“””
Bạn sắp tung ra thị trường EU một sản phẩm trí tuệ nhân tạo (AI), và câu hỏi không phải là liệu bộ quy tắc của Brussels có ảnh hưởng đến bạn hay không, mà là phần nào của bộ quy tắc đó sẽ tác động đến sản phẩm của bạn trước tiên. Nếu bạn ở ngoài EU, bạn không thể xử lý... Đạo luật AI của EU Như một bản ghi nhớ pháp lý từ xa. Nó thay đổi thiết kế sản phẩm, tài liệu, đánh giá rủi ro và người mà nhóm của bạn phải chỉ định trước khi ra mắt sản phẩm.
Sai lầm tôi thường thấy nhất rất đơn giản. Các nhóm không thuộc EU cho rằng Đạo luật này chỉ có hiệu lực khi họ mở văn phòng tại châu Âu. Điều đó là sai. Quy định (EU) 2024/1689 là một quy định có hiệu lực đối với nhiều khu vực. chế độ ngang với 113 bài viết trải dài trên 13 chương. Điều khoản này quy định cách thức các hệ thống AI được đưa ra thị trường EU và đưa vào sử dụng, bất kể nhà cung cấp đặt trụ sở ở đâu. Thời hạn tuân thủ đã bắt đầu tính, với việc áp dụng theo từng giai đoạn bắt đầu từ năm 2025. Các nghĩa vụ về trí tuệ nhân tạo đa năng được áp dụng từ ngày 2 tháng 8 năm 2025., và Đạo luật AI đã trở thành Áp dụng chung vào ngày 2 tháng 8 năm 2026. Một số yêu cầu về trí tuệ nhân tạo có rủi ro cao sẽ được áp dụng sau này, bao gồm: Ngày 2 tháng 12 năm 2027 Và Ngày 2 tháng 8 năm 2028 khi thích hợp Khung pháp lý của Đạo luật Trí tuệ Nhân tạo của EU.
Hậu quả thực tế rất rõ ràng. Nếu lộ trình sản phẩm, quy trình thu thập bằng chứng và mô hình quản trị của bạn không được xây dựng ngay bây giờ, bạn sẽ phải điều chỉnh lại dưới áp lực sau này. Điều đó luôn tốn kém hơn, chậm hơn và phức tạp hơn so với việc thiết kế để tuân thủ các quy định trước khi bán hàng đầu tiên tại EU.
Đối với các nhà cung cấp không thuộc EU, câu hỏi không phải là “Chúng ta có tuân thủ Đạo luật AI của EU không?” mà là “Phiên bản nào của sản phẩm của chúng ta có thể vượt qua sự kiểm duyệt của EU mà không cần thiết kế lại?” Tư duy đó tạo nên sự khác biệt giữa việc gia nhập thị trường một cách suôn sẻ và việc phát hiện ra muộn rằng mô hình mặc định, quy trình đăng ký hoặc phương thức ghi nhật ký của bạn không phù hợp với các quy định của châu Âu.
Vì sao Đạo luật Trí tuệ Nhân tạo của EU lại quan trọng bên ngoài EU
Một nhà cung cấp có trụ sở tại Singapore có thể sở hữu mô hình kinh doanh mạnh mẽ nhưng vẫn phải tuân thủ các nghĩa vụ của EU ngay khi nhắm đến khách hàng EU. Vấn đề nằm ở phạm vi lãnh thổ. Đạo luật này áp dụng cho các hệ thống AI được đưa ra thị trường EU, đưa vào sử dụng tại EU, và cũng có thể áp dụng cho các nhà cung cấp và triển khai ngoài EU nếu sản phẩm đầu ra do hệ thống AI tạo ra được sử dụng trong Liên minh châu Âu, vì vậy vị trí của công ty bạn không phải là yếu tố giúp bạn tránh khỏi phạm vi áp dụng. Nếu bộ phận bán hàng đang chuẩn bị bài thuyết trình cho thị trường Berlin, bộ phận pháp lý nên kiểm tra ngay Đạo luật này.
Nhà cung cấp là đơn vị phân tích thực sự.
Đạo luật này tập trung vào... nhà cung cấp Điều này áp dụng cho hệ thống, chứ không phải địa chỉ văn phòng ghi trên giấy tờ thành lập công ty. Nếu công ty của bạn phát triển một hệ thống AI và đưa nó ra thị trường EU, bạn vẫn thuộc phạm vi điều chỉnh ngay cả khi mọi kỹ sư đều ở California hoặc Tel Aviv. Đó là lý do tại sao việc kiểm tra lãnh thổ lại quan trọng đối với các công ty ngoài EU, nó tuân theo tổ chức kiểm soát sản phẩm, chứ không phải tổ chức tình cờ đặt trụ sở trong EU.
Nguyên tắc thực tiễn: Nếu bạn kiểm soát thiết kế, mục đích sử dụng, cập nhật hoặc phát hành sản phẩm ra thị trường EU, hãy giả định rằng Đạo luật này có thể áp dụng đối với bạn.
