Quản trị AI: Từ nguyên tắc đạo đức đến bằng chứng thực hành
Bài viết phân tích sự chuyển dịch của thể chế toàn cầu từ các tuyên bố đạo đức chung chung sang các chuẩn mực kiểm soát kỹ thuật (EU AI Act, NIST AI RMF, ISO/IEC 42001), tham chiếu với bối cảnh thể chế tại Việt Nam thông qua Chiến lược AI quốc gia theo Quyết định 1671/QĐ-TTg và Luật Trí tuệ nhân tạo (AI). Từ đó, bài viết đề xuất mô hình chuyển hóa đạo đức AI thành hệ thống quy trình, năng lực kiểm định và bằng chứng kiểm toán kỹ thuật trong thực tế vận hành.
Trong loạt bài chuyên đề “Luật Trí tuệ nhân tạo trên thế giới và Việt Nam” đã đăng tải trên Tạp chí Khoa học và Công nghệ Việt Nam điện tử vào tháng 10/2025, chúng tôi đã phác họa bức tranh toàn cảnh về làn sóng lập pháp AI toàn cầu [1], phân tích bài học kinh nghiệm quốc tế cho việc thiết kế đạo luật khung [2], và luận giải bài toán cân bằng giữa thúc đẩy đổi mới sáng tạo (ĐMST) với kiểm soát rủi ro công nghệ [3].
Tại thời điểm đó, Việt Nam đang trong giai đoạn khẩn trương lấy ý kiến cho dự thảo Luật Trí tuệ nhân tạo. Đến nay, khung thể chế đã có những bước tiến mang tính bước ngoặt: Chiến lược quốc gia về AI đến năm 2030, tầm nhìn 2045 (Quyết định 1671/QĐ-TTg ngày 28/8/2026) đã xác định “Quản trị AI an toàn, đáng tin cậy” là trụ cột thứ chín [4]; và Luật Trí tuệ nhân tạo số 134/2025/QH15 đã chính thức có hiệu lực từ ngày 01/3/2026 [5].
Tuy nhiên, khi khung pháp lý ở tầm vĩ mô đã dần định hình, một câu hỏi cấp bách hơn đặt ra cho giới khoa học, doanh nghiệp (DN) và các nhà quản lý: Làm thế nào để đưa các nguyên tắc quản trị và đạo đức AI từ văn bản luật xuống bàn làm việc thực tế? Khi một hệ thống AI gây ra tổn hại, ai là người chịu trách nhiệm; và làm sao để đạo đức không dừng lại ở những khẩu hiệu trừu tượng mà trở thành quy trình và bằng chứng có thể kiểm chứng được?
Sau hơn ba thập kỷ làm việc trong ngành công nghệ thông tin và viễn thông, quán tính nghề nghiệp từng khiến tôi đặt hiệu quả kỹ thuật lên hàng đầu: hệ thống có chạy ổn định không, độ trễ thế nào, và nó tối ưu hóa chi phí ra sao? Nhưng sự hiện diện ngày càng sâu của AI trong các quyết định xã hội buộc bất kỳ ai làm khoa học và công nghệ (KH&CN) nghiêm túc phải đối diện với một câu hỏi căn bản: Công nghệ này có thể gây tổn hại cho ai, và khi nó mắc sai lầm, ai là người chịu trách nhiệm giải trình?
Bản chất kỹ thuật của rủi ro và "khoảng trống trách nhiệm"
Trong triết học công nghệ và lý thuyết hệ thống, khái niệm "khoảng trống trách nhiệm" đã được học giả A. Matthias cảnh báo từ sớm [6]: đó là tình trạng một quyết định tự động gây tác động tiêu cực nghiêm trọng đến con người, nhưng không một cá nhân hay tổ chức nào trong chuỗi phát triển thừa nhận nghĩa vụ đạo đức lẫn trách nhiệm bồi hoàn pháp lý.
