AI đã đi vào công việc hằng ngày nhanh hơn tốc độ nhiều doanh nghiệp kịp ban hành chính sách. Nhân viên có thể dùng AI để soạn email, tóm tắt tài liệu, viết proposal, dịch văn bản, tạo nội dung, phân tích dữ liệu, làm slide hoặc hỗ trợ phản hồi khách hàng. Ở cấp cá nhân, những công cụ này giúp công việc nhanh hơn. Nhưng ở cấp doanh nghiệp, câu hỏi quan trọng hơn là: nhân viên đang dùng AI bằng dữ liệu nào, dùng công cụ nào, output có được kiểm chứng không, và ai chịu trách nhiệm nếu kết quả sai?
Đây là lý do quản trị AI (AI Governance) trở thành một vấn đề thực tế, không chỉ là khái niệm dành cho đội công nghệ. Doanh nghiệp không thể chỉ có hai lựa chọn: cấm AI hoàn toàn hoặc để nhân viên dùng tự do. Cách tiếp cận hợp lý hơn là thiết lập “luật chơi” để AI được sử dụng an toàn, hiệu quả và phù hợp với mục tiêu kinh doanh.
Một nghiên cứu toàn cầu của KPMG và University of Melbourne năm 2025 cho thấy 58% nhân viên thường xuyên chủ động dùng AI trong công việc (1). Tuy nhiên, báo cáo cũng ghi nhận nhiều hành vi rủi ro: gần một nửa nhân viên thừa nhận từng dùng AI theo cách đi ngược chính sách hoặc đưa thông tin nhạy cảm của công ty vào công cụ AI công cộng; hơn một nửa từng mắc lỗi trong công việc do AI; và khoảng hai phần ba từng dựa vào output AI mà không đánh giá lại thông tin.
Những con số này cho thấy vấn đề không còn là “nhân viên có dùng AI hay không”, trên thực tế, nhân viên đều đang sử dụng AI mỗi ngày. Vấn đề là doanh nghiệp có đủ chính sách, phân quyền, hướng dẫn, công cụ được phê duyệt và cơ chế kiểm soát để việc sử dụng AI không biến thành rủi ro hay không, biến việc quản trị AI (AI Governance) thành 1 vấn đề cấp thiết trong doanh nghiệp hiện nay.
Vì sao doanh nghiệp cần quản trị AI ngay cả khi chưa triển khai hệ thống AI lớn?
Nhiều doanh nghiệp nghĩ rằng chỉ khi xây chatbot nội bộ, triển khai AI Agent hoặc đưa AI vào quy trình vận hành chính thức thì mới cần AI Governance. Thực tế, quản trị AI nên bắt đầu sớm hơn nhiều, ngay từ khi nhân viên bắt đầu dùng các công cụ AI phổ biến trong công việc.
Lý do là AI không chỉ xuất hiện trong các dự án công nghệ chính thức. AI có thể nằm trong các công cụ rất quen thuộc: ChatGPT, Gemini, Claude, Copilot, Canva AI, Notion AI, công cụ dịch, công cụ viết nội dung, công cụ tạo slide, công cụ phân tích file. Khi nhân viên tự sử dụng các công cụ này, doanh nghiệp có thể không biết dữ liệu nào đã được đưa vào AI, output nào được dùng trong tài liệu nội bộ, công cụ nào đang xử lý dữ liệu nhạy cảm, và ai là người kiểm tra độ chính xác.
Với các tác vụ đơn giản như brainstorm ý tưởng, chỉnh câu chữ hoặc tóm tắt nội dung công khai, rủi ro có thể không quá lớn. Nhưng khi AI được dùng cho hợp đồng, báo cáo tài chính, dữ liệu khách hàng, hồ sơ nhân sự, tài liệu chiến lược hoặc nội dung gửi ra bên ngoài, vấn đề trở nên nghiêm trọng hơn nhiều. Một câu trả lời sai, một nguồn thông tin không được kiểm chứng, hoặc một đoạn dữ liệu nhạy cảm bị đưa vào công cụ không phù hợp đều có thể tạo rủi ro cho doanh nghiệp.
