Luật xếp tính năng của bạn vào mức nào, và mức đó kéo theo nghĩa vụ gì? Phân loại theo cách dùng, không theo công nghệ: cùng một model, trả lời đơn hàng khác hẳn quyết định cho vay. Which tier does the law put your feature in, and what does that tier oblige you to do? Classify by use, not by technology: the same model answering order questions is a different thing from deciding a loan.
Cả hai luật đều dựa trên rủi ro, và đều để bên làm ra hệ thống tự phân loại. Không ai dán nhãn hộ bạn. Người biết rõ tính năng làm gì, gửi dữ liệu gì, ảnh hưởng tới ai là team kỹ thuật. Luật sư cần chính đầu vào đó để kết luận. Both laws are risk-based and both make the builder self-classify. Nobody labels it for you. The engineering team knows what a feature does, what data it sends and who it affects. A lawyer needs exactly that input to conclude.
| Vai tròRole | VN | EU | Cửa hàng là ai?Who is the shop? |
|---|---|---|---|
| Làm ra hệ thống, đưa ra dùng dưới tên mìnhBuilds the system, offers it under its own name | Nhà cung cấp | Provider | Cửa hàng: tự xây trợ lý trên API modelThe shop: built the assistant on a model API |
| Dùng hệ thống trong hoạt động của mìnhUses the system in its own operations | Bên triển khai | Deployer | Cũng là cửa hàngAlso the shop |
| Làm ra model nềnBuilds the underlying model | (nhà cung cấp model)(model provider) | GPAI model provider | Anthropic · claude-sonnet-5-5 |
Dùng model của bên thứ ba không chuyển nghĩa vụ phân loại sang bên đó. Để luật sư xác nhận vai trò trước khi điền bảng.Using a third party's model doesn't move the classification duty to them. Have a lawyer confirm roles before filling in the table.
Ba văn bản, ba mốc. Luật đặt khung, nghị định đặt thủ tục, quyết định của Thủ tướng đặt danh mục rủi ro cao.Three instruments, three dates. The Law sets the frame, the decree the procedures, the Prime Minister's decision the high-risk list.
Thông qua 10/12/2025. 8 chương, 35 điều. Phân loại rủi ro (Điều 9), tự phân loại và thông báo (Điều 10), minh bạch (Điều 11), chuyển tiếp (Điều 35).Passed 10 Dec 2025. 8 chapters, 35 articles. Risk tiers (Art. 9), self-classification and notice (Art. 10), transparency (Art. 11), transition (Art. 35).
8 chương, 46 điều. Cổng một cửa về AI, thông báo phân loại, phân loại lại, đánh giá sự phù hợp, báo cáo sự cố, sandbox.8 chapters, 46 articles. One-stop AI portal, classification notices, reclassification, conformity assessment, incident reports, sandbox.
Danh mục 46 hệ thống rủi ro cao trong 6 lĩnh vực: giáo dục, dân tộc và tôn giáo, y tế, ngân hàng, tố tụng, giao thông vận tải. Không có thương mại điện tử.List of 46 high-risk systems in 6 sectors: education, ethnic and religious affairs, healthcare, banking, litigation, transport. No e-commerce.
Có thể gây thiệt hại đáng kể đến tính mạng, sức khoẻ, quyền và lợi ích hợp pháp, lợi ích quốc gia, công cộng, an ninh. Xác định bằng danh mục của Thủ tướng.
Đánh giá sự phù hợp trước khi dùng (Điều 13) · báo cáo sự cố nghiêm trọng: sơ bộ trong 72 giờ (khẩn cấp) hoặc 5 ngày làm việc, khắc phục trong 15 ngày · bên triển khai bồi thường kể cả khi dùng đúng (Điều 29).
Can cause significant harm to life, health, lawful rights, national or public interests, security. Defined by the Prime Minister's list.
Conformity assessment before use (Art. 13) · serious incidents: preliminary report within 72 h (urgent) or 5 working days, remediation within 15 days · the deployer compensates even when used correctly (Art. 29).
