Cornerstone ISO/IEC 42001

ISO/IEC 42001:2023 là tiêu chuẩn quốc tế về Hệ thống quản lý trí tuệ nhân tạo – Artificial Intelligence Management System (AIMS). Tiêu chuẩn cung cấp một khuôn khổ để tổ chức thiết lập, triển khai, duy trì và cải tiến cách thức quản lý các hệ thống AI một cách có trách nhiệm trong suốt vòng đời của chúng.

ISO/IEC 42001 đặc biệt phù hợp với các tổ chức đang phát triển, cung cấp hoặc sử dụng AI và muốn quản lý có hệ thống các vấn đề liên quan đến quản trị, rủi ro, trách nhiệm, tính minh bạch, tác động của AI và việc giám sát liên tục.

1. ISO/IEC 42001 là gì?

ISO/IEC 42001:2023 là tiêu chuẩn hệ thống quản lý dành riêng cho trí tuệ nhân tạo.

Thay vì quy định doanh nghiệp phải sử dụng một công nghệ AI cụ thể, tiêu chuẩn tập trung vào cách tổ chức quản lý việc phát triển, cung cấp và sử dụng các hệ thống AI.

Cách tiếp cận này giúp tổ chức xây dựng một hệ thống gồm các yếu tố có liên kết với nhau như:

  • Chính sách và mục tiêu liên quan đến AI;
  • Vai trò, trách nhiệm và quyền hạn;
  • Quản lý rủi ro và cơ hội;
  • Đánh giá tác động của hệ thống AI;
  • Quản lý dữ liệu và nguồn lực;
  • Kiểm soát vòng đời AI;
  • Giám sát hoạt động và kết quả của AI;
  • Internal Audit;
  • Management Review;
  • Continual Improvement.

2. AIMS – Artificial Intelligence Management System là gì?

AIMS là viết tắt của Artificial Intelligence Management System – Hệ thống quản lý trí tuệ nhân tạo.

Có thể hiểu AIMS là tập hợp các chính sách, vai trò, quá trình, kiểm soát và cơ chế quản trị được tổ chức thiết lập để quản lý AI theo một cách nhất quán.

Một AIMS hiệu quả cần giúp tổ chức trả lời được các câu hỏi cơ bản:

  • Chúng ta đang sử dụng những hệ thống AI nào?
  • AI được sử dụng nhằm mục đích gì?
  • Ai là người chịu trách nhiệm?
  • Dữ liệu nào được AI sử dụng?
  • Những người hoặc bên liên quan nào có thể bị ảnh hưởng?
  • Các rủi ro và tác động tiềm ẩn là gì?
  • Biện pháp kiểm soát nào đang được áp dụng?
  • Khi nào cần có Human Oversight?
  • Hiệu lực của hệ thống AI được theo dõi như thế nào?
  • Khi AI thay đổi, tổ chức kiểm soát sự thay đổi ra sao?

Do đó, AIMS không đồng nghĩa với một phần mềm quản lý AI và cũng không chỉ là một tập hợp tài liệu ISO. Đây là một phần của hệ thống quản trị doanh nghiệp.

3. ISO/IEC 42001 áp dụng cho tổ chức nào?

ISO/IEC 42001 có thể áp dụng cho các tổ chức thuộc nhiều quy mô và lĩnh vực khác nhau khi các tổ chức đó phát triển, cung cấp hoặc sử dụng hệ thống AI.

Có thể hình dung ba nhóm tình huống phổ biến:

  • AI Developer: tổ chức tự thiết kế, phát triển hoặc huấn luyện hệ thống AI;
  • AI Provider: tổ chức cung cấp sản phẩm, nền tảng hoặc dịch vụ có sử dụng AI;
  • AI User / Deployer: tổ chức sử dụng AI của chính mình hoặc của nhà cung cấp bên ngoài trong các quá trình kinh doanh.

Một doanh nghiệp không cần phải tự xây dựng Large Language Model hoặc Machine Learning Model mới cần quản trị AI.

Nếu doanh nghiệp sử dụng chatbot, AI Agent, Generative AI, AI hỗ trợ tuyển dụng, phân tích khách hàng, dự báo nhu cầu, computer vision, predictive maintenance hoặc hệ thống hỗ trợ ra quyết định, việc xác định phạm vi quản trị AI vẫn có thể trở nên cần thiết.

4. Vì sao cần một hệ thống quản lý riêng cho AI?

AI có một số đặc điểm khiến cách quản lý công nghệ truyền thống có thể chưa đủ trong mọi trường hợp.

