• Một nhân viên Marketing dùng ChatGPT viết bài.

Không có gì đáng lo?

• Một nhân viên Sales upload hợp đồng khách hàng lên AI để tóm tắt.

Bắt đầu có vấn đề.

• QA dùng AI phân tích nguyên nhân lỗi.

Mức ảnh hưởng tăng lên.

• Nhân sự dùng AI hỗ trợ sàng lọc ứng viên.

Câu chuyện đã liên quan đến con người và quyết định.

• Một hệ thống AI tự động phân tích dữ liệu sản xuất rồi đề xuất điều chỉnh quá trình.

AI lúc này không còn đơn thuần là một công cụ giúp nhân viên viết nhanh hơn.

AI đã trở thành một phần của cách doanh nghiệp vận hành và ra quyết định.

Và đây là lúc doanh nghiệp cần chuyển từ câu hỏi:

“Có cho nhân viên dùng ChatGPT không?” sang một câu hỏi lớn hơn:

“Doanh nghiệp quản trị AI như thế nào?”

• Đó chính là câu chuyện của AI Governance.

AI Governance là gì?

Có thể hiểu đơn giản:

AI Governance – Quản trị AI là hệ thống các nguyên tắc, trách nhiệm, quy tắc, quá trình và biện pháp kiểm soát giúp tổ chức đảm bảo AI được sử dụng phù hợp với mục tiêu kinh doanh, rủi ro được quản lý và trách nhiệm được xác định rõ.

AI Governance không chỉ là:

Viết một Quy định sử dụng ChatGPT.

Nó rộng hơn.

Doanh nghiệp cần trả lời:

AI nào đang được sử dụng?

↓

Dùng cho mục đích gì?

↓

Dữ liệu nào được xử lý?

↓

Rủi ro và cơ hội là gì?

↓

Ai được quyền quyết định?

↓

Đầu ra AI được kiểm soát thế nào?

↓

Nếu AI sai thì ai chịu trách nhiệm?

↓

Làm sao biết AI vẫn đang hoạt động phù hợp?

Khi trả lời các câu hỏi này một cách có hệ thống, doanh nghiệp đang bắt đầu xây dựng AI Governance.

Vì sao AI Governance ngày càng cần thiết?

Trước đây, việc đưa một phần mềm mới vào doanh nghiệp thường cần:

IT xem xét.

Mua bản quyền.

Cài đặt.

Phân quyền.

Đào tạo.

Nhưng với AI tạo sinh, một nhân viên có thể mở trình duyệt và bắt đầu sử dụng trong vài phút.

Họ không cần chờ IT.

Không cần chờ QA.

Không cần chờ lãnh đạo phê duyệt.

Và có thể ngay lập tức đưa vào AI:

• Hợp đồng.
• Báo giá.
• Bản vẽ.
• Source code.
• Dữ liệu khách hàng.
• Báo cáo nội bộ.
• Hồ sơ nhân viên.

Sau đó sử dụng đầu ra AI để:

• Viết tài liệu.
• Phân tích dữ liệu.
• Tư vấn khách hàng.
• Đưa ra đề xuất.
• Hỗ trợ quyết định.

AI có thể lan rộng trong tổ chức nhanh hơn hệ thống quản trị của doanh nghiệp.

Đây chính là lý do AI Governance trở nên quan trọng.

Từ ChatGPT cá nhân đến AI cấp doanh nghiệp

Có thể hình dung quá trình trưởng thành của AI trong doanh nghiệp qua 5 cấp độ.

Cấp 1 – AI tự phát

Nhân viên tự dùng ChatGPT, Gemini, Copilot hoặc các công cụ AI khác.

Không có danh mục.

Không có quy định.

Không rõ dữ liệu nào được phép đưa vào.

Không ai biết doanh nghiệp đang sử dụng bao nhiêu công cụ AI.

Đặc điểm:

AI đã có trong doanh nghiệp – nhưng quản trị chưa có.

Đây cũng là môi trường dễ xuất hiện Shadow AI.