Với các phần mềm tiền định (deterministic software) truyền thống, lỗi logic luôn có thể truy vết về dòng lệnh của lập trình viên hoặc đặc tả thiết kế của kỹ sư hệ thống. Nhưng với AI hiện đại - đặc biệt là các mô hình học sâu (deep learning) và mô hình nền tảng (foundation models) - rủi ro mang bản chất kỹ thuật hoàn toàn khác:
Tính bất định và hộp đen
Các mô hình hàng trăm tỷ tham số hoạt động dựa trên không gian biểu diễn ẩn số phức tạp. Chúng tìm kiếm các tương quan thống kê thay vì suy luận nhân quả. Ngay cả những nhà khoa học dữ liệu trực tiếp huấn luyện mô hình cũng không thể giải thích cặn kẽ vì sao một đầu ra cụ thể lại được sinh ra trong từng tình huống biên (edge cases).
Sự dịch chuyển dữ liệu và suy thoái mô hình
Một hệ thống vận hành hoàn hảo trong phòng thí nghiệm có thể nhanh chóng suy thoái độ chính xác khi đưa vào môi trường thực tế, do hành vi xã hội, ngôn ngữ và bối cảnh thay đổi theo thời gian.
Vấn đề "quá nhiều bàn tay"
Chuỗi cung ứng AI ngày nay cực kỳ phân tán. Một ứng dụng tài chính tại Việt Nam có thể sử dụng mô hình nền tảng từ Mỹ, tinh chỉnh (fine-tuning) bằng dữ liệu thu thập từ bên thứ ba, chạy trên hạ tầng đám mây xuyên biên giới, và được tích hợp bởi một đối tác giải pháp nội địa. Khi hệ thống tạo ra thông tin sai lệch gây thiệt hại tài chính, bên tích hợp đổ lỗi cho nhà cung cấp mô hình gốc, nhà cung cấp mô hình gốc viện dẫn điều khoản miễn trừ trách nhiệm trong giấy phép nguồn mở, còn người dùng cuối nhận lại câu trả lời vô vọng: "Đó là do thuật toán quyết định”.
Trí tuệ nhân tạo không phải là một chủ thể đạo đức (moral agent). Nó không có ý thức, không có quyền công dân, không thể thấu cảm và càng không thể bị trừng phạt hay bồi thường thiệt hại. Giao trách nhiệm cho một hệ thống không thể chịu trách nhiệm là một nghịch lý về mặt pháp lý và là một sự thoái thác về mặt đạo đức. Trách nhiệm giải trình bắt buộc phải thuộc về con người: từ nhà thiết kế, bên triển khai, người phê duyệt cho đến người sử dụng.
Thể chế toàn cầu: cuộc chuyển dịch từ "tuyên bố giá trị" sang "chuẩn mực kiểm soát kỹ thuật"
Như chúng tôi đã phân tích trong Bài 1 và Bài 2 [1, 2], bản đồ thể chế AI toàn cầu đã đi qua giai đoạn đầu tiên mang tính "lạm phát nguyên tắc". Từ năm 2017 đến khoảng năm 2021, hàng trăm bộ nguyên tắc đạo đức AI đã được công bố bởi các tổ chức quốc tế như OECD, UNESCO, IEEE cho đến các tập đoàn công nghệ lớn. Các văn bản này tràn ngập những khái niệm cao đẹp: minh bạch, công bằng, tôn trọng nhân phẩm, an toàn, có trách nhiệm.
Tuy nhiên, giới học thuật và quản lý nhanh chóng nhận ra hội chứng "tẩy rửa đạo đức" (ethics washing) như L. Floridi [7] từng cảnh báo: các nguyên tắc rất dễ được ký kết nhưng hầu như không làm thay đổi hành vi phát triển sản phẩm, bởi chúng thiếu chế tài ràng buộc và không có công cụ đo lường cụ thể. Kể từ năm 2023, thể chế toàn cầu đã bước vào giai đoạn thứ hai: Pháp điển hóa và tiêu chuẩn hóa kỹ thuật.
