Trước khi đưa AI vào một việc mới, doanh nghiệp nhỏ nên trả lời khoảng tám câu hỏi sàng lọc để xếp việc đó vào một trong ba mức: thấp (dùng ngay theo quy chế), vừa (dùng có điều kiện, có người kiểm), cao (cần ban giám đốc duyệt, chạy thử có giới hạn, theo dõi chặt). Các yếu tố quyết định mức là: dữ liệu đưa vào nhạy cảm đến đâu, đầu ra có đến tay khách hàng không, AI có tham gia quyết định ảnh hưởng đến một người cụ thể không, và nếu sai thì sửa được dễ hay khó.
Bài này đưa ra phiếu sàng lọc, biện pháp tương ứng từng mức, cách ghi các việc đã đánh giá vào một danh sách để theo dõi, và quy trình năm bước khi xảy ra sự cố. Cách tiếp cận theo mức rủi ro này giống tinh thần của nhiều khung quốc tế và của định hướng pháp luật Việt Nam về AI, nhưng được rút gọn cho công ty không có bộ phận quản lý rủi ro riêng. AI Bảo Mật có mẫu sổ rủi ro một trang ở góc an ninh thông tin; ở đây bàn việc sàng lọc từng trường hợp sử dụng.
Vì sao đánh giá theo từng việc, không theo từng công cụ
Cùng một chatbot có thể dùng để gợi ý tiêu đề bài đăng — rủi ro gần như bằng không — hoặc để soạn câu trả lời tự động cho khách hỏi về điều kiện bảo hành — sai một câu là phát sinh tranh chấp. Đánh giá công cụ (đã bàn ở bài danh mục công cụ được duyệt) trả lời câu hỏi "công cụ này có an toàn để chứa dữ liệu công ty không". Đánh giá việc trả lời câu hỏi khác: "dùng AI cho việc này thì điều gì có thể sai, sai thì hại ai".
Cách nhìn theo việc cũng là xu hướng chung của các khung quản trị AI trên thế giới. Đạo luật AI của Liên minh châu Âu chia hệ thống AI theo mức rủi ro của mục đích sử dụng, từ mức bị cấm đến mức rủi ro tối thiểu. Khung quản lý rủi ro AI của Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ công bố năm 2023 cũng bắt đầu bằng việc xác định bối cảnh sử dụng. Ở Việt Nam, định hướng quản lý AI theo mức rủi ro cũng đã được đưa vào khung pháp luật về công nghệ số; chi tiết nên kiểm văn bản hiện hành.
Với doanh nghiệp nhỏ, không cần làm theo bất kỳ khung nào một cách đầy đủ. Điều cần mượn là thói quen dừng lại trước một việc mới và hỏi vài câu có hệ thống, thay vì quyết định theo cảm tính hoặc theo người nói to nhất trong cuộc họp.
Phiếu sàng lọc tám câu hỏi
Người đề xuất điền phiếu, người phụ trách AI hoặc trưởng phòng xem lại. Mỗi câu trả lời "có" là một điểm hướng về mức cao hơn:
- Dữ liệu: việc này có cần đưa dữ liệu mức Mật hoặc Nhạy cảm vào AI không, kể cả sau khi che?
- Dữ liệu cá nhân: có xử lý dữ liệu cá nhân của khách hàng, nhân viên, ứng viên không?
- Đối tượng nhận: đầu ra có đến tay khách hàng, đối tác, cơ quan nhà nước hay công chúng không?
- Tự động: đầu ra có được gửi hoặc thực thi mà không có người xem trước từng lần không?
- Quyết định về người: AI có tham gia vào quyết định ảnh hưởng đến một người cụ thể — tuyển dụng, đánh giá, cho vay, từ chối dịch vụ — không?
- Khó sửa: nếu sai, hậu quả có khó đảo ngược không — tiền đã chuyển, thông báo đã gửi hàng loạt, hợp đồng đã ký?
