Khoảng cách ngày càng lớn giữa chính sách AI và việc thực thi trong thực tế

AI không có một bộ quy tắc chung duy nhất

AI đang được triển khai trong nhiều ngành và ứng dụng với tốc độ nhanh hơn khả năng hoàn thiện của các chính sách và khuôn khổ quản trị cần thiết để giám sát công nghệ này. Trước đây, các ứng dụng AI phần lớn được quản lý theo những quy định hiện hành về bảo vệ người tiêu dùng, quyền riêng tư và từng ngành cụ thể, cùng với các chính sách nội bộ của doanh nghiệp. Hiện nay, các chính phủ đang đưa ra những yêu cầu riêng cho AI, nhưng các yêu cầu này vẫn rời rạc và thường chỉ hướng dẫn hạn chế về cách các hệ thống thực sự cần vận hành. Vì vậy, các doanh nghiệp phải dung hòa những yêu cầu bên ngoài với mức độ chấp nhận rủi ro, mục tiêu sản phẩm và thực tế vận hành của chính mình.

EU hiện đang chủ động thực thi một số phần của Đạo luật AI, trong khi chính sách liên bang của Mỹ công khai ủng hộ một khuôn khổ quốc gia ít tạo gánh nặng hơn. Sắc lệnh Hành pháp số 14365 hướng đến việc hạn chế các yêu cầu cấp bang mâu thuẫn nhau, ngay cả khi các bang đã đưa ra hơn 1.000 biện pháp liên quan đến AI trong năm 2025. Mỗi cơ quan này đều xác định một đích đến khác nhau, và các doanh nghiệp xây dựng, triển khai hệ thống phải gánh vác việc dung hòa những khác biệt đó.

Tuy nhiên, việc thiết lập các yêu cầu pháp quy mới chỉ là một phần của thách thức. Khi AI được triển khai trong ngày càng nhiều ứng dụng và bối cảnh, các doanh nghiệp phải chuyển những yêu cầu chung và chính sách nội bộ thành các biện pháp kiểm soát vận hành và quyết định cụ thể của AI. Không khuôn khổ pháp quy nào có thể dự liệu mọi ứng dụng, bối cảnh hay sự đánh đổi. Vì vậy, các tổ chức cần lần theo lộ trình từ những yêu cầu quản lý và chính sách nội bộ đến hành vi của hệ thống, kết quả có thể đo lường, cũng như hoạt động kiểm toán hoặc rà soát. Khung Quản lý Rủi ro AI của NIST cũng có quan điểm tương tự: nhấn mạnh việc đo lường và quản lý liên tục thay vì xem quản trị chỉ là một hoạt động tuân thủ độc lập. Yêu cầu được truyền xuống, còn bằng chứng được chuyển ngược lên: cơ quan quản lý và lãnh đạo có thể xác định kết quả mong muốn, nhưng các tổ chức phải chứng minh liệu hệ thống của họ có thực sự tạo ra những kết quả đó hay không.

Điều này đặt phần lớn trách nhiệm thực tiễn về quản trị AI lên vai các tổ chức triển khai những hệ thống này.

Quản trị trở nên khó khăn ở khâu triển khai

Các quy định và khuôn khổ quản trị thường xác định những nguyên tắc, nghĩa vụ và kết quả mong muốn. Tuy nhiên, các hệ thống đang vận hành phải chuyển những điều đó thành từng quyết định cụ thể; chính quá trình chuyển đổi này khiến việc quản trị trở nên khó khăn. Một chính sách có thể yêu cầu ngăn chặn phân biệt đối xử, bảo vệ người dùng, đảm bảo tính minh bạch hoặc cho phép con người rà soát một cách có ý nghĩa, nhưng một hệ thống vận hành phải trả lời nhiều câu hỏi cụ thể hơn: hệ thống sẽ hành động ở ngưỡng nào, dựa trên bằng chứng nào và với mức độ tin cậy ra sao, khi nào cần con người rà soát, thông tin gì được ghi lại và điều gì xảy ra khi hệ thống không chắc chắn?

