Các nghĩa vụ minh bạch cốt lõi được áp dụng: khi người dùng tương tác với chatbot hoặc đại lý AI, họ phải được thông báo rằng họ đang tương tác với AI; một số nội dung do AI tạo ra, như deepfake và văn bản thông tin công khai, phải được gắn nhãn rõ ràng. Các nhà cung cấp và triển khai nên duy trì tài liệu, ghi nhật ký và giám sát con người phù hợp với hệ thống của họ. Văn phòng AI và các cơ quan quốc gia có thể yêu cầu thông tin, đánh giá mô hình và phối hợp các biện pháp khắc phục. Thực tế, điều này có nghĩa là phải có một nguồn dữ liệu chính thống cho chính sách, tài liệu kỹ thuật và dữ liệu giám sát kết nối các công bố người dùng với hành vi hệ thống.

Nếu bạn cung cấp một mô hình AI đa mục đích, nghĩa vụ của bạn bao gồm tài liệu minh bạch, tóm tắt công khai về nguồn dữ liệu đào tạo, và đánh giá cũng như giảm thiểu rủi ro phù hợp—đặc biệt khi mô hình có thể gây ra rủi ro hệ thống. Các đội ngũ nên vận hành thẻ mô hình, báo cáo đánh giá, kết quả kiểm thử nhóm an toàn, và các tính năng nhận diện nội dung. Việc xử lý bản quyền và dữ liệu đào tạo phải được ghi chép rõ ràng, với các quy trình tôn trọng quyền từ chối và sử dụng hợp pháp. Sử dụng các mẫu và quy tắc tự nguyện của Ủy ban làm khung để thiết lập các bản phát hành lặp lại, nhật ký thay đổi rõ ràng và kiểm thử phù hợp qua các phiên bản.

Các nghĩa vụ rủi ro cao bao gồm quản lý rủi ro, quản trị dữ liệu, ghi nhật ký, tài liệu kỹ thuật, giám sát con người, độ bền, độ chính xác, an ninh mạng và giám sát sau thị trường. Ngay cả khi hệ thống của bạn chưa được phân loại là rủi ro cao cho đến 2027–2028, con đường tiết kiệm nhất là áp dụng các kỷ luật này ngay bây giờ. Thiết lập diễn đàn quản trị đa chức năng, xác định ngưỡng chấp nhận rủi ro, triển khai tài liệu nguồn dữ liệu và các cổng kiểm soát chất lượng, xây dựng quy trình đánh giá liên tục. Lựa chọn các tiêu chuẩn và kiểm soát có thể mở rộng—dự đoán các tiêu chuẩn hài hòa khi có sẵn—và điều chỉnh mua sắm để yêu cầu nhà cung cấp cung cấp các tài liệu và bằng chứng kiểm thử tương thích.

Các hành vi AI bị cấm—như hệ thống thao túng, khai thác điểm yếu để nhắm mục tiêu, chấm điểm xã hội, một số ứng dụng sinh trắc học và thu thập dữ liệu khuôn mặt không có mục đích cụ thể—đã có thể bị xử lý. Một lệnh cấm bổ sung về tạo nội dung khiêu dâm và thân mật không có sự đồng thuận và các sản phẩm liên quan đến CSAM sẽ có hiệu lực từ tháng 12 năm 2026. Các nhà phát triển nên triển khai các lớp phòng chống lạm dụng ngay bây giờ: bộ phân loại an toàn, giới hạn đầu ra, báo cáo người dùng, nguồn gốc nội dung có thể truy xuất và quy trình gỡ bỏ/sự cố nhanh chóng. Kiểm tra sản phẩm và các tính năng tiếp thị để đảm bảo không vô tình hỗ trợ hoặc khuyến khích các hành vi bị cấm.

Ưu tiên các kiểm soát có thể kết hợp và triển khai nhanh. Về minh bạch: triển khai các chỉ báo AI hiển thị cho người dùng và nhãn deepfake; áp dụng tiêu chuẩn nguồn gốc nội dung và đóng dấu khi có thể. Về quản trị: duy trì đăng ký mô hình với các đánh giá phiên bản, cổng chính sách và phê duyệt phát hành. Về dữ liệu: ghi lại nguồn gốc, trạng thái đồng ý và siêu dữ liệu giấy phép; thực thi phiên bản bộ dữ liệu và kiểm soát truy cập. Về giám sát: tập trung nhật ký suy luận, các chỉ số thiên vị/độ bền và vé sự cố với lịch trực. Về giám sát con người: xác định rõ các điểm kiểm tra có sự tham gia của con người và ghi chép khi có sự leo thang. Xem mỗi tài liệu là bằng chứng cho các cuộc kiểm toán trong tương lai.