Với sự phổ biến của công nghệ AI, các doanh nghiệp không còn đối mặt với câu hỏi "liệu có nên sử dụng AI" mà là "làm thế nào để sử dụng AI một cách an toàn và có trách nhiệm". Tiêu chuẩn quốc tế ISO/IEC 42001:2023 ra đời, một bộ tiêu chuẩn dành cho Hệ thống Quản lý Trí tuệ Nhân tạo (AIMS, Artificial Intelligence Management System), đang định nghĩa lại năng lực cạnh tranh AI của doanh nghiệp.
Bài viết này sẽ phân tích giá trị cốt lõi, đối tượng áp dụng của ISO 42001 và các điểm trọng tâm trong quá trình kiểm định thực tế, từ góc độ thực hành của chuyên gia tư vấn.
ISO/IEC 42001 là gì? Không chỉ quản lý kỹ thuật, mà còn quản lý "Quản trị AI"
Nhiều người lầm tưởng ISO 42001 là một tiêu chuẩn kỹ thuật để đánh giá "AI có dễ sử dụng không" hay "mô hình có chính xác không", nhưng đây là một quan niệm sai lầm phổ biến. ISO 42001 về bản chất là một "tiêu chuẩn quản lý".
Nó quan tâm đến cách tổ chức sử dụng, phát triển, giám sát hoặc cung cấp các sản phẩm và dịch vụ AI theo cách có cấu trúc, có thể quản trị, có thể truy xuất nguồn gốc và có thể kiểm soát rủi ro. Tiêu chuẩn đặc biệt nhấn mạnh sáu khía cạnh cốt lõi sau:
- An toàn
- Bảo vệ quyền riêng tư
- Công bằng
- Tính minh bạch
- Chất lượng dữ liệu
Nói một cách thông thường: Mở rộng tư duy quản lý ISO quen thuộc sang lĩnh vực AI
Nói một cách thẳng thắn hơn, ISO 42001 giống như việc mở rộng tư duy quản lý quen thuộc của ISO 9001 (chất lượng), ISO 27001 (an ninh thông tin) và ISO 27701 (quyền riêng tư) sang lĩnh vực AI một cách chính thức.
Việc triển khai bộ tiêu chuẩn này nhằm giúp các tổ chức không chỉ "sử dụng AI", mà còn nắm rõ:
Chúng ta sử dụng AI ở đâu? Ai chịu trách nhiệm? Rủi ro là gì? Làm thế nào để kiểm soát? Làm thế nào để giám sát? Nếu có vấn đề xảy ra thì làm thế nào để theo dõi và cải thiện?
Đây cũng là lý do tại sao ISO 42001 có thể tích hợp hoàn hảo với các hệ thống quản lý bảo mật thông tin, quyền riêng tư và chất lượng hiện có, tạo thành một khuôn khổ quản trị toàn diện hơn. Từ góc độ thực tiễn của các nhà tư vấn, giá trị lớn nhất của ISO 42001 là nâng AI từ việc "triển khai công cụ" đơn thuần lên thành một "vấn đề kinh doanh" cần được quản lý chính thức.
Ai cần chứng nhận ISO 42001? 4 loại hình doanh nghiệp chính áp dụng
Từ góc độ của người kiểm toán viên và chuyên gia tư vấn, hiểu lầm dễ phát sinh nhất là: "Chỉ những công ty phát triển mô hình AI mới cần chứng nhận". Thực tế, tiêu chuẩn này áp dụng cho cả nhà phát triển AI (Developer), nhà sản xuất AI (Producer) và người dùng AI (User).
Bất cứ khi nào doanh nghiệp có sự tham gia của AI vào các quyết định hoặc quy trình quan trọng, nhu cầu quản trị AI sẽ bắt đầu phát sinh. Trên thực tế, tôi thường phân loại các tổ chức cần triển khai ISO 42001 thành bốn loại sau:
- Các doanh nghiệp trực tiếp phát triển hoặc cung cấp sản phẩm/dịch vụ AI
- Bao gồm: Các nhà cung cấp nền tảng AI, AI tạo sinh, nhận dạng hình ảnh, mô hình dự đoán, dịch vụ khách hàng thông minh, công cụ đề xuất.
- Nhu cầu: Cần một hệ thống chứng minh với bên ngoài về khả năng quản lý rủi ro AI, chất lượng dữ liệu, sự công bằng và trách nhiệm giải trình.
- Các doanh nghiệp áp dụng sâu AI vào các quyết định nội bộ hoặc bên ngoài
- Bao gồm: Các công ty sử dụng AI để sàng lọc nhân sự, đánh giá tín dụng, hỗ trợ phán đoán y tế, dự báo sản xuất, phân tích rủi ro, diễn giải chất lượng.
- Yêu cầu: Ngay cả khi không phải là nhà phát triển AI, các kết quả do AI tạo ra đã ảnh hưởng trực tiếp đến chất lượng sản phẩm, dịch vụ hoặc quyết định, do đó, cần phải thiết lập các cơ chế quản lý để kiểm soát rủi ro.
- Các công ty đối mặt với áp lực từ quy định, khách hàng hoặc thị trường về độ tin cậy
- Bao gồm: các doanh nghiệp hoạt động trên thị trường quốc tế (ví dụ: cần tuân thủ yêu cầu của Đạo luật AI của Liên minh Châu Âu EU), tham gia các dự án đấu thầu quy mô lớn, đối mặt với yêu cầu nghiêm ngặt về chuỗi cung ứng, hoặc các doanh nghiệp hoạt động trong những tình huống rủi ro cao.
