Chủ quyền dữ liệu là gì — Tại sao cuộc thảo luận này lại cần thiết ngay lúc này

Chủ quyền dữ liệu (Data Sovereignty) đề cập đến quyền và năng lực kiểm soát việc thu thập, lưu trữ và sử dụng dữ liệu dựa trên thẩm quyền pháp lý của nơi dữ liệu được lưu trữ và xử lý về mặt vật lý. Trước khi điện toán đám mây phổ biến rộng rãi, dữ liệu được lưu trữ trên các máy chủ vật lý và luật pháp của quốc gia nơi đặt máy chủ đó sẽ tự động được áp dụng. Tuy nhiên, trong bối cảnh AWS, Azure và Google Cloud triển khai các vùng (region) trên toàn thế giới và dữ liệu có thể di chuyển xuyên biên giới trong tức thì, câu hỏi "ai kiểm soát dữ liệu?" đã trở nên vô cùng phức tạp.

Có ba lý do khiến cuộc tranh luận này mang tính cấp bách chưa từng có vào năm 2026. Thứ nhất, các vụ rò rỉ dữ liệu quy mô lớn xảy ra liên tiếp. Từ năm 2024 đến 2025, các cuộc tấn công mạng nhắm vào cơ sở y tế, tổ chức tài chính và cơ quan chính phủ đã tăng 37% so với năm trước, với tổng số bản ghi bị rò rỉ lên đến hàng tỷ. Thứ hai, căng thẳng địa chính trị leo thang. Sự đối đầu Mỹ-Trung ngày càng sâu sắc, cuộc xung đột Nga-Ukraine kéo dài, và tình hình bất ổn ở Trung Đông đã khiến các quốc gia bắt đầu tái định nghĩa dữ liệu là "tài sản chiến lược". Thứ ba, sự bùng nổ của AI tạo sinh đã đồng thời làm lộ rõ cả giá trị lẫn tính dễ bị tổn thương của dữ liệu. Rủi ro thông tin bí mật của doanh nghiệp vô tình được đưa vào dữ liệu huấn luyện LLM, rò rỉ thông tin gián tiếp qua các API suy luận, và vấn đề chủ quyền đối với dữ liệu huấn luyện của bản thân các mô hình AI đang trở thành mối quan tâm hàng đầu của CTO và CISO.

Nhìn từ góc độ đầu tư, chủ quyền dữ liệu không chỉ đơn thuần là chi phí tuân thủ, mà còn là cơ hội thị trường khổng lồ tạo ra các danh mục mới. Quy định càng nghiêm ngặt, nhu cầu về cơ sở hạ tầng, công cụ và dịch vụ đáp ứng các quy định đó càng lớn. Trong tổng số 89,4 tỷ USD đầu tư VC vào lĩnh vực AI năm 2025, phần phân bổ cho lĩnh vực quản trị dữ liệu và công nghệ quyền riêng tư đã tăng gấp 2,3 lần so với năm trước, và xu hướng này được dự báo sẽ tiếp tục tăng tốc sau năm 2026.

EU — Phòng thí nghiệm quy định lớn nhất thế giới

Liên minh Châu Âu đã dẫn đầu thế giới trong việc pháp điển hóa chủ quyền dữ liệu. GDPR (Quy định Bảo vệ Dữ liệu Chung) có hiệu lực năm 2018 đã thực sự thiết lập tiêu chuẩn bảo vệ dữ liệu toàn cầu thông qua ba cơ chế đổi mới: áp dụng ngoài lãnh thổ, mức phạt cao và quyền di chuyển dữ liệu.

Biểu tượng cho sức mạnh thực thi của GDPR là khoản phạt 530 triệu euro (khoảng 88 tỷ yên) mà Ủy ban Bảo vệ Dữ liệu Ireland (DPC) áp đặt lên TikTok vào tháng 5 năm 2025. Khoản phạt này nhằm vào việc dữ liệu người dùng châu Âu bị chuyển sang máy chủ tại Trung Quốc, và đã gây chấn động thế giới với tư cách là một trong những mức phạt lớn nhất từ trước đến nay đối với hành vi vi phạm chủ quyền dữ liệu. TikTok đang triển khai việc lưu trữ hoàn toàn dữ liệu người dùng châu Âu trong nội bộ EU (Project Clover), nhưng các vi phạm trong giai đoạn chuyển đổi đã bị phát hiện và xử lý.

