Hạn rủi ro cao của bạn dời sang tháng 12 năm 2027. Hạn của chatbot thì không.

TL;DR. Omnibus AI dời hạn cho hệ thống rủi ro cao sang tháng 12 năm 2027. Article 50 không bị đụng tới. Nghĩa vụ minh bạch có hiệu lực từ hôm nay và rơi vào chatbot.

Điểm chính

Điều gì đã dời và điều gì thì không. Ở đây sự chính xác quan trọng hơn thường lệ, vì tiêu đề và văn bản có hiệu lực đi theo hai hướng khác nhau.
Bốn nghĩa vụ có hiệu lực hôm nay. Article 50 ngắn, và nên nói cụ thể điều nó thực sự đòi hỏi thay vì diễn giải đến mức mơ hồ.
«Máy đọc được» mới là phần nặng. Trong bốn nghĩa vụ, yêu cầu đánh dấu là cái duy nhất cấu thành một chương trình kỹ thuật chứ không phải một sửa đổi câu chữ.
Nhà cung cấp hay bên triển khai, và vì sao đây không phải việc của nhà cung cấp. Nghĩa vụ chia theo vai trò, và chính chỗ chia ấy là nơi các giả định mua sắm thường sụp đổ.

Chín ngày trước, omnibus AI có hiệu lực và trả lại cho các ngân hàng mười sáu tháng. Các nghĩa vụ rủi ro cao đối với hệ thống thuộc Phụ lục III — những nghĩa vụ bao trùm việc đánh giá khả năng trả nợ và định phí bảo hiểm, tức các điều khoản mà mọi chương trình AI của ngân hàng được dựng quanh — đã dời từ hôm nay sang ngày 2 tháng 12 năm 2027. Hệ thống nhúng trong sản phẩm được quản lý theo Phụ lục I dời sang ngày 2 tháng 8 năm 2028. Đó là sự nới lỏng thực sự ở phần tốn kém nhất của hồ sơ. Đồng thời cũng là loại tin tốt nguy hiểm nhất, vì một lần hoãn được công bố trong một đoạn văn sẽ bị đọc thành hoãn tất cả. Article 50 không dịch chuyển. Các nghĩa vụ minh bạch của nó có hiệu lực từ hôm nay, và chúng không rơi vào bộ máy tín dụng. Chúng rơi vào chatbot trong ứng dụng di động, lá thư do AI soạn và giọng nói tổng hợp ở trung tâm liên hệ.

Tóm tắt cho lãnh đạo

Sự nới lỏng là có thật và hẹp. Mười sáu tháng ở Phụ lục III thay đổi đáng kể bài toán kinh tế của chương trình. Nó áp dụng cho công việc phân loại rủi ro cao, không áp dụng cho minh bạch.

Hôm nay là một mốc tuân thủ đang có hiệu lực. Article 50 áp dụng từ ngày 2 tháng 8 năm 2026. Văn bản không dành thời gian ân hạn cho hệ thống đưa ra thị trường sau thỏa thuận omnibus.

Điều khoản chuyển tiếp hẹp hơn vẻ ngoài. Hệ thống tạo sinh đã có trên thị trường trước thỏa thuận omnibus có thời hạn đến ngày 2 tháng 12 năm 2026 cho nghĩa vụ đánh dấu máy đọc được. Các triển khai mới không thừa hưởng điều đó.

Đây là vấn đề của kênh nhưng đeo phù hiệu rủi ro mô hình. Gần như mọi bề mặt bị ảnh hưởng đều thuộc bộ phận số, tiếp thị hoặc trung tâm liên hệ — những chức năng không có ghế trong ban chỉ đạo AI Act.

Điều gì đã dời và điều gì thì không

Ở đây sự chính xác quan trọng hơn thường lệ, vì tiêu đề và văn bản có hiệu lực đi theo hai hướng khác nhau.

Bản thân AI Act là Regulation (EU) 2024/1689. Gói đơn giản hóa được gọi là omnibus AI được đề xuất tháng 11 năm 2025, đạt thỏa thuận chính trị tháng 5 năm 2026, và có hiệu lực ngày 27 tháng 7 năm 2026 — chín ngày trước ngày mà bài viết này mang.