Có khả năng gây nhầm lẫn, tác động hoặc thao túng người dùng vì họ không nhận biết mình đang tương tác với AI hoặc nội dung do AI tạo.
Hồ sơ phân loại · thông báo Bộ KH&CN qua Cổng một cửa trước khi dùng · minh bạch (Điều 11) · giải thích khi cơ quan nhà nước yêu cầu (Điều 15).
Capable of confusing, influencing or manipulating users because they don't realise they're dealing with AI or AI-generated content.
Classification dossier · notify the Ministry of Science and Technology via the one-stop portal before use · transparency (Art. 11) · explain when a state agency asks (Art. 15).
Các hệ thống còn lại.
Giải thích khi được yêu cầu nếu có dấu hiệu vi phạm hoặc gây thiệt hại (Điều 15) · chỉ bị kiểm tra khi có sự cố hoặc phản ánh.
Everything else.
Explain on request if there are signs of violation or harm (Art. 15) · checked only after incidents or complaints.
Cách làm nhãn trên giao diện: Minh bạch và con người trong tính năng AI.Building the labels in the UI: Transparency and humans in an AI feature.
Được chạy tiếp, nhưng phải đáp ứng luật trong thời hạn:May keep running, but must comply within:
| 18 thángmonths | y tế, giáo dục, tài chínhhealthcare, education, finance | 01/09/2027 |
| 12 thángmonths | còn lại, gồm thương mại điện tửeverything else, incl. e-commerce | 01/03/2027 |
Phân loại lại khi thay đổi đáng kể về chức năng, mục đích, dữ liệu, phạm vi, hoặc sau sự cố nghiêm trọng (Nghị định 142).Reclassify on significant change of function, purpose, data or scope, or after a serious incident (Decree 142).
Quy định (EU) 2024/1689 chạm tới cả bên ngoài EU. Theo Điều 2(1)(c), nhà cung cấp và bên triển khai ở nước thứ ba vẫn thuộc phạm vi khi đầu ra của hệ thống được dùng tại EU. Cửa hàng có khách giao hàng sang EU, nên khách EU chat với trợ lý là đủ.Regulation (EU) 2024/1689 reaches outside the EU. Under Art. 2(1)(c), providers and deployers in third countries are in scope when the system's output is used in the EU. The shop ships to some EU customers, so an EU customer chatting with the assistant is enough.
| TầngTier | ĐiềuArticle | Gồm gìWhat's in it | Nghĩa vụObligations |
|---|---|---|---|
| Bị cấmProhibited | 5 | Thao túng gây hại, khai thác điểm yếu, chấm điểm xã hội… Omnibus thêm: ảnh khiêu dâm không đồng thuận, CSAM.Harmful manipulation, exploiting vulnerabilities, social scoring… The omnibus adds non-consensual intimate imagery and CSAM. | Không được dùngNot allowed |
| Rủi ro caoHigh risk | 6 · PLAnnex I, III | PL III: sinh trắc học, hạ tầng trọng yếu, giáo dục, việc làm, dịch vụ thiết yếu (gồm chấm điểm tín dụng), thực thi pháp luật, di cư, tư pháp. PL I: AI trong sản phẩm đã có luật an toàn.Annex III: biometrics, critical infrastructure, education, employment, essential services (incl. credit scoring), law enforcement, migration, justice. Annex I: AI in products under EU safety law. | Quản lý rủi ro, dữ liệu, tài liệu kỹ thuật, log, giám sát của con người, đánh giá sự phù hợpRisk management, data, technical docs, logging, human oversight, conformity assessment |
| Minh bạchTransparency | 50 | Chatbot, hệ thống tạo nội dung, deepfakeChatbots, content generators, deepfakes | Cho người dùng biết, đánh dấu nội dungTell users, mark content |
| Tối thiểuMinimal | — | Lọc spam, gợi ý sản phẩm…Spam filters, product recommendations… | Không có nghĩa vụ riêng; vẫn có Điều 4 (AI literacy)None specific; Art. 4 (AI literacy) still applies |
Nhà cung cấp: hệ thống tương tác trực tiếp phải cho người dùng biết là AI, trừ khi đã hiển nhiên với người có hiểu biết hợp lý và tinh ý.Providers: systems that interact directly must tell users it's AI, unless obvious to a reasonably well-informed, observant person.
