Đánh giá rủi ro trước khi triển khai AI không cần một bộ hồ sơ dày: với doanh nghiệp nhỏ, một trang trả lời năm câu hỏi, dữ liệu gì đi vào, AI được làm gì, ai bị ảnh hưởng khi nó sai, phát hiện sai bằng cách nào, và tắt nó đi ra sao, đã đủ để thấy phần lớn rủi ro và chọn được biện pháp phù hợp. Trang đó cũng giúp bạn nhận ra những trường hợp chưa nên dùng AI.
Các bài khác trong chuyên mục này đi sâu vào từng điểm yếu riêng của AI: chèn lệnh ẩn, ảo giác, quyền của tác tử, dữ liệu bị đầu độc, mã do AI viết. Bài này ghép chúng lại thành một cách nhìn tổng thể dành cho chủ doanh nghiệp, người phải quyết có dùng hay không, dùng đến đâu. Không cần biết kỹ thuật; cần biết đặt câu hỏi và ghi lại câu trả lời.
Vì sao cần đánh giá riêng cho từng hệ AI
Cùng gọi là dùng AI, nhưng một chatbot trả lời giờ mở cửa và một công cụ tự lọc hồ sơ ứng viên có mức rủi ro khác nhau rất xa. Cái thứ nhất nói sai thì khách hỏi lại; cái thứ hai sai thì một người mất cơ hội việc làm mà không biết vì sao, và công ty có thể vướng chuyện đối xử không công bằng. Không thể áp một quy định chung kiểu được dùng AI hay cấm dùng AI cho mọi trường hợp.
Đánh giá rủi ro cũng không nhằm tìm lý do để không làm. Mục tiêu là biết mình đang chấp nhận rủi ro gì, đã có biện pháp nào, ai chịu trách nhiệm. Nhiều hệ AI sau khi đánh giá vẫn được triển khai, chỉ là với quyền hẹp hơn, có thêm bước duyệt, hoặc bắt đầu ở quy mô nhỏ. Một số ít thì nên dừng lại, và biết dừng trước khi đầu tư là tiết kiệm lớn.
Thói quen đánh giá còn có ích khi có sự cố. Lúc đó bạn có sẵn một trang ghi rõ đã lường trước những gì, đã làm gì, để rút kinh nghiệm thay vì đổ lỗi cho công cụ hay cho người cài đặt.
Năm câu hỏi lõi
Mỗi hệ AI định triển khai trả lời năm câu dưới đây. Viết ngắn, bằng lời thường, ai trong công ty đọc cũng hiểu.
| Câu hỏi | Cần ghi gì | Dấu hiệu rủi ro cao |
|---|---|---|
| Dữ liệu gì đi vào AI? | Loại dữ liệu, có thông tin cá nhân, bí mật kinh doanh không, đi đến nhà cung cấp nào | Có dữ liệu cá nhân nhạy cảm, dữ liệu khách hàng hàng loạt, bí mật công ty |
| AI được làm gì? | Chỉ gợi ý, soạn nháp, hay tự hành động; hành động nào rút lại được | Tự gửi đi, tự chuyển tiền, tự ra quyết định về con người |
| Ai bị ảnh hưởng khi AI sai? | Nhân viên, khách hàng, đối tác, người ngoài | Người bị ảnh hưởng không biết có AI tham gia và không có cách khiếu nại |
| Phát hiện sai bằng cách nào? | Ai kiểm, kiểm bao nhiêu phần, bao lâu một lần | Không ai kiểm, hoặc chỉ biết khi khách phàn nàn |
| Tắt và rút lại thế nào? | Ai có quyền tắt, mất bao lâu, quay về cách làm cũ được không | Không còn ai biết làm theo cách cũ, không có phương án thay thế |
Nếu có từ hai dấu hiệu rủi ro cao trở lên, hệ AI đó cần thêm biện pháp trước khi chạy, hoặc nên bắt đầu ở quy mô thử nghiệm với dữ liệu đã che thông tin cá nhân và bí mật kinh doanh.
Lập sổ rủi ro một trang
Sổ rủi ro chỉ là một trang ghi chép, có thể là bảng tính đơn giản. Cách lập:
- Ghi tên hệ AI và việc nó làm. Một câu, ví dụ: chatbot trên fanpage trả lời câu hỏi về sản phẩm và nhận đơn, không tra cứu đơn cũ.
- Ghi câu trả lời cho năm câu hỏi lõi. Dùng bảng ở trên làm khung.