Những gì nó đã hoãn:

Các nghĩa vụ rủi ro cao của Phụ lục III dời sang ngày 2 tháng 12 năm 2027. Đây là khối chứa việc đánh giá khả năng trả nợ và chấm điểm tín dụng thể nhân, cùng việc đánh giá rủi ro và định phí trong bảo hiểm nhân thọ và sức khỏe. Với phần lớn ngân hàng, đó chính là toàn bộ chương trình.
Rủi ro cao theo Phụ lục I — hệ thống nhúng như cấu phần an toàn trong sản phẩm vốn đã thuộc phạm vi luật sản phẩm của EU — dời sang ngày 2 tháng 8 năm 2028.

Những gì nó không hoãn:

Các nghĩa vụ minh bạch của Article 50 áp dụng từ ngày 2 tháng 8 năm 2026.

Khoảng cách giữa hai dữ kiện đó chính là toàn bộ chủ đề của bài này. Một ngân hàng đã bỏ mười tám tháng xây dựng đánh giá hợp chuẩn, tài liệu kỹ thuật và năng lực đăng ký cho một mô hình chấm điểm vừa nhận thêm mười sáu tháng dư địa cho công việc ấy. Cũng chính ngân hàng đó rất có thể đang có một trợ lý tiếp xúc khách hàng trong ứng dụng di động, và hôm nay nó phát sinh nghĩa vụ pháp lý — thuộc một giám đốc khác, được cấp ngân sách khác, và hoàn toàn vắng mặt trong kế hoạch chương trình AI Act.

Kiểu hỏng hóc ở đây không phải sự chống đối. Nó là sơ đồ tổ chức.

Bốn nghĩa vụ có hiệu lực hôm nay

Article 50 ngắn, và nên nói cụ thể điều nó thực sự đòi hỏi thay vì diễn giải đến mức mơ hồ.

Tương tác trực tiếp. Nhà cung cấp phải bảo đảm rằng người dùng được cho biết họ đang tương tác với hệ thống AI chứ không phải con người, trừ khi điều đó là hiển nhiên với một người hiểu biết hợp lý trong hoàn cảnh đó. Với ngân hàng, đó là trợ lý trong ứng dụng, tiện ích trò chuyện trên web và bot thoại trả lời điện thoại trước khi có người thật.

Nội dung do AI tạo ra. Nhà cung cấp hệ thống tạo ra âm thanh, hình ảnh, video hoặc văn bản tổng hợp phải đánh dấu đầu ra ở định dạng máy đọc được và làm cho chúng có thể phát hiện được là do máy tạo ra hoặc bị can thiệp. Các kỹ thuật được tính đến gồm hình mờ, siêu dữ liệu, chỉ dấu nguồn gốc bằng mật mã và dấu vân.

Nhận diện cảm xúc và phân loại sinh trắc học. Bên triển khai phải thông báo cho những người chịu tác động của hệ thống. Phân tích cảm xúc ở trung tâm liên hệ là ứng viên hiển nhiên, và thường được mua như công cụ bảo đảm chất lượng chứ không phải như một hệ thống AI.

Deepfake và văn bản lợi ích công. Bên triển khai tạo ra hoặc can thiệp hình ảnh, âm thanh hay video cấu thành deepfake phải công bố điều đó. Văn bản được công bố nhằm cung cấp thông tin cho công chúng về các vấn đề lợi ích công cũng mang nghĩa vụ công bố — và nó vươn vào truyền thông doanh nghiệp cùng việc công bố nghiên cứu sâu hơn mức phần lớn ngân hàng đã lường.

Bảng 1: Mỗi nghĩa vụ thực sự rơi vào đâu

Nghĩa vụ	Bề mặt ngân hàng điển hình	Ai đang phụ trách	Có trong kế hoạch AI Act?
Công bố tương tác với AI	Trợ lý ứng dụng, trò chuyện web, bot thoại	Kênh số	Hiếm khi
Đánh dấu máy đọc được	Nội dung tiếp thị, thư từ do AI soạn	Tiếp thị, vận hành	Gần như không bao giờ
Thông báo nhận diện cảm xúc	Phân tích cảm xúc ở trung tâm liên hệ	Vận hành khách hàng	Không
Deepfake và văn bản lợi ích công	Truyền thông doanh nghiệp, nghiên cứu	Truyền thông	Không
Hợp chuẩn rủi ro cao (đã hoãn)	Chấm điểm tín dụng, định phí bảo hiểm	Rủi ro mô hình	Có — và vừa mới dời

Quy luật ở cột bên phải chính là phát hiện. Nghĩa vụ duy nhất còn sống hôm nay lại là nghĩa vụ không ai bố trí người.

