Mọi chương trình tuân thủ AI đều bắt đầu ở cùng một chỗ, và hầu hết doanh nghiệp bỏ qua nó để nhảy thẳng vào việc soạn chính sách: kiểm kê xem tổ chức đang thực sự dùng những gì.
Lý do phải bắt đầu từ đây rất đơn giản: không phân loại được rủi ro nếu không biết có bao nhiêu hệ thống; không lập được hồ sơ đánh giá tác động nếu không biết dữ liệu chảy đi đâu; và không viết được chính sách có ý nghĩa nếu không biết nhân viên đang dùng công cụ nào.
Vì sao danh sách của phòng công nghệ thông tin không đủ
Đây là điểm mấu chốt. Danh sách do bộ phận công nghệ thông tin cung cấp thường chỉ gồm các hệ thống được mua sắm chính thức. Nhưng phần lớn công cụ AI trong doanh nghiệp không đi qua con đường đó:
- Phòng marketing đăng ký gói tháng bằng thẻ tín dụng cá nhân rồi lấy hoá đơn hoàn ứng;
- Nhân viên dùng bản miễn phí bằng tài khoản cá nhân;
- Công cụ AI được tích hợp sẵn trong phần mềm đã mua — tính năng tóm tắt trong công cụ họp, gợi ý nội dung trong công cụ thiết kế, chatbot trong nền tảng chăm sóc khách hàng;
- Tính năng AI được nhà cung cấp bật thêm sau mà không ai để ý.
Nhóm thứ ba và thứ tư đặc biệt quan trọng: doanh nghiệp có thể đang xử lý dữ liệu bằng AI mà không hề chủ động mua một công cụ AI nào.
Bốn cách phát hiện
| Cách | Phát hiện được gì |
|---|---|
| Rà chứng từ chi — thẻ tín dụng công ty, hoàn ứng, hoá đơn dịch vụ 12 tháng gần nhất | Công cụ trả phí do phòng ban tự đăng ký. Đây là cách hiệu quả nhất |
| Hỏi từng phòng ban bằng câu hỏi cụ thể | Công cụ miễn phí và công cụ dùng bằng tài khoản cá nhân |
| Rà danh mục phần mềm đang dùng, tìm tính năng AI đã được bật | AI tích hợp sẵn trong phần mềm đã mua |
| Rà mã theo dõi và tích hợp trên website, ứng dụng | Công cụ phân tích, cá nhân hoá, chatbot — nhóm chạm cả nghĩa vụ dữ liệu lẫn nghĩa vụ minh bạch |
Cách hỏi cho ra kết quả thật
Câu hỏi "phòng mình có dùng công cụ AI nào không" thường nhận về câu trả lời "không". Không phải vì người ta giấu, mà vì họ không nghĩ công cụ mình dùng là AI.
Câu hỏi cho ra kết quả thật là câu hỏi theo hành vi:
- Anh chị có dùng công cụ nào để viết hoặc sửa nội dung không?
- Có công cụ nào tóm tắt tài liệu, tóm tắt cuộc họp không?
- Có công cụ nào tạo hình ảnh, chỉnh ảnh không?
- Có công cụ nào dịch, chuyển giọng nói thành văn bản không?
- Có công cụ nào tự động trả lời khách hàng không?
- Có công cụ nào gợi ý, xếp hạng, chấm điểm gì đó không?
Nên hỏi kèm cam kết rõ ràng: mục đích là kiểm kê để bảo vệ tổ chức, không phải để xử lý ai. Nếu người trả lời sợ bị phạt vì đã dùng công cụ chưa được duyệt thì kết quả kiểm kê sẽ thiếu, và đó là kết quả tệ nhất.
Thông tin cần ghi cho mỗi hệ thống
| Cột | Vì sao cần |
|---|---|
| Tên công cụ và nhà cung cấp | Định danh cơ bản |
| Phòng ban sử dụng và người phụ trách | Có tên người thì mới cập nhật được |
| Dùng cho việc gì | Cơ sở để phân loại rủi ro |
| Loại dữ liệu đưa vào | Có dữ liệu cá nhân không, có dữ liệu nhạy cảm không |
| Nơi lưu trữ, xử lý dữ liệu | Xác định có phát sinh chuyển dữ liệu xuyên biên giới không |
| Có dùng dữ liệu để huấn luyện không | Kiểm cấu hình thực tế, không tin mô tả trên trang bán hàng |
| Đầu ra có ra ngoài không | Xác định nghĩa vụ gắn nhãn |
| Có tham gia quyết định về con người không | Dấu hiệu của nhóm rủi ro cao |
| Chi phí và hình thức thanh toán | Phát hiện công cụ trùng lặp và công cụ không còn dùng |
| Ngày kiểm kê gần nhất | Bảng không có ngày là bảng không kiểm được |
Hai cột được đánh dấu đậm ở giữa — nơi lưu trữ dữ liệu và có dùng dữ liệu để huấn luyện không — là hai cột quyết định phần lớn nghĩa vụ, và cũng là hai cột phải tự kiểm trong phần cài đặt chứ không chép từ tài liệu tiếp thị.
