EU Chat Control Trở Lại: Cánh Cửa Hậu Luật Pháp Và Nguy Cơ Mã Hoá Đầu Cuối Bị Vô Hiệu

Ngày 26/3/2026, Nghị viện Châu Âu bỏ phiếu 311–228 — bác bỏ việc gia hạn Chat Control 1.0. Quy định hết hiệu lực ngày 3/4. Những tưởng câu chuyện kết thúc.

Ngày 2/7/2026, Hội đồng EU chính thức hồi sinh nó bằng thủ tục đọc lần hai. Ngày 7/7, Nghị viện bỏ phiếu 331–304 thông qua kiến nghị khẩn cấp. Phiên bỏ phiếu cuối cùng: thứ Năm, ngày 9/7/2026 — ngày làm việc cuối cùng trước kỳ nghỉ hè, khi phần lớn nghị sĩ đã rời Strasbourg.

Đây không chỉ là tin chính trị. Đây là một đòn đánh trực diện vào mã hoá đầu cuối (E2EE) — và mọi developer xây dựng ứng dụng nhắn tin cho người dùng EU cần hiểu chuyện gì đang xảy ra.

Chat Control 1.0 Là Gì — Và Sao Nó Quay Lại Được?

Chat Control là tên thường gọi của Quy định Phòng chống Xâm hại Tình dục Trẻ em (CSAR) do Uỷ ban Châu Âu đề xuất từ tháng 5/2022. Phiên bản 1.0 cho phép các nền tảng tự nguyện quét tin nhắn riêng tư để phát hiện nội dung lạm dụng trẻ em. Nhưng chữ "tự nguyện" ở đây mang tính kỹ thuật nhiều hơn thực tế — Meta, Google, Microsoft đã triển khai quét từ năm 2021, dựa trên derogation tạm thời của ePrivacy Directive.

Đến tháng 3/2026, Nghị viện từ chối gia hạn derogation đó. Quy định hết hạn ngày 3/4. Nhưng thay vì chấp nhận kết quả bỏ phiếu dân chủ, Hội đồng EU đã dùng một lối đi khác: thủ tục đọc lần hai (second reading).

Đây là điểm mấu chốt: trong lần đọc thứ hai, để bác bỏ hoặc sửa đổi lập trường của Hội đồng, Nghị viện cần đa số tuyệt đối — 361 trên 720 phiếu — chứ không chỉ đa số những người có mặt. Vào ngày cuối cùng trước kỳ nghỉ hè, khi phần lớn MEP đã rời đi, đạt được ngưỡng này gần như bất khả thi. Phe phản đối cần 361 phiếu để chặn; phe ủng hộ chỉ cần đa số đơn giản trong số người còn lại.

Cựu MEP Patrick Breyer, người dẫn đầu phe phản đối trong nhiều năm, gọi đây là "sự coi thường trắng trợn đối với tiến trình dân chủ." Dịch vụ Pháp lý của Hội đồng EU đã cảnh báo đề xuất hiện tại vi phạm Điều 7 Hiến chương Quyền Cơ bản EU. Không ai phủ nhận điều đó — họ chỉ đơn giản bỏ qua.

Nó Ảnh Hưởng Gì Đến Mã Hoá?

Chat Control 1.0 cho phép ba phương thức quét phía client:

1. Hash-matching — so khớp với cơ sở dữ liệu nội dung lạm dụng đã biết
2. Phân loại bằng machine learning — phát hiện nội dung lạm dụng chưa từng thấy
3. Phân tích văn bản thời gian thực — phát hiện mẫu hành vi grooming

Điểm quan trọng: cả ba phương thức đều hoạt động trước khi mã hoá. Tin nhắn được kiểm tra trên thiết bị người gửi, trước khi khoá mã hoá được áp dụng. Về mặt kỹ thuật, mã hoá đầu cuối vẫn tồn tại — nhưng nội dung đã bị đọc trước khi được mã hoá. Một phép so sánh đơn giản: ổ khoá vẫn còn trên cửa, họ chỉ kiểm tra túi của bạn trước khi bạn bỏ đồ vào.

Phó chủ tịch phụ trách đối ngoại của Signal mô tả đề xuất này là "rủi ro thảm hoạ hiện sinh" đối với mã hoá. Hơn 500 nhà mật mã học đã ký thư ngỏ phản đối. Điều trớ trêu: chính các cơ quan thực thi pháp luật EU còn xin miễn trừ cho thiết bị của chính phủ — vì họ hiểu rõ cánh cửa hậu mà mình đang yêu cầu người khác xây dựng.

CEO của Signal, Meredith Whittaker, tuyên bố thẳng: "Chúng tôi sẽ rời thị trường EU hơn là làm suy yếu cam kết bảo mật của mình." WhatsApp có cùng quan điểm. Đây không phải chiến thuật đàm phán — quét phía client mâu thuẫn về mặt kiến trúc với sản phẩm mà các công ty này đã xây dựng. Một khi đã quét trước khi mã hoá, sản phẩm không còn là thứ người dùng nghĩ họ đang sử dụng.

