Hiện tượng AI ‘ngầm’ (shadow AI) đang trở thành một vấn đề đáng quan tâm trong các doanh nghiệp trên toàn cầu, đặc biệt là trong ngành ngân hàng và viễn thông. Theo một khảo sát gần đây của BCG, thực hiện trên hơn 10.600 nhân viên tại 11 quốc gia, hơn một nửa (54%) cho biết họ sẽ sử dụng công cụ AI ngay cả khi không được phép hoặc không có hỗ trợ chính thức từ công ty. Điều này cho thấy sự phổ biến của việc sử dụng AI bên ngoài hệ sinh thái của doanh nghiệp.

Nhóm tuổi Gen Z và Millennials là những người dẫn đầu trong việc sử dụng AI không được phê duyệt, với 62% chấp nhận tự dùng AI bên ngoài hệ sinh thái doanh nghiệp. Con số này cao hơn 19 điểm phần trăm so với các nhóm tuổi khác. Thực trạng này đặt ra những thách thức lớn cho các tổ chức, đặc biệt là về quản lý rủi ro và tuân thủ quy định.

Các ngành như ngân hàng và viễn thông đặc biệt dễ bị tổn thương do quản lý dữ liệu nhạy cảm kép, hạ tầng on-premise lạc hậu và chính sách siết chặt quá mức. Việc sử dụng AI không được phê duyệt trong các ngành này đã tăng trưởng 250% chỉ trong năm qua. Điều này cho thấy nhu cầu cấp thiết về quản lý và kiểm soát việc sử dụng AI trong doanh nghiệp.

Về rủi ro pháp lý và tuân thủ, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân tại Việt Nam đã tạo ra khung pháp lý chặt chẽ. Đặc biệt, việc chuyển dữ liệu cá nhân ra nước ngoài thông qua các công cụ AI không được kiểm soát có thể kích hoạt các điều khoản xử phạt nghiêm khắc nhất của nghị định này. Do đó, các tổ chức cần phải có biện pháp quản lý và kiểm soát việc sử dụng AI để tránh những rủi ro pháp lý.

Các tổ chức cần chuyển từ tư duy ‘cấm đoán’ sang ‘quản lý thông minh’ để kiểm soát rủi ro mà vẫn tận dụng được tiềm năng công nghệ. Điều này đòi hỏi sự kết hợp khéo léo giữa chính sách thông minh, công nghệ phù hợp và văn hóa tổ chức mở. Một số giải pháp toàn diện có thể được áp dụng để quản lý shadow AI.

Một trong những giải pháp quan trọng là xây dựng khung chính sách ‘mở nhưng có lan can’. Điều này có nghĩa là xây dựng chính sách sử dụng AI chấp nhận được với các nguyên tắc cụ thể. Bên cạnh đó, triển khai giải pháp Azure OpenAI với private endpoint hoặc self-hosted solution cũng giúp kiểm soát việc sử dụng AI trong doanh nghiệp.

Ngoài ra, xây dựng văn hóa minh bạch và đào tạo liên tục cũng là yếu tố quan trọng. Điều này có thể được thực hiện bằng cách xây dựng mạng lưới AI Champions nội bộ và tổ chức chương trình đào tạo. Công nghệ hỗ trợ như Data Loss Prevention (DLP) cho AI và SIEM tích hợp AI cũng cần được nâng cấp để phát hiện và ngăn chặn việc sử dụng AI không được phê duyệt.

Chiến lược triển khai cần được thực hiện theo các giai đoạn, bao gồm đánh giá và lập kế hoạch, triển khai hạ tầng, đào tạo và triển khai. Tóm lại, việc quản lý shadow AI đòi hỏi sự kết hợp giữa chính sách thông minh, công nghệ phù hợp và văn hóa tổ chức mở. Doanh nghiệp nên bắt đầu từ việc xây dựng chính sách rõ ràng, đầu tư vào hạ tầng AI an toàn, và quan trọng nhất là nuôi dưỡng văn hóa minh bạch – nơi nhân viên cảm thấy được hỗ trợ thay vì bị trừng phạt khi sử dụng AI một cách có trách nhiệm.

