Email lừa đảo viết bằng AI là bước tiến của phishing truyền thống. Trước đây, phần lớn email lừa đảo nhắm vào người Việt được dịch máy hoặc viết vội, đầy lỗi chính tả, xưng hô lộn xộn. Nhân viên được dạy 'thấy sai chính tả là nghi ngờ', và cách này từng khá hiệu quả.
Mô hình ngôn ngữ thay đổi điều đó theo ba cách:
Các nhà cung cấp mô hình AI lớn có chính sách cấm dùng dịch vụ cho lừa đảo và có biện pháp ngăn chặn, nhưng kẻ gian vẫn có thể dùng mô hình mã nguồn mở hoặc khéo léo né bộ lọc. Doanh nghiệp không thể trông chờ phía công cụ AI chặn hết. Thay đổi cần làm nằm ở chính cách nhân viên kiểm tra email và cách cấu hình hệ thống email công ty.
"}, {"h2": "Những dấu hiệu mới nhân viên cần học", "html": "Khi câu chữ không còn là manh mối, nhân viên cần nhìn vào những thứ AI không làm giả được dễ dàng:
Nguyên tắc tóm gọn cho nhân viên: email càng thuyết phục mà yêu cầu càng bất thường thì càng phải xác minh.
"}, {"h2": "Checklist 60 giây kiểm tra một email đáng ngờ", "html": "Đưa checklist này vào tài liệu đào tạo và in thành thẻ nhỏ cho bộ phận kế toán, mua hàng, nhân sự:
Checklist ngắn quan trọng hơn một buổi đào tạo dài. Nhân viên nhớ được 7 bước đơn giản sẽ hành động đúng khi gặp tình huống thật, kể cả lúc đang bận.
"}, {"h2": "Biện pháp kỹ thuật bảo vệ email doanh nghiệp", "html": "Đào tạo con người phải đi kèm cấu hình kỹ thuật. Với doanh nghiệp dùng Microsoft 365 hoặc Google Workspace, các bước nền tảng gồm:
SPF, DKIM, DMARC bảo vệ tên miền của bạn khỏi bị giả mạo khi gửi cho đối tác, nhưng không chặn được email từ tên miền na ná. Vì vậy vẫn cần nhân viên kiểm tra địa chỉ. Cấu hình DNS sai có thể khiến email hợp lệ của công ty vào thư rác, nên nên làm cùng người có kinh nghiệm quản trị email.
"}, {"h2": "Bảng so sánh dấu hiệu cũ và dấu hiệu mới", "html": "Bảng này dùng để cập nhật tài liệu đào tạo cũ, thay những dấu hiệu không còn tin cậy bằng cách kiểm tra phù hợp hơn.
", "table": {"caption": "Cập nhật dấu hiệu nhận biết email lừa đảo thời AI", "head": ["Dấu hiệu cũ", "Còn tin cậy không", "Nên thay bằng"], "rows": [["Sai chính tả, câu lủng củng", "Thấp", "Kiểm tra địa chỉ gửi và tên miền thật"], ["Xưng hô chung chung 'Kính gửi quý khách'", "Thấp", "Kiểm tra yêu cầu có bất thường không"], ["Logo mờ, bố cục xấu", "Thấp", "Kiểm tra đường dẫn trước khi bấm"], ["Người gửi lạ", "Trung bình", "Kiểm tra cả người quen bị giả mạo hoặc bị chiếm tài khoản"], ["Yêu cầu gấp, bí mật", "Cao", "Giữ nguyên, kết hợp xác minh qua kênh khác"], ["Yêu cầu đổi tài khoản nhận tiền", "Rất cao", "Bắt buộc gọi lại và hai người duyệt"]]}}, {"h2": "Cách tổ chức đào tạo và diễn tập phishing", "html": "Đào tạo phòng chống email lừa đảo hiệu quả là quá trình liên tục, không phải một buổi họp mỗi năm. Kế hoạch gợi ý cho công ty 20–50 người:
Chỉ số nên theo dõi không chỉ là tỷ lệ bấm mà còn là tỷ lệ báo cáo và thời gian từ lúc nhận đến lúc báo. Một tổ chức có nhiều người báo cáo nhanh sẽ phát hiện chiến dịch lừa đảo trước khi nó gây hại diện rộng.
