ChatGPT, Copilot, Gemini và hàng loạt công cụ AI đang xuất hiện trong công việc hằng ngày của doanh nghiệp.
Marketing dùng AI viết nội dung.
Kinh doanh dùng AI soạn email, phân tích khách hàng.
Nhân sự dùng AI xây dựng mô tả công việc, hỗ trợ sàng lọc hồ sơ.
QA dùng AI soạn quy trình, phân tích lỗi.
IT dùng AI viết code.
Lãnh đạo dùng AI tổng hợp báo cáo, phân tích dữ liệu và hỗ trợ ra quyết định.
Vấn đề là:
Doanh nghiệp có biết nhân viên đang sử dụng AI như thế nào không?
Nếu câu trả lời là:
“Ai cần thì tự dùng.”
doanh nghiệp có thể đang có hàng chục công cụ AI xử lý thông tin của mình mà chưa có cơ chế quản lý thống nhất.
Đây là lúc doanh nghiệp nên nghĩ đến một Quy định sử dụng AI trong doanh nghiệp.
Nhưng xây dựng thế nào để không biến nó thành một tài liệu dài hàng chục trang, ban hành xong rồi… không ai thực hiện?
Có thể áp dụng chính tư duy quen thuộc của các hệ thống quản lý ISO:
Xác định phạm vi → Nhận diện rủi ro → Thiết lập kiểm soát → Phân công trách nhiệm → Theo dõi → Cải tiến.
Vì sao doanh nghiệp cần Quy định sử dụng AI?
AI khác nhiều công cụ văn phòng truyền thống ở chỗ người dùng có thể đưa rất nhiều thông tin vào hệ thống và nhận lại nội dung, phân tích hoặc đề xuất chỉ trong vài giây.
Một nhân viên có thể:
Upload hợp đồng khách hàng → yêu cầu AI tóm tắt.
Một kỹ sư có thể:
Upload bản vẽ → yêu cầu AI phân tích.
Một nhân viên QA có thể:
Nhập dữ liệu lỗi → yêu cầu AI xác định nguyên nhân gốc.
Một nhân viên IT có thể:
Đưa đoạn source code → yêu cầu AI sửa lỗi.
Một nhân viên nhân sự có thể:
Đưa CV ứng viên → yêu cầu AI xếp hạng.
Mỗi hành động đều có thể mang lại hiệu quả.
Nhưng đồng thời có thể tạo ra rủi ro về:
- Bảo mật thông tin.
- Dữ liệu cá nhân.
- Độ chính xác.
- Quyền sở hữu trí tuệ.
- Yêu cầu khách hàng.
- Chất lượng.
- An toàn.
- Thiên lệch.
- Trách nhiệm.
- Phụ thuộc công nghệ.
Do đó, mục tiêu của Quy định sử dụng AI không phải là:
“Cấm nhân viên sử dụng AI.”
Mà là:
“Cho phép doanh nghiệp khai thác AI trong một phạm vi được quản lý.”
Tư duy ISO khi quản lý AI là gì?
Doanh nghiệp đã áp dụng ISO thường rất quen với một nguyên tắc:
Không kiểm soát mọi thứ giống nhau – kiểm soát dựa trên rủi ro.
Điều này đặc biệt phù hợp với AI.
Ví dụ:
Nhân viên dùng AI để gợi ý tiêu đề bài Facebook
Rủi ro tương đối thấp.
QA dùng AI để soạn dự thảo SOP
Rủi ro cao hơn.
Kỹ thuật dùng AI phân tích nguyên nhân lỗi sản phẩm
Cao hơn nữa.
AI tự động quyết định sản phẩm đạt/không đạt
Mức ảnh hưởng có thể rất cao.
Không hợp lý nếu doanh nghiệp áp dụng cùng một cơ chế kiểm soát cho cả bốn trường hợp.
Có thể sử dụng nguyên tắc:
AI càng ảnh hưởng đến sản phẩm, khách hàng, con người, môi trường, thông tin hoặc quyết định quan trọng → mức kiểm soát càng cao.
Bước 1: Xác định AI đang được sử dụng ở đâu
Đây nên là việc đầu tiên trước khi viết quy định.