Nhà cung cấp hệ thống tạo âm thanh, ảnh, video hoặc văn bản: đánh dấu ở định dạng máy đọc. Ngoại lệ: chỉ hỗ trợ biên tập thông thường, hoặc không thay đổi đáng kể đầu vào.Providers of systems generating audio, images, video or text: machine-readable marking. Exception: assistive standard editing, or no substantial change to the input.
Bên triển khai: công khai deepfake; công khai văn bản AI đăng để thông tin về vấn đề lợi ích công cộng, trừ khi đã qua người duyệt và có người chịu trách nhiệm biên tập.Deployers: disclose deepfakes; disclose AI text published on matters of public interest, unless human-reviewed with someone holding editorial responsibility.
| Nội dungItem | Hạn cũOld | Hạn mớiNew |
|---|---|---|
| Rủi ro cao, Phụ lục IIIHigh risk, Annex III | 02/08/2026 | 02/12/2027 |
| Rủi ro cao, Phụ lục IHigh risk, Annex I | 02/08/2027 | 02/08/2028 |
| Minh bạch, Điều 50Transparency, Art. 50 | 02/08/2026 | 02/08/2026 (giữ nguyên)(unchanged) |
| 50(2) cho hệ thống tạo nội dung có trước 02/08/202650(2) for generators on the market before 2 Aug 2026 | 02/08/2026 | 02/12/2026 |
Điều 4 (AI literacy) được viết lại: vẫn phải có biện pháp hỗ trợ nhân viên, nhưng không phải bảo đảm một mức hiểu biết cụ thể.Art. 4 (AI literacy) was rewritten: measures to support staff are still required, but no specific level has to be guaranteed.
| VN Luật 134 + NĐ 142Law 134 + Decree 142 | EU AI Act | |
|---|---|---|
| Số mứcTiers | 3: cao, trung bình, thấp3: high, medium, low | 4: cấm, cao, minh bạch, tối thiểu4: prohibited, high, transparency, minimal |
| Rủi ro cao xác định bằngHigh risk defined by | Danh mục của Thủ tướng (QĐ 33/2026)The Prime Minister's list (Decision 33/2026) | Phụ lục I và III, ngoại lệ ở Điều 6(3)Annexes I and III, exceptions in Art. 6(3) |
| Chatbot thườngOrdinary chatbot | Trung bìnhMedium + thông báo Bộ KH&CN+ notify the Ministry | Minh bạchTransparency chỉ phải cho người dùng biếtjust tell users |
| Ai phân loạiWho classifies | Nhà cung cấp tự phân loại, lập hồ sơ, thông báo qua cổngProvider self-classifies, files a dossier, notifies via portal | Nhà cung cấp tự đánh giá; rủi ro cao đăng ký vào cơ sở dữ liệu EUProvider self-assesses; high risk registers in the EU database |
| Đánh dấu nội dungContent marking | Âm thanh, hình ảnh, videoAudio, images, video | Cả văn bản (có ngoại lệ)Text too (with exceptions) |
| Hệ thống đang chạySystems already running | 12 hoặc 18 tháng từ 01/03/202612 or 18 months from 1 Mar 2026 | Chỉ khi đổi thiết kế đáng kể (Điều 111)Only on significant design change (Art. 111) |
Bắt đầu từ tính năng làm gì với ai, không từ "dùng model gì". Chọn một tính năng của cửa hàng (đã điền sẵn) hoặc thêm tính năng mới, trả lời câu hỏi, rồi lưu dòng vào bảng ở mục 06. Đây là bộ lọc đầu, không thay luật sư.Start from what the feature does to whom, not "which model". Pick a shop feature (pre-filled) or add your own, answer the questions, then save the row into the table in section 06. This is a first filter, not a lawyer.