Kết quả kiểm kê dùng để làm gì
- Phân loại rủi ro từng hệ thống theo ba mức, và xác định hệ thống nào thuộc nhóm rủi ro cao;
- Xác định luồng dữ liệu ra nước ngoài, từ đó biết cần lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới cho những luồng nào;
- Xác định nội dung nào thuộc diện phải gắn nhãn;
- Cắt bớt — đây là kết quả có giá trị tức thì. Phần lớn đợt kiểm kê phát hiện công cụ trùng chức năng, công cụ không ai dùng nữa nhưng vẫn trả phí, và mã theo dõi còn nằm trên website từ dự án cũ. Gỡ chúng vừa giảm chi phí vừa giảm nghĩa vụ tuân thủ.
Ba việc làm ngay sau khi có danh sách
- Tắt chế độ dùng dữ liệu để huấn luyện trên mọi công cụ dùng cho tài liệu nội bộ và tài liệu khách hàng. Việc này mất vài phút mỗi công cụ và giảm rủi ro nhiều nhất trên đơn vị công sức.
- Chuyển vùng lưu trữ về trong nước ở những công cụ có tuỳ chọn đó.
- Gỡ công cụ và mã theo dõi không còn phục vụ mục đích nào.
Duy trì
Kiểm kê một lần là ảnh chụp; điều cần là quy trình. Ba cơ chế tối thiểu: cập nhật khi có công cụ mới qua một biểu mẫu đề xuất đơn giản; rà lại toàn bộ mỗi quý; và rà chứng từ chi định kỳ để bắt các công cụ vào tổ chức qua đường không chính thức.
Cơ chế thứ ba là cơ chế duy nhất phát hiện được thứ mà không ai chủ động khai báo.
Hỏi đáp nhanh
Vì sao danh sách công cụ AI của phòng công nghệ thông tin thường không đủ?
Vì phần lớn công cụ AI không đi qua con đường mua sắm chính thức: phòng ban tự đăng ký bằng thẻ cá nhân, nhân viên dùng bản miễn phí, AI tích hợp sẵn trong phần mềm đã mua, và tính năng AI được nhà cung cấp bật thêm sau mà không ai để ý.
Cách nào phát hiện công cụ AI đang dùng hiệu quả nhất?
Rà chứng từ chi — thẻ tín dụng công ty, hoàn ứng, hoá đơn dịch vụ trong 12 tháng gần nhất. Đây là cách bắt được công cụ trả phí do phòng ban tự đăng ký, thứ mà không ai chủ động khai báo. Kèm theo là hỏi từng phòng ban bằng câu hỏi theo hành vi, rà tính năng AI trong phần mềm đã mua, và rà mã theo dõi trên website.
Hỏi nhân viên thế nào để ra kết quả thật?
Hỏi theo hành vi thay vì hỏi có dùng AI không — vì nhiều người không nghĩ công cụ mình dùng là AI. Ví dụ: có dùng công cụ nào để viết hoặc sửa nội dung, tóm tắt tài liệu, tạo hoặc chỉnh ảnh, dịch, tự động trả lời khách hàng, gợi ý hay chấm điểm không. Và nên cam kết rõ mục đích là kiểm kê chứ không phải để xử lý ai.
Thông tin nào quan trọng nhất cần ghi cho mỗi công cụ?
Nơi lưu trữ và xử lý dữ liệu, và công cụ có dùng dữ liệu để huấn luyện hay không. Hai thông tin này quyết định phần lớn nghĩa vụ tuân thủ, và phải tự kiểm trong phần cài đặt chứ không chép từ tài liệu tiếp thị của nhà cung cấp.
Kiểm kê xong nên làm gì ngay?
Ba việc: tắt chế độ dùng dữ liệu để huấn luyện trên mọi công cụ dùng cho tài liệu nội bộ và khách hàng; chuyển vùng lưu trữ về trong nước ở công cụ có tuỳ chọn đó; và gỡ những công cụ, mã theo dõi không còn phục vụ mục đích nào — vừa giảm chi phí vừa giảm nghĩa vụ tuân thủ.
Lưu ý: Bài viết tổng hợp quy định đang có hiệu lực tại thời điểm đăng và chỉ mang tính tham khảo, không thay thế ý kiến pháp lý cho một vụ việc cụ thể. Văn bản pháp luật có thể được sửa đổi; vui lòng đối chiếu bản mới nhất hoặc trao đổi với luật sư trước khi quyết định.