Đừng bắt đầu bằng:
“Điều 1. Mục đích…”
Hãy bắt đầu bằng câu hỏi:
“Công ty đang dùng AI vào việc gì?”
Có thể khảo sát từng phòng ban:
| Bộ phận | Công cụ AI | Mục đích | Dữ liệu sử dụng | Mức ảnh hưởng |
| Marketing | ChatGPT | Viết nội dung | Thông tin công khai | Thấp |
| Kinh doanh | AI | Soạn email | Thông tin khách hàng | Trung bình |
| QA | AI | Soạn SOP | Tài liệu nội bộ | Trung bình |
| Kỹ thuật | AI | Phân tích lỗi | Dữ liệu kỹ thuật | Cao |
| IT | AI Coding | Hỗ trợ code | Source code | Cao |
Qua bước này, doanh nghiệp có thể phát hiện một vấn đề:
AI đang được sử dụng nhiều hơn lãnh đạo nghĩ.
Bước 2: Xây dựng danh mục công cụ AI được phép sử dụng
Không phải mọi công cụ AI trên Internet đều nên được sử dụng cho dữ liệu doanh nghiệp.
Doanh nghiệp có thể chia thành:
Nhóm A – Được phép sử dụng
Công cụ đã được doanh nghiệp xem xét và cho phép.
Nhóm B – Được sử dụng có điều kiện
Ví dụ chỉ dùng cho:
- Dữ liệu công khai.
- Dữ liệu đã ẩn danh.
- Công việc không quan trọng.
Nhóm C – Chưa được phê duyệt
Không sử dụng cho dữ liệu hoặc hoạt động của doanh nghiệp trước khi được xem xét.
Đặc biệt cần tránh tình trạng:
Công ty mua một nền tảng AI chính thức nhưng nhân viên lại đưa dữ liệu công ty vào hàng chục AI miễn phí khác.
Đó là một dạng rủi ro Shadow AI.
Bước 3: Phân loại hoạt động sử dụng AI theo mức độ rủi ro
Doanh nghiệp có thể xây dựng mô hình đơn giản gồm 3 mức.
Mức 1 – Rủi ro thấp
Ví dụ:
- Gợi ý ý tưởng.
- Viết tiêu đề.
- Soạn nội dung không chứa thông tin mật.
- Hỗ trợ chỉnh sửa ngôn ngữ.
Có thể cho phép sử dụng với kiểm soát cơ bản.
Mức 2 – Rủi ro trung bình
Ví dụ:
- Soạn quy trình.
- Phân tích dữ liệu nội bộ.
- Soạn tài liệu đào tạo.
- Phân tích khiếu nại.
- Hỗ trợ đánh giá nhà cung cấp.
Yêu cầu:
Người có năng lực kiểm tra trước khi sử dụng.
Mức 3 – Rủi ro cao
Ví dụ:
- AI tham gia quyết định chất lượng sản phẩm.
- Phân tích dữ liệu nhạy cảm.
- Sàng lọc con người.
- Hỗ trợ quyết định ảnh hưởng đến an toàn.
- AI tham gia kiểm soát quá trình quan trọng.
- AI tự động thực hiện hành động có ảnh hưởng lớn.
Có thể yêu cầu:
Đánh giá rủi ro → Phê duyệt → Thử nghiệm/xác nhận → Giám sát → Cơ chế can thiệp.
Bước 4: Quy định rõ dữ liệu nào được phép đưa vào AI
Đây nên là một trong những phần quan trọng nhất của Quy định sử dụng AI.
Có thể phân loại:
Dữ liệu có thể sử dụng
Ví dụ:
- Thông tin công khai.
- Nội dung marketing đã công bố.
- Dữ liệu giả lập.
- Dữ liệu không chứa thông tin nhạy cảm.
Dữ liệu chỉ được sử dụng có điều kiện
Ví dụ:
- Dữ liệu nội bộ.
- Dữ liệu khách hàng đã ẩn danh.
- Dữ liệu kỹ thuật không thuộc diện mật.
Có thể yêu cầu phê duyệt hoặc chỉ sử dụng trên nền tảng AI được doanh nghiệp cho phép.
