Digital Omnibus về AI, tức Quy định (EU) 2026/1744, có hiệu lực từ 27/7/2026. Quy định này lùi nghĩa vụ high-risk cho hệ thống thuộc Phụ lục III (tuyển dụng, tín dụng, giáo dục…) sang 2/12/2027 và cho AI gắn trong sản phẩm được quản lý sang 2/8/2028. Nghĩa vụ minh bạch Điều 50 không đổi: đã áp dụng từ 2/8/2026.
Cập nhật ngày 13/11/2026. Nhiều đội vẫn lên kế hoạch theo lịch gốc của AI Act, nơi gần như mọi thứ dồn vào 2/8/2026. Lịch đó không còn đúng. Bài này liệt kê các mốc đang có hiệu lực, đối chiếu với văn bản trên Công báo EU của AI Act (Quy định 2024/1689) và Digital Omnibus về AI (Quy định 2026/1744). Bài cũng nêu những gì không bị lùi và đội kỹ thuật nên làm gì trong từng giai đoạn. Đây là hướng dẫn kỹ thuật, không phải tư vấn pháp lý.
Digital Omnibus của EU AI Act đã được thông qua chưa?
Rồi. Quy định (EU) 2026/1744 được ký tại Strasbourg ngày 8/7/2026, đăng Công báo EU ngày 24/7/2026 và theo Điều 4 có hiệu lực vào ngày thứ ba sau khi đăng, tức 27/7/2026. Quy định áp dụng trực tiếp tại mọi quốc gia thành viên, không cần luật quốc gia nội luật hoá.
Omnibus là văn bản sửa đổi, không thay thế AI Act. Nó viết lại một số điều cụ thể: mốc áp dụng ở Điều 113, quy định chuyển tiếp ở Điều 111, AI literacy ở Điều 4, một phần chế tài ở Điều 99 và thẩm quyền giám sát của AI Office ở Điều 75. Điều nào không bị sửa vẫn giữ nguyên như bản 2024. Bài tóm tắt của K&L Gates trên National Law Review xác nhận cùng ngày đăng và ngày hiệu lực.
Các mốc thời hạn mới của EU AI Act sau Digital Omnibus là gì?
Có hai mốc lớn mới: nghĩa vụ high-risk Phụ lục III áp dụng từ 2/12/2027, Phụ lục I (AI trong sản phẩm thuộc luật sản phẩm EU) từ 2/8/2028. Thêm một mốc nhỏ là 2/12/2026 cho hai lệnh cấm mới và thời gian ân hạn đánh dấu nội dung. Lịch đầy đủ hiện nay:
| Ngày | Nội dung áp dụng | Căn cứ | Omnibus có đổi? |
|---|---|---|---|
| 2/2/2025 | Hành vi bị cấm (Điều 5), định nghĩa, AI literacy | Điều 113(a) | Không (nghĩa vụ literacy viết lại từ 27/7/2026) |
| 2/8/2025 | Nghĩa vụ cho mô hình AI đa dụng (GPAI), quản trị, chương chế tài | Điều 113(b) | Không |
| 2/8/2026 | Áp dụng chung, gồm minh bạch Điều 50 | Điều 113 | Không |
| 27/7/2026 | Omnibus có hiệu lực; Điều 4 AI literacy bản mới | QĐ 2026/1744 Điều 4 | Mới |
| 2/12/2026 | Cấm mới về hình ảnh khiêu dâm không đồng thuận và CSAM; hạn chót Điều 50(2) cho hệ thống tạo sinh đã lên thị trường trước 2/8/2026 | Điều 113(a), Điều 111(4) mới | Mới |
| 2/8/2027 | Mỗi nước thành viên có ít nhất một sandbox AI quốc gia hoạt động | Điều 57 | Lùi lại |
| 2/12/2027 | Quy định high-risk cho hệ thống Điều 6(2) / Phụ lục III | Điều 113(c) | Lùi từ 2/8/2026 |
| 2/8/2028 | Quy định high-risk cho hệ thống Điều 6(1) / Phụ lục I | Điều 113(c) | Lùi từ 2/8/2027 |
| 2/8/2030 | Hệ thống high-risk cũ do cơ quan công quyền sử dụng | Điều 111(2) | Giữ nguyên |
Phần bị lùi là Chương III, Mục 1 đến 3: phân loại, yêu cầu ở Điều 8 đến 15 (quản lý rủi ro, quản trị dữ liệu, ghi log, giám sát của con người, độ chính xác và độ bền vững) và nghĩa vụ của provider, deployer. Điều 6(5), nghĩa vụ của Uỷ ban ban hành hướng dẫn phân loại, nằm ngoài đợt lùi này.