NIST AI Risk Management Framework được xây dựng để giúp tổ chức quản lý rủi ro AI và đưa yếu tố đáng tin cậy vào quá trình thiết kế, phát triển, sử dụng và đánh giá hệ thống AI. Điểm đáng chú ý là quản trị rủi ro AI không chỉ dành cho đơn vị phát triển công nghệ, mà còn liên quan đến cách tổ chức sử dụng AI trong thực tế. (2)
Vì vậy, AI Governance không nên được hiểu là một lớp kiểm soát cứng nhắc của IT. Đúng hơn, đây là năng lực quản trị liên phòng ban, liên quan đến dữ liệu, con người, quy trình, pháp chế, bảo mật, nhân sự và văn hóa sử dụng AI. Doanh nghiệp cần quản trị AI không phải vì muốn làm chậm đổi mới, mà vì AI đã đi vào công việc nhanh hơn các cơ chế kiểm soát truyền thống.
Rủi ro khi nhân viên dùng AI thiếu kiểm soát nằm ở đâu?
Rủi ro đầu tiên là dữ liệu và bảo mật. Nhân viên có thể vô tình đưa thông tin nội bộ, dữ liệu khách hàng, báo cáo tài chính, tài liệu chiến lược, mã nguồn, hợp đồng hoặc dữ liệu nhân sự vào công cụ AI không được phê duyệt. Vấn đề không chỉ là công cụ đó có lưu dữ liệu hay không, mà là doanh nghiệp mất khả năng kiểm soát: dữ liệu đã đi đâu, được xử lý thế nào, có được dùng lại để cải thiện mô hình hay không, và ai có quyền truy cập.
Trong nhiều tài liệu quốc tế, hiện tượng nhân viên dùng công cụ AI ngoài phạm vi phê duyệt hoặc giám sát chính thức của doanh nghiệp thường được gọi là “shadow AI”. Ở Việt Nam, thuật ngữ này có thể chưa phổ biến, nhưng hiện tượng thì không xa lạ: nhân viên dùng công cụ AI cá nhân để hoàn thành công việc nhanh hơn, trong khi doanh nghiệp chưa có chính sách rõ ràng về dữ liệu nào được phép đưa vào AI.
Rủi ro thứ hai là chất lượng đầu ra. AI có thể tạo câu trả lời nghe rất hợp lý nhưng sai, thiếu ngữ cảnh, sai số liệu, sai nguồn hoặc diễn giải quá tự tin. Nếu nhân viên dùng output AI để viết báo cáo, proposal, email cho khách hàng, tài liệu tư vấn hoặc nội dung truyền thông mà không kiểm chứng, rủi ro không chỉ nằm ở câu chữ. Nó ảnh hưởng trực tiếp đến chất lượng quyết định, uy tín thương hiệu và niềm tin của khách hàng.
Rủi ro thứ ba là không nhất quán giữa các phòng ban. Mỗi phòng ban có thể dùng một công cụ AI khác nhau, prompt khác nhau, nguồn dữ liệu khác nhau và tiêu chuẩn kiểm tra khác nhau. Cùng một câu hỏi về chính sách, sản phẩm, điều khoản hợp đồng hoặc thông tin khách hàng, các bộ phận có thể tạo ra những câu trả lời không thống nhất. Khi AI được dùng rộng nhưng không có quy chuẩn chung, doanh nghiệp dễ mất tính nhất quán trong vận hành.
Rủi ro thứ tư là pháp lý, bản quyền và tuân thủ. AI có thể tạo nội dung dựa trên nguồn không rõ quyền sử dụng, xử lý dữ liệu cá nhân không phù hợp, hoặc tạo thông tin sai về khách hàng, đối tác, sản phẩm và dịch vụ. Với các ngành nhạy cảm như tài chính, bảo hiểm, y tế, giáo dục, năng lượng, sản xuất lớn hoặc khu vực công, rủi ro tuân thủ càng cần được kiểm soát chặt hơn.