Dữ liệu không được đưa lên AI không được phê duyệt
Ví dụ:
- Mật khẩu.
- Khóa truy cập.
- Bí mật kinh doanh.
- Bản vẽ mật.
- Source code nhạy cảm.
- Hồ sơ nhân sự nhạy cảm.
- Hợp đồng mật.
- Dữ liệu khách hàng thuộc phạm vi bảo mật.
- Thông tin mà doanh nghiệp không có quyền chia sẻ.
Nguyên tắc rất dễ truyền thông cho nhân viên:
Nếu bạn không được phép gửi dữ liệu đó cho một người bên ngoài doanh nghiệp, đừng mặc nhiên cho rằng bạn được phép gửi nó cho AI.
Bước 5: Quy định kiểm soát đầu ra AI
Đầu vào cần kiểm soát.
Nhưng đầu ra cũng quan trọng không kém.
AI có thể:
- Bịa nguồn.
- Hiểu sai dữ liệu.
- Trích dẫn sai.
- Đưa ra kết luận thiếu căn cứ.
- Tạo code có lỗ hổng.
- Đề xuất giải pháp không phù hợp.
Doanh nghiệp có thể quy định:
Đầu ra rủi ro thấp
Người sử dụng tự xem xét.
Đầu ra ảnh hưởng đến công việc chuyên môn
Phải được người có năng lực kiểm tra.
Đầu ra ảnh hưởng đến quyết định quan trọng
Phải được xác nhận và phê duyệt theo thẩm quyền trước khi thực hiện.
Nguyên tắc:
AI tạo ra ≠ Đã được xác nhận.
Bước 6: Không sử dụng AI để tạo hồ sơ không phản ánh thực tế
Đây là nội dung rất nên đưa thẳng vào quy định.
AI có thể tạo:
- Biên bản họp.
- Báo cáo đánh giá.
- Hồ sơ CAPA.
- Báo cáo kiểm tra.
- Biên bản đào tạo.
- Báo cáo KPI.
- Hồ sơ ISO.
Nhưng doanh nghiệp cần quy định:
Không sử dụng AI để tạo, sửa đổi hoặc hoàn thiện hồ sơ theo cách làm sai lệch hoạt động, sự kiện, kết quả hoặc bằng chứng thực tế.
Ví dụ:
Không tổ chức đào tạo.
↓
Nhờ AI viết biên bản đào tạo.
↓
Điền danh sách.
↓
Ký.
Đây không phải là ứng dụng AI.
Đây là tạo hồ sơ không phản ánh sự thật.
Bước 7: Xác định trách nhiệm – AI không chịu trách nhiệm thay con người
Một tài liệu rất hay có thể do AI viết.
Nhưng nếu tài liệu đó sai, doanh nghiệp không thể nói:
“Do ChatGPT viết nên chúng tôi không chịu trách nhiệm.”
Quy định nên xác định rõ:
Người sử dụng AI
Chịu trách nhiệm về:
- Dữ liệu mình nhập.
- Cách sử dụng AI.
- Kiểm tra kết quả trong phạm vi trách nhiệm.
- Tuân thủ yêu cầu bảo mật.
Trưởng bộ phận
Chịu trách nhiệm:
- Kiểm soát cách AI được sử dụng trong quá trình.
- Phê duyệt khi cần.
- Đảm bảo nhân viên có năng lực.
IT/An toàn thông tin
Có thể chịu trách nhiệm:
- Công cụ được phép.
- Tài khoản.
- Quyền truy cập.
- Bảo mật.
- Giám sát kỹ thuật.
Lãnh đạo
Thiết lập định hướng, mức chấp nhận rủi ro và nguồn lực.
Nguyên tắc:
AI hỗ trợ – Con người kiểm soát – Doanh nghiệp chịu trách nhiệm.
Bước 8: Quy định năng lực của người sử dụng AI
Đào tạo AI không nên chỉ là:
“Đây là ChatGPT, đây là cách viết prompt.”
Nhân viên cần hiểu:
- AI có thể sai.
- Cách kiểm chứng thông tin.
- Dữ liệu nào không được nhập.
- Khi nào phải xin phê duyệt.
- Khi nào không được sử dụng AI.