Tuy nhiên, GDPR chỉ là bước khởi đầu. Đạo luật Dữ liệu EU (EU Data Act) có hiệu lực vào tháng 9 năm 2025 trao cho người dùng quyền truy cập dữ liệu được tạo ra bởi các thiết bị IoT và bắt buộc khả năng di chuyển dữ liệu giữa các dịch vụ đám mây. Mọi thứ "tạo ra dữ liệu" — từ sản xuất, xe kết nối đến nhà thông minh — đều trở thành đối tượng điều chỉnh, buộc các doanh nghiệp phải thiết kế lại từ căn bản chính sách xử lý dữ liệu do sản phẩm của mình tạo ra.

Hơn nữa, Đạo luật AI EU (EU AI Act) dự kiến áp dụng toàn diện vào tháng 8 năm 2026 sẽ quy định tính minh bạch của dữ liệu huấn luyện mô hình AI, chứng nhận các hệ thống AI rủi ro cao và yêu cầu tuân thủ đối với các mô hình AI đa năng. Qua đó, các công ty phát triển AI sẽ phải chứng minh nguồn gốc và cơ sở pháp lý của dữ liệu được sử dụng để huấn luyện mô hình, mở rộng vấn đề chủ quyền dữ liệu ra toàn bộ chuỗi cung ứng AI.

Tầm nhìn hoành tráng của EU còn mở rộng sang lĩnh vực cơ sở hạ tầng. Gaia-X — sáng kiến xây dựng nền tảng đám mây riêng của châu Âu — kể từ khi được công bố năm 2019 đã không đạt được tiến độ như kỳ vọng do xung đột lợi ích giữa các doanh nghiệp tham gia và sự chậm trễ trong việc đạt đồng thuận về thông số kỹ thuật. Tuy nhiên, sáng kiến "EuroStack" xuất hiện vào cuối năm 2025 là một đề xuất tham vọng hơn nữa, nhằm xây dựng cơ sở hạ tầng đám mây và AI riêng của châu Âu thông qua khoản đầu tư 300 tỷ euro (khoảng 50 nghìn tỷ yên). Rút kinh nghiệm từ Gaia-X, thay vì cách tiếp cận từ trên xuống do chính phủ dẫn dắt, người ta đang tìm kiếm cách tiếp cận từ dưới lên, trong đó một tập đoàn các doanh nghiệp tư nhân sẽ xây dựng các tiêu chuẩn kỹ thuật.

Hoa Kỳ — Mâu thuẫn giữa áp dụng ngoài lãnh thổ và mạng lưới vá víu luật tiểu bang

Bối cảnh về chủ quyền dữ liệu tại Hoa Kỳ, trái ngược với EU, được đặc trưng bởi "sự phân mảnh thể chế". Cho đến nay vẫn chưa có luật bảo mật toàn diện ở cấp liên bang, và tính đến tháng 3 năm 2026, đã có 20 bang ban hành luật bảo mật riêng. Các luật của từng bang như CCPA/CPRA của California, VCDPA của Virginia, CPA của Colorado... đều khác nhau về phạm vi bảo vệ, quyền của người tiêu dùng và cơ chế thực thi, khiến gánh nặng thực tiễn ngày càng tăng đối với các doanh nghiệp hoạt động trên toàn quốc.

Góp phần tạo ra mâu thuẫn cấu trúc bên cạnh sự phân mảnh này chính là Đạo luật CLOUD (Clarifying Lawful Overseas Use of Data Act) được ban hành năm 2018. Đạo luật CLOUD trao quyền cho các cơ quan thực thi pháp luật Hoa Kỳ truy cập dữ liệu do các doanh nghiệp Mỹ quản lý ngay cả khi dữ liệu đó được lưu trữ trên các máy chủ ở nước ngoài. Điều này có nghĩa là ngay cả khi các doanh nghiệp châu Âu sử dụng AWS hay Azure để lưu trữ dữ liệu tại các vùng trong EU, về mặt lý thuyết chính phủ Mỹ vẫn có thể yêu cầu quyền truy cập vào dữ liệu đó. Điều này trực tiếp xung đột với các quy định về chuyển dữ liệu xuyên biên giới của GDPR.

Mâu thuẫn này được thể hiện rõ nét nhất qua loạt sự kiện xoay quanh TikTok. Chính phủ Hoa Kỳ yêu cầu công ty mẹ ByteDance của TikTok phải bán lại hoặc bị cấm hoạt động, với lý do là nguy cơ chính phủ Trung Quốc có thể tiếp cận dữ liệu người dùng Mỹ. Sau nhiều năm tranh tụng pháp lý và đấu trí chính trị, vấn đề này đã vượt ra ngoài phạm vi quy định đối với một doanh nghiệp đơn lẻ, và củng cố nhận thức trên toàn thế giới rằng "dữ liệu gắn liền trực tiếp với an ninh quốc gia". Trớ trêu thay, logic mà Hoa Kỳ muốn áp dụng đối với TikTok về bản chất có cùng cấu trúc với quyền hạn mà chính Hoa Kỳ thực thi đối với dữ liệu của các quốc gia khác thông qua Đạo luật CLOUD.