- Yêu cầu: Chứng nhận không chỉ là một điểm cộng, mà còn là "bằng chứng về năng lực quản trị" để có được sự tin tưởng của khách hàng và là bước đệm để gia nhập thị trường.
- Các tổ chức trưởng thành đã tích hợp quản trị AI vào các hệ thống quản lý hiện có
- Bao gồm: Các doanh nghiệp đã đạt chứng nhận ISO 27001, 27701, 9001 và mong muốn hoàn thiện thêm về lĩnh vực AI.
- Nhu cầu: Những công ty thuộc loại này có nền tảng hệ thống quản lý tốt, việc triển khai ISO 42001 thường diễn ra tương đối thuận lợi, chỉ cần tích hợp liền mạch các yêu cầu đặc thù về AI.
Lời khuyên từ chuyên gia: Nếu doanh nghiệp hiện tại chỉ sử dụng các công cụ AI cơ bản với mức độ rủi ro thấp (không liên quan đến các quyết định nhạy cảm, hoạt động cốt lõi hoặc tuân thủ pháp luật), có lẽ không cần vội vàng tiến hành xác minh ngay lập tức. Tuy nhiên, tôi khuyên mạnh mẽ rằng ít nhất nên bắt đầu thực hiện “kiểm kê việc sử dụng AI nội bộ” và “quản trị cơ bản”.Nhiều doanh nghiệp ban đầu chỉ coi AI là công cụ hỗ trợ, nhưng vô tình để AI thâm nhập vào các quy trình quan trọng. Hãy nhớ rằng, không chỉ “các công ty làm về AI” mới cần xem xét tiêu chuẩn 42001, mà “các công ty bị AI ảnh hưởng đến quyết định và quy trình” cũng nên chuẩn bị trước.
ISO 42001 kiểm toán xem gì? 7 điểm chính trong thực tiễn tư vấn
Nếu doanh nghiệp quyết định triển khai chứng nhận ISO 45001, chuyên gia đánh giá sẽ xem xét những hạng mục nào? Theo kinh nghiệm tư vấn thực tế của tôi, các điểm trọng tâm thực sự có thể được chia thành phạm vi cơ bản, hoạt động của hệ thống và bằng chứng thực hiện cụ thể.
Nói một cách dễ hiểu hơn, tôi thường ưu tiên kiểm tra 7 công việc cốt lõi sau cho doanh nghiệp:
- Kiểm kê ứng dụng AI: Có những hệ thống AI nào trong doanh nghiệp? Chúng được sử dụng trong quy trình vận hành nào? Kết quả đầu ra sẽ ảnh hưởng đến ai?
- Phạm vi: Những bộ phận, địa điểm địa lý, sản phẩm, dịch vụ hay chức năng quản lý trung tâm nào cần được đưa vào phạm vi của AIMS?
- Vai trò và trách nhiệm: Đối với mỗi ứng dụng AI, ai là chủ sở hữu (Owner)? Ai chịu trách nhiệm giám sát? Ai chịu trách nhiệm phê duyệt và bảo trì hàng ngày?
- Rủi ro và kiểm soát: Rủi ro tiềm ẩn của AI về an toàn, bảo mật, công bằng, minh bạch, chất lượng dữ liệu, v.v. đã được đánh giá chưa? Có các biện pháp kiểm soát tương ứng không?
- Tích hợp hệ thống: AIMS có tích hợp liền mạch với các cơ chế quản lý nội bộ hiện có của doanh nghiệp như ISO 27001, 27701, 9001 hoặc các cơ chế khác không, để tránh sự chồng chéo và thiếu hiệu quả?
- Bằng chứng vận hành: Có thể đưa ra quỹ đạo cụ thể về đào tạo nhân viên, hồ sơ hàng ngày, xem xét định kỳ, cải tiến bất thường và theo dõi liên tục không?
- Các tình huống kiểm toán tập trung/từ xa: Nếu một công ty có nhiều địa điểm hoạt động, bạn có thể giải thích rõ ràng sự phân công và cơ chế phối hợp giữa chức năng quản lý tập trung và chức năng AI của mỗi địa điểm không?
Nắm vững tinh hoa của việc thẩm định bộ tiêu chuẩn này nằm ở việc làm rõ và thực hiện tốt bảy điều dưới đây.
Tổng kết: Quản trị trong kỷ nguyên AI - Bằng chứng
ISO/IEC 42001 là một bộ tiêu chuẩn về hệ thống quản lý AI bắt kịp thời đại, với mục tiêu cốt lõi là cho phép các tổ chức sử dụng và phát triển AI một cách có thể quản trị, có thể truy xuất nguồn gốc và đáng tin cậy.
Những người cần nó không chỉ giới hạn ở các nhà phát triển AI, mà là bất kỳ doanh nghiệp nào ứng dụng AI vào các sản phẩm, dịch vụ và quy trình ra quyết định quan trọng. Đối mặt với làn sóng AI trong tương lai, việc đảm bảo phạm vi AI rõ ràng, trách nhiệm được xác định, rủi ro được kiểm soát và có một hệ thống có thể hoạt động thực tế và lưu lại hồ sơ sẽ là chỗ dựa vững chắc nhất để doanh nghiệp giành được sự tin tưởng của thị trường.
Nhà cung cấp giải pháp một cửa