt đầu vào năm 2018, và tiền phạt đáng kể đầu tiên đến vào năm 2019. Các team coi GDPR là quan liêu EU và lên kế hoạch “tìm hiểu khi thực thi xảy ra” đã biết rằng “khi thực thi xảy ra” đến nhanh hơn timeline pháp lý gợi ý, vì thực thi bắt đầu khi cuộc điều tra đầu tiên bắt đầu — không phải khi tiền phạt đầu tiên được ban hành.
Thực thi AI Act được mô hình hóa tương tự. Bạn không nghe về cuộc điều tra cho đến khi nó bắt đầu. Bạn không có grace period để triển khai disclosure sau khi cuộc điều tra đang diễn ra. Câu hỏi “bạn có biết về nghĩa vụ và có thực hiện các bước để giải quyết nó không” được trả lời bởi những gì bạn đã làm vào tháng 8 năm 2026, không phải những gì bạn dự định làm năm sau.
Tin tốt cho Article 50: các nghĩa vụ đơn giản. Công bố rằng chatbot của bạn là chatbot. Đánh dấu hình ảnh do AI tạo là do AI tạo. Đây không phải là xây dựng hệ thống phức tạp. Đây là quyết định sản phẩm mất một tuần để triển khai và ghi lại. Chi phí thực hiện chúng thấp. Chi phí không thực hiện chúng là rủi ro điều tra, rủi ro danh tiếng, và vị trí tuân thủ khó khăn hơn khi triển khai dưới áp lực.
Sự phức tạp của AI Act ở phía trước bạn, trong các nghĩa vụ rủi ro cao đến vào năm 2027-2028. Sử dụng sự đơn giản tương đối của các nghĩa vụ hôm nay để xây dựng cơ bắp quản trị bạn sẽ cần cho sự phức tạp đó.
Thuận Lương là Tech Lead với 15+ năm kinh nghiệm về .NET, cloud architecture, và AI systems. Anh viết về những bài học từ việc xây dựng các hệ thống production thực tế.