Ủy ban châu Âu (EC) đã ban hành hướng dẫn chi tiết về quy định đối với các nhà cung cấp mô hình có khả năng sinh ngôn ngữ (GPAI) và được huấn luyện với khối lượng tính toán lớn. Hướng dẫn này nhắm vào việc tăng cường tính minh bạch và giảm thiểu rủi ro liên quan đến các mô hình trí tuệ nhân tạo (AI) tiên tiến.

Theo đó, các nhà cung cấp GPAI phải công khai thông tin rõ ràng về dữ liệu huấn luyện và tuân thủ nghiêm các quy định về bản quyền. Điều này bao gồm việc cung cấp thông tin chi tiết về nguồn gốc dữ liệu dùng để huấn luyện mô hình AI, giúp người dùng hiểu rõ hơn về cách thức hoạt động của các mô hình này. Một biểu mẫu chuẩn cũng được công bố để các nhà phát triển sử dụng trong việc tóm tắt dữ liệu đào tạo, giúp cơ quan chức năng đánh giá mức độ minh bạch và rủi ro của từng mô hình AI.

EC cũng công nhận một Bộ quy tắc thực hành tự nguyện, do nhóm chuyên gia độc lập xây dựng, là phù hợp với yêu cầu của Đạo luật AI. Các nhà cung cấp AI ký kết và tuân thủ bộ quy tắc này sẽ được giảm nhẹ một số thủ tục hành chính và hưởng lợi từ sự rõ ràng trong khung pháp lý. Điều này khuyến khích các nhà phát triển AI áp dụng các thực tiễn tốt nhất và tuân thủ các tiêu chuẩn đạo đức trong quá trình phát triển và triển khai các mô hình AI của họ.

Từ ngày 2/8/2025, tất cả các mô hình GPAI mới đưa vào thị trường EU sẽ phải đáp ứng đầy đủ các quy định. Đối với các mô hình đã ra mắt trước thời điểm này, hạn cuối để cập nhật và bảo đảm tuân thủ là 2/8/2027. Đối với các mô hình AI được đánh giá là tiên tiến hoặc có nguy cơ gây rủi ro hệ thống cao, các yêu cầu bổ sung sẽ được áp dụng, bao gồm thông báo trước với EC, thiết lập cơ chế bảo mật, giám sát hậu kiểm và bảo đảm an toàn kỹ thuật.

Việc chính thức đưa các quy định GPAI vào thực thi đánh dấu một bước tiến lớn trong chiến lược quản lý công nghệ cao của EU. Không chỉ tạo hành lang pháp lý cho phát triển AI trong khu vực, động thái này còn góp phần định hình các tiêu chuẩn toàn cầu, hướng tới một hệ sinh thái công nghệ vì con người, bảo vệ quyền sở hữu trí tuệ và hạn chế các rủi ro xã hội do AI gây ra.

Đạo luật AI của EU được triển khai theo từng giai đoạn, bắt đầu có hiệu lực từ 2/8/2024. Phần lớn các quy định sẽ được áp dụng từ 2/8/2026. Tuy nhiên, một số điều khoản nghiêm ngặt đã được thực thi sớm từ 2/2 năm nay, bao gồm lệnh cấm các hệ thống AI bị đánh giá là có rủi ro không thể chấp nhận.

Việc AI Act có hiệu lực là một bước tiến quan trọng, thể hiện quyết tâm của EU trong việc định hình một tương lai AI minh bạch, an toàn và có lợi cho tất cả mọi người. Đây không chỉ là một cột mốc quan trọng đối với châu Âu mà còn là một hình mẫu cho các quốc gia khác trên thế giới trong việc xây dựng khuôn khổ pháp lý cho lĩnh vực AI.