Cách tiếp cận dựa trên rủi ro của Liên minh châu Âu
Đạo luật AI của EU [8] phân tầng hệ thống theo 4 mức: rủi ro không thể chấp nhận (bị cấm hoàn toàn, ví dụ như chấm điểm xã hội, nhận diện cảm xúc tại nơi làm việc); rủi ro cao (yêu cầu đánh giá sự phù hợp khắt khe, quản trị dữ liệu huấn luyện, kiểm thử độ bền và giám sát con người liên tục); rủi ro hạn chế (nghĩa vụ minh bạch); và rủi ro tối thiểu.
Việc EU gia hạn một số mốc thời gian áp dụng nghĩa vụ đối với các hệ thống AI rủi ro cao phản ánh một thực tế: khoảng cách giữa văn bản luật và các công cụ kiểm chuẩn kỹ thuật là bài toán vô cùng phức tạp, đòi hỏi thời gian để các cơ quan quản lý và phòng thí nghiệm hoàn thiện năng lực đo kiểm.
Khung quản trị rủi ro NIST AI RMF của Hoa Kỳ
Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) [9] không tiếp cận theo hướng mệnh lệnh hành chính, mà cung cấp một khung thực hành linh hoạt với 4 chức năng nền tảng: Govern (Quản trị), Map (Nhận diện bối cảnh), Measure (Đo lường rủi ro), Manage (Kiểm soát rủi ro). Điểm xuất sắc của NIST AI RMF là tích hợp việc đánh giá rủi ro AI trực tiếp vào chu trình phát triển hệ thống thông tin (SDLC), coi rủi ro đạo đức cũng là một loại rủi ro vận hành và an ninh mạng.
Tiêu chuẩn ISO/IEC 42001:2023 (Hệ thống quản lý trí tuệ nhân tạo - AIMS)
Đây là tiêu chuẩn quản lý quốc tế đầu tiên trên thế giới [10] cho phép một tổ chức thiết lập, vận hành, duy trì và cải tiến liên tục một hệ thống quản trị AI có thể đánh giá và cấp chứng nhận độc lập. Tiêu chuẩn này biến các yêu cầu trừu tượng về đạo đức thành các biện pháp kiểm soát cụ thể: từ đánh giá tác động AI (AI Impact Assessment - AIIA), phân định vai trò, quản lý dữ liệu, kiểm toán thuật toán cho đến quản trị nhà cung ứng bên ngoài.
Bài học từ quốc tế rất rõ ràng: Muốn quản trị được AI, không thể chỉ dừng lại ở các bài thuyết giảng luân lý; chúng ta phải chuyển hóa đạo đức thành kiến trúc hệ thống, quy trình thẩm định và bằng chứng đo lường được.
Bước chuyển từ khuyến nghị sang nghĩa vụ pháp lý và bài toán hạ tầng đo kiểm
Trong bài 3 [3], chúng tôi từng nhấn mạnh yêu cầu then chốt: Việt Nam cần một đạo luật khung đủ mềm dẻo để thúc đẩy ĐMST nhưng phải đủ kỷ cương để bảo vệ người dân. Những diễn biến thể chế trong năm 2026 đã hiện thực hóa định hướng này:
Chiến lược quốc gia về AI: Quyết định số 1671/QĐ-TTg ngày 28/8/2026 của Thủ tướng Chính phủ phê duyệt Chiến lược quốc gia về nghiên cứu, phát triển và ứng dụng trí tuệ nhân tạo đến năm 2030, tầm nhìn 2045 đã xác định “Quản trị AI an toàn, đáng tin cậy” là trụ cột thứ chín [4]. Việc đưa quản trị thành một trụ cột độc lập thể hiện tầm nhìn nhất quán: không đánh đổi an toàn xã hội và quyền con người để chạy theo tăng trưởng công nghệ thuần túy; an toàn và tin cậy chính là bệ đỡ để AI phát triển bền vững.