«Máy đọc được» mới là phần nặng

Trong bốn nghĩa vụ, yêu cầu đánh dấu là cái duy nhất cấu thành một chương trình kỹ thuật chứ không phải một sửa đổi câu chữ.

Dòng chữ hiển thị «tạo bằng AI» là việc nên làm và không thỏa mãn nghĩa vụ được dựng quanh khả năng máy đọc. Ý nghĩa của yêu cầu là để hệ thống ở phía sau — một nền tảng, một trình duyệt, một công cụ xác minh — có thể xác định nguồn gốc mà không cần con người đọc trang. Hình mờ, siêu dữ liệu nhúng, nguồn gốc bằng mật mã và dấu vân đều là các kỹ thuật được nêu tên, và chúng hành xử khác nhau trong những điều kiện mà nội dung thực sự gặp phải: mã hóa lại, cắt xén, chụp màn hình, chuyển đổi định dạng, và đi qua các nền tảng bên thứ ba vốn mặc nhiên xóa siêu dữ liệu.

Từ đó có ba câu hỏi cho ngân hàng, và không câu nào là câu hỏi pháp lý.

Chuỗi nội dung nào thực sự tạo ra đầu ra tổng hợp — kể cả những chuỗi nảy sinh ngoài khuôn khổ quản trị, như thư từ khách hàng do AI soạn và việc tạo hình ảnh tiếp thị. Kỹ thuật đánh dấu nào sống sót qua đường phân phối mà mỗi chuỗi sử dụng. Và liệu công cụ trong chồng công nghệ có hỗ trợ nó không, bởi nghĩa vụ đánh dấu chỉ mạnh ngang mắt xích yếu nhất chạm vào tài sản sau khi nó được tạo ra.

Có một điều khoản chuyển tiếp đáng đọc kỹ thay vì đọc một cách lạc quan. Hệ thống tạo sinh đã có trên thị trường trước thỏa thuận omnibus tháng 5 năm 2026 có thời hạn đến ngày 2 tháng 12 năm 2026 để đáp ứng nghĩa vụ đánh dấu máy đọc được theo Article 50(2). Với một triển khai đang chạy, đó là khoảng thở thực sự. Nó không phải thời gian ân hạn chung, và không vươn tới thứ mà ngân hàng dựng lên vào tháng sau.

Nhà cung cấp hay bên triển khai, và vì sao đây không phải việc của nhà cung cấp

Nghĩa vụ chia theo vai trò, và chính chỗ chia ấy là nơi các giả định mua sắm thường sụp đổ.

Nói đại thể, việc đánh dấu đầu ra tổng hợp tại điểm tạo ra thuộc về nhà cung cấp — bên phát triển hệ thống và đưa nó ra thị trường. Việc công bố cho những người bị ảnh hưởng nhìn chung thuộc về bên triển khai — ngân hàng sử dụng hệ thống dưới thẩm quyền của chính mình. Ngân hàng cấp phép một trợ lý hội thoại là bên triển khai. Nó cũng có thể trở thành nhà cung cấp nếu đặt tên mình lên hệ thống hoặc sửa đổi hệ thống một cách đáng kể — và đó chính xác là điều xảy ra khi một tổ chức bọc mô hình nền trong một trợ lý mang thương hiệu riêng.

Hai hệ quả theo sau.

Chứng thực của nhà cung cấp không xóa nghĩa vụ của bên triển khai. «Nền tảng của chúng tôi tuân thủ AI Act» là phát biểu về nghĩa vụ của nhà cung cấp, không phải về việc ngân hàng công bố cho khách hàng của chính mình trong giao diện của chính mình.

Và việc gắn nhãn trắng có thể đẩy ngân hàng qua lằn ranh. Một tổ chức càng biến hệ thống của bên thứ ba thành của mình một cách triệt để — tên gọi, giọng điệu, tinh chỉnh — thì càng có khả năng đang gánh nghĩa vụ của nhà cung cấp mà nó chưa từng ký kết.

