ChatGPT, Gemini, Copilot và nhiều công cụ trí tuệ nhân tạo (AI) đang được doanh nghiệp sử dụng trong hàng loạt hoạt động: soạn thảo tài liệu, phân tích dữ liệu, chăm sóc khách hàng, lập kế hoạch, tuyển dụng, thiết kế, lập trình, quản lý chất lượng…

Khi AI bắt đầu tham gia vào các quá trình thuộc hệ thống quản lý, một câu hỏi mới xuất hiện:

Khi đánh giá ISO, chuyên gia đánh giá sẽ hỏi gì về việc doanh nghiệp sử dụng AI?

Điều cần hiểu là đánh giá viên không nhất thiết đánh giá AI như một nội dung độc lập. Họ sẽ xem xét AI trong bối cảnh các quá trình của doanh nghiệp và đặt câu hỏi về trách nhiệm, năng lực, rủi ro, thông tin dạng văn bản, bảo mật, kiểm soát quá trình và hiệu lực của hệ thống quản lý.

Dưới đây là 10 câu hỏi doanh nghiệp rất nên chuẩn bị.

1. Doanh nghiệp đang sử dụng AI vào những hoạt động nào?

Đây là câu hỏi cơ bản nhất.

AI có thể đang được sử dụng tại nhiều bộ phận mà lãnh đạo hoặc bộ phận ISO thậm chí chưa thống kê đầy đủ.

Ví dụ:

• Marketing dùng AI viết nội dung.
• Kinh doanh dùng AI soạn email và báo giá.
• Nhân sự dùng AI viết mô tả công việc.
• QA dùng AI soạn quy trình.
• Kỹ thuật dùng AI phân tích dữ liệu.
• IT dùng AI hỗ trợ lập trình.
• Nhân viên sử dụng ChatGPT để dịch tài liệu.

Đánh giá viên có thể lựa chọn một quá trình cụ thể và hỏi:

“AI được sử dụng ở bước nào của quá trình này?”

Doanh nghiệp nên chuẩn bị gì?

Hãy lập Danh mục sử dụng AI trong doanh nghiệp, tối thiểu xác định:

Công cụ AI → Bộ phận sử dụng → Mục đích → Dữ liệu đầu vào → Đầu ra → Người chịu trách nhiệm → Mức độ rủi ro.

2. Ai chịu trách nhiệm đối với kết quả do AI tạo ra?

Giả sử đánh giá viên phát hiện một quy trình được xây dựng với sự hỗ trợ của ChatGPT.

Câu hỏi tiếp theo có thể là:

“Ai kiểm tra nội dung này trước khi ban hành?”

Nếu câu trả lời chỉ là:

“ChatGPT viết.”

thì chưa giải quyết được vấn đề trách nhiệm.

AI có thể hỗ trợ công việc, nhưng tổ chức vẫn cần xác định ai chịu trách nhiệm đối với kết quả cuối cùng.

Ví dụ:

ChatGPT soạn dự thảo → QA kiểm tra → Trưởng phòng xem xét → Người có thẩm quyền phê duyệt.

AI hỗ trợ, nhưng trách nhiệm không được chuyển cho AI.

3. Doanh nghiệp kiểm tra độ chính xác của đầu ra AI như thế nào?

AI có thể đưa ra câu trả lời rất thuyết phục nhưng vẫn sai.

Ví dụ AI có thể:

• Trích dẫn sai yêu cầu pháp luật.
• Hiểu sai điều khoản ISO.
• Phân tích dữ liệu không chính xác.
• Tạo ra thông tin không có nguồn đáng tin cậy.
• Đề xuất giải pháp không phù hợp với thực tế doanh nghiệp.

Do đó, đánh giá viên có thể hỏi:

“Làm thế nào doanh nghiệp biết kết quả AI đưa ra là đúng?”

Doanh nghiệp có thể áp dụng các biện pháp như:

• Người có năng lực kiểm tra.
• Đối chiếu nguồn chính thức.
• Kiểm tra dữ liệu đầu vào.
• Kiểm chứng kết quả trước khi sử dụng.
• Phê duyệt trước khi ban hành hoặc thực hiện.