- Lĩnh vực nhạy cảm: nội dung có liên quan đến sức khoẻ, an toàn, tài chính cá nhân, trẻ em, pháp lý không?
- Quy mô: việc này lặp lại hàng trăm lần mỗi tháng, hay chạm đến nhiều khách hàng cùng lúc không?
Gợi ý xếp mức: không có câu "có" nào là mức thấp; một đến hai câu "có" là mức vừa; ba câu trở lên, hoặc bất kỳ "có" nào ở câu quyết định về người, là mức cao. Đây là quy tắc kinh nghiệm để bắt đầu, công ty tự điều chỉnh sau vài tháng dùng.
Biện pháp đi kèm từng mức
Mức rủi ro chỉ có ý nghĩa khi mỗi mức kéo theo biện pháp cụ thể. Bảng gợi ý:
| Mức | Ví dụ giả định | Ai duyệt | Biện pháp bắt buộc |
|---|---|---|---|
| Thấp | Gợi ý dàn ý thuyết trình nội bộ; viết lại thông báo nghỉ lễ; tóm tắt tài liệu công khai | Không cần duyệt | Theo quy chế chung, người dùng tự kiểm |
| Vừa | Soạn nháp email trả lời khiếu nại từ mẫu; phân tích phản hồi khảo sát đã che tên; viết mô tả sản phẩm đăng web | Trưởng phòng | Công cụ trong danh mục, che dữ liệu, người thứ hai đọc trước khi ra ngoài, rà lại sau một tháng |
| Cao | Chatbot trả lời khách tự động; AI hỗ trợ sàng lọc hồ sơ ứng viên; AI soạn nhắc nợ gửi hàng loạt | Ban giám đốc | Chạy thử có giới hạn, người xem lại định kỳ, kênh để người bị ảnh hưởng phản hồi, đánh giá tác động dữ liệu cá nhân nếu có, ghi vào danh sách theo dõi |
Một số việc nên được xếp vào danh sách không làm, bất kể đánh giá ra sao: để AI tự quyết định sa thải, tự từ chối khách hàng mà không có người xem lại, hay tạo hình ảnh, giọng nói giả một người thật mà không có sự đồng ý.
Danh sách theo dõi các việc dùng AI
Mỗi việc đã qua sàng lọc ở mức vừa và cao nên được ghi vào một danh sách chung — một bảng tính đơn giản là đủ. Mỗi dòng gồm: tên việc, phòng sở hữu, mức rủi ro, công cụ dùng, dữ liệu đưa vào, người chịu trách nhiệm, biện pháp đã áp dụng, ngày đánh giá, ngày rà lại.
Danh sách này giúp người phụ trách AI trả lời nhanh những câu hỏi thường gặp: công ty đang dùng AI ở đâu, chỗ nào chạm dữ liệu cá nhân, chỗ nào AI trả lời khách trực tiếp. Khi khách hàng lớn gửi bảng câu hỏi đánh giá nhà cung cấp, hoặc khi có văn bản pháp luật mới yêu cầu nghĩa vụ với một loại ứng dụng AI, danh sách cho biết ngay việc nào bị ảnh hưởng.
Ngày rà lại là cột hay bị bỏ qua nhất nhưng quan trọng nhất. Một việc mức vừa hôm nay có thể lên mức cao khi phạm vi mở rộng — chẳng hạn chatbot ban đầu chỉ trả lời giờ mở cửa, sau được giao thêm tư vấn chính sách đổi trả. Thay đổi phạm vi phải kích hoạt đánh giá lại, không chờ đến kỳ rà soát.
Quy trình năm bước khi xảy ra sự cố liên quan đến AI
Sự cố liên quan đến AI ở doanh nghiệp nhỏ thường thuộc ba nhóm: dữ liệu bị đưa nhầm vào công cụ không được phép, nội dung sai được gửi ra ngoài, và AI tự động làm điều không mong muốn (chatbot hứa sai, luồng tự động gửi nhầm). Quy trình gợi ý:
- Báo ngay. Người phát hiện báo trưởng phòng và người phụ trách AI trong thời gian ngắn nhất có thể, qua kênh đã định sẵn. Quy chế cam kết không kỷ luật lỗi vô ý được tự báo sớm.