Rủi ro cuối cùng là trách nhiệm giải trình. Nếu một nội dung do AI hỗ trợ tạo ra bị sai, ai chịu trách nhiệm? Người dùng cuối, quản lý trực tiếp, bộ phận IT, nhà cung cấp công cụ hay doanh nghiệp? Nếu không có quy định rõ, AI dễ trở thành “vùng xám trách nhiệm”. Người dùng có thể cho rằng AI chỉ gợi ý, còn quản lý lại không biết AI đã được dùng trong quá trình tạo ra tài liệu hoặc quyết định.
Tóm lại, rủi ro lớn nhất không phải là nhân viên dùng AI. Rủi ro lớn hơn là doanh nghiệp không biết AI đang được dùng ở đâu, với dữ liệu nào, tạo ra output gì, ai kiểm tra và ai chịu trách nhiệm.
Quản trị AI không phải là cấm AI
Cách dễ nhất để giảm rủi ro là cấm nhân viên dùng AI. Nhưng đây thường không phải là cách hiệu quả nhất. Nếu AI thật sự giúp công việc nhanh hơn, nhân viên vẫn có xu hướng tìm cách sử dụng, đặc biệt khi áp lực tiến độ, năng suất và chất lượng ngày càng cao. Một lệnh cấm quá cứng có thể khiến việc dùng AI chuyển từ công khai sang âm thầm, làm doanh nghiệp càng khó kiểm soát hơn.
Ngược lại, thả tự do cũng không phải lời giải. Nếu không có hướng dẫn, nhân viên sẽ tự quyết định công cụ nào an toàn, dữ liệu nào được phép sử dụng, output nào cần kiểm chứng và tác vụ nào có thể giao cho AI. Đây là gánh nặng không nên đặt hoàn toàn lên từng cá nhân, vì không phải ai cũng hiểu rõ rủi ro dữ liệu, bảo mật, pháp lý hay chất lượng thông tin.
Cách tiếp cận phù hợp hơn là phân tầng mức độ sử dụng AI theo rủi ro. Không phải mọi tác vụ đều cần cùng một mức kiểm soát.
| Mức độ sử dụng AI | Cách quản trị phù hợp |
| Tác vụ rủi ro thấp | Cho phép dùng AI với hướng dẫn rõ ràng |
| Tác vụ dùng dữ liệu nội bộ | Chỉ dùng công cụ được phê duyệt |
| Tác vụ ảnh hưởng khách hàng, pháp lý, tài chính | Bắt buộc kiểm tra bởi con người |
| Tác vụ rủi ro cao | Cần phê duyệt use case trước khi triển khai |
| AI tích hợp vào hệ thống/quy trình | Cần kiểm soát quyền truy cập, log, KPI và cơ chế giám sát |
Ví dụ, nhân viên có thể dùng AI để brainstorm ý tưởng truyền thông từ thông tin công khai, nhưng không nên đưa dữ liệu khách hàng hoặc báo cáo tài chính chưa công bố vào một công cụ AI công cộng. Một chuyên viên có thể dùng AI để tạo bản nháp email, nhưng nếu email gửi cho khách hàng lớn hoặc liên quan đến điều khoản pháp lý, nội dung cần được kiểm tra trước khi gửi. Một nhóm có thể dùng AI để tóm tắt tài liệu nội bộ, nhưng cần đảm bảo công cụ được phê duyệt và dữ liệu không vượt quá quyền truy cập của người dùng.
ISO/IEC 42001:2023 là tiêu chuẩn quốc tế về hệ thống quản lý AI. ISO mô tả tiêu chuẩn này là cách để tổ chức thiết lập, triển khai, duy trì và cải tiến hệ thống quản lý AI, đồng thời quản lý rủi ro và cơ hội liên quan đến AI (3). Đáng chú ý, ISO nhấn mạnh việc cân bằng giữa đổi mới và quản trị, thay vì chỉ tập trung vào kiểm soát.
Điều này rất quan trọng. Quản trị AI tốt không làm nhân viên sợ dùng AI. Ngược lại, nó giúp nhân viên biết ranh giới nào an toàn, công cụ nào được phép dùng, dữ liệu nào không được đưa vào AI, output nào cần kiểm chứng và khi nào cần xin phê duyệt. Một chính sách tốt không chỉ nói “không được làm gì”, mà còn chỉ rõ “được làm gì, trong điều kiện nào”.
Doanh nghiệp cần thiết lập “luật chơi” AI như thế nào?