Tùy thuộc vào mục đích và mức độ ảnh hưởng, tổ chức có thể phải xem xét các vấn đề như:

  • Bias hoặc kết quả thiếu công bằng;
  • Chất lượng và nguồn gốc dữ liệu;
  • Explainability;
  • Transparency;
  • Privacy;
  • Cybersecurity;
  • Độ chính xác và độ tin cậy của kết quả;
  • Overreliance vào quyết định tự động;
  • Unintended consequences;
  • Khả năng thay đổi của hệ thống theo thời gian;
  • Trách nhiệm của con người đối với quyết định có sự tham gia của AI.

Một hệ thống quản lý giúp doanh nghiệp không xử lý từng vấn đề riêng lẻ mà kết nối chúng vào một cơ chế quản trị thống nhất.

5. ISO/IEC 42001 và AI Governance có giống nhau không?

Không hoàn toàn.

AI Governance là khái niệm rộng hơn, liên quan đến cách tổ chức định hướng, kiểm soát và chịu trách nhiệm đối với việc phát triển và sử dụng AI.

ISO/IEC 42001 cung cấp một khuôn khổ hệ thống quản lý có cấu trúc để doanh nghiệp đưa nhiều nguyên tắc AI Governance vào hoạt động quản lý thực tế, từ chính sách, trách nhiệm, đánh giá rủi ro đến giám sát, audit và cải tiến.

6. Những thành phần doanh nghiệp nên quản lý trong AIMS

Tùy theo phạm vi và bối cảnh, một AIMS có thể bao gồm các nhóm hoạt động như:

  1. Xác định bối cảnh: hiểu hoạt động kinh doanh, yêu cầu liên quan và các bên bị ảnh hưởng bởi AI;
  2. Xác định phạm vi AIMS: xác định hệ thống AI, quá trình, đơn vị và hoạt động nằm trong phạm vi;
  3. Leadership: xác định cam kết, chính sách, trách nhiệm và cơ chế quản trị;
  4. AI Risk Management: xác định, phân tích và xử lý rủi ro liên quan đến AI;
  5. AI Impact Assessment: xem xét tác động tiềm ẩn của hệ thống AI khi phù hợp;
  6. Resources và Competence: bảo đảm nhân sự có đủ năng lực và nguồn lực cần thiết;
  7. Operational Controls: thiết lập kiểm soát đối với phát triển, vận hành, cung cấp hoặc sử dụng AI;
  8. Monitoring: theo dõi hiệu lực của AIMS và các vấn đề liên quan đến AI;
  9. Internal Audit và Management Review: kiểm tra độc lập nội bộ và xem xét ở cấp quản lý;
  10. Improvement: xử lý vấn đề và cải tiến hệ thống quản lý theo thời gian.

7. AI Inventory – bước quan trọng trước khi quản trị AI

Một trong những vấn đề thực tế đầu tiên của nhiều doanh nghiệp là không có cái nhìn đầy đủ về AI đang được sử dụng trong tổ chức.

AI có thể xuất hiện trong:

  • ChatGPT, Microsoft Copilot hoặc các Generative AI tools;
  • CRM và Marketing Automation;
  • HR và tuyển dụng;
  • Customer Service;
  • Cybersecurity;
  • Fraud Detection;
  • Quality Control;
  • Predictive Maintenance;
  • Supply Chain;
  • AI Agent và các hệ thống automation.

Vì vậy, doanh nghiệp nên bắt đầu bằng việc xác định AI Inventory: hệ thống nào đang tồn tại, ai sử dụng, mục đích gì, dữ liệu nào liên quan và mức độ ảnh hưởng của từng trường hợp sử dụng.

8. Human Oversight có vai trò gì?

Việc sử dụng AI không loại bỏ trách nhiệm của con người đối với các quá trình và quyết định của tổ chức.

Tùy theo mức độ rủi ro và tác động, tổ chức cần xác định:

  • Khi nào AI được phép tự động thực hiện hành động;
  • Khi nào kết quả AI chỉ mang tính tham khảo;
  • Khi nào bắt buộc phải có người xem xét;
  • Ai có quyền phê duyệt hoặc bác bỏ kết quả AI;
  • Cách xử lý khi AI cho kết quả không phù hợp hoặc ngoài dự kiến.

Human Oversight vì vậy nên được thiết kế dựa trên mục đích sử dụng, mức độ ảnh hưởng và rủi ro thay vì áp dụng một quy tắc giống nhau cho mọi hệ thống AI.