- Chặn lan rộng. Xoá cuộc trò chuyện chứa dữ liệu nhầm nếu công cụ cho phép, tạm dừng chatbot hoặc luồng tự động, thu hồi email nếu còn kịp, đổi mật khẩu hoặc khoá truy cập nếu có lộ thông tin đăng nhập.
- Đánh giá mức độ. Dữ liệu gì, của ai, bao nhiêu người bị ảnh hưởng, đã ra khỏi công ty chưa. Nếu liên quan dữ liệu cá nhân, xác định có thuộc trường hợp phải thông báo cho cơ quan chức năng và chủ thể dữ liệu theo quy định hiện hành không; đây là chỗ nên hỏi luật sư.
- Khắc phục với người bị ảnh hưởng. Đính chính với khách hàng, xin lỗi khi cần, hỗ trợ người có dữ liệu bị lộ. Giọng thẳng thắn, không đổ lỗi cho công cụ.
- Rút kinh nghiệm và sửa quy trình. Trong vòng một hai tuần, họp ngắn: nguyên nhân gốc là gì, quy tắc nào thiếu, đào tạo nào cần bổ sung. Ghi vào nhật ký sự cố, cập nhật quy chế hoặc danh sách kiểm.
Nhật ký sự cố nên ghi cả sự cố "suýt xảy ra" — ví dụ nhân viên đã dán bảng lương vào ô chat nhưng kịp xoá trước khi gửi. Những trường hợp này cho thấy chỗ yếu trước khi có thiệt hại thật.
Những rủi ro hay bị đánh giá thấp
Rủi ro từ tự động hoá nhỏ. Một luồng tự động soạn và gửi email xác nhận đơn hàng bằng AI, do một nhân viên dựng trong buổi chiều, có thể chạm hàng trăm khách mỗi ngày. Quy mô làm rủi ro nhỏ thành lớn.
Rủi ro thiên lệch. AI hỗ trợ sàng lọc hồ sơ có thể ưu tiên một nhóm người theo những dấu hiệu không liên quan đến năng lực, như trường học, giới tính, nơi ở, vì học từ dữ liệu cũ. Không có ai nhìn lại kết quả theo nhóm thì không phát hiện được.
Rủi ro phụ thuộc. Một quy trình chạy hoàn toàn dựa vào một công cụ, khi công cụ đổi giá, đổi điều khoản hay ngừng dịch vụ, công ty không có phương án dự phòng và không còn ai nhớ cách làm thủ công.
Rủi ro hiểu nhầm của khách. Khách tưởng đang nói chuyện với nhân viên, chia sẻ thông tin nhạy cảm hoặc tin vào một lời hứa của chatbot. Phần này gắn với chính sách minh bạch.
Rủi ro kỹ năng mai một. Khi AI làm thay một việc lâu ngày, nhân viên mới không còn được học cách làm gốc, và không đủ hiểu để nhận ra AI sai. Đây là rủi ro dài hạn mà đào tạo cần tính đến.