AI tạo ra nội dung không đồng nghĩa nội dung đó đã được xác nhận là đúng.

4. Doanh nghiệp đã nhận diện rủi ro liên quan đến AI chưa?

AI tạo ra cơ hội, nhưng đồng thời cũng tạo ra những rủi ro mới.

Ví dụ:

AI cung cấp thông tin sai → nhân viên sử dụng → quyết định sai → sản phẩm/dịch vụ không phù hợp → khách hàng khiếu nại.

Ngoài ra còn có các rủi ro như:

• Rò rỉ dữ liệu.
• Vi phạm bảo mật.
• Phụ thuộc quá mức vào AI.
• Đầu ra thiếu nhất quán.
• Sử dụng nguồn dữ liệu không phù hợp.
• Thiên lệch trong kết quả.
• Sử dụng AI ngoài phạm vi được phép.

Đánh giá viên có thể hỏi:

“Rủi ro do việc sử dụng AI đã được doanh nghiệp đánh giá chưa?”

Doanh nghiệp nên xem xét AI trong hoạt động quản lý rủi ro thay vì coi AI đơn thuần là một phần mềm văn phòng.

5. Nhân viên được phép nhập những dữ liệu nào vào AI?

Đây là câu hỏi đặc biệt quan trọng nếu doanh nghiệp sử dụng các dịch vụ AI trực tuyến.

Hãy tưởng tượng nhân viên tải lên AI:

• Hợp đồng khách hàng.
• Danh sách khách hàng.
• Hồ sơ nhân sự.
• Báo cáo tài chính.
• Bản vẽ kỹ thuật.
• Công thức sản phẩm.
• Tài liệu mật.
• Dữ liệu cá nhân.

Đánh giá viên có thể hỏi:

“Doanh nghiệp kiểm soát thông tin được đưa lên các công cụ AI như thế nào?”

Doanh nghiệp cần xác định rõ:

Dữ liệu nào được phép nhập – dữ liệu nào phải được xử lý trước – dữ liệu nào tuyệt đối không được nhập vào công cụ AI không được phê duyệt.

Đặc biệt với doanh nghiệp áp dụng ISO/IEC 27001, vấn đề bảo vệ thông tin khi sử dụng AI càng cần được xem xét kỹ.

6. Doanh nghiệp có quy định về sử dụng AI không?

Nếu hàng chục hoặc hàng trăm nhân viên tự sử dụng ChatGPT, Gemini, Copilot và các công cụ khác theo cách riêng của mình, doanh nghiệp có thể gặp khó khăn trong việc kiểm soát.

Đánh giá viên có thể hỏi:

“Doanh nghiệp có hướng dẫn hoặc quy định việc sử dụng AI không?”

Một Quy định sử dụng AI trong doanh nghiệp có thể xác định:

• Công cụ AI nào được phép sử dụng.
• Ai được sử dụng.
• Sử dụng vào mục đích gì.
• Dữ liệu nào được phép đưa vào.
• Dữ liệu nào bị cấm.
• Đầu ra AI phải được kiểm tra như thế nào.
• Ai phê duyệt kết quả.
• Cách xử lý khi phát hiện sai sót hoặc sự cố.

Không nhất thiết doanh nghiệp nào cũng phải xây dựng một thủ tục ISO riêng mang tên “Quy trình AI”.

Quan trọng là mức độ kiểm soát phải phù hợp với rủi ro và cách AI thực tế đang được sử dụng.

7. Người sử dụng AI có đủ năng lực không?

Biết mở ChatGPT và đặt câu hỏi chưa có nghĩa là đủ năng lực sử dụng AI trong công việc.

Ví dụ, một nhân viên QA yêu cầu AI:

“Viết giúp tôi quy trình kiểm soát sản phẩm không phù hợp theo ISO 9001.”

AI có thể tạo ra một quy trình rất đẹp.

Nhưng nhân viên đó có đủ năng lực để phát hiện AI đã hiểu sai yêu cầu hay không?

Đánh giá viên có thể hỏi:

“Những người sử dụng AI cho công việc chuyên môn đã được hướng dẫn hoặc đào tạo như thế nào?”

Doanh nghiệp có thể đào tạo về:

• Cách sử dụng AI.
• Cách đặt yêu cầu cho AI.
• Cách kiểm chứng đầu ra.
• Bảo mật thông tin.
• Những nội dung không được nhập vào AI.
• Giới hạn của AI.
• Trách nhiệm của người sử dụng.

8. AI có tham gia vào quyết định quan trọng không?

Đây là câu hỏi rất đáng chú ý.

AI có thể được sử dụng để:

• Đề xuất lựa chọn nhà cung cấp.
• Phân loại khách hàng.
• Phân tích khiếu nại.
• Đánh giá hồ sơ ứng viên.
• Phân tích lỗi sản phẩm.
• Đề xuất hành động khắc phục.
• Dự báo nhu cầu sản xuất.

Đánh giá viên có thể hỏi:

“AI chỉ đưa ra đề xuất hay AI tự đưa ra quyết định?”

Mức độ AI tham gia vào quyết định càng lớn thì doanh nghiệp càng cần xem xét rủi ro, thẩm quyền, tiêu chí kiểm soát và cơ chế giám sát.

Đặc biệt với những quyết định ảnh hưởng đến khách hàng, chất lượng sản phẩm, an toàn, môi trường, nhân sự hoặc thông tin nhạy cảm, doanh nghiệp cần xác định rõ vai trò của con người.

9. Nếu AI sai hoặc ngừng hoạt động thì doanh nghiệp xử lý thế nào?

Hãy tưởng tượng một quá trình đã phụ thuộc đáng kể vào AI.

Một ngày:

AI không truy cập được.

Hoặc:

AI tạo kết quả sai hàng loạt.

Hoặc:

Nhà cung cấp thay đổi chức năng của hệ thống AI.

Đánh giá viên có thể hỏi:

“Nếu công cụ AI không hoạt động thì quá trình này có tiếp tục được không?”

Đây là câu hỏi về khả năng kiểm soát và duy trì hoạt động của quá trình.

Doanh nghiệp nên xem xét:

• Phương án thay thế.
• Kiểm tra thủ công.
• Sao lưu dữ liệu cần thiết.
• Quy trình xử lý sự cố.
• Điều kiện dừng sử dụng AI.

Không nên để một quá trình quan trọng trở nên hoàn toàn phụ thuộc vào một công cụ AI mà doanh nghiệp không kiểm soát được.

10. Doanh nghiệp đánh giá hiệu quả sử dụng AI như thế nào?

Đây là câu hỏi cuối cùng nhưng rất quan trọng.

Doanh nghiệp đầu tư AI để:

• Giảm thời gian.
• Giảm chi phí.
• Tăng năng suất.
• Giảm sai lỗi.
• Phân tích dữ liệu nhanh hơn.
• Nâng cao trải nghiệm khách hàng.

Vậy kết quả thực tế ra sao?

Đánh giá viên có thể hỏi:

“Doanh nghiệp có bằng chứng cho thấy việc sử dụng AI đang mang lại kết quả mong muốn không?”

Có thể theo dõi các chỉ số như:

• Thời gian xử lý trước và sau khi áp dụng AI.
• Tỷ lệ sai sót.
• Số lượng công việc xử lý.
• Khiếu nại liên quan đến nội dung AI.
• Sự cố bảo mật liên quan đến AI.
• Tỷ lệ đầu ra AI phải sửa lại.
• Mức tiết kiệm nguồn lực.

AI không nên được áp dụng chỉ vì AI đang là xu hướng.

Doanh nghiệp cần biết AI có thực sự tạo ra giá trị hay không.

Checklist: Doanh nghiệp sử dụng AI nên chuẩn bị gì trước cuộc đánh giá ISO?

Nếu ChatGPT và các công cụ AI đã được sử dụng thường xuyên trong doanh nghiệp, có thể kiểm tra nhanh 8 nội dung sau:

☐ Đã xác định những quá trình đang sử dụng AI.

☐ Đã xác định công cụ AI nào được phép sử dụng.

☐ Đã phân công trách nhiệm đối với đầu ra AI.

☐ Có cơ chế kiểm tra và phê duyệt kết quả AI khi cần thiết.

☐ Đã đánh giá các rủi ro liên quan đến AI.

☐ Có quy định về bảo mật và dữ liệu được phép nhập vào AI.

☐ Nhân viên liên quan được hướng dẫn hoặc đào tạo phù hợp.

☐ Có theo dõi hiệu quả, sai sót và sự cố liên quan đến AI.

Nếu nhiều nội dung vẫn đang được đánh dấu “Chưa”, doanh nghiệp nên xem xét lại cách quản lý AI trước khi AI được sử dụng sâu hơn trong các quá trình quan trọng.

Có phải cứ dùng ChatGPT là đánh giá viên ISO sẽ hỏi?

Không nhất thiết.

Nếu một nhân viên chỉ sử dụng AI để hỗ trợ những công việc ít rủi ro, mức độ quan tâm có thể khác hoàn toàn với trường hợp AI trực tiếp tham gia:

Thiết kế → sản xuất → kiểm tra → phân tích → ra quyết định → cung cấp sản phẩm/dịch vụ cho khách hàng.

Đánh giá viên thường xem xét vấn đề dựa trên phạm vi hệ thống quản lý, quá trình được đánh giá, mức độ ảnh hưởng và bằng chứng thực tế.

Vì vậy, doanh nghiệp không cần tạo ra hàng loạt thủ tục chỉ để chứng minh rằng mình đang “quản lý AI”.

Điều cần thiết hơn là:

Biết AI đang được dùng ở đâu → hiểu rủi ro → thiết lập kiểm soát phù hợp → xác định trách nhiệm → kiểm tra hiệu quả.

AI không nằm ngoài hệ thống quản lý ISO

Một sai lầm doanh nghiệp có thể mắc phải là coi ChatGPT hoặc AI đơn giản như một công cụ cá nhân của nhân viên.

Nếu AI được sử dụng để tạo ra thông tin, phân tích dữ liệu, hỗ trợ quá trình hoặc ảnh hưởng đến quyết định thuộc hệ thống quản lý, việc sử dụng AI cũng cần được xem xét trong cơ chế quản lý hiện có.

Doanh nghiệp không nhất thiết phải xây dựng thêm một “hệ thống quản lý AI” riêng.

Nhưng doanh nghiệp cần trả lời được những câu hỏi cơ bản:

AI dùng để làm gì?

Rủi ro là gì?

Kiểm soát như thế nào?

Ai chịu trách nhiệm?

Làm sao biết kết quả đáng tin cậy?

Kết luận

AI đang chuyển từ một công cụ hỗ trợ cá nhân thành một phần của hoạt động doanh nghiệp.

Vì vậy, trong các cuộc đánh giá ISO, câu hỏi về AI sẽ ngày càng trở nên tự nhiên khi AI có liên quan đến quá trình được đánh giá.

Đánh giá viên không chỉ quan tâm doanh nghiệp “có sử dụng AI hay không”, mà quan trọng hơn là:

Doanh nghiệp có kiểm soát được việc sử dụng AI hay không.

Nếu doanh nghiệp nhận diện được phạm vi sử dụng, quản lý rủi ro, bảo vệ thông tin, kiểm tra đầu ra, đảm bảo năng lực người sử dụng và xác định rõ trách nhiệm, AI có thể trở thành công cụ giúp hệ thống quản lý vận hành nhanh hơn, hiệu quả hơn nhưng vẫn được kiểm soát.

Và đó mới chính là vấn đề doanh nghiệp cần chuẩn bị trước khi đánh giá ISO trong thời đại AI.

Dịch vụ đào tạo và chứng nhận ISO tại PQI

PQI đồng hành cùng doanh nghiệp trong toàn bộ quá trình triển khai hệ thống quản lý:

• Đào tạo nhận thức ISO.
• Đào tạo đánh giá viên nội bộ.
• Đánh giá chứng nhận.
• Đào tạo duy trì và cải tiến hệ thống.

Đội ngũ chuyên gia của PQI luôn hướng tới mục tiêu giúp doanh nghiệp không chỉ đạt chứng nhận, mà còn vận hành hiệu quả hệ thống quản lý môi trường và tạo giá trị bền vững.

Liên hệ ngay với chúng tôi, Tel/Zalo: 0906259389