Hành lang pháp luật chuyên ngành: Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ ngày 01/3/2026 [5] đã chính thức thiết lập khung phân loại hệ thống AI theo ba mức rủi ro (cao, trung bình, thấp), quy định trách nhiệm cụ thể của bên phát triển, bên triển khai và bên sử dụng.
Khi kết hợp với Luật Bảo vệ dữ liệu cá nhân (hiệu lực từ đầu năm 2026), DN và viện nghiên cứu tại Việt Nam buộc phải xem xét trách nhiệm pháp lý và đạo đức ngay từ giai đoạn thu thập dữ liệu huấn luyện, thay vì coi đó là việc xử lý sự cố về sau.
Tuy nhiên, thách thức lớn nhất của Việt Nam hiện nay nằm ở năng lực thực thi và hạ tầng kiểm chuẩn kỹ thuật. Làm thế nào để một cơ quan quản lý nhà nước xác định một mô hình AI y tế có thiên lệch hay không? Làm sao để chứng minh một thuật toán phân loại hồ sơ tín dụng không vi phạm nguyên tắc công bằng? Ai sẽ là người cấp chứng nhận kiểm định an toàn cho các hệ thống AI rủi ro cao?
Nếu không có tiêu chuẩn quốc gia tương thích, không có các phòng thí nghiệm kiểm định (testing lab and sandbox) và thiếu đội ngũ chuyên gia am hiểu cả công nghệ lẫn pháp lý, chúng ta sẽ rơi vào hai thái cực nguy hiểm: hoặc luật pháp nằm trên giấy do không thể đo kiểm, hoặc áp đặt các quy định hành chính có thể giảm sự sáng tạo của DN khởi nghiệp công nghệ trong nước.
Đạo đức AI là quy trình và bằng chứng: Đưa nguyên tắc xuống bàn làm việc
Trong cuốn sách "Đạo đức AI: Nguyên tắc và Thực hành" (NXB Khoa học - Công nghệ - Truyền thông, 2026, 616 trang) [11], tôi đã đúc kết một quan điểm xuyên suốt: “Đạo đức AI là quy trình và bằng chứng, không phải lời hứa”.
Trong các phòng họp điều hành DN hay tại các hội đồng thẩm định khoa học, một nhà quản lý không thể ra quyết định dựa trên lời cam kết của nhóm kỹ sư rằng: "Thuật toán này rất có đạo đức". Nhà quản lý cần những câu trả lời dựa trên bằng chứng kỹ thuật:
Nguồn gốc dữ liệu: Dữ liệu dùng để huấn luyện mô hình được thu thập từ đâu? Có vi phạm bản quyền hay dữ liệu cá nhân không? Dữ liệu có đại diện khách quan cho nhóm dân số mục tiêu hay đang chứa định kiến lịch sử?
Kiểm thử độc lập: Hệ thống đã trải qua các đợt kiểm thử tấn công giả lập (jailbreak/adversarial attacks) và kiểm thử thiên kiến (bias testing) chưa? Ngưỡng sai số trong các trường hợp ranh giới được ghi nhận ra sao?
Cơ chế can thiệp của con người: Điểm dừng khẩn cấp (kill-switch) nằm ở đâu? Khi hệ thống đưa ra mức độ tin cậy thấp (low confidence score), quy trình bàn giao quyền quyết định cho chuyên gia con người diễn ra như thế nào?
Nhật ký vận hành có thể kiểm toán: Khi một sự cố xảy ra, hệ thống có lưu giữ nhật ký bất biến (immutable logs) về phiên bản mô hình, trọng số, dữ liệu đầu vào và đầu ra để phục vụ điều tra nguyên nhân gốc rễ hay không?
Phân định quyền lực và trách nhiệm: Ai là người ký duyệt đưa hệ thống vào vận hành thương mại? Hợp đồng với nhà cung ứng công nghệ có quy định rõ trách nhiệm bồi thường khi thuật toán sai sót hay đang dồn toàn bộ rủi ro cho tổ chức triển khai?
