Industrial KnowledgeChính sách AI theo ISO 42001 là gì? Cách viết chính sách, phân vai và kênh báo cáo lo ngại | Ví dụ
Nội dung bài viết 9 mục
Khi chuyên gia đánh giá hỏi giám đốc một nhà máy: “Công ty anh cho phép dùng AI vào việc gì, và ai chịu trách nhiệm nếu AI sai?”, câu trả lời thường là một khoảng lặng. Hai câu hỏi đó chính là nội dung của nhóm control A.2 – Chính sách liên quan đến AI và A.3 – Tổ chức nội bộ trong ISO/IEC 42001. Năm control này ngắn, nhưng là nền cho 33 control còn lại: không có chính sách thì không có tiêu chí để chọn; không có người chịu trách nhiệm thì không ai thực hiện.
Tóm tắt nhanh
- Chính sách AI do lãnh đạo cao nhất ban hành, nêu tổ chức phát triển hoặc sử dụng AI theo định hướng nào.
- Điều 5.2 bắt buộc: phù hợp mục đích, làm khung đặt mục tiêu AI, cam kết đáp ứng yêu cầu và cải tiến liên tục.
- Nhóm A.2 gồm chính sách AI (A.2.2), liên kết với chính sách khác (A.2.3) và rà soát chính sách (A.2.4).
- Khung chính sách gợi ý chỉ 1–2 trang: mục đích, cam kết, nguyên tắc, quy tắc chung, trách nhiệm, ngoại lệ, rà soát.
Chính sách AI là gì?
Chính sách AI là văn bản lãnh đạo cao nhất ban hành, nói tổ chức phát triển hoặc sử dụng AI theo định hướng nào. Nó có hai “lớp” yêu cầu:
- Điều 5.2 (bắt buộc): phù hợp mục đích tổ chức; làm khung để đặt mục tiêu AI; cam kết đáp ứng yêu cầu áp dụng; cam kết cải tiến liên tục; có văn bản, được truyền đạt nội bộ và sẵn có cho bên quan tâm khi phù hợp.
- Control A.2.2 và hướng dẫn Phụ lục B: chính sách nên dựa trên chiến lược kinh doanh, giá trị – văn hoá và mức rủi ro tổ chức sẵn sàng chấp nhận, mức rủi ro của các hệ thống AI, yêu cầu pháp luật và hợp đồng, môi trường rủi ro, tác động tới bên quan tâm. Ngoài các nội dung của 5.2, nên có nguyên tắc dẫn dắt mọi hoạt động AI và quy trình xử lý sai lệch, ngoại lệ.
Ba control nhóm A.2
| Control | Mục đích | Việc cần làm thực tế | Bằng chứng | Lỗi thường gặp |
|---|---|---|---|---|
| A.2.2 Chính sách AI | Định hướng rõ ràng | Viết chính sách gồm nguyên tắc, phạm vi áp dụng, quy tắc chung (công cụ được dùng, dữ liệu cấm đưa vào, mức độ tự động hoá cho phép), xử lý ngoại lệ; có thể có chính sách chủ đề cho tài sản AI, đánh giá tác động, phát triển AI | Chính sách đã ký, có phiên bản; hồ sơ phổ biến | Chính sách chỉ là khẩu hiệu |
| A.2.3 Liên kết chính sách khác | Không mâu thuẫn | Rà chính sách chất lượng, ATTT, an toàn, riêng tư, nhân sự, mua hàng xem chỗ giao với AI; sửa chúng hoặc đưa điều khoản vào chính sách AI | Ma trận liên kết; bản sửa đổi | Chính sách bảo mật cũ không nhắc AI |
| A.2.4 Rà soát chính sách | Giữ phù hợp | Giao một vai trò được duyệt phụ trách; rà theo kỳ và khi luật, kinh doanh, công nghệ thay đổi; xét kết quả xem xét của lãnh đạo | Biên bản rà soát, lịch sử phiên bản | Không ai được giao, ba năm không sửa |
Phụ lục B còn nhắc: chính sách mà hội đồng quản trị đặt ra nên định hướng chính sách AI (ISO/IEC 38507 có hướng dẫn quản trị AI ở cấp hội đồng quản trị).
