Doanh nghiệp chuẩn bị hồ sơ quản trị AI ra sao tại Đài Loan

Doanh nghiệp tại Đài Loan chưa có một danh sách triển khai AI áp dụng giống nhau cho mọi ngành. Bộ Phát triển Kỹ thuật số Đài Loan mô tả Luật AI qua bảy nguyên tắc cho hoạt động thúc đẩy AI của chính quyền, còn khung rủi ro được ban hành sau đó chia công việc thành kiểm kê, nhận diện, đánh giá và ứng phó. Điểm thực tế đối với doanh nghiệp là phải ghi lại AI đang dùng ở đâu, xử lý dữ liệu nào, ai kiểm tra kết quả và khi nào hệ thống bị dừng.

Một bộ nguyên tắc trong bài thuyết trình không thay thế được dữ liệu kiểm thử, phân quyền hay quy trình xử lý sự cố. Hồ sơ truy vết giúp bộ phận mua sắm, an ninh mạng, pháp chế và kinh doanh dùng cùng một thông tin khi đánh giá công cụ. Nội dung dưới đây tách rõ tài liệu chính sách của Đài Loan với các đề xuất quy trình nội bộ.

Khung AI của Đài Loan đang yêu cầu doanh nghiệp hiểu điều gì

Trang chính sách của Đài Loan liệt kê các nguyên tắc về phát triển bền vững và phúc lợi, quyền tự chủ của con người, bảo vệ quyền riêng tư và quản trị dữ liệu, an ninh và an toàn, minh bạch và khả năng giải thích, công bằng và không phân biệt đối xử, cùng trách nhiệm giải trình. Đây là nền tảng cho chính sách thúc đẩy AI của chính quyền, không phải mẫu khai báo bắt buộc cho mọi công ty.

Thông báo ngày 7 tháng 7 năm 2026 về khung phân loại rủi ro AI cho biết khung này có hiệu lực từ ngày ban hành. Tài liệu khung phân loại đặt trách nhiệm triển khai quy định cụ thể ở cơ quan quản lý từng ngành. Vì vậy, hệ thống dùng trong tài chính, y tế, giáo dục, lao động hoặc dịch vụ công cần được đối chiếu với pháp luật và hợp đồng tương ứng.

Sổ tay của Bộ Phát triển Kỹ thuật số Đài Loan dành cho cơ quan nhà nước. Tài liệu này không tự biến thành nghĩa vụ pháp lý của doanh nghiệp, nhưng phân tách được mục đích mô hình, chất lượng dữ liệu, phiên bản, đầu ra, trách nhiệm, giám sát của con người và kênh phản hồi. Sổ tay tham khảo ứng dụng AI trong khu vực công vì thế phù hợp làm tài liệu tham khảo khi thiết kế kiểm soát nội bộ.

Hồ sơ thứ nhất: danh mục ứng dụng AI

Điểm bắt đầu của đánh giá rủi ro là tình huống sử dụng, không phải tên mô hình. Mỗi dòng nên ghi mục tiêu kinh doanh, dữ liệu đầu vào, đầu ra, người dùng, nhóm bị ảnh hưởng, nhà cung cấp, phiên bản mô hình, người kiểm tra và quy trình thay thế khi hệ thống ngừng hoạt động.

Danh mục này đáp ứng bước kiểm kê ứng dụng trong khung phân loại rủi ro AI của Đài Loan. Bản ghi của một công cụ tóm tắt cuộc gọi, hệ thống xếp hạng hồ sơ xin việc, công cụ hỗ trợ cấp tín dụng và công cụ tìm kiếm nội bộ không nên gộp chung chỉ vì đều dùng mô hình ngôn ngữ lớn. Người chịu ảnh hưởng, hậu quả khi sai và mức cần kiểm tra của bốn tình huống này khác nhau.