Điều đáng chú ý đối với các nhà đầu tư là chính sự bất ổn về mặt pháp lý này đang tạo ra cơ hội cho các startup. Các công cụ hỗ trợ tự động hóa tuân thủ bảo mật, lập bản đồ và phân loại dữ liệu, cùng với thẩm định pháp lý cho việc chuyển dữ liệu xuyên biên giới đang trở thành một trong những danh mục tăng trưởng nhanh nhất trong thị trường SaaS dành cho doanh nghiệp.

Châu Á — Tuyến đầu của quy định dữ liệu đang đa cực hóa

Tại khu vực châu Á - Thái Bình Dương, các quốc gia đang nhanh chóng xây dựng khung pháp lý bảo vệ dữ liệu dựa trên bối cảnh và ưu tiên riêng của mình.

PIPL (Luật Bảo vệ Thông tin Cá nhân) của Trung Quốc đã từng bước nâng cao hiệu quả thực thi kể từ khi có hiệu lực vào năm 2021. Năm 2025, nhiều doanh nghiệp công nghệ lớn đã bị xử phạt hành chính, đặc biệt cơ chế kiểm tra chuyển dữ liệu xuyên biên giới (chế độ đánh giá an ninh) đang vận hành như một yêu cầu "nội địa hóa dữ liệu" trên thực tế. Điểm đặc trưng của cách tiếp cận riêng của Trung Quốc là định vị bảo vệ dữ liệu không chỉ như một quyền cá nhân mà còn là một phần của an ninh mạng quốc gia và an ninh kinh tế.

Luật DPDP (Digital Personal Data Protection Act) của Ấn Độ được thông qua năm 2023 và đang được thực thi theo từng giai đoạn. Với dân số hơn 1,4 tỷ người, khung pháp lý bảo vệ dữ liệu của Ấn Độ có tác động toàn cầu chỉ riêng về quy mô. Đáng chú ý là câu hỏi làm thế nào để cân bằng giữa yêu cầu nội địa hóa "dữ liệu quan trọng" của chính phủ và việc duy trì năng lực cạnh tranh quốc tế của ngành công nghiệp CNTT.

APPI (Luật Bảo vệ Thông tin Cá nhân) của Nhật Bản đã được sửa đổi vào năm 2022, với việc tăng cường quy định chuyển dữ liệu xuyên biên giới, mở rộng quyền chủ thể dữ liệu và nâng mức hình phạt. Cách tiếp cận thực tiễn nhằm duy trì chứng nhận đầy đủ với GDPR trong khi củng cố vị thế trung tâm dữ liệu của khu vực châu Á - Thái Bình Dương được đánh giá là mô hình cân bằng giữa quy định và tăng trưởng kinh tế. Trong đợt xem xét ba năm một lần tiếp theo, việc bổ sung các điều khoản liên quan đến AI tạo sinh đang được thảo luận.

PIPA (Luật Bảo vệ Thông tin Cá nhân) của Hàn Quốc đã được tăng cường đáng kể về năng lực thực thi sau khi Ủy ban Bảo vệ Thông tin Cá nhân (PIPC) trở thành cơ quan độc lập. Việc Hàn Quốc là một trong những quốc gia đầu tiên ở châu Á xây dựng hướng dẫn về dữ liệu huấn luyện AI, cùng cách tiếp cận tìm kiếm điểm cân bằng giữa kinh tế dữ liệu và quyền cá nhân, đang trở thành mô hình tham chiếu cho các quốc gia châu Á khác.

Sự đa cực hóa các hệ thống pháp luật này đồng nghĩa với việc các doanh nghiệp hoạt động toàn cầu không thể đối phó bằng một chiến lược tuân thủ duy nhất. Việc đầu tư ngày càng tăng vào kiến trúc "geofencing", "data mesh" và "multi-cloud" để đáp ứng các yêu cầu quy định khác nhau tùy theo nơi lưu trữ dữ liệu là kết quả tất yếu.

Triết lý Địa phương Ưu tiên――Phản biện Kỹ thuật về Sự Phụ thuộc vào Đám mây

Trong khi chủ quyền dữ liệu được thảo luận trong bối cảnh pháp lý và địa chính trị, cộng đồng kỹ thuật đặt ra một câu hỏi căn bản hơn: "Tại sao dữ liệu của chúng ta lại phải nằm trên máy chủ của người khác?"

