Quản trị AI có trách nhiệm: Áp dụng tư duy quản lý rủi ro theo ISO/IEC 42001.

Có chính sách AI nhưng rủi ro vẫn chưa có người nhận

Doanh nghiệp có thể tuyên bố dùng AI có trách nhiệm, nhưng khi đầu ra sai lại chưa biết ai quyết định dừng, ai kiểm tra tác động và ai sửa nguyên nhân. Khoảng cách nằm giữa nguyên tắc và hệ thống thực hiện. CAIO cần giúp tổ chức đưa rủi ro vào quyền quyết định, nguồn lực và bằng chứng trong công việc hằng ngày.

ISO/IEC 42001:2023 là tiêu chuẩn hệ thống quản lý AI, đưa ra yêu cầu để tổ chức thiết lập, triển khai, duy trì và cải tiến AIMS. Phạm vi bao gồm tổ chức cung cấp hoặc sử dụng sản phẩm, dịch vụ dựa trên AI. Đây là góc nhìn quản lý ở cấp tổ chức, khác với việc chỉ đo chất lượng một mô hình.

Chương trình phát triển năng lực CAIO hỗ trợ nối quản trị AI với chiến lược và thực hiện. Khi doanh nghiệp chọn áp dụng ISO/IEC 42001, cần đối chiếu đầy đủ yêu cầu trong phạm vi của mình. Một bảng rủi ro hoặc một quy trình phê duyệt riêng lẻ chưa đủ để kết luận hệ thống quản lý phù hợp.

Chốt phạm vi, vai trò và bối cảnh sử dụng

Trước khi lập danh sách rủi ro, xác định ứng dụng, mục đích, người dùng, dữ liệu và mức hành động. Doanh nghiệp đang phát triển, cung cấp hay sử dụng AI? Những bên nào tham gia và chịu ảnh hưởng? Một ứng dụng tạo bản nháp nội bộ khác với hệ thống tác động tới khách hàng hoặc tự thực hiện giao dịch.

Phạm vi AIMS cần được xác định rõ để biết các hoạt động và trách nhiệm nằm trong hệ thống quản lý. Cần nhìn những điểm nối với dữ liệu, an toàn, nhân sự, mua sắm và dịch vụ. Không nên chỉ chọn phần kỹ thuật dễ kiểm tra rồi bỏ qua công việc và người sử dụng có ảnh hưởng tới kết quả.

CAIO điều phối thông tin, nhưng từng quyết định cần người có thẩm quyền. Chủ nghiệp vụ giữ trách nhiệm mục đích và kết quả; chủ dữ liệu xác nhận điều kiện dùng; IT và chức năng kiểm soát nhận phần chuyên môn. Khi yêu cầu xung đột, phải có đường chốt và ghi nhận quyết định.

Nhìn rủi ro qua sự kiện và tác động

Thay nhãn rủi ro AI bằng mô tả nguyên nhân, sự kiện và hậu quả. Ví dụ, tài liệu hết hiệu lực có thể khiến trợ lý đưa thông tin sai, làm nhân viên áp dụng cách xử lý không còn được phép. Mô tả này giúp xác định kiểm soát ở nguồn, bước truy xuất và người kiểm tra.

Xem tác động tới mục tiêu tổ chức và những người liên quan. Một kết quả không phù hợp có thể tạo chi phí, làm sai quyết định hoặc ảnh hưởng cơ hội của người bị đánh giá. Cần biết ai bị ảnh hưởng, mức độ, khả năng phát hiện và phương án khắc phục. Không dùng mức chính xác trung bình để bỏ qua lỗi nghiêm trọng ở một nhóm tình huống.

ISO/IEC 23894:2023 cung cấp hướng dẫn quản lý rủi ro liên quan AI và tích hợp vào hoạt động tổ chức. ISO/IEC 42005:2025 hướng dẫn đánh giá tác động của hệ thống AI tới cá nhân, nhóm và xã hội. Các tài liệu có phạm vi bổ sung; đánh giá tác động cần được nối với hành động và quyền quyết định của hệ thống quản lý.

Thiết kế tiêu chí đánh giá phù hợp bối cảnh

Doanh nghiệp cần thống nhất cách đánh giá khả năng, hậu quả, độ không chắc chắn và điều kiện chấp nhận. Các mức phải có mô tả để người đánh giá dùng nhất quán. Một điểm số không phải xác suất chính xác nếu nó chỉ là mức định tính. Ghi bằng chứng và khoảng trống bên cạnh kết luận.

