MiCA, DORA, Đạo luật AI và NIS2: Quy định EU đang đẩy start-up và doanh nghiệp nhỏ rời khỏi châu Âu như thế nào

Tôi kiếm sống nhờ quy định EU. Khách hàng tìm đến chúng tôi vì MiCA, các quy tắc chống rửa tiền và phần còn lại của bộ quy tắc châu Âu quá phức tạp để tự xử lý, và chúng tôi xử lý chúng cho họ. Vì vậy, đây không phải lời phàn nàn của người bị thiệt khi Brussels ban hành luật mới. Nếu có gì, tôi được lợi.

Tuy vậy, khi nhìn vào những gì đã đổ lên doanh nghiệp nhỏ và vừa (SMEs) trong vài năm qua, tôi cho rằng châu Âu đang mắc sai lầm. Đây không phải một đạo luật được soạn thảo kém. Đó là tổng cộng của tất cả chúng, tốc độ EU tự điều chỉnh, và thực tế hóa đơn rơi vào các công ty ít khả năng chi trả nhất. Quan điểm của chúng tôi về quy định AI nói riêng được trình bày trong một bài riêng; bài này nói về mô thức xuyên suốt toàn bộ bộ quy tắc.

Lớp Này Chồng Lên Lớp Khác

Dưới đây là những gì quy định EU hiện yêu cầu đối với một công ty châu Âu, tùy theo hoạt động của họ.

• GDPR dành cho mọi bên lưu giữ dữ liệu cá nhân.
• Đạo luật Dịch vụ Kỹ thuật số và Đạo luật Thị trường Kỹ thuật số dành cho nền tảng trực tuyến và sàn giao dịch.
• Đạo luật Dữ liệu dành cho thiết bị kết nối và hợp đồng đám mây.
• NIS2 và Đạo luật Khả năng chống chịu Không gian mạng dành cho an ninh mạng và sản phẩm có phần mềm bên trong.
• MiCA dành cho dịch vụ tài sản mã hóa.
• DORA dành cho ngân hàng, công ty thanh toán và tiền mã hóa, cùng các nhà cung cấp IT phục vụ họ.
• Đạo luật AI dành cho mọi bên xây dựng hệ thống AI hoặc sử dụng chúng trong hoạt động kinh doanh.
• Quy định AML mới với cơ quan giám sát cấp EU, AMLA.
• eIDAS 2.0 cùng các ví nhận dạng số.
• Nghĩa vụ báo cáo về chuyển tiền mã hóa (quy tắc travel), dữ liệu thuế tiền mã hóa (DAC8), tính bền vững (CSRD) và chuỗi cung ứng (CSDDD).

Không điều nào là nhỏ nhặt. Mỗi điều có định nghĩa, biểu mẫu, cơ quan giám sát và khoản phạt riêng. Một fintech có mười hai nhân viên có thể đồng thời chịu năm hoặc sáu quy định trong số này.

Từng Đạo Luật Đều Có Thể Bảo Vệ. Cả Chồng Thì Không

Xét riêng, mỗi luật này đều trả lời một vấn đề thực tế. Tiền của khách hàng không nên biến mất khi một sàn giao dịch tiền mã hóa sụp đổ, ngân hàng không nên ngừng hoạt động vì nhà cung cấp đám mây gặp sự cố qua đêm, và không ai muốn phần mềm quyết định ai được vay mà không có con người nào kiểm tra được kết quả. Phản đối riêng từng luật này thì bạn sẽ thua, và bạn nên thua.

Vấn đề là tổng thể, và vấn đề là thời gian. Ủy ban đã đề xuất Đạo luật AI vào tháng 4 năm 2021 và EU thông qua vào năm 2024. Các quy tắc chính dành cho AI rủi ro cao, như hệ thống dùng trong tuyển dụng, chấm điểm tín dụng hoặc giáo dục, dự kiến áp dụng từ 2 August 2026. Tháng 7 năm 2026, chỉ vài tuần trước ngày đó, EU thông qua một sửa đổi gọi là Digital Omnibus on AI. Nó lùi các quy tắc đến tháng 12 năm 2027, và đến tháng 8 năm 2028 đối với AI tích hợp trong sản phẩm được quản lý. Lý do chính thức là các tiêu chuẩn kỹ thuật và cơ quan giám sát quốc gia chưa sẵn sàng. Năm năm sau đề xuất, bộ máy thực thi luật vẫn chưa tồn tại. Các công ty đã dành hai năm chuẩn bị cho tháng 8 đã chuẩn bị cho một ngày bị thay đổi.