Câu trả lời có hệ thống cho câu hỏi này được trình bày trong bài báo "Local-First Software: You Own Your Data, in spite of the Cloud" do Martin Kleppmann tại Đại học Cambridge và các cộng sự công bố năm 2019. Kleppmann đề xuất bảy lý tưởng của phần mềm "Local-First" (ưu tiên cục bộ): (1) Hiệu năng cao — không phụ thuộc vào độ trễ mạng, (2) Hỗ trợ đa thiết bị — đồng bộ dữ liệu liền mạch giữa nhiều thiết bị, (3) Hoạt động ngoại tuyến — hoạt động đầy đủ ngay cả khi không có kết nối mạng, (4) Cộng tác — cho phép chỉnh sửa cộng tác theo thời gian thực, (5) Tính bền vững — dữ liệu không bị mất sau khi dịch vụ ngừng hoạt động, (6) Quyền riêng tư và bảo mật — mã hóa đầu cuối, (7) Quyền sở hữu dữ liệu của người dùng — người dùng kiểm soát dữ liệu, không phải nhà cung cấp đám mây.

Nền tảng kỹ thuật hỗ trợ lý tưởng này là CRDT (Conflict-free Replicated Data Type — Kiểu dữ liệu sao chép không xung đột). CRDT là cấu trúc dữ liệu toán học cho phép nhiều thiết bị chỉnh sửa dữ liệu độc lập khi ngoại tuyến và tự động giải quyết xung đột một cách duy nhất khi kết nối mạng được khôi phục. Cách tiếp cận này đảm bảo tính nhất quán trong môi trường phân tán mà không cần máy chủ trung tâm làm trọng tài, trở thành công nghệ cốt lõi của kiến trúc Local-First.

Hai thư viện CRDT nổi bật trong thực tế là Automerge và Yjs. Automerge là thư viện dựa trên Rust do chính Kleppmann dẫn dắt phát triển, được tối ưu hóa cho việc chỉnh sửa phân tán các tài liệu dạng JSON. Yjs là triển khai dựa trên JavaScript do nhà phát triển người Đức Kevin Jahns chủ trì, được nhiều dự án như Tiptap, BlockNote, Liveblocks Yjs và Hocuspocus áp dụng nhờ hiệu năng vượt trội. Cả hai dự án đều là mã nguồn mở, và mức độ hoạt động của cộng đồng cũng như độ trưởng thành của triển khai đang vượt ngưỡng để được doanh nghiệp chấp nhận.

Các ứng dụng thể hiện lý tưởng Local-First cũng đang phát triển nhanh chóng. Obsidian là công cụ quản lý kiến thức dựa trên Markdown đã thu hút hàng triệu người dùng, lưu trữ toàn bộ dữ liệu dưới dạng tệp văn bản thuần túy cục bộ. Anytype là ứng dụng quản lý dự án và cơ sở kiến thức mã nguồn mở lấy Local-First và đồng bộ ngang hàng làm nguyên tắc thiết kế, đang thu hút sự chú ý như một giải pháp thay thế Notion. Logseq là công cụ đồ thị kiến thức dạng outliner, có kiến trúc lấy tệp cục bộ làm nguồn thông tin tin cậy duy nhất được cộng đồng lập trình viên ủng hộ.

Tại FOSDEM 2026 được tổ chức ở Brussels vào tháng 2 năm 2026, lần đầu tiên một devroom (phòng phiên dành riêng cho nhà phát triển) về "Local-First Software" được thành lập. Các phiên kéo dài hai ngày thu hút số lượng tham dự viên vượt quá sức chứa của hội trường, với các cuộc thảo luận sôi nổi về tối ưu hóa CRDT, giao thức đồng bộ ngang hàng, tích hợp mã hóa đầu cuối và mô hình kinh doanh cho ứng dụng Local-First. Việc thành lập devroom này tự nó là một cột mốc cho thấy Local-First đã trưởng thành từ một khái niệm học thuật thích hợp thành một mô hình thiết kế phần mềm thực tiễn.

Sự trỗi dậy của đám mây chủ quyền — Thách thức của các nhà cung cấp châu Âu

Đích đến đầu tư cơ sở hạ tầng trực tiếp nhất để đảm bảo chủ quyền dữ liệu chính là đám mây chủ quyền (sovereign cloud). Đám mây chủ quyền là dịch vụ đám mây trong đó nơi lưu trữ dữ liệu, quyền truy cập và chủ thể vận hành đều nằm hoàn toàn trong phạm vi một quyền tài phán pháp lý cụ thể.