Bước đầu tiên là phân loại dữ liệu trước khi cho phép dùng AI. Doanh nghiệp cần chia dữ liệu thành các nhóm rõ ràng, ví dụ: dữ liệu công khai, dữ liệu nội bộ thông thường, dữ liệu nhạy cảm, dữ liệu cá nhân, dữ liệu khách hàng/đối tác và dữ liệu tuyệt đối không được đưa vào công cụ AI công cộng. Mỗi nhóm dữ liệu cần có quy định: có được dùng với AI không, dùng với công cụ nào, có cần ẩn danh không, có cần phê duyệt trước không.
Bước thứ hai là ban hành chính sách sử dụng AI. AI policy không cần bắt đầu quá phức tạp, nhưng phải trả lời được một số câu hỏi tối thiểu:
- Nhân viên được dùng công cụ AI nào?
- Dữ liệu nào được và không được đưa vào AI?
- Khi nào bắt buộc kiểm tra output?
- Khi nào phải ghi rõ có sử dụng AI?
- Ai phê duyệt use case có rủi ro cao?
- Vi phạm chính sách sẽ được xử lý như thế nào?
Bước thứ ba là xác định danh sách công cụ AI được phê duyệt. Thay vì để nhân viên tự chọn công cụ, doanh nghiệp nên có danh sách công cụ phù hợp theo từng nhóm nhu cầu: viết nội dung, tìm kiếm tài liệu, phân tích dữ liệu, tạo slide, lập trình, chăm sóc khách hàng, chatbot nội bộ hoặc xử lý tài liệu. Điều này giúp cân bằng giữa tốc độ sử dụng và kiểm soát bảo mật.
Bước thứ tư là quy định bước kiểm tra của con người. Không phải output AI nào cũng cần phê duyệt, nhưng các nội dung ảnh hưởng đến khách hàng, tài chính, pháp lý, nhân sự, truyền thông hoặc quyết định quản lý cần có human-in-the-loop. AI có thể hỗ trợ tạo bản nháp, tóm tắt hoặc gợi ý, nhưng con người vẫn phải chịu trách nhiệm với nội dung cuối cùng.
Bước thứ năm là lưu vết và giám sát các use case quan trọng. Với những use case AI đi vào quy trình chính thức, doanh nghiệp cần biết ai dùng AI, dùng dữ liệu nào, output được tạo khi nào, ai kiểm tra, ai phê duyệt và kết quả được đưa vào hệ thống nào. Điều này đặc biệt quan trọng khi AI được dùng trong những quy trình có rủi ro cao hoặc có tác động đến khách hàng.
Bước thứ sáu là đào tạo nhân viên về cách dùng AI có trách nhiệm. Đào tạo AI không chỉ là dạy prompt. Nhân viên cần hiểu rằng AI có thể sai, không nên đưa dữ liệu nhạy cảm vào công cụ không được phê duyệt, phải kiểm chứng thông tin quan trọng, không dùng AI để tạo nội dung vi phạm bản quyền và không biến output AI thành quyết định cuối cùng nếu chưa có kiểm tra phù hợp.
Bước cuối cùng là thiết lập đầu mối quản trị AI. Doanh nghiệp có thể bắt đầu bằng một nhóm liên phòng ban, gồm đại diện từ IT, dữ liệu, pháp chế, bảo mật, nhân sự và các đơn vị nghiệp vụ. Nhóm này không chỉ có vai trò kiểm duyệt, mà còn giúp phê duyệt công cụ, ưu tiên use case, xây dựng hướng dẫn, xử lý rủi ro và tạo môi trường thử nghiệm AI an toàn hơn.
Khi AI mở rộng trong doanh nghiệp, khoảng cách giữa tốc độ triển khai và năng lực kiểm soát sẽ ngày càng rõ. IBM Institute for Business Value năm 2026 cho biết 70% lãnh đạo công nghệ được khảo sát nói các đội trong doanh nghiệp đang triển khai công nghệ nhanh hơn khả năng IT theo dõi; 77% tổ chức cho rằng mức độ ứng dụng AI đã vượt quá năng lực governance hiện tại; và chỉ 11% tin rằng họ hoàn toàn sẵn sàng cho quy mô triển khai AI agent dự kiến trong năm tới. (4)
Những con số này cho thấy AI Governance không còn là việc “nên có”. Khi AI được dùng ngày càng nhiều, quản trị AI trở thành điều kiện để doanh nghiệp mở rộng AI một cách an toàn, có kiểm soát và bền vững.