Cấp 2 – Có quy định sử dụng AI

Doanh nghiệp bắt đầu nhận ra rủi ro.

Một Quy định sử dụng AI được xây dựng.

Ví dụ:

• Công cụ nào được phép sử dụng.
• Dữ liệu nào không được đưa vào AI.
• Khi nào phải kiểm tra đầu ra.
• Trường hợp nào cần phê duyệt.
• Sự cố phải báo cáo cho ai.

Đây là bước tiến lớn.

Nhưng:

Có quy định chưa đồng nghĩa với có AI Governance đầy đủ.

Cấp 3 – Quản lý rủi ro theo từng AI Use Case

Doanh nghiệp bắt đầu lập danh mục:

AI Use Case – Trường hợp sử dụng AI.

Ví dụ:

AI-01: ChatGPT hỗ trợ soạn SOP.

AI-02: AI phân tích khiếu nại khách hàng.

AI-03: AI hỗ trợ viết code.

AI-04: AI phân tích dữ liệu nhà cung cấp.

AI-05: Chatbot AI trả lời khách hàng.

AI-06: Camera AI kiểm tra PPE.

Mỗi use case được xem xét:

Mục đích → Dữ liệu → Đầu ra → Người sử dụng → Rủi ro → Kiểm soát → Người chịu trách nhiệm.

AI Governance lúc này bắt đầu chuyển từ:

“Quản lý công cụ”

sang:

“Quản lý cách AI được sử dụng.”

Cấp 4 – AI được tích hợp vào quản trị doanh nghiệp

Ở cấp này, AI không còn được quản lý riêng bởi IT.

Nhiều bộ phận cùng tham gia.

Lãnh đạo

Xác định định hướng và mức độ chấp nhận rủi ro.

IT

Quản lý hạ tầng, tích hợp, quyền truy cập và kỹ thuật.

An toàn thông tin

Quản lý dữ liệu, bảo mật và sự cố.

QA/ISO

Tích hợp rủi ro AI vào hệ thống quản lý.

Pháp chế

Xem xét pháp luật, hợp đồng và trách nhiệm.

Nhân sự

Quản lý năng lực, đào tạo và việc AI ảnh hưởng đến con người.

Các chủ quá trình

Chịu trách nhiệm đối với AI được sử dụng trong quá trình của mình.

AI Governance trở thành:

Một phần của quản trị doanh nghiệp.

Cấp 5 – Hệ thống quản lý AI

Khi doanh nghiệp:

• Phát triển AI.
• Cung cấp sản phẩm AI.
• Vận hành nhiều hệ thống AI.
• AI tham gia vào các quá trình quan trọng.
• AI ảnh hưởng đáng kể đến khách hàng hoặc các bên liên quan.

việc quản trị có thể cần được hệ thống hóa ở mức cao hơn.

Đây là lúc doanh nghiệp có thể xem xét ISO/IEC 42001 – Hệ thống quản lý trí tuệ nhân tạo (AIMS).

Từ:

Nhân viên dùng ChatGPT

doanh nghiệp đã chuyển tới:

Tổ chức quản lý AI như một năng lực và một nguồn rủi ro chiến lược.

AI Governance không phải là việc của riêng IT

Đây là một nhầm lẫn phổ biến.

AI là công nghệ nên:

“Giao IT quản lý.”

Nhưng hãy thử xem:

AI phân tích lỗi sản phẩm.

Ai hiểu chất lượng?

QA/Kỹ thuật.

AI sàng lọc ứng viên.

Ai hiểu quá trình tuyển dụng?

HR.

AI phân tích hợp đồng.

Ai hiểu nghĩa vụ pháp lý?

Pháp chế/người phụ trách hợp đồng.

AI phân tích dữ liệu môi trường.

Ai hiểu yêu cầu môi trường?

EHS/người phụ trách môi trường.

IT có thể hiểu hệ thống AI.

Nhưng chủ quá trình mới hiểu hậu quả nếu AI sai trong quá trình của mình.

Vì vậy AI Governance cần có sự tham gia của nhiều chức năng.

