Tóm tắt
EU AI Act áp dụng cho nhà cung cấp AI phục vụ thị trường EU dù ở đâu. ISO 42001 không thay thế luật này nhưng giúp công ty AI Việt chứng minh quản trị.
ISO 42001 và EU AI Act khác nhau về bản chất: EU AI Act là luật bắt buộc của EU, áp dụng cả cho công ty Việt Nam đưa hệ thống AI vào thị trường EU; ISO 42001 là tiêu chuẩn tự nguyện về hệ thống quản lý AI. Chứng chỉ ISO 42001 không chứng minh tuân thủ EU AI Act, nhưng tạo sẵn phần lớn quy trình và tài liệu mà luật yêu cầu.
EU AI Act và ISO 42001 khác nhau thế nào?
EU AI Act (Regulation (EU) 2024/1689) có hiệu lực từ 1/8/2024 và áp dụng theo từng giai đoạn. Luật đặt nghĩa vụ theo vai trò (provider, deployer, nhà nhập khẩu, nhà phân phối) và theo mức rủi ro của hệ thống AI, với cơ chế đánh giá sự phù hợp, đăng ký và xử phạt.
ISO/IEC 42001:2023 (iso.org) là tiêu chuẩn hệ thống quản lý: tổ chức tự xây quy trình quản trị AI, đánh giá rủi ro và tác động, chọn control từ Annex A, rồi có thể được tổ chức chứng nhận độc lập audit và cấp chứng chỉ.
| Tiêu chí | EU AI Act | ISO 42001 |
|---|---|---|
| Bản chất | Luật của EU, bắt buộc trong phạm vi áp dụng | Tiêu chuẩn tự nguyện |
| Đối tượng | Hệ thống AI và model AI đưa vào thị trường EU hoặc có output dùng tại EU | Tổ chức phát triển, cung cấp hoặc sử dụng AI ở bất kỳ đâu |
| Cách chứng minh | Đánh giá sự phù hợp, tài liệu kỹ thuật, đăng ký với hệ thống high-risk | Audit Stage 1 và Stage 2 của tổ chức chứng nhận |
| Hậu quả khi không đáp ứng | Phạt hành chính theo Article 99 | Không đạt hoặc mất chứng chỉ; có thể mất hợp đồng |
EU AI Act áp dụng cho công ty Việt Nam khi nào?
Theo Article 2, luật áp dụng cho:
- Provider đưa hệ thống AI hoặc general-purpose AI model ra thị trường EU, dù đặt trụ sở ở đâu.
- Deployer (tổ chức sử dụng AI) đặt trụ sở hoặc có mặt tại EU.
- Provider và deployer ngoài EU nếu output của hệ thống AI được sử dụng tại EU.
Với công ty Việt Nam, không cần văn phòng tại EU: một sản phẩm AI bán cho khách hàng EU, một model nhúng vào sản phẩm của công ty EU, hoặc một dịch vụ AI có output dùng tại EU là đủ để nằm trong phạm vi. Hoạt động nghiên cứu, phát triển chưa đưa ra thị trường và việc dùng AI cá nhân không vì mục đích nghề nghiệp được loại trừ. Provider ngoài EU của hệ thống high-risk phải chỉ định đại diện ủy quyền tại EU (Article 22).
EU AI Act chia AI theo những mức rủi ro nào?
