Bối Cảnh
Tình huống dưới đây là minh họa tổng hợp, không phải một vụ việc cụ thể.
Một buổi họp phê duyệt ngân sách AI đầu quý. Hai đề xuất nằm cạnh nhau trong cùng danh mục: một chatbot nội bộ (xây trên mô hình ngôn ngữ lớn, giúp nhân viên tra cứu chính sách nghỉ phép) và một mô hình tham gia quyết định cho vay đối với khách hàng.
Cả hai đi qua cùng một checklist, cùng bộ câu hỏi rủi ro, cùng tốc độ duyệt. Người phê duyệt không xuề xòa. Quy trình chưa bao giờ được thiết kế để phân biệt hai loại đề xuất này.
Chatbot chạy êm, ít ai nhắc đến. Mô hình cho vay tích lũy dần một khuynh hướng từ chối lệch ở một nhóm khách hàng và bị phát hiện muộn, khi việc khắc phục đã tốn kém hơn nhiều so với việc rà soát kỹ từ vòng duyệt đầu tiên.
Hai đề xuất khác nhau ở đâu và khác theo trục nào? Trong quy trình hiện tại, câu trả lời bị gói gọn trong một nhãn: “AI”.
Thế giới đã có nhiều cách trả lời câu hỏi này
Bốn khung quốc tế đã trả lời từng phần câu hỏi “hệ thống AI nào cần kiểm soát chặt hơn”. EU AI Act (hiệu lực từ 1/8/2024) hỏi: hệ thống dùng trong lĩnh vực nào, và lĩnh vực đó thuộc diện cấm, rủi ro cao hay chỉ cần minh bạch? NIST AI RMF (Mỹ, 2023) hỏi: tổ chức quản trị rủi ro theo quy trình nào — Govern, Map, Measure, Manage? MIT AI Risk Repository hỏi: hệ thống có thể vướng loại rủi ro nào trong bảy lĩnh vực tác động? ISO/IEC 42001 (2023) hỏi: rủi ro cho tổ chức và tác động ra bên ngoài đã được đánh giá riêng chưa (theo ISO/IEC 42005:2025)?
Bốn khung này cho CIO biết cần xem xét điều gì. Chúng không giúp so sánh hai đề xuất cạnh nhau trong một buổi họp ngân sách. Muốn vậy, CIO cần thay một checklist bằng ba quyết định tách biệt, mỗi quyết định có một khung tham chiếu riêng.
Ba quyết định, ba khung tham chiếu
Quyết định 1 – Giá trị: AI Value Creators (Thomas, Zikopoulos, Soule - 2025) không phải một khung quản trị rủi ro, mà là sách hướng dẫn doanh nghiệp đưa AI vào hoạt động, do các tác giả thuộc IBM viết. Tác giả đề xuất nhìn danh mục AI qua hai câu hỏi. Một, chi tiền để tiết kiệm (cải tạo cái đang có, thay lao động thủ công bằng tự động hóa) hay để tăng trưởng (mở nguồn doanh thu, mô hình kinh doanh mới)? Hai, AI đóng góp bằng cách nào - tự động hóa (thực thi quy tắc đã biết), tối ưu hóa (điều chỉnh một biến số trong biên độ đã định, như thời điểm gửi thông điệp bán hàng), hay dự đoán (phán đoán nơi kết quả chưa biết, như ước lượng mặt hàng sắp cháy hàng)?
Ghép hai câu hỏi tạo thành một ma trận như ví dụ ở hình bên dưới. Sách khuyên bắt đầu ở ô an toàn nhất - tự động hóa, chi để tiết kiệm - nhưng cảnh báo nếu dừng mãi ở đó, giá trị tạo ra sẽ nhỏ, vì giá trị tăng dần khi dự án dịch từ tiết kiệm sang đổi mới/ tăng trưởng.
Hình 1 BFSI AI Acumen Curve
Quyết định 2 — Rủi ro và giám sát. Mô hình Quản trị AI của Singapore (IMDA, lần đầu công bố 2019) trả lời trực tiếp câu hỏi “hệ thống này cần bao nhiêu sự giám sát của con người” để tổ chức cân nhắc mức giám sát phù hợp. Công thức chỉ có một ma trận hai trục: xác suất xảy ra tổn hại × mức độ nghiêm trọng nếu xảy ra. Từ ma trận đó, xếp hệ thống vào một trong ba mức giám sát:
Human-in-the-loop: con người ra quyết định cuối cùng, AI chỉ đề xuất.
Human-over-the-loop: AI tự vận hành, con người giám sát và có thể can thiệp khi cần.
Human-out-of-the-loop: AI tự quyết hoàn toàn, không cần con người can thiệp theo thời gian thực.
Ngân hàng DBS tại Singapore đã áp dụng ma trận này cho mô hình chống rửa tiền của họ. Thay vì để AI tự động chặn hoặc để con người duyệt từng giao dịch, DBS chọn mức human-over-the-loop: mô hình hỗ trợ sàng lọc các cảnh báo giám sát và đánh giá khả năng cảnh báo là false positive; nhân sự tập trung đánh giá các cảnh báo có mức độ tin cậy thấp hoặc mức rủi ro cao. Đây là một ví dụ tốt về việc sử dụng ngưỡng tin cậy, xếp hạng rủi ro và cơ chế leo thang để phân tích bổ sung đánh giá của con người, thay vì để AI tự động đưa ra quyết định cuối cùng về AML.