8 trụ cột của AI Governance trong doanh nghiệp

Một hệ thống quản trị AI thực tế có thể được xây dựng quanh 8 trụ cột.

1. Chiến lược và mục tiêu sử dụng AI

Đừng bắt đầu bằng:

“Công ty phải dùng AI vì mọi người đang dùng.”

Hãy hỏi:

AI giải quyết vấn đề gì?

Ví dụ:

• Giảm thời gian xử lý.
• Tăng năng suất.
• Phân tích dữ liệu tốt hơn.
• Giảm lỗi.
• Cải thiện dịch vụ khách hàng.
• Hỗ trợ đổi mới.

AI Governance cần đảm bảo AI phục vụ mục tiêu doanh nghiệp, không phải chạy theo công nghệ.

2. Danh mục AI – AI Inventory

Doanh nghiệp nên biết mình đang sử dụng AI nào.

Danh mục có thể gồm:

ID	Hệ thống AI	Mục đích	Chủ sở hữu	Dữ liệu	Mức rủi ro
AI-01	ChatGPT	Soạn tài liệu	QA	Nội bộ	Trung bình
AI-02	AI Analytics	Phân tích khiếu nại	QA	Khách hàng	Cao
AI-03	Coding AI	Hỗ trợ code	IT	Source code	Cao
AI-04	Chatbot	CSKH	Sales	Khách hàng	Trung bình

Nếu doanh nghiệp không biết AI nào đang được sử dụng…

thì rất khó quản trị AI.

3. Quản trị dữ liệu

AI phụ thuộc rất lớn vào dữ liệu.

Doanh nghiệp cần xác định:

Dữ liệu nào được sử dụng?

Có quyền sử dụng không?

Có chính xác không?

Có chứa thông tin nhạy cảm không?

Có cần ẩn danh không?

Dữ liệu được lưu và xử lý ở đâu?

Một hệ thống AI mạnh với dữ liệu kém vẫn có thể tạo ra quyết định kém.

AI Governance bắt đầu từ Data Governance.

4. Quản trị rủi ro AI

Không phải AI nào cũng cần mức kiểm soát giống nhau.

Ví dụ:

ChatGPT gợi ý tiêu đề email

Rủi ro thấp.

AI phân tích khiếu nại

Rủi ro trung bình/cao tùy cách sử dụng.

AI hỗ trợ quyết định sản phẩm đạt/không đạt

Rủi ro cao hơn nhiều.

Doanh nghiệp có thể đánh giá theo:

Nguyên nhân → Sự kiện → Hậu quả → Khả năng → Mức ảnh hưởng → Kiểm soát → Rủi ro còn lại.

Nguyên tắc:

Rủi ro càng cao → kiểm soát càng mạnh.

5. Human Oversight – Giám sát của con người

Một trong những câu hỏi quan trọng nhất:

Con người nằm ở đâu trong quyết định của AI?

Có thể chia:

Human-in-the-loop

Con người phải xem xét trước khi quyết định được thực hiện.

Human-on-the-loop

AI có thể hoạt động tự động nhưng con người giám sát và có khả năng can thiệp.

Human-out-of-the-loop

AI hoạt động mà không cần con người xem xét từng quyết định.

Mức độ tự động hóa càng cao, doanh nghiệp càng cần hiểu rõ:

• Hậu quả nếu AI sai.
• Khả năng phát hiện sai.
• Khả năng dừng hệ thống.
• Khả năng con người can thiệp.

Không phải mọi quyết định đều phù hợp để giao hoàn toàn cho AI.

6. Trách nhiệm và thẩm quyền

Một câu hỏi AI Governance phải trả lời được:

“Nếu AI sai, ai chịu trách nhiệm?”

Không thể trả lời:

“Do AI quyết định.”

Mỗi hệ thống hoặc use case AI nên có AI Owner hoặc chủ sở hữu phù hợp.

Người này không nhất thiết là người lập trình AI.

Đó có thể là người chịu trách nhiệm đối với quá trình mà AI hỗ trợ.