Kết luận: AI Governance giúp doanh nghiệp dùng AI nhanh hơn, không phải chậm hơn
Doanh nghiệp không thể đứng ngoài làn sóng AI, nhưng cũng không thể để AI được dùng tự phát trong mọi công việc. Khi nhân viên dùng AI ngày càng nhiều, quản trị AI (AI Governance) trở thành điều kiện để doanh nghiệp vừa khai thác năng suất, vừa kiểm soát dữ liệu, chất lượng đầu ra, trách nhiệm và rủi ro tuân thủ.
Mục tiêu của AI Governance không phải là cấm AI. Mục tiêu đúng hơn là tạo “luật chơi” để AI được dùng đúng chỗ, đúng dữ liệu, đúng mức độ kiểm soát và đúng trách nhiệm. Khi có chính sách rõ ràng, công cụ được phê duyệt, phân loại dữ liệu, bước kiểm tra của con người và đầu mối quản trị, nhân viên có thể dùng AI tự tin hơn, còn doanh nghiệp cũng giảm được rủi ro khi mở rộng.
Với manager, head hoặc director, câu hỏi không nên là “có cho nhân viên dùng AI không”, mà là “làm sao để nhân viên dùng AI an toàn, hiệu quả và có trách nhiệm”. Doanh nghiệp càng sớm thiết lập nguyên tắc sử dụng AI, càng có khả năng biến AI từ công cụ cá nhân thành năng lực vận hành đáng tin cậy.
FAQ
Quản trị AI là gì?
Quản trị AI là việc thiết lập chính sách, quy trình, phân quyền, tiêu chuẩn kiểm tra và trách nhiệm để AI được sử dụng an toàn, minh bạch và phù hợp với mục tiêu của doanh nghiệp.
AI Governance khác gì với bảo mật dữ liệu?
Bảo mật dữ liệu là một phần của AI Governance. AI Governance rộng hơn, bao gồm chính sách sử dụng AI, quản lý rủi ro, kiểm soát chất lượng output, trách nhiệm giải trình, tuân thủ và giám sát hiệu quả.
Doanh nghiệp có nên cấm nhân viên dùng AI không?
Không nên cấm tuyệt đối nếu AI có thể tạo giá trị trong công việc. Doanh nghiệp nên ban hành chính sách sử dụng AI, phân loại dữ liệu, phê duyệt công cụ và yêu cầu kiểm tra output với các tác vụ quan trọng.
Nhân viên có được đưa dữ liệu công ty vào ChatGPT không?
Không nên đưa dữ liệu nhạy cảm, dữ liệu khách hàng, dữ liệu cá nhân, tài liệu nội bộ quan trọng hoặc thông tin mật vào công cụ AI công cộng nếu chưa có chính sách và phê duyệt rõ ràng từ doanh nghiệp.
Doanh nghiệp nên bắt đầu AI Governance từ đâu?
Doanh nghiệp nên bắt đầu từ ba việc: phân loại dữ liệu, ban hành chính sách sử dụng AI và xác định danh sách công cụ AI được phép dùng. Sau đó có thể mở rộng sang log, giám sát, đào tạo và hội đồng quản trị AI.
References:
- Gillespie, N., Lockey, S., Ward, T., Macdade, A., & Hassed, G. (2025). Trust, attitudes and use of artificial intelligence: A global study 2025. The University of Melbourne & KPMG.
- Tabassi, E. (2023). Artificial intelligence risk management framework (AI RMF 1.0) (NIST AI 100-1). National Institute of Standards and Technology.
- International Organization for Standardization. (2023). Information technology—Artificial intelligence—Management system (ISO/IEC Standard No. 42001:2023).
- IBM. (2026, June 8). New IBM study finds CIOs and CTOs face growing AI control gap as enterprise deployment scales. IBM Newsroom.
