Trách nhiệm giải trình thuật toán: 5 loại hồ sơ phải lưu cho quyết định AI

Trách nhiệm giải trình thuật toán bắt đầu từ khả năng trả lời câu hỏi sau khi hệ thống đã đưa ra kết quả: ai phê duyệt mục đích, dữ liệu đến từ đâu, phiên bản nào tạo ra kết quả và ai được quyền kiểm tra hoặc dừng hệ thống. Luật Trí tuệ nhân tạo cơ bản của Đài Loan, được công bố ngày 14 tháng 1 năm 2026, nêu các nguyên tắc về quyền tự chủ của con người, quyền riêng tư, quản trị dữ liệu, minh bạch, công bằng và trách nhiệm giải trình. Nghĩa vụ cụ thể của doanh nghiệp vẫn phải đối chiếu với luật bảo vệ dữ liệu và quy định của từng ngành. Toàn văn Luật Trí tuệ nhân tạo cơ bản của Đài Loan là điểm bắt đầu để kiểm tra các nguyên tắc này.

Một mô hình có thể được cập nhật nhiều lần, dữ liệu có thể đi qua nhà cung cấp bên ngoài và người phê duyệt có thể thay đổi. Vì thế, hồ sơ trách nhiệm không nên nằm riêng trong một thư mục chỉ mở khi có kiểm toán. Nó cần nối với yêu cầu sản phẩm, hợp đồng mua sắm, kiểm thử, cấp quyền, xử lý khiếu nại và kế hoạch dừng dịch vụ.

Trách nhiệm giải trình thuật toán là gì?

Trách nhiệm giải trình không đồng nghĩa với việc viết một bản giới thiệu dài cho từng mô hình. Mục tiêu là để tổ chức xác định được ai quyết định triển khai, hệ thống tác động đến nhóm nào, dữ liệu nào đi vào quy trình, ai được chấp nhận hoặc bác bỏ đầu ra và phải làm gì khi kết quả sai. Nếu các câu trả lời chỉ tồn tại trong cuộc họp, việc đổi phiên bản hoặc thay nhân sự sẽ làm mất dấu quyết định.

NIST AI Risk Management Framework Core chia quản trị rủi ro AI thành Govern, Map, Measure và Manage, đồng thời xem vai trò, trách nhiệm, giám sát của con người và tài liệu ghi chép là những phần của quy trình. Đây là khung tự nguyện để tham khảo khi thiết kế quản trị tại doanh nghiệp, không phải giấy chứng nhận tuân thủ pháp luật của Đài Loan hay Việt Nam.

Đài Loan đang xây khung quản trị AI như thế nào?

Khung phân loại rủi ro AI do Bộ Phát triển Kỹ thuật số Đài Loan công bố có bốn bước: kiểm kê bối cảnh ứng dụng, nhận diện rủi ro, đánh giá rủi ro và ứng phó rủi ro. Bộ mô tả khung này là tiêu chuẩn đánh giá chung để các cơ quan phối hợp; trách nhiệm thực thi cuối cùng vẫn thuộc cơ quan quản lý ngành. Doanh nghiệp có thể dùng trình tự ấy để kiểm kê, nhưng việc đi qua bốn bước không tự chứng minh rằng một hệ thống đã đáp ứng mọi yêu cầu pháp lý.

Khi dữ liệu có thể nhận diện một cá nhân, hồ sơ AI cần nối với Luật Bảo vệ dữ liệu cá nhân của Đài Loan. Luật định nghĩa xử lý dữ liệu bao gồm ghi nhận, nhập, lưu trữ, chỉnh sửa, sao chép, truy xuất, xóa, xuất, liên kết và truyền nội bộ. Doanh nghiệp vì thế cần ghi lại mục đích, loại trường dữ liệu, lý do sử dụng, vai trò được truy cập, thời hạn lưu và điều kiện xóa thay vì chỉ nêu chung trong chính sách riêng tư. Luật Bảo vệ dữ liệu cá nhân của Đài Loan cũng dành quy định riêng cho dữ liệu bệnh án, y tế, gene, khám sức khỏe và tiền án.

Năm nhóm hồ sơ cần lưu cho quyết định AI

1. Mục đích và phạm vi tác động

Hồ sơ đầu tiên phải nói rõ AI dùng để tóm tắt, xếp hạng, dự báo, đưa khuyến nghị hay kích hoạt hành động. Cần ghi nhóm người sử dụng, người bị tác động, mức sai sót chấp nhận được và các mục đích bị cấm. Khi mục đích thay đổi, đánh giá tác động cũng phải được xem lại, ngay cả khi tên sản phẩm không đổi.