Hồ sơ thứ hai: ma trận rủi ro và tác động

Ma trận tối thiểu cần có quyền lợi hoặc tài sản bị ảnh hưởng, khả năng xảy ra, mức độ tác động và biện pháp kiểm soát. Doanh nghiệp nên thêm người chịu trách nhiệm, cách nghiệm thu, quyền phê duyệt của con người và điều kiện dừng để bảng điểm trở thành công cụ vận hành.

Trang đánh giá tác động của ứng dụng AI trình bày cách nhìn theo tình huống rủi ro, khả năng xảy ra và mức độ tác động. Doanh nghiệp có thể dùng cấu trúc này để đặt ngưỡng nội bộ thấp, vừa và cao, nhưng cần ghi rõ đây là phương pháp quản trị của công ty, không phải cấp độ pháp lý chung của Đài Loan.

Mức ảnh hưởng nên được xem trước độ chính xác của mô hình. Một bản tóm tắt cuộc họp sai ngày khác với việc hệ thống bỏ sót một ứng viên phù hợp. Khi tác động tăng, dữ liệu kiểm thử, quyền kiểm tra, thời gian phản hồi khiếu nại và tốc độ quay về quy trình thủ công cũng cần tăng theo.

Hồ sơ thứ ba: luồng dữ liệu và lý do xử lý

Với từng loại dữ liệu đầu vào, hồ sơ nên ghi nguồn, mục đích thu thập, mục đích sử dụng, thời hạn lưu, nơi xử lý, bên nhận, vai trò truy cập và điều kiện xóa hoặc dừng sử dụng. Nếu dữ liệu đi vào giao diện lập trình ứng dụng bên ngoài, hợp đồng và tài liệu an ninh cần nêu nhà cung cấp lưu câu lệnh hay đầu vào bao lâu, dùng chúng để huấn luyện hay không, ai được yêu cầu xóa và dữ liệu được xử lý ở đâu.

Luật Bảo vệ dữ liệu cá nhân của Đài Loan xem việc ghi chép, nhập, lưu trữ, truy xuất, xóa, xuất, liên kết và truyền nội bộ là các dạng xử lý dữ liệu cá nhân. Doanh nghiệp đưa hồ sơ xin việc, ghi âm chăm sóc khách hàng, hành vi thành viên hoặc dữ liệu nhân viên vào AI cần trả lời được hai câu hỏi: vì sao dữ liệu này cần thiết và ai được xem đầu ra.

Thông tin y tế, khám sức khỏe và di truyền chịu giới hạn chặt hơn trong pháp luật Đài Loan. Vì vậy, đánh giá một hệ thống AI y tế không chỉ là đo độ chính xác mô hình. Tính hợp pháp của dữ liệu, mục đích sử dụng và nguyên tắc thu thập tối thiểu cần được kiểm tra trước khi chạy thử.

Hồ sơ thứ tư: kiểm thử, giám sát của con người và điều kiện dừng

Hồ sơ kiểm thử cần nói rõ dữ liệu được tạo hoặc chọn như thế nào, bao phủ nhóm người và trường hợp ngoại lệ nào, dùng chỉ số gì, ngưỡng đạt là bao nhiêu, ai đọc ca thất bại và khi nào đầu ra phải chuyển sang người xử lý. Với AI tạo sinh, nên lưu mẫu câu lệnh, nguồn truy xuất, yêu cầu định dạng và tỷ lệ sửa của con người. Với hệ thống phân loại hoặc xếp hạng, cần lưu cả trường hợp nhầm, bỏ sót và khác biệt giữa các nhóm.

Sổ tay khu vực công của Đài Loan yêu cầu kiểm thử trước khi đưa mô hình vào sử dụng, giám sát của người dùng, kênh báo cáo và kiểm tra ở các giai đoạn. Các mục kiểm tra về quản trị rủi ro và đạo đức trong sổ tay có thể giúp doanh nghiệp lập biểu mẫu, nhưng ngưỡng số liệu phải do công ty xác định theo mục đích và mức rủi ro chấp nhận được.

