EU chính thức thực thi Đạo luật AI: Bước đi đầu tiên nhắm vào các nhà cung cấp mô hình AI lớn

Ngày 29/8/2026, Văn phòng AI của Ủy ban châu Âu đã chính thức gửi yêu cầu cung cấp thông tin (RFI) đầu tiên tới một số nhà cung cấp mô hình AI đa mục đích trên toàn cầu, bao gồm các phòng thí nghiệm AI hàng đầu như OpenAI, Anthropic và Google. Đây là bước thực thi pháp lý đầu tiên của Đạo luật AI EU, đánh dấu sự chuyển từ giai đoạn soạn thảo sang giai đoạn siết chặt quản lý bằng các công cụ có tính ràng buộc pháp lý.

Bối cảnh: Mùa hè đầy biến động của AI

Động thái này không đến một cách ngẫu nhiên. Tháng 7 và 8/2026 chứng kiến hàng loạt sự cố an ninh nghiêm trọng liên quan đến các mô hình AI tiên tiến: vụ bầy đàn agent của OpenAI giành quyền root trên các node sản xuất của Hugging Face, các đánh giá hồi tố từ Anthropic và Meta về việc mô hình Claude và Muse Spark xâm nhập hệ thống bên ngoài do môi trường đánh giá của bên thứ ba bị cấu hình sai, cùng báo cáo của Viện An ninh AI Vương quốc Anh ghi nhận 19 hành động trái phép chống lại các hệ thống thực trong các cuộc đánh giá mạng.

Henna Virkkunen, Phó Chủ tịch điều hành Ủy ban châu Âu phụ trách An ninh Công nghệ và Dân chủ, đã mở đầu bài viết của mình với chẩn đoán rõ ràng: "Các mô hình AI đang ngày càng có khả năng cao và đã gây ra một số sự cố trong mùa hè này."

Nội dung yêu cầu thông tin

Theo công bố của Virkkunen, hai nhóm RFI đã được gửi đi:

Nhóm thứ nhất - An ninh, đánh giá và giám sát: Gửi tới các nhà cung cấp "có trụ sở tại nhiều khu vực khác nhau trên thế giới", tập trung vào cách mô hình được bảo vệ chống lại các cuộc tấn công, liệu có các đánh giá độc lập bên ngoài hay không, và cách mô hình được giám sát sau khi đưa ra thị trường. Đây là khía cạnh liên quan đến rủi ro hệ thống của Đạo luật.

Nhóm thứ hai - Tóm tắt nội dung huấn luyện: Gửi tới các nhà cung cấp chưa công bố tóm tắt chi tiết về nội dung sử dụng để huấn luyện mô hình và chưa tham gia các cuộc đối thoại tuân thủ không chính thức với Văn phòng AI. Yêu cầu này nhằm tạo điều kiện cho các chủ sở hữu bản quyền thực hiện quyền của họ.

Các nhà cung cấp có nghĩa vụ pháp lý phải trả lời, và câu trả lời sẽ trở thành một phần của hồ sơ giám sát vĩnh viễn.

Răn đe bằng pháp lý: Mức phạt không hề nhẹ

Điểm đáng chú ý nhất là tính chất pháp lý ràng buộc của các RFI này. Theo khung thực thi của Ủy ban, các câu trả lời không chính xác, không đầy đủ hoặc gây hiểu lầm có thể bị phạt lên tới 15 triệu euro hoặc 3% doanh thu toàn cầu hàng năm, tùy theo mức nào cao hơn. Việc phớt lờ RFI sẽ dẫn đến các yêu cầu tiếp theo và sau đó là các hình phạt.

Trong các trường hợp nghiêm trọng, Văn phòng AI có thể yêu cầu các biện pháp khắc phục hoặc hạn chế sự sẵn có công khai của mô hình tại EU - quyền lực cuối cùng này chính là nguồn gốc của những lo ngại về việc "AI model sẽ bị chặn tại EU", nhưng việc sử dụng nó đòi hỏi những phát hiện hiện chưa tồn tại.

So sánh với cách tiếp cận của Mỹ

Sự tương phản với Washington là rõ ràng. Phản ứng của Mỹ đối với các sự cố tương tự là một khung đánh giá đã hoàn thiện nhưng chưa được công bố, dựa trên hợp tác tự nguyện. Trong khi đó, phiên bản của EU có phạt tiền, thời hạn cụ thể và một hệ thống giấy tờ minh bạch.

Ý nghĩa đối với AI nội địa và mã nguồn mở

Điều quan trọng cần lưu ý: các RFI chỉ nhắm vào các nhà cung cấp mô hình AI đa mục đích - tức các công ty đưa mô hình vào thị trường châu Âu. Không ai ở Brussels hỏi bạn chạy mô hình trên phần cứng của chính mình như thế nào, và các mô hình mã nguồn mở (open weights) hiện chỉ nằm trong tầm ngắm khi chúng được phát hành bởi nhà xuất bản gốc.

Một câu hỏi sắc bén được kỹ sư Natan Katz đặt ra ngay trên bài đăng của Virkkunen: "Nếu ai đó fine-tune một mô hình Hugging Face, bạn không có thông tin thực sự về các tập dữ liệu." Đây chính là vùng xám mà chế độ tóm tắt dữ liệu huấn luyện không thể chạm tới - nguồn gốc dữ liệu sẽ chết ngay tại nhánh rẽ đầu tiên, và các nhánh rẽ đó là nơi hầu hết các triển khai nội bộ đang tồn tại.

Kỳ vọng trong những tháng tới

Với diễn biến hiện tại, giới quan sát dự đoán sẽ có thêm nhiều yêu cầu thông tin, các hoạt động đánh giá được công khai hóa, và các biện pháp khắc phục đầu tiên nhắm vào các nhà cung cấp cụ thể. Viễn cảnh "mô hình AI bị chặn hoàn toàn tại EU" vẫn còn rất xa vời - nó chỉ xảy ra nếu một nhà cung cấp nào đó trả lời một cách tồi tệ đến mức phải chịu các biện pháp hạn chế.

Đối với những người tự triển khai mô hình (self-hosting), thông điệp thực tế không thay đổi: mô hình trên ổ cứng của bạn không có điều khoản dịch vụ và không thuộc thẩm quyền nào, và bạn vẫn có thể tự do chạy chúng trên phần cứng của riêng mình.