Nội dung này tương ứng với yêu cầu của NIST về mục tiêu, lợi ích dự kiến, chi phí và bối cảnh triển khai của hệ thống. Một công cụ tạo bản nháp nội bộ không có cùng phạm vi tác động với hệ thống tự động xếp hồ sơ xin việc hoặc quyết định hạn mức thanh toán.

2. Nguồn dữ liệu và lý do sử dụng

Hồ sơ dữ liệu nên trả lời được dữ liệu đến từ đâu, có những trường nào, ai cung cấp, lý do sử dụng là gì, được lưu ở đâu, ai được truy cập, nhà thầu phụ nào xử lý và khi nào phải xóa. Nếu dữ liệu đến từ khách hàng, nhân viên hoặc người dùng dịch vụ, cần tách mục đích thu thập ban đầu khỏi mục đích đưa vào mô hình.

Với dữ liệu y tế, gene, khám sức khỏe hoặc tiền án tại Đài Loan, doanh nghiệp phải kiểm tra lớp hạn chế riêng trước khi đưa dữ liệu vào AI. Với dữ liệu được truyền cho nhà cung cấp, hợp đồng cần ghi phạm vi sử dụng, quyền xóa, thông báo sự cố và cách xuất lại hồ sơ.

3. Phiên bản mô hình và bằng chứng kiểm thử

Không nên chỉ lưu tên sản phẩm. Hồ sơ cần có phiên bản mô hình, câu lệnh hệ thống, dữ liệu truy xuất, quyền dùng công cụ, định dạng đầu ra, phiên bản bộ kiểm thử và thời điểm phát hành. Sau mỗi lần cập nhật, doanh nghiệp nên so sánh các ca kiểm thử cố định, nhóm lỗi, tỷ lệ sửa thủ công và thời gian phản hồi với phiên bản trước.

Những thông tin này giúp tách nguyên nhân thay đổi: mô hình, dữ liệu, cấu hình hay quy trình. Nếu nhà cung cấp không công khai chi tiết mô hình, doanh nghiệp vẫn có thể yêu cầu thông báo phiên bản, tóm tắt kiểm thử, giới hạn sử dụng và bằng chứng cho phạm vi tác động mà mình chịu trách nhiệm.

4. Kiểm tra của con người và đường khiếu nại

Hồ sơ giám sát cần ghi người kiểm tra, thời điểm, đầu vào và đầu ra đã xem, lý do chấp nhận hoặc bác bỏ, cùng hành động sau kiểm tra. NIST AI RMF Playbook, phần Measure đề cập việc đo mức giám sát của con người, số lần con người đảo ngược đầu ra, lỗi, khiếu nại, thời gian phản hồi và quyết định cho phép hoặc không cho phép đưa hệ thống vào vận hành.

Nếu đầu ra ảnh hưởng đến tư cách, thanh toán, tuyển dụng, sắp xếp chăm sóc hoặc quyền lợi quan trọng, người bị tác động cần biết cách yêu cầu xem xét lại. Điều này không buộc doanh nghiệp phải công khai mọi tham số mô hình. Điều cần thiết là một đường đi để người liên quan nhận được giải thích phù hợp, gửi khiếu nại và đưa vụ việc đến người có thẩm quyền phán đoán lại.

5. Sự cố, thay đổi và khôi phục

Biên bản sự cố nên ghi thời điểm, phạm vi ảnh hưởng, đầu ra liên quan, xử lý của con người, người được thông báo, phiên bản sửa lỗi và việc có cần xem lại các quyết định cũ hay không. Luật Bảo vệ dữ liệu cá nhân của Đài Loan yêu cầu khi dữ liệu bị đánh cắp, sửa đổi, hư hỏng, mất hoặc rò rỉ, đơn vị liên quan phải ứng phó, ghi lại sự kiện và ảnh hưởng, đồng thời lưu hồ sơ để phục vụ kiểm tra.

Việc dừng hệ thống cũng cần được thử trước. Doanh nghiệp nên kiểm tra thu hồi quyền, xuất dữ liệu, chuyển về phiên bản cũ hoặc quy trình thủ công, lưu nhật ký và thông báo cho người dùng. Quy định (EU) 2024/1689 về AI đặt yêu cầu ghi nhật ký vận hành và khả năng truy vết cho một số hệ thống rủi ro cao; phạm vi áp dụng phụ thuộc loại hệ thống, vai trò và khu vực, nên doanh nghiệp tại Đài Loan hoặc Việt Nam chỉ nên xem đây là tài liệu tham khảo khi thiết kế kiểm soát.