Tính năng ──► Q4 nằm trong QĐ 33/2026 hoặc Phụ lục III? ─ có ─► CAO (cả hai luật)
│ không đánh giá sự phù hợp, báo sự cố
▼
Q5 tương tác trực tiếp với người, hoặc
Q6 nội dung AI có thể gây nhầm lẫn? ──── có ─► VN: TRUNG BÌNH · EU: MINH BẠCH
│ không thông báo cổng, nhãn, Điều 50
▼
VN: THẤP · EU: TỐI THIỂU
ghi lý do, giải thích khi được yêu cầu
Feature ──► Q4 in Decision 33/2026 or Annex III? ── yes ─► HIGH (both laws)
│ no conformity assessment, incidents
▼
Q5 interacts directly with people, or
Q6 AI content could mislead? ────────── yes ─► VN: MEDIUM · EU: TRANSPARENCY
│ no portal notice, labels, Art. 50
▼
VN: LOW · EU: MINIMAL
record the reasoning, explain on request
M4 yêu cầu bảng cho mọi tính năng, không chỉ pilot. Bảng dưới sinh từ bộ phân loại ở trên, lưu trong trình duyệt của bạn. Sao chép dạng Markdown để đưa vào repo (docs/ai/risk-classification.md).M4 asks for a table covering every feature, not just the pilot. The table below comes from the classifier above and is saved in your browser. Copy it as Markdown into the repo (docs/ai/risk-classification.md).
| Tính năngFeature | VN | EU | Nghĩa vụ chínhMain obligations | Bằng chứngEvidence | Người chịu trách nhiệmOwner | Xem lạiReview |
|---|
| ViệcTask | AiWho | Bằng chứngEvidence | Liên quanLinks to |
|---|---|---|---|
| Hồ sơ phân loại trợ lý đơn hàng: nhận diện, mô tả và bối cảnh sử dụng, dữ liệuClassification dossier for the order assistant: identity, description and context of use, data | AI owner | docs/ai/risk-classification/order-assistant.md | Design doc, data sheet (M2)Design doc, data sheet (M2) |
| Thông báo kết quả qua Cổng một cửa về AINotify the result through the one-stop AI portal | Founder (người ký)Founder (signatory) | Biên nhận hoặc mã hồ sơReceipt or file number | Nếu cổng chưa chạy: kênh Bộ KH&CN công bốIf the portal isn't live: the Ministry's announced channel |
| Nhãn "Trả lời bởi trợ lý AI" trên widget, trước tin nhắn đầu tiên"Answered by an AI assistant" label on the widget, before the first message | Dev shop-webshop-web dev | Ảnh chụp giao diện, test UIUI screenshot, UI test | Minh bạch và con ngườiTransparency and humans |
| Quy trình sự cố: ai phát hiện, ai báo, báo cho aiIncident process: who detects, who reports, to whom | CS lead + AI owner | Runbook | Ngưỡng 72 giờ chỉ bắt buộc với mức cao, nhưng vẫn nên diễn tập theoThe 72 h rule binds only high risk, but rehearse it anyway |
| Lịch xem lại và điều kiện phân loại lạiReview schedule and reclassification triggers | PO | Ngày xem lại trong bảngReview date in the table | Eval và trace (M3)Evals and tracing (M3) |
Phân loại lại khi: đổi model hoặc nhà cung cấp · thêm tool có quyền ghi · mở thị trường mới (ví dụ EU) · đổi mục đích sử dụng · sau sự cố nghiêm trọng.Reclassify when: new model or vendor · a new tool with write access · a new market (e.g. the EU) · a change of purpose · after a serious incident.