Hiện tại, ba siêu đám mây lớn của Mỹ (AWS, Azure, Google Cloud) chiếm khoảng 70% thị trường cơ sở hạ tầng đám mây châu Âu. Cấu trúc phụ thuộc này, kết hợp với rủi ro tiềm ẩn về truy cập dữ liệu theo Đạo luật CLOUD, đang gây ra mối lo ngại nghiêm trọng cho các nhà hoạch định chính sách châu Âu và các CISO doanh nghiệp.

Đứng lên thách thức tình trạng này là nhóm các nhà cung cấp đám mây châu Âu. OVHcloud của Pháp, với tư cách là nhà cung cấp đám mây độc lập lớn nhất châu Âu, đang mở rộng thị phần trong các ngành công nghiệp có quy định chặt chẽ nhờ thế mạnh cơ sở hạ tầng tích hợp GDPR ngay từ đầu. Cũng từ Pháp, Scaleway thuộc tập đoàn Iliad Group tập trung vào đám mây GPU và cơ sở hạ tầng AI, định vị rõ ràng cho các trường hợp sử dụng liên quan đến chủ quyền AI. Hetzner của Đức, với hiệu suất chi phí cao và mạng lưới trung tâm dữ liệu trong châu Âu, đang nhận được sự ủng hộ rộng rãi từ doanh nghiệp vừa và nhỏ đến doanh nghiệp lớn.

Đáng chú ý hơn nữa là xu hướng các nhà cung cấp đám mây châu Âu vượt qua ranh giới cạnh tranh cá nhân để thành lập các liên minh. Virt8ra là tổ chức ngành có sự tham gia của nhiều nhà cung cấp đám mây châu Âu, hướng tới xây dựng "hệ sinh thái đám mây châu Âu" để đối trọng với các siêu đám mây Mỹ thông qua việc xây dựng tiêu chuẩn API chung và đảm bảo khả năng tương tác đa đám mây.

Từ góc độ đầu tư, đám mây chủ quyền là lĩnh vực tăng trưởng cơ cấu dài hạn. Khả năng các yêu cầu quy định được nới lỏng gần như bằng không; thay vào đó, hệ thống pháp luật của các quốc gia đang có xu hướng siết chặt hơn. Quy mô thị trường được dự báo tăng từ khoảng 80 tỷ USD (khoảng 12 nghìn tỷ yên) vào năm 2026 lên 1.130 tỷ USD (khoảng 170 nghìn tỷ yên) vào năm 2034, với tốc độ tăng trưởng kép hàng năm (CAGR) đạt khoảng 39%.

Mistral AI――Ngọn cờ đầu về chủ quyền AI châu Âu

Là công ty biểu trưng cho chủ quyền dữ liệu và AI của châu Âu, Mistral AI của Pháp có tầm ảnh hưởng cực kỳ lớn. Chỉ trong vòng 3 năm kể từ khi thành lập năm 2023, công ty đã xác lập vị thế là "nhà vô địch" của ngành AI châu Âu.

Trong vòng gọi vốn Series C năm 2025, công ty đã huy động được 2,9 tỷ USD (khoảng 435 tỷ yên), đưa định giá doanh nghiệp lên 13,7 tỷ USD (khoảng 2,05 nghìn tỷ yên). Mức định giá này chỉ đứng sau OpenAI và Anthropic, và là cao nhất thế giới trong số các công ty AI có trụ sở ngoài Hoa Kỳ.

Điểm đáng chú ý đặc biệt trong chiến lược của Mistral AI là dự án "Mistral Compute". Công ty đang tiến hành xây dựng trung tâm dữ liệu chuyên dụng cho AI, được trang bị 18.000 GPU Nvidia và vận hành bằng năng lượng sạch từ điện hạt nhân. Bằng cách hoàn thiện toàn bộ quá trình huấn luyện và suy luận trong phạm vi châu Âu, công ty xây dựng cơ chế cho phép thực hiện toàn bộ quy trình phát triển AI mà không cần dữ liệu rời khỏi thẩm quyền pháp lý của châu Âu.

Hơn nữa, quan hệ đối tác chiến lược với SAP đang đẩy nhanh sự thâm nhập vào thị trường doanh nghiệp. Các mô hình AI của Mistral được tích hợp vào hệ thống ERP của SAP như một giải pháp cho phép các doanh nghiệp lớn châu Âu hưởng lợi từ AI tạo sinh mà không cần gửi dữ liệu của mình cho các nhà cung cấp AI tại Hoa Kỳ, và đang thu hút sự quan tâm mạnh mẽ từ các lĩnh vực tài chính, sản xuất và công cộng — những lĩnh vực nhạy cảm với tuân thủ GDPR.

