ISO 42001 trong thực tiễn: 5 bước hướng tới tuân thủ AI cho SME

Trí tuệ nhân tạo từ lâu không còn là chủ đề của tương lai nữa. Dù là chatbot trong dịch vụ khách hàng, kiểm tra kế toán tự động hay điều khiển sản xuất hỗ trợ bởi AI – các doanh nghiệp nhỏ và vừa ngày nay sử dụng công cụ AI hàng ngày, thường mà không gọi rõ đó là "AI". Điều mà nhiều người bỏ qua: Ai sử dụng AI cũng phải chịu trách nhiệm về điều đó.

Chính tại đây, ISO 42001 phát huy tác dụng. Tiêu chuẩn quốc tế đầu tiên về hệ thống quản lý trong lĩnh vực trí tuệ nhân tạo được công bố vào tháng 12 năm 2023 và từ đó đã trở thành tài liệu tham chiếu quan trọng nhất cho việc sử dụng AI có trách nhiệm – đặc biệt là đối với các doanh nghiệp vừa. Trong bài viết này, chúng tôi trình bày cách các SME có thể đi đến chứng nhận ISO 42001 theo một phương pháp rõ ràng gồm 5 bước.

"Ai sử dụng AI mà không có khung cấu trúc cho việc đó, dù có ý thức hay không, đều đang hành động mà không có quản trị. ISO 42001 lấp đầy khoảng trống này."

ISO 42001 là gì – và tại sao nó lại quan trọng đối với SME?

ISO 42001 định nghĩa các yêu cầu đối với Hệ thống Quản lý Trí tuệ Nhân tạo (AIMS). Tương tự như ISO 9001 cho quản lý chất lượng hay ISO 27001 cho an toàn thông tin, tiêu chuẩn này tạo ra một khung cấu trúc cho việc sử dụng AI trong các tổ chức – bất kể quy mô hay ngành nghề.

Điều khiến tiêu chuẩn này đặc biệt phù hợp với thực tiễn: Nó dành cho cả các doanh nghiệp phát triển AI lẫn những doanh nghiệp chỉ sử dụng AI. Đối với phần lớn các SME, trường hợp thứ hai là phù hợp. Vì vậy, ai đang sử dụng Office-Copilot, ChatGPT hay các công cụ phân tích hỗ trợ AI thì về cơ bản đã thuộc đối tượng liên quan.

Tính liên quan này tăng lên đáng kể do hai yếu tố thúc đẩy từ bên ngoài: Thứ nhất, Đạo luật AI của EU yêu cầu các doanh nghiệp sử dụng hoặc vận hành một số hệ thống AI nhất định phải có đánh giá rủi ro và tài liệu tuân thủ có thể chứng minh được. ISO 42001 cung cấp khung phù hợp cho việc đó. Thứ hai, các khách hàng lớn và các đơn vị mua sắm công ngày càng yêu cầu bằng chứng về việc sử dụng AI có trách nhiệm – và chứng nhận theo ISO 42001 chính là bằng chứng đó.

Bước 1: Kiểm kê hiện trạng – Doanh nghiệp của bạn sử dụng AI như thế nào và ở đâu?

Bước đầu tiên và thường bị đánh giá thấp là việc kiểm kê toàn diện tất cả các hệ thống AI trong doanh nghiệp. Trong thực tế, điều này có nghĩa là: Bạn đang sử dụng những công cụ, nền tảng hoặc quy trình tự động nào – và những công cụ đó có thể được xếp vào loại hỗ trợ bởi AI hay không?

Việc kiểm kê này không chỉ bao gồm các sản phẩm được tiếp thị rõ ràng là "AI". Các hệ thống ra quyết định thuật toán, chatbot, nhận dạng giọng nói, hệ thống đề xuất hay kiểm tra chất lượng tự động cũng thuộc phạm vi áp dụng của ISO 42001. Mục tiêu là tạo ra một bản đồ AI hoàn chỉnh của doanh nghiệp – được sắp xếp theo lĩnh vực sử dụng, nguồn dữ liệu và các nhóm người liên quan.

