AI GOVERNANCE KHÔNG PHẢI LÀ NGĂN NHÂN VIÊN SỬ DỤNG AI

Khi nhắc đến AI Governance, nhiều người nghĩ ngay đến quy định, kiểm soát, bảo mật hay những danh sách dài những điều “không được làm”. Theo tôi, cách hiểu đó chưa đầy đủ. AI Governance không nhằm ngăn tổ chức sử dụng AI. Nó giúp tổ chức sử dụng AI nhanh hơn nhưng vẫn trong vùng kiểm soát được.

Đây cũng là tinh thần của nhiều khung quản trị AI đang được sử dụng trên thế giới. NIST AI Risk Management Framework tiếp cận quản trị rủi ro AI thông qua bốn nhóm hoạt động Govern – Map – Measure – Manage, trong đó Governance không phải một bước thực hiện một lần mà xuyên suốt quá trình quản trị AI. ISO/IEC 42001:2023 cũng tiếp cận AI ở cấp độ hệ thống quản lý, yêu cầu tổ chức thiết lập chính sách, trách nhiệm, quy trình, đánh giá rủi ro, giám sát và cải tiến liên tục. 

Điểm đáng chú ý ở đây là: “Quản trị không đối lập với đổi mới. Quản trị tốt tạo ra hành lang để đổi mới có thể diễn ra an toàn hơn.”

Nếu doanh nghiệp chỉ nói với nhân viên “hãy ứng dụng AI”, mỗi người sẽ tự hiểu và tự làm theo một cách. Nhưng nếu doanh nghiệp chỉ nói “không được đưa dữ liệu công ty lên AI”, nhân viên có thể chọn cách… không sử dụng AI nữa. Cả hai thái cực đều không tốt. Điều cần thiết là giúp người lao động hiểu được: “việc gì được dùng AI, dữ liệu nào được sử dụng, công cụ nào được phép dùng, kết quả nào cần kiểm tra và cuối cùng ai chịu trách nhiệm.”

RỦI RO LỚN KHÔNG HẲN NẰM Ở AI, MÀ NẰM Ở CÁCH CHÚNG TA SỬ DỤNG AI

Trong các chương trình đào tạo AI, tôi thường đưa ra những tình huống rất thực tế.

• Một nhân viên HR tải toàn bộ file lương lên một công cụ AI để nhờ phân tích.

• Một nhân viên Sales đưa danh sách khách hàng cùng số điện thoại, email và lịch sử giao dịch vào chatbot để phân nhóm khách hàng.

• Một quản lý yêu cầu AI đánh giá nhân viên rồi sử dụng kết quả đó gần như trực tiếp cho quyết định nhân sự.

• Một nhân viên đưa hợp đồng chưa công bố hoặc tài liệu mật của khách hàng vào một công cụ AI miễn phí chỉ để “tóm tắt giúp tôi”.

Không phải trường hợp nào cũng chắc chắn dẫn đến sự cố. Nhưng câu hỏi quan trọng hơn là: “Người thực hiện có biết mình đang đưa dữ liệu gì vào đâu, dữ liệu đó thuộc về ai, công cụ sẽ xử lý nó như thế nào và nếu có vấn đề xảy ra thì ai chịu trách nhiệm hay không?” Đó chính là lúc AI Governance trở nên cần thiết.

OECD trong các nguyên tắc về AI cũng nhấn mạnh các yếu tố như minh bạch, khả năng giám sát của con người, an toàn, bảo mật, trách nhiệm giải trình và khả năng truy vết trong vòng đời của hệ thống AI. Vì vậy, thay vì chỉ hỏi: “AI có làm được việc này không?”

Tôi cho rằng doanh nghiệp cần tập cho nhân viên hỏi thêm:

• “AI có nên làm việc này không?”

• “AI được phép sử dụng dữ liệu nào để làm?”

• “Ai phải kiểm tra kết quả?”

• “Ai chịu trách nhiệm cho quyết định cuối cùng?”