Chế độ này có phạm vi rộng, chứ không chỉ mang tính biểu tượng. Đó là một khuôn khổ pháp lý toàn diện về quản trị, giám sát và thực thi, và nó thay đổi những gì cần phải sẵn sàng trước khi ra mắt sản phẩm. Một nhà cung cấp ngoài EU nếu bắt đầu muộn thường phải viết lại các tuyên bố về sản phẩm, xây dựng lại bằng chứng và chỉ định một người liên hệ của EU dưới áp lực thời gian.
Đối với các nhà cung cấp không thuộc EU phải xử lý cả nghĩa vụ bảo vệ dữ liệu và trí tuệ nhân tạo, thì... dịch vụ tuân thủ GDPR Bản tóm tắt này có thể giúp làm rõ sự khác biệt giữa hai chế độ. Đại diện GDPR của EU Điều này có thể liên quan song song trong trường hợp các nghĩa vụ bảo vệ dữ liệu cũng được áp dụng, nhưng đừng nhầm lẫn điều đó với việc sẵn sàng tuân thủ Đạo luật AI. Đạo luật AI có logic riêng và nhóm sản phẩm của bạn cần coi đó là một yêu cầu tiếp cận thị trường riêng biệt.
Vì sao làm việc sớm lại tiết kiệm chi phí hơn
Phân loại sớm giúp tiết kiệm chi phí vì tránh được việc thiết kế lại. Nếu các nhóm sản phẩm, pháp lý, bảo mật và học máy phân loại hệ thống sớm, họ có thể quyết định xem bộ tính năng có cần thay đổi trước khi ra mắt hay không. Một khi sản phẩm đã nằm trong quy trình phê duyệt của EU, mỗi lần sửa lỗi muộn sẽ trở thành vấn đề phối hợp giữa mã nguồn, tài liệu, ngôn ngữ bán hàng và hình ảnh đại diện bên ngoài.
Hiểu về bốn cấp độ rủi ro
Hãy bắt đầu từ đỉnh của kim tự tháp, bởi vì đó là nơi có các vạch đỏ. Đạo luật AI của EU coi một số hoạt động là... không thể chấp nhận được và cấm chúng hoàn toàn. Theo dòng thời gian đã được xác minh, những hành vi bị cấm và các quy tắc về kiến thức AI đó đã được áp dụng vào Ngày 2 tháng 2 năm 2025, và chúng là một phần của chế độ bắt đầu siết chặt trước ngày thực thi rộng rãi hơn vào năm 2026. Khung pháp lý của Đạo luật Trí tuệ Nhân tạo của EU. Đối với một công ty không thuộc EU, điều đó có nghĩa là một sản phẩm có thể hoàn toàn hợp lệ ở một thị trường nhưng vẫn bị cấm ở EU nếu nó vượt qua một trong những ranh giới đó.
Các hành vi bị cấm phải được ưu tiên xử lý trước.
Cấp độ bị cấm là khoảng chấm điểm xã hội, Các kỹ thuật thao túng, thu thập dữ liệu khuôn mặt không nhắm mục tiêu và các hành vi khác mà EU coi là rủi ro không thể chấp nhận được. Đây không phải là những trường hợp ngoại lệ dành cho các hội thảo lý thuyết pháp lý. Chúng là những vấn đề ranh giới đỏ có thể ngăn chặn hoàn toàn việc ra mắt sản phẩm. Nếu một sản phẩm dựa trên một hành vi thuộc loại này, động thái đúng đắn không phải là "ghi chép kỹ lưỡng hơn". Mà là thiết kế lại hoặc loại bỏ tính năng đó.
Mục đích của cấp độ này rất đơn giản. Một số cách sử dụng gây hại đến mức luật pháp không cần hỏi liệu hệ thống kiểm soát nội bộ của bạn có được hoàn thiện hay không, mà chỉ cần cấm chúng.
Các hệ thống có rủi ro cao cần một hồ sơ tuân thủ, chứ không phải một bản ghi nhớ chính sách.
Cấp bậc tiếp theo là trí tuệ nhân tạo rủi ro cao. Điều này bao gồm các hệ thống được tích hợp trong các sản phẩm được quản lý như máy móc hoặc thiết bị y tế, và các hệ thống độc lập được sử dụng trong các lĩnh vực nhạy cảm như việc làm, cơ sở hạ tầng trọng yếu và nhận dạng sinh trắc học. Gánh nặng ở đây nặng nề hơn nhiều so với hầu hết các nhà sáng lập ngoài EU mong đợi, bởi vì Đạo luật coi các hệ thống này là các sản phẩm có thể kiểm toán, chứ không chỉ là các tính năng phần mềm.
Bài kiểm tra cốt lõi không phải là liệu mô hình của bạn có ấn tượng hay không. Mà là liệu trường hợp sử dụng đó có thuộc loại rủi ro cao và do đó cần gói tuân thủ đầy đủ hay không. Nếu có, nhà cung cấp sẽ chịu trách nhiệm nặng nề hơn.
Rủi ro hạn chế và rủi ro tối thiểu không phải là giấy phép miễn phí.