- Cách báo cáo sự cố.
- Trách nhiệm đối với đầu ra.
- Các rủi ro liên quan đến công việc của mình.
Đặc biệt:
Người dùng AI cho công việc chuyên môn phải đủ năng lực chuyên môn để đánh giá kết quả AI tạo ra.
Bước 9: Quản lý AI của nhà cung cấp
AI không chỉ là ChatGPT.
Doanh nghiệp có thể mua:
- Camera AI.
- Phần mềm tuyển dụng AI.
- Hệ thống chatbot.
- Phần mềm phân tích dữ liệu.
- AI kiểm tra sản phẩm.
- AI dự báo sản xuất.
- AI tích hợp ERP/CRM.
Khi đó doanh nghiệp cần xem xét nhà cung cấp.
Có thể đánh giá:
☐ AI xử lý dữ liệu nào?
☐ Dữ liệu được lưu ở đâu?
☐ Ai có quyền truy cập?
☐ Nhà cung cấp sử dụng dữ liệu vào mục đích gì?
☐ Hệ thống có đáp ứng yêu cầu doanh nghiệp không?
☐ Nếu nhà cung cấp ngừng dịch vụ thì sao?
☐ Có thể lấy dữ liệu ra không?
☐ Sự cố được thông báo như thế nào?
Đây chính là tư duy kiểm soát quá trình, sản phẩm và dịch vụ do bên ngoài cung cấp được mở rộng sang AI.
Bước 10: Xây dựng quy trình xử lý sự cố AI
Doanh nghiệp nên chuẩn bị cho tình huống:
Nhân viên vừa phát hiện mình đã upload nhầm một tài liệu mật lên AI.
Làm gì tiếp?
Không nên để nhân viên:
“Thôi, chắc không sao.”
Quy định nên xác định:
Phát hiện → Báo cáo → Đánh giá ảnh hưởng → Ngăn chặn → Xử lý → Điều tra nguyên nhân → Hành động khắc phục → Rút kinh nghiệm.
Các sự cố AI có thể gồm:
- Rò rỉ dữ liệu.
- AI đưa ra kết quả sai nghiêm trọng.
- Quyết định sai dựa trên AI.
- Sử dụng AI không được phép.
- Tài khoản AI bị xâm nhập.
- AI ngừng hoạt động.
- Nội dung AI vi phạm yêu cầu pháp luật/khách hàng.
- Đầu ra AI gây ảnh hưởng đến sản phẩm hoặc dịch vụ.
Bước 11: Kiểm soát thay đổi đối với AI
Một đặc điểm của AI là:
Hôm nay hoạt động thế này – ngày mai có thể khác.
Nhà cung cấp có thể:
- Thay model.
- Thêm tính năng.
- Thay điều khoản.
- Thay cách lưu dữ liệu.
- Thay API.
- Thay cơ chế bảo mật.
Nếu AI đang tham gia một quá trình quan trọng, doanh nghiệp cần xem xét thay đổi trước khi tiếp tục phụ thuộc vào hệ thống.
Ví dụ:
Phiên bản AI thay đổi → kiểm tra lại → xác nhận phù hợp → mới áp dụng cho quá trình quan trọng.
Bước 12: Theo dõi hiệu quả và cải tiến việc sử dụng AI
Quản lý AI không nên chỉ là quản lý rủi ro.
AI cũng tạo ra cơ hội.
Doanh nghiệp có thể theo dõi:
- Thời gian tiết kiệm.
- Chi phí giảm.
- Năng suất tăng.
- Tỷ lệ sai.
- Số sự cố AI.
- Tỷ lệ đầu ra phải sửa.
- Mức độ sử dụng.
- Hiệu quả quá trình.
- Phản hồi người dùng.
Từ đó quyết định:
Tiếp tục → Mở rộng → Điều chỉnh → Hạn chế → Dừng sử dụng.
Đây chính là tư duy cải tiến liên tục.
Cấu trúc mẫu Quy định sử dụng AI trong doanh nghiệp
Một quy định thực tế có thể gồm 12 phần:
- Mục đích
Xác định nguyên tắc sử dụng AI an toàn, hiệu quả và có trách nhiệm.