Đây chính là sự khác biệt giữa AI Capability và AI Governance.

BỐN CHỮ “ĐÚNG” TRONG QUẢN TRỊ AI

Nếu phải đơn giản hóa AI Governance để một nhân viên bình thường cũng có thể nhớ và áp dụng, tôi thường nhìn nó thông qua bốn nguyên tắc: “Đúng Dữ Liệu – Đúng Người – Đúng Mục Đích – Đúng Trách Nhiệm.”

• Đúng dữ liệu nghĩa là không phải dữ liệu nào doanh nghiệp có cũng có thể đưa vào AI. Dữ liệu công khai, dữ liệu nội bộ, dữ liệu mật, dữ liệu cá nhân hay dữ liệu thuộc khách hàng phải được nhìn nhận ở những mức độ khác nhau.

• Đúng người nghĩa là quyền sử dụng AI không đồng nghĩa với quyền truy cập mọi dữ liệu. Một người có quyền sử dụng một công cụ AI không có nghĩa người đó được quyền lấy dữ liệu lương, hồ sơ nhân sự, thông tin khách hàng hay tài liệu chiến lược đưa vào công cụ đó.

• Đúng mục đích nghĩa là dữ liệu được cung cấp cho một mục đích không mặc nhiên được phép sử dụng cho mọi mục đích khác chỉ vì AI có khả năng phân tích nó.

• Đúng trách nhiệm nghĩa là luôn phải xác định rõ con người nào chịu trách nhiệm đối với đầu ra và quyết định được tạo ra với sự hỗ trợ của AI.

Đây là nguyên tắc tôi cho rằng rất quan trọng: “AI có thể tạo ra kết quả. Nhưng AI không thể nhận trách nhiệm thay cho con người.”

TRƯỚC KHI ĐƯA DỮ LIỆU VÀO AI, HÃY TẠO THÓI QUEN “DỪNG 10 GIÂY”

Trong thực tế đào tạo, tôi nhận thấy nhân viên thường được hướng dẫn rất nhiều về cách viết Prompt nhưng ít khi được hướng dẫn khi nào không nên Prompt. Đó là một khoảng trống nguy hiểm. Trước khi upload một tài liệu lên AI, người sử dụng nên tự hỏi ít nhất 5 câu:

1. Nếu tài liệu này vô tình bị công khai, hậu quả có nghiêm trọng không? 

2. Dữ liệu này thuộc về tôi, công ty hay khách hàng/đối tác? 

3. Trong tài liệu có thông tin cá nhân, thông tin mật hoặc dữ liệu nhạy cảm không? 

4. AI có thực sự cần toàn bộ tài liệu này hay chỉ cần một phần dữ liệu đã được loại bỏ thông tin nhận diện? 

5. Tôi có chắc chính sách của công ty và công cụ AI đang sử dụng cho phép việc này không? 

Nếu câu trả lời cuối cùng vẫn là: “Tôi không chắc.” Thì nguyên tắc nên rất đơn giản: “When in doubt, don’t upload – Khi chưa chắc chắn, đừng tải dữ liệu lên.” Đây không phải tư duy sợ AI. Đây là kỷ luật dữ liệu.

HUMAN-IN-THE-LOOP KHÔNG NÊN CHỈ LÀ MỘT KHẨU HIỆU

Một khái niệm tôi nhấn mạnh rất nhiều trong đào tạo là Human-in-the-Loop – con người phải nằm trong vòng kiểm soát của quy trình có AI. Nhưng doanh nghiệp cũng cần cẩn thận với câu nói “AI làm, con người kiểm tra”. 

• Kiểm tra cái gì?

• Ai kiểm tra?

• Kiểm tra ở thời điểm nào?

