EU đã thay đổi cách hai bộ quy tắc kỹ thuật số lớn nhất của mình kết nối với nhau. Quy định (EU) 2026/1744, được gọi là AI Omnibus, sửa đổi AI Act và điều chỉnh điểm giao thoa với GDPR. Hướng dẫn giải thích các sửa đổi AI Act và GDPR này sẽ đi qua những gì phân tích nguồn nêu bật: Điều 4a mới về dữ liệu phát hiện thiên lệch, đánh giá tác động quyền cơ bản (FRIA) có thể tái sử dụng đánh giá tác động bảo vệ dữ liệu (DPIA) theo GDPR, nghĩa vụ hiểu biết về AI được nới lỏng, và các thỏa thuận giám sát mới.

Tài liệu nguồn là một bản tóm tắt ngắn, vì vậy bài viết này chỉ tập trung vào những thay đổi nổi bật đó và tránh suy đoán về các chi tiết không được nêu rõ. Ở những nơi các chi tiết nhỏ quan trọng, chúng tôi sẽ nói rõ.

AI Omnibus đã thay đổi gì trong AI Act

Theo bản tóm tắt, Quy định (EU) 2026/1744 đã "tái cấu trúc" sự giao thoa giữa AI Act và GDPR. Bốn thay đổi nổi bật:

  • Dữ liệu phát hiện thiên lệch (Điều 4a): một quy định mới giải quyết việc xử lý dữ liệu để phát hiện thiên lệch trong các hệ thống AI.
  • FRIA tái sử dụng DPIA: đánh giá tác động quyền cơ bản có thể dựa trên các DPIA mà tổ chức đã thực hiện theo GDPR.
  • Hiểu biết về AI được nới lỏng: các nghĩa vụ liên quan đến hiểu biết về AI đã được nới lỏng.
  • Giám sát mới: thay đổi về cách tổ chức giám sát.

Bối cảnh rộng hơn là nỗ lực đơn giản hóa các quy tắc kỹ thuật số của EU. Nếu bạn muốn bức tranh rộng hơn, bài giải thích của chúng tôi về những gì EU Digital Omnibus thay đổi đối với cookie, GDPR và AI đề cập gói đơn giản hóa một cách sâu hơn.

Dữ liệu phát hiện thiên lệch theo Điều 4a: ý nghĩa đối với dữ liệu cá nhân của bạn

Kiểm tra thiên lệch là một điểm căng thẳng thực sự. Để kiểm tra liệu một hệ thống AI có đối xử bất công với các nhóm hay không, các nhà phát triển thường cần dữ liệu về các đặc điểm như dân tộc, sức khỏe hoặc các thuộc tính nhạy cảm khác. GDPR đặt ra giới hạn chặt chẽ đối với việc xử lý loại dữ liệu đó. Điều 4a là câu trả lời của AI Act: nó cho phép xử lý dữ liệu phát hiện thiên lệch trong khuôn khổ AI.

Đối với người dân thường, câu hỏi thực tế là liệu dữ liệu của bạn có thể được sử dụng để kiểm tra một hệ thống AI hay không. Bản tóm tắt xác nhận quy định này tồn tại, nhưng không nêu rõ các biện pháp bảo vệ, điều kiện hoặc giới hạn kèm theo. Chi tiết đó quan trọng. Giới hạn mục đích, giảm thiểu dữ liệu và bảo mật là những biện pháp bảo vệ cần tìm trong văn bản quy định và trong cách các tổ chức mô tả thực tiễn của họ.

Mục đích, kiểm toán AI để phát hiện phân biệt đối xử, là chính đáng. Rủi ro về quyền riêng tư nằm ở việc liệu sự cho phép có hẹp và được kiểm soát tốt, hay rộng và được giám sát lỏng lẻo. Độc giả nên coi đó là câu hỏi mở cho đến khi họ thấy được từ ngữ có hiệu lực.

Cách FRIA và DPIA theo GDPR giờ đây phối hợp với nhau

DPIA là đánh giá theo GDPR mà một tổ chức thực hiện khi việc xử lý có khả năng gây rủi ro cao đối với quyền của con người. FRIA là đánh giá của AI Act về cách một hệ thống AI rủi ro cao có thể ảnh hưởng đến quyền cơ bản. Trước thay đổi này, một tổ chức có thể phải đối mặt với hai bài tập giấy tờ chồng chéo.