Bảng 2: Những gì phải chốt trước bản phát hành kế tiếp

Câu hỏi	Vì sao nó quyết định mức phơi nhiễm của bạn
Bề mặt tiếp xúc khách hàng nào có liên quan đến hệ thống AI?	Không thể công bố trên một bề mặt chưa ai kiểm kê
Với mỗi bề mặt, chúng ta là nhà cung cấp, bên triển khai hay cả hai?	Quyết định nghĩa vụ nào rơi vào bạn thay vì nhà cung cấp
Có chuỗi nào phát nội dung tổng hợp ra bên ngoài không?	Kích hoạt nghĩa vụ đánh dấu máy đọc được
Dấu đánh có sống sót qua đường phân phối của chúng ta không?	Một hình mờ đã bị gỡ thì không còn là dấu đánh
Hệ thống đã có trên thị trường trước tháng 5 năm 2026 chưa?	Quyết định điều khoản chuyển tiếp 2 tháng 12 năm 2026 có áp dụng không
Ai ký xác nhận rằng một bản phát hành đáp ứng Article 50?	Không có người phụ trách được nêu tên thì không ai làm

Con số ấn định thứ tự ưu tiên

Việc không tuân thủ Article 50 rơi vào bậc chịu phạt hành chính lên tới 15 triệu euro hoặc 3 % tổng doanh thu toàn cầu hằng năm, tùy mức nào cao hơn.

Con số ấy đáng được đọc cạnh khối lượng công việc đi kèm. Công bố rằng chatbot là chatbot là việc nhỏ. Đánh dấu nội dung tổng hợp theo cách máy đọc được là một chương trình kỹ thuật có thật nhưng có giới hạn. Không cái nào sánh được về chi phí với chế độ đánh giá hợp chuẩn vừa dời sang tháng 12 năm 2027. Sự bất đối xứng giữa mức phơi nhiễm và chi phí khắc phục chính là lập luận để làm ngay bây giờ, và đó là lập luận dễ đưa ra hội đồng quản trị một cách khác thường.

Cẩm nang vận hành

Năm bước, và bước đầu không phải là rà soát pháp lý.

Kiểm kê bề mặt, không phải mô hình. Hỏi từng bộ phận tiếp xúc khách hàng xem AI nào đang chạm tới khách hàng. Sổ đăng ký AI Act do rủi ro mô hình lập sẽ không có bộ tạo hình ảnh tiếp thị lẫn trợ lý soạn thảo ở trung tâm liên hệ.
Phân loại nhà cung cấp và bên triển khai theo từng hệ thống. Làm theo hệ thống chứ không theo nhà cung cấp, vì cùng một nhà cung cấp có thể để bạn ở những vai khác nhau tùy mức bạn đã gắn thương hiệu và tinh chỉnh thứ họ bán.
Kiểm tra xem dấu đánh của bạn có sống sót không. Đưa một tài sản đã đánh dấu đi qua đường phân phối thật — CMS, nền tảng thư điện tử, kênh mạng xã hội — rồi kiểm tra xem tín hiệu nguồn gốc còn ở đó không. Phần lớn siêu dữ liệu không sống sót qua hành trình ấy.
Chỉ định người phụ trách cổng phát hành. Tuân thủ Article 50 là thuộc tính theo từng bản phát hành của một kênh, không phải chứng nhận một lần. Không có người phê duyệt được nêu tên, nó sẽ thụt lùi ngay lần đầu một nhóm phát hành dưới sức ép thời hạn.
Giữ ấm chương trình đã hoãn. Mười sáu tháng không phải là hủy bỏ. Các nhóm bị giải tán tháng 8 năm 2026 sẽ được dựng lại với chi phí cao hơn vào năm 2027, và công việc phân loại quyết định một hệ thống có thuộc Phụ lục III hay không chẳng hề dễ đi chút nào.

Sự nới lỏng của cơ quan quản lý hiếm khi đồng đều, và gần như không bao giờ đồng đều theo cách mà một dòng tiêu đề gợi ra. Những tổ chức sẽ lúng túng trong năm nay không phải là những tổ chức đọc sai luật. Đó là những tổ chức nghe thấy «đã hoãn», giải tán chương trình, và chưa từng kiểm tra xem từ ấy thực sự bao trùm nghĩa vụ nào của họ.

Câu hỏi thường gặp

Vậy AI Act đã bị hoãn hay chưa?
Một phần. Omnibus AI, có hiệu lực từ ngày 27 tháng 7 năm 2026, đã hoãn các nghĩa vụ rủi ro cao của Phụ lục III đến ngày 2 tháng 12 năm 2027 và Phụ lục I đến ngày 2 tháng 8 năm 2028. Nó không hoãn Article 50, với các nghĩa vụ minh bạch áp dụng từ ngày 2 tháng 8 năm 2026.

