Tuân thủ AI: quản trị hệ thống AI và sử dụng AI cho công việc tuân thủ

Tuân thủ AI mang hai nghĩa: công việc liên tục nhằm đảm bảo các hệ thống AI mà tổ chức của bạn xây dựng hoặc sử dụng đáp ứng các luật, tiêu chuẩn và chính sách nội bộ hiện hành, và việc sử dụng AI cho các công việc tuân thủ thường xuyên, có khối lượng lớn.

Bài viết này đề cập đến cả hai nghĩa: những rủi ro mà tuân thủ AI giải quyết, các khung chính, cách xây dựng chương trình tuân thủ, các biện pháp kiểm soát dành cho tác nhân AI và những lĩnh vực mà AI hỗ trợ các nhóm tuân thủ. Bài viết kết thúc bằng những câu hỏi cần đặt ra trước khi mua một công cụ tuân thủ.

Tuân thủ AI là gì?

Tuân thủ AI đề cập đến hai điều: làm cho các hệ thống AI đáp ứng các quy tắc được đặt ra trong các quy định về AI, và sử dụng AI để thực hiện công việc tuân thủ.

Theo nghĩa thứ nhất, tuân thủ AI đảm bảo hệ thống AI tuân theo luật, quy định, tiêu chuẩn đạo đức và chính sách nội bộ trong suốt vòng đời AI, từ dữ liệu huấn luyện đến hiệu suất và cách sử dụng.

Ví dụ: Luật Địa phương 144 của Thành phố New York yêu cầu các nhà tuyển dụng sử dụng công cụ ra quyết định tuyển dụng tự động phải cho kiểm toán thiên lệch công cụ đó trong vòng một năm tính đến thời điểm sử dụng, công khai thông tin về cuộc kiểm toán và thông báo cho nhân viên hoặc ứng viên.

Công việc tuân thủ quy định về AI diễn ra liên tục vì các ứng dụng AI được cập nhật, dữ liệu mà chúng xử lý thay đổi và các quy định cũng không ngừng phát triển.

Theo nghĩa thứ hai, các nhóm tuân thủ sử dụng AI cho các công việc thường xuyên, có khối lượng lớn như giám sát giao dịch, xem xét tài liệu và theo dõi các thay đổi về quy định.

Ví dụ, một số tổ chức tài chính sử dụng AI để xem xét giao dịch và giảm số cảnh báo sai (dương tính giả) trong hệ thống giám sát giao dịch trước khi chuyên viên phân tích quyết định cảnh báo nào cần lập báo cáo hoạt động đáng ngờ.

Tuân thủ AI, quản trị AI và quản lý rủi ro AI: so sánh

Ba thuật ngữ này có phần trùng lặp nhưng bao quát những phạm vi khác nhau: quản trị đặt ra quy tắc, quản lý rủi ro tìm ra những gì có thể xảy ra sai sót, còn tuân thủ đảm bảo các quy tắc được đáp ứng.

Tại sao tuân thủ AI lại quan trọng

Đạt được tuân thủ AI giúp hạn chế nguy cơ bị phạt, bảo vệ quyền riêng tư của những người có thông tin được AI của bạn xử lý, đồng thời giúp tổ chức của bạn giải trình được việc sử dụng các hệ thống AI khi có kiểm toán.

• Hình phạt theo quy định: Theo Đạo luật AI của EU, việc sử dụng một hoạt động AI bị cấm, chẳng hạn như suy đoán cảm xúc của nhân viên tại nơi làm việc, có thể bị phạt tới 35 triệu euro hoặc 7% doanh thu hằng năm trên toàn thế giới. Nhà cung cấp và bên triển khai có thể bị phạt tới 15 triệu euro hoặc 3% nếu vi phạm Đạo luật.
• Bảo vệ dữ liệu: Hệ thống AI xử lý dữ liệu cá nhân phải tuân theo các luật bảo vệ dữ liệu, chẳng hạn như GDPR tại EU. Điều này bao gồm dữ liệu huấn luyện, lời nhắc và đầu ra có chứa dữ liệu cá nhân.
• Sẵn sàng cho kiểm toán: Hồ sơ về những hệ thống AI bạn sử dụng, ai đã phê duyệt và cách bạn giám sát chúng giúp bạn giải trình với cơ quan quản lý, kiểm toán viên và khách hàng.