Tại Việt Nam thì sao

Ở Việt Nam, doanh nghiệp trước hết nên tách ba câu hỏi thường bị gộp lại: hệ thống có dùng dữ liệu cá nhân hay không, kết quả AI có ảnh hưởng đến quyền lợi của một người hay không, và ai đang cung cấp hoặc vận hành hệ thống. Một chatbot trả lời nội bộ, công cụ chấm điểm khách hàng và phần mềm tự động từ chối hồ sơ không có cùng mức tác động. Việc lập hồ sơ nên bắt đầu từ mục đích và nhóm người bị ảnh hưởng, sau đó mới chọn mức kiểm thử, giám sát và lưu nhật ký tương ứng.

Đến thời điểm bài viết được thực hiện, chưa có một bộ biểu mẫu công khai duy nhất được xác nhận là áp dụng cho mọi hệ thống AI của doanh nghiệp tại Việt Nam. Vì vậy, bộ phận pháp chế và công nghệ cần kiểm tra văn bản đang áp dụng cho lĩnh vực của mình trên Cổng thông tin điện tử của Chính phủ, Cổng thông tin của Bộ Khoa học và Công nghệ và cơ quan quản lý chuyên ngành. Khi một hệ thống xử lý dữ liệu cá nhân, hồ sơ phải ghi nguồn dữ liệu, mục đích, loại dữ liệu, bên nhận, thời hạn lưu, quyền truy cập và cách xử lý khi có yêu cầu của chủ thể dữ liệu.

Với doanh nghiệp hoạt động tại Việt Nam, việc tra cứu không nên dừng ở tên gọi “AI governance”. Cần tìm theo tình huống: dữ liệu cá nhân, chuyển dữ liệu ra nước ngoài, thuê nhà cung cấp xử lý dữ liệu, an toàn thông tin, thương mại điện tử, tín dụng, tuyển dụng hoặc dịch vụ y tế. Mỗi nhóm có thể có cơ quan quản lý và yêu cầu riêng. Nếu chưa xác định được văn bản chuyên ngành nào áp dụng, doanh nghiệp nên ghi rõ câu hỏi, chủ thể cần hỏi và đường dẫn trang chính thức đã kiểm tra, thay vì tự kết luận rằng một nguyên tắc quốc tế đã là nghĩa vụ trong nước.

Giá dịch vụ AI tại Việt Nam cũng không nên được đưa vào hồ sơ theo một con số cố định nếu chưa kiểm tra đúng nhà cung cấp và thời điểm. Chi phí thường phụ thuộc số người dùng, số lượt gọi mô hình, dung lượng dữ liệu, khu vực lưu trữ, phí tích hợp và mức hỗ trợ. Khi mua dịch vụ, hồ sơ mua sắm nên lưu bảng giá hoặc báo giá tại ngày ký, phiên bản điều khoản, giới hạn sử dụng, khoản phí phát sinh và điều kiện thay đổi. Nếu dịch vụ tính bằng đô la Mỹ, cần giữ cả đơn vị gốc và số tiền trên hóa đơn; không lấy giá tại Đài Loan hoặc Hoa Kỳ để suy ra giá tại Việt Nam.

Đối với đơn vị chưa có nhóm quản trị AI riêng, một bảng đăng ký đơn giản vẫn hữu ích. Mỗi hệ thống cần có tên, chủ sở hữu nghiệp vụ, nhà cung cấp, mục đích, nhóm dữ liệu, nơi xử lý, phiên bản, ngày kiểm thử, người phê duyệt, kênh tiếp nhận khiếu nại và điều kiện dừng. Khi thuê nhà cung cấp bên ngoài, cần hỏi họ có thông báo thay đổi mô hình hay không, có nhật ký đầu vào và đầu ra hay không, thời hạn xóa dữ liệu là bao lâu, sự cố được báo cho ai và doanh nghiệp có lấy lại được hồ sơ khi chấm dứt hợp đồng hay không.

Ví dụ, một doanh nghiệp tại Việt Nam dùng AI để sàng lọc hồ sơ tuyển dụng nên lưu tiêu chí mà công cụ được phép đánh giá, dữ liệu dùng để kiểm thử, tỷ lệ chuyển hồ sơ cho nhân sự xem lại và cách ứng viên yêu cầu kiểm tra. Một cửa hàng dùng AI dự báo nhu cầu hàng hóa nên ghi nguồn dữ liệu bán hàng, khoảng thời gian dự báo, người duyệt đơn nhập và quy trình xử lý khi dự báo sai. Hai ví dụ này không tạo ra một nghĩa vụ pháp lý chung, nhưng cho thấy hồ sơ cần gắn với quyết định thực tế chứ không chỉ với tên mô hình.