- Liệt kê ba đến năm rủi ro chính. Mỗi rủi ro một dòng: chuyện gì có thể xảy ra, khả năng cao hay thấp, hậu quả nặng hay nhẹ.
- Ghi biện pháp cho từng rủi ro. Ví dụ: không nạp giá nhập, có người duyệt trước khi gửi báo giá, nhật ký được xem mỗi tuần.
- Ghi tên người chịu trách nhiệm. Một người cụ thể, không ghi chung chung là bộ phận.
- Ghi ngày xem lại. Ba tháng sau khi chạy, hoặc ngay khi đổi nhà cung cấp, thêm dữ liệu mới, mở rộng quyền.
Toàn bộ việc này mất khoảng một giờ cho một hệ AI đơn giản. Nếu bạn thấy không thể trả lời được một câu nào đó, chẳng hạn không biết dữ liệu đi đến đâu, đó chính là phát hiện quan trọng nhất của buổi đánh giá.
Ba hệ AI giả định, ba mức rủi ro
Để hình dung, dưới đây là đánh giá rút gọn cho ba hệ AI giả định ở một công ty dịch vụ khoảng ba mươi người.
| Hệ AI | Mức rủi ro | Lý do chính | Biện pháp đề xuất |
|---|---|---|---|
| Trợ lý soạn nháp thư cho nhân viên | Thấp | Chỉ soạn nháp, người gửi luôn đọc lại | Hướng dẫn che thông tin khách trước khi dán, dùng tài khoản doanh nghiệp |
| Chatbot trả lời khách về dịch vụ và nhận lịch hẹn | Trung bình | Nói trực tiếp với khách, có thể sai chính sách hoặc lộ thông tin | Chỉ nạp thông tin công khai, không tra cứu lịch cũ, kiểm bộ câu hỏi chuẩn mỗi tháng |
| AI lọc và xếp hạng hồ sơ ứng viên | Cao | Quyết định ảnh hưởng đến người ngoài, có thể thiên lệch, ứng viên không biết | Chỉ dùng để tóm tắt hồ sơ, người tuyển dụng đọc mọi hồ sơ trước khi loại; hoặc chưa triển khai |
Điểm đáng chú ý là hệ thứ ba không bị loại vì công nghệ kém, mà vì bản chất việc nó làm: ra quyết định về con người. Với loại việc này, nhiều doanh nghiệp chọn giữ AI ở vai trò hỗ trợ đọc, còn quyết định do người làm.
Những rủi ro hay bị bỏ quên khi đánh giá
Người dùng tin AI quá mức. Sau vài tuần AI làm tốt, người duyệt bắt đầu bấm đồng ý mà không đọc. Bước duyệt vẫn có trên giấy nhưng thực tế đã biến mất. Cần kiểm định kỳ xem bước duyệt có thật sự được làm.
Thiên lệch trong kết quả. AI học từ dữ liệu có sẵn, mà dữ liệu có thể mang định kiến về giới, tuổi, vùng miền. Hệ AI chấm, lọc, xếp hạng con người cần được kiểm xem có đối xử khác nhau giữa các nhóm không.
Chi phí tăng vọt. Khoá dịch vụ AI bị lộ hoặc chatbot bị người lạ gọi liên tục có thể đẩy hoá đơn lên cao bất ngờ. Đặt hạn mức chi tiêu và cảnh báo ở tài khoản nhà cung cấp.
Nhà cung cấp đổi mô hình. Kết quả đang ổn có thể thay đổi khi nhà cung cấp nâng cấp mô hình. Ghi lại bộ câu hỏi chuẩn để kiểm lại sau mỗi lần thay đổi.
Nghĩa vụ với dữ liệu cá nhân. Đưa dữ liệu khách hay nhân viên vào công cụ AI, nhất là của nhà cung cấp nước ngoài, kéo theo nghĩa vụ theo quy định bảo vệ dữ liệu cá nhân hiện hành. Phần này được bàn riêng ở chuyên mục luật dữ liệu cá nhân.
Khi nào nên chưa triển khai
Đánh giá rủi ro có giá trị nhất khi nó giúp bạn nói chưa đúng lúc. Những tình huống sau là tín hiệu nên dừng lại hoặc thu hẹp phạm vi:
- Không trả lời được dữ liệu sẽ đi đâu, lưu bao lâu, ai xem được.
- Hệ AI sẽ tự ra quyết định ảnh hưởng đến quyền lợi của người khác mà không có người duyệt.
- Không có ai trong công ty đủ thời gian để theo dõi và chịu trách nhiệm.
- Nhà cung cấp hứa hệ thống an toàn tuyệt đối, không sai bao giờ, và không cho xem cách xử lý dữ liệu.