Nghĩa vụ nào của EU AI Act không bị lùi?
Minh bạch Điều 50, quy định cho mô hình GPAI và các lệnh cấm gốc đều không bị lùi. Nếu bạn vận hành chatbot, AI agent giao tiếp với người dùng hay hệ thống tạo nội dung tổng hợp, nghĩa vụ đã áp dụng từ 2/8/2026.
Điều 50 đang có hiệu lực
Điều 50 buộc provider cho người dùng biết họ đang tương tác với hệ thống AI, trừ khi điều đó đã hiển nhiên. Provider hệ thống tạo sinh phải đánh dấu đầu ra là do AI tạo theo cách máy đọc được. Deployer phải công bố deepfake và văn bản do AI tạo được đăng về vấn đề lợi ích công cộng. Thay đổi duy nhất về thời hạn là Điều 111(4) mới: hệ thống tạo sinh đã lên thị trường trước 2/8/2026 có đến 2/12/2026 để đáp ứng nghĩa vụ đánh dấu máy đọc được ở Điều 50(2). Recital 38 gọi đây là giai đoạn chuyển tiếp bốn tháng. Nghĩa vụ công bố ở Điều 50(1), (3), (4) không được ân hạn.
Uỷ ban châu Âu đã ban hành hướng dẫn Điều 50 vào tháng 7/2026 và ngày 8/7/2026 kết luận Bộ quy tắc thực hành về đánh dấu và gắn nhãn là đầy đủ. Bài checklist Điều 50 cho developer đi qua cả hai, kể cả yêu cầu với AI agent.
Quy định GPAI giữ lịch cũ
Provider mô hình AI đa dụng có nghĩa vụ từ 2/8/2025. Mô hình đưa ra thị trường trước ngày đó có đến 2/8/2027 (Điều 111(3), không đổi). Quyền phạt provider GPAI của Uỷ ban áp dụng từ 2/8/2026. Omnibus không lùi phần nào trong số này.
Lệnh cấm và literacy vẫn có hiệu lực
Các lệnh cấm ở Điều 5 (chấm điểm xã hội, một số hệ thống thao túng, thu thập ảnh khuôn mặt tràn lan…) áp dụng từ 2/2/2025, mức phạt tới 35 triệu EUR hoặc 7% doanh thu toàn cầu. Omnibus còn thêm lệnh cấm chứ không lùi.
Điều 4 về AI literacy thay đổi thế nào?
Nghĩa vụ được nới nhưng không bị bỏ. Từ 27/7/2026, provider và deployer phải thực hiện biện pháp hỗ trợ AI literacy cho nhân viên và người vận hành AI thay mặt họ, thay vì phải bảo đảm một mức literacy đủ. Thực tế: giữ chương trình đào tạo đã làm năm 2025, ghi lại theo từng vai trò, và chú ý nhất tới người được giao giám sát.
Việc nới lỏng này không giúp được nhiều. Điều 26(2) vẫn buộc deployer hệ thống high-risk giao việc giám sát cho người có năng lực, được đào tạo và có thẩm quyền. Từ 12/2027, đó là kiểm soát có thể bị kiểm tra với hệ thống Phụ lục III.
Lùi hạn high-risk có nghĩa là có thể dừng việc tuân thủ đến 2027 không?
