Mỹ thúc đẩy KIDS: Bảo vệ trẻ em hay mở rộng giám sát số và thu thập dữ liệu định danh?

Mỹ đang thúc đẩy *từ KIDS* với mục tiêu bảo vệ trẻ em trên môi trường số. Tuy nhiên, nhiều chuyên gia cảnh báo cơ chế thực thi của đạo luật này có thể dẫn tới *từ thu thập dữ liệu cá nhân* trên diện rộng, gia tăng rủi ro *từ rò rỉ thông tin* và củng cố hạ tầng “giám sát số” thay vì chỉ dừng ở bảo vệ trẻ vị thành niên.

Theo The Washington Post đưa tin ngày 29 tháng 6 (giờ địa phương), thị trường đã có hàng loạt cảnh báo sớm. Năm 2024, công ty xác thực danh tính AU10TIX – nhà cung cấp dịch vụ cho TikTok và Uber – bị phát hiện đã để lộ dữ liệu *từ bằng lái xe* của người dùng cho tin tặc trong hơn một năm. Đến năm 2025, nhà cung cấp hệ thống xác minh độ tuổi cho Discord tiếp tục bị tấn công, khiến thông tin khoảng 70.000 giấy tờ tùy thân do chính phủ cấp bị đánh cắp. Chuỗi sự cố nối tiếp cho thấy một xu hướng rõ ràng: ngay khi *từ xác minh độ tuổi* phụ thuộc vào bên thứ ba và kho lưu trữ tập trung, chính hệ thống bảo mật lại trở thành “điểm tấn công” ưu tiên của hacker.

*bình luận* Chuỗi vụ việc của AU10TIX và nhà cung cấp cho Discord là minh chứng trực quan: càng bắt buộc *từ định danh* tập trung, giá trị “chiếm đoạt” đối với tin tặc càng lớn, kéo theo rủi ro mang tính hệ thống chứ không chỉ đơn lẻ.

Song song đó, sự phát triển của *từ trí tuệ nhân tạo (AI)* đang làm bức tranh bảo mật trở nên phức tạp hơn. Công cụ AI giúp tin tặc tự động hóa việc dò quét lỗ hổng, tăng tốc độ tấn công và mở rộng quy mô khai thác dữ liệu. Hậu quả là mọi *từ kho dữ liệu danh tính* lớn đều có nguy cơ trở thành “mỏ vàng” cho các chiến dịch tấn công có chủ đích.

Trong bối cảnh đó, Hạ viện Mỹ ngày 29 tháng 6 đã thông qua *từ Đạo luật An toàn Trẻ em trên Internet và Kỹ thuật số (KIDS)* với 267 phiếu ủng hộ và 117 phiếu phản đối. Trọng tâm của KIDS dựa trên khuôn khổ *từ Đạo luật An toàn Trẻ em Trực tuyến (KOSA)* và hiện đang chờ xem xét tại Thượng viện. Dù cùng đứng tên KOSA, Thượng nghị sĩ Richard Blumenthal và Marsha Blackburn lại công khai chỉ trích bản KIDS do Hạ viện thông qua, cho rằng văn bản này chưa đủ chặt chẽ và kêu gọi các biện pháp siết chặt hơn với nền tảng số. Quyết định cuối cùng của Ủy ban Thương mại Thượng viện được xem là sẽ định hình hướng đi mới cho kiến trúc *từ định danh trực tuyến* tại Mỹ trong những năm tới.

KIDS không ghi rõ nghĩa vụ “bắt buộc xác minh độ tuổi”, nhưng cấu trúc trách nhiệm pháp lý lại đẩy nền tảng vào thế buộc phải triển khai *từ kiểm tra tuổi* trên diện rộng. Cụ thể, nền tảng có thể bị quy trách nhiệm nếu không đủ biện pháp bảo vệ người dùng dưới 18 tuổi. Về mặt thực tế, doanh nghiệp chỉ có hai lựa chọn: hoặc là xác định rõ ai là trẻ vị thành niên, hoặc là chấp nhận rủi ro kiện tụng và chế tài.

Chính cơ chế này biến *từ xác minh độ tuổi* thành nghĩa vụ “trên thực tế”: doanh nghiệp khó có thể tuyên bố “không thu thập dữ liệu” mà vẫn chịu trách nhiệm pháp lý liên quan tới trẻ em. Và từ đó, một vòng xoáy mới xuất hiện. Khi “muốn truy cập là phải cung cấp thông tin”, phạm vi *từ dữ liệu cá nhân* bị thu thập sẽ ngày càng nới rộng. Công cụ vốn chỉ cần trả lời câu hỏi “đã đủ tuổi hay chưa” dần biến thành hệ thống “xác định bạn là ai”, buộc doanh nghiệp xây dựng và duy trì kho dữ liệu định danh đồ sộ. Nhưng các kho này, như trường hợp AU10TIX đã chứng minh, không khác gì “tài sản rủi ro”: chỉ cần một lỗ hổng nhỏ là có thể dẫn tới sự cố rò rỉ trên quy mô hàng chục nghìn hay hàng triệu người dùng.