Trước khi vận hành, nên ghi trước điều kiện dừng: tỷ lệ lỗi vượt ngưỡng, chất lượng dữ liệu ra ngoài phạm vi kiểm thử hoặc kiểm thử hồi quy không đạt sau khi nhà cung cấp cập nhật. Quy trình dừng cần quay về người xử lý hoặc phiên bản cũ, đồng thời chỉ rõ ai được duyệt chạy lại.

Hồ sơ thứ năm: phiên bản, kiểm toán và khôi phục sự cố

Mỗi đầu ra nên truy được đến phiên bản mô hình, phiên bản câu lệnh hoặc quy tắc, nguồn dữ liệu đầu vào, nội dung đầu ra, thời điểm tạo, người kiểm tra, kết quả sử dụng và cách xử lý tiếp theo. Khi có dữ liệu cá nhân, nhật ký nên dùng mã băm, chỉ mục hoặc trường tối thiểu cần thiết để tránh tạo thêm một bản sao đầy đủ của dữ liệu nhạy cảm.

Sổ tay AI của Đài Loan đề cập đến phiên bản mô hình, loại và nguồn thông tin, đầu ra, mục đích sử dụng, phân công trách nhiệm, rà soát nội bộ, giám sát và phản hồi người dùng. Nhật ký sự cố không nên chỉ ghi “mô hình trả lời sai”. Nó cần cho biết dữ liệu nào bị ảnh hưởng, sự việc xảy ra khi nào, ai đã nhận thông báo, biện pháp khắc phục và thời điểm dịch vụ trở lại.

Bản đánh giá tác động trẻ em, quyền con người và giới năm 2026 của Đài Loan cho thấy các tình huống tác động vẫn tiếp tục được bổ sung. Với doanh nghiệp, việc giữ mốc phiên bản và đầu ra tham chiếu giúp phân biệt lỗi đến từ mô hình, dữ liệu, quyền truy cập hay thay đổi quy trình.

Tại Việt Nam thì sao

Doanh nghiệp ở Việt Nam không nên sao chép nguyên trạng cách Đài Loan tổ chức chính sách rồi xem đó là danh sách nghĩa vụ. Việt Nam đã có Luật Trí tuệ nhân tạo số 134/2025/QH15, được ban hành ngày 10 tháng 12 năm 2025 và có hiệu lực từ ngày 1 tháng 3 năm 2026. Cổng thông tin điện tử Chính phủ là nơi doanh nghiệp nên kiểm tra bản luật, ngày hiệu lực và văn bản hướng dẫn mới thay vì dựa vào bài giới thiệu của nhà cung cấp.

Luật AI của Việt Nam đặt các nguyên tắc phát triển, cung cấp và triển khai AI quanh con người, tính minh bạch, trách nhiệm giải trình, khả năng giải thích, an toàn, an ninh mạng, tuân thủ pháp luật về dữ liệu và kiểm soát rủi ro trong suốt vòng đời. Cách tiếp cận này khiến năm nhóm hồ sơ trong bài có giá trị thực hành tại Việt Nam: danh mục cho biết hệ thống làm gì, ma trận ghi nhận ai chịu ảnh hưởng, luồng dữ liệu giải thích dữ liệu đi đâu, hồ sơ kiểm thử cho thấy con người còn kiểm soát, còn nhật ký phiên bản giúp truy nguyên thay đổi.

Với dữ liệu cá nhân, cần đọc Luật AI cùng Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân. Văn bản này được ban hành ngày 17 tháng 4 năm 2023 và có hiệu lực từ ngày 1 tháng 7 năm 2023. Khi đưa hồ sơ nhân sự, thông tin khách hàng, ghi âm cuộc gọi hoặc nội dung trao đổi vào công cụ AI bên ngoài, doanh nghiệp nên lập bảng nguồn dữ liệu, mục đích xử lý, bên nhận, thời hạn lưu và cách thực hiện quyền của chủ thể dữ liệu.