Việc kiểm kê này không phải là công việc chỉ làm một lần, mà trở thành một tài liệu sống, được cập nhật theo mỗi lần triển khai AI mới. Với EUCERTA, quá trình này được đẩy nhanh đáng kể nhờ các quy trình bảng câu hỏi có hướng dẫn.

Bước 2: Phân tích rủi ro – Việc sử dụng AI của bạn mang lại những rủi ro nào?

Ngay khi các hệ thống AI đã được kiểm kê, bước phân tích rủi ro sẽ tiếp theo. ISO 42001 phân biệt giữa rủi ro đối với chính tổ chức – chẳng hạn như vi phạm bảo vệ dữ liệu, quyết định sai lầm do AI hoặc thiệt hại về danh tiếng – và rủi ro đối với các bên liên quan bên ngoài, đặc biệt là khách hàng và các bên thứ ba bị ảnh hưởng.

Tiêu chuẩn này không yêu cầu loại bỏ hoàn toàn mọi rủi ro, mà yêu cầu một cách xử lý có tài liệu và tương xứng. Cụ thể có nghĩa là: Đối với mỗi hệ thống AI đã được xác định, cần ghi lại những rủi ro nào tồn tại, mức độ nghiêm trọng của chúng, và những biện pháp giảm thiểu rủi ro nào đang hoặc đã được thực hiện.

Một rủi ro thường bị đánh giá thấp trong các SME là việc sử dụng "Shadow AI": nhân viên sử dụng tài khoản AI cá nhân cho công việc kinh doanh mà doanh nghiệp không hề hay biết. Chính tại đây phát sinh một vấn đề bảo vệ dữ liệu đáng kể, mà việc phân tích rủi ro phải làm rõ và chính sách sử dụng AI nội bộ phải giải quyết.

Mẹo: Một chính sách sử dụng AI nội bộ không phải là một thứ tùy chọn thêm vào – đó là một yếu tố trung tâm của việc tuân thủ ISO 42001 và bảo vệ doanh nghiệp của bạn một cách chủ động.

Bước 3: Xác định quản trị AI – Các chính sách nội bộ của bạn

Dựa trên phân tích rủi ro, các chính sách nội bộ cho việc sử dụng AI được xây dựng. Đây là cốt lõi của Hệ thống Quản lý AI và thường bao gồm ba lĩnh vực.

Lĩnh vực đầu tiên là chính sách sử dụng AI: Nó xác định những công cụ AI nào được phép sử dụng trong doanh nghiệp, cách xử lý dữ liệu nhạy cảm và những quy trình nào cần có sự kiểm tra của con người.

Lĩnh vực thứ hai liên quan đến tính minh bạch đối với khách hàng và đối tác: ISO 42001 thúc đẩy việc truyền đạt rõ ràng khi AI đóng vai trò trong các quy trình hoặc quyết định. Lĩnh vực thứ ba là việc phân công trách nhiệm: AIMS phải xác định rõ ràng ai trong doanh nghiệp chịu trách nhiệm về quản trị AI – ngay cả khi trong một doanh nghiệp 10 người đó là cùng một người đảm nhận ba vai trò khác.

Những chính sách này không cần phải hoàn hảo – chúng cần phải tồn tại, được ghi lại và được thực hiện trong thực tế. Tiêu chuẩn đánh giá cấu trúc và tính nhất quán, chứ không phải sự hoàn hảo.

Bước 4: Triển khai và ghi chép tài liệu – Xây dựng Hệ thống Quản lý

Với các chính sách rõ ràng, giai đoạn triển khai thực sự bắt đầu. Hệ thống Quản lý AI được tích hợp vào cấu trúc doanh nghiệp hiện có và được củng cố trong thực tiễn hàng ngày. Điều này có nghĩa cụ thể là: nhân viên được đào tạo, quy trình được điều chỉnh, và tài liệu được xây dựng.