Quyết định 3 — Ưu tiên đầu tư. McKinsey sẽ trả lời câu hỏi còn lại: dự án này đáng đầu tư đến đâu và rủi ro có chặn mất khoản đầu tư đó không. McKinsey khuyến nghị mỗi lĩnh vực ưu tiên cần một business case dựa trên ba yếu tố: giá trị tiềm năng, khả năng triển khai và thời gian đầu tư, đồng thời nhấn mạnh rủi ro và kiểm soát phải được tích hợp ngay từ đầu, không phải lớp thẩm định thêm vào sau khi đã chọn xong lĩnh vực.
Cách làm này thể hiện rõ qua một case trong “From promising to productive” (2024): một ngân hàng toàn cầu bắt đầu với 23 lĩnh vực có thể áp dụng AI tạo sinh, thu hẹp còn 2 dựa trên đánh giá tác động kinh doanh (doanh thu, tiết kiệm chi phí, lợi thế cạnh tranh…) và khả năng triển khai kỹ thuật (dữ liệu đã sẵn sàng chưa, hạ tầng có chưa, đội ngũ có kỹ năng chưa…). Đến bước chọn giữa 2 lĩnh vực cuối — trung tâm chăm sóc khách hàng và nghiệp vụ định danh khách hàng doanh nghiệp (KYC) — ngân hàng thêm một lớp sàng lọc thứ ba: rủi ro. Vì dữ liệu KYC nhạy cảm hơn, ngân hàng chọn triển khai trung tâm chăm sóc khách hàng trước. Hai yếu tố giá trị và khả năng triển khai thu hẹp danh sách; và rủi ro quyết định thứ tự triển khai.
Ba câu hỏi này độc lập với nhau. Chatbot nghỉ phép trong phần Bối cảnh có thể tạo giá trị thấp (tiết kiệm nhỏ), cần ít giám sát (human-out-of-the-loop, vì sai thì dễ sửa và ít người bị ảnh hưởng), và dễ triển khai (dữ liệu đã có sẵn). Mô hình cho vay có thể tạo giá trị cao (ảnh hưởng doanh thu tín dụng), nhưng cần giám sát chặt (human-in-the-loop, vì mức độ nghiêm trọng nếu từ chối sai một khách hàng đủ điều kiện là cao), và khả năng triển khai còn tùy vào chất lượng dữ liệu tín dụng hiện có. Một quy trình duyệt gộp chung ba câu hỏi này vào một checklist sẽ luôn bỏ sót ít nhất một trục.
Bảng Action Kit: hai đề xuất ở Bối cảnh sau khi tách ba quyết định
Thang chấm 1–5. Mức giám sát = xác suất sai × mức nghiêm trọng (≤6 out, 7–14 over, ≥15 in). Ưu tiên đầu tư = giá trị × khả năng triển khai (≤6 tạm gác, 7–10 thử nhỏ, 11–16 có điều kiện, ≥17 đầu tư ngay). Điểm và ngưỡng là giả định minh họa của tác giả; mỗi tổ chức tự đặt theo trọng số của mình.
Hai đề xuất từng đi chung một checklist. Tách ba quyết định, chúng ra hai kết luận khác nhau. Chatbot được duyệt nhanh vì sai thì dễ sửa và ít người bị ảnh hưởng. Mô hình cho vay đáng làm, với điểm đầu tư 15, nhưng phải chậm hơn và có người giám sát. Đó là điều một checklist chung ở đầu bài không phân biệt được.
Lời kết
Ba trục trên không có một công thức chung đúng cho mọi tổ chức. Một ngân hàng coi trọng tuân thủ quyền riêng tư sẽ chấm mức độ nghiêm trọng cao hơn cho bất kỳ hệ thống nào chạm đến dữ liệu khách hàng, bất kể xác suất sai thấp đến đâu. Một doanh nghiệp sản xuất ưu tiên tốc độ ra thị trường có thể chấp nhận khả năng triển khai thấp hơn miễn giá trị đủ lớn. Chiến lược, khẩu vị rủi ro và nghĩa vụ tuân thủ của từng ngành quyết định trọng số của ba trục, không phải công thức tự thân. Trước khi chấm điểm bất kỳ hệ thống nào, việc đầu tiên của CIO là thống nhất với ban điều hành và quản trị rủi ro về trọng số này.
Sau khi có trọng số, bốn bước sau sẽ giúp CIO có một bức tranh rõ ràng hơn trong việc hỗ trợ ra quyết định đầu tư vào hệ thống AI:
Gắn nhãn trục AI Value Creators cho từng hệ thống trong danh mục: loại đóng góp và mục đích chi tiêu. Tính tỷ lệ phần trăm ngân sách theo từng ô.
Chấm trục giám sát Singapore cho từng hệ thống: xác suất sai × mức độ nghiêm trọng, theo trọng số tổ chức đã thống nhất. Xếp vào in/over/out-of-the-loop.
Chấm trục đầu tư McKinsey cho từng hệ thống: giá trị kinh doanh × khả năng triển khai × thời gian đầu tư. Xếp theo mức độ rủi ro: ưu tiên ngay, đầu tư có điều kiện, thử nghiệm nhỏ, hoặc tạm gác.
Ghép ba kết quả lại thành một bảng giám sát cho từng hệ thống. Hệ thống cần in-the-loop nhưng đang chạy như out-of-the-loop: dừng để rà soát ngay, bất kể điểm McKinsey cao hay thấp - giám sát không mặc cả bằng giá trị kinh doanh. Hệ thống out-of-the-loop nhưng bị thẩm định nặng: nếu điểm McKinsey cũng thấp, cân nhắc dừng hẳn thay vì chỉ nới lỏng quy trình; nếu điểm cao, chuyển sang đường duyệt nhanh ngay.
Tác giả: Trần Thị Bảo Thùy | AINEXT Advisory