- Phạm vi áp dụng
Nhân viên, phòng ban, nhà thầu và các bên liên quan khi sử dụng AI cho công việc của doanh nghiệp.
- Thuật ngữ
AI, Generative AI, dữ liệu nhạy cảm, công cụ được phê duyệt…
- Nguyên tắc chung
AI hỗ trợ con người; trách nhiệm cuối cùng thuộc về tổ chức và người có thẩm quyền.
- Danh mục công cụ AI
Được phép – có điều kiện – không được phép.
- Phân loại hoạt động AI
Thấp – trung bình – cao.
- Quản lý dữ liệu
Dữ liệu được phép, hạn chế và không được đưa vào AI.
- Kiểm soát đầu ra
Kiểm tra, xác nhận, phê duyệt.
- Trách nhiệm và thẩm quyền
Người dùng, trưởng bộ phận, IT, QA, lãnh đạo…
- Quản lý nhà cung cấp và thay đổi
Đánh giá dịch vụ AI và thay đổi có ảnh hưởng.
- Quản lý sự cố
Báo cáo, xử lý và hành động khắc phục.
- Theo dõi, đánh giá và cải tiến
Đánh giá hiệu quả và cập nhật quy định.
Một bảng phân loại AI đơn giản doanh nghiệp có thể áp dụng
| Mức | Ví dụ | Kiểm soát |
| 🟢 Thấp | Ý tưởng, chỉnh câu chữ | Người dùng kiểm tra |
| 🟡 Trung bình | SOP, báo cáo, phân tích nội bộ | Người có năng lực xem xét |
| 🔴 Cao | Chất lượng, an toàn, dữ liệu nhạy cảm, quyết định quan trọng | Đánh giá rủi ro + phê duyệt + xác nhận + giám sát |
Đây thường hiệu quả hơn một quy định kiểu:
“Mọi nội dung AI đều phải được Giám đốc phê duyệt.”
Kiểm soát quá mức có thể khiến nhân viên bỏ quy trình và quay sang sử dụng AI ngoài hệ thống.
Quy định AI có thể tích hợp với những hệ thống ISO nào?
ISO 9001
Liên quan đến:
- Rủi ro và cơ hội.
- Năng lực.
- Thông tin dạng văn bản.
- Kiểm soát quá trình.
- Nhà cung cấp.
- Đánh giá kết quả.
- Cải tiến.
ISO 14001
Nếu AI ảnh hưởng đến:
- Khía cạnh môi trường.
- Nghĩa vụ tuân thủ.
- Kiểm soát vận hành.
- Theo dõi kết quả hoạt động môi trường.
ISO 45001
Nếu AI được dùng cho:
- Nhận diện mối nguy.
- Đánh giá rủi ro.
- Giám sát PPE.
- Cảnh báo an toàn.
- Phân tích sự cố.
ISO 22000
Nếu AI tham gia:
- Kiểm soát mối nguy.
- Giám sát.
- Kiểm tra sản phẩm.
- Phân tích dữ liệu an toàn thực phẩm.
- Truy xuất nguồn gốc.
ISO/IEC 27001
Đặc biệt liên quan đến:
- Phân loại thông tin.
- Kiểm soát truy cập.
- Nhà cung cấp.
- Bảo vệ dữ liệu.
- Quản lý sự cố.
- Shadow AI.
Nếu AI được sử dụng rộng rãi, hãy xem xét ISO/IEC 42001
Khi AI chỉ là một công cụ hỗ trợ, doanh nghiệp có thể tích hợp việc kiểm soát AI vào các hệ thống quản lý hiện có.
Nhưng nếu doanh nghiệp:
- Phát triển hệ thống AI.
- Cung cấp sản phẩm/dịch vụ AI.
- Sử dụng AI trong nhiều quá trình quan trọng.
- Có nhiều hệ thống AI.
- AI ảnh hưởng đáng kể đến khách hàng hoặc các bên liên quan.
thì có thể xem xét ISO/IEC 42001 – Hệ thống quản lý trí tuệ nhân tạo (AIMS).