Những rủi ro chính mà tuân thủ AI giải quyết

Tuân thủ AI giải quyết năm rủi ro chính: thiên lệch thuật toán, thiếu khả năng giải thích, ảo giác trong các quy trình chịu sự quản lý, quyền riêng tư và rò rỉ dữ liệu, và AI ngầm (shadow AI).

Phóng to

Dưới đây là biểu hiện của các rủi ro chính và ví dụ về các biện pháp kiểm soát giúp kiềm chế chúng:

• Thiên lệch thuật toán: Mô hình tái tạo các khuôn mẫu trong dữ liệu huấn luyện gây bất lợi cho một số nhóm nhất định. Ví dụ: một công cụ tuyển dụng có thể xếp hạng ứng viên thấp hơn dựa trên một yếu tố thay thế cho tuổi tác hoặc sắc tộc, chẳng hạn như năm tốt nghiệp hoặc mã bưu chính. Kiểm toán thiên lệch, vốn so sánh kết quả giữa các nhóm nhân khẩu học, giúp phát hiện những khuôn mẫu này.
• Thiếu khả năng giải thích: Tổ chức không thể chỉ ra cách mô hình đưa ra quyết định. Nếu bên cho vay không thể giải thích lý do mô hình từ chối một khoản vay, họ không thể bảo vệ kết quả đó. Các tổ chức ngăn chặn điều này bằng cách ghi lại dữ liệu đầu vào và logic ra quyết định của mô hình, đồng thời chọn các mô hình có đầu ra truy vết được.
• Ảo giác trong các quy trình chịu sự quản lý: Một công cụ AI tạo sinh khẳng định một điều sai một cách đầy tự tin. Ví dụ: một luật sư có thể yêu cầu công cụ AI tìm án lệ hỗ trợ cho một lập luận và nhận được các trích dẫn đến những phán quyết của tòa án không hề tồn tại. Yêu cầu nêu nguồn cho mọi đầu ra và để một người có chuyên môn xác minh các nguồn đó sẽ giúp phát hiện những lỗi như vậy.
• Quyền riêng tư và rò rỉ dữ liệu: Thông tin bảo mật hoặc thông tin khách hàng lọt vào một công cụ nằm ngoài tầm kiểm soát của tổ chức. Ví dụ: một nhân viên có thể dán hồ sơ khách hàng vào một công cụ AI công khai vốn lưu giữ dữ liệu đầu vào để huấn luyện các mô hình trong tương lai. Chỉ sử dụng các công cụ đã được phê duyệt, có giới hạn theo hợp đồng về việc huấn luyện và lưu giữ dữ liệu, sẽ giúp giảm thiểu rủi ro.
• AI ngầm: Nhân viên sử dụng các công cụ AI mà tổ chức chưa phê duyệt hoặc không thể nhìn thấy. Trong một khảo sát của Compliance Week năm 2026, 42% người tham gia cho biết có tình trạng nhân viên sử dụng AI không được quản lý. Các giải pháp khả thi bao gồm danh sách công cụ được phê duyệt kết hợp với quy trình phê duyệt công cụ AI nhanh chóng, và cổng web.

Các khung tuân thủ AI chính

Tuân thủ AI dựa trên các khung quản trị AI có tính ràng buộc, chẳng hạn như Đạo luật AI của EU, và các khung tự nguyện, chẳng hạn như Khung quản lý rủi ro AI của NIST và ISO/IEC 42001, vốn giúp các tổ chức đáp ứng các khung ràng buộc đó.

Đạo luật AI của EU

Đạo luật AI của EU (Quy định (EU) 2024/1689) áp dụng cách tiếp cận dựa trên rủi ro đối với việc quản lý AI: một số hoạt động bị cấm hoàn toàn, các hệ thống rủi ro cao phải chịu những hạn chế chặt chẽ, trong khi các hệ thống khác chỉ phải tuân theo các quy tắc minh bạch ở mức nhẹ. Đạo luật áp dụng cho các nhà cung cấp và bên triển khai ở bất cứ đâu “khi đầu ra do hệ thống AI tạo ra được sử dụng trong Liên minh.”