Phản hồi doanh nghiệp — Tái thiết kế kiến trúc đám mây

Yêu cầu về chủ quyền dữ liệu đang thay đổi căn bản chiến lược đám mây của các doanh nghiệp lớn. Theo báo cáo mới nhất từ các công ty nghiên cứu, 94% doanh nghiệp toàn cầu đang điều chỉnh kiến trúc đám mây để đáp ứng các yêu cầu về chủ quyền dữ liệu, và 79% xác định chủ quyền dữ liệu là trọng tâm trong chiến lược CNTT của họ.

Minh chứng rõ nét cho xu hướng này là thương vụ Airbus đang tiến hành mua sắm quy mô lớn dịch vụ đám mây có chủ quyền (sovereign cloud). Gói thầu này được ước tính trị giá hơn 50 triệu euro (khoảng 82 tỷ yên), nhằm mục đích quản lý các thông tin mật — bao gồm dữ liệu thiết kế máy bay, thông tin chuỗi cung ứng và dữ liệu khách hàng — trên hạ tầng nằm ngoài phạm vi điều chỉnh của Đạo luật CLOUD của Mỹ. Đối với Airbus — doanh nghiệp có các hợp đồng liên quan đến quốc phòng — chủ quyền dữ liệu không chỉ đơn thuần là tuân thủ quy định, mà còn là điều kiện tiên quyết để duy trì hoạt động kinh doanh.

Việc triển khai chủ quyền dữ liệu trong doanh nghiệp đang diễn ra qua ba giai đoạn. Giai đoạn một là nắm bắt vị trí lưu trữ dữ liệu. Đáng ngạc nhiên là nhiều doanh nghiệp lớn vẫn chưa nắm đầy đủ dữ liệu của họ đang được lưu trữ tại region nào và trên dịch vụ nào. Trước tiên cần đầu tư vào các công cụ tự động hóa cho việc lập bản đồ và phân loại dữ liệu. Giai đoạn hai là chuyển đổi sang kiến trúc đa đám mây và đám mây lai (multi-cloud/hybrid cloud). Doanh nghiệp thoát khỏi sự phụ thuộc vào một nhà cung cấp hyperscaler duy nhất, chuyển sang thiết kế linh hoạt sử dụng nhiều nhà cung cấp đám mây khác nhau tùy theo loại dữ liệu và yêu cầu quy định. Giai đoạn ba là xây dựng hạ tầng AI có chủ quyền. Doanh nghiệp thiết lập hệ thống để thực hiện quá trình huấn luyện và suy luận (inference) của các mô hình AI trên hạ tầng do chính doanh nghiệp quản lý hoặc trên hạ tầng tuân thủ quy định.

Chủ quyền AI — Từ chip đến suy luận

Cuộc tranh luận về chủ quyền dữ liệu trong bối cảnh AI chứa đựng nhiều tầng vấn đề phức tạp hơn nữa.

Thách thức căn bản nhất là cấu trúc phụ thuộc vào chip. Nvidia nắm giữ khoảng 80% thị phần GPU hiệu năng cao — thành phần không thể thiếu cho việc huấn luyện và suy luận AI. Hơn nữa, nhiều chip của Nvidia được sản xuất tại TSMC (Taiwan Semiconductor Manufacturing Company), khiến rủi ro địa chính trị ở eo biển Đài Loan phủ bóng lên toàn bộ chuỗi cung ứng hạ tầng AI. Đằng sau việc các nước phương Tây thúc đẩy sản xuất bán dẫn trong nước là động cơ an ninh quốc gia: thoát khỏi sự phụ thuộc vào chip này.

Quyền tài phán đối với dữ liệu huấn luyện cũng là vấn đề chưa được giải quyết. Việc huấn luyện LLM sử dụng lượng dữ liệu văn bản khổng lồ từ internet, phần lớn trong số đó được bảo vệ bởi bản quyền, đồng thời dữ liệu từ nhiều khu vực pháp lý khác nhau lại lẫn lộn với nhau. Theo Đạo luật AI của EU, tính minh bạch về nguồn gốc và cơ sở pháp lý của dữ liệu huấn luyện được yêu cầu, nhưng việc chứng minh cơ sở pháp lý cho từng điểm dữ liệu trong kho ngữ liệu huấn luyện lên đến hàng nghìn tỷ token là cực kỳ khó khăn cả về mặt kỹ thuật lẫn thực tiễn.