Các cơ quan quản lý đã kỳ vọng có câu trả lời cho những vấn đề đó. FTC, DOJ, CFPB và EEOC đã cùng tuyên bố rằng họ sẽ thực thi các thẩm quyền hiện hành đối với những hệ thống tự động; điều đó có nghĩa là sớm muộn cũng sẽ có người yêu cầu một doanh nghiệp giải thích cách hệ thống của họ đưa ra quyết định.

Hãy xem xét một nền tảng có chính sách rõ ràng chống quấy rối. Một tin nhắn có lời tục tĩu có thể chỉ là màn đùa vui vô hại giữa bạn bè, trong khi một tin nhắn thoạt nhìn vô hại lại có thể là một phần của chiến dịch kéo dài nhằm nhắm vào người dùng khác. Hệ thống phải xác định bối cảnh nào có thể được sử dụng một cách đáng tin cậy, cần bao nhiêu bằng chứng để can thiệp và biện pháp can thiệp nào là phù hợp: chặn tin nhắn, cảnh báo người gửi, chuyển vụ việc cho người kiểm duyệt hay không làm gì cả. Hạ ngưỡng phát hiện có thể giúp nhận diện nhiều hành vi gây hại hơn, nhưng cũng có thể ngăn cản những cuộc trò chuyện chính đáng. Yêu cầu con người rà soát có thể cải thiện phán đoán, nhưng đồng thời làm chậm việc can thiệp. Không quyết định nào trong số này được quy định cụ thể trong một chính sách chung nhằm ngăn cấm quấy rối, nhưng khi kết hợp lại, chúng quyết định cách chính sách đó thực sự được thực thi.

Không tài liệu chính sách nào có thể định trước cách giải quyết những sự đánh đổi đó, vì vậy một người nào đó trong công ty phải đưa ra quyết định, ghi chép và xem xét lại chúng. Dù sơ đồ tổ chức có ghi nhận hay không, trên thực tế, người đó đang soạn thảo chính sách.

AI có trách nhiệm thực sự đòi hỏi những gì

Nếu những người triển khai một hệ thống trên thực tế cũng là những người soạn thảo chính sách, thì không thể xem AI có trách nhiệm chỉ là một tuyên bố về ý định, bởi điều đó phải thể hiện qua cách hệ thống vận hành mỗi ngày. Điều này có nghĩa là phải quản lý cách AI được sử dụng, đo lường và điều chỉnh theo thời gian, chứ không chỉ phê duyệt một chính sách hay vượt qua một đợt đánh giá ban đầu. Trên thực tế, ba ý tưởng quan trọng nhất đều xuất phát từ những sự đánh đổi nêu trên:

• Mức độ quản trị cần tương xứng với hệ quả. Một hệ thống AI đề xuất nội dung, phê duyệt khoản vay, cảnh báo về mối đe dọa an ninh hoặc hỗ trợ quyết định y tế sẽ tạo ra những rủi ro rất khác nhau. Các tổ chức cần xác định trường hợp nào đòi hỏi biện pháp kiểm soát, rà soát và giám sát chặt chẽ hơn, dựa trên những hệ quả tiềm tàng.
• Chỉ độ chính xác thôi là chưa đủ. Mỗi loại sai sót gây ra những tổn thất khác nhau. Một trường hợp dương tính giả trong kiểm duyệt có thể ngăn cản phát ngôn chính đáng, trong khi sai sót trong lĩnh vực cho vay, y tế hoặc an ninh có thể gây ra hậu quả nghiêm trọng hơn nhiều. Quản trị phải phản ánh tác động thực tế của một quyết định, chứ không chỉ hiệu suất của mô hình.
• Đánh giá và phản hồi liên tục là thiết yếu. Các trường hợp ghi đè quyết định, khiếu nại, sự cố, tình huống ngoại lệ và kết quả phát sinh về sau đều cần được đưa vào quá trình đánh giá liên tục.

