Quản lý “shadow AI”

Việc nhân viên giao một phần công việc cho các công cụ trí tuệ nhân tạo (AI) đã trở thành thực tế tại nhiều doanh nghiệp. Tại hội thảo trực tuyến “AI, Digital Transformation and Cyber Resilience”, ông Colin Blackwell, CEO Enablecode cho biết Việt Nam hiện nằm trong nhóm quốc gia có tỷ lệ người tiêu dùng sử dụng AI cao hàng đầu thế giới. Khi hỏi một nhóm nhân viên người Việt có sử dụng ChatGPT hay không, gần như tất cả đều giơ tay, trong khi tại châu Âu, tỷ lệ này chỉ vào khoảng một nửa. Phần lớn nhân viên đã sử dụng AI trong công việc từ khoảng hai năm nay nhưng ít khi chủ động trao đổi với cấp quản lý. Điều này tạo ra một hiện tượng được gọi là “Shadow AI”, tức việc AI được sử dụng ngoài phạm vi kiểm soát của doanh nghiệp.

Ông Colin Blackwell cho rằng năng lực xử lý của các công cụ AI trên điện thoại cá nhân hiện đã vượt xa nhiều hệ thống phần mềm doanh nghiệp đang sử dụng. Khi nhân viên có thể hoàn thành khối lượng công việc của cả tuần chỉ trong một giờ nhờ AI, họ thường không có động lực chia sẻ điều đó nếu không được hỏi.

Tuy nhiên, việc AI được sử dụng một cách tự phát cũng kéo theo nhiều rủi ro. Nhân viên chưa được đào tạo về cách sử dụng AI có trách nhiệm, có thể vô tình đưa dữ liệu nội bộ lên các nền tảng bên ngoài hoặc gửi cho khách hàng những nội dung chưa được kiểm chứng. Điều này khiến doanh nghiệp khó đánh giá chính xác chất lượng công việc, năng suất thực tế của nhân sự cũng như khả năng hoàn thành các cam kết với khách hàng.

Theo ông Colin Blackwell, nhiều lãnh đạo vẫn cho rằng họ sẽ không phải chịu trách nhiệm nếu không biết nhân viên đang sử dụng AI như thế nào. Tuy nhiên, đây là một quan điểm sai lầm. Việc viện dẫn lý do “Tôi không biết điều gì đang diễn ra trong công ty” sẽ không có giá trị khi xảy ra tranh chấp hoặc kiểm tra pháp lý. Sự cố xảy ra, cơ quan quản lý sẽ yêu cầu người đứng đầu chứng minh rằng doanh nghiệp đã có cơ chế giám sát, kiểm soát và phân công trách nhiệm rõ ràng. Nếu không có các tài liệu này, mọi rủi ro đều sẽ chuyển về phía doanh nghiệp.

Ngoài nguy cơ pháp lý, doanh nghiệp còn phải đối mặt với sức ép về năng lực cạnh tranh. Khi đối thủ ứng dụng AI hiệu quả hơn, mô hình vận hành và cách định giá của doanh nghiệp có thể nhanh chóng trở nên lạc hậu. Trong khi đó, việc AI được sử dụng thiếu kiểm soát cũng làm gia tăng nguy cơ phát sinh khiếu nại từ khách hàng, tranh chấp với nhân viên hoặc các vụ kiện liên quan đến dữ liệu và quyền riêng tư.

Trước những rủi ro này, các chuyên gia tại hội thảo đã đề xuất lộ trình gồm năm bước nhằm giúp doanh nghiệp kiểm soát việc sử dụng AI và giảm thiểu các nguy cơ về dữ liệu cũng như pháp lý.

