AI Auditability: Từ cam kết đạo đức đến bằng chứng kỹ thuật

Theo McKinsey, 88% tổ chức đã sử dụng AI thường xuyên trong ít nhất một chức năng kinh doanh, nhưng chỉ khoảng 1/3 doanh nghiệp đã mở rộng AI ở quy mô toàn tổ chức. Điều này cho thấy khoảng cách lớn giữa việc “có dùng AI” và việc “quản trị AI đủ tốt để vận hành ở quy mô lớn”.

Khi AI ngày càng tham gia vào các quy trình như tài chính, chăm sóc khách hàng, nhân sự hay quản trị rủi ro, những tuyên bố như “AI minh bạch”, “AI công bằng”, “AI an toàn” là chưa đủ. Doanh nghiệp cần chứng minh được AI đã được thiết kế, triển khai và giám sát đúng cách.

Đó là lý do AI Auditability trở thành một năng lực quan trọng của AI Governance: giúp chuyển các cam kết đạo đức thành bằng chứng có thể kiểm tra, như dữ liệu, log, tài liệu kỹ thuật, quy trình phê duyệt và lịch sử giám sát.

AI Auditability là gì?

AI Auditability là khả năng kiểm tra và truy vết cách một hệ thống AI được xây dựng, vận hành và tạo ra kết quả.

Nói đơn giản, nó giúp doanh nghiệp trả lời các câu hỏi như:

• AI dùng dữ liệu nào?
• Mô hình, prompt hoặc workflow nào được sử dụng?
• Ai phê duyệt use case này?
• AI đã đưa ra kết quả hoặc hành động gì?
• Con người có kiểm tra hoặc can thiệp không?
• Khi xảy ra lỗi, có log để truy nguyên nguyên nhân không?

Nếu AI Governance là hệ thống nguyên tắc và quy trình để quản trị AI, thì AI Auditability là lớp bằng chứng cho thấy các nguyên tắc đó đã được thực thi trong thực tế.

Với generative AI và AI agents, auditability càng quan trọng hơn. Doanh nghiệp không chỉ cần biết AI “trả lời gì”, mà còn phải biết AI “đã làm gì”, “dựa vào nguồn nào”, “gọi công cụ nào” và “có vượt khỏi phạm vi được phép hay không”.

Đây cũng là nền tảng để doanh nghiệp đáp ứng các yêu cầu quản trị AI hiện đại. NIST AI Risk Management Framework nhấn mạnh việc quản lý rủi ro AI thông qua các chức năng như Govern, Map, Measure và Manage, trong đó việc đo lường, giám sát và tài liệu hóa là những yếu tố quan trọng để tăng tính minh bạch và trách nhiệm giải trình. 

Vì sao doanh nghiệp cần AI Auditability?

Rủi ro AI không phải lúc nào cũng nhìn thấy ngay

Rủi ro của AI thường không xuất hiện dưới dạng một lỗi rõ ràng ngay từ đầu. Một câu trả lời sai có thể nghe rất thuyết phục; một đề xuất thiếu chính xác có thể được chấp nhận nếu người dùng quá tin vào hệ thống. Theo McKinsey, 51% tổ chức đã ghi nhận ít nhất một hệ quả tiêu cực từ việc sử dụng AI, trong đó các vấn đề nổi bật gồm kết quả thiếu chính xác, khó giải thích, rủi ro tuân thủ, quyền riêng tư và sở hữu trí tuệ. 

Với generative AI và AI agents, rủi ro càng khó kiểm soát hơn vì AI không chỉ tạo nội dung, mà còn có thể gọi công cụ, truy cập dữ liệu hoặc kích hoạt workflow. Gartner dự báo đến năm 2028, 25% ứng dụng GenAI trong doanh nghiệp sẽ gặp ít nhất 5 sự cố bảo mật nhỏ mỗi năm, tăng từ 9% vào năm 2025. 

Vì vậy, AI Auditability không chỉ phục vụ kiểm toán sau sự cố. Nó giúp doanh nghiệp có đủ log, lịch sử phiên bản và bằng chứng kỹ thuật để phát hiện sai lệch sớm, truy nguyên nguyên nhân và kiểm soát rủi ro trong suốt quá trình vận hành.

Quy định và chuẩn mực đang đẩy mạnh yêu cầu kiểm toán

Các khung quản trị AI hiện nay đều đang nhấn mạnh mạnh hơn đến khả năng kiểm tra, giám sát và tài liệu hóa. NIST AI Risk Management Framework xây dựng quản trị rủi ro AI quanh các nhóm chức năng như Govern, Map, Measure và Manage, trong đó việc đo lường, quản lý và giám sát rủi ro là nền tảng để phát triển AI đáng tin cậy. 

Với các hệ thống AI rủi ro cao, EU AI Act cũng đặt ra yêu cầu rõ hơn về technical documentation, record-keeping và logging. Điều này cho thấy doanh nghiệp không chỉ cần triển khai AI hiệu quả, mà còn phải có khả năng chứng minh AI được vận hành trong phạm vi kiểm soát. 

Nguyên tắc nền tảng để đảm bảo AI Auditability

Cam kết đạo đức cần được cụ thể hóa bằng quy trình và hồ sơ

Nhiều doanh nghiệp bắt đầu quản trị trí tuệ nhân tạo bằng các nguyên tắc chung như sử dụng có trách nhiệm, bảo vệ dữ liệu, hạn chế thiên lệch và bảo đảm con người có quyền giám sát.

Những nguyên tắc này là cần thiết, nhưng chưa đủ. Để có thể kiểm tra, doanh nghiệp cần chuyển chúng thành các yêu cầu cụ thể hơn:

• Có quy trình phê duyệt trước khi triển khai.
• Có tài liệu mô tả mục đích sử dụng.
• Có hồ sơ về dữ liệu đầu vào.
• Có kết quả kiểm thử trước khi đưa vào vận hành.
• Có nhật ký ghi lại kết quả và các lần chỉnh sửa.
• Có cơ chế giám sát sau khi triển khai.