Nghĩa vụ theo Đạo luật AI của EU phụ thuộc vào vai trò của tổ chức:

• Những bên phát triển hệ thống AI rủi ro cao hoặc đưa hệ thống đó ra thị trường dưới tên của chính mình (nhà cung cấp) phải hoàn thành đánh giá sự phù hợp, gắn dấu CE, đăng ký hệ thống, lưu giữ tài liệu kỹ thuật và giám sát hệ thống sau khi phát hành.
• Những bên sử dụng hệ thống do bên khác xây dựng (bên triển khai) phải tuân theo hướng dẫn của nhà cung cấp, giao việc giám sát cho những người có “năng lực, đào tạo và thẩm quyền cần thiết”, lưu giữ nhật ký trong ít nhất sáu tháng và thông báo cho người lao động cũng như những người khác chịu ảnh hưởng bởi các quyết định của hệ thống.

Phóng to

Đạo luật đang được triển khai theo từng giai đoạn. Các quy định về hoạt động bị cấm, hiểu biết về AI và AI đa dụng đã được áp dụng từ năm 2025, trong khi các nghĩa vụ đối với hệ thống rủi ro cao bắt đầu áp dụng từ ngày 2 tháng 12 năm 2027, và từ ngày 2 tháng 8 năm 2028 đối với AI được tích hợp vào các sản phẩm thuộc phạm vi điều chỉnh của luật an toàn sản phẩm của EU.

EN 18286:2026 về hệ thống quản lý chất lượng là tiêu chuẩn châu Âu đầu tiên hỗ trợ Đạo luật. Các nhà cung cấp tuân theo tiêu chuẩn này được coi là đáp ứng yêu cầu về quản lý chất lượng của Đạo luật.

Khung quản lý rủi ro AI của NIST

NIST AI RMF (Khung quản lý rủi ro AI), được công bố vào tháng 1 năm 2023, là một khung tự nguyện của Hoa Kỳ được xây dựng xoay quanh bốn chức năng: Quản trị (Govern), Lập bản đồ (Map), Đo lường (Measure) và Quản lý (Manage).

Hồ sơ AI tạo sinh của khung này, được phát hành vào tháng 7 năm 2024, áp dụng khung cho các rủi ro của AI tạo sinh.

ISO/IEC 42001

ISO/IEC 42001 là tiêu chuẩn quốc tế về hệ thống quản lý AI, bao gồm các chính sách, vai trò và quy trình chi phối việc phát triển và sử dụng AI có trách nhiệm. Việc chứng nhận là tự nguyện và do các tổ chức chứng nhận độc lập cấp, không phải do chính ISO cấp.

Chứng chỉ áp dụng cho hệ thống quản lý của tổ chức, không phải cho một sản phẩm AI cụ thể.

Các quy định của Hoa Kỳ và theo ngành áp dụng cho AI

Hoa Kỳ không có một luật AI liên bang duy nhất. Các quy định đến từ các thành phố, các bang và các luật, quy định hiện hành áp dụng cho AI.

Ví dụ: SB26-189 của Colorado, có hiệu lực từ ngày 1 tháng 1 năm 2027, điều chỉnh công nghệ ra quyết định tự động, còn các luật về quyền riêng tư, chẳng hạn như Đạo luật Quyền riêng tư của Người tiêu dùng California (CCPA) hoặc HIPAA, được áp dụng bất cứ khi nào AI xử lý dữ liệu được bảo vệ.

Cách xây dựng chương trình tuân thủ AI

Xây dựng chương trình tuân thủ AI gồm sáu bước: kiểm kê các hệ thống AI, phân loại chúng theo rủi ro, ánh xạ các biện pháp kiểm soát với các quy định áp dụng, chỉ định người phụ trách, lập tài liệu cho từng hệ thống và giám sát hệ thống bằng các hồ sơ mà kiểm toán viên có thể kiểm tra.