Ví dụ:

AI phân tích nhà cung cấp.

→ Chủ sở hữu có thể là Purchasing Manager.

AI phân tích lỗi chất lượng.

→ Chủ sở hữu có thể là Quality Manager.

AI tuyển dụng.

→ Chủ sở hữu có thể là HR Manager.

AI có thể tự động hóa công việc – nhưng không tự động hóa trách nhiệm của tổ chức.

7. Quản trị nhà cung cấp AI

Rất nhiều doanh nghiệp không tự xây dựng AI.

Họ mua hoặc thuê:

• AI SaaS.
• Camera AI.
• AI Analytics.
• Coding Assistant.
• AI tích hợp CRM/ERP.

Doanh nghiệp cần xem xét:

☐ Nhà cung cấp xử lý dữ liệu nào?

☐ Dữ liệu được lưu ở đâu?

☐ Có dùng dữ liệu cho mục đích khác không?

☐ Quyền truy cập được quản lý thế nào?

☐ Nếu nhà cung cấp thay đổi model thì sao?

☐ Nếu dịch vụ ngừng hoạt động thì sao?

☐ Sự cố được thông báo thế nào?

☐ Doanh nghiệp có thể lấy dữ liệu ra khi dừng dịch vụ không?

AI Governance vì vậy cũng là một phần của Supplier Governance.

8. Theo dõi, sự cố và cải tiến

Một AI được phê duyệt hôm nay không có nghĩa:

Nó sẽ luôn phù hợp.

Model thay đổi.

Dữ liệu thay đổi.

Mục đích sử dụng thay đổi.

Người dùng thay đổi.

Môi trường kinh doanh thay đổi.

Do đó doanh nghiệp cần theo dõi:

• Độ chính xác.
• Tỷ lệ lỗi.
• Khiếu nại.
• Sự cố.
• Hiệu quả.
• Mức độ sử dụng.
• Rủi ro mới.
• Thay đổi của nhà cung cấp.

AI Governance cần là một vòng lặp quản lý, không phải một lần phê duyệt.

Một mô hình AI Governance theo tư duy PDCA

Doanh nghiệp áp dụng ISO có thể thấy cách tiếp cận này rất quen thuộc.

PLAN – Hoạch định

• Xác định mục tiêu AI.
• Lập danh mục AI.
• Xác định các bên liên quan.
• Đánh giá rủi ro và cơ hội.
• Xây dựng chính sách.
• Xác định trách nhiệm.

DO – Thực hiện

• Phê duyệt công cụ AI.
• Thiết lập kiểm soát.
• Đào tạo người dùng.
• Triển khai AI.
• Kiểm soát dữ liệu.
• Giám sát con người.

CHECK – Kiểm tra

• Theo dõi KPI.
• Kiểm tra đầu ra.
• Đánh giá sự cố.
• Đánh giá nội bộ.
• Theo dõi nhà cung cấp.
• Xem xét tuân thủ.

ACT – Cải tiến

• Khắc phục sự cố.
• Điều chỉnh kiểm soát.
• Đào tạo lại.
• Thay công cụ.
• Mở rộng use case hiệu quả.
• Dừng use case không phù hợp.

Như vậy:

AI Governance không phải một dự án IT.

Nó là một hệ thống quản lý.

AI Governance liên quan thế nào đến ISO 9001?

Nếu AI được sử dụng trong QMS, doanh nghiệp có thể tích hợp quản trị AI vào những hoạt động hiện có như:

• Bối cảnh tổ chức.
• Rủi ro và cơ hội.
• Năng lực.
• Kiểm soát thông tin dạng văn bản.
• Kiểm soát quá trình.
• Kiểm soát nhà cung cấp.
• Theo dõi và đo lường.
• Đánh giá nội bộ.
• Hành động khắc phục.
• Cải tiến.

Không nhất thiết xây dựng một “hệ thống AI” tách biệt ngay từ đầu.

AI Governance và ISO/IEC 27001

Khi AI xử lý thông tin, vấn đề an toàn thông tin trở nên đặc biệt quan trọng.