Khi một tổ chức trả lời được năm câu hỏi này bằng quy trình văn bản và hồ sơ kỹ thuật, họ không chỉ hoàn thành nghĩa vụ tuân thủ pháp luật, mà thực chất đang xây dựng năng lực quản trị cốt lõi.
Quản trị tốt giúp tổ chức tự tin mở rộng ứng dụng AI, giành được lòng tin của khách hàng và đối tác quốc tế, đồng thời bảo vệ tổ chức trước những rủi ro pháp lý và khủng hoảng danh tiếng có thể phá hủy hàng chục năm uy tín.
Từ nghiên cứu chuyên khảo đến xây dựng năng lực tự chủ công nghệ
Độc giả Việt Nam nhiều năm qua đã tiếp cận các công trình triết học đạo đức thông tin của các học giả hàng đầu thế giới, tiêu biểu như L. Floridi [7]. Tôi luôn dành sự kính trọng sâu sắc cho những nền tảng lý luận phổ quát đó. Tuy nhiên, giữa những khái niệm triết học trừu tượng của phương Tây và thực tế triển khai công nghệ tại một ngân hàng, một bệnh viện hay một nhà máy ở Việt Nam luôn tồn tại một khoảng trống lớn.
Cuốn sách 616 trang "Đạo đức AI: Nguyên tắc và Thực hành" [11] ra đời nhằm góp một viên gạch nối liền khoảng trống ấy, từ góc nhìn của một kỹ sư và chuyên gia tư vấn đã trải qua hơn 30 năm làm việc thực chiến tại Việt Nam:
• Chuyển hóa triết học công bằng, minh bạch, trách nhiệm thành các bảng tự rà soát (self-assessment checklists) và bài tập phân tích tác động đạo đức.
• Phân tích cách ứng dụng cụ thể tiêu chuẩn ISO/IEC 42001 [10] và khung NIST AI RMF [9] vào 6 ngành kinh tế trọng điểm: ngân hàng - tài chính, y tế, giáo dục, sản xuất công nghiệp, viễn thông và dịch vụ hành chính công.
• Đề xuất một lộ trình 90 ngày giúp các cơ quan, DN Việt Nam từng bước xây dựng hệ thống quản trị AI an toàn, tin cậy mà không bị quá tải về chi phí hay nguồn lực.
Dù vậy, 616 trang sách chưa thể và không bao giờ bao quát hết một lĩnh vực công nghệ đang biến đổi theo từng tuần. Nhiều câu hỏi hóc búa về quyền tự chủ của các tác tử AI đa chức năng (Agentic AI), bản quyền dữ liệu sáng tạo của con người, hay giới hạn của các hệ thống AI phục vụ an ninh quốc gia vẫn là những câu hỏi mở đối với toàn nhân loại. Hiểu biết của bất kỳ ai trong chúng ta hôm nay cũng chỉ là điểm khởi đầu cần liên tục được phản biện, bổ sung và hoàn thiện qua thực tiễn nghiên cứu khoa học.
Lời kết
Tương lai của AI tại Việt Nam không chỉ được đo bằng số lượng mô hình ngôn ngữ lớn được huấn luyện, số lượng bằng sáng chế hay quy mô thị trường doanh thu. Thước đo sâu sắc hơn của sự trưởng thành công nghệ nằm ở việc: Chúng ta ứng xử thế nào trước những rủi ro do công nghệ mang lại.
Người dân cần được trang bị năng lực số để nhận diện sự thao túng và tự bảo vệ phẩm giá của mình. DN cần xây dựng năng lực kiểm soát rủi ro như một kỷ luật vận hành tự giác. Và các nhà hoạch định chính sách cần xây dựng một thể chế minh bạch, nơi ĐMST được khuyến khích tối đa nhưng ranh giới an toàn cho con người luôn được bảo vệ nghiêm ngặt.