Phóng to

Mỗi bước dưới đây kết thúc bằng hồ sơ mà bước đó tạo ra:

1. Kiểm kê mọi hệ thống AI. Liệt kê các hệ thống mà tổ chức của bạn xây dựng, mua hoặc sử dụng, bao gồm cả các tính năng AI bên trong phần mềm hiện có và các công cụ mà nhân viên đã tự sử dụng khi chưa được phê duyệt. Ghi lại chức năng của từng hệ thống, ai sử dụng hệ thống và hệ thống tiếp cận dữ liệu nào.
   Đầu ra: Danh mục kiểm kê AI.
2. Phân loại từng trường hợp sử dụng theo rủi ro. Đánh giá từng hệ thống theo mức độ tác hại mà hệ thống có thể gây ra, sử dụng một cơ chế phân loại chẳng hạn như các cấp độ rủi ro của Đạo luật AI của EU. Ví dụ: một công cụ xác định phí bảo hiểm nhân thọ được xếp vào loại rủi ro cao theo Đạo luật, trong khi công cụ tóm tắt các cuộc họp nội bộ thì không.
   Đầu ra: Sổ đăng ký rủi ro.
3. Ánh xạ các biện pháp kiểm soát với các quy định áp dụng. Liệt kê các luật, tiêu chuẩn và chính sách nội bộ áp dụng cho từng hệ thống, cùng với biện pháp kiểm soát đáp ứng từng yêu cầu tuân thủ. Ví dụ: quy trình xem xét của con người được lập thành văn bản giúp đáp ứng các yêu cầu về giám sát của con người đối với hệ thống rủi ro cao theo Đạo luật AI của EU, cũng như yêu cầu của NIST AI RMF về các quy trình giám sát của con người được lập thành văn bản.
   Đầu ra: Bản đồ kiểm soát.
4. Chỉ định người phụ trách và các điểm giám sát của con người. Chỉ định người phụ trách cho mọi hệ thống và quyết định ở khâu nào cần có người xem xét đầu ra của hệ thống. Ví dụ: bộ phận pháp lý và tuân thủ chịu trách nhiệm về các nghĩa vụ, bộ phận bảo mật chịu trách nhiệm về các biện pháp kiểm soát kỹ thuật, các chủ sở hữu nghiệp vụ chịu trách nhiệm về trường hợp sử dụng của họ, và một lãnh đạo cấp cao chịu trách nhiệm giải trình chung. Đảm bảo mọi người trong toàn tổ chức đều nắm rõ và thiết lập các kênh liên lạc rõ ràng.
   Đầu ra: Người phụ trách được chỉ định cho từng hệ thống.
5. Lập tài liệu cho từng hệ thống. Ghi lại mục đích, dữ liệu huấn luyện, quá trình kiểm thử và các hạn chế đã biết của từng hệ thống theo các định dạng như thẻ mô hình và đánh giá tác động. Nhà cung cấp hệ thống rủi ro cao cũng phải chuẩn bị tài liệu kỹ thuật theo Phụ lục IV của Đạo luật AI của EU.
   Đầu ra: Bộ tài liệu hệ thống.
6. Giám sát, ghi nhật ký và lưu giữ bằng chứng. Thiết kế nhật ký làm bằng chứng kiểm toán ngay từ đầu để cho thấy hệ thống đã làm gì và ai đã xem xét. Đạo luật AI của EU yêu cầu các hệ thống rủi ro cao tự động ghi lại các sự kiện trong suốt vòng đời của chúng. Dấu vết kiểm toán cần ghi lại:
   • Mô hình và phiên bản đang được sử dụng
   • Đầu vào và đầu ra, hoặc một mẫu xác định của chúng
   • Dữ liệu huấn luyện hoặc tinh chỉnh
   • Các điểm xem xét của con người và kết quả của chúng
   • Các hành động mà tác nhân đã thực hiện và các quyền mà tác nhân đã sử dụng
   • Thời gian lưu giữ của từng hồ sơ

Đầu ra: Hồ sơ giám sát và dấu vết kiểm toán.

Các công cụ tuân thủ AI chuyên dụng, chẳng hạn như IBM watsonx.governance và OneTrust AI Governance, có thể đảm nhận một số phần của chương trình này, bao gồm danh mục kiểm kê AI, đánh giá rủi ro theo Đạo luật AI của EU và lập tài liệu.