Điểm cần kiểm tra đầu tiên ở Việt Nam là cơ quan quản lý theo ngành của tình huống sử dụng. Một chatbot trả lời câu hỏi nội bộ, công cụ sàng lọc hồ sơ tuyển dụng, hệ thống chấm điểm tín dụng và phần mềm hỗ trợ khám bệnh không cùng mức tác động. Hồ sơ nội bộ nên ghi ngành, mục đích, người phê duyệt và quy trình thay thế; sau đó bộ phận pháp chế đối chiếu với cổng văn bản của Chính phủ, cơ quan quản lý chuyên ngành và điều khoản của nhà cung cấp.

Doanh nghiệp cũng cần tách “được bán tại Việt Nam” khỏi “được dùng cho mọi dữ liệu tại Việt Nam”. Mức độ sẵn có của một dịch vụ AI phụ thuộc khu vực tài khoản, ngôn ngữ, nơi lưu trữ, hợp đồng, phương thức thanh toán và chính sách của nhà cung cấp. Những thông tin này nên lấy từ trang điều khoản hoặc hợp đồng hiện hành, lưu lại ngày kiểm tra và không ghi một mức giá cố định nếu chưa có báo giá áp dụng cho đúng pháp nhân.

Với dự án nhỏ, cách bắt đầu ít tốn kém là chọn một ứng dụng không tự động quyết định quyền lợi của cá nhân, lập năm hồ sơ tối thiểu và chạy thử với dữ liệu đã giảm nhận dạng. Khi hệ thống đổi mô hình, đổi nơi xử lý hoặc mở rộng sang khách hàng và nhân viên, doanh nghiệp cần chạy lại phần đánh giá bị ảnh hưởng. Tính đến thời điểm bài viết được thực hiện, chúng tôi chưa tìm thấy một biểu mẫu duy nhất trên Cổng thông tin điện tử Chính phủ Việt Nam thay thế cho việc đối chiếu theo ngành, dữ liệu và mục đích sử dụng.

Thứ tự triển khai cho một quy trình có thể khôi phục

Doanh nghiệp không cần chờ đủ mọi hướng dẫn mới bắt đầu. Vòng đầu tiên có thể chọn một tình huống, lập danh mục ứng dụng, vẽ luồng dữ liệu, hoàn thành ma trận rủi ro, kiểm thử bằng bộ ca cố định và cho người kiểm tra thực hiện quy trình quay về thủ công.

Sau đó, đặt hợp đồng nhà cung cấp, phiên bản mô hình, đầu ra tham chiếu và nhật ký sự cố trong cùng một hồ sơ dự án. Mỗi thay đổi về mô hình, dữ liệu, quyền truy cập hoặc mục đích sử dụng phải có điều kiện kiểm tra lại. Cách làm này biến nguyên tắc quản trị thành công việc có người phụ trách và bằng chứng truy vết.

Câu hỏi thường gặp

Luật AI của Đài Loan có yêu cầu mọi doanh nghiệp nộp cùng một bộ hồ sơ không?
Trang chính sách của Bộ Phát triển Kỹ thuật số Đài Loan tập trung vào nguyên tắc thúc đẩy AI của chính quyền. Khung rủi ro cũng để cơ quan quản lý từng ngành xây dựng quy định cụ thể, nên doanh nghiệp cần theo dõi ngành của mình.

Bảng đầu tiên nên ghi những gì?
Ghi mục đích sử dụng, dữ liệu vào và ra, người dùng, nhóm bị ảnh hưởng, nhà cung cấp, phiên bản, người kiểm tra, ngưỡng nghiệm thu, điều kiện dừng và cách lưu dữ liệu.

Mô hình đổi phiên bản có cần nghiệm thu lại không?
Nếu phiên bản mô hình, câu lệnh, nguồn dữ liệu, quyền truy cập hoặc mục đích đầu ra thay đổi, phạm vi kiểm thử cần được quyết định lại theo mức tác động. Nhật ký phiên bản giúp xác định phần nào phải chạy lại và ai phê duyệt kết quả.