Khung quản trị AI mà doanh nghiệp nhỏ có thể vận hành

Khung quản trị AI là gì?

Khung quản trị AI là hệ thống quản lý đứng sau chính sách AI: quy định ai có thể phê duyệt một công cụ hoặc cách sử dụng AI, những gì phải được ghi lại, cách kiểm tra rủi ro và thời điểm xem xét lại quyết định. Chính sách sử dụng được chấp nhận cho nhân viên biết phải làm gì; cơ chế quản trị quyết định nội dung của chính sách đó và bảo đảm chính sách luôn chính xác.

Hầu hết các khung hướng dẫn đã công bố đều được viết cho những tổ chức lớn tự xây dựng hệ thống AI. Một công ty có từ 5 đến 200 người sử dụng trợ lý có sẵn cần áp dụng cùng cách tiếp cận đó ở quy mô nhỏ hơn nhiều. Mục tiêu là mỗi cách sử dụng được phê duyệt đều có người phụ trách, lý do và ngày rà soát, đồng thời không ai phải đoán ai là người quyết định.

Trang này cung cấp thông tin chung, không phải tư vấn pháp lý. Nếu tích hợp AI vào sản phẩm, tự động hóa các quyết định về con người hoặc hoạt động trong lĩnh vực chịu sự quản lý chuyên ngành, bạn cần được chuyên gia rà soát sâu hơn những nội dung được mô tả ở đây.

Khung quản lý rủi ro AI của NIST áp dụng như thế nào cho công ty nhỏ?

Khung quản lý rủi ro AI của NIST là một khung tự nguyện, được công bố ngày 26 tháng 1 năm 2023, tổ chức công việc quản lý rủi ro AI thành bốn chức năng: Quản trị, Lập bản đồ, Đo lường và Quản lý. NIST cho biết khung này được thiết kế để sử dụng tự nguyện, không dành riêng cho ngành hay trường hợp sử dụng nào, tạo sự linh hoạt cho các tổ chức ở mọi quy mô. NIST cũng cho biết người dùng có thể lựa chọn các hạng mục phù hợp với nguồn lực và năng lực của mình. Đó chính là cách một nhóm nhỏ nên áp dụng.

Quản trị là chức năng xuyên suốt: văn hóa, chính sách, vai trò và trách nhiệm giải trình. Xác định bối cảnh làm rõ bối cảnh sử dụng hệ thống và những rủi ro trong bối cảnh đó. Đo lường phân tích và theo dõi những rủi ro này bằng phương pháp định tính hoặc định lượng. Quản lý phân bổ nguồn lực để xử lý những rủi ro đã xác định, đồng thời bao gồm kế hoạch ứng phó và phục hồi sau sự cố. Trang của NIST lưu ý rằng khung này đang được sửa đổi, vì vậy hãy kiểm tra phiên bản hiện hành trước khi trích dẫn.

Bảng dưới đây là phiên bản chúng tôi điều chỉnh cho các nhóm nhỏ. Đây không phải hồ sơ NIST chính thức và việc sử dụng bảng này không có nghĩa là công ty đáp ứng bất kỳ yêu cầu tuân thủ nào.

Ai nên chịu trách nhiệm quản trị AI trong một doanh nghiệp nhỏ?

Cần chỉ định rõ một người chịu trách nhiệm quản trị AI, cùng cơ chế phê duyệt rõ ràng cho những quyết định họ không thể tự đưa ra. Trong thực tế, ở công ty dưới 50 người, người đó thường là nhà sáng lập hoặc giám đốc vận hành; còn ở công ty lớn hơn, đó thường là trưởng bộ phận vận hành hoặc công nghệ thông tin báo cáo cho ban lãnh đạo. Hướng dẫn quản trị của NIST bao gồm việc lãnh đạo điều hành chịu trách nhiệm về các quyết định liên quan đến rủi ro AI, cùng các vai trò và luồng trao đổi thông tin được xác định rõ.

Một cách phân công khả thi cho công ty phần mềm giả định Kestrel Systems với 60 người: giám đốc vận hành quản lý danh mục và phê duyệt công cụ mới; người phụ trách bảo vệ dữ liệu phê duyệt mọi hình thức sử dụng liên quan đến dữ liệu cá nhân; mỗi trưởng bộ phận phê duyệt quy trình và kiểm tra kết quả trong phạm vi của mình; giám đốc điều hành phê duyệt đợt rà soát hằng năm. Bốn người bao quát mọi việc, và mỗi người đều biết câu hỏi nào thuộc trách nhiệm của mình.