Cách phê duyệt các công cụ AI mà nhân viên có thể sử dụng

Trước khi phê duyệt một công cụ AI, hãy kiểm tra bốn điều sau:

• Quyền truy cập dữ liệu: Công cụ có thể đọc những tệp, hệ thống và cơ sở kiến thức được kết nối nào, và liệu chúng có chứa dữ liệu cá nhân mà công cụ có thể làm lộ hay không.
• Huấn luyện trên dữ liệu đầu vào: Nhà cung cấp có sử dụng lời nhắc, tệp hoặc đầu ra để huấn luyện mô hình của họ hay không, và hợp đồng của bạn với nhà cung cấp có cấm điều đó hay không.
• Lưu giữ: Nhà cung cấp lưu giữ lời nhắc, tệp và lịch sử hội thoại trong bao lâu, và liệu bạn có thể rút ngắn thời gian đó hay không.
• Nơi lưu trữ và chuyển dữ liệu: Nơi nhà cung cấp lưu trữ và xử lý dữ liệu, bao gồm cả việc chuyển dữ liệu ra ngoài khu vực của bạn.

Các biện pháp kiểm soát tuân thủ dành cho tác nhân AI

Tác nhân AI cần nhiều biện pháp kiểm soát hơn các công cụ trò chuyện vì chúng tự quyết định các bước thực hiện và hành động thông qua các công cụ và quyền được cấp. Ba biện pháp kiểm soát sau giúp kiềm chế chúng:

• Quyền truy cập đặc quyền tối thiểu: Chỉ cấp cho tác nhân những công cụ và quyền mà nhiệm vụ của nó cần. Quyền tự chủ quá mức (Excessive Agency), tức là khi tác nhân có thể làm nhiều hơn mức nhiệm vụ yêu cầu, là một trong những rủi ro bảo mật hàng đầu theo OWASP Top 10 for LLM Applications 2026.
• Nhật ký của mọi hành động: Ghi lại từng lệnh gọi công cụ, dữ liệu được truy cập và các quyền được sử dụng để truy vết những gì tác nhân đã làm và làm cho ai.
• Phê duyệt của con người đối với các hành động có tác động lớn: Yêu cầu một người xác nhận các bước gửi dữ liệu ra ngoài tổ chức, chuyển tiền hoặc không thể hoàn tác.

Cách AI được sử dụng trong công việc tuân thủ

Các nhóm tuân thủ và quản lý rủi ro sử dụng AI để giám sát các biện pháp kiểm soát, đánh giá rủi ro, theo dõi các thay đổi về quy định, xem xét tài liệu và phân loại cảnh báo tội phạm tài chính.

Trong một khảo sát của Compliance Week năm 2026 với 193 lãnh đạo về tuân thủ, đạo đức, rủi ro và kiểm toán, hơn 83% cho biết họ sử dụng AI và gần 40% cho biết công ty của họ đã triển khai AI để đánh giá và giám sát rủi ro.

Các trường hợp sử dụng AI phổ biến trong lĩnh vực tuân thủ bao gồm:

• Giám sát tuân thủ liên tục và thu thập bằng chứng: AI thực hiện các bước kiểm tra và thu thập bằng chứng cho thấy chúng hoạt động hiệu quả (ví dụ: các đợt kiểm tra an toàn thiết bị bị quá hạn tại một nhà máy).
• Đánh giá và ưu tiên rủi ro: AI xếp hạng các đơn vị kinh doanh hoặc bên thứ ba theo mức độ rủi ro (ví dụ: nhà cung cấp mới bị áp lệnh trừng phạt hoặc có nguy cơ vướng kiện tụng mới).
• Giám sát thay đổi quy định: AI theo dõi các ấn phẩm của cơ quan quản lý và tóm tắt các thay đổi (ví dụ: hướng dẫn chống hối lộ sửa đổi làm giảm hạn mức quà tặng trong chính sách chi phí).
• Xem xét tài liệu và chính sách: AI đối chiếu hợp đồng và chính sách với các yêu cầu (ví dụ: hợp đồng với nhà cung cấp không có điều khoản về quyền kiểm toán).
• Sàng lọc tội phạm tài chính: AI phân loại các cảnh báo giám sát giao dịch và kiểm tra khách hàng (ví dụ: các trường hợp trùng tên với danh sách trừng phạt nhưng hóa ra là một người khác).

AI được sử dụng cho công việc tuân thủ cũng cần được quản trị giống như các hệ thống AI khác. Như Cơ quan Quản lý Hoạt động Tài chính của Vương quốc Anh đã tuyên bố vào tháng 10 năm 2026, “các công ty chịu trách nhiệm về các hệ thống AI mà họ phát triển, mua sắm và triển khai – bao gồm cả đầu ra và kết quả của chúng”, đồng thời cảnh báo không để việc xem xét của con người trở thành “một hoạt động ‘đánh dấu cho có’”.

Trên thực tế, các công cụ AI có thể đảm nhận các công việc thường xuyên như thu thập bằng chứng hoặc gắn cờ các thay đổi về quy định, nhưng không đảm nhận các quyết định mang trách nhiệm pháp lý, chẳng hạn như quyết định có báo cáo hoạt động đáng ngờ hay không hoặc cách thiết kế chính sách.

Kiểm soát dữ liệu trong Perplexity Enterprise

Perplexity Enterprise cung cấp cho quản trị viên các công cụ kiểm soát về việc huấn luyện trên dữ liệu đầu vào, quyền truy cập dữ liệu và thời gian lưu giữ:

• Không huấn luyện trên dữ liệu của bạn: Perplexity không bao giờ sử dụng nội dung doanh nghiệp để huấn luyện các mô hình AI của mình, và các thỏa thuận của Perplexity với nhà cung cấp mô hình bên thứ ba cũng cấm họ huấn luyện trên nội dung này.
• Kiểm soát truy cập: SSO, SCIM và phân quyền theo vai trò xác định ai có thể tải tệp lên và chia sẻ câu trả lời.
• Lưu giữ và nhật ký kiểm toán: Các tệp đính kèm vào phiên sẽ bị xóa sau bảy ngày. Các tổ chức có từ 50 chỗ ngồi trở lên, hoặc có ít nhất một chỗ ngồi Enterprise Max, còn có thể thiết lập thời gian lưu giữ phiên và nhận nhật ký kiểm toán về hoạt động của người dùng.
• Chứng nhận: Perplexity đạt chứng nhận SOC 2 Type II, tuân thủ GDPR và chỉ cho phép làm việc với thông tin sức khỏe được bảo vệ khi đã ký Thỏa thuận Đối tác Kinh doanh (Business Associate Agreement).

Để được hướng dẫn chi tiết về các công cụ kiểm soát này, hãy liên hệ với đội ngũ Kinh doanh của chúng tôi để đặt lịch một buổi demo dành riêng cho bạn.

Câu hỏi thường gặp

Tuân thủ quy định AI của EU là gì?

Tuân thủ quy định AI của EU nghĩa là đáp ứng các nghĩa vụ theo Đạo luật AI của EU tương ứng với vai trò của bạn (nhà cung cấp hoặc bên triển khai) và với cấp độ rủi ro của từng hệ thống. Các nghĩa vụ được áp dụng theo từng giai đoạn, trong đó các nghĩa vụ đối với hệ thống rủi ro cao bắt đầu từ ngày 2 tháng 12 năm 2027.

AI tuân thủ HIPAA là gì?

AI tuân thủ HIPAA là công cụ được sử dụng trong phạm vi các biện pháp bảo vệ của HIPAA đối với thông tin sức khỏe được bảo vệ. Nếu nhà cung cấp lưu trữ hoặc xử lý thông tin đó, Bộ Y tế và Dịch vụ Nhân sinh Hoa Kỳ yêu cầu trước tiên phải ký Thỏa thuận Đối tác Kinh doanh (Business Associate Agreement).

Đạo luật AI của EU có áp dụng cho các công ty Hoa Kỳ không?

Có. Đạo luật AI áp dụng cho các công ty Hoa Kỳ đưa hệ thống AI ra thị trường EU và các công ty có đầu ra AI được sử dụng tại EU.

AI có thể thay thế cán bộ tuân thủ không?

AI không thể thay thế cán bộ tuân thủ. Các tổ chức phải chịu trách nhiệm về công việc của mình, và công nghệ AI có thể mắc lỗi, vì vậy cán bộ tuân thủ vẫn cần xem xét kỹ lưỡng và phê duyệt kết quả do AI tạo ra.