Ví dụ:

Nhân viên đưa hợp đồng vào ChatGPT.

AI Coding Assistant truy cập source code.

AI kết nối cơ sở dữ liệu khách hàng.

Chatbot truy cập CRM.

Các câu hỏi cần xem xét gồm:

Ai được truy cập?

AI được truy cập dữ liệu gì?

Dữ liệu có được đưa sang bên thứ ba không?

Thông tin xác thực được bảo vệ thế nào?

Có ghi nhận sự kiện và sự cố không?

Do đó AI Governance và ISMS có thể liên quan chặt chẽ với nhau.

AI Governance và ISO/IEC 42001 khác nhau thế nào?

Hai khái niệm này liên quan nhưng không hoàn toàn giống nhau.

AI Governance là khái niệm rộng về cách tổ chức định hướng, kiểm soát và chịu trách nhiệm đối với AI.

ISO/IEC 42001 là một tiêu chuẩn hệ thống quản lý cung cấp khuôn khổ để tổ chức thiết lập, thực hiện, duy trì và cải tiến một AI Management System – AIMS.

Có thể hình dung:

AI Governance = Mục tiêu quản trị rộng

ISO/IEC 42001 = Một khuôn khổ hệ thống quản lý có thể sử dụng để thực hiện quản trị AI có hệ thống

Doanh nghiệp không cần đợi đến khi áp dụng ISO/IEC 42001 mới bắt đầu AI Governance.

AI Governance không có nghĩa là cấm AI

Một sai lầm doanh nghiệp có thể mắc phải là:

Phát hiện rủi ro AI.

↓

Lo lắng.

↓

Ban hành quy định rất chặt.

↓

Nhân viên không dùng được.

↓

Họ dùng tài khoản cá nhân.

↓

Shadow AI tăng.

Kết quả:

Doanh nghiệp tưởng mình đã kiểm soát AI nhưng thực tế AI lại đi ra ngoài hệ thống quản trị.

Mục tiêu phù hợp hơn là:

🟢 AI rủi ro thấp → Cho phép sử dụng thuận tiện.

🟡 AI rủi ro trung bình → Kiểm soát phù hợp.

🔴 AI rủi ro cao → Đánh giá, phê duyệt và giám sát chặt.

AI Governance tốt không phải:

“Cấm AI.”

Mà là:

“Tạo đường an toàn để doanh nghiệp sử dụng AI.”

Checklist AI Governance cho doanh nghiệp

Hãy thử trả lời:

☐ Chúng ta biết những AI nào đang được sử dụng chưa?

☐ Mỗi AI có mục đích rõ ràng không?

☐ Có chủ sở hữu không?

☐ Dữ liệu AI xử lý đã được xác định chưa?

☐ Rủi ro đã được đánh giá chưa?

☐ Công cụ AI đã được phê duyệt chưa?

☐ Người dùng có được đào tạo không?

☐ Đầu ra AI quan trọng được kiểm tra thế nào?

☐ Quyết định nào cần con người phê duyệt?

☐ Có kiểm soát nhà cung cấp AI không?

☐ Có quy trình báo cáo sự cố không?

☐ Có theo dõi hiệu quả AI không?

☐ Có đánh giá lại khi AI thay đổi không?

☐ AI có được đưa vào đánh giá nội bộ khi phù hợp không?

Nếu phần lớn câu trả lời là:

“Chưa biết.”

thì doanh nghiệp có thể đang ở giai đoạn:

AI Adoption > AI Governance

Tức là:

Tốc độ ứng dụng AI đang nhanh hơn tốc độ quản trị AI.

Lộ trình xây dựng AI Governance từ con số 0

Doanh nghiệp không nhất thiết phải bắt đầu bằng một dự án lớn.

Có thể đi theo 7 bước:

Bước 1: Khảo sát AI đang được sử dụng.

↓

Bước 2: Lập AI Inventory.

↓

Bước 3: Ban hành nguyên tắc/Quy định sử dụng AI.