Ví dụ giả định: chấm phiếu cho ba việc ở một công ty phân phối 60 người
Để thấy phiếu vận hành ra sao, hãy xem ba đề xuất mà người phụ trách AI của một công ty phân phối thiết bị văn phòng (ví dụ giả định) nhận trong cùng một tháng:
| Đề xuất | Câu trả lời "có" | Mức | Quyết định |
|---|---|---|---|
| Phòng marketing dùng AI viết nháp bài đăng mạng xã hội về sản phẩm mới | Đối tượng nhận (công chúng) | Vừa | Được làm; trưởng phòng đọc trước khi đăng, thông số sản phẩm đối chiếu catalogue |
| Phòng kế toán dùng AI soạn tin nhắc công nợ gửi hàng loạt cho đại lý | Đối tượng nhận, tự động, quy mô, khó sửa | Cao | Chạy thử với mười đại lý trong một tháng, kế toán trưởng duyệt từng đợt gửi, kiểm số tiền với sổ sách |
| Phòng nhân sự dùng AI chấm sơ bộ hồ sơ ứng viên vị trí bán hàng | Dữ liệu cá nhân, quyết định về người | Cao | Chỉ cho AI tóm tắt hồ sơ theo tiêu chí công bố; không cho AI xếp hạng hay loại; người tuyển dụng đọc mọi hồ sơ |
Điểm đáng chú ý ở dòng thứ ba: phiếu không dẫn tới câu "cấm" mà dẫn tới việc thu hẹp vai trò của AI về phần ít rủi ro hơn. Đây là kết quả phổ biến nhất của đánh giá rủi ro tốt — giữ lợi ích, cắt bỏ phần nguy hiểm — và là lý do người đề xuất không nên coi phiếu sàng lọc là rào cản.
Cũng nên để ý rằng hai việc mức cao đều có ngày rà lại ghi sẵn trong danh sách theo dõi. Sau tháng chạy thử, nếu tin nhắc công nợ không có lỗi số tiền nào và đại lý không phàn nàn, việc này có thể hạ xuống mức vừa với điều kiện kiểm mẫu ngẫu nhiên thay cho kiểm từng đợt.
Câu hỏi thường gặp
Phiếu sàng lọc có cần làm cho mọi việc dùng AI không?
Không. Các việc đã có trong vùng được làm của quy chế không cần phiếu. Phiếu chỉ dành cho việc mới chưa có trong quy chế, việc mở rộng phạm vi, hoặc việc thuộc vùng cần xin phép. Nếu phiếu trở thành thủ tục cho mọi thứ, nhân viên sẽ ngại đề xuất và quay lại dùng lén.
Ai là người xếp mức rủi ro cuối cùng?
Người đề xuất tự xếp mức ban đầu, người phụ trách AI hoặc trưởng phòng xác nhận. Khi hai bên không thống nhất, lấy mức cao hơn và chuyển lên cấp duyệt tương ứng. Việc mức cao do ban giám đốc quyết định, có thể kèm điều kiện chạy thử.
Doanh nghiệp nhỏ có phải làm đánh giá tác động như các tập đoàn không?
Đánh giá tác động đầy đủ như tập đoàn thì thường không cần. Nhưng khi xử lý dữ liệu cá nhân, pháp luật Việt Nam về bảo vệ dữ liệu cá nhân có yêu cầu về hồ sơ đánh giá tác động trong nhiều trường hợp, kể cả với doanh nghiệp nhỏ, với những miễn trừ hoặc lộ trình nhất định. Nên kiểm văn bản hiện hành hoặc hỏi luật sư trên AI Cố Vấn để biết công ty mình thuộc trường hợp nào.
Một sự cố nhỏ như dán nhầm tài liệu nội bộ có cần ghi nhật ký không?
Nên ghi, dù chỉ một dòng. Sự cố nhỏ lặp lại nhiều lần là dấu hiệu quy trình có chỗ dễ nhầm, ví dụ tài liệu nội bộ và tài liệu công khai để chung một thư mục. Không ghi lại thì không ai thấy được mẫu lặp để sửa.
Có nên thưởng cho người báo sự cố không?
Không nhất thiết thưởng vật chất, nhưng nên ghi nhận công khai tinh thần báo sớm mà không nêu chi tiết gây ngại cho người báo. Điều quan trọng hơn là không phạt lỗi vô ý được tự báo. Một lần phạt người tự báo đủ để cả công ty học bài học ngược lại.
Đánh giá rủi ro xong thì bao lâu nên đánh giá lại?
Việc mức cao nên rà lại sau một đến ba tháng chạy thật, sau đó theo quý. Việc mức vừa rà sáu tháng một lần. Ngoài lịch, đánh giá lại ngay khi phạm vi việc thay đổi, khi đổi công cụ, hoặc khi có sự cố liên quan.