Khung chính sách AI gợi ý (1–2 trang)
| Mục | Nội dung gợi ý |
|---|---|
| 1. Mục đích, phạm vi | Áp dụng cho hệ thống AI tự phát triển, mua ngoài và công cụ AI nhân viên dùng |
| 2. Cam kết | Đáp ứng yêu cầu pháp luật, hợp đồng; cải tiến liên tục AIMS |
| 3. Nguyên tắc | Con người chịu trách nhiệm cuối cùng; minh bạch với người dùng; công bằng; an toàn; bảo vệ dữ liệu; phù hợp mục đích |
| 4. Quy tắc chung | Chỉ dùng công cụ trong danh sách duyệt; không đưa dữ liệu mật, dữ liệu cá nhân vào công cụ công cộng; AI không tự quyết những việc ảnh hưởng an toàn, việc làm, tài chính của người khác khi chưa có người xem lại |
| 5. Khung mục tiêu | Mục tiêu AI đặt hằng năm, đo được |
| 6. Trách nhiệm | Ban quản trị AI, chủ sở hữu hệ thống, mọi nhân viên |
| 7. Ngoại lệ | Ai được duyệt ngoại lệ, ghi sổ, thời hạn |
| 8. Liên kết | Danh sách chính sách liên quan |
| 9. Rà soát | Người phụ trách, chu kỳ, điều kiện rà soát đột xuất |
Vai trò và trách nhiệm (A.3.2)
Mục đích của nhóm A.3 là trách nhiệm giải trình: mỗi việc trong vòng đời AI có người làm, người duyệt. Phụ lục B gợi ý dựa vào chính sách, mục tiêu và rủi ro để quyết định cần những vai trò nào; tổ chức được ưu tiên giao trước những mảng quan trọng. Các mảng thường cần người phụ trách:
| Mảng | Vai trò gợi ý ở doanh nghiệp vừa |
|---|---|
| Quản lý rủi ro AI, đánh giá tác động | Điều phối viên AIMS + chủ sở hữu từng hệ thống |
| Tài sản và nguồn lực | IT / chủ sở hữu hệ thống |
| An ninh, riêng tư | Phụ trách ATTT, pháp chế |
| An toàn | Phòng an toàn – EHS (khi AI liên quan máy móc, con người) |
| Phát triển, hiệu năng | Trưởng nhóm dữ liệu / đối tác phát triển |
| Giám sát của con người | Người vận hành được đào tạo, có quyền ghi đè |
| Nhà cung cấp | Mua hàng + chủ sở hữu hệ thống |
| Tuân thủ pháp lý | Pháp chế |
| Chất lượng dữ liệu | Chủ sở hữu dữ liệu |
Trách nhiệm phải được mô tả đủ chi tiết để người nhận làm được — “phụ trách AI” là chưa đủ; “duyệt kết quả kiểm thử trước mỗi lần cập nhật mô hình camera, có quyền dừng triển khai” là đủ. Đừng nhầm với điều 5.3: 5.3 giao người bảo đảm AIMS phù hợp tiêu chuẩn và báo cáo lãnh đạo; A.3.2 giao trách nhiệm cho từng việc AI.
Kênh báo cáo lo ngại (A.3.3)
Đây là control hay bị làm qua loa nhất. Hướng dẫn Phụ lục B nêu các chức năng mà kênh cần có, diễn giải lại:
| Chức năng | Cách làm ở nhà máy |
|---|---|
| Bảo mật hoặc ẩn danh | Form không bắt buộc tên, hộp thư độc lập |
| Phổ biến cho nhân viên và nhà thầu | Poster ở xưởng, mục trong đào tạo nhập môn |
| Người tiếp nhận có năng lực | Pháp chế/kiểm soát nội bộ được đào tạo về AI cơ bản |
| Có quyền điều tra, giải quyết | Quyết định giao quyền yêu cầu dữ liệu, tạm dừng hệ thống |
| Leo thang kịp thời | Vụ nghiêm trọng báo ban giám đốc trong 24 giờ (ví dụ) |
| Chống trù dập | Cam kết bằng văn bản, xử lý kỷ luật nếu vi phạm |
| Báo cáo tổng hợp | Thống kê vào xem xét của lãnh đạo, không lộ danh tính |
| Thời hạn phản hồi | Ví dụ xác nhận trong 3 ngày, kết luận trong 30 ngày |
Có thể dùng lại kênh tố giác hay đường dây đạo đức sẵn có, chỉ cần bổ sung chủ đề AI; tham khảo ISO 37002 về hệ thống quản lý tố giác.
Ví dụ: công ty thép ở Bà Rịa – Vũng Tàu (minh hoạ)
Công ty 900 lao động, có camera AI phát hiện người vào vùng cầu trục và chatbot nội bộ tra quy trình. Họ:
- Ban hành chính sách AI 2 trang; nguyên tắc số 1: “AI an toàn chỉ là lớp bảo vệ bổ sung, không thay khoá liên động”.
- Sửa chính sách an toàn lao động: bổ sung yêu cầu kiểm tra định kỳ camera AI như thiết bị an toàn; sửa chính sách bảo mật: cấm tải bản vẽ khách hàng lên công cụ AI công cộng (A.2.3).
- RACI cho camera AI: phòng EHS là chủ sở hữu, nhà cung cấp tích hợp chịu trách nhiệm mô hình, trưởng ca có quyền tắt cảnh báo giả nhưng phải ghi sổ.
- Kênh lo ngại dùng chung đường dây đạo đức; 6 tháng đầu nhận 4 báo cáo, trong đó 1 vụ camera bỏ sót người mặc áo phản quang màu lạ — dẫn tới bổ sung dữ liệu huấn luyện (số liệu minh hoạ).
Lỗi hay gặp
- Chính sách AI do IT viết, lãnh đạo không biết nội dung khi được phỏng vấn.
- Không có quy định cho công cụ AI nhân viên tự dùng.
- Vai trò “giám sát của con người” không có ai, hoặc có người nhưng không có quyền ghi đè.
- Kênh lo ngại chỉ là địa chỉ email của trưởng phòng — không ẩn danh, không độc lập.
Câu hỏi thường gặp
Có thể gộp chính sách AI vào chính sách tích hợp (chất lượng – ATTT) không? Được, nếu phần AI vẫn đủ nội dung 5.2 và A.2.2 và nhận diện được rõ.
Bao lâu rà soát chính sách một lần? Tiêu chuẩn không quy định số; thường hằng năm, cộng rà soát đột xuất khi luật hoặc hệ thống AI thay đổi lớn.
Doanh nghiệp nhỏ có cần ban quản trị AI? Không bắt buộc hình thức “ban”; cần người có trách nhiệm và quyền hạn rõ.
