Vì sao PM Việt Nam cũng phải quan tâm
EU AI Act là luật AI toàn diện đầu tiên trên thế giới, hiệu lực từ 2024 và áp dụng dần đến 2026-2027. Giống GDPR, nó có hiệu lực ngoài lãnh thổ: nếu sản phẩm của bạn phục vụ người dùng EU, hoặc output được dùng ở EU, bạn phải tuân thủ — dù công ty ở Việt Nam. Nó cũng đang trở thành chuẩn tham chiếu toàn cầu, nên hiểu nó giúp bạn thiết kế sản phẩm chuẩn quốc tế.
Cấu trúc cốt lõi: phân loại theo mức rủi ro
EU AI Act không quản mọi AI như nhau. Nó chia 4 mức:
- Unacceptable risk (Cấm hoàn toàn) — social scoring của chính phủ, thao túng hành vi gây hại, nhận diện cảm xúc tại nơi làm việc/trường học, khai thác điểm yếu nhóm dễ tổn thương. → Không được đưa ra thị trường.
- High risk (Rủi ro cao) — AI trong tuyển dụng, chấm điểm tín dụng, giáo dục, y tế, thực thi pháp luật, hạ tầng thiết yếu. → Được phép nhưng phải tuân thủ nghĩa vụ nghiêm ngặt.
- Limited risk (Rủi ro giới hạn) — chatbot, deepfake, nội dung AI tạo. → Nghĩa vụ minh bạch: phải nói cho người dùng biết đang tương tác với AI / nội dung do AI tạo.
- Minimal risk — game AI, bộ lọc spam. → Không nghĩa vụ đặc biệt.
Nghĩa vụ với hệ thống High-risk
Nếu sản phẩm rơi vào high-risk, đây là các nghĩa vụ PM phải đưa vào roadmap:
- Risk management system — quy trình quản lý rủi ro liên tục suốt vòng đời.
- Data governance — dữ liệu train chất lượng, đại diện, kiểm soát bias.
- Technical documentation — hồ sơ kỹ thuật đầy đủ trước khi ra thị trường.
- Record-keeping / logging — tự động ghi log để truy vết.
- Transparency — hướng dẫn sử dụng rõ ràng cho người triển khai.
- Human oversight — con người phải giám sát và can thiệp được.
- Accuracy, robustness, cybersecurity — đạt mức phù hợp và ổn định.
- Conformity assessment — đánh giá tuân thủ trước khi ra mắt.
GPAI: mô hình đa dụng
EU AI Act có quy định riêng cho General-Purpose AI (GPAI) như các LLM lớn: nghĩa vụ minh bạch, tài liệu, tuân thủ bản quyền, và với mô hình "systemic risk" thì thêm đánh giá và báo cáo sự cố. Nếu bạn build TRÊN một LLM của bên thứ ba, bạn vẫn có nghĩa vụ ở tầng ứng dụng.
Ví dụ cụ thể
Một HR-tech Việt Nam bán phần mềm sàng lọc CV cho khách hàng EU. Phân loại: high-risk (AI trong tuyển dụng). PM phải: lập hồ sơ kỹ thuật, chứng minh dữ liệu train không thiên lệch (Bài 3), bật logging, thiết kế màn hình cho nhà tuyển dụng ghi đè quyết định AI (human oversight), và thông báo minh bạch cho ứng viên. Nếu bỏ qua, khách hàng EU không mua được vì chính họ vi phạm.
Checklist tuân thủ nhanh
- [ ] Đã xác định sản phẩm có phục vụ/ảnh hưởng người dùng EU không?
- [ ] Đã phân loại đúng mức rủi ro (cấm/cao/giới hạn/tối thiểu)?
- [ ] Nếu limited risk: có thông báo "đây là AI" cho người dùng chưa?
- [ ] Nếu high risk: có đủ 8 nghĩa vụ ở trên trong roadmap?
- [ ] Có ghi log và tài liệu kỹ thuật?
- [ ] Có cơ chế human oversight thật sự (không chỉ nút bấm hình thức)?
- [ ] Đã kiểm tra nghĩa vụ GPAI nếu build trên LLM bên thứ ba?
Sai lầm thường gặp
- Nghĩ "chúng tôi ở Việt Nam nên không liên quan." Hiệu lực ngoài lãnh thổ + khách hàng B2B EU khiến bạn liên quan.
- Phân loại sai xuống tầng thấp để né nghĩa vụ. Cơ quan quản lý nhìn vào công dụng thực tế, không nhìn nhãn bạn tự dán.
- Coi human oversight là nút bấm trang trí. Con người phải có thời gian, thông tin và quyền lực thật để ghi đè.
- Tuân thủ theo kiểu tick-box cuối dự án. Nhiều nghĩa vụ (data governance, logging) phải thiết kế từ đầu, không bù đắp sau được.
- Bỏ qua vì phạt còn xa. Mức phạt tối đa lên tới hàng chục triệu euro hoặc % doanh thu toàn cầu — cao hơn cả GDPR.
Tổng kết
EU AI Act không phải rào cản, mà là danh sách yêu cầu có cấu trúc giúp bạn xây AI đáng tin. Phân loại đúng mức rủi ro là kỹ năng số một; từ đó nghĩa vụ trở nên rõ ràng và đưa được vào roadmap thay vì gây tê liệt.