46 hệ thống AI rủi ro cao: Doanh nghiệp Việt Nam cần rà soát gì?

Quy định đã có hiệu lực, nhưng doanh nghiệp không nên kết luận vội

Quyết định 33/2026/QĐ-TTg về Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao được ban hành ngày 30/6 và có hiệu lực từ 15/8/2026. Công báo Chính phủ cho biết danh mục gồm 46 nhóm hệ thống trong sáu lĩnh vực. Đây là mốc mà các đơn vị đang phát triển hoặc mua giải pháp AI tại Việt Nam cần đưa vào kế hoạch quản trị.

Điều đó không có nghĩa cứ dùng AI là bị xếp vào nhóm rủi ro cao. Một chatbot trả lời giờ mở cửa khác hẳn hệ thống chấm điểm ứng viên, phân tích dữ liệu sinh trắc học hay đề xuất một quyết định có thể ảnh hưởng đến quyền lợi của người dùng. Muốn phân loại đúng, doanh nghiệp phải nhìn vào việc hệ thống làm gì trong thực tế, không chỉ nhìn vào tên sản phẩm.

• ✓Ngày ban hành: 30/6/2026.
• ✓Ngày có hiệu lực: 15/8/2026.
• ✓Phạm vi công bố: 46 nhóm hệ thống thuộc sáu lĩnh vực.

Câu hỏi đầu tiên không phải doanh nghiệp đang dùng mô hình nào, mà là hệ thống đang tác động đến quyền lợi và quyết định của ai.

Rủi ro nằm ở hậu quả, không nằm ở chữ AI trên màn hình

Danh mục chính thức cần được đối chiếu theo từng trường hợp. Chẳng hạn, trong giáo dục, văn bản đề cập những hệ thống cung cấp nội dung tự học từ nguồn dữ liệu không được kiểm soát trên quy mô có thể gây tác động rộng. Các trường hợp dùng sinh trắc học để theo dõi ánh mắt, cảm xúc hoặc hành vi người học cũng cần được xem xét kỹ vì có thể xâm phạm quyền riêng tư hoặc tạo áp lực tâm lý.

Cách đọc phù hợp cho doanh nghiệp là lần theo chuỗi hậu quả. AI chỉ gợi ý một bản nháp để nhân viên sửa, hay đầu ra được dùng thẳng để từ chối khách hàng? Người bị tác động có biết AI đang tham gia không? Họ có thể yêu cầu con người xem lại quyết định không? Cùng một mô hình, nhưng câu trả lời khác nhau sẽ tạo ra mức rủi ro rất khác nhau.

Bắt đầu bằng một bảng kiểm kê có người chịu trách nhiệm

Đừng bắt đầu bằng một dự án tài liệu kéo dài hàng tháng. Hãy lập danh sách các hệ thống đang dùng AI, kể cả tính năng nằm sẵn trong phần mềm mua ngoài. Mỗi dòng cần có chủ sở hữu nghiệp vụ, nhà cung cấp, loại dữ liệu đầu vào, đầu ra, nhóm người bị tác động và cách xử lý khi kết quả sai.

Một điểm thường bị bỏ sót là các thử nghiệm do từng phòng ban tự mở. Nhân viên có thể đưa hồ sơ, hợp đồng hoặc dữ liệu khách hàng vào công cụ AI mà bộ phận công nghệ không biết. Vì vậy, bảng kiểm kê nên ghi cả công cụ chính thức lẫn công cụ đang được dùng thử, sau đó xác định công cụ nào cần dừng, giới hạn dữ liệu hoặc đưa vào quy trình phê duyệt.

• ✓Ai chịu trách nhiệm về kết quả của hệ thống?
• ✓Dữ liệu nào được đưa vào và có dữ liệu nhạy cảm hay không?
• ✓AI chỉ hỗ trợ hay có thể tự đưa ra hành động?
• ✓Người bị ảnh hưởng có đường khiếu nại hoặc yêu cầu xem lại không?

Bốn lớp kiểm soát nên có trước khi mở rộng

Lớp đầu tiên là dữ liệu: nguồn nào được phép dùng, ai được truy cập và dữ liệu được giữ trong bao lâu. Lớp thứ hai là con người: trường hợp nào bắt buộc phải có người phê duyệt. Lớp thứ ba là kỹ thuật: ghi log, giới hạn quyền, kiểm thử sai lệch và có nút dừng. Lớp cuối cùng là vận hành: ai nhận cảnh báo, thời gian xử lý và cách thông báo cho người bị ảnh hưởng.

Doanh nghiệp không nên coi tài liệu của nhà cung cấp là bằng chứng duy nhất. Cần thử hệ thống trên dữ liệu gần với thực tế, ghi lại trường hợp thất bại và kiểm tra xem người vận hành có hiểu giới hạn hay không. Nếu không thể giải thích vì sao đầu ra được chấp nhận, phạm vi triển khai đang đi nhanh hơn khả năng kiểm soát.

Kế hoạch 30 ngày cho doanh nghiệp đang dùng AI

Tuần đầu dành cho kiểm kê. Tuần hai đối chiếu danh mục chính thức và chọn ra các hệ thống có tác động đáng kể đến con người. Tuần ba kiểm tra dữ liệu, quyền truy cập, log và điểm phê duyệt. Tuần cuối chốt người chịu trách nhiệm, các việc phải sửa và thời hạn hoàn thành.

Nếu chưa chắc hệ thống có thuộc danh mục rủi ro cao hay không, doanh nghiệp nên giữ phạm vi hẹp và xin ý kiến pháp lý phù hợp. Bài viết này giúp tổ chức công việc kỹ thuật và quản trị, không thay thế tư vấn pháp luật cho một trường hợp cụ thể.

Doanh nghiệp nhỏ vẫn nên làm, nhưng không cần bộ máy cồng kềnh

Một công ty nhỏ có thể bắt đầu bằng một bảng tính, một người phụ trách và cuộc họp rà soát hàng tháng. Điều quan trọng là biết AI đang nằm ở đâu và không để một tính năng tiện lợi âm thầm trở thành nơi ra quyết định quan trọng.

Khi chọn dự án mới, hãy yêu cầu nhà cung cấp mô tả dữ liệu đi đâu, ai có thể xem log, cách tắt tính năng và cách xuất dữ liệu khi kết thúc hợp đồng. Những câu hỏi này vừa hỗ trợ tuân thủ, vừa tránh phụ thuộc vào một công cụ mà doanh nghiệp không thể kiểm soát.