*bình luận* Về logic, càng tăng trách nhiệm pháp lý với nền tảng mà không quy định rõ nguyên tắc *từ tối thiểu hóa dữ liệu*, kết quả gần như chắc chắn là “thu càng nhiều càng an toàn cho doanh nghiệp”. Người dùng trả giá bằng quyền riêng tư, trong khi lợi ích bảo vệ trẻ em không chắc được đảm bảo tương xứng.

Dù vậy, giới chuyên gia cho rằng bức tranh không hoàn toàn u ám, bởi các giải pháp *từ xác minh riêng tư* đã bắt đầu xuất hiện. Về mặt kỹ thuật, nhiều dịch vụ chỉ cần kiểm tra “thỏa điều kiện tuổi” thay vì biết chính xác ngày, tháng, năm sinh hay lưu trữ bản sao giấy tờ tùy thân.

Một ví dụ đang được chú ý là bang Utah (Mỹ) với đạo luật *từ Định danh Kỹ thuật số Được Nhà nước Xác nhận (SEDI)*. Theo đó, bang này áp dụng mô hình *từ danh tính số* cho phép người dùng chứng minh mình đáp ứng một tiêu chí (ví dụ đủ 18 tuổi) mà không cần lộ thêm thông tin cá nhân. Hệ thống *từ Veridian* do Quỹ Cardano xây dựng cho SEDI được thiết kế theo hướng: nền tảng chỉ nhận được một “xác nhận” về điều kiện độ tuổi, còn các dữ liệu nhạy cảm khác không bị lộ ra. Kết quả là mức độ chia sẻ thông tin được *từ tối thiểu hóa*, trong khi vẫn duy trì được mức độ tin cậy mà nhà cung cấp dịch vụ yêu cầu.

Mô hình này gửi đi một thông điệp quan trọng: *từ niềm tin số* không nhất thiết phải đánh đổi bằng việc phơi bày toàn bộ dữ liệu cá nhân. Quyền riêng tư có thể được tích hợp ngay từ giai đoạn thiết kế kiến trúc *từ định danh*, thay vì chỉ được “vá” bằng các điều khoản sử dụng hay chính sách bảo mật sau này.

Trở lại với KIDS, mục tiêu được công bố là “bảo vệ trẻ em”. Nhưng các nhà phân tích cảnh báo khung pháp lý hiện tại lại có xu hướng thúc đẩy nền tảng mở rộng hoạt động *từ thu thập và lưu trữ dữ liệu*, vô tình mở rộng nền tảng cho một hình thức *từ giám sát số* toàn diện hơn. Không chỉ dữ liệu của trẻ vị thành niên mà cả người trưởng thành cũng có thể bị kéo vào mạng lưới xác minh, do nền tảng phải phân biệt “ai là trẻ em, ai là người lớn”.

Theo nhiều chuyên gia, lời giải không thiếu, vấn đề nằm ở lựa chọn chính sách. Các đề xuất thường gặp bao gồm: chỉ thu thập *từ dữ liệu tối thiểu* để thực hiện mục đích cụ thể, quy định nghiêm ngặt về *từ thời hạn lưu trữ*, áp dụng *từ mã hóa* và lưu trữ phân tán nhằm giảm giá trị của mỗi điểm tấn công, đồng thời khuyến khích hoặc yêu cầu sử dụng các cơ chế *từ xác minh bảo vệ quyền riêng tư* (privacy-preserving) khi triển khai kiểm tra độ tuổi. Trong bối cảnh công nghệ đã cung cấp công cụ để làm được những điều này, câu hỏi được đặt ra là liệu khung pháp lý có đủ linh hoạt để tích hợp hay không.

Từ góc nhìn nguyên tắc, tiêu chuẩn cần hướng tới khá rõ ràng: vừa *từ bảo vệ trẻ em* hiệu quả, vừa hạn chế tối đa việc công khai và gom dữ liệu không cần thiết. Mạng internet không nhất thiết phải trở thành “cổng kiểm tra danh tính bắt buộc” cho mọi hoạt động, mà có thể vận hành an toàn dựa trên một lớp *từ xác thực tối giản* đáp ứng đúng nhu cầu từng dịch vụ.

*bình luận* Cách mà Mỹ xử lý KIDS và KOSA sẽ trở thành tham chiếu cho nhiều quốc gia khác khi xây dựng khung pháp lý về *từ danh tính số* và bảo vệ trẻ em trực tuyến. Nếu cán cân nghiêng quá nhiều về phía kiểm soát và giám sát, internet trong tương lai rất có thể sẽ giống một không gian “phải trình giấy tờ ở mọi cổng truy cập” hơn là một hạ tầng mở, tôn trọng quyền riêng tư.

Trong thời gian tới, diễn biến xung quanh *từ KIDS* sẽ là phép thử quan trọng cho việc cân bằng giữa “*từ bảo vệ*” và “*từ giám sát*” trong kỷ nguyên dữ liệu lớn và AI. Kết quả không chỉ quyết định cấu trúc *từ định danh trực tuyến* tại Mỹ, mà còn có thể định hình cách thế giới nhìn nhận về mối quan hệ giữa an toàn của trẻ em và quyền riêng tư của toàn bộ người dùng internet.