EU siết quản lý AI để ngăn chặn làn sóng lừa đảo công nghệ

Trước thực trạng lừa đảo bằng trí tuệ nhân tạo (AI) ngày càng nghiêm trọng, Liên minh châu Âu (EU) đang đẩy nhanh khuôn khổ pháp lý để đối phó.

Trọng tâm là Điều 50 của Quy định về AI (AI Act) sẽ có hiệu lực đầy đủ vào ngày 2/8 tới. Điều khoản này thiết lập 4 nghĩa vụ minh bạch bắt buộc đối với các hệ thống AI.

Theo quy định trên, các nhà cung cấp chatbot và hệ thống AI tương tác trực tiếp với người dùng phải thông báo rõ ràng về bản chất phi con người của tương tác đó.

Các nhà cung cấp hệ thống tạo ra nội dung tổng hợp từ hình ảnh, âm thanh, video, văn bản phải đảm bảo được đánh dấu theo định dạng có thể đọc bằng máy. Deepfake và nội dung AI trong các vấn đề công cộng phải được gắn nhãn rõ ràng trước người dùng cuối.

Mức phạt vi phạm lên đến 15 triệu euro hoặc 3% doanh thu toàn cầu hằng năm của tổ chức, tùy mức nào cao hơn. Trong một số trường hợp liên quan đến các hành vi bị cấm, mức phạt có thể lên đến 35 triệu euro hoặc 7% doanh thu.

Phản ứng mạnh tay của EU được đưa ra sau khi xảy ra hàng loạt các vụ lừa đảo dùng AI. Điển hình là trường hợp một phụ nữ Bỉ mất 410.000 euro, số tiền bà đã tích cóp cả đời, trong đó có cả tiền bán ngôi nhà mà bà chăm sóc hơn 50 năm. Kẻ lừa đảo không cần đột nhập ngân hàng. Chúng chỉ cần một nền tảng thương mại giả mạo, một cuộc gọi điện thoại mỗi ngày, và một màn hình hiển thị số dư đang tăng dù thực tế không có đồng nào được đầu tư.

Câu chuyện này không phải ngoại lệ. Đây là một phần của làn sóng gian lận tài chính ngày càng tinh vi đang quét qua châu Âu, trong đó AI bị kẻ xấu lợi dụng.

Theo cảnh báo của Cơ quan Dịch vụ và thị trường tài chính Bỉ (FSMA), các nền tảng trực tuyến gian lận hoạt động theo một kịch bản gần như đồng nhất.

Bước đầu tiên là tiếp cận nạn nhân qua quảng cáo giả mạo sử dụng hình ảnh người nổi tiếng, qua mạng xã hội, ứng dụng hẹn hò, hoặc tin nhắn "nhầm số" để tạo dựng quan hệ.

Bước tiếp theo, nạn nhân được mời đăng ký nền tảng và nạp khoản tiền ban đầu, thường là 250 euro. Sau khi tiền được chuyển vào, nền tảng bắt đầu "diễn": màn hình hiển thị lợi nhuận tăng liên tục. Những con số đó hoàn toàn là giả. Kẻ lừa đảo sau đó gọi điện liên tục, tạo áp lực bằng các "ưu đãi có thời hạn" hoặc lời đe dọa, thúc ép nạn nhân đổ thêm tiền vào. Đôi khi, chúng cho phép nạn nhân rút một khoản tiền nhỏ mà chúng gọi là lãi suất để củng cố lòng tin, rồi sau đó nâng yêu cầu lên mức không thể rút tiền với đủ lý do như phí cao, thuế phải nộp, thủ tục chưa hoàn chỉnh. Kết cục luôn giống nhau: nền tảng biến mất cùng toàn bộ số tiền của nạn nhân.

Số liệu từ FSMA cho thấy chỉ trong 6 tháng cuối năm 2025, người tiêu dùng Bỉ đã báo cáo tổng thiệt hại lên tới hơn 23,4 triệu euro do các vụ gian lận đầu tư. Toàn năm 2025, FSMA nhận được 2.911 đơn tố giác liên quan đến hoạt động bất hợp lệ, tăng khoảng 11% so với năm 2024. Trong đó, các nền tảng trực tuyến gian lận gắn với tiền điện tử chiếm phần lớn thiệt hại.

AI đã làm thay đổi bản chất của các vụ lừa đảo này. Deepfake cho phép kẻ gian dựng lên hình ảnh các CEO, chính khách hay người nổi tiếng đang "giới thiệu" nền tảng đầu tư, khiến nạn nhân mất cảnh giác. FSMA đặc biệt cảnh báo về hiện tượng các nền tảng dùng "phỏng vấn CEO giả mạo" làm công cụ quảng cáo tuyển dụng nạn nhân.

Một điều tra của đài RTBF hồi tháng 5/2026 đã truy vết đường dây đứng sau vụ lừa đảo 410.000 euro, phát hiện hai công ty liên quan: Astraqua LTD, một công ty Anh đã giải thể, và Mondosilenzio Systems S.R.L. tại Italy. Cả hai đều có liên hệ đến cùng một mạng lưới hoạt động xuyên biên giới ở nhiều quốc gia châu Âu.

AI Act, tức Bộ quy tắc thực hành về minh bạch nội dung AI, đã được Ủy ban châu Âu (EC) công bố ngày 10/6, bổ sung cho các nghĩa vụ pháp lý, hướng dẫn doanh nghiệp triển khai watermark kỹ thuật số, metadata và biểu tượng nhận diện AI thống nhất trên toàn khối.

Tuy nhiên, các chuyên gia pháp lý lưu ý rằng các nghĩa vụ minh bạch của AI Act chỉ áp dụng cho nội dung AI hợp pháp. Deepfake dùng để lừa đảo tài chính, bôi nhọ hay chiếm đoạt tài sản vẫn thuộc phạm vi của luật hình sự quốc gia và các quy định khác như Đạo luật Dịch vụ Kỹ thuật số (DSA).

Với từng quốc gia thành viên, Pháp, Đức và Italy đang củng cố luật hình sự trong nước để xử lý deepfake. Bỉ thuộc nhóm quốc gia chủ yếu dựa vào khung pháp lý châu Âu thay vì xây dựng quy định quốc gia riêng biệt.

Tuy nhiên, FSMA hiện duy trì một danh sách cập nhật thường xuyên các nền tảng bất hợp lệ tại Bỉ và khuyến cáo người dùng ngừng mọi giao dịch, cắt liên lạc hoàn toàn với nền tảng, thông báo ngay cho ngân hàng và gửi khiếu nại đến FSMA cũng như cơ quan cảnh sát ngay khi phát hiện dấu hiệu lừa đảo.

Cơ quan cũng cảnh báo thêm một chiêu thức mới, đó là các đối tượng lừa đảo đôi khi tiếp tục liên lạc với nạn nhân cũ, giả danh tư vấn viên giúp "thu hồi" tiền đã mất, nhưng thực chất là để chiếm đoạt thêm./.