Nếu không trả lời được ba câu hỏi đó thì Human-in-the-Loop vẫn chỉ là một nguyên tắc đẹp trên slide. Trong một AI Workflow tốt, tôi thường thiết kế những Human Control Point cụ thể: con người kiểm tra nguồn dữ liệu, kiểm tra logic, phát hiện bất thường, xem lại giả định, xác minh kết luận và đánh giá khuyến nghị trước khi sử dụng kết quả. Đặc biệt với những quyết định liên quan đến con người, tài chính, pháp lý, khách hàng, an toàn hoặc chiến lược, mức độ kiểm soát của con người càng phải cao.

Ví dụ, AI có thể hỗ trợ nhân sự tổng hợp CV và xác định ứng viên phù hợp với một số tiêu chí. Nhưng quyết định tuyển hay loại một con người không nên chỉ dựa trên một kết quả AI. AI có thể phân tích dữ liệu hiệu suất và chỉ ra những dấu hiệu bất thường. Nhưng quyết định đánh giá, khen thưởng hay xử lý nhân viên vẫn cần người quản lý chịu trách nhiệm. Tôi thường tóm tắt nguyên tắc này bằng một câu rất ngắn: “AI Generate – Human Verify – Human Decide.”

• AI tạo ra.

• Con người kiểm chứng.

• Con người quyết định.

KHÔNG PHẢI MỌI ỨNG DỤNG AI ĐỀU CẦN QUẢN TRỊ GIỐNG NHAU

Một sai lầm khác là xây dựng một bộ quy định AI áp dụng giống nhau cho tất cả trường hợp. Nhờ AI viết lại một email và nhờ AI đề xuất danh sách nhân viên có nguy cơ nghỉ việc rõ ràng không có cùng mức độ rủi ro. Vì vậy, AI Governance nên được thiết kế theo Risk-based Approach – quản trị dựa trên mức độ rủi ro. Doanh nghiệp có thể hình dung đơn giản theo ba vùng.

• Vùng rủi ro thấp: brainstorm ý tưởng, chỉnh sửa câu chữ, tạo outline, tóm tắt tài liệu không nhạy cảm… Người dùng có thể chủ động sử dụng AI trong phạm vi chính sách.

• Vùng cần kiểm soát: phân tích dữ liệu nội bộ, lập báo cáo quản trị, xây dựng dự báo, xử lý thông tin khách hàng… cần quy định rõ dữ liệu, công cụ, quyền truy cập và bước kiểm tra.

• Vùng rủi ro cao: các quyết định ảnh hưởng đáng kể đến nhân viên, khách hàng, tài chính, pháp lý, an toàn hoặc quyền lợi của con người. Những trường hợp này cần mức độ thẩm định và phê duyệt cao hơn nhiều.

Cách tiếp cận này phù hợp với tinh thần của NIST AI RMF: mức độ quản trị rủi ro cần được xác định dựa trên bối cảnh và mức độ chấp nhận rủi ro của tổ chức, thay vì áp dụng một checklist cứng nhắc cho mọi AI use case.

AI GOVERNANCE KHÔNG THỂ CHỈ LÀ VIỆC CỦA PHÒNG IT

Tôi cho rằng đây là một điểm doanh nghiệp cần thay đổi tư duy. IT có thể quản trị hệ thống. Information Security có thể quản trị an toàn thông tin. Legal có thể xem xét vấn đề pháp lý. HR có thể đào tạo và xây dựng năng lực người dùng. Nhưng không một phòng ban nào có thể một mình quản trị toàn bộ AI trong doanh nghiệp.

• Người sở hữu quy trình phải hiểu nghiệp vụ.

• Người sở hữu dữ liệu phải quyết định dữ liệu được sử dụng như thế nào.

• IT và Security kiểm soát nền tảng, quyền truy cập và bảo mật.

• HR/L&D giúp nhân viên hình thành năng lực sử dụng AI có trách nhiệm.

• Quản lý trực tiếp phải kiểm soát việc AI được đưa vào công việc như thế nào.

• Lãnh đạo phải xác định Risk Appetite – doanh nghiệp sẵn sàng chấp nhận mức độ rủi ro nào để đổi lấy tốc độ đổi mới.