Chấm đỏ là Việt Nam, chấm xanh là EU. Đường vàng là hôm nay. Bấm một chấm để xem nó có ý nghĩa gì với cửa hàng.Red dots are Vietnam, blue dots the EU. The gold line is today. Click a dot to see what it means for the shop.
| Anti-pattern | Vì sao saiWhy it's wrong | Làm thayDo instead |
|---|---|---|
| Phân loại theo model ("dùng Claude nên an toàn")Classifying by model ("it's Claude, so it's safe") | Luật phân loại theo cách dùngThe law classifies by use | Phân loại từng tính năngClassify each feature |
| Chỉ phân loại pilotClassifying only the pilot | M4 yêu cầu mọi tính năngM4 asks for every feature | Liệt kê mọi chỗ gọi model hoặc MLList every call to a model or ML |
| Đọc EU AI Act rồi suy ra luật VNInferring VN law from the EU AI Act | Chatbot ở VN là mức trung bình, phải thông báoA chatbot is medium in VN and must be notified | Đối chiếu từng luật riêngCheck each law on its own |
| Xếp mức thấp không ghi lý doMarking low with no reasoning | Tự phân loại là tự chịu trách nhiệmSelf-classification means self-accountability | Mỗi dòng có lý doEvery row has reasoning |
| Bảng làm một lần rồi để đóBuild once, forget | Model, tool, thị trường mới đều có thể đổi mứcA new model, tool or market can change the tier | Ngày xem lại + điều kiện phân loại lạiReview dates + reclassification triggers |
| Dev tự kết luận nghĩa vụ pháp lýDevelopers concluding on legal duties alone | Văn bản hướng dẫn còn thay đổiImplementing rules still move | Dev lập hồ sơ kỹ thuật, luật sư ký kết luậnDevelopers build the file, a lawyer signs off |
Luật VN có riêng mức trung bình cho hệ thống có thể gây nhầm lẫn vì người dùng không biết đang tương tác với AI, kèm hồ sơ và thông báo. EU không có mức giữa: chatbot ngoài Phụ lục III chỉ có Điều 50(1).VN law has a separate medium tier for systems that could mislead users who don't know it's AI, with a dossier and notice. The EU has no middle tier: a chatbot outside Annex III only has Art. 50(1).
Điều 2(1)(c): khi đầu ra được dùng tại EU, ví dụ khách EU chat với trợ lý. Đưa hệ thống ra thị trường EU cũng đủ (Điều 2(1)(a)).Art. 2(1)(c): when the output is used in the EU, e.g. an EU customer chatting with the assistant. Placing it on the EU market also counts (Art. 2(1)(a)).
Phân loại lại vì chức năng đổi đáng kể. Xem lại Q2 và Q3, cập nhật hồ sơ, thông báo nếu mức đổi, rồi sửa thiết kế điểm duyệt.Reclassify, since the function changed significantly. Revisit Q2 and Q3, update the dossier, notify if the tier changes, then fix the approval-point design.
Lùi rủi ro cao: Phụ lục III đến 02/12/2027, Phụ lục I đến 02/08/2028. Không lùi Điều 50 (02/08/2026). Riêng 50(2) có thêm hạn 02/12/2026 cho hệ thống có trước 02/08/2026.High risk delayed: Annex III to 2 Dec 2027, Annex I to 2 Aug 2028. Art. 50 not delayed (2 Aug 2026). Only 50(2) gets 2 Dec 2026 for systems that existed before 2 Aug 2026.
Không tương tác với khách, có người duyệt, là văn bản về sản phẩm, không mô phỏng người thật. Xếp lại khi tạo ảnh hay video, đăng không qua người duyệt, hoặc dùng để trả lời khách trực tiếp.No customer interaction, human review, product text, no simulated people. Reclassify when it generates images or video, publishes without review, or answers customers directly.
01/03/2027: 12 tháng theo Điều 35, vì thương mại điện tử không thuộc y tế, giáo dục, tài chính.1 Mar 2027: 12 months under Art. 35, since e-commerce isn't healthcare, education or finance.