Đó là ý nghĩa thực tế của sự chậm chạp. Luật được ban hành. Các sửa đổi đến sau hai hoặc ba năm, khi mọi người đều đã thấy vấn đề, dưới dạng thêm một quy định nữa.

Vì Sao Cùng Quy Tắc Lại Tốn Kém Hơn Với Doanh Nghiệp Nhỏ

Đây là phần khiến tôi bận tâm nhất. Chi phí tuân thủ hầu như không phụ thuộc vào quy mô công ty. Sổ tay chính sách, danh mục nhà cung cấp IT, quy trình báo cáo sự cố, kiểm toán bên ngoài, hồ sơ xin giấy phép: các khoản này có chi phí gần như tương tự dù bạn phục vụ 50 khách hàng hay 5 triệu khách hàng.

DORA là trường hợp rõ nhất. Trong khảo sát của Deloitte về các tổ chức tài chính tại 28 quốc gia châu Âu, công bố tháng 3 năm 2025, khoảng hai phần ba người trả lời dự kiến chi từ €2 triệu đến €5 triệu cho việc tuân thủ, và chỉ một trong mười người dự kiến giữ dưới €2 triệu. Một ngân hàng lớn có thể hấp thụ khoản đó. Một tổ chức thanh toán với hai mươi nhân viên thì không thể, và với các công ty nhỏ nhất, hóa đơn tuân thủ có thể vượt quá giá trị của thị trường EU đối với họ.

MiCA kể cùng một câu chuyện bằng số liệu. Trước MiCA, theo thống kê ngành, hơn một nghìn công ty nắm giữ đăng ký tiền mã hóa quốc gia trên khắp EU. Giai đoạn chuyển tiếp kết thúc ngày 1 July 2026, và đến tháng 10 năm 2026, sổ đăng ký của ESMA liệt kê khoảng 370 nhà cung cấp được cấp phép. Một số công ty biến mất đáng lẽ phải rời đi. Nhiều công ty khác nhỏ, địa phương và hợp pháp, nhưng rời đi vì giấy phép MiCA (ủy quyền CASP) tốn sáu chữ số cho tư vấn, vốn và thời gian quản lý mà một sàn giao dịch do hai nhà sáng lập điều hành không có. Tôi đã xem xét riêng MiCA đã làm gì với các start-up tiền mã hóa của châu Âu; ở đây, đó là một ví dụ về mô thức rộng hơn.

Các doanh nghiệp lớn hiếm khi phàn nàn. Với một doanh nghiệp hiện hữu có nguồn vốn tốt, mỗi đạo luật mới là một hào lũy: đội ngũ tuân thủ đã có sẵn, luật sư đã được thuê thường trực, và mỗi quy tắc mới đều nâng chi phí gia nhập cho bất kỳ ai muốn cạnh tranh. Quy định được soạn để bảo vệ người tiêu dùng cuối cùng lại bảo vệ thị phần.

Nơi Các Nhà Sáng Lập Đến

Start-up linh hoạt về địa điểm theo cách ngân hàng không thể. Một nhà sáng lập có ý tưởng và máy tính xách tay so sánh các quốc gia như phần còn lại chúng ta so sánh chuyến bay. Khi Apple và Meta quyết định năm 2024 không cung cấp các tính năng AI mới cho người dùng EU, viện dẫn Đạo luật Thị trường Kỹ thuật số và môi trường quản lý “khó dự đoán”, tiêu đề báo chí nói về hai gã khổng lồ. Tác động âm thầm hơn rơi lên mọi nhà phát triển châu Âu muốn xây dựng trên các mô hình đó và giờ phải chờ, hoặc chuyển đi.

Trong công việc của riêng tôi, mô thức ít kịch tính hơn nhưng cũng ổn định không kém. Câu hỏi nhà sáng lập đặt ra đã chuyển từ “chúng tôi có thể lấy giấy phép ở Estonia không” sang “giấy phép châu Âu có đáng giá không khi so với Dubai, Singapore hoặc một bang của Mỹ”. Vài năm trước, câu hỏi thứ hai này hiếm gặp. Ngày nay nó thường xuyên, và tôi không phải lúc nào cũng có thể thuyết phục họ từ bỏ ý định đó.