Bên dưới đó là lớp minh bạch mặc định, thường được mô tả là rủi ro hạn chế. Các hệ thống này không phải đối mặt với bộ máy kiểm duyệt trước khi đưa sản phẩm ra thị trường tương tự, nhưng chúng vẫn phát sinh các nghĩa vụ đối với người dùng. Ở cấp độ cơ bản là rủi ro tối thiểu, nơi mà Đạo luật có quy định nhẹ nhàng nhất. Điều đó không có nghĩa là "bỏ qua nó". Điều đó có nghĩa là sản phẩm của bạn có thể tránh được các yêu cầu nghiêm ngặt nhất, nhưng bạn vẫn cần xác minh rằng trường hợp sử dụng đó thực sự phù hợp.
Bài kiểm tra phân loại: Hãy đặt ra ba câu hỏi: Hệ thống đó có bị cấm không, có rủi ro cao không, hay chỉ thuộc lớp minh bạch nhẹ hơn? Nếu bạn không thể trả lời rõ ràng, hệ thống quản trị của bạn chưa sẵn sàng.
Trí tuệ nhân tạo đa năng bổ sung thêm một lớp theo chiều ngang.
Đạo luật này cũng bổ sung thêm một lớp riêng biệt cho mô hình AI đa năng. Điều đó rất quan trọng vì quản trị mô hình nền tảng không giống với việc tuân thủ quy định cụ thể cho từng sản phẩm. Nhà cung cấp mô hình có thể phải đối mặt với các nghĩa vụ về kiểm thử kỹ thuật, lập tài liệu và báo cáo sự cố ngay cả trước khi nhóm sản phẩm ở khâu tiếp theo hoàn thành đánh giá triển khai của riêng họ. Mô hình giám sát theo Đạo luật AI của EU.
Cách phân loại danh mục sản phẩm hiệu quả nhất là gán mỗi sản phẩm vào một cấp bậc, sau đó kiểm tra xem có tính năng nào giúp sản phẩm đó thăng cấp hay không. Đừng phân loại dựa trên ngôn ngữ tiếp thị. Hãy phân loại dựa trên chức năng thực tế, mục đích sử dụng và khả năng sử dụng dự kiến.
Lựa chọn con đường đánh giá sự phù hợp của bạn
Nếu hệ thống của bạn có rủi ro cao, vấn đề sẽ nhanh chóng trở nên mang tính thủ tục. Bạn cần biết liệu mình có thể hoàn thành việc đánh giá sự phù hợp nội bộ hay cần sự hỗ trợ từ bên ngoài. cơ quan được thông báo Phải có sự tham gia của các bên trước khi thâm nhập thị trường. Lựa chọn đó phụ thuộc vào loại hệ thống rủi ro cao mà bạn đang cung cấp, và nó sẽ thay đổi lịch trình ra mắt.
Hầu hết các hệ thống rủi ro cao độc lập đều sử dụng cơ chế kiểm soát nội bộ.
Đối với nhiều hệ thống AI độc lập có rủi ro cao, lộ trình là... tự đánh giá. Điều đó không có nghĩa là tuân thủ một cách hời hợt. Điều đó có nghĩa là nhà cung cấp phải tự xây dựng bộ hồ sơ chứng cứ, hoàn thành các bước kiểm tra cần thiết và chuẩn bị bản tuyên bố về sự phù hợp. Công việc vẫn rất nghiêm túc, bởi vì nhà cung cấp phải chứng minh hệ thống đáp ứng các quy định trước khi đưa nó ra thị trường.
Quy trình đánh giá cần được thực hiện một cách bài bản. Bắt đầu với quy trình quản lý rủi ro, sau đó xác thực dữ liệu và quản trị đào tạo, tiếp theo là tập hợp tài liệu kỹ thuật, và cuối cùng là xác minh việc ghi nhật ký và các biện pháp kiểm soát giám sát của con người. Sau đó, sản phẩm có thể tiến hành đăng ký vào cơ sở dữ liệu của EU nếu cần thiết.
Trí tuệ nhân tạo (AI) về an toàn sản phẩm cần được giám sát bởi bên thứ ba.
Quá trình sẽ thay đổi khi hệ thống AI là một thành phần an toàn của sản phẩm được quản lý chặt chẽ, chẳng hạn như máy móc hoặc thiết bị y tế. Trong những trường hợp đó, sự tham gia của bên thứ ba có thể là bắt buộc. Điều đó có nghĩa là tiến độ của bạn không còn chỉ bị kiểm soát bởi chu kỳ xem xét nội bộ của chính bạn nữa. Nó cũng phụ thuộc vào tốc độ của quy trình thẩm định bên ngoài.
Đây là điểm mà nhiều nhóm ngoài EU thường mất thời gian. Họ cho rằng có thể hoàn thành việc tuân thủ các quy định về AI song song với việc chứng nhận sản phẩm, rồi sau đó phát hiện ra rằng các quy trình này có liên quan mật thiết với nhau và tài liệu phải khớp chính xác.
| Loại nhà cung cấp | Hệ thống hoặc mô hình AI | Người đại diện được ủy quyền là cần thiết. | Nguồn |
|---|---|---|---|
| Nhà cung cấp ngoài EU | Một số hệ thống AI có rủi ro cao | Vâng, Điều 22 | Văn bản chính thức của Quy định (EU) 2024/1689 trên EUR-Lex |
| Nhà cung cấp ngoài EU | Mô hình AI đa năng (GPAI) | Nói chung là có, Điều 54 | Văn bản chính thức của Quy định (EU) 2024/1689 trên EUR-Lex |
| Nhà cung cấp ngoài EU | Mô hình GPAI đủ điều kiện, miễn phí và mã nguồn mở | Miễn trừ tiềm năng theo Điều 54(6) | Văn bản chính thức của Quy định (EU) 2024/1689 trên EUR-Lex |
| Nhà cung cấp ngoài EU | Hệ thống AI không có rủi ro cao khác | Không chỉ dựa trên cơ sở đó. | Văn bản chính thức của Quy định (EU) 2024/1689 trên EUR-Lex |
Việc lựa chọn quy trình phù hợp là một quyết định về sản phẩm. Nếu bạn chọn sai danh mục, phần còn lại của hồ sơ sẽ trở thành những thông tin thừa tốn kém.