ISO 42001 được thiết kế theo cấu trúc cấp cao (High-Level Structure), nghĩa là nó hài hòa mạnh mẽ với các tiêu chuẩn quản lý ISO khác. Các doanh nghiệp đã được chứng nhận theo ISO 9001 hoặc ISO 27001 có thể tái sử dụng trực tiếp nhiều cấu trúc và quy trình tài liệu. Trong những trường hợp này, khối lượng công việc bổ sung ít hơn đáng kể so với việc triển khai lần đầu.

Ngoài các chính sách, tài liệu còn bao gồm biên bản các cuộc kiểm tra nội bộ, bằng chứng về các biện pháp đào tạo và kết quả của các cuộc rà soát quản lý định kỳ. Với các nền tảng hỗ trợ AI như EUCERTA, khối lượng công việc tài liệu này có thể được giảm đáng kể – nhiều tài liệu được tự động tạo ra dựa trên các thông tin nhập liệu có hướng dẫn.

Bước 5: Chứng nhận – Quy trình kiểm toán

Khi AIMS đã được triển khai và ghi chép tài liệu, tiếp theo là cuộc kiểm toán bên ngoài bởi một tổ chức chứng nhận được công nhận. Quy trình này tương tự như các cuộc kiểm toán ISO khác: một hoặc nhiều kiểm toán viên bên ngoài kiểm tra tài liệu, quy trình và việc triển khai thực tế trong doanh nghiệp.

Thông thường, trước tiên diễn ra một cuộc kiểm toán Giai đoạn 1, trong đó tài liệu được xem xét, tiếp theo là cuộc kiểm toán Giai đoạn 2, trong đó việc triển khai thực tế được kiểm tra. Nếu đánh giá thành công, chứng chỉ sẽ được cấp – có hiệu lực trong ba năm và các cuộc kiểm toán giám sát hàng năm.

Với EUCERTA, quy trình này diễn ra nhanh hơn đáng kể: nhờ sự chuẩn bị có cấu trúc trên nền tảng, các doanh nghiệp thường sẵn sàng cho kiểm toán trong vòng 48 giờ. Chứng chỉ do EUCERTA cấp được đăng ký chống làm giả trên blockchain và có thể được khách hàng và đối tác xác minh kỹ thuật số bất cứ lúc nào.

Kết luận: ISO 42001 là khả thi – ngay cả đối với các doanh nghiệp nhỏ

Thoạt nhìn, ISO 42001 nghe có vẻ như là chủ đề dành cho các tập đoàn lớn. Khi xem xét kỹ hơn, có thể thấy: tiêu chuẩn này được thiết kế thực tế, có thể mở rộng cho mọi quy mô doanh nghiệp và giải quyết những rủi ro thực sự mà các doanh nghiệp nhỏ gặp phải hàng ngày – thường mà không hề hay biết.

Năm bước – kiểm kê hiện trạng, phân tích rủi ro, xác định quản trị, triển khai và chứng nhận – được cấu trúc rõ ràng và có thể thực hiện trong thời gian ngắn hơn nhiều so với những gì nhiều người nghĩ, nếu có các công cụ phù hợp. Ai bắt đầu ngay hôm nay, ngày mai không chỉ tuân thủ – mà còn có lợi thế cạnh tranh thực sự so với các đối thủ vẫn tiếp tục vận hành AI mà không có khung quản lý.

EUCERTA đồng hành cùng các doanh nghiệp vừa và nhỏ qua cả năm bước – được hỗ trợ bởi AI, minh bạch và đạt chứng chỉ trong vòng 48 giờ. Bắt đầu ngay tại app.eucerta.com

Tài nguyên tham khảo thêm

→ ISO 42001: Tiêu chuẩn mới cho hệ thống quản lý AI

→ Đạo luật AI của EU 2025: Việc triển khai có ý nghĩa gì đối với các doanh nghiệp vừa và nhỏ châu Âu

→ Bắt đầu kiểm tra chứng nhận miễn phí: app.eucerta.com/onboarding