Nhờ đó, quản trị trí tuệ nhân tạo không còn dừng ở mức “chúng tôi cam kết”, mà chuyển sang mức “chúng tôi có thể chứng minh”.

Mỗi nguyên tắc phải gắn với một loại bằng chứng cụ thể

Để dễ kiểm tra, mỗi cam kết đạo đức cần được gắn với một nhóm bằng chứng tương ứng.

Ví dụ:

Cách tiếp cận này giúp doanh nghiệp tránh tình trạng quản trị trí tuệ nhân tạo theo kiểu hình thức. Thay vì chỉ có chính sách, doanh nghiệp có các bằng chứng cụ thể để phục vụ kiểm tra nội bộ, kiểm toán, rà soát tuân thủ hoặc xử lý sự cố.

Khả năng kiểm toán là cầu nối giữa niềm tin và trách nhiệm giải trình

Niềm tin vào trí tuệ nhân tạo không thể chỉ dựa trên việc hệ thống hoạt động tốt trong phần lớn trường hợp. Khi hệ thống đưa ra kết quả sai, gây hiểu nhầm hoặc tạo rủi ro cho doanh nghiệp, điều quan trọng là phải truy vết được nguyên nhân.

Doanh nghiệp cần biết hệ thống đã sử dụng dữ liệu nào, phiên bản nào đang được vận hành, ai đã phê duyệt, kết quả đã được con người kiểm tra hay chưa và lỗi phát sinh ở bước nào. Nếu không có các bằng chứng này, rất khó xác định trách nhiệm, khắc phục sự cố hoặc cải thiện hệ thống.

Vì vậy, AI Auditability không chỉ là yêu cầu kỹ thuật. Đây là nền tảng để biến các cam kết đạo đức thành trách nhiệm giải trình thực tế. Một hệ thống trí tuệ nhân tạo đáng tin cậy không chỉ là hệ thống đưa ra kết quả tốt, mà còn là hệ thống có thể được kiểm tra, giải thích và chứng minh khi cần.

Vai trò của các bên trong khả năng kiểm toán AI

Chủ sở hữu nghiệp vụ

Chủ sở hữu nghiệp vụ là đơn vị hiểu rõ nhất AI được sử dụng để giải quyết vấn đề gì trong quy trình thực tế. Vì vậy, họ cần xác định rõ mục tiêu sử dụng, phạm vi áp dụng và mức độ tác động của từng trường hợp triển khai.

Vai trò chính gồm:

• Xác định mục tiêu và giá trị nghiệp vụ của từng trường hợp sử dụng AI.
• Đánh giá AI tác động đến khách hàng, nhân viên, quy trình hoặc quyết định kinh doanh như thế nào.
• Xác định những tình huống cần con người kiểm tra hoặc phê duyệt.
• Chịu trách nhiệm về cách AI được sử dụng trong quy trình vận hành thực tế.

Nói cách khác, chủ sở hữu nghiệp vụ phải bảo đảm AI không chỉ hoạt động đúng về mặt kỹ thuật, mà còn phù hợp với mục tiêu và rủi ro của quy trình.

Công nghệ thông tin 

Bộ phận công nghệ thông tin và an ninh chịu trách nhiệm bảo đảm AI được triển khai trong một môi trường an toàn, có kiểm soát và không vượt quá quyền truy cập được cho phép.

Vai trò chính gồm:

• Kiểm soát quyền truy cập vào dữ liệu, mô hình và hệ thống liên quan.
• Bảo vệ dữ liệu nhạy cảm trong quá trình AI xử lý thông tin.
• Quản lý việc tích hợp AI với các hệ thống nội bộ.
• Theo dõi rủi ro an ninh, lỗ hổng và hành vi bất thường.
• Bảo đảm nhật ký hệ thống được lưu trữ đầy đủ và có thể truy xuất khi cần.

Rủi ro, tuân thủ và pháp chế

Các bộ phận rủi ro, tuân thủ và pháp chế giúp xác định AI cần đáp ứng những yêu cầu kiểm soát nào trước và sau khi triển khai.

Vai trò chính gồm:

• Đánh giá mức độ rủi ro của từng trường hợp sử dụng AI.
• Xác định yêu cầu về tuân thủ, bảo mật, quyền riêng tư và trách nhiệm giải trình.
• Kiểm tra xem hệ thống AI có phù hợp với quy định nội bộ và yêu cầu pháp lý hay không.
• Xác định loại bằng chứng cần lưu trữ để phục vụ kiểm tra.
• Tư vấn cách xử lý khi AI tạo ra kết quả sai, gây tranh chấp hoặc ảnh hưởng đến người dùng.

Kiểm toán nội bộ

Kiểm toán nội bộ đóng vai trò đánh giá độc lập về mức độ đầy đủ và hiệu quả của hệ thống kiểm soát AI. Đây không phải là bộ phận trực tiếp xây dựng AI, mà là bên kiểm tra xem các cam kết, quy trình và bằng chứng có thực sự được thực hiện hay không.

Vai trò chính gồm:

• Kiểm tra độc lập các trường hợp sử dụng AI có rủi ro cao.
• Đánh giá tính đầy đủ của tài liệu, nhật ký, hồ sơ phê duyệt và báo cáo giám sát.
• Kiểm tra việc phân quyền, kiểm soát truy cập và trách nhiệm của các bên liên quan.
• Xác định điểm yếu trong quy trình kiểm soát AI.
• Đưa ra khuyến nghị để cải thiện khả năng kiểm toán và quản trị AI.