Cái Giá Của Việc Quét: 80% Là Dương Tính Giả

Theo dữ liệu của cảnh sát liên bang Thuỵ Sĩ, 80% báo cáo tự động từ quét CSAM là vô giá trị. Chỉ 20% được xác nhận là nội dung lạm dụng thực sự. Tỉ lệ dương tính giả này làm ngập hệ thống thực thi pháp luật bằng nhiễu, trong khi không hề ngăn chặn việc phân phối trên các nền tảng không tuân thủ.

Tội phạm sẽ chuyển sang nền tảng không quét. Người dùng tuân thủ pháp luật sẽ bị giám sát. Đó là trade-off thực sự trên bàn đàm phán — không phải "bảo vệ trẻ em hoặc bảo vệ quyền riêng tư", mà là "giám sát hàng loạt với hiệu quả thấp hoặc tìm giải pháp khác."

Developer Cần Chuẩn Bị Gì?

Bốn hành động cụ thể cho developer đang vận hành ứng dụng nhắn tin hoặc nền tảng giao tiếp có người dùng EU:

1. Audit pipeline mã hoá ngay bây giờ. Client-side scanning không thể triển khai nếu không tái cấu trúc pipeline mã hoá. Nếu ứng dụng của bạn dùng E2EE thực sự — khoá chỉ có trên thiết bị người dùng — việc thêm một tầng quét trước khi mã hoá đồng nghĩa với thay đổi mô hình bảo mật từ gốc. Không có chuyện "mã hoá đầu cuối một phần."

2. Chuẩn bị cho kịch bản Signal/WhatsApp rời EU. Nếu các nền tảng mã hoá lớn nhất rời thị trường, làn sóng người dùng di cư sang giải pháp thay thế sẽ rất lớn. Hạ tầng của bạn cần sẵn sàng cho peak load bất thường. Quan trọng hơn: bạn cần quyết định ngay từ bây giờ liệu sẽ chấp nhận triển khai quét để giữ chân người dùng EU, hay chọn con đường của Signal.

3. Theo dõi luật pháp, không chỉ công nghệ. Chat Control đã trải qua ba vòng: bị bác bỏ (tháng 3), bị chuyển hướng (tháng 4–6), rồi hồi sinh dưới vỏ bọc mới (tháng 7). Mỗi vòng kéo dài giai đoạn mà developer phải ra quyết định kiến trúc trong tình trạng pháp lý bất định. Đây là rủi ro vận hành thực sự, không phải rủi ro lý thuyết.

4. Mã nguồn mở sẽ có cơ hội chưa từng có. Nếu Signal và WhatsApp rời đi, các giải pháp như Matrix, XMPP, hoặc E2EE self-hosted sẽ đối mặt với làn sóng người dùng mới. Đây có thể là thời điểm để đầu tư vào kiến trúc phân tán, không phụ thuộc vào bất kỳ nền tảng tập trung nào — cũng không phụ thuộc vào bất kỳ khu vực pháp lý nào có thể yêu cầu quét.

Điều Gì Sẽ Xảy Ra Ngày 9/7?

Ngưỡng 361 phiếu để chặn trong ngày cuối cùng trước kỳ nghỉ hè gần như không thể đạt được — ngay cả phe phản đối cũng thừa nhận điều này. Chat Control 1.0 gần như chắc chắn được thông qua.

Nhưng đây chưa phải hồi kết. Sau khi thông qua, quy định này sẽ đối mặt với thách thức pháp lý mạnh mẽ tại Toà án Công lý EU. Đồng thời, Chat Control 2.0 — phiên bản cứng rắn hơn, bắt buộc quét thay vì "tự nguyện" — vẫn đang trong quá trình đàm phán riêng.

Điều developer cần hiểu: đây không phải trận chiến cuối cùng. Việc Hội đồng EU sẵn sàng dùng thủ thuật thủ tục để vô hiệu hoá lá phiếu của Nghị viện chính là tín hiệu rõ nhất — vấn đề này sẽ quay lại cho đến khi hoặc được thông qua vĩnh viễn, hoặc ý chí chính trị sụp đổ.

Tóm lại:

• Chat Control 1.0 bị bác bỏ tháng 3, hồi sinh bằng thủ tục đọc lần hai — yêu cầu 361 phiếu tuyệt đối để chặn thay vì đa số đơn giản
• Ba phương thức quét phía client hoạt động trước khi mã hoá — E2EE về mặt kỹ thuật vẫn tồn tại, nhưng nội dung đã bị kiểm tra trước khi khoá
• 80% báo cáo tự động là dương tính giả; hơn 500 nhà mật mã học phản đối; chính các cơ quan thực thi pháp luật EU còn xin miễn trừ
• Signal và WhatsApp có thể rời EU — developer cần chuẩn bị kế hoạch ngay, không đợi đến khi luật có hiệu lực

---

Bài viết được hỗ trợ bởi AI (Amy 🌸). Nội dung đã được kiểm duyệt bởi tác giả.