Giải pháp thực tiễn được chú ý để đối phó với thách thức này là "suy luận tại biên" (edge inference). Phương pháp này triển khai mô hình đã được huấn luyện vào môi trường cục bộ (thiết bị biên, máy chủ on-premise, sovereign cloud) để dữ liệu trong quá trình suy luận không rời khỏi tầm kiểm soát của tổ chức. Sự phát triển của AI trên thiết bị (on-device AI) như Apple Intelligence, cùng với việc thu nhỏ mô hình nhờ các kỹ thuật lượng tử hóa và chưng cất, đang nâng cao đáng kể tính thực dụng của edge inference.

Các chính phủ trên thế giới cũng đang đẩy nhanh việc thành lập các cơ quan và rót vốn nhằm đảm bảo chủ quyền AI. Năm 2025, Anh thành lập "Sovereign AI Unit" để xây dựng cơ chế giám sát chiến lược mua sắm AI và hạ tầng AI của chính phủ. Gartner dự báo rằng đến năm 2027, hơn 50% doanh nghiệp lớn sẽ quản lý một cách chiến lược các ràng buộc địa lý đối với môi trường huấn luyện và suy luận mô hình AI.

Dòng chảy vốn đầu tư phản ánh rõ ràng xu hướng này. Trong tổng số 89,4 tỷ đô la đầu tư VC vào lĩnh vực AI năm 2025, nếu tính thêm đầu tư AI từ các chính phủ và quỹ chủ quyền, quy mô còn lớn hơn nhiều. Trong khi Mỹ đầu tư 52 tỷ đô la vào các quỹ liên quan đến AI và Trung Quốc đầu tư 62 tỷ đô la, EU đã thành lập quỹ đầu tư AI nội khối trị giá 7,4 tỷ euro (khoảng 1,2 nghìn tỷ yên). Tuy mức đầu tư của EU kém xa Mỹ và Trung Quốc về giá trị tuyệt đối, chiến lược của khối này là kết hợp với lợi thế quy định dữ liệu nội khối để biến "hàng rào quy định" thành lợi thế cạnh tranh.

Sự hội tụ của Local-First và Sovereign Cloud

Cho đến nay, "Local-First" và "Sovereign Cloud" đã được mô tả như hai xu hướng riêng biệt, nhưng điều quan trọng nhất từ góc độ đầu tư là nhận thức mang tính cấu trúc rằng hai chuyển động này đang hội tụ với nhau.

Nhìn thoáng qua, Local-First (lưu trữ dữ liệu trên thiết bị của người dùng) và Sovereign Cloud (lưu trữ dữ liệu trên đám mây của một quốc gia cụ thể) có vẻ là những cách tiếp cận khác nhau. Tuy nhiên, tư tưởng nền tảng của chúng là như nhau: "Đưa quyền kiểm soát dữ liệu trở lại tay chủ thể đã tạo ra nó — cá nhân, tổ chức hay quốc gia."

Về mặt kỹ thuật, Local-First và Sovereign Cloud cũng có quan hệ bổ sung cho nhau. Các ứng dụng Local-First dựa trên CRDT cần có hạ tầng phía máy chủ để đồng bộ hóa và sao lưu. Nếu hạ tầng đó được xây dựng trên Sovereign Cloud, thì kiến trúc chủ quyền dữ liệu mạnh nhất sẽ được hiện thực hóa: "dữ liệu chính nằm trên thiết bị của người dùng, và đám mây đồng bộ hóa cũng nằm hoàn toàn trong phạm vi quyền tài phán pháp lý."

Trong bối cảnh doanh nghiệp, sự hội tụ này đang được cụ thể hóa dưới dạng "kiến trúc dữ liệu zero-trust". Các ứng dụng Local-First chạy trên thiết bị của nhân viên, dữ liệu được mã hóa đầu cuối sẽ được đồng bộ và sao lưu trên Sovereign Cloud. Nhà cung cấp đám mây không thể truy cập dữ liệu đã được mã hóa, và ngay cả khi có yêu cầu tiết lộ theo Đạo luật CLOUD, nhà cung cấp không nắm giữ khóa giải mã cũng không thể cung cấp dữ liệu có ý nghĩa.

Trong hệ sinh thái startup, các công ty thuộc thể loại mới dựa trên luận điểm hội tụ này đang dần xuất hiện. Các nền tảng cộng tác lấy công nghệ CRDT Local-First làm cốt lõi, dịch vụ suy luận AI biên trên Sovereign Cloud, các SaaS thế hệ tiếp theo trang bị sẵn mã hóa đầu cuối và tính di động dữ liệu — nhóm các công ty công nghệ triển khai chủ quyền dữ liệu ở cấp độ kiến trúc đang nổi lên như chủ đề đầu tư lớn tiếp theo.