ISO/IEC 42001 cũng nhìn AI Governance như một hệ thống quản lý ở cấp tổ chức, bao gồm vai trò lãnh đạo, chính sách, mục tiêu, quản trị rủi ro, dữ liệu, giám sát hiệu quả và cải tiến liên tục chứ không đơn thuần là vấn đề công nghệ. 

TỪ “CHÍNH SÁCH AI” ĐẾN “NĂNG LỰC QUẢN TRỊ AI”

Doanh nghiệp có thể viết một chính sách AI dài 30 trang. Nhưng nếu nhân viên không biết xử lý một file Excel chứa thông tin khách hàng trước khi đưa vào AI thì chính sách đó chưa tạo ra năng lực.

Theo kinh nghiệm của tôi, AI Governance muốn đi vào thực tế cần được chuyển thành những thứ nhân viên có thể nhìn thấy – hiểu được – làm được: phân loại dữ liệu; danh sách công cụ được phép sử dụng; những trường hợp bị cấm hoặc cần phê duyệt; checklist trước khi upload; hướng dẫn Human Review; người chịu trách nhiệm; cơ chế báo cáo sự cố; nhật ký và khả năng truy vết đối với những ứng dụng quan trọng. Quan trọng hơn, phải đào tạo bằng tình huống công việc thực tế, không chỉ bằng quy định.

Đưa cho HR một tình huống về hồ sơ nhân viên; đưa cho Sales một tình huống về dữ liệu khách hàng; đưa cho Finance một file có dữ liệu tài chính; đưa cho Marketing một tài liệu chiến lược chưa công bố. Sau đó hỏi họ: “Bạn có đưa file này vào AI không? Vì sao?” Khi người lao động có thể tự trả lời đúng câu hỏi đó, AI Governance mới thực sự bắt đầu trở thành năng lực của tổ chức, thay vì chỉ tồn tại trong văn bản.

QUẢN TRỊ AI TỐT KHÔNG LÀM DOANH NGHIỆP CHẬM LẠI

Tôi tin rằng trong vài năm tới, lợi thế cạnh tranh sẽ không còn nằm ở việc doanh nghiệp nào “có sử dụng AI”. AI rồi sẽ trở thành một phần rất bình thường của công việc. Sự khác biệt sẽ nằm ở việc: “Doanh nghiệp nào có khả năng đưa AI vào quy trình nhanh hơn, sâu hơn nhưng vẫn kiểm soát được dữ liệu, chất lượng, rủi ro và trách nhiệm.”

AI Mindset giúp chúng ta có tư duy đúng; AI Literacy giúp chúng ta hiểu AI; AI Workflow giúp chúng ta đưa AI vào công việc; và AI Governance tạo ra hành lang để tất cả những điều đó có thể vận hành ở quy mô tổ chức. Đích đến không phải là kiểm soát AI thật chặt. Cũng không phải mở cửa cho AI bằng mọi giá. Đích đến là xây dựng một tổ chức mà mỗi người đều hiểu mình được quyền làm gì với AI, không nên làm gì, khi nào phải dừng lại, khi nào phải kiểm chứng và ai là người chịu trách nhiệm cuối cùng.

Bởi cuối cùng, dù AI có mạnh đến đâu, tôi vẫn giữ một nguyên tắc xuyên suốt trong quá trình đào tạo và ứng dụng AI: “AI có thể hỗ trợ con người làm việc nhanh hơn và tốt hơn. Nhưng quyền quyết định và trách nhiệm cuối cùng vẫn phải thuộc về con người.” Đó không chỉ là cách sử dụng AI an toàn, đó là cách xây dựng năng lực AI bền vững cho một tổ chức.

TÀI LIỆU THAM KHẢO

1. National Institute of Standards and Technology (NIST) – AI Risk Management Framework (AI RMF 1.0), 2023.

2. ISO/IEC 42001:2023 – Information technology — Artificial intelligence — Management system.

3. OECD – Recommendation of the Council on Artificial Intelligence (OECD AI Principles), updated 2024.