Tư duy lúc này không còn chỉ là:
“Nhân viên được phép dùng ChatGPT thế nào?”
mà trở thành:
“Tổ chức quản trị AI như thế nào trong toàn bộ vòng đời và hoạt động kinh doanh?”
Checklist trước khi ban hành Quy định sử dụng AI
Trước khi ký ban hành, hãy thử kiểm tra:
☐ Đã khảo sát AI đang được sử dụng thực tế chưa?
☐ Đã xác định công cụ được phép sử dụng chưa?
☐ Đã phân loại rủi ro AI chưa?
☐ Đã quy định dữ liệu nào được đưa vào AI chưa?
☐ Đã quy định cách kiểm tra đầu ra chưa?
☐ Đã xác định trách nhiệm chưa?
☐ Đã quy định trường hợp cần phê duyệt chưa?
☐ Đã có cơ chế báo cáo sự cố chưa?
☐ Đã xem xét AI của nhà cung cấp chưa?
☐ Nhân viên đã được đào tạo chưa?
☐ Có cách theo dõi hiệu quả không?
☐ Có kế hoạch rà soát quy định định kỳ không?
Nếu quy định trả lời được các câu hỏi trên, doanh nghiệp đã có một nền tảng khá tốt để bắt đầu quản trị AI.
Sai lầm lớn nhất: Viết quy định rất chặt nhưng nhân viên không làm theo
Doanh nghiệp có thể ban hành một quy định 30 trang.
Cấm đủ thứ.
Yêu cầu phê duyệt mọi thứ.
Nhưng nhân viên thấy quá phức tạp.
Họ mở điện thoại cá nhân.
Vào một AI miễn phí.
Upload tài liệu.
Và làm việc như bình thường.
Kết quả:
Có quy định AI trên giấy – nhưng AI thực tế nằm ngoài kiểm soát.
Do đó, Quy định sử dụng AI tốt cần:
Đủ chặt để kiểm soát rủi ro – nhưng đủ đơn giản để nhân viên thực hiện.
Hãy giúp nhân viên hiểu:
Công cụ nào được dùng?
Dữ liệu nào được nhập?
Việc gì cần kiểm tra?
Việc gì cần phê duyệt?
Khi có vấn đề phải báo ai?
Nếu một nhân viên bình thường trả lời được 5 câu này, quy định đã bắt đầu đi vào thực tế.
Kết luận
Doanh nghiệp không còn đứng trước câu hỏi:
“Có nên cho nhân viên sử dụng AI hay không?”
Câu hỏi ngày càng thực tế hơn là:
“Nhân viên đã sử dụng AI rồi – chúng ta quản lý việc đó như thế nào?”
Một Quy định sử dụng AI theo tư duy ISO không cần bắt đầu bằng hàng chục biểu mẫu.
Hãy bắt đầu bằng 6 câu hỏi:
AI nào đang được dùng?
↓
Dùng để làm gì?
↓
Dữ liệu nào được đưa vào?
↓
Rủi ro là gì?
↓
Kiểm soát thế nào?
↓
Ai chịu trách nhiệm?
Sau đó:
Theo dõi → Đánh giá → Cải tiến.
Mục tiêu cuối cùng không phải kiểm soát AI để nhân viên không dám dùng AI.
Mà là:
Giúp doanh nghiệp sử dụng AI nhiều hơn ở nơi AI tạo ra giá trị – và kiểm soát chặt hơn ở nơi AI có thể tạo ra rủi ro.
Đó chính là cách đưa tư duy quản lý ISO vào kỷ nguyên AI.
Dịch vụ đào tạo và chứng nhận ISO tại PQI
PQI đồng hành cùng doanh nghiệp trong toàn bộ quá trình triển khai hệ thống quản lý:
- Đào tạo nhận thức ISO.
- Đào tạo đánh giá viên nội bộ.
- Đánh giá chứng nhận.
- Đào tạo duy trì và cải tiến hệ thống.
Đội ngũ chuyên gia của PQI luôn hướng tới mục tiêu giúp doanh nghiệp không chỉ đạt chứng nhận, mà còn vận hành hiệu quả hệ thống quản lý môi trường và tạo giá trị bền vững.
Liên hệ ngay với chúng tôi, Tel/Zalo: 0906259389