Tác động đến ngành

Làn sóng chủ quyền dữ liệu và local-first sẽ mang lại những thay đổi không thể đảo ngược sau đây trong cấu trúc ngành công nghệ.

Thứ nhất, thị trường hạ tầng đám mây sẽ đa cực hóa. Cấu trúc độc quyền của các hyperscaler Mỹ trên thị trường toàn cầu sẽ dần biến đổi dưới áp lực pháp lý. Các nhà cung cấp sovereign cloud ở châu Âu, châu Á và Trung Đông sẽ mở rộng thị phần bằng cách lấy các ngành công nghiệp chịu sự quản lý chặt chẽ trong khu vực làm bàn đạp, và thị trường đám mây sẽ chuyển dịch sang cấu trúc đa tầng gồm "hyperscaler toàn cầu + nhà cung cấp sovereign chuyên biệt theo khu vực".

Thứ hai, nguyên tắc thiết kế kiến trúc phần mềm sẽ thay đổi. Sẽ xảy ra sự dịch chuyển mô hình từ "cloud-first" sang "data sovereignty-first". Trong các dự án phần mềm mới, nơi lưu trữ và khả năng di chuyển dữ liệu sẽ được xem xét ngay từ giai đoạn thiết kế ban đầu, và công nghệ CRDT local-first cùng mã hóa đầu cuối sẽ được tích hợp như các thành phần tiêu chuẩn.

Thứ ba, phát triển AI sẽ được phân tán về mặt địa lý. Việc huấn luyện các mô hình AI quy mô lớn vốn tập trung ở Mỹ và Trung Quốc, nhưng với việc thực thi EU AI Act và mở rộng đầu tư vào hạ tầng sovereign AI, năng lực phát triển AI tự chủ sẽ được xây dựng tại châu Âu, Trung Đông và Đông Nam Á. Thành công của Mistral AI sẽ trở thành tiền lệ tiên phong cho sự phân tán địa lý này.

Thứ tư, một danh mục mới sẽ xuất hiện trên thị trường M&A. Hoạt động mua lại chiến lược bởi các tập đoàn công nghệ lớn sẽ sôi động trong các lĩnh vực sovereign cloud, privacy tech và công cụ local-first. Đặc biệt, các startup sở hữu thư viện CRDT cốt lõi (Automerge, Yjs) và các nhà cung cấp chuyên biệt theo khu vực với bí quyết vận hành sovereign cloud sẽ có giá trị cao như mục tiêu mua lại.

Thứ năm, cơ cấu nhu cầu nhân lực kỹ thuật số sẽ thay đổi. Nhu cầu về nhân lực pháp lý và tuân thủ am hiểu chủ quyền dữ liệu, kỹ sư CRDT và hệ thống phân tán, kiến trúc sư multi-cloud và chuyên gia kỹ thuật bảo mật quyền riêng tư sẽ tăng mạnh. Đặc biệt, những "regulatory engineer" — người có thể hiểu xuyên suốt GDPR, EU AI Act, và luật bảo vệ dữ liệu của từng quốc gia rồi chuyển hóa thành triển khai kỹ thuật — sẽ trở thành nguồn nhân lực hiếm nhất và có giá trị cao nhất trong vài năm tới.

Trong quá trình thị trường sovereign cloud tăng trưởng vượt 1 nghìn tỷ đô la vào năm 2034, chủ quyền dữ liệu sẽ chuyển hóa từ trung tâm chi phí thành nguồn gốc của giá trị thương hiệu — đó là "sự tin tưởng". Thời đại mà thị trường lựa chọn các doanh nghiệp thực sự tôn trọng dữ liệu người dùng đang chắc chắn đến gần.

Tài liệu tham khảo: European Commission「EU Data Act」, European Parliament「EU AI Act」, Irish Data Protection Commission「TikTok GDPR Decision 2025」, Martin Kleppmann et al.「Local-First Software: You Own Your Data, in spite of the Cloud」(Ink & Switch, 2019), FOSDEM 2026 Local-First Devroom, Gartner「Sovereign Cloud Market Forecast 2026-2034」, Mistral AI Series C Announcement (2025), Airbus Sovereign Cloud Tender (2026), EuroStack Proposal Paper (2025), UK Government「Sovereign AI Unit」, Crunchbase「Global VC AI Investment Report 2025」, CLOUD Act (U.S. Congress, 2018), Gaia-X European Association for Data and Cloud