↓

Bước 4: Phân loại AI Use Case theo rủi ro.

↓

Bước 5: Thiết lập kiểm soát tương ứng.

↓

Bước 6: Theo dõi, đánh giá và xử lý sự cố.

↓

Bước 7: Khi mức sử dụng AI đủ lớn, hệ thống hóa AI Governance và xem xét ISO/IEC 42001 nếu phù hợp.

Đây là lộ trình thực tế hơn việc:

“Ngày mai thành lập Ban AI và viết 30 quy trình.”

5 câu hỏi lãnh đạo nên hỏi ngay về AI

Nếu doanh nghiệp đang sử dụng AI, lãnh đạo có thể bắt đầu bằng 5 câu hỏi:

1. Hiện công ty đang dùng những AI nào?

Nếu không ai trả lời được, hãy bắt đầu từ đây.

2. Dữ liệu nào của công ty đang được đưa vào AI?

Đây có thể là câu hỏi quan trọng nhất.

3. AI đang tham gia vào những quyết định nào?

Không chỉ hỏi AI dùng ở đâu.

Hãy hỏi:

AI ảnh hưởng đến quyết định gì?

4. Nếu AI sai, hậu quả lớn nhất là gì?

Câu hỏi này dẫn thẳng đến quản lý rủi ro.

5. Ai chịu trách nhiệm?

Nếu câu trả lời là:

“Chưa rõ.”

thì AI Governance chưa hoàn chỉnh.

Từ ChatGPT đến hệ thống quản trị AI

Một doanh nghiệp có thể bắt đầu rất đơn giản:

Một nhân viên dùng ChatGPT.

Sau đó:

10 người dùng.

100 người dùng.

AI kết nối dữ liệu.

AI tham gia quy trình.

AI phân tích khách hàng.

AI hỗ trợ quyết định.

AI tự động thực hiện hành động.

Đến một thời điểm, câu hỏi:

“Có cho dùng ChatGPT không?”

đã quá nhỏ.

Câu hỏi đúng phải là:

“AI đang đóng vai trò gì trong doanh nghiệp và chúng ta quản trị vai trò đó như thế nào?”

Đó chính là bước chuyển từ:

AI Tool

↓

AI Use Case

↓

AI Risk Management

↓

AI Governance

↓

AI Management System

Kết luận

AI Governance không bắt đầu bằng công nghệ.

Nó bắt đầu bằng trách nhiệm quản trị.

Doanh nghiệp cần biết:

AI nào đang được dùng

↓

Dùng để làm gì

↓

Xử lý dữ liệu nào

↓

Tạo ra rủi ro và cơ hội gì

↓

Kiểm soát ra sao

↓

Ai chịu trách nhiệm

↓

Làm sao biết AI vẫn hoạt động phù hợp

Với doanh nghiệp mới sử dụng AI, một Quy định sử dụng AI + danh mục AI + đánh giá rủi ro có thể là điểm bắt đầu phù hợp.

Khi AI đi sâu hơn vào hoạt động:

Quản lý dữ liệu + nhà cung cấp + năng lực + Human Oversight + sự cố + đánh giá + cải tiến cần được tích hợp.

Và khi AI trở thành một phần quan trọng của doanh nghiệp, tổ chức có thể tiến tới một AI Management System có cấu trúc, trong đó ISO/IEC 42001 là một khuôn khổ đáng xem xét.

AI Governance vì vậy không phải để doanh nghiệp dùng AI ít đi.

Mục tiêu là:

Dùng AI đúng chỗ → Hiểu rủi ro → Kiểm soát tương xứng → Xác định trách nhiệm → Theo dõi hiệu quả → Mở rộng AI một cách có kiểm soát.

Trong kỷ nguyên AI, lợi thế không chỉ thuộc về doanh nghiệp ứng dụng AI nhanh nhất.

Lợi thế bền vững có thể thuộc về doanh nghiệp biết ứng dụng AI nhanh nhưng vẫn quản trị được AI khi nó ngày càng đi sâu vào hoạt động của mình.