Các số liệu cũng nói lên điều tương tự. Một nghiên cứu của European Investment Bank được công bố vào tháng 01.2026 cho thấy từ năm 2008 đến 2021, gần 30% kỳ lân châu Âu — các start-up được định giá trên $1 billion — đã chuyển trụ sở chính ra ngoài EU. Phần lớn chuyển đến Hoa Kỳ, trong đó công nghệ số, AI và công nghệ sinh học dẫn đầu. Mario Draghi đã nói phần còn lại trong báo cáo tháng 09.2024 về năng lực cạnh tranh của châu Âu của ông: gánh nặng quy định đặt quá nhiều ràng buộc lên đổi mới sáng tạo và khiến start-up khó phát triển. Hai năm sau, theo thống kê của Draghi Observatory thuộc European Policy Innovation Council, chỉ 16% các biện pháp mà tổ chức này theo dõi đã được triển khai đầy đủ. Chẩn đoán đã được chấp nhận. Việc điều trị còn chậm.

Vì Sao Tallinn Không Thể Sửa Điều Brussels Đã Viết

Estonia là nơi tốt để quan sát điều này. Quốc gia này nhỏ, số hóa và nhìn chung hợp lý với doanh nghiệp. Trong vấn đề này, họ cũng gần như bất lực.

MiCA, DORA và Đạo luật AI là quy định, không phải chỉ thị. Chỉ thị đặt ra mục tiêu và để mỗi quốc gia tự viết luật; quy định áp dụng nguyên văn ở mọi quốc gia thành viên, và không nghị viện nào tại Tallinn, Vilnius hay Lisbon có thể nới lỏng một điều khoản. Biên độ quốc gia chỉ theo một hướng: một nước luôn có thể nghiêm ngặt hơn Brussels, nhưng không thể nhẹ hơn.

Vì vậy, khi một nhà sáng lập nói Estonia nên “cứ sửa việc này”, tôi phải giải thích rằng giải pháp nằm ở 27 chính phủ, một Ủy ban, một Nghị viện và chu kỳ lập pháp tính bằng năm. Từ đầu năm 2025, Ủy ban đã trình mười hai gói “omnibus”, mỗi gói sửa đổi nhiều luật cùng lúc, và hứa giảm gánh nặng hành chính ít nhất 25%, và 35% cho SMEs, trước khi kết thúc nhiệm kỳ. Các hiệp hội doanh nghiệp cho rằng kết quả đến nay còn rất xa những con số đó. Tôi tin họ, vì tôi đọc các văn bản.

Châu Âu Đang Tự Giảm Rủi Ro

Bất kỳ ai đã làm việc với ngân hàng trong vài năm qua đều biết từ de-risking. Một khách hàng trông hơi khác thường, chi phí theo dõi họ vượt quá phí họ trả, và tài khoản bị đóng. Không có gian lận, không vi phạm, chỉ là một quyết định rẻ hơn cho ngân hàng. Khách hàng đi tìm ngân hàng khác, thường ở nước khác, và báo cáo rủi ro của ngân hàng trông tốt hơn trước.

Tôi ngày càng cho rằng Liên minh châu Âu cũng làm điều tương tự với toàn bộ ngành. Tiền mã hóa trông có rủi ro, nên châu Âu xây dựng MiCA và chứng kiến phần lớn công ty đăng ký cấp quốc gia rời cuộc chơi. AI trông có rủi ro, nên châu Âu viết luật AI toàn diện đầu tiên trên thế giới trước khi có một ngành AI đủ lớn để phản biện. Mỗi lần rủi ro giảm xuống, hoạt động mang theo rủi ro cũng giảm theo. Trên bảng cân đối chỉ tính các rủi ro tránh được, đây là thành công. Trên bảng cân đối tính số công ty thành lập và việc làm tạo ra, thì không.

Bên dưới là một cơ chế âm thầm hơn. Một thể chế có đầu ra được đo bằng quy định sẽ tạo ra quy định. Mỗi đạo luật cần hướng dẫn, tiêu chuẩn kỹ thuật và Q&As, rồi cần cơ quan giám sát áp dụng chúng, sau đó cần omnibus để sửa những gì hướng dẫn làm hỏng. Mỗi bước bổ sung nhân sự cần thiết cho đạo luật tiếp theo. Không ai trong chuỗi này hành động thiếu thiện chí. Quy trình đơn giản là không có lý do nội tại để dừng lại, và không ai trong đó trả giá cho start-up chưa từng được thành lập.

Ba Kịch Bản Cho Start-Up Châu Âu

Để cụ thể hóa điều này, đây là hướng mà tôi cho rằng mảng start-up của nền kinh tế châu Âu đang đi tới. Số liệu cơ sở từ Dealroom: mỗi năm có khoảng 14.800 start-up được thành lập tại EU, khoảng 4.400 trong số đó huy động vốn từ bên ngoài, và EU có khoảng 450 kỳ lân. Toàn bộ châu Âu, bao gồm UK, đạt mức kỷ lục 19% vốn đầu tư mạo hiểm toàn cầu vào năm 2023 và 16% vào năm 2024, trong khi Hoa Kỳ đạt 57%.