Sổ theo dõi AI nên ghi lại những gì?

Sổ đăng ký AI nên ghi lại từng công cụ và cách sử dụng đã được phê duyệt, cùng gói dịch vụ, nhiệm vụ được phép, thông tin được phép sử dụng, người chịu trách nhiệm, người rà soát và ngày rà soát. Hướng dẫn về quản trị của NIST có đề cập đến cơ chế kiểm kê hệ thống AI, với nguồn lực được phân bổ theo mức độ ưu tiên rủi ro; đối với công ty nhỏ, một bảng tính dùng chung là đủ.

Ghi lại cả thông tin về bên thứ ba, vì gần như mọi hệ thống AI mà một công ty nhỏ sử dụng đều thuộc về nhà cung cấp. Tài liệu của NIST về chức năng Quản trị đề cập đến các chính sách đối với rủi ro AI từ bên thứ ba và quy trình dự phòng khi hệ thống của bên thứ ba gặp sự cố. Trong sổ theo dõi, cần ghi: điều khoản của nhà cung cấp quy định gì về huấn luyện mô hình, lưu giữ và xóa dữ liệu, lần gần nhất bạn kiểm tra là khi nào, và bạn sẽ làm gì nếu công cụ không còn sử dụng được hoặc thay đổi điều khoản.

Dòng ví dụ cho Kestrel: "Công cụ: không gian làm việc dành cho doanh nghiệp của [trợ lý]. Mục đích sử dụng: soạn thảo tài liệu nội bộ và tóm tắt nghiên cứu công khai. Thông tin: chỉ thông tin công khai và nội bộ. Người phụ trách: giám đốc vận hành. Người duyệt: quản lý trực tiếp của người soạn đối với mọi nội dung dùng bên ngoài. Ngày kiểm tra điều khoản của nhà cung cấp: [ngày]. Phương án dự phòng: soạn thảo không dùng AI. Lần rà soát tiếp theo: [ngày]."

Nên phê duyệt một cách sử dụng AI mới như thế nào?

Một cách sử dụng AI mới cần được phê duyệt qua một đề nghị ngắn bằng văn bản, trả lời năm câu hỏi để người phụ trách có thể quyết định nhanh và quyết định được lưu lại. Phần lớn đề nghị trong một công ty nhỏ có rủi ro thấp và chỉ nên mất một ngày, không cần họp hội đồng. Quy trình chậm khiến mọi người dễ bỏ qua.

Biểu mẫu đề nghị của Kestrel dài năm dòng. Nếu bất kỳ câu trả lời nào liên quan đến dữ liệu cá nhân hoặc quyết định về một người, đề nghị phải được chuyển đến người phụ trách phê duyệt dữ liệu trước khi được chấp thuận.

Chính sách quản trị AI nên dựa trên những nguyên tắc nào?

Không có một danh sách nguyên tắc quản trị AI thống nhất; các khung khác nhau sử dụng những nguyên tắc khác nhau, vì vậy hãy chọn một bộ ngắn gọn mà nhóm của bạn có thể áp dụng. NIST liệt kê các đặc tính của AI đáng tin cậy: có giá trị sử dụng và đáng tin cậy, an toàn, bảo mật và có khả năng chống chịu, có trách nhiệm giải trình và minh bạch, có thể giải thích và diễn giải, tăng cường quyền riêng tư, và công bằng với các thiên lệch gây hại được kiểm soát. Cẩm nang AI của chính phủ Anh, xuất bản vào tháng Hai năm 2025 dành cho công chức, đưa ra mười nguyên tắc, bắt đầu bằng việc hiểu AI là gì và có những giới hạn nào, đồng thời bao gồm sự kiểm soát thực chất của con người ở các giai đoạn phù hợp.

Với doanh nghiệp nhỏ, ba nguyên tắc làm việc thường là đủ: mỗi cách sử dụng đều có người chịu trách nhiệm cụ thể; thông tin chỉ được đưa đến nơi được phép; và mọi kết quả được sử dụng đều phải có người kiểm tra và chịu trách nhiệm. Nếu một đề xuất sử dụng không đáp ứng được cả ba nguyên tắc, đề xuất đó chưa đủ điều kiện để phê duyệt.