- Không có cách quay về quy trình cũ nếu phải tắt AI.
- Lợi ích dự kiến nhỏ, trong khi dữ liệu đưa vào rất nhạy cảm.
Nói chưa không có nghĩa là không bao giờ. Ghi lại lý do, và xem lại khi có công cụ phù hợp hơn hoặc khi công ty đã có người phụ trách.
Ví dụ giả định: một buổi đánh giá cứu một khoản đầu tư
Một công ty môi giới việc làm nhỏ định mua dịch vụ AI tự đọc hồ sơ, chấm điểm và gửi thư từ chối cho ứng viên không đạt. Trong buổi đánh giá một giờ, chủ công ty và trưởng nhóm tuyển dụng trả lời năm câu hỏi và nhận ra: hồ sơ chứa đủ thông tin cá nhân, AI tự gửi thư từ chối, ứng viên không biết có AI tham gia, không ai kiểm kết quả chấm, và nhà cung cấp không nói rõ dữ liệu lưu ở đâu.
Họ quyết định không mua gói tự động hoàn toàn. Thay vào đó dùng AI để tóm tắt hồ sơ cho người tuyển dụng đọc nhanh hơn, với dữ liệu đã che số giấy tờ và địa chỉ, còn quyết định và thư từ chối do người làm. Lợi ích về thời gian vẫn đạt được phần lớn, trong khi rủi ro lớn nhất được loại bỏ. Trang đánh giá được lưu lại và xem lại sau ba tháng.
Ba tháng sau, khi xem lại, họ phát hiện thêm một điều: người tuyển dụng bắt đầu chỉ đọc bản tóm tắt mà không mở hồ sơ gốc, kể cả với những ứng viên bị loại. Bước duyệt của con người đang mỏng dần đúng như cảnh báo về chuyện tin AI quá mức. Công ty bổ sung một quy ước nhỏ: hồ sơ nào bị loại thì người tuyển dụng phải mở bản gốc đọc ít nhất phần kinh nghiệm. Quy ước này tốn thêm vài phút mỗi hồ sơ, nhưng giữ cho quyết định về con người vẫn thật sự do con người đưa ra. Đó cũng là lý do sổ rủi ro cần có ngày xem lại.
Câu hỏi thường gặp
Doanh nghiệp rất nhỏ có cần đánh giá rủi ro trước khi dùng AI không?
Cần, nhưng ở mức gọn. Một trang trả lời năm câu hỏi lõi cho mỗi hệ AI là đủ. Việc này mất khoảng một giờ và giúp tránh những sai lầm tốn kém hơn nhiều, nhất là khi AI chạm vào dữ liệu khách hàng.
Ai trong công ty nên làm đánh giá rủi ro?
Chủ doanh nghiệp hoặc người được giao trách nhiệm cùng với người sẽ dùng hệ AI hằng ngày. Người dùng hiểu việc thực tế, chủ doanh nghiệp quyết định mức rủi ro chấp nhận được. Nếu có người làm IT, mời họ trả lời phần dữ liệu và quyền.
Dùng ChatGPT hay Claude cho việc cá nhân trong công việc có cần đánh giá không?
Với việc soạn nháp, tóm tắt tài liệu không nhạy cảm, đánh giá có thể chỉ là một quy định chung về dữ liệu được phép đưa vào. Khi công cụ được nối vào hệ thống công ty hoặc xử lý dữ liệu khách, cần đánh giá riêng.
Bao lâu thì nên đánh giá lại?
Ít nhất ba đến sáu tháng một lần, và ngay khi có thay đổi lớn như đổi nhà cung cấp, thêm nguồn dữ liệu, mở rộng quyền, cho AI làm thêm việc mới, hoặc sau một sự cố dù nhỏ.
Đánh giá rủi ro có thay được kiểm thử bảo mật không?
Không. Đánh giá rủi ro giúp bạn hiểu và quyết định; kiểm thử bảo mật kiểm xem hệ thống có lỗ hổng kỹ thuật không. Với hệ AI xử lý nhiều dữ liệu khách hoặc dính đến tiền, nên có cả hai.
Nhà cung cấp nói hệ thống đã tuân thủ mọi quy định thì có cần đánh giá nữa không?
Vẫn cần. Nhà cung cấp chịu trách nhiệm phần của họ, còn cách bạn dùng, dữ liệu bạn đưa vào, quyền bạn cấp là phần của bạn. Hãy yêu cầu tài liệu cụ thể thay vì chỉ nghe cam kết chung.