Vì sao là suy giảm chứ không phải sụp đổ trong kịch bản đầu? Vì bộ quy tắc tác động đến nhà sáng lập tại thời điểm ra quyết định, chứ không phải doanh nghiệp đang tồn tại. Một ngân hàng ở Frankfurt không rời đi vì DORA. Một start-up AI ba người ở Tartu đơn giản đăng ký tại Delaware và vẫn giữ nhà phát triển ở quê nhà. EU mất trụ sở, cơ sở thuế và thương vụ thoái vốn, còn giữ bảng lương thêm một thời gian.

Và vì sao kịch bản thứ ba không phải ảo tưởng? Vì các con số của nó gần với vị thế tốt nhất châu Âu từng có: tỷ trọng 19–20% vốn đầu tư mạo hiểm toàn cầu là mức đạt được vài năm trước, trước khi lớp quy tắc hiện tại bắt đầu áp dụng. Viết quy định EU với doanh nghiệp nhỏ trong tâm trí không làm châu Âu mất đi bảo vệ người tiêu dùng. Nó chỉ tốn vài đoạn soạn thảo.

Lập Luận Cho Phía Còn Lại

Tôi không xứng đáng được xem là nghiêm túc nếu giả vờ bộ quy tắc không có mặt tích cực, nên đây là nó. Một giấy phép MiCA cho phép công ty phục vụ khách hàng tại toàn bộ 30 quốc gia EU và EEA; trước đó, một công ty tiền mã hóa cần 27 cuộc trao đổi riêng với 27 cơ quan quản lý. GDPR đã trở thành khuôn mẫu toàn cầu cho luật quyền riêng tư. Về lý thuyết, một quy định AML duy nhất sẽ chấm dứt tình trạng khách hàng được chấp nhận ở một quốc gia thành viên nhưng bị từ chối ở quốc gia kế tiếp. Hài hòa hóa là điều tốt thực sự, và tôi hưởng lợi từ nó mỗi ngày.

Đánh đổi trung thực là thế này. Hài hòa hóa ở quy mô châu Âu được đánh đổi bằng tốc độ, và bằng cấu trúc chi phí đè nặng nhất lên những bên nhỏ nhất. Châu Âu đã quyết định, phần lớn theo mặc định, rằng họ thích thị trường an toàn hơn thị trường nhanh. Đó là lựa chọn hợp pháp. Tôi chỉ cho rằng nó nên được đưa ra công khai, với cái giá kèm theo, thay vì được phát hiện từng gói omnibus một.

Châu Âu Nên Làm Gì Thay Vào Đó

Quan điểm của tôi không phải châu Âu nên ngừng quản lý. Mà là châu Âu nên ngừng quản lý một start-up ba người như một ngân hàng. Một nhóm nhỏ không thể vận hành phòng ban tuân thủ, và luật ngầm giả định có phòng ban đó không phải quy tắc an toàn mà là rào cản gia nhập. Sáu thay đổi sẽ loại bỏ phần lớn thiệt hại, và không thay đổi nào cực đoan: mỗi thay đổi đều đã có tiền lệ ở đâu đó trong luật EU.