Với mỗi nhiệm vụ, xem điều kiện bình thường, ngoại lệ và cách sử dụng có thể dự kiến. Người dùng có thể bỏ kiểm tra vì áp lực, dữ liệu có thể đổi hoặc đầu ra có thể được dùng ngoài mục đích ban đầu. Những tình huống này cần được xem trong phạm vi và khả năng kiểm soát thực tế.

Quản trị rủi ro IT hỗ trợ tổ chức cách đánh giá và theo dõi. Tiêu chí AI cần bổ sung những yếu tố của ứng dụng cụ thể, đồng thời liên thông với cơ chế rủi ro doanh nghiệp để không có hai cách chấp nhận mâu thuẫn.

Chọn xử lý và chứng minh hiệu lực kiểm soát

Lựa chọn có thể gồm thu hẹp mục đích, giảm mức tự động hóa, sửa dữ liệu, bổ sung kiểm tra hoặc đổi phương án. Mỗi hành động cần chủ, nguồn lực, đầu ra và cách kiểm chứng. Việc ghi sẽ đào tạo hoặc sẽ giám sát chưa có giá trị như một kiểm soát đã thực hiện và được đánh giá.

Con người tham gia phải có năng lực, thời gian, thông tin và quyền từ chối. Nếu chỉ kiểm tra một đầu ra dài mà không có nguồn, khả năng phát hiện sai có thể thấp. Thiết kế cần làm rõ trường hợp phải kiểm, cách chuyển ngoại lệ và giới hạn của vai trò con người.

Bảng hỗ trợ thực hành ra quyết định, không thay danh mục yêu cầu của ISO/IEC 42001. Nếu có kiểm soát không được chọn hoặc được điều chỉnh, doanh nghiệp cần lập luận phù hợp phạm vi và kết quả đánh giá, thay vì sao chép một danh sách cho mọi ứng dụng.

Theo dõi khi dữ liệu và cách sử dụng thay đổi

Rủi ro cần được xem lại khi đổi mô hình, dữ liệu, nhà cung cấp, quyền công cụ hoặc nhóm người dùng. Một kết quả thử thuận lợi không tự mở quyền cho mục đích mới. Cần biết thay đổi nào nằm trong ủy quyền và thay đổi nào phải trình lại người có thẩm quyền.

Đặt tín hiệu có người nhận: lỗi quan trọng, chất lượng giảm, quyền sai, dữ liệu không còn phù hợp hoặc người dùng không thể kiểm tra. Khi có tín hiệu, phải biết hành động trong quyền, đường báo lên và điều kiện dừng. Theo dõi chỉ có giá trị nếu có khả năng phản ứng.

Quản lý bảo mật thông tin hỗ trợ các kiểm soát dữ liệu và truy cập. Nhưng quản trị AI còn cần nhìn mục đích, tác động và chất lượng nhiệm vụ, không coi bảo mật tốt là đủ để xác nhận ứng dụng phù hợp mọi bối cảnh.

Đánh giá hệ thống quản lý và học từ vấn đề

Cách tiếp cận Plan–Do–Check–Act giúp nối hoạch định, thực hiện, kiểm tra và cải tiến. Trong thực hành, hãy xem mục tiêu và vai trò có rõ, hành động đã thực hiện, kết quả có phù hợp và vấn đề có được sửa nguyên nhân hay không. Không chỉ kiểm tra tài liệu đã đủ chữ ký.

Kiểm tra hoặc đánh giá nội bộ cần dựa vào phạm vi, tiêu chí và bằng chứng. Chọn mẫu theo mức ảnh hưởng và những điểm có bất định, gồm hồ sơ phê duyệt, kết quả thử, thay đổi và xử lý sự cố. Người đánh giá cần đủ năng lực và sự khách quan phù hợp, không chỉ xác nhận việc do mình làm đã hoàn tất.

Lãnh đạo cần xem thông tin về chất lượng thực hiện, nguồn lực, mục tiêu và vấn đề cần quyết định. Nếu lỗi lặp lại, cần tìm nguyên nhân như quyền, dữ liệu, thiết kế hoặc tải công việc. Hành động sửa phải được kiểm tra hiệu lực, để hệ thống quản lý tiếp tục học thay vì ghi cùng một việc qua nhiều kỳ.