Hãy đưa ra quyết định sớm
Nhóm nội bộ của bạn nên quyết định xem sản phẩm đó là sản phẩm độc lập có rủi ro cao hay sản phẩm có rủi ro cao thuộc diện quản lý trước khi hoàn thiện kiến trúc cuối cùng. Chờ đến khi chuẩn bị ra mắt là quá muộn. Đến lúc đó, công việc pháp lý sẽ bị hạn chế bởi thực tế kỹ thuật, và việc tuân thủ quy định sẽ khó khăn hơn.
Đối với các công ty ngoài EU, việc có một người phụ trách tuân thủ pháp luật EU giỏi là rất quan trọng. Nếu đánh giá cho thấy sản phẩm của bạn có rủi ro cao, đừng coi bước kiểm tra sự phù hợp chỉ là một thủ tục giấy tờ. Đó là cánh cửa quyết định liệu sản phẩm của bạn có được phép thâm nhập thị trường một cách hợp pháp hay không.
Xây dựng hệ thống tài liệu và chất lượng.
Gánh nặng về hồ sơ theo Đạo luật này không phải là điều trừu tượng. Đó là một hồ sơ kỹ thuật sống động mà các cơ quan quản lý có thể kiểm tra. Nếu hồ sơ của bạn sơ sài, không nhất quán hoặc lỗi thời, bạn không có một hệ thống tuân thủ. Bạn đang gánh chịu một khoản nợ khổng lồ.
Hãy xử lý hồ sơ kỹ thuật như một hồ sơ được kiểm soát.
Tài liệu kỹ thuật phải tồn tại trước khi hệ thống được đưa ra thị trường và phải luôn được cập nhật. Tài liệu đó cần mô tả hệ thống, thiết kế, mục đích sử dụng và các biện pháp kiểm soát được sử dụng để đảm bảo hệ thống đáp ứng các tiêu chuẩn kỹ thuật. Nó cũng cần bao gồm bằng chứng về quá trình đào tạo, xác nhận và thử nghiệm, cùng với các biện pháp an ninh mạng bảo vệ mô hình và cơ sở hạ tầng của nó. Tài liệu kỹ thuật có rủi ro cao, Điều 11 và Phụ lục IV.
Nếu nhóm của bạn không thể nhanh chóng hoàn thành hồ sơ đó, bạn chưa sẵn sàng. Các cơ quan quản lý không muốn một bản trình chiếu. Họ muốn bằng chứng gắn liền với phiên bản thực tế của hệ thống đang được bán.
Quản lý chất lượng là một vòng kiểm soát, chứ không phải là một khẩu hiệu.
Hệ thống quản lý chất lượng cần được xem như một quy trình vận hành, chứ không phải là một tuyên bố chính sách. Nó cần có kiểm soát phiên bản, quản lý thay đổi, xử lý sự cố, giám sát sau khi đưa sản phẩm ra thị trường và một lộ trình từ dữ liệu thực tế trở lại các quyết định kỹ thuật. Đó là cách bạn chứng minh hệ thống vẫn tuân thủ các quy định sau khi phát hành thay vì đi chệch khỏi cấu hình đã được phê duyệt.
Một quy tắc nội bộ hữu ích rất đơn giản.
Nếu bản phát hành thay đổi hành vi, dữ liệu huấn luyện, đầu ra hoặc nhật ký, nó cần được xem xét và ghi lại trước khi triển khai.
Quy tắc đó giúp các nhóm sản phẩm và tuân thủ luôn phối hợp nhịp nhàng. Nó cũng giúp ngăn ngừa lỗi thường gặp là nhóm kỹ thuật phát hành bản cập nhật mô hình nhưng nhóm pháp lý lại không hề thấy sự thay đổi đó.
Bằng chứng phải được ghi ngày tháng và có thể truy xuất nguồn gốc.
Bằng chứng có phiên bản và dấu thời gian là điều bảo vệ bạn khi cơ quan chức năng yêu cầu thông tin về cách hệ thống được thiết kế và kiểm soát. Nếu hồ sơ của bạn nằm rải rác trong hộp thư đến, ổ đĩa dùng chung và các phê duyệt riêng lẻ, bạn sẽ khó chứng minh được sự tuân thủ mạch lạc. Đạo luật này khuyến khích tính truy xuất nguồn gốc vì nó giúp việc thực thi trở nên khả thi.
Hãy giữ cho hệ thống luôn được quản lý chặt chẽ. Ghi chép lại nguồn gốc mô hình, lưu giữ hồ sơ các lần chạy thử nghiệm và đảm bảo mọi bản cập nhật vật liệu đều có người chịu trách nhiệm và quy trình phê duyệt. Đó là sự khác biệt giữa một hồ sơ có thể bảo vệ được và một tình huống hoảng loạn khi cơ quan quản lý yêu cầu bằng chứng.
Tính minh bạch, thông tin người dùng và quản trị dữ liệu
Tính minh bạch và quản trị dữ liệu cần nằm trong cùng một lớp vận hành. Nếu người dùng không thể nhận biết họ đang tương tác với trí tuệ nhân tạo, hoặc dữ liệu của bạn được kiểm soát kém, hệ thống có thể vi phạm Đạo luật ngay cả khi mô hình đó mạnh về mặt kỹ thuật. Đó là vấn đề của sản phẩm, chứ không chỉ là vấn đề pháp lý.
Thông tin người dùng phải được hiển thị rõ ràng và ngay lập tức.
Ít nhất, người dùng cần biết khi nào họ đang tương tác với một hệ thống AI. Điều đó có nghĩa là thiết kế sản phẩm, quy trình hướng dẫn sử dụng và ngôn ngữ giao tiếp với khách hàng cần phải thể hiện điều đó một cách rõ ràng. Logic tương tự cũng áp dụng cho deepfake và nội dung do AI tạo ra, cần được đánh dấu rõ ràng để người dùng không bị hiểu nhầm về những gì họ đang xem.
Đối với các mô hình đa năng, vấn đề minh bạch cũng áp dụng cho cả khía cạnh đào tạo. Các nhà cung cấp cần tóm tắt dữ liệu đào tạo theo cách giúp người dùng dễ hiểu, và họ cần tôn trọng các quyền sở hữu trí tuệ của EU đối với các tập dữ liệu mà họ sử dụng. Nếu nhóm nội dung và nhóm dữ liệu không phối hợp với nhau, bạn sẽ gặp phải tình trạng công bố thông tin không nhất quán, có thể làm suy yếu toàn bộ quá trình ra mắt sản phẩm.
Quản trị dữ liệu là khía cạnh kỹ thuật của sự minh bạch.
Việc công khai thông tin minh bạch là không thể thiếu quản trị dữ liệu. Nếu tập dữ liệu lộn xộn, thiên vị hoặc được ghi chép kém, tuyên bố về tính minh bạch sẽ trở thành một câu chuyện che đậy thay vì một sự đảm bảo. Đó là lý do tại sao Đạo luật này liên kết chất lượng dữ liệu, việc lưu trữ hồ sơ và sự giám sát của con người với nhau.
Cách dễ nhất để giải quyết vấn đề này là giao cho nhóm sản phẩm quản lý một lớp bằng chứng chung.
- Thông báo rõ ràng cho người dùng: Nêu rõ khi nào hệ thống dựa trên trí tuệ nhân tạo và điều đó có ý nghĩa như thế nào trong quy trình làm việc.
- Kiểm soát chất lượng bộ dữ liệu: Nguồn gốc tài liệu, quá trình lọc và những hạn chế đã biết.
- Lưu giữ hồ sơ: Hãy lưu giữ các bằng chứng kỹ thuật hỗ trợ cho những tuyên bố mà bạn đưa ra cho người dùng và cơ quan quản lý.
- Cho phép sự can thiệp của con người: Hãy đảm bảo có người can thiệp khi kết quả đầu ra không an toàn hoặc sai sót.
Nếu lời giải thích dành cho người dùng và hồ sơ kỹ thuật không khớp nhau, hãy cho rằng cuộc kiểm toán sẽ phát hiện ra điều đó.
Đối với các công ty cũng có nghĩa vụ truy cập và chia sẻ dữ liệu theo quy định của EU, Đại diện Đạo luật Dữ liệu EU Có thể thực hiện song song với công việc tuân thủ AI khi các nhiệm vụ đó chồng chéo nhau. Điều này không thay thế các biện pháp kiểm soát theo Đạo luật AI, nhưng nó có thể giảm sự phân mảnh khi nhiều nghĩa vụ của EU tác động lên cùng một nhóm vận hành.
Các lựa chọn thiết kế cần thể hiện rõ sự tuân thủ.
Những đội ngũ xuất sắc nhất không giấu việc tuân thủ quy định trong phần chân trang pháp lý. Họ tích hợp nó vào sản phẩm. Nhãn, thẻ mẫu, lời nhắc trên giao diện và các cổng kiểm soát phát hành nội bộ đều giúp chứng minh rằng tính minh bạch là một phần của hệ thống, chứ không phải là điều được thêm vào sau.
Một mô hình kỹ thuật tinh tế vẫn có thể không đáp ứng được yêu cầu nếu người dùng cuối không biết cách sử dụng. Đó là tiêu chuẩn mà sản phẩm của bạn phải đáp ứng.
Khi nào cần có người đại diện được ủy quyền
Nhà cung cấp không thuộc EU có thể cần một đại diện được ủy quyền theo Đạo luật AI của EU thông qua hai con đường riêng biệt: Điều 22 đối với một số hệ thống AI có rủi ro cao và Điều 54 đối với các mô hình AI đa năng (GPAI).
Nhà cung cấp không thuộc EU phải giải quyết vấn đề đại diện được ủy quyền sớm. Nếu bạn đặt một số hệ thống AI rủi ro cao Nếu bạn đang hoạt động trên thị trường EU và chưa thành lập doanh nghiệp tại EU, Điều 22 có thể yêu cầu bạn có đại diện được ủy quyền đặt tại EU. Ngoài ra, nếu bạn đặt lệnh mua bán, mô hình AI đa năng (GPAI) Đối với các sản phẩm từ bên ngoài EU được đưa vào thị trường Liên minh châu Âu, Điều 54 thường yêu cầu một đại diện được ủy quyền có trụ sở tại EU, tùy thuộc vào ngoại lệ áp dụng cho phần mềm mã nguồn mở và miễn phí. Nghĩa vụ này nằm trong cấu trúc tiếp cận thị trường, vì vậy hãy coi nó như một phần của kế hoạch ra mắt sản phẩm, chứ không phải là một thủ tục pháp lý cần hoàn thiện ở giai đoạn cuối.
Nhiệm vụ này khá hạn hẹp và mang tính hình thức.
Người đại diện hành động theo ủy quyền bằng văn bản. Người này phải xác định nhà cung cấp, xác định phạm vi của các hệ thống hoặc mô hình AI được đề cập, cập nhật thông tin liên lạc và yêu cầu hợp tác với các cơ quan có thẩm quyền quốc gia và Văn phòng AI. Người đại diện là điểm liên lạc và người nắm giữ tài liệu. Người này không phải là bộ phận thay thế cho bộ phận tuân thủ.
Sự phân chia đó rất quan trọng. Nhà cung cấp vẫn chịu trách nhiệm về các nghĩa vụ. Người đại diện giúp cho việc thực thi, theo dõi và đảm bảo tính minh bạch trong EU trở nên dễ dàng hơn.
Đừng nhầm lẫn điều này với một nhà tư vấn.
Một chuyên gia tư vấn về tuân thủ có thể tư vấn cho bạn. Người đại diện được ủy quyền không thể được coi như một dịch vụ hỗ trợ pháp lý thuê ngoài. Vai trò của người đại diện hẹp hơn, và người đại diện có thể phải đối mặt với các hậu quả về mặt pháp lý liên quan đến nhiệm vụ được giao. Nếu nhiệm vụ được giao không rõ ràng, lỗi thời hoặc được kiểm soát kém, bạn đã tạo ra một điểm yếu khác.
Đối với một công ty không thuộc EU, quy tắc đơn giản là: Nếu hệ thống có rủi ro cao, Điều 22 có thể được áp dụng. Nếu hệ thống không có rủi ro cao, Điều 22 có thể không áp dụng, nhưng yêu cầu về đại diện được ủy quyền riêng biệt vẫn có thể phát sinh theo Điều 54 khi nhà cung cấp đưa mô hình AI đa năng ra thị trường Liên minh châu Âu.
| Loại nhà cung cấp | Hệ thống hoặc mô hình AI | Người đại diện được ủy quyền là cần thiết. | Nguồn |
|---|---|---|---|
| Nhà cung cấp ngoài EU | Một số hệ thống AI có rủi ro cao | Vâng, Điều 22 | Văn bản chính thức của Quy định (EU) 2024/1689 trên EUR-Lex |
| Nhà cung cấp ngoài EU | Mô hình AI đa năng (GPAI) | Nói chung là có, Điều 54 | Văn bản chính thức của Quy định (EU) 2024/1689 trên EUR-Lex |
| Nhà cung cấp ngoài EU | Mô hình GPAI đủ điều kiện, miễn phí và mã nguồn mở | Miễn trừ tiềm năng theo Điều 54(6) | Văn bản chính thức của Quy định (EU) 2024/1689 trên EUR-Lex |
| Nhà cung cấp ngoài EU | Hệ thống AI không có rủi ro cao khác | Không chỉ dựa trên cơ sở đó. | Văn bản chính thức của Quy định (EU) 2024/1689/oj/eng trên EUR-Lex |
Văn bản ủy quyền cần được soạn thảo để phục vụ việc kiểm tra, chứ không phải để tiện lợi. Nếu không thể vượt qua yêu cầu của cơ quan quản lý, nó sẽ không đủ mạnh.
Nếu công ty của bạn đã sử dụng Đại diện bảo vệ dữ liệu của EU, Việc bổ nhiệm theo Đạo luật Trí tuệ Nhân tạo (AI Act) có vẻ quen thuộc, nhưng hai vai trò này không thể hoán đổi cho nhau. Cơ chế kích hoạt, phạm vi và gánh nặng chứng cứ khác nhau, vì vậy nhiệm vụ theo AI Act phải tuân theo cấu trúc của AI Act, chứ không phải khuôn mẫu của GDPR.
Những điểm mà hầu hết các công ty đều thiếu sót trong việc tuân thủ quy định.
Khoảng cách lớn nhất nằm ở khâu thực thi. Khảo sát năm 2025 của EY cho thấy rằng 80% các tổ chức đã nhận thức được điều đó. Đạo luật AI của EU, nhưng chỉ 28% hoàn toàn tuân thủ Khảo sát EY AI GRC năm 2025. Nhận thức đã lan rộng. Điểm yếu là làm sao biến nhận thức đó thành một quy trình tuân thủ thực tế.
Vì sao khoảng cách đó lại quan trọng hơn đối với các công ty ngoài EU
Các công ty ngoài EU thường có thói quen vận hành liên quan đến EU yếu hơn. Một nhóm bán hàng có thể đang nhắm mục tiêu vào châu Âu, trong khi không ai sở hữu tài liệu EU, không có hồ sơ ủy quyền nào được cập nhật và không có đầu mối liên lạc duy nhất với các cơ quan chức năng. Đó là tình trạng tạo ra ma sát ngay khi một yêu cầu được đưa ra.
Ủy ban cũng đã đưa ra tín hiệu về cách thức hoạt động của mình. Họ sẽ bắt đầu bằng đối thoại về tuân thủ kỹ thuật, tiếp cận mô hình, yêu cầu thông tin và các yêu cầu giảm thiểu rủi ro trước khi chuyển sang các biện pháp trừng phạt. Thất bại đầu tiên thường là sự chậm trễ, nhầm lẫn hoặc phản hồi không đầy đủ vì không ai có thể cung cấp bằng chứng chính xác đủ nhanh. Quyền thực thi của Văn phòng AI.
Điều mà các nhà chức trách sẽ nhận thấy đầu tiên
Các nhà chức trách thường phát hiện ra ba điểm yếu đầu tiên. Công ty không có hồ sơ tài liệu đầy đủ và minh bạch. Thông tin liên hệ với EU không rõ ràng. Nhiệm vụ nội bộ không phù hợp với sản phẩm được đưa ra thị trường. Đây không phải là những thiếu sót nhỏ. Chúng cho thấy tổ chức chưa thực hiện việc tuân thủ một cách hiệu quả.
Quan điểm của tôi: Nếu hồ sơ của bạn chưa sẵn sàng cho việc kiểm toán, bạn vẫn chưa tuân thủ quy định, bất kể chính sách của bạn nói gì đi nữa.
Khắc phục bằng kỷ luật. Chỉ định người chịu trách nhiệm về vấn đề EU. Khóa phân loại sản phẩm. Cập nhật thường xuyên bằng chứng. Nếu công ty đã sử dụng... Đại diện bảo vệ dữ liệu của EU, Tuy nhiên, đừng coi đó là sự thay thế cho hồ sơ theo Đạo luật Trí tuệ Nhân tạo (AI Act). Cơ chế kích hoạt, phạm vi và gánh nặng chứng cứ là khác nhau, và nhiệm vụ theo Đạo luật AI Act phải được thực hiện độc lập.
Các nhà cung cấp dịch vụ ngoài EU nên làm gì bây giờ?
Với hầu hết các điều khoản của Đạo luật Trí tuệ Nhân tạo của EU hiện đã được áp dụng kể từ đó. Ngày 2 tháng 8 năm 2026, Các nhà cung cấp ngoài EU nên xác nhận ngay bây giờ việc phân loại sản phẩm, tài liệu, quy trình đánh giá sự phù hợp và các yêu cầu về đại diện được ủy quyền, đồng thời chuẩn bị cho các quy định áp dụng sau này. Phân loại mọi sản phẩm hướng đến EU theo bốn cấp độ rủi ro, xác nhận quy trình phù hợp và xác định phạm vi hồ sơ kỹ thuật ngay bây giờ, chứ không phải sau khi ra mắt. Nếu có bất kỳ hệ thống rủi ro cao hoặc mô hình GPAI nào liên quan, hãy đánh giá xem có cần đại diện được ủy quyền của EU hay không và đảm bảo rằng ủy quyền đó hiện hành và cụ thể.
Các nhà cung cấp sẽ xử lý việc thực thi một cách suôn sẻ là những người đang xây dựng bằng chứng có phiên bản, các liên hệ hướng tới EU và báo cáo chủ động vào mô hình hoạt động ngay từ bây giờ. Hãy coi Đạo luật AI như một quy định đang được thực thi, chứ không phải là một sự cập nhật chính sách. Nếu bạn cần một cách thức có cấu trúc để thiết lập đại diện và giữ cho chuỗi liên lạc được rõ ràng trong suốt các nghĩa vụ của EU, hãy truy cập DilicheckRep và xem xét mô hình chỉ định thị trường của nó phù hợp như thế nào với hệ thống tuân thủ mà nhóm của bạn đang xây dựng.
Câu hỏi thường gặp: Tuân thủ Đạo luật Trí tuệ Nhân tạo của EU dành cho các nhà cung cấp không thuộc EU
Hỏi: Đạo luật về trí tuệ nhân tạo của EU có áp dụng cho các công ty bên ngoài EU không?
MỘT: Đúng vậy. Đạo luật AI của EU có thể áp dụng cho các nhà cung cấp bên ngoài EU nếu họ đưa hệ thống AI ra thị trường EU, đưa vào sử dụng tại EU hoặc nếu hệ thống đó được sử dụng tại EU. Công ty của bạn không cần phải có văn phòng tại châu Âu để thuộc phạm vi điều chỉnh của đạo luật này.
Hỏi: Theo Đạo luật AI của EU, hệ thống AI có rủi ro cao là gì?
MỘT: Hệ thống AI rủi ro cao là hệ thống thuộc các danh mục được liệt kê trong Đạo luật, chẳng hạn như một số hệ thống được sử dụng trong việc làm, cơ sở hạ tầng trọng yếu, sinh trắc học, giáo dục hoặc là các thành phần an toàn trong các sản phẩm được quản lý. Các hệ thống rủi ro cao phải tuân thủ các nghĩa vụ nghiêm ngặt hơn, bao gồm lập tài liệu, quản lý rủi ro, ghi nhật ký, giám sát của con người và đánh giá sự phù hợp.
Hỏi: Các nhà cung cấp không thuộc EU có cần đại diện được ủy quyền theo Đạo luật Trí tuệ Nhân tạo của EU không?
MỘT: Đúng vậy. Nhà cung cấp không thuộc EU có thể cần chỉ định một đại diện được ủy quyền của EU khi cung cấp một số hệ thống AI rủi ro cao trên thị trường EU theo Điều 22, hoặc khi đưa mô hình AI đa năng (GPAI) ra thị trường Liên minh theo Điều 54. Một số mô hình GPAI mã nguồn mở và miễn phí đủ điều kiện có thể được miễn trừ.
Hỏi: Đạo luật về trí tuệ nhân tạo của EU có hiệu lực khi nào?
MỘT: Đạo luật AI của EU được áp dụng theo từng giai đoạn. Một số điều khoản, bao gồm các quy định về các hành vi bị cấm, bắt đầu có hiệu lực từ năm 2025. Ngày thi hành chính thức đối với hầu hết các nghĩa vụ là ngày 2 tháng 8 năm 2026, với một số quy định về sản phẩm rủi ro cao được áp dụng sau đó.
Hỏi: Cần những giấy tờ gì để tuân thủ Đạo luật Trí tuệ Nhân tạo của EU?
MỘT: Đối với các hệ thống AI có rủi ro cao, các nhà cung cấp thường cần tài liệu kỹ thuật, quy trình quản lý rủi ro, hồ sơ quản trị dữ liệu, kiểm soát ghi nhật ký, các biện pháp giám sát của con người, quy trình giám sát sau khi đưa sản phẩm ra thị trường và tuyên bố về sự phù hợp khi cần thiết.
Hỏi: Đánh giá sự phù hợp theo Đạo luật Trí tuệ Nhân tạo của EU là gì?
MỘT: Đánh giá sự phù hợp là quy trình được sử dụng để chứng minh rằng hệ thống AI rủi ro cao đáp ứng các yêu cầu của Đạo luật trước khi được đưa ra thị trường EU. Một số hệ thống rủi ro cao độc lập có thể tuân theo quy trình kiểm soát nội bộ, trong khi AI là một phần của các sản phẩm được điều chỉnh có thể yêu cầu đánh giá của bên thứ ba.
Hỏi: Liệu một mô hình trí tuệ nhân tạo đa năng có thể kích hoạt các nghĩa vụ theo Đạo luật Trí tuệ Nhân tạo của EU không?
MỘT: Đúng vậy. Các mô hình AI đa năng có thể kích hoạt một lớp nghĩa vụ riêng biệt theo Đạo luật, bao gồm việc lập hồ sơ, tính minh bạch và, trong một số trường hợp, các nghĩa vụ bổ sung liên quan đến rủi ro hệ thống.
Hỏi: Bước đầu tiên để tuân thủ Đạo luật Trí tuệ Nhân tạo của EU là gì?
MỘT: Bước đầu tiên là phân loại. Các nhà cung cấp cần xác định xem hệ thống có bị cấm, rủi ro cao, phải tuân thủ nghĩa vụ minh bạch hay rủi ro tối thiểu hay không. Việc phân loại đó sẽ định hình lộ trình tuân thủ, gánh nặng tài liệu và thời gian triển khai.
DilicheckRep cung cấp dịch vụ đại diện pháp lý chính thức tại EU và Vương quốc Anh, bao gồm Điều 27 GDPR, Đạo luật Trí tuệ Nhân tạo của EU, Đạo luật Dịch vụ Kỹ thuật số, Đạo luật Dữ liệu và dịch vụ điểm liên lạc NIS2, với tài liệu ủy quyền và xử lý có cấu trúc các thông tin liên lạc với cơ quan chức năng và chủ thể dữ liệu. Hãy xem xét lại phạm vi đại diện và mô hình hoạt động của bạn với DilicheckRep trước khi ra mắt sản phẩm tại thị trường EU.
Tuyên bố miễn trừ trách nhiệm: Hướng dẫn này chỉ nhằm mục đích cung cấp thông tin chung và không cấu thành tư vấn pháp lý. Việc áp dụng các quy định về bảo vệ dữ liệu và các quy định khác của EU phụ thuộc vào hoàn cảnh cụ thể của từng tổ chức. Bạn nên tìm kiếm tư vấn pháp lý phù hợp khi cần thiết trước khi dựa vào thông tin này hoặc đưa ra các quyết định tuân thủ.
Thông báo: Bài viết này được biên soạn với sự hỗ trợ của trí tuệ nhân tạo và được con người xem xét lại.