Không. Đợt lùi cho bạn thời gian làm các kiểm soát cho tử tế, không phải lý do để bỏ qua. Điều 9 đến 15 mô tả việc kỹ thuật: ghi log, quản trị dữ liệu, thiết kế giám sát của con người, kiểm thử độ chính xác, tài liệu kỹ thuật. Làm đúng trong một sản phẩm đang chạy mất 6 đến 12 tháng, và bộ phận mua hàng của khách đã bắt đầu hỏi.
Ba lý do thực tế để tiếp tục:
- Khách hàng có hạn chót riêng. Một ngân hàng hay nền tảng nhân sự triển khai hệ thống của bạn với vai trò deployer high-risk từ 2/12/2027 sẽ đòi tài liệu, log và điểm can thiệp giám sát trong hợp đồng 2027, nghĩa là phải vào roadmap 2026.
- Bẫy thay đổi thiết kế. Theo Điều 111(2), hệ thống đã lên thị trường trước ngày áp dụng chỉ bị điều chỉnh nếu sau đó có thay đổi thiết kế đáng kể. Đổi model lớn hay thêm tính năng sau 12/2027 có thể kéo hệ thống cũ vào phạm vi, nên làm sẵn kiểm soát từ bây giờ là đường rẻ nhất.
- Ngày đã cố định trong luật nhưng tiêu chuẩn thì chưa xong. Các tiêu chuẩn hài hoà tạo suy đoán tuân thủ vẫn đang hoàn thiện. Đội nào chờ tiêu chuẩn sẽ còn rất ít thời gian sau khi chúng được công bố.
Nếu bạn bán vào EU từ bên ngoài, luật vẫn áp dụng khi đầu ra của hệ thống được dùng trong EU, cùng logic với luật AI của Việt Nam. Xem hướng dẫn Luật Trí tuệ nhân tạo Việt Nam nếu bạn làm cho cả hai thị trường.
Omnibus thay đổi gì cho SME và doanh nghiệp vừa nhỏ (SMC)?
Doanh nghiệp vừa nhỏ (small mid-cap, SMC) giờ được hưởng cách tính phạt như SME và start-up. Theo Điều 99(6a) mới, mỗi khoản phạt với SMC bị giới hạn ở mức thấp hơn giữa tỷ lệ phần trăm và số tiền cố định, thay vì mức cao hơn. Định nghĩa SMC theo Khuyến nghị (EU) 2025/1099 của Uỷ ban.
Với một công ty phần mềm 200 người, khác biệt là đáng kể: 3% của doanh thu 40 triệu EUR là 1,2 triệu EUR, thấp hơn nhiều mức trần cố định 15 triệu EUR cho đa số vi phạm. Nghĩa vụ không đổi, chỉ trần phạt thay đổi.
Ai giám sát sản phẩm AI xây trên mô hình GPAI?
Điều 75(1) sửa đổi giao cho AI Office thẩm quyền giám sát độc quyền với hệ thống AI xây trên mô hình đa dụng khi cùng một provider (hoặc tập đoàn của họ) phát triển cả mô hình lẫn hệ thống, và với AI tích hợp vào nền tảng trực tuyến rất lớn và công cụ tìm kiếm theo Digital Services Act. Có ngoại lệ cho một số hệ thống Phụ lục I và Phụ lục III.
K&L Gates lưu ý AI Office giờ có công cụ kiểu cơ quan cạnh tranh: yêu cầu thông tin, thanh tra, cam kết ràng buộc và phạt định kỳ tới 5% doanh thu bình quân ngày. Với đa số công ty xây trên API mô hình của bên thứ ba, không có gì thay đổi: cơ quan giám sát thị trường quốc gia vẫn quản lý bạn. Nếu bạn là phòng lab mô hình phát hành trợ lý hay agent của chính mình, cơ quan quản lý của bạn giờ ở Brussels.
Đội kỹ thuật nên làm gì trước từng mốc?
Đi ngược từ các mốc áp dụng cho bạn, bắt đầu từ những mốc đã có hiệu lực. Kế hoạch gọn:
- Ngay bây giờ (Điều 50 đã áp dụng): bảo đảm công bố AI ngay lần tương tác đầu cho mọi chatbot và agent, kể cả agent thoại và email. Ghi log việc đã hiển thị thông báo.
- Trước 2/12/2026: nếu bạn có tính năng tạo sinh ra mắt trước 8/2026, bảo đảm đầu ra có đánh dấu máy đọc được (Bộ quy tắc thực hành yêu cầu metadata có chữ ký, C2PA là lựa chọn phổ biến, cộng watermark ẩn), và kiểm tra không có tính năng nào có thể tạo hình ảnh khiêu dâm của người thật.
- Trước giữa 2027: phân loại mọi tính năng AI theo Phụ lục III. Ghi rõ vì sao tính năng là hoặc không là high-risk. Điều 6(3) cho phép lập luận một tính năng không phải high-risk nhưng phải lưu lại lập luận.
- Trước 2/12/2027 (Phụ lục III): hồ sơ quản lý rủi ro, hồ sơ quản trị dữ liệu, log sự kiện tự động, thiết kế giám sát của con người có đường dừng hoặc ghi đè chạy được, kiểm thử độ chính xác và độ bền vững, tài liệu kỹ thuật, hệ thống quản lý chất lượng, đăng ký và kế hoạch giám sát sau thị trường.
- Trước 2/8/2028 (Phụ lục I): tương tự cho AI gắn trong thiết bị y tế, máy móc và sản phẩm được quản lý khác, đi qua thủ tục đánh giá sự phù hợp theo ngành.
Phần lớn kiểm soát ở bước 4 và 5 cũng là những gì bạn cần cho an toàn agent. Bài governance cho AI agent nói về trách nhiệm và chính sách, còn thiết kế human-in-the-loop nói về giám sát mà con người thực sự dùng. Về định danh agent và kill switch, xem bài đi kèm về control plane cho AI agent. Nếu bạn bán cả vào Mỹ, bài luật AI liên bang và các bang Mỹ nói về phía bên kia Đại Tây Dương.
Các mốc của EU AI Act có thể đổi tiếp không?
Có thể, nhưng chỉ bằng một quy định khác, mất nhiều tháng. Tại ngày 13/11/2026, các mốc trên là luật. Muốn đổi tiếp cần đề xuất mới của Uỷ ban, Nghị viện và Hội đồng đồng ý, rồi đăng Công báo. Hãy lập kế hoạch theo các mốc đã công bố và kiểm tra lại mỗi quý. Chúng tôi sẽ cập nhật bài nếu có thay đổi.
BeevR làm việc này thế nào
Chúng tôi xây AI agent và tính năng AI cho doanh nghiệp trong ngành có quản lý, và thiết kế theo lịch của EU ngay từ sprint đầu. Cụ thể: sự kiện công bố AI và audit được phát ra từ runtime của agent chứ không gắn thêm ở UI. Mỗi tool call được ghi log ai, làm gì, vì sao. Hành động chạm tới tiền hay dữ liệu cá nhân phải qua cổng phê duyệt của con người, và có kill switch dùng được mà không cần redeploy. Tài liệu kỹ thuật được viết song song, nên đội tuân thủ của deployer nhận nó cùng mã nguồn.
BeevR là đội senior do founder dẫn dắt tại Hà Nội. Chúng tôi làm theo từng giai đoạn phạm vi cố định, giá cố định từ $10K, có demo chạy được mỗi thứ Sáu, và bạn sở hữu mã nguồn cùng IP từ ngày đầu. Xem cách chúng tôi phát triển AI cho sản phẩm trong ngành có quản lý.
Đang chuẩn bị ra mắt ở EU hay cần rà lại một tính năng AI đang chạy? Đặt lịch gọi 30 phút, chúng tôi sẽ cùng bạn đối chiếu từng tính năng với các mốc 2026–2028.