"}, {"h2": "Khi nào nhân viên đã bấm vào email lừa đảo", "html": "Ai cũng có thể bấm nhầm. Quan trọng là phản ứng nhanh và đúng thứ tự:
Kẻ gian chiếm được hộp thư thường cài quy tắc tự chuyển tiếp hoặc tự xóa email để theo dõi lâu dài, rồi dùng chính hộp thư đó gửi email lừa đảo cho đối tác. Vì vậy kiểm tra quy tắc hộp thư là bước bắt buộc sau mỗi sự cố. Nếu công ty chưa có người phụ trách bảo mật, nên có sẵn đầu mối hỗ trợ IT bên ngoài để gọi khi cần.
"}, {"h2": "Dùng AI để phòng thủ trước phishing AI", "html": "AI không chỉ ở phía kẻ tấn công. Doanh nghiệp cũng dùng AI để phòng thủ:
Cần thận trọng: không dán email chứa thông tin khách hàng, hợp đồng, tài khoản vào công cụ AI không có cam kết bảo mật doanh nghiệp. Và không coi câu trả lời 'email này có vẻ an toàn' của AI là bảo đảm; AI có thể nhận định sai, đặc biệt với email được viết khéo. Quy trình cuối cùng vẫn là xác minh qua kênh độc lập với mọi yêu cầu liên quan tiền và quyền truy cập.
"} ], "tip": "Hãy chọn hai bước làm ngay: bật MFA cho toàn bộ tài khoản email và quy định 'đổi tài khoản nhận tiền phải gọi lại xác minh'. Hai bước này chặn được phần lớn thiệt hại từ email lừa đảo, dù email được viết bằng AI hay không.", "faq": [ {"q": "Email lừa đảo viết bằng AI có còn lỗi chính tả không?", "a": "Thường là không. Vì vậy không nên dùng lỗi chính tả làm dấu hiệu chính, mà cần kiểm tra người gửi, đường dẫn và yêu cầu trong email."}, {"q": "SPF, DKIM, DMARC có chặn được hết email lừa đảo không?", "a": "Không. Chúng chủ yếu chống giả mạo đúng tên miền của bạn, không chặn được email từ tên miền na ná hoặc tài khoản thật bị chiếm."}, {"q": "Có nên phạt nhân viên bấm vào email lừa đảo mô phỏng không?", "a": "Không nên phạt nặng. Hướng dẫn lại và khuyến khích báo cáo sẽ giúp tổ chức an toàn hơn về lâu dài."}, {"q": "Dùng ChatGPT kiểm tra email có phải lừa đảo không được không?", "a": "Có thể dùng để tham khảo sau khi xóa thông tin nhạy cảm, nhưng không thay được việc xác minh trực tiếp với người gửi qua kênh khác."}, {"q": "Đào tạo phishing bao lâu một lần là đủ?", "a": "Nên có buổi nền tảng khi nhân viên vào làm, nhắc ngắn hằng tháng hoặc hằng quý và diễn tập mô phỏng vài lần mỗi năm."}, {"q": "Email từ địa chỉ của đồng nghiệp có thể là lừa đảo không?", "a": "Có, nếu tài khoản đồng nghiệp bị chiếm. Yêu cầu bất thường từ người quen vẫn cần xác minh bằng điện thoại hoặc gặp trực tiếp."} ], "sources": [ {"t": "CISA: Recognize and Report Phishing", "u": "https://www.cisa.gov"}, {"t": "DMARC.org", "u": "https://dmarc.org"}, {"t": "Microsoft Learn: Email authentication in Microsoft 365", "u": "https://learn.microsoft.com"}, {"t": "Wikipedia: Phishing", "u": "https://en.wikipedia.org/wiki/Phishing"} ], "related": ["ai-va-bao-mat-email-doanh-nghiep", "lua-dao-gia-giong-bang-ai", "deepfake-trong-lua-dao-doanh-nghiep", "an-ninh-mang-thoi-ai", "ai-an-ninh-mang", "ransomware-la-gi", "bao-mat-may-tram-khi-dung-ai"] }, { "id": 2275, "slug": "mau-chinh-sach-su-dung-ai", "title": "Mẫu chính sách sử dụng AI cho doanh nghiệp: bản dùng ngay để chỉnh sửa", "meta_desc": "Mẫu chính sách sử dụng AI cho doanh nghiệp vừa và nhỏ: điều khoản dùng ngay về công cụ được phép, phân loại dữ liệu, kiểm tra đầu ra, trách nhiệm, xử lý vi phạm.", "excerpt": "Nhiều công ty biết cần có chính sách sử dụng AI nhưng không biết bắt đầu viết từ đâu. Bài này cung cấp mẫu chính sách với các điều khoản sẵn, bạn sao chép vào Word, sửa theo công ty và ban hành sau khi rà soát pháp lý.", "answer": "Mẫu chính sách sử dụng AI cho doanh nghiệp là văn bản nội bộ soạn sẵn, quy định nhân viên được dùng công cụ AI nào, cho việc gì, với loại dữ liệu nào, ai kiểm tra kết quả và xử lý ra sao khi vi phạm. Một mẫu đầy đủ thường gồm mục đích và phạm vi, danh sách công cụ được phép, phân loại dữ liệu được và không được đưa vào AI, quy tắc kiểm tra đầu ra, minh bạch với khách hàng, sở hữu trí tuệ, trách nhiệm từng vai trò, đào tạo và xử lý vi phạm. Doanh nghiệp sao chép mẫu, thay các biến trong ngoặc nhọn, rồi rà soát với người có chuyên môn pháp lý trước khi ban hành.", "kws": ["mẫu chính sách sử dụng AI", "chính sách AI doanh nghiệp", "quy định sử dụng AI nội bộ", "mẫu quy chế AI", "AI acceptable use policy"], "sections": [ {"h2": "Mẫu chính sách sử dụng AI dùng để làm gì", "html": "Mẫu chính sách sử dụng AI là khung văn bản để doanh nghiệp nhanh chóng có quy định nội bộ về AI, thay vì soạn từ trang trắng. Bài viết khái niệm và lý do cần chính sách đã có ở bài về chính sách sử dụng AI nội bộ; bài này tập trung vào nội dung điều khoản cụ thể để bạn chỉnh sửa.
Mẫu phù hợp với công ty 10–100 người, đang dùng hoặc sắp dùng các công cụ như ChatGPT, Gemini, Claude, Microsoft Copilot, công cụ tạo ảnh, trợ lý viết code. Nếu doanh nghiệp hoạt động trong ngành có quy định đặc thù như tài chính, y tế, giáo dục, hoặc có khách hàng tại châu Âu, cần bổ sung điều khoản theo quy định ngành và thị trường đó.
Cách dùng:
Lưu ý: mẫu dưới đây mang tính tham khảo, không phải tư vấn pháp lý.
"}, {"h2": "Điều 1–2: Mục đích, phạm vi và định nghĩa", "html": "Điều 1. Mục đích. Chính sách này quy định việc sử dụng công cụ trí tuệ nhân tạo (AI) tại {tên công ty} nhằm tăng hiệu quả công việc, đồng thời bảo vệ dữ liệu của công ty, khách hàng, đối tác và người lao động, giảm rủi ro sai sót và tuân thủ pháp luật hiện hành.
Điều 2. Phạm vi áp dụng. Chính sách áp dụng cho toàn bộ người lao động, thực tập sinh, cộng tác viên và nhà thầu làm việc cho {tên công ty}, khi sử dụng công cụ AI cho công việc của công ty, trên thiết bị của công ty hoặc thiết bị cá nhân.
Định nghĩa:
Điều 3.1. Người lao động chỉ sử dụng công cụ AI có trong danh sách được phê duyệt (Phụ lục 1) để xử lý công việc của công ty. Ưu tiên dùng tài khoản do công ty cấp thay vì tài khoản cá nhân.
Điều 3.2. Muốn dùng công cụ mới, người lao động gửi đề xuất cho đầu mối AI, nêu: tên công cụ, mục đích, loại dữ liệu sẽ dùng, chính sách bảo mật của nhà cung cấp. Đầu mối AI phản hồi trong {số ngày} ngày làm việc.
Điều 3.3. Không cài tiện ích trình duyệt, ứng dụng ghi âm cuộc họp hoặc trợ lý AI có quyền đọc email, tài liệu công ty khi chưa được phê duyệt.
Gợi ý Phụ lục 1:
Danh sách nên ngắn và rõ. Một công ty nhỏ thường chỉ cần một trợ lý chat chung, công cụ AI trong bộ văn phòng đang dùng và một hai công cụ chuyên môn.
"}, {"h2": "Điều 4: Phân loại dữ liệu khi dùng AI", "html": "Đây là điều khoản quan trọng nhất của mẫu chính sách sử dụng AI. Điều khoản mẫu:
Điều 4.1. Dữ liệu của công ty được chia thành bốn mức. Người lao động chỉ đưa vào công cụ AI dữ liệu ở mức được phép theo Phụ lục 1.
Điều 4.2. Nghiêm cấm đưa vào bất kỳ công cụ AI nào chưa được phê duyệt cho mức tương ứng: dữ liệu cá nhân của khách hàng và người lao động (số định danh, số tài khoản, thông tin sức khỏe, lương); mật khẩu, khóa API, thông tin đăng nhập; hợp đồng, báo giá, dữ liệu tài chính chưa công bố; mã nguồn và tài liệu kỹ thuật thuộc bí mật kinh doanh.
Điều 4.3. Khi cần dùng AI với tài liệu có thông tin nhạy cảm, người lao động phải ẩn danh hoặc thay thế thông tin định danh trước.
", "table": {"caption": "Phụ lục 2: Phân loại dữ liệu và mức sử dụng AI", "head": ["Mức dữ liệu", "Ví dụ", "Công cụ AI được dùng"], "rows": [["Công khai", "Nội dung website, catalogue đã phát hành", "Mọi công cụ được phê duyệt"], ["Nội bộ", "Quy trình, biên bản họp thường", "Công cụ có tài khoản doanh nghiệp"], ["Bảo mật", "Hợp đồng, báo giá, số liệu tài chính", "Chỉ công cụ được phê duyệt riêng cho mức này"], ["Tối mật, dữ liệu cá nhân", "Lương, hồ sơ nhân sự, dữ liệu khách hàng định danh", "Không dùng, trừ hệ thống được phê duyệt bằng văn bản"]]}}, {"h2": "Điều 5–6: Kiểm tra đầu ra và minh bạch", "html": "Điều 5.1. Đầu ra AI chỉ là bản nháp. Người sử dụng chịu trách nhiệm kiểm tra tính chính xác, đầy đủ và phù hợp trước khi sử dụng cho công việc.
Điều 5.2. Bắt buộc có người có chuyên môn kiểm tra trước khi dùng đầu ra AI cho: văn bản gửi khách hàng, cơ quan nhà nước; số liệu tài chính, thuế; nội dung pháp lý, hợp đồng; thông tin kỹ thuật an toàn; nội dung quảng cáo đăng công khai.
Điều 5.3. Không dùng AI làm căn cứ duy nhất cho quyết định ảnh hưởng đáng kể tới con người như tuyển dụng, đánh giá, kỷ luật, từ chối dịch vụ.
Điều 6.1. Khi khách hàng tương tác với chatbot hoặc trợ lý AI của công ty, phải thông báo rõ họ đang trao đổi với AI và có cách liên hệ người thật.
Điều 6.2. Hình ảnh, giọng nói, video tạo bằng AI dùng cho mục đích truyền thông không được gây hiểu nhầm là ảnh thật về sản phẩm, con người hoặc sự kiện; không tạo nội dung giả mạo người thật khi chưa có sự đồng ý.
Điều 5 thường bị bỏ qua khi doanh nghiệp tự soạn, nhưng đây là điều khoản giúp xác định trách nhiệm khi AI gây sai sót.
"}, {"h2": "Điều 7–8: Sở hữu trí tuệ và bảo mật tài khoản", "html": "Điều 7.1. Nội dung người lao động tạo ra với sự hỗ trợ của AI trong quá trình làm việc thuộc quyền quản lý của {tên công ty} theo hợp đồng lao động và nội quy.
Điều 7.2. Người lao động không yêu cầu AI sao chép, mô phỏng tác phẩm có bản quyền, nhãn hiệu, phong cách nhận diện của bên thứ ba cho mục đích thương mại; khi đầu ra có dấu hiệu trùng lặp nội dung có sẵn, phải kiểm tra trước khi dùng.
Điều 7.3. Quy định về quyền tác giả đối với nội dung do AI tạo ra đang được nhiều quốc gia xem xét; công ty sẽ cập nhật điều khoản này khi có hướng dẫn chính thức.
Điều 8.1. Tài khoản AI của công ty phải bật xác thực đa yếu tố nếu công cụ hỗ trợ; không chia sẻ tài khoản.
Điều 8.2. Khóa API của dịch vụ AI chỉ được lưu trong hệ thống quản lý bí mật do bộ phận IT chỉ định, không ghi vào mã nguồn, tài liệu, tin nhắn.
Điều 8.3. Khi nghỉ việc hoặc chuyển vị trí, quyền truy cập công cụ AI được thu hồi hoặc điều chỉnh trong {số ngày} ngày.
"}, {"h2": "Điều 9–10: Trách nhiệm, đào tạo và xử lý vi phạm", "html": "Điều 9. Trách nhiệm.
Điều 10.1. Đào tạo. Người lao động tham gia đào tạo về sử dụng AI an toàn khi bắt đầu dùng công cụ AI và khi chính sách cập nhật; xác nhận đã đọc chính sách.
Điều 10.2. Báo cáo sự cố. Khi lỡ đưa dữ liệu không được phép vào AI hoặc phát hiện đầu ra AI gây sai sót, người lao động báo ngay cho trưởng bộ phận và đầu mối AI trong vòng {số giờ} giờ. Việc báo cáo kịp thời, trung thực được xem xét như tình tiết giảm nhẹ.
Điều 10.3. Xử lý vi phạm. Vi phạm chính sách được xử lý theo nội quy lao động và quy định pháp luật hiện hành, tùy mức độ và hậu quả.
Điều 10.3 cần được bộ phận nhân sự, pháp chế đối chiếu với nội quy lao động đã đăng ký để đảm bảo hợp lệ.
"}, {"h2": "Lỗi thường gặp khi ban hành chính sách AI", "html": "Có chính sách trên giấy chưa đủ. Các lỗi hay gặp khi doanh nghiệp tự ban hành:
Một cách triển khai thực tế: ban hành bản ngắn 2–3 trang cho nhân viên, kèm phụ lục chi tiết cho đầu mối AI và quản lý. Tổ chức buổi giới thiệu 30 phút, trả lời câu hỏi thật của nhân viên, rồi cập nhật chính sách theo những câu hỏi đó.
"} ], "tip": "Viết chính sách xong, hãy thử với ba tình huống thật trong công ty, ví dụ kế toán muốn tóm tắt hợp đồng bằng AI. Nếu nhân viên không tra được ngay câu trả lời 'được hay không' trong chính sách, nghĩa là chính sách cần cụ thể hơn.", "faq": [ {"q": "Doanh nghiệp nhỏ có cần chính sách sử dụng AI không?", "a": "Có, nếu nhân viên đang dùng AI cho công việc. Một văn bản ngắn với danh sách công cụ và quy tắc dữ liệu đã giảm đáng kể rủi ro."}, {"q": "Mẫu chính sách sử dụng AI có dùng nguyên văn được không?", "a": "Không nên. Cần thay thông tin công ty, điều chỉnh theo công cụ thực tế và rà soát pháp lý, đặc biệt phần xử lý vi phạm."}, {"q": "Chính sách AI nên dài bao nhiêu?", "a": "Bản cho nhân viên nên 2–3 trang, dễ đọc. Chi tiết kỹ thuật và danh sách công cụ đưa vào phụ lục."}, {"q": "Có nên cấm nhân viên dùng ChatGPT bản miễn phí không?", "a": "Nhiều công ty cho phép với dữ liệu công khai và cấm với dữ liệu nội bộ trở lên. Quyết định phụ thuộc điều khoản dữ liệu của gói đó tại thời điểm xét duyệt."}, {"q": "Ai nên là đầu mối AI trong công ty nhỏ?", "a": "Thường là người phụ trách IT, vận hành hoặc trợ lý giám đốc có hiểu biết công nghệ, được lãnh đạo giao quyền rõ ràng."}, {"q": "Bao lâu cập nhật chính sách AI một lần?", "a": "Ít nhất mỗi năm, và ngay khi công ty đổi công cụ AI, có sự cố hoặc có văn bản pháp luật mới liên quan."} ], "sources": [ {"t": "NIST AI Risk Management Framework", "u": "https://www.nist.gov/itl/ai-risk-management-framework"}, {"t": "OECD AI Principles", "u": "https://oecd.ai"}, {"t": "ISO/IEC 42001 Artificial intelligence management system", "u": "https://www.iso.org"} ], "related": ["chinh-sach-su-dung-ai-noi-bo-cho-doanh-nghiep", "ai-governance-la-gi", "shadow-ai-la-gi", "bao-mat-du-lieu-khi-dung-chatgpt-claude-trong-cong-ty", "du-lieu-ca-nhan-khi-dung-ai", "ai-gay-sai-sot-ai-chiu-trach-nhiem", "iso-42001-la-gi"] }, { "id": 2276, "slug": "eu-ai-act-cho-doanh-nghiep-xuat-khau", "title": "EU AI Act tóm tắt cho doanh nghiệp Việt làm việc với châu Âu", "meta_desc": "EU AI Act tóm tắt cho doanh nghiệp Việt Nam xuất khẩu, gia công phần mềm cho châu Âu: phân loại rủi ro, ai phải tuân thủ, lộ trình áp dụng và việc cần chuẩn bị.", "excerpt": "Đạo luật AI của Liên minh châu Âu có hiệu lực từ năm 2024 và áp dụng theo lộ trình. Doanh nghiệp Việt bán sản phẩm, gia công phần mềm hay cung cấp dịch vụ có dùng AI cho khách châu Âu cần hiểu mình thuộc nhóm nào. Bài này tóm tắt những điểm chắc chắn và việc nên chuẩn bị.", "answer": "EU AI Act (Quy định (EU) 2024/1689) là luật của Liên minh châu Âu quản lý hệ thống AI theo mức độ rủi ro: cấm một số ứng dụng rủi ro không chấp nhận được, đặt nghĩa vụ chặt cho hệ thống rủi ro cao, yêu cầu minh bạch với một số hệ thống như chatbot và nội dung do AI tạo, và có quy định riêng cho mô hình AI đa dụng. Luật có hiệu lực từ 1/8/2024, áp dụng dần theo lộ trình. Doanh nghiệp Việt Nam có thể chịu tác động nếu đưa hệ thống AI vào thị trường EU hoặc đầu ra của hệ thống được dùng tại EU. Cần đối chiếu văn bản chính thức và hỏi chuyên gia pháp lý châu Âu cho trường hợp cụ thể.", "kws": ["EU AI Act", "đạo luật AI châu Âu", "EU AI Act doanh nghiệp Việt Nam", "tuân thủ EU AI Act", "AI rủi ro cao EU"], "sections": [ {"h2": "EU AI Act là gì", "html": "EU AI Act là quy định của Liên minh châu Âu về trí tuệ nhân tạo, tên chính thức là Quy định (EU) 2024/1689, được công bố trên Công báo của EU năm 2024 và có hiệu lực từ ngày 1/8/2024. Đây là một trong những khung pháp lý toàn diện đầu tiên trên thế giới dành riêng cho AI.
Vì là 'quy định' (regulation) chứ không phải 'chỉ thị' (directive), EU AI Act áp dụng trực tiếp tại các nước thành viên, không cần từng nước chuyển hóa thành luật riêng. Tuy nhiên, mỗi nước thành viên chỉ định cơ quan giám sát và xử phạt của mình.
Cách tiếp cận cốt lõi là dựa trên rủi ro: ứng dụng AI càng có khả năng gây hại cho sức khỏe, an toàn, quyền cơ bản của con người thì nghĩa vụ càng nặng. Phần lớn ứng dụng AI thông dụng như lọc thư rác, gợi ý sản phẩm, công cụ hỗ trợ viết thuộc nhóm rủi ro tối thiểu và gần như không có nghĩa vụ mới.
Bài viết này tóm tắt những điểm chính để doanh nghiệp Việt định hướng, không phải tư vấn pháp lý. Nội dung chi tiết, hướng dẫn thi hành và lộ trình có thể được Ủy ban châu Âu bổ sung, điều chỉnh; luôn đối chiếu văn bản trên EUR-Lex và trang chính thức của Ủy ban châu Âu.
"}, {"h2": "Vì sao doanh nghiệp Việt Nam cần quan tâm", "html": "EU AI Act có phạm vi áp dụng ngoài lãnh thổ. Theo văn bản, luật áp dụng cả với nhà cung cấp đặt ngoài EU khi đưa hệ thống AI hoặc mô hình AI đa dụng ra thị trường EU, và với nhà cung cấp, bên triển khai ngoài EU khi đầu ra của hệ thống AI được sử dụng tại EU.
Các nhóm doanh nghiệp Việt có thể bị ảnh hưởng:
Ngay cả khi doanh nghiệp không trực tiếp thuộc diện điều chỉnh, khách hàng và đối tác châu Âu thường đưa yêu cầu tuân thủ vào hợp đồng, bảng câu hỏi nhà cung cấp. Hiểu luật giúp bạn trả lời các yêu cầu này và không mất cơ hội kinh doanh.
"}, {"h2": "Bốn mức rủi ro trong EU AI Act", "html": "EU AI Act chia hệ thống AI theo mức rủi ro, mỗi mức có nghĩa vụ khác nhau.
", "table": {"caption": "Phân loại rủi ro theo EU AI Act (tóm tắt)", "head": ["Mức rủi ro", "Ví dụ theo văn bản", "Nghĩa vụ chính"], "rows": [["Không chấp nhận được", "Chấm điểm xã hội, thao túng gây hại, nhận diện cảm xúc tại nơi làm việc và trường học (trừ ngoại lệ)", "Bị cấm"], ["Rủi ro cao", "AI trong tuyển dụng, đánh giá người lao động, chấm điểm tín dụng, giáo dục, một số sản phẩm thuộc diện an toàn", "Quản lý rủi ro, chất lượng dữ liệu, tài liệu kỹ thuật, giám sát của con người, đánh giá sự phù hợp"], ["Rủi ro hạn chế (minh bạch)", "Chatbot, deepfake, nội dung do AI tạo", "Thông báo người dùng đang tương tác với AI, gắn nhãn nội dung"], ["Rủi ro tối thiểu", "Lọc thư rác, gợi ý sản phẩm, trò chơi", "Không có nghĩa vụ mới bắt buộc, khuyến khích bộ quy tắc tự nguyện"]]}}, {"h2": "Mô hình AI đa dụng và nghĩa vụ minh bạch", "html": "Bên cạnh hệ thống AI, EU AI Act có chương riêng cho mô hình AI đa dụng (general-purpose AI, GPAI), tức các mô hình nền như mô hình ngôn ngữ lớn có thể dùng cho nhiều mục đích. Nhà cung cấp mô hình này phải có tài liệu kỹ thuật, cung cấp thông tin cho bên tích hợp, có chính sách tôn trọng bản quyền EU và công bố bản tóm tắt dữ liệu huấn luyện. Mô hình được xếp có rủi ro hệ thống chịu thêm nghĩa vụ đánh giá và giảm thiểu rủi ro.
Phần lớn doanh nghiệp Việt Nam không phải nhà cung cấp mô hình đa dụng; bạn thường là bên dùng API của các nhà cung cấp lớn để xây ứng dụng. Khi đó, nghĩa vụ của bạn phụ thuộc vào ứng dụng cụ thể bạn xây.
Với nghĩa vụ minh bạch, điểm doanh nghiệp hay gặp:
Chi tiết kỹ thuật về cách gắn nhãn được hướng dẫn thêm qua văn bản và bộ quy tắc thực hành của EU.
"}, {"h2": "Lộ trình áp dụng các điều khoản", "html": "EU AI Act không áp dụng toàn bộ cùng lúc. Theo văn bản gốc, các mốc chính gồm:
Lưu ý quan trọng: Ủy ban châu Âu đã đưa ra các đề xuất điều chỉnh, đơn giản hóa liên quan tới lộ trình áp dụng một số nghĩa vụ rủi ro cao. Tại thời điểm viết, doanh nghiệp cần kiểm tra trên trang chính thức của Ủy ban châu Âu xem đề xuất nào đã được thông qua và mốc thời gian hiện hành là gì.
Nghĩa vụ hiểu biết AI đã áp dụng từ đầu năm 2025: tổ chức cung cấp hoặc triển khai AI cần có biện pháp để nhân sự liên quan có đủ hiểu biết về AI ở mức phù hợp. Với công ty gia công, đây là điểm khách hàng có thể hỏi ngay.
"}, {"h2": "Vai trò của bạn: nhà cung cấp hay bên triển khai", "html": "Nghĩa vụ trong EU AI Act phụ thuộc vào vai trò. Hai vai trò chính:
Ngoài ra còn có nhà nhập khẩu, nhà phân phối và đại diện được ủy quyền tại EU (bắt buộc với nhà cung cấp hệ thống rủi ro cao ở ngoài EU).
Tình huống thực tế: một công ty phần mềm ở TP.HCM xây công cụ sàng lọc CV cho khách hàng Đức. Nếu công cụ được phát hành dưới tên khách hàng Đức, khách thường là nhà cung cấp, còn công ty Việt là bên gia công nhưng vẫn phải cung cấp tài liệu, dữ liệu để khách đáp ứng nghĩa vụ. Nếu công ty Việt bán chính công cụ đó dưới thương hiệu của mình cho nhiều khách châu Âu, công ty Việt có thể là nhà cung cấp hệ thống rủi ro cao. Xác định vai trò chính xác cần chuyên gia pháp lý xem xét hợp đồng và sản phẩm cụ thể.
"}, {"h2": "Doanh nghiệp Việt nên chuẩn bị gì", "html": "Dù chưa chắc thuộc diện điều chỉnh trực tiếp, doanh nghiệp làm việc với châu Âu nên chuẩn bị theo checklist:
Doanh nghiệp đã tuân thủ GDPR sẽ có lợi thế, vì nhiều yêu cầu về dữ liệu, tài liệu và quyền của người dùng có điểm tương đồng.
"}, {"h2": "Chế tài và những hiểu lầm thường gặp", "html": "EU AI Act quy định mức phạt hành chính theo tỷ lệ doanh thu toàn cầu hằng năm hoặc một mức tối đa cố định, tùy loại vi phạm; mức cao nhất dành cho vi phạm quy định cấm, lên tới 7% doanh thu toàn cầu hằng năm. Doanh nghiệp vừa và nhỏ, startup có cơ chế mức phạt cân nhắc hơn theo văn bản. Chi tiết cụ thể cần đọc trực tiếp điều khoản về chế tài.
Một số hiểu lầm phổ biến:
Khi có hợp đồng lớn với khách châu Âu liên quan AI, nên tham vấn luật sư am hiểu luật EU thay vì dựa vào bản tóm tắt.
"} ], "tip": "Nếu đang gia công phần mềm cho khách châu Âu, hãy chủ động gửi khách một tài liệu mô tả ngắn: hệ thống AI dùng mô hình nào, dữ liệu gì, kiểm thử ra sao, con người giám sát ở đâu. Chủ động minh bạch thường giúp bạn ghi điểm trong mắt khách hàng đang lo tuân thủ.", "faq": [ {"q": "EU AI Act có áp dụng cho doanh nghiệp Việt Nam không?", "a": "Có thể, nếu bạn đưa hệ thống AI ra thị trường EU hoặc đầu ra của hệ thống được dùng tại EU. Cần xem xét từng sản phẩm và vai trò cụ thể."}, {"q": "EU AI Act có hiệu lực từ khi nào?", "a": "Luật có hiệu lực từ 1/8/2024 và áp dụng dần theo các mốc từ 2025 đến 2027. Lộ trình một số nghĩa vụ có thể được điều chỉnh, cần kiểm tra trang chính thức."}, {"q": "Chatbot trên website bán hàng cho khách châu Âu cần làm gì?", "a": "Tối thiểu cần cho người dùng biết họ đang trao đổi với AI. Nếu chatbot xử lý dữ liệu cá nhân, còn phải đáp ứng GDPR."}, {"q": "AI tuyển dụng có phải rủi ro cao theo EU AI Act không?", "a": "Theo phụ lục của luật, hệ thống AI dùng để tuyển dụng, sàng lọc ứng viên thuộc nhóm rủi ro cao, kèm nhiều nghĩa vụ."}, {"q": "AI literacy trong EU AI Act là gì?", "a": "Là nghĩa vụ để nhân sự cung cấp hoặc vận hành AI có hiểu biết phù hợp về AI, áp dụng từ 2/2/2025 với bên cung cấp và bên triển khai."}, {"q": "ISO 42001 có giúp tuân thủ EU AI Act không?", "a": "ISO/IEC 42001 giúp xây hệ thống quản lý AI và tài liệu hóa, hỗ trợ việc chứng minh tuân thủ, nhưng không tự động đồng nghĩa với tuân thủ đầy đủ luật."} ], "sources": [ {"t": "EUR-Lex: Regulation (EU) 2024/1689 (Artificial Intelligence Act)", "u": "https://eur-lex.europa.eu"}, {"t": "European Commission: AI Act - Shaping Europe's digital future", "u": "https://digital-strategy.ec.europa.eu"}, {"t": "Wikipedia: Artificial Intelligence Act", "u": "https://en.wikipedia.org/wiki/Artificial_Intelligence_Act"} ], "related": ["iso-42001-la-gi", "quy-dinh-ai-tai-viet-nam", "ai-governance-la-gi", "ai-co-trach-nhiem", "danh-gia-nha-cung-cap-ai", "du-lieu-ca-nhan-khi-dung-ai", "ai-cho-xuat-nhap-khau"] } ]