| Mức | Ví dụ | Nghĩa vụ chính |
|---|---|---|
| Cấm (Article 5) | Chấm điểm xã hội, thao túng hành vi gây hại, khai thác điểm yếu của nhóm dễ tổn thương | Không được đưa ra thị trường hoặc sử dụng |
| High-risk (Annex III và Annex I) | Tuyển dụng và sàng lọc CV, chấm điểm tín dụng, giáo dục, sinh trắc học, AI trong thiết bị y tế | Quản lý rủi ro, data governance, tài liệu kỹ thuật, ghi log, giám sát của con người, đánh giá sự phù hợp, đăng ký |
| Nghĩa vụ minh bạch (Article 50) | Chatbot, nội dung do AI tạo, deepfake | Thông báo người dùng đang tương tác với AI, gắn nhãn nội dung |
| Rủi ro tối thiểu | Bộ lọc spam, AI trong game | Không có nghĩa vụ riêng ngoài AI literacy (Article 4) |
Với phần lớn hệ thống high-risk theo Annex III, provider tự đánh giá sự phù hợp theo thủ tục kiểm soát nội bộ; hệ thống sinh trắc học có thể cần notified body (Article 43). Provider phải đăng ký hệ thống high-risk vào cơ sở dữ liệu của EU trước khi đưa ra thị trường (Article 49).
Các mốc áp dụng EU AI Act là khi nào?
Digital Omnibus về AI (Regulation (EU) 2026/1744, có hiệu lực 27/7/2026) đã lùi các mốc cho hệ thống high-risk.
| Ngày | Nội dung |
|---|---|
| 1/8/2024 | Regulation có hiệu lực |
| 2/2/2025 | Các hành vi bị cấm và nghĩa vụ AI literacy áp dụng |
| 2/8/2025 | Nghĩa vụ với general-purpose AI model áp dụng |
| 2/8/2026 | Nghĩa vụ minh bạch (Article 50) áp dụng |
| 2/12/2026 | Hai hành vi bị cấm mới do Digital Omnibus bổ sung (hình ảnh thân mật giả mạo, nội dung lạm dụng trẻ em) |
| 2/12/2027 | Hệ thống high-risk độc lập (Annex III), lùi từ 2/8/2026 |
| 2/8/2028 | AI high-risk trong sản phẩm được quản lý (Annex I) |
ISO 42001 hỗ trợ tuân thủ EU AI Act đến đâu?
AIMS theo ISO 42001 tạo ra quy trình và hồ sơ trùng với nhiều nghĩa vụ của provider hệ thống high-risk. Phần trùng không tự động thành tuân thủ: mỗi nghĩa vụ của luật vẫn phải được đối chiếu với yêu cầu cụ thể của Article tương ứng.
| Nghĩa vụ EU AI Act (high-risk) | Phần ISO 42001 hỗ trợ |
|---|---|
| Hệ thống quản lý rủi ro (Article 9) | Clause 6.1.2 đến 6.1.4, 8.2 đến 8.4; A.5 đánh giá tác động |
| Dữ liệu và data governance (Article 10) | A.7 Dữ liệu cho hệ thống AI |
| Tài liệu kỹ thuật (Article 11) | A.6.2.7 Tài liệu kỹ thuật hệ thống AI |
| Lưu giữ log (Article 12) | A.6.2.8 Ghi log sự kiện của hệ thống AI |
| Minh bạch, thông tin cho deployer (Article 13) | A.8.2 Tài liệu hệ thống và thông tin cho người dùng |
| Giám sát của con người (Article 14) | A.9 Sử dụng hệ thống AI (một phần) |
| Hệ thống quản lý chất lượng (Article 17) | Clause 4 đến 10 |
Phần ISO 42001 không bao gồm: đăng ký vào cơ sở dữ liệu EU, thủ tục đánh giá sự phù hợp và đánh dấu CE, chỉ định đại diện tại EU, và các nghĩa vụ riêng với general-purpose AI model.
Nghĩa vụ với general-purpose AI model là gì?
Provider của general-purpose AI model (model nền tảng có thể dùng cho nhiều mục đích) phải lập tài liệu kỹ thuật, cung cấp thông tin cho provider phía sau tích hợp model, có chính sách tuân thủ bản quyền EU và công bố tóm tắt dữ liệu huấn luyện. Model được đào tạo với hơn 10^25 FLOPs được giả định có rủi ro hệ thống (Article 51) và có thêm nghĩa vụ đánh giá, kiểm thử đối kháng và báo cáo sự cố. Phần lớn startup Việt Nam dùng hoặc fine-tune model của bên khác, nên thường là provider của hệ thống AI chứ không phải provider của general-purpose model; cần kiểm tra lại vai trò khi phát hành model ra ngoài.