Chúng ta có thể chưa giải quyết được mọi khúc mắc triết học về AI, nhưng tuyệt đối không được phép bỏ trống trách nhiệm giải trình. Bởi suy cho cùng, công nghệ là do con người tạo ra, phục vụ vì hạnh phúc của con người, và quyền phán đoán tối hậu phải mãi mãi thuộc về con người.
Tài liệu tham khảo
[1] Đào Trung Thành (2025), "Luật Trí tuệ nhân tạo trên thế giới và Việt Nam - Bài 1: Tổng quan về Luật trí tuệ nhân tạo trên thế giới", Tạp chí KH&CN Việt Nam, ngày 15/10/2025, https://vjst.vn/luat-tri-tue-nhan-tao-tren-the-gioi-va-viet-nam-bai-1-tong-quan-ve-luat-tri-tue-nhan-tao-tren-the-gioi-76313.html, truy cập ngày 8/10/2026.
[2] Đào Trung Thành, Nguyễn Trần Minh Quân, Nguyễn Lan Phương (2025), "Luật Trí tuệ nhân tạo trên thế giới và Việt Nam - Bài 2: Kinh nghiệm từ thế giới cho việc xây dựng đạo luật khung về AI tại Việt Nam", Tạp chí KH&CN Việt Nam, https://vjst.vn/luat-tri-tue-nhan-tao-tren-the-gioi-va-viet-nam-bai-2-kinh-nghiem-tu-the-gioi-cho-viec-xay-dung-dao-luat-khung-ve-ai-tai-viet-nam-76348.html, truy cập ngày 8/10/2026.
[3] Đào Trung Thành, Nguyễn Lan Phương (2025), "Luật Trí tuệ nhân tạo trên thế giới và Việt Nam - Bài 3: Xây dựng khung pháp lý cho trí tuệ nhân tạo cần cân bằng giữa đổi mới và quản trị rủi ro", Tạp chí Khoa học và Công nghệ Việt Nam, https://vjst.vn/luat-tri-tue-nhan-tao-tren-the-gioi-va-viet-nam-bai-3-xay-dung-khung-phap-ly-cho-tri-tue-nhan-tao-can-can-bang-giua-doi-moi-va-quan-tri-rui-ro-76353.html, truy cập ngày 8/10/2026.
[4] Thủ tướng Chính phủ (2026), Quyết định số 1671/QĐ-TTg ngày 28/8/2026 phê duyệt Chiến lược quốc gia về nghiên cứu, phát triển và ứng dụng trí tuệ nhân tạo đến năm 2030, tầm nhìn 2045.
[5] Quốc hội (2025), Luật Trí tuệ nhân tạo số 134/2025/QH15 (thông qua ngày 10/12/2025, có hiệu lực từ ngày 01/3/2026).
[6] A. Matthias (2004), "The responsibility gap: Ascribing responsibility for the actions of learning automata", Ethics and Information Technology, 6(3), pp.175-183.
[7] L. Floridi (2019), "Translating Principles into Practices of Digital Ethics: Five Risks of Being Unethical", Philosophy & Technology, 32(2), pp. 185-193.
[8] European Parliament and Council of the European Union (2024), Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act), Official Journal of the European Union, L 2024/1689.
[9] National Institute of Standards and Technology (NIST) (2023), Artificial Intelligence Risk Management Framework (AI RMF 1.0), U.S. Department of Commerce, NIST AI 100-1.
[10] International Organization for Standardization - ISO/International Electrotechnical Commission - IEC (2023), ISO/IEC 42001:2023 Information technology - Artificial intelligence - Management system, ISO/IEC.
[11] Đào Trung Thành (2026), Đạo đức AI: Nguyên tắc và Thực hành - Xây dựng hệ thống AI đáng tin cậy trong 90 ngày, Nhà xuất bản Khoa học - Công nghệ - Truyền thông, Hà Nội, 616 trang./.