Xây dựng chính sách sử dụng AI trong doanh nghiệp: Những nội dung tối thiểu cần quy định.

Chính sách phải giúp nhân viên biết cách làm trong một tình huống thật

Nhân viên muốn tóm tắt hồ sơ khách hàng bằng một trợ lý AI. Họ biết doanh nghiệp khuyến khích tăng năng suất nhưng không rõ được dùng công cụ nào, đưa dữ liệu gì và ai phải kiểm tra đầu ra. Một chính sách chỉ nói sử dụng AI có trách nhiệm chưa giúp họ quyết định. Khoảng trống này có thể dẫn tới cách làm riêng khó quan sát.

Chính sách AI cần chuyển định hướng thành quy tắc có thể thực hiện: phạm vi được phép, điều kiện dữ liệu, giới hạn hành động và đường xử lý khi chưa rõ. Nội dung tối thiểu không phải một mẫu chung đủ cho mọi ngành. Doanh nghiệp cần điều chỉnh theo nhiệm vụ, đối tượng bị ảnh hưởng và cơ chế quản trị đã có.

CAIO điều phối việc xây chính sách cùng chủ nghiệp vụ, dữ liệu, IT và các chức năng có thẩm quyền. Chương trình phát triển năng lực CAIO hỗ trợ nối chính sách với chiến lược, rủi ro và triển khai. Chính sách chỉ có giá trị khi người dùng biết áp dụng và các đầu mối có khả năng thực hiện trách nhiệm.

Quy định đối tượng, công cụ và mục đích sử dụng

Nêu rõ người thuộc phạm vi, gồm nhân viên, bên cung cấp dịch vụ hoặc cộng tác viên theo điều kiện tổ chức. Phạm vi cần xem cả công cụ độc lập, tính năng AI trong phần mềm hiện có và kết nối do phòng ban đề xuất. Một tính năng được nhà cung cấp bật sẵn chưa tự tạo quyền dùng với mọi loại dữ liệu.

Danh mục công cụ được phép cần có chủ, phiên bản hoặc gói dịch vụ khi liên quan, cấu hình và phạm vi sử dụng. Đừng chỉ ghi tên thương hiệu vì điều kiện có thể khác giữa các sản phẩm và tài khoản. Khi chưa được đánh giá, người dùng cần biết đường đề nghị và trạng thái chờ, thay vì tự đoán.

Phân biệt mục đích hỗ trợ như bản nháp hoặc tìm thông tin với hành động như gửi phản hồi và cập nhật giao dịch. Chính sách cần chỉ rõ việc nào được làm trong quyền, việc nào cần phê duyệt và việc nào không được thực hiện ở điều kiện hiện tại. Các ngoại lệ phải được xem bởi đúng đầu mối.

Đặt quy tắc dữ liệu theo toàn bộ luồng

Quy định dữ liệu được đưa vào câu hỏi, tệp đính kèm, nguồn truy xuất và công cụ kết nối. Dữ liệu có sẵn trong doanh nghiệp chưa chắc được phép chuyển tới dịch vụ bên ngoài. Người chuyên trách cần xác nhận điều kiện chia sẻ, lưu giữ và sử dụng theo hoạt động và thị trường thực tế.

Hướng dẫn phải giúp người dùng nhận biết thông tin hạn chế và có lựa chọn khi cần hỗ trợ. Ví dụ, dùng môi trường đã được phép hoặc chuyển yêu cầu tới đầu mối dữ liệu. Không nên chỉ yêu cầu tự ẩn tên rồi coi mọi dữ liệu còn lại là an toàn. Các chi tiết khác vẫn có thể giúp nhận diện hoặc chứa thông tin cần bảo vệ.

Nhật ký, bản sao và đầu ra cũng cần được quản lý. Kết quả AI có thể chứa lại dữ liệu đầu vào hoặc suy ra thông tin quan trọng. Cần biết nơi lưu, người truy cập và điều kiện chia sẻ tiếp. Quản lý bảo mật thông tin hỗ trợ nối quy tắc người dùng với phân quyền và kiểm tra kỹ thuật.

Xác định trách nhiệm kiểm chứng đầu ra

Quy định người chịu trách nhiệm trước khi dùng kết quả trong công việc. Mức kiểm tra nên phù hợp nhiệm vụ và hậu quả sai, không chỉ yêu cầu đọc lại mọi thứ như nhau. Với bản tóm tắt, cần kiểm tra thông tin không được bỏ; với phân loại, cần xem các trường hợp sai có ảnh hưởng lớn.

Người kiểm tra phải có nguồn, thời gian, năng lực và quyền từ chối. Nếu không đủ căn cứ, chính sách cần cho phép hỏi thêm hoặc chuyển chuyên gia. Kết quả trôi chảy, có đường dẫn hoặc được mô hình tự đánh giá tốt không tự chứng minh nội dung đúng.

NIST Generative AI Profile đề cập các rủi ro của AI tạo sinh. Khi viết quy tắc, CAIO nên chuyển thành tình huống và trách nhiệm cụ thể: nội dung sai, thiếu căn cứ, dữ liệu ngoài quyền hoặc hành động vượt phạm vi. Không đặt toàn bộ trách nhiệm lên người dùng khi thiết kế công cụ không cho họ khả năng kiểm tra.

Lập bảng quy định tối thiểu có thể kiểm tra

Bảng giúp kiểm tra độ đầy đủ của nội dung, không thay việc đánh giá yêu cầu cụ thể. Các hướng dẫn chi tiết có thể nằm trong phụ lục theo nhiệm vụ, nhưng phải liên kết rõ với chính sách có hiệu lực. Tránh tạo nhiều tài liệu có quy tắc mâu thuẫn mà người dùng không biết bản nào áp dụng.