Chúng tôi chỉ dùng chatbot của bên thứ ba. Chúng tôi có thuộc phạm vi không?
Gần như chắc chắn là có, với tư cách bên triển khai. Nghĩa vụ của bên triển khai — gồm việc cho người dùng biết họ đang tương tác với hệ thống AI — rơi vào ngân hàng vận hành hệ thống dưới thẩm quyền của chính mình, và không được xóa bởi tuyên bố hợp chuẩn của nhà cung cấp. Nếu bạn đã gắn thương hiệu riêng cho trợ lý hoặc sửa đổi nó đáng kể, bạn còn có thể gánh nghĩa vụ của nhà cung cấp.

Một nhãn hiển thị «do AI tạo» đã đủ chưa?
Với nghĩa vụ đánh dấu thì chưa. Article 50(2) được dựng quanh việc đánh dấu máy đọc được để hệ thống phía sau phát hiện nguồn gốc tổng hợp mà không cần con người đọc — hình mờ, siêu dữ liệu, chỉ dấu nguồn gốc bằng mật mã, dấu vân. Dòng chữ hiển thị là thực hành tốt bổ sung bên trên, không phải vật thay thế.

Điều khoản chuyển tiếp cho việc đánh dấu nội dung là gì?
Hệ thống tạo sinh đã có trên thị trường trước thỏa thuận omnibus tháng 5 năm 2026 có thời hạn đến ngày 2 tháng 12 năm 2026 để đáp ứng yêu cầu đánh dấu máy đọc được. Nó riêng cho nhóm ấy; hệ thống triển khai sau đó không thừa hưởng thêm thời gian.

Chúng tôi có nên giải tán chương trình rủi ro cao khi nó đã dời không?
Không. Mười sáu tháng nới lỏng là cơ hội làm cho tử tế công việc phân loại, không phải lý do để dừng. Xác định một hệ thống cụ thể có rơi vào Phụ lục III hay không là phần các tổ chức liên tục đánh giá thấp, và nó không được hoãn về độ khó — chỉ hoãn về thời hạn.

Sai thì tốn bao nhiêu?
Vi phạm Article 50 rơi vào bậc chịu phạt hành chính lên tới 15 triệu euro hoặc 3 % tổng doanh thu toàn cầu hằng năm, tùy mức nào cao hơn. Đặt cạnh công sức khắc phục — văn bản công bố và một chuỗi đánh dấu nội dung — chính tỷ lệ ấy là lý do phải chuyển động trong quý này.

Tài liệu tham khảo

European Parliament and Council of the European Union, 2024. Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Brussels: Official Journal of the European Union. Available at: European Parliament and Council of the European Union, 2024..
European Commission, 2026. Regulatory framework for artificial intelligence. Brussels: Directorate-General for Communications Networks, Content and Technology. Available at: European Commission, 2026..
European Commission, 2026. Guidelines on transparency obligations for providers and deployers of certain AI systems. Brussels: European Commission. Available at: European Commission, 2026..
European Commission, 2026. Code of Practice on Transparency of AI-generated Content. Brussels: European Commission. Available at: European Commission, 2026..
EU Artificial Intelligence Act, 2026. Article 50: Transparency obligations for providers and deployers of certain AI systems. Available at: EU Artificial Intelligence Act, 2026..

Cập nhật lần cuối 2026-08-15.

Đăng lại bài này

Hạn rủi ro cao của bạn dời sang tháng 12 năm 2027. Hạn của chatbot thì không. — Sebastien Rousseau

Omnibus AI dời hạn cho hệ thống rủi ro cao sang tháng 12 năm 2027. Article 50 không bị đụng tới. Nghĩa vụ minh bạch có hiệu lực từ hôm nay và rơi vào chatbot.

Bài viết này được cấp phép theo Creative Commons Attribution 4.0 International. Đăng lại yêu cầu ghi nguồn đến URL chính tắc.

Hạn rủi ro cao của bạn dời sang tháng 12 năm 2027. Hạn của chatbot thì không. — Sebastien Rousseau

Omnibus AI dời hạn cho hệ thống rủi ro cao sang tháng 12 năm 2027. Article 50 không bị đụng tới. Nghĩa vụ minh bạch có hiệu lực từ hôm nay và rơi vào chatbot.

Originally published at https://sebastienrousseau.com/vi/2026-08-02-ai-act-article-50-transparency-banks-omnibus-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER