ChatGPT, Microsoft Copilot, Gemini và nhiều công cụ AI đang dần trở thành công cụ làm việc hằng ngày trong doanh nghiệp.
Nhân viên có thể sử dụng AI để:
- Soạn quy trình, hướng dẫn công việc.
- Viết báo cáo.
- Dịch tài liệu.
- Phân tích dữ liệu.
- Viết email.
- Hỗ trợ chăm sóc khách hàng.
- Phân tích khiếu nại.
- Lập kế hoạch.
- Hỗ trợ tuyển dụng.
- Viết phần mềm.
- Hỗ trợ ra quyết định.
Nhưng khi AI đã tham gia vào các quá trình thuộc hệ thống quản lý, doanh nghiệp cần trả lời một câu hỏi quan trọng:
Chúng ta có đang kiểm soát việc sử dụng AI hay không?
Đặc biệt, trước một cuộc đánh giá ISO, doanh nghiệp nên kiểm tra lại phạm vi sử dụng AI, trách nhiệm, rủi ro, bảo mật thông tin, năng lực nhân viên và cách kiểm soát đầu ra.
Dưới đây là checklist doanh nghiệp có thể sử dụng để tự đánh giá.
1. Xác định doanh nghiệp đang sử dụng AI ở đâu
Đừng vội viết một “Quy trình quản lý AI”.
Việc đầu tiên nên làm là xác định:
AI đang được sử dụng ở đâu trong doanh nghiệp?
Hãy kiểm tra:
☐ Đã xác định những phòng ban đang sử dụng AI.
☐ Đã xác định các công cụ AI đang được sử dụng.
☐ Đã xác định AI được sử dụng cho những công việc nào.
☐ Đã phân biệt AI dùng cho công việc hỗ trợ và AI tham gia vào quá trình quan trọng.
☐ Đã xác định các đầu ra của AI có thể ảnh hưởng đến sản phẩm, dịch vụ hoặc khách hàng.
Ví dụ doanh nghiệp có thể lập danh mục:
| Bộ phận | Công cụ AI | Mục đích sử dụng | Mức độ ảnh hưởng |
| Marketing | ChatGPT | Viết nội dung | Thấp |
| Nhân sự | AI | Soạn JD | Thấp |
| QA | ChatGPT | Hỗ trợ soạn SOP | Trung bình |
| Kỹ thuật | AI | Phân tích dữ liệu | Cao |
| CSKH | AI chatbot | Trả lời khách hàng | Trung bình |
Điều quan trọng không phải doanh nghiệp có bao nhiêu công cụ AI.
Quan trọng là:
AI đang ảnh hưởng đến quá trình nào?
2. Xác định công cụ AI nào được phép sử dụng
Một vấn đề phổ biến là doanh nghiệp sử dụng AI nhưng không biết nhân viên đang sử dụng những công cụ nào.
Người dùng A sử dụng ChatGPT.
Người dùng B sử dụng Gemini.
Người dùng C tìm một công cụ AI miễn phí trên Internet rồi tải tài liệu khách hàng lên để xử lý.
Đây là lúc rủi ro bắt đầu xuất hiện.
Doanh nghiệp nên kiểm tra:
☐ Có danh mục công cụ AI được phép sử dụng.
☐ Có tiêu chí xem xét trước khi sử dụng công cụ AI mới.
☐ Nhân viên không tự ý sử dụng các công cụ AI chưa được phê duyệt cho dữ liệu nhạy cảm.
☐ Có xác định mục đích sử dụng của từng công cụ.
☐ Có xem xét điều kiện sử dụng và cách nhà cung cấp xử lý dữ liệu khi cần thiết.
3. Xác định rõ AI được phép làm gì và không được làm gì
Doanh nghiệp không nhất thiết phải cấm AI.
Nhưng cần xác định ranh giới sử dụng.
Ví dụ:
Có thể cho phép
- Soạn dự thảo email.
- Gợi ý ý tưởng.
- Tóm tắt tài liệu phù hợp.
- Hỗ trợ dịch.
- Hỗ trợ xây dựng dự thảo quy trình.
- Phân tích dữ liệu đã được phép sử dụng.
Có thể cần kiểm soát chặt hơn
- Đánh giá nhà cung cấp.
- Phân tích nguyên nhân sự cố.
- Đánh giá ứng viên.
- Phân tích dữ liệu khách hàng.
- Đưa ra quyết định liên quan đến chất lượng sản phẩm.
Có thể không cho phép nếu chưa có kiểm soát phù hợp
- Nhập bí mật kinh doanh lên AI công cộng.
- Tải bản vẽ mật của khách hàng lên AI.
- Nhập dữ liệu cá nhân nhạy cảm không được phép.
- Để AI tự phê duyệt sản phẩm.
- Để AI tự đưa ra quyết định quan trọng mà không có cơ chế giám sát phù hợp.
Checklist:
☐ Đã xác định AI được sử dụng cho mục đích nào.
☐ Đã xác định các trường hợp hạn chế sử dụng.
☐ Đã xác định các trường hợp không được phép sử dụng.
4. Kiểm tra việc quản lý rủi ro liên quan đến AI
AI mang lại cơ hội nhưng cũng tạo ra rủi ro mới.
Ví dụ:
AI đưa thông tin sai → nhân viên tin tưởng → sử dụng kết quả → quyết định sai → khách hàng khiếu nại.
Doanh nghiệp nên kiểm tra:
☐ Đã nhận diện rủi ro thông tin AI không chính xác.
☐ Đã xem xét nguy cơ rò rỉ thông tin.
☐ Đã xem xét việc sử dụng AI sai mục đích.
☐ Đã xem xét nguy cơ phụ thuộc quá mức vào AI.
☐ Đã xem xét rủi ro khi AI không hoạt động.
☐ Đã xem xét rủi ro liên quan đến các quyết định được AI hỗ trợ.
☐ Có biện pháp xử lý tương ứng với mức độ rủi ro.
Không phải mọi hoạt động sử dụng AI đều cần cùng một mức kiểm soát.
Rủi ro càng cao → kiểm soát càng chặt.
5. Kiểm tra dữ liệu được đưa vào AI
Đây là một trong những nội dung doanh nghiệp nên đặc biệt quan tâm.
Hãy hỏi nhân viên:
“Bạn thường đưa những dữ liệu gì vào ChatGPT?”
Câu trả lời có thể khiến doanh nghiệp bất ngờ.
Ví dụ:
- Email khách hàng.
- Hợp đồng.
- Báo giá.
- Bản vẽ.
- Hồ sơ nhân viên.
- Báo cáo nội bộ.
- Dữ liệu tài chính.
- Công thức sản phẩm.
Checklist:
☐ Đã phân loại thông tin trước khi đưa vào AI.
☐ Có quy định dữ liệu nào được phép nhập.
☐ Có quy định dữ liệu nào không được phép nhập.
☐ Có biện pháp xử lý/ẩn thông tin nhạy cảm khi phù hợp.
☐ Nhân viên hiểu trách nhiệm bảo mật khi sử dụng AI.
☐ Các yêu cầu bảo mật của khách hàng được xem xét.
☐ Các yêu cầu pháp luật liên quan đến dữ liệu được xem xét khi áp dụng.
Đối với doanh nghiệp áp dụng ISO/IEC 27001, nội dung này càng cần được xem xét trong bối cảnh hệ thống quản lý an toàn thông tin.
6. Kiểm tra cách xác nhận đầu ra của AI
Một trong những rủi ro nguy hiểm của AI là:
Thông tin sai nhưng được trình bày rất thuyết phục.
Vì vậy, doanh nghiệp cần kiểm tra:
☐ Đầu ra AI quan trọng được người có năng lực xem xét.
☐ Có đối chiếu nguồn khi cần thiết.
☐ Tài liệu do AI hỗ trợ soạn thảo được kiểm tra trước khi ban hành.
☐ Phân tích do AI thực hiện được xác nhận trước khi sử dụng cho quyết định quan trọng.
☐ Không mặc nhiên coi câu trả lời của AI là bằng chứng khách quan.
Ví dụ:
AI soạn SOP → QA kiểm tra → Trưởng bộ phận xem xét → Người có thẩm quyền phê duyệt → Ban hành.
AI có thể rút ngắn thời gian soạn thảo.
Nhưng không nên bỏ qua các bước kiểm soát cần thiết.
7. Xác định trách nhiệm của con người
Đây là nội dung doanh nghiệp cần trả lời rất rõ khi đánh giá.
Nếu đánh giá viên hỏi:
“Ai chịu trách nhiệm về tài liệu này?”
Câu trả lời không thể chỉ là:
“ChatGPT làm.”
Doanh nghiệp nên kiểm tra:
☐ Có người chịu trách nhiệm đối với đầu ra AI.
☐ Có người kiểm tra khi cần thiết.
☐ Có thẩm quyền phê duyệt rõ ràng.
☐ Nhân viên hiểu AI là công cụ hỗ trợ.
☐ Trách nhiệm cuối cùng đối với hoạt động của doanh nghiệp được xác định rõ.
Nguyên tắc dễ nhớ:
AI hỗ trợ – Con người kiểm soát – Doanh nghiệp chịu trách nhiệm.
8. Kiểm tra năng lực của người sử dụng AI
Biết đặt câu hỏi cho ChatGPT chưa có nghĩa là đủ năng lực sử dụng AI trong công việc.
Một nhân viên sử dụng AI để hỗ trợ phân tích nguyên nhân lỗi cần có năng lực chuyên môn để biết:
Kết quả AI đưa ra có hợp lý hay không?
Checklist:
☐ Người sử dụng được hướng dẫn cách dùng AI phù hợp với công việc.
☐ Hiểu giới hạn của AI.
☐ Biết cách kiểm tra đầu ra.
☐ Hiểu yêu cầu bảo mật.
☐ Biết dữ liệu nào không được đưa vào AI.
☐ Hiểu trách nhiệm đối với kết quả cuối cùng.
☐ Có bằng chứng đào tạo/hướng dẫn khi doanh nghiệp xác định là cần thiết.
9. Kiểm tra việc AI tham gia vào quyết định
Không phải AI nào cũng chỉ viết nội dung.
AI ngày càng được sử dụng để:
- Xếp hạng nhà cung cấp.
- Đánh giá khách hàng.
- Phân tích lỗi.
- Phân loại khiếu nại.
- Sàng lọc ứng viên.
- Dự báo sản xuất.
- Đề xuất hành động khắc phục.
Doanh nghiệp nên xác định:
☐ AI đang hỗ trợ những quyết định nào.
☐ Mức độ ảnh hưởng của quyết định đã được đánh giá.
☐ Có tiêu chí để con người xem xét kết quả AI.
☐ Quyết định quan trọng có thẩm quyền rõ ràng.
☐ Có khả năng can thiệp khi AI đưa ra kết quả bất thường.
Không nên mặc định rằng mọi quyết định đều phải do con người thực hiện thủ công.
Vấn đề là doanh nghiệp phải thiết kế mức giám sát phù hợp với rủi ro và yêu cầu áp dụng.
10. Chuẩn bị phương án khi AI không hoạt động hoặc đưa kết quả sai
Hãy thử hỏi:
“Nếu ngày mai công cụ AI này không sử dụng được thì quá trình có tiếp tục hoạt động không?”
Nếu câu trả lời là:
“Không.”
doanh nghiệp nên xem xét lại mức độ phụ thuộc.
Checklist:
☐ Đã xác định những hoạt động phụ thuộc đáng kể vào AI.
☐ Có phương án thay thế khi cần.
☐ Có cách xử lý khi phát hiện đầu ra sai.
☐ Có cơ chế báo cáo sự cố liên quan đến AI.
☐ Có tiêu chí dừng sử dụng AI nếu xuất hiện rủi ro không chấp nhận được.
11. Theo dõi hiệu quả sử dụng AI
AI không nên được áp dụng chỉ vì:
“Công ty khác cũng đang dùng.”
Doanh nghiệp nên biết AI thực sự tạo ra giá trị gì.
Có thể theo dõi:
- Thời gian xử lý công việc.
- Năng suất.
- Tỷ lệ sai lỗi.
- Tỷ lệ nội dung AI phải sửa.
- Khiếu nại.
- Sự cố bảo mật.
- Chi phí.
- Mức độ hài lòng của người dùng.
Checklist:
☐ Có xác định mục tiêu khi áp dụng AI.
☐ Có theo dõi hiệu quả khi phù hợp.
☐ Có ghi nhận sai sót/sự cố.
☐ Có hành động cải tiến khi kết quả không đạt mong muốn.
12. Kiểm tra hồ sơ và bằng chứng trước ngày đánh giá ISO
Đừng chỉ chuẩn bị câu trả lời.
Đánh giá ISO dựa trên bằng chứng.
Tùy mức độ sử dụng AI, doanh nghiệp có thể chuẩn bị:
☐ Danh mục công cụ AI.
☐ Danh mục các quá trình có sử dụng AI.
☐ Quy định/chính sách/hướng dẫn sử dụng AI.
☐ Hồ sơ đánh giá rủi ro AI.
☐ Quy định phân loại và bảo vệ thông tin.
☐ Hồ sơ đào tạo/hướng dẫn nhân viên.
☐ Bằng chứng xem xét và phê duyệt đầu ra quan trọng.
☐ Hồ sơ sự cố liên quan đến AI nếu có.
☐ Kết quả theo dõi hiệu quả sử dụng AI.
☐ Hành động khắc phục/cải tiến nếu đã phát sinh vấn đề.
Không phải doanh nghiệp nào cũng cần đầy đủ tất cả các tài liệu trên.
Mức độ tài liệu hóa nên tương xứng với mức độ AI được sử dụng và rủi ro của hoạt động đó.
Checklist nhanh trước khi chuyên gia đánh giá đến
Trước cuộc đánh giá ISO, người phụ trách hệ thống có thể tự hỏi 10 câu:
- AI đang được sử dụng ở đâu?
- Công cụ AI nào đang được sử dụng?
- AI được phép và không được phép làm gì?
- Rủi ro AI đã được nhận diện chưa?
- Dữ liệu nào được phép đưa vào AI?
- Đầu ra AI được kiểm tra thế nào?
- Ai chịu trách nhiệm cuối cùng?
- Nhân viên đã đủ năng lực chưa?
- Nếu AI sai hoặc dừng hoạt động thì sao?
- Có bằng chứng chứng minh AI đang được kiểm soát không?
Nếu doanh nghiệp trả lời rõ ràng được 10 câu hỏi này và có bằng chứng phù hợp, việc trao đổi với đánh giá viên sẽ chủ động hơn rất nhiều.
Có cần ban hành “Quy trình quản lý AI” để đáp ứng ISO không?
Không nên hiểu rằng cứ sử dụng ChatGPT là doanh nghiệp bắt buộc phải ban hành thêm một quy trình riêng về AI.
Một doanh nghiệp chỉ sử dụng AI để hỗ trợ viết nội dung marketing sẽ có mức rủi ro khác với doanh nghiệp sử dụng AI để:
- Phân tích lỗi sản phẩm.
- Kiểm tra chất lượng.
- Phân tích dữ liệu khách hàng.
- Sàng lọc nhân sự.
- Hỗ trợ quyết định sản xuất.
- Tự động trả lời khách hàng.
- Hỗ trợ thiết kế sản phẩm.
Do đó, cách kiểm soát cần dựa trên mức độ sử dụng và rủi ro thực tế.
Doanh nghiệp có thể tích hợp yêu cầu quản lý AI vào các quy trình hiện có như:
Quản lý rủi ro + Kiểm soát tài liệu + Quản lý năng lực + An toàn thông tin + Quản lý nhà cung cấp + Quản lý thay đổi + Kiểm soát quá trình.
Khi AI được sử dụng ở quy mô lớn hoặc có mức rủi ro cao, doanh nghiệp có thể cân nhắc xây dựng một chính sách hoặc quy định quản trị AI riêng.
Đừng “làm hồ sơ AI” chỉ để đối phó đánh giá ISO
Sai lầm lớn nhất có thể không phải là thiếu một biểu mẫu.
Mà là:
Hồ sơ nói một kiểu – nhân viên sử dụng AI một kiểu khác.
Doanh nghiệp ban hành quy định:
“Không được đưa dữ liệu khách hàng lên AI.”
Nhưng khi đánh giá viên phỏng vấn nhân viên:
“Em dùng ChatGPT để xử lý công việc thế nào?”
Nhân viên mở máy:
Upload hợp đồng khách hàng → “ChatGPT, tóm tắt giúp tôi hợp đồng này.”
Lúc đó, vấn đề không còn nằm ở việc doanh nghiệp có quy trình hay không.
Mà nằm ở hiệu lực của kiểm soát.
Vì vậy, trước cuộc đánh giá ISO, hãy kiểm tra thực tế sử dụng AI tại các phòng ban, không chỉ kiểm tra tài liệu.
Kết luận
AI đang trở thành một phần của hoạt động doanh nghiệp.
Vì vậy, khi ChatGPT, Copilot, Gemini hoặc các hệ thống AI khác tham gia vào quá trình thuộc phạm vi hệ thống quản lý, doanh nghiệp cũng cần xem xét chúng dưới góc độ quản trị.
Trước cuộc đánh giá ISO, hãy kiểm tra 6 vấn đề cốt lõi:
AI dùng ở đâu → Rủi ro gì → Dữ liệu nào được sử dụng → Đầu ra kiểm tra thế nào → Ai chịu trách nhiệm → Bằng chứng ở đâu.
Doanh nghiệp không cần sợ đánh giá viên hỏi về AI.
Điều quan trọng là có thể chứng minh rằng:
AI đang được sử dụng có mục đích, có kiểm soát, phù hợp với rủi ro và không làm mất đi trách nhiệm của tổ chức đối với hệ thống quản lý.
AI có thể giúp hệ thống vận hành nhanh hơn.
Nhưng quản trị AI tốt mới giúp doanh nghiệp sử dụng AI một cách an toàn và bền vững.
Dịch vụ đào tạo và chứng nhận ISO tại PQI
PQI đồng hành cùng doanh nghiệp trong toàn bộ quá trình triển khai hệ thống quản lý:
- Đào tạo nhận thức ISO.
- Đào tạo đánh giá viên nội bộ.
- Đánh giá chứng nhận.
- Đào tạo duy trì và cải tiến hệ thống.
Đội ngũ chuyên gia của PQI luôn hướng tới mục tiêu giúp doanh nghiệp không chỉ đạt chứng nhận, mà còn vận hành hiệu quả hệ thống quản lý môi trường và tạo giá trị bền vững.
Liên hệ ngay với chúng tôi, Tel/Zalo: 0906259389