Thiết kế phê duyệt và ngoại lệ có giới hạn

Một đề xuất mới cần mục đích, dữ liệu, người dùng, đầu ra và mức hành động. Quyền thử nên khác quyền đưa vào vận hành. Khi dữ liệu, công cụ kết nối hoặc đối tượng sử dụng đổi, cần xem lại tác động và điều kiện. Việc đã được phép dùng để tạo bản nháp không tự cho phép gửi tự động.

Ngoại lệ phải có lý do, phạm vi, người chốt, thời hạn và biện pháp bù. Nếu điều kiện chưa được phép, không dùng ngoại lệ để bỏ qua. Những nội dung nào có thể điều chỉnh cần được chức năng có thẩm quyền xác nhận. Một danh sách ngoại lệ không có mốc kết thúc dễ trở thành cơ chế dùng riêng kéo dài.

Quản trị rủi ro IT hỗ trợ làm rõ hậu quả, hành động và quyền chấp nhận phần còn lại. CAIO cần giữ sổ quyết định đủ để truy lại phạm vi, đồng thời tránh biến phê duyệt thành hàng chờ cho mọi thao tác nhỏ đã được cho phép.

Báo vấn đề và kiểm tra việc thực hiện

Người dùng cần biết báo lỗi nội dung, dữ liệu hoặc hành động tới ai, cung cấp thông tin gì và việc nào phải dừng. Kênh báo không nên yêu cầu gửi thông tin nhạy cảm tới nhóm hỗ trợ rộng. Đội xử lý phải có cách phân loại và chuyển đúng chủ, với đầu mối dự phòng khi người phụ trách vắng mặt.

Kiểm tra chính sách nên dựa vào tình huống, danh mục và bằng chứng trong phạm vi phù hợp. Không mặc định việc giám sát mọi nội dung cá nhân là cần thiết. Các biện pháp quan sát phải có mục đích, quyền và điều kiện được xác nhận. NCSC lưu ý hiểu nhu cầu sử dụng Shadow AI để quản lý rủi ro và cung cấp phương án phù hợp.

Khi phát hiện không phù hợp, cần xử lý cả tình huống hiện tại và nguyên nhân: hướng dẫn không rõ, thiếu công cụ hoặc quyền, thiếu năng lực hay hành vi cần xem xét. Các biện pháp nhân sự phải đi theo cơ chế có thẩm quyền, không do CAIO tự đặt ngoài chính sách tổ chức.

Tình huống giả định: dùng AI tóm tắt hồ sơ

Một doanh nghiệp giả định cho phép trợ lý tạo bản nháp nội bộ nhưng chính sách chưa nêu điều kiện tệp đính kèm. Nhân viên muốn tóm tắt hồ sơ dịch vụ nên dùng tài khoản cá nhân vì tiện. Khi được hỏi, họ cho biết công cụ chính thức chưa hỗ trợ nhiệm vụ cần làm và không biết nơi xin hỗ trợ.

CAIO cùng chủ dịch vụ và an toàn thông tin xác định loại dữ liệu, điều kiện công cụ và cách kiểm tra bản tóm tắt. Hướng dẫn bổ sung tình huống tệp, nguồn và lưu đầu ra, cùng đường đề nghị công cụ. Việc đã sử dụng ngoài phạm vi được xử lý theo đánh giá thực tế và quy trình hiện có.

Nhóm thử hướng dẫn với người dùng để biết có thể làm đúng không. Tình huống này không giả định đã có sự cố dữ liệu hay tỷ lệ cải thiện; nó cho thấy chính sách cần nối quy tắc với khả năng hoàn thành nhiệm vụ được phép.

Đưa chính sách vào công việc và cập nhật

Đào tạo nên theo vai trò và nhiệm vụ, có thực hành nhận biết dữ liệu, kiểm tra đầu ra và báo khi không đủ căn cứ. Quản lý trực tiếp cần thống nhất cách giao việc để nhân viên không bị yêu cầu hoàn thành nhanh bằng phương thức trái quy định. Hãy kiểm tra thao tác thực tế, không chỉ số người đã đọc tài liệu.

ISO/IEC 42001 đưa góc nhìn hệ thống quản lý AI. Chính sách là một phần của cơ chế thực hiện, cần trách nhiệm, nguồn lực và cải tiến; riêng một văn bản không chứng minh đáp ứng toàn bộ tiêu chuẩn. Năng lực lãnh đạo IT hỗ trợ phối hợp việc áp dụng giữa các đơn vị.

Rà soát khi công cụ, nhiệm vụ, dữ liệu hoặc yêu cầu thay đổi. Giữ phiên bản, ngày hiệu lực khi được tổ chức xác nhận và người phê duyệt. Trước khi ban hành, thử một số tình huống: nhân viên có biết được làm gì, không được làm gì và hỏi ai không? Chính sách sử dụng AI có giá trị khi câu trả lời rõ và cơ chế hỗ trợ thực sự hoạt động.

Bài viết liên quan

• Lựa chọn mô hình AI: Khi nào nên tự phát triển, tùy chỉnh hay sử dụng dịch vụ bên ngoài?
• Tính toán tổng chi phí sở hữu và hiệu quả đầu tư của một hệ thống AI.
• Thiết lập tiêu chí đánh giá chất lượng AI trước khi triển khai vào quy trình kinh doanh.
• Quản trị vòng đời hệ thống AI: Từ thử nghiệm, triển khai đến giám sát và cải tiến.

Nguồn tham khảo

1. NIST – AI RMF: Generative Artificial Intelligence Profile
2. ISO – ISO/IEC 42001:2023, AI management systems
3. NCSC – The hidden risks of shadow AI