1. Ngưỡng quy mô thực sự, được ghi trong đạo luật. Dưới định nghĩa riêng của EU về doanh nghiệp nhỏ (dưới 50 nhân sự và doanh thu dưới €10 triệu), nghĩa vụ nặng không nên áp dụng hoàn toàn, hoặc nên áp dụng theo hình thức ngắn gọn, cố định. GDPR đã thực hiện điều này với việc lưu giữ hồ sơ theo Điều 30(5), miễn trừ cho hầu hết tổ chức có dưới 250 nhân viên, và năm 2025 Ủy ban đề xuất mở rộng miễn trừ đó. Cùng logic này cần có trong DORA, NIS2 và Đạo luật AI.
2. Tiêu chuẩn trước khi luật áp dụng. Không nghĩa vụ nào nên có hiệu lực cho đến khi tiêu chuẩn kỹ thuật tồn tại và ít nhất một cơ quan giám sát tại mỗi quốc gia thành viên sẵn sàng áp dụng chúng. Sự trì hoãn Đạo luật AI đã chứng minh điều đó theo cách khó khăn. Quy tắc này nên được ghi lại, để đạo luật tiếp theo không cần omnibus giải cứu.
3. Sandbox trước, thực thi sau. Một lĩnh vực mới nên có giai đoạn thử nghiệm được giám sát, trong đó công ty có thể hoạt động dưới sự theo dõi của cơ quan quản lý trước khi cần cấp phép đầy đủ. Đạo luật AI hứa hẹn các sandbox như vậy, nhưng chúng bị hoãn đến tháng 8 năm 2027, sau một số nghĩa vụ. Thứ tự nên đảo lại.
4. Một cơ quan giám sát cho mỗi công ty. Một fintech có mười hai người hiện nay có thể phải trả lời riêng trước cơ quan giám sát tài chính, FIU, cơ quan bảo vệ dữ liệu và sớm là cơ quan AI. Cơ chế one-stop-shop của GDPR, nơi một cơ quan đầu mối duy nhất xử lý công ty, cho thấy mô hình. Nó nên được mở rộng trên toàn bộ bộ quy tắc.
5. Ngày hết hiệu lực trong mọi đạo luật. Nếu một quy định mất hiệu lực trừ khi được tái xác nhận sau đánh giá thực sự về chi phí, việc sửa đổi trở thành bắt buộc thay vì ân huệ chính trị. Omnibus trở thành quy tắc, không phải cứu trợ.
6. Đếm công ty chưa từng được thành lập. Mọi đánh giá tác động của EU đều đo chi phí cho doanh nghiệp hiện hữu. Không đánh giá nào đo các start-up đã chọn Delaware, Dubai hoặc Singapore thay vào đó. Cho đến khi con số đó được đặt lên bàn, những người soạn đạo luật tiếp theo sẽ tiếp tục đánh giá thấp chi phí thực sự.

Không điều nào trong số này có nghĩa là sao chép Hoa Kỳ, nơi vẫn chưa có luật AI liên bang toàn diện mà chỉ có mớ quy tắc cấp bang chắp vá, hoặc UK, nơi đến nay chọn không thông qua một đạo luật AI duy nhất và yêu cầu cơ quan quản lý hiện hữu áp dụng một bộ nguyên tắc thay thế. Nó có nghĩa là thừa nhận đây là những nơi nhà sáng lập châu Âu hiện so sánh châu Âu với. Thêm EU Inc., hình thức công ty châu Âu duy nhất được đề xuất tháng 3 năm 2026, với đăng ký dưới 48 giờ với giá dưới €100 và không có vốn tối thiểu, như Ủy ban hứa hẹn, và châu Âu sẽ có đề nghị mà một nhóm nhỏ thực sự có thể tiếp nhận.

Điều Tôi Nói Với Các Nhà Sáng Lập

Lời khuyên của tôi cho nhà sáng lập đã trở nên thực tế đến nhàm chán. Hãy coi chi phí tuân thủ là một khoản trong giá vốn, không phải phí pháp lý một lần. Hãy chọn quốc gia EU theo chất lượng cơ quan quản lý và tốc độ sổ đăng ký của họ, vì bản thân các quy tắc sẽ như nhau ở mọi nơi. Hãy dùng các giai đoạn chuyển tiếp và trì hoãn omnibus làm thời gian xây dựng thay vì xem đó là cho phép bỏ qua luật; quy tắc AI rủi ro cao của Đạo luật AI bị hoãn, không bị hủy. Và nếu mô hình kinh doanh của bạn chỉ hoạt động ngoài bộ quy tắc EU, hãy thừa nhận sớm, trước khi nộp hồ sơ giấy phép thay vì sau đó.

Xây Dựng Công Ty Ở Châu Âu Dù Có Bộ Quy Tắc

Châu Âu vẫn là nơi tốt để vận hành công ty, và tôi nói điều đó với khách hàng mỗi tuần. Mục đích bài viết này không phải thuyết phục bất kỳ ai rời Estonia hay EU. Nó là để nói rằng quy định EU là chi phí thực tế và cần được tính từ ngày đầu tiên. Cơ cấu phù hợp, lộ trình giấy phép phù hợp và quốc gia phù hợp trong EU hiện tạo khác biệt lớn hơn năm năm trước. Nếu bạn đang cân nhắc những lựa chọn đó cho công ty mới hoặc hiện hữu, đội ngũ của chúng tôi tại Eesti Firma có thể hướng dẫn ý nghĩa thực tế của các quy tắc đối với trường hợp của bạn, từ thành lập công ty đến cấp phép.

Gửi yêu cầu