Khuôn khổ thực tiễn cho quản trị AI nội bộ

Để áp dụng những nguyên tắc này vào thực tế, cần tích hợp hoạt động quản trị vào quy trình thiết kế, triển khai và quản lý các hệ thống AI. Có bốn thực hành đặc biệt quan trọng:

• Xem các yêu cầu quản trị là yêu cầu đối với sản phẩm và hệ thống ngay từ đầu. Các biện pháp kiểm soát tuân thủ được bổ sung sau khi triển khai thường tốn kém và khó điều chỉnh. Việc tích hợp quyền riêng tư, tính minh bạch, khả năng kiểm toán và cơ chế rà soát vào thiết kế hệ thống dễ dàng hơn nhiều so với bổ sung những yếu tố này về sau.
• Xây dựng chuỗi kiểm toán được từ chính sách đến quyết định. Các tổ chức cần có khả năng liên kết yêu cầu quản lý hoặc chính sách nội bộ với biện pháp kiểm soát được áp dụng và quyết định đưa ra. Họ cũng cần có bằng chứng cần thiết để đánh giá quyết định đó.
• Phân định rõ quyền sở hữu và trách nhiệm giải trình. Xác định ai chịu trách nhiệm về chính sách, ai quyết định mức độ rủi ro có thể chấp nhận và ai giám sát hiệu quả hoạt động. Cũng cần có người được trao quyền can thiệp khi hệ thống hoạt động vượt ra ngoài những giới hạn đó.
• Xây dựng hạ tầng quản trị dùng chung, có khả năng thích ứng. Các biện pháp kiểm soát dữ liệu, nhật ký kiểm toán, chính sách có thể cấu hình, quy trình rà soát và hoạt động đo lường cần đáp ứng nhiều yêu cầu pháp lý và trường hợp sử dụng khác nhau. Các biện pháp kiểm soát và ngưỡng cần có khả năng điều chỉnh theo khu vực pháp lý, ứng dụng và mức độ rủi ro, để các tổ chức ứng phó với những yêu cầu thay đổi mà không phải xây dựng lại hệ thống.

Quản trị phải hiệu quả trong thực tế

Quy định có thể nêu rõ nghĩa vụ và nguyên tắc, nhưng các công ty vẫn phải chuyển hóa chúng thành những hệ thống có thể đưa ra quyết định thực tế trên quy mô lớn. Vì vậy, quản trị nội bộ là trách nhiệm trong hoạt động vận hành, chứ không chỉ là một bài tập tuân thủ. Mọi công ty triển khai AI trên quy mô lớn đều đang định hình chính sách thông qua các ngưỡng, quy tắc rà soát và lộ trình chuyển cấp xử lý của mình; câu hỏi duy nhất còn bỏ ngỏ là liệu họ có chủ động làm điều đó hay không.

Các cơ quan quản lý sẽ tiếp tục xác định những kết quả họ mong muốn, và họ không phải lúc nào cũng đồng thuận. Vì thế, công ty phải quyết định cách chuyển những kỳ vọng đó thành các biện pháp kiểm soát, rồi dùng bằng chứng để chứng minh rằng các biện pháp này có hiệu quả. Những công ty hiện xây dựng được cơ chế phân định trách nhiệm rõ ràng, biện pháp kiểm soát có thể đo lường, khả năng kiểm toán và hạ tầng thích ứng sẽ có vị thế thuận lợi hơn khi các quy định tiếp tục thay đổi.

Tôi đã chứng kiến vấn đề này từ nhiều góc độ: trong các môi trường an ninh mạng, khi xây dựng mô hình rủi ro và hiện nay là khi vận hành các hệ thống AI trên quy mô lớn. Qua mỗi lĩnh vực, bài học đều tương tự: một khuôn khổ chỉ phát huy tác dụng khi có thể chuyển thành những quyết định rõ ràng, được đo lường trong thực tế và cải thiện khi thực tế cho thấy những thiếu sót.