Để kiểm tra thông tin tại Việt Nam, nhóm phụ trách có thể bắt đầu từ trang pháp luật của Chính phủ, trang của Bộ Khoa học và Công nghệ và cơ quan quản lý ngành đang liên quan; với dữ liệu cá nhân, cần đối chiếu văn bản hiện hành và hướng dẫn chính thức thay vì dựa vào bài đăng quảng cáo của nhà cung cấp. Cũng nên lưu ngày tra cứu, phiên bản văn bản và câu hỏi đã gửi. Khi chưa tìm thấy hướng dẫn chính thức cho một trường hợp cụ thể, hồ sơ nên ghi “chưa tìm thấy” cùng phạm vi đã tra cứu, không ghi rằng Việt Nam không có quy định.

Đưa hồ sơ vào quy trình doanh nghiệp

Hồ sơ trách nhiệm nên được gắn vào bốn điểm làm việc vốn đã tồn tại:

• Yêu cầu và mua sắm: ghi mục đích, nhóm bị tác động, mục đích cấm và người chịu trách nhiệm.
• Phát triển và kiểm thử: ghi nguồn dữ liệu, bộ kiểm thử, phiên bản, nhóm lỗi và giới hạn.
• Phát hành và giám sát: ghi vai trò kiểm tra, ngưỡng chuyển người, lý do quyết định và lối khiếu nại.
• Vận hành và rút hệ thống: ghi thay đổi, sự cố, diễn tập khôi phục, xóa và xuất dữ liệu.

Nhóm sản phẩm chịu trách nhiệm về mục đích, giao diện và điểm can thiệp của con người. Nhóm công nghệ quản lý phiên bản, quyền truy cập, nhật ký và luồng dữ liệu. Pháp chế hoặc tuân thủ đối chiếu quy định và yêu cầu bằng chứng. Đơn vị nghiệp vụ quyết định đầu ra có được đưa vào quy trình thực tế hay không. Trong nhóm nhỏ, một người có thể kiêm nhiều vai trò, nhưng tên người, thời gian và lý do phê duyệt vẫn cần được lưu.

NIST AI RMF và Quy định AI của Liên minh châu Âu cùng gợi ra một điểm chung: khả năng truy vết chỉ có giá trị khi phục vụ quyết định, kiểm tra và khôi phục. Lưu càng nhiều trường không đồng nghĩa quản trị tốt hơn nếu không ai đọc hoặc không thể lấy lại khi có sự cố. Doanh nghiệp nên thử trước với một quy trình có tác động lớn, dữ liệu nhạy cảm hoặc mô hình cập nhật thường xuyên, rồi bỏ những trường không giúp kiểm tra hay xử lý.

Câu hỏi thường gặp

Trách nhiệm giải trình thuật toán khác gì độ chính xác của mô hình?
Độ chính xác cho biết mô hình hoạt động ra sao trong một điều kiện kiểm thử. Trách nhiệm giải trình còn phải trả lời mục đích do ai phê duyệt, dữ liệu có được dùng đúng phạm vi không, phiên bản nào tạo ra kết quả, ai được kiểm tra và xử lý thế nào khi có lỗi.

Luật Trí tuệ nhân tạo cơ bản của Đài Loan có buộc mọi doanh nghiệp dùng cùng một mẫu hồ sơ không?
Luật nêu các nguyên tắc về trách nhiệm, minh bạch, dữ liệu và giám sát của con người. Khung phân loại rủi ro của Bộ Phát triển Kỹ thuật số Đài Loan đưa ra ngôn ngữ đánh giá chung. Trường dữ liệu cụ thể vẫn phải dựa vào loại dữ liệu, rủi ro kinh doanh và quy định của ngành.

Nhà cung cấp không công khai chi tiết mô hình thì doanh nghiệp còn làm trách nhiệm giải trình được không?
Doanh nghiệp có thể yêu cầu giới hạn mục đích, cách xử lý dữ liệu, thông báo phiên bản, tóm tắt kiểm thử, thông báo sự cố, cơ chế kiểm tra của con người và hỗ trợ rút hệ thống. Nếu không nhận được bằng chứng đủ để đánh giá phạm vi tác động, cần giới hạn dữ liệu và mục đích hoặc chọn dịch vụ hỗ trợ kiểm tra tốt hơn.