Bước đầu tiên là triển khai chương trình “AI Amnesty” (Ân xá AI). Ông Colin Blackwell chia sẻ, thay vì cấm đoán hoặc xử phạt, doanh nghiệp nên khuyến khích nhân viên chia sẻ cách họ đang sử dụng AI trong công việc. Một số doanh nghiệp còn tổ chức các cuộc thi về sáng kiến ứng dụng AI và trao thưởng cho những giải pháp hiệu quả, đồng thời cấp tài khoản AI thuộc hệ thống của doanh nghiệp để thay thế việc sử dụng tài khoản cá nhân. Mục tiêu của chương trình là xác định những quy trình AI đang được sử dụng trong thực tế, từ đó đưa chúng vào phạm vi quản lý và xây dựng các chính sách phù hợp.

Bước tiếp theo là lập bản đồ luồng dữ liệu. Trong tháng đầu tiên, doanh nghiệp nên tập trung xác định Shadow AI đang xuất hiện ở đâu, dữ liệu được đưa vào những hệ thống nào và đang di chuyển theo những luồng nào. Chỉ khi nắm được bức tranh này, doanh nghiệp mới có thể triển khai các giải pháp quản trị và tự động hóa phù hợp. Ông Colin Blackwell cho rằng không thể xây dựng cơ chế kiểm soát đối với một quy trình mà doanh nghiệp thậm chí còn không biết nó đang tồn tại.

Bước thứ ba là chuyển sang sử dụng các công cụ AI đáp ứng yêu cầu về bảo mật. Ông Lưu Xuân Vĩnh, Nhà sáng lập kiêm Luật sư điều hành Asia Legal, cho biết công ty nên chuyển sang dùng các phiên bản dành cho doanh nghiệp như ChatGPT Enterprise hoặc ChatGPT Teams. Các phiên bản này đi kèm cam kết dữ liệu của doanh nghiệp sẽ không được sử dụng để huấn luyện các mô hình AI. Đây là yếu tố quan trọng nhằm giảm nguy cơ rò rỉ thông tin nội bộ, đồng thời đáp ứng các yêu cầu về bảo mật dữ liệu.

Song song với việc thay đổi công cụ, doanh nghiệp cũng cần ban hành các quy định cụ thể về sử dụng AI. Ông Lưu Xuân Vĩnh cho biết nhiều doanh nghiệp đã áp dụng hình thức ban hành bản ghi nhớ nội bộ, trong đó cho phép nhân viên sử dụng AI nhưng quy định rõ những loại dữ liệu không được đưa vào các câu lệnh (prompt). Theo đó, các thông tin như tên, địa chỉ, số điện thoại, dữ liệu của khách hàng, đối tác hoặc các thông tin kinh doanh nhạy cảm phải được xóa hoặc ẩn danh trước khi nhập vào hệ thống AI. Việc thiết lập các nguyên tắc này giúp doanh nghiệp tận dụng được lợi ích của AI mà vẫn hạn chế nguy cơ rò rỉ dữ liệu.

Bước cuối cùng là xác định rõ trách nhiệm đối với từng quy trình ứng dụng AI. Theo ông Colin Blackwell, mỗi quy trình cần được lập thành tài liệu, tương tự như một bản mô tả công việc, trong đó nêu rõ dữ liệu đầu vào, mục đích sử dụng, kết quả đầu ra, mức độ ảnh hưởng cũng như người chịu trách nhiệm trực tiếp. Việc phân công trách nhiệm cụ thể là điều kiện cần để doanh nghiệp chứng minh khả năng kiểm soát khi có sự cố hoặc khi cơ quan quản lý yêu cầu kiểm tra.

Theo các chuyên gia, việc kiểm soát Shadow AI không đồng nghĩa với việc cấm nhân viên sử dụng AI. Thay vào đó, doanh nghiệp cần xây dựng cơ chế quản trị phù hợp để biết AI đang được sử dụng ở đâu, dữ liệu được xử lý như thế nào và ai là người chịu trách nhiệm cho từng quy trình. Chỉ khi đưa việc ứng dụng AI vào khuôn khổ quản trị, doanh nghiệp mới có thể khai thác hiệu quả công nghệ này mà vẫn giảm thiểu các rủi ro về dữ liệu, pháp lý và vận hành.