Tình huống giả định: AI hỗ trợ sàng lọc yêu cầu

Một doanh nghiệp giả định dùng AI gợi ý ưu tiên yêu cầu dịch vụ. Đánh giá ban đầu chỉ xem độ đúng trung bình. Khi quan sát công việc, nhóm nhận thấy một số loại yêu cầu hiếm có hậu quả đáng kể nếu bị xếp thấp, trong khi nhân viên chưa có cách nhận biết và chuyển xử lý.

CAIO cùng chủ dịch vụ xác định lại phạm vi, tiêu chí và những trường hợp phải giữ kiểm tra. Nhóm đánh giá tác động, dữ liệu đại diện và khả năng người dùng xử lý ngoại lệ. Hệ thống chỉ được dùng ở mức gợi ý theo điều kiện được phê duyệt, với cơ chế báo lỗi và xem lại khi phạm vi đổi.

Nếu lỗi lặp lại, chủ hành động phải kiểm tra dữ liệu, quy tắc và thiết kế giám sát. Tình huống không giả định ứng dụng hoặc doanh nghiệp đã được chứng nhận. Nó minh họa cách đưa rủi ro, tác động và bằng chứng vào một vòng quyết định có trách nhiệm.

Giữ rõ phạm vi áp dụng và chứng nhận

ISO/IEC 42001 là tiêu chuẩn hệ thống quản lý; một kết quả chứng nhận trong phạm vi xác định không nên được diễn đạt như bảo đảm mọi đầu ra AI đều đúng. Doanh nghiệp vẫn phải kiểm chứng ứng dụng, duy trì kiểm soát và xử lý thay đổi. Không dùng tuyên bố áp dụng tiêu chuẩn để thay quyết định về chất lượng của nhiệm vụ.

Việc tuân thủ các nghĩa vụ áp dụng cũng cần được xác nhận theo thị trường và hoạt động. Một hệ thống quản lý hỗ trợ tổ chức trách nhiệm, nhưng không tự thay thế việc xem xét yêu cầu pháp lý cụ thể. Các tuyên bố bên ngoài nên phản ánh đúng phạm vi và bằng chứng đã có.

Năng lực kiểm toán nội bộ IT hỗ trợ lập kế hoạch, thu thập bằng chứng và theo dõi khắc phục. Khi đánh giá AIMS, cần năng lực hiểu yêu cầu hệ thống quản lý AI và hoạt động trong phạm vi, không chỉ kiểm tra hạ tầng IT.

Bắt đầu từ một luồng quyết định có thể kiểm chứng

Chọn một ứng dụng có chủ và mục đích rõ. Xác định phạm vi, rủi ro, tác động, hành động và bằng chứng. Đi qua quyết định thử hoặc vận hành, ghi điểm thiếu rồi cải tiến cơ chế chung. Đồng thời, đối chiếu yêu cầu tiêu chuẩn để lập kế hoạch triển khai AIMS đầy đủ trong phạm vi đã chọn.

CAIO có thể kiểm tra các câu hỏi:

• Phạm vi và vai trò tổ chức đối với AI đã rõ chưa?
• Rủi ro và tác động có bối cảnh, bằng chứng và người nhận không?
• Biện pháp xử lý đã được thực hiện và kiểm chứng hay mới dự kiến?
• Phần còn lại được chấp nhận bởi ai, với điều kiện nào?
• Thay đổi, sự cố và phản hồi có dẫn tới xem lại không?
• Đánh giá và lãnh đạo có dùng bằng chứng để cải tiến không?

Quản trị AI có trách nhiệm cần được thể hiện bằng khả năng quyết định, thực hiện và sửa khi điều kiện thay đổi. Tư duy hệ thống quản lý giúp CAIO nối những hoạt động đó thành một cơ chế có chủ, có kiểm chứng và có khả năng duy trì trong vận hành.

Bài viết liên quan

• Thiết lập AI Governance Framework: Vai trò, trách nhiệm và cơ chế ra quyết định.
• AI tạo sinh có thể sai và làm lộ dữ liệu: Thiết lập kiểm soát từ đâu?
• AI cần dữ liệu đáng tin cậy: Ai sở hữu, kiểm soát chất lượng và bảo vệ dữ liệu?
• Xây dựng danh mục đầu tư AI: Cân bằng các sáng kiến ngắn hạn và năng lực dài hạn.

Nguồn tham khảo

1. ISO – ISO/IEC 42001:2023, AI management systems
2. ISO – ISO/IEC 23894:2023, AI guidance on risk management
3. ISO – ISO/IEC 42005:2025, AI system impact assessment