Bài 3 — Phân loại rủi ro theo EU AI Act cho Agent

EU AI Act là luật AI toàn diện đầu tiên trên thế giới, áp dụng theo cách tiếp cận dựa trên rủi ro (risk-based). Dù bạn ở Việt Nam, nếu agent của bạn phục vụ người dùng ở EU hoặc xử lý dữ liệu của họ, bạn nằm trong phạm vi điều chỉnh. Hiểu 4 nhóm rủi ro giúp bạn biết nghĩa vụ nào bắt buộc.

Bốn nhóm rủi ro

• Unacceptable (Cấm): social scoring của nhà nước, thao túng hành vi gây hại, nhận diện cảm xúc tại nơi làm việc. → Cấm triển khai.
• High-risk (Rủi ro cao): agent dùng trong tuyển dụng, chấm điểm tín dụng, y tế, hạ tầng thiết yếu, thực thi pháp luật. → Nghĩa vụ nặng nhất.
• Limited-risk (Rủi ro giới hạn): chatbot, agent tạo nội dung. → Nghĩa vụ minh bạch: phải cho người dùng biết họ đang nói chuyện với AI.
• Minimal-risk (Rủi ro tối thiểu): lọc spam, gợi ý sản phẩm đơn giản. → Gần như không nghĩa vụ.

Ví dụ cụ thể: cùng một công nghệ, khác nhóm rủi ro

Một agent chấm điểm hồ sơ:

• Nếu dùng để sàng lọc ứng viên tuyển dụng → high-risk (ảnh hưởng cơ hội việc làm).
• Nếu dùng để gợi ý khóa học nội bộ → minimal-risk.

Cùng model, cùng code, nhưng bối cảnh sử dụng quyết định nghĩa vụ pháp lý.

Nghĩa vụ chính với agent high-risk

• Hệ thống quản lý rủi ro (risk management system) xuyên suốt vòng đời.
• Quản trị dữ liệu: dữ liệu huấn luyện phải phù hợp, giảm thiên lệch.
• Tài liệu kỹ thuật (technical documentation) đầy đủ.
• Ghi log tự động (record-keeping) để truy vết.
• Giám sát của con người (human oversight): phải có khả năng can thiệp/dừng.
• Độ chính xác, mạnh mẽ (robustness) và an ninh mạng.

Các bước phân loại agent của bạn

• Xác định lĩnh vực áp dụng: có nằm trong danh sách high-risk (Annex III) không?
• Xác định vai trò của bạn: provider (nhà cung cấp) hay deployer (bên triển khai)? Nghĩa vụ khác nhau.
• Kiểm tra phạm vi lãnh thổ: có người dùng/đầu ra ở EU không?
• Gán nhóm rủi ro và liệt kê nghĩa vụ tương ứng.
• Ghi lại lý do phân loại — cơ quan quản lý có thể hỏi.

def classify_eu_ai_act(agent) -> str:
    if agent.use_case in UNACCEPTABLE_USES:      # vd: emotion recognition tại nơi làm việc
        return "PROHIBITED - khong duoc trien khai"
    if agent.domain in ANNEX_III_HIGH_RISK:      # tuyen dung, tin dung, y te...
        return "HIGH_RISK - can risk mgmt + human oversight + docs"
    if agent.interacts_with_humans or agent.generates_content:
        return "LIMITED_RISK - can minh bach: bao nguoi dung dang noi voi AI"
    return "MINIMAL_RISK"

Khung tư duy: "Bối cảnh > Công nghệ"

Đừng hỏi "model của tôi mạnh cỡ nào?" mà hỏi "agent này ra quyết định ảnh hưởng ai?". Rủi ro pháp lý đến từ tác động lên con người, không từ số tham số của model.

Checklist tuân thủ EU AI Act

• [ ] Đã xác định nhóm rủi ro và ghi lý do?
• [ ] Nếu limited-risk: agent có tự khai báo là AI không?
• [ ] Nếu high-risk: đã có human oversight + logging + tài liệu kỹ thuật?
• [ ] Đã xác định vai trò provider vs deployer?
• [ ] Có kiểm tra dùng cho người EU không?

Sai lầm thường gặp

• Nghĩ "ở VN nên luật EU không liên quan". Phạm vi ngoài lãnh thổ (extraterritorial) vẫn ràng buộc nếu chạm người dùng EU.
• Phân loại theo model thay vì use case. Cùng một model có thể vừa minimal vừa high-risk tùy cách dùng.
• Quên nghĩa vụ minh bạch cho chatbot thường (limited-risk vẫn phải khai báo là AI).
• Không lưu lý do phân loại, đến khi bị audit thì lúng túng.

Bài sau: bảo vệ dữ liệu cá nhân theo PDPL Việt Nam — nghĩa vụ cụ thể khi agent xử lý dữ liệu người Việt.