Theo AI Omnibus, FRIA có thể tái sử dụng DPIA. Nói một cách đơn giản, công việc đã làm cho một đánh giá có thể phục vụ cho đánh giá kia, điều này sẽ giảm bớt sự trùng lặp.

Có những mặt tích cực và lưu ý:

  • Tích cực: một đánh giá được thực hiện tốt có thể phục vụ cả hai chế độ, điều này có thể khuyến khích công việc kỹ lưỡng hơn thay vì đánh dấu hai lần.
  • Lưu ý: DPIA tập trung vào rủi ro bảo vệ dữ liệu. FRIA được thiết kế để nhìn rộng hơn, bao gồm phân biệt đối xử và các quyền khác. Tái sử dụng DPIA chỉ hữu ích nếu các câu hỏi rộng hơn vẫn thực sự được đặt ra.

Người dùng quan tâm đến quyền riêng tư được gì và mất gì

Lợi ích có thể có

  • Quy tắc rõ ràng hơn cho việc kiểm tra thiên lệch, có thể giúp phát hiện AI phân biệt đối xử trước khi nó ảnh hưởng đến bạn.
  • Ít công việc đánh giá trùng lặp hơn, có thể giúp các tổ chức tập trung vào chất lượng.
  • Quyền GDPR tiếp tục được duy trì. Bản tóm tắt mô tả một sự giao thoa được điều chỉnh, không phải là bãi bỏ GDPR.

Mất mát hoặc không chắc chắn có thể có

  • Một con đường pháp lý mới để xử lý dữ liệu nhạy cảm cho phát hiện thiên lệch, với các biện pháp bảo vệ cần được xem xét kỹ lưỡng.
  • Nghĩa vụ hiểu biết về AI được nới lỏng, có thể có nghĩa là nhân viên sử dụng công cụ AI được đào tạo ít hơn theo yêu cầu.
  • Các thỏa thuận giám sát mới, mà tác động của chúng đối với việc thực thi và xử lý khiếu nại không được nêu chi tiết trong nguồn.

Điều này có ý nghĩa gì đối với bạn

Không có gì trong bản tóm tắt cho thấy các quyền GDPR cốt lõi của bạn, như truy cập, xóa và phản đối, đã biến mất. Điều đã thay đổi là bộ máy xung quanh các hệ thống AI: cách dữ liệu có thể được sử dụng để kiểm tra chúng, cách các đánh giá rủi ro được kết hợp, và ai giám sát chúng.

Nếu bạn tương tác với các hệ thống AI được sử dụng trong tuyển dụng, cho vay, giáo dục hoặc dịch vụ công, các quy tắc mới có thể ảnh hưởng đến cách dữ liệu của bạn được sử dụng để kiểm tra tính công bằng và mức độ kỹ lưỡng trong việc đánh giá quyền của bạn. Chi tiết sẽ phụ thuộc vào toàn văn quy định và cách các cơ quan quốc gia áp dụng nó.

Những điểm cần lưu ý

  • Đọc thông báo quyền riêng tư để tìm ngôn ngữ về AI. Tìm xem liệu một tổ chức có nói rằng họ sử dụng dữ liệu cá nhân để kiểm tra hoặc cải thiện AI hay không, bao gồm phát hiện thiên lệch.
  • Hỏi về các đánh giá. Bạn có thể hỏi một công ty liệu họ đã thực hiện DPIA hoặc FRIA cho các hệ thống AI ảnh hưởng đến bạn chưa, và hai đánh giá này liên quan với nhau như thế nào.
  • Sử dụng quyền GDPR của bạn. Yêu cầu truy cập, phản đối và xóa vẫn có sẵn.
  • Chờ đợi chi tiết. Hãy coi những thay đổi nổi bật là điểm khởi đầu và kiểm tra văn bản quy định để tìm các biện pháp bảo vệ đối với Điều 4a.

Để tiếp tục xây dựng bối cảnh, hãy bắt đầu với bài giải thích về Digital Omnibus của chúng tôi, sau đó xem xét cách các tổ chức nắm giữ dữ liệu của bạn mô tả thực tiễn AI và đánh giá tác động của họ. Với hướng dẫn giải thích các sửa đổi AI Act và GDPR này, bạn được trang bị tốt hơn để đặt những câu hỏi đúng.