Đôi khi mọi người hỏi về ba trụ cột của quản trị AI. Không có một bộ trụ cột tiêu chuẩn nào. Một cách nhìn thực tế là con người (ai ra quyết định và ai được đào tạo), quy trình (cách phê duyệt và rà soát việc sử dụng) và hồ sơ (sổ theo dõi cùng các quyết định được ghi trong đó).

Nên xem xét lại các quyết định quản trị AI bao lâu một lần?

Rà soát toàn bộ sổ theo dõi ít nhất mỗi năm một lần, đồng thời rà soát từng mục mỗi khi nhà cung cấp thay đổi điều khoản, gói dịch vụ thay đổi, hợp đồng khách hàng bổ sung điều khoản về AI hoặc một vấn đề được báo cáo cho thấy quy trình làm việc không hiệu quả. Hướng dẫn về quản trị của NIST đề cập đến việc giám sát liên tục và rà soát định kỳ quy trình quản lý rủi ro.

Với một công ty nhỏ, nửa giờ mỗi quý thường là đủ: người phụ trách đọc nhật ký vấn đề, kiểm tra hai hoặc ba điều khoản của nhà cung cấp, hỏi các trưởng bộ phận xem có cách sử dụng nào thay đổi không và ngừng dùng những công cụ không ai sử dụng. Loại bỏ công cụ không dùng đến là một phần của quản trị; hướng dẫn về quản trị của NIST bao gồm các quy trình ngừng vận hành hệ thống AI một cách an toàn.

Đào tạo có vai trò gì trong quản trị AI?

Đào tạo là phần trong công tác quản trị giúp các quy định có thể áp dụng được. Hướng dẫn quản trị của NIST có nội dung về việc nhân sự được đào tạo quản lý rủi ro AI. Đối với Liên minh châu Âu, phần hỏi đáp của Ủy ban châu Âu về hiểu biết AI liên quan đến Điều 4 của EU AI Act nêu rõ rằng không có cách tiếp cận chung phù hợp với mọi trường hợp, không bắt buộc có chứng chỉ và hồ sơ đào tạo nội bộ là đủ.

Ghi lại ai đã được đào tạo về nội dung gì, đồng thời tập trung đào tạo vào những tác vụ mọi người thực sự làm. Tosheo.ai đang được xây dựng để cung cấp hoạt động thực hành theo vai trò, với chế độ xem dành cho quản lý để theo dõi tiến bộ kỹ năng và mức độ hoàn thành; đây không phải là nền tảng quản trị và không lưu giữ sổ theo dõi của bạn.

Khi nào một công ty nhỏ cần nhiều hơn thế này?

Bạn cần nhiều hơn một bộ khung đơn giản nếu phát triển hệ thống AI, tích hợp AI vào sản phẩm, dùng AI để đưa ra hoặc hỗ trợ các quyết định quan trọng liên quan đến con người, xử lý dữ liệu thuộc nhóm đặc biệt trên quy mô lớn hoặc hoạt động trong lĩnh vực chịu sự quản lý chuyên ngành. Những trường hợp này có thể cần đánh giá rủi ro hoặc tác động chính thức, hệ thống quản lý có thể được chứng nhận và rà soát pháp lý.

Có các phần mềm chuyên dụng để quản trị AI, chủ yếu dành cho những tổ chức lớn hơn. Với một nhóm chỉ dùng vài trợ lý, một sổ theo dõi trên bảng tính, một chính sách ngắn gọn và một ngày rà soát thường là đủ, đồng thời cũng dễ duy trì cập nhật hơn.

Nguồn và phạm vi

NIST, Khung quản lý rủi ro AI 1.0 (NIST AI 100-1), January 2023 ↗

NIST, trang tổng quan về Khung quản lý rủi ro AI, kiểm tra ngày 16 October 2026 ↗

Sổ tay hướng dẫn Khung quản lý rủi ro AI của NIST: Quản trị, kiểm tra ngày 16 October 2026 ↗

GOV.UK, Cẩm nang AI dành cho Chính phủ Vương quốc Anh, 10 tháng 2 năm 2025 ↗

Ủy ban châu Âu, Năng lực sử dụng AI - Hỏi và đáp, cập nhật lần cuối ngày 27 July 2026 ↗