9. ISO/IEC 42001 có thể tích hợp với ISO/IEC 27001 và ISO 9001 không?

Có thể.

ISO/IEC 42001 là một Management System Standard và có cấu trúc thuận lợi cho việc tích hợp với các hệ thống quản lý khác.

Ví dụ:

  • ISO/IEC 27001 tập trung vào quản lý an toàn thông tin;
  • ISO 9001 tập trung vào quản lý chất lượng và khả năng cung cấp sản phẩm, dịch vụ phù hợp;
  • ISO/IEC 42001 tập trung vào quản trị và quản lý các vấn đề đặc thù của trí tuệ nhân tạo.

Doanh nghiệp đã có ISMS, QMS hoặc hệ thống quản lý tích hợp có thể xem xét tận dụng các quá trình hiện có như Risk Management, Documented Information, Competence, Internal Audit, Management Review và Corrective Action thay vì xây dựng mọi thứ lại từ đầu.

10. ISO/IEC 42001 và yêu cầu pháp lý về AI

ISO/IEC 42001 không thay thế các nghĩa vụ pháp lý mà tổ chức phải tuân thủ.

Tuy nhiên, một hệ thống quản lý AI có cấu trúc có thể hỗ trợ doanh nghiệp xác định trách nhiệm, quản lý rủi ro, duy trì documented information, thực hiện oversight và theo dõi các hệ thống AI trong suốt vòng đời của chúng.

Điều này giúp doanh nghiệp có nền tảng quản trị tốt hơn khi các yêu cầu pháp lý, hợp đồng và kỳ vọng của khách hàng đối với AI tiếp tục thay đổi.

11. Chứng nhận ISO/IEC 42001 có ý nghĩa gì?

Chứng nhận ISO/IEC 42001 là hoạt động đánh giá độc lập đối với Hệ thống quản lý trí tuệ nhân tạo của tổ chức theo các yêu cầu áp dụng của tiêu chuẩn.

Trước khi bước vào đánh giá chứng nhận, doanh nghiệp cần có một AIMS đã được thiết lập và vận hành, đồng thời phải có bằng chứng cho thấy các quá trình quản lý AI thực tế đang hoạt động.

Việc chứng nhận không có nghĩa rằng một hệ thống AI sẽ không bao giờ xảy ra sai sót. Giá trị của hệ thống quản lý nằm ở việc doanh nghiệp có cơ chế để nhận diện, kiểm soát, theo dõi và cải tiến cách thức quản lý AI một cách liên tục.

12. Doanh nghiệp nên bắt đầu từ đâu?

Một lộ trình ban đầu có thể bắt đầu bằng các bước sau:

  1. Lập danh sách các hệ thống và trường hợp sử dụng AI;
  2. Xác định các bên liên quan và người chịu trách nhiệm;
  3. Xác định phạm vi dự kiến của AIMS;
  4. Đánh giá hiện trạng so với ISO/IEC 42001;
  5. Xác định AI risks và opportunities;
  6. Thiết lập chính sách và trách nhiệm quản trị;
  7. Xác định các kiểm soát cần thiết;
  8. Thiết lập cơ chế Human Oversight;
  9. Theo dõi hiệu lực của hệ thống;
  10. Thực hiện Internal Audit và Management Review;
  11. Xử lý các khoảng trống trước khi đánh giá chứng nhận.

13. Tìm hiểu thêm về AIMS tại NQA

NQA có các chuyên gia đánh giá hoạt động trong những lĩnh vực như ISMS, AIMS và QMS.

Tham khảo thêm: Góc nhìn từ chuyên gia đánh giá ISMS, AIMS & QMS của NQA.

14. Liên hệ NQA Việt Nam

Doanh nghiệp đang nghiên cứu ISO/IEC 42001 có thể bắt đầu bằng việc xác định phạm vi AI, đánh giá hiện trạng và xây dựng lộ trình phù hợp trước khi xem xét chứng nhận.

Liên hệ NQA Việt Nam để tìm hiểu về chứng nhận ISO/IEC 42001:

Website: https://nqa.com.vn
Hotline: 0912 300 560
Zalo OA: https://zalo.me/971108120349512276

Nguồn tham khảo

  • ISO/IEC 42001:2023 – Artificial intelligence — Management system.
  • NQA Global – ISO 42001: Artificial Intelligence Management System (AIMS).
  • NQA Global – Artificial Intelligence Management Training (ISO 42001).
In trang