EU chốt sửa AI Act: dễ thở hơn cho doanh nghiệp nhỏ, gắt hơn với deepfake

Ngày 29/6, Hội đồng EU bỏ phiếu thông qua lần cuối gói "đơn giản hóa" AI Act, sau khi Nghị viện châu Âu đã gật đầu từ hôm 16/6. Văn bản dự kiến đăng Công báo ngay trong tháng 7, kịp trước mốc 2/8 của lộ trình gốc. Nhưng đừng để chữ "đơn giản hóa" đánh lừa: gói này vừa nới chỗ này vừa siết chỗ kia, thậm chí bổ sung hẳn một lệnh cấm mới.

Ba thay đổi chạm trực tiếp đến đội làm phần mềm

Thứ nhất, nới cho doanh nghiệp vừa và nhỏ. Cơ chế tuân thủ giản lược trước đây dành cho SME nay mở rộng đến công ty 750 nhân viên và doanh thu 150 triệu euro/năm — nghĩa là phần lớn công ty phần mềm châu Âu lọt vào diện hưởng hướng dẫn đơn giản, mức phạt nhẹ hơn, được vào regulatory sandbox và dùng mẫu tài liệu chuẩn.

Thứ hai, siết thời hạn minh bạch. Thời gian ân hạn để gắn nhãn nội dung do AI tạo bị cắt từ 6 tháng xuống 3 tháng; hạn chót mới là 2/12/2026. Chuyện dán nhãn nội dung máy tạo vừa nhảy từ kế hoạch "sang năm" vào roadmap năm nay.

Thứ ba, một lằn ranh đỏ mới. Từ tháng 12, các hệ thống AI tạo ảnh khỏa thân của người thật — hoặc "lột đồ" từ ảnh có sẵn — bị cấm hoàn toàn trên toàn EU.

Trong khi đó, chính các cơ quan quản lý lại tự cho mình thêm thời gian: hạn dựng sandbox cấp quốc gia được lùi về 2/8/2027.

Chú thích: Nới thủ tục, đẩy sớm nghĩa vụ minh bạch, và cấm hẳn một loại công cụ — tất cả trong cùng một văn bản.

Đọc vị Brussels

Nhìn tổng thể, EU đang định hình một công thức: thủ tục có thể mặc cả, tác hại cụ thể thì không. Nới cho SME và cấm deepfake khỏa thân nằm chung một gói luật — thông điệp khó rõ ràng hơn. Với ai đang bán tính năng generative vào châu Âu, mốc 2/12 giờ là ràng buộc số một, và khác với phần lớn đạo luật vốn mơ hồ, lần này yêu cầu rất cụ thể và kiểm thử được: nội dung máy tạo phải được đánh dấu đúng như bản chất.

Lời khuyên kỹ thuật: đưa lịch tuân thủ vào quy trình như đưa dependency vào CI

Hạn chót pháp lý giống hệt ngày EOL của một thư viện — nên hãy quản lý theo cùng một cách. Mỗi nghĩa vụ áp dụng cho sản phẩm được tạo thành ticket, có ngày luật định, người phụ trách và định nghĩa hoàn thành đo được ("mọi ảnh xuất ra mang metadata nguồn gốc C2PA" là đo được; "tuân thủ quy định minh bạch" thì không). Cho mốc 2/12: kiểm kê mọi điểm sản phẩm phát ra văn bản, ảnh, âm thanh do AI tạo; chọn cơ chế đánh dấu (metadata, nhãn nhìn thấy, hoặc cả hai); thêm một bước CI fail khi endpoint generative nào thiếu nó. Và phân loại tính năng theo bậc rủi ro của đạo luật ngay từ bây giờ — lúc thiết kế còn đổi được thì việc chọn bậc còn có ý nghĩa.

Nguồn: Hội đồng EU, Inside Privacy, DLA Piper.

Còn bạn thì sao? Nâng trần SME lên 750 nhân viên sẽ khiến AI Act khả thi hơn — hay chỉ khiến tiếng phản đối nhỏ đi?