Mức phạt theo EU AI Act là bao nhiêu?
Article 99 đặt mức trần theo loại vi phạm: tới 35 triệu euro hoặc 7% doanh thu toàn cầu năm trước cho hành vi bị cấm; tới 15 triệu euro hoặc 3% cho phần lớn nghĩa vụ khác; tới 7,5 triệu euro hoặc 1% khi cung cấp thông tin sai cho cơ quan chức năng. Với doanh nghiệp nhỏ và vừa, áp dụng mức thấp hơn trong hai mức.
Công ty AI Việt Nam nên chuẩn bị theo những bước nào?
- Xác định phạm vi: hệ thống AI nào có người dùng, khách hàng hoặc output tại EU, và vai trò của bạn với từng hệ thống.
- Phân loại mức rủi ro theo Article 5, Annex III và Article 50; sản phẩm liên quan tuyển dụng, tín dụng, giáo dục hay y tế cần xem kỹ.
- Với hệ thống high-risk, lên kế hoạch tài liệu kỹ thuật, quản lý rủi ro và đánh giá sự phù hợp trước mốc 2/12/2027 (Annex III) hoặc 2/8/2028 (Annex I).
- Đảm bảo AI literacy cho nhân sự làm việc với AI, nghĩa vụ đã áp dụng từ 2/2/2025.
- Dùng ISO 42001 làm khung quản trị để có quy trình đánh giá tác động, danh mục hệ thống AI và hồ sơ vòng đời. Xem ISO 42001 là gì và ISO 42001 Annex A.
- Theo dõi hướng dẫn của European AI Office và các tiêu chuẩn hài hòa đang được xây dựng.
pTrackly hỗ trợ phần nào?
pTrackly hỗ trợ ISO 42001 như một framework: compliance matrix theo clause và Annex A, các policy template về AI, evidence task định kỳ, risk register và tích hợp chỉ đọc với nền tảng AI để thu thập evidence hỗ trợ. pTrackly không phải framework tuân thủ EU AI Act, không phân loại mức rủi ro hay thực hiện đánh giá sự phù hợp thay bạn; các quyết định đó cần đội pháp chế hoặc tư vấn chuyên môn. Xem ISO 42001 trên pTrackly và checklist triển khai ISO 42001.
Câu hỏi thường gặp
Công ty Việt Nam không có văn phòng ở EU có phải tuân thủ EU AI Act không?
Có, nếu đưa hệ thống AI ra thị trường EU hoặc output của hệ thống được sử dụng tại EU (Article 2). Provider ngoài EU của hệ thống high-risk còn phải chỉ định đại diện ủy quyền tại EU.
Có chứng chỉ ISO 42001 là tuân thủ EU AI Act chưa?
Chưa. ISO 42001 giúp có sẵn quy trình quản lý rủi ro, tài liệu và log, nhưng không thay thế đánh giá sự phù hợp, đăng ký hay các nghĩa vụ cụ thể của luật.
Hạn tuân thủ cho hệ thống high-risk là khi nào?
Sau Digital Omnibus về AI, hệ thống high-risk độc lập theo Annex III áp dụng từ 2/12/2027, còn AI high-risk trong sản phẩm được quản lý theo Annex I áp dụng từ 2/8/2028.
Chatbot có phải hệ thống high-risk không?
Thường không. Chatbot thuộc nghĩa vụ minh bạch của Article 50: người dùng phải được biết họ đang tương tác với AI. Chatbot chỉ thành high-risk nếu được dùng cho mục đích trong Annex III, ví dụ sàng lọc ứng viên.
Nguồn tham khảo
- EU AI Act, Regulation (EU) 2024/1689
- Digital Omnibus về AI, Regulation (EU) 2026/1744
- ISO/IEC 42001:2023
- European AI Office
Bài viết mang tính tham khảo, không phải tư vấn pháp lý.
