Hội đồng quản trị nên làm gì trước cơn sóng AI?

AI không còn là chuyện riêng của phòng công nghệ

Singapore Institute of Directors (SID) đã công bố AI Guide for Boards in Singapore — cẩm nang dài 116 trang được xây dựng cùng Infocomm Media Development Authority (IMDA), Microsoft và OpenAI. Ra mắt ngày 31/7/2026, tài liệu hướng dẫn các thành viên hội đồng quản trị giám sát chiến lược AI, tạo giá trị, quản trị, khả năng chống chịu và rủi ro.

Thông điệp quan trọng nhất của cẩm nang là sự thay đổi về trách nhiệm: AI phải được xem là vấn đề kinh doanh và quản trị ở cấp hội đồng, không chỉ là một dự án triển khai kỹ thuật. Các giám đốc cần hiểu AI có thể tạo giá trị ở đâu, chất vấn những giả định của ban điều hành và bảo đảm việc ứng dụng công nghệ vẫn có trách nhiệm, minh bạch và đủ khả năng chống chịu.

Câu hỏi đầu tiên: AI sẽ cải thiện kết quả nào?

Theo cẩm nang, hội đồng nên đánh giá khoản đầu tư vào AI dựa trên đóng góp dự kiến cho tổ chức. Một đề án đáng tin cậy có thể nhắm đến doanh thu, năng suất, chất lượng dịch vụ, chất lượng quyết định, giảm rủi ro hoặc khả năng duy trì hoạt động khi có gián đoạn. Điều quan trọng là phải xác định kết quả cần đạt trước khi phê duyệt đầu tư, sau đó đo xem kết quả ấy có thực sự xuất hiện hay không.

Điều này đòi hỏi phân biệt chỉ số hiệu quả với chỉ số hoạt động. Số lượng dự án thử nghiệm, giấy phép phần mềm đã mua hay nhân viên đã được đào tạo có thể cho thấy tổ chức đang nỗ lực, nhưng không chứng minh chương trình AI tạo ra giá trị. Hội đồng nên yêu cầu ban điều hành báo cáo kết quả đã đạt được, chi phí, giới hạn và rủi ro bên cạnh các số liệu về mức độ sử dụng.

Cách tiếp cận này cũng giúp tránh hai thất bại phổ biến: phê duyệt hàng loạt thử nghiệm rời rạc nhưng không có đường hướng mở rộng, hoặc ngăn cản một ứng dụng hữu ích vì chưa ai định nghĩa thế nào là thành công. Việc cẩm nang tập trung vào chiến lược, lựa chọn trường hợp sử dụng và lợi tức đầu tư nhằm kết nối chi tiêu cho AI với các ưu tiên rộng hơn của tổ chức.

Đưa việc nhân viên tự thử AI vào khuôn khổ quản trị

Nhân viên có thể đã sử dụng các công cụ AI không chính thức hoặc tự xây dựng quy trình làm việc riêng. Theo hướng tiếp cận được khuyến nghị, tổ chức không nên làm ngơ trước hoạt động này. Thay vào đó, cần biến những thử nghiệm hữu ích thành năng lực có thể quản lý ở cấp doanh nghiệp.

Hội đồng nên yêu cầu ban điều hành nắm được những công cụ và trường hợp sử dụng nào đang tồn tại, ai chịu trách nhiệm, các công cụ đó xử lý dữ liệu gì và đang áp dụng biện pháp kiểm soát nào. Cẩm nang cũng đề cập việc lập hồ sơ cho các công cụ được xây dựng bằng AI, thiết lập cơ chế quản trị khi sử dụng và bảo đảm các yêu cầu an toàn được đáp ứng.

Trên thực tế, điều này cần một bộ quy tắc chung về công cụ được phê duyệt, thông tin nhạy cảm, trách nhiệm giải trình, giám sát và cơ chế báo cáo, xử lý vấn đề. Tổ chức cũng cần nhận diện và phát triển năng lực AI vốn đã có trong đội ngũ, thay vì coi việc ứng dụng chỉ là mệnh lệnh áp xuống từ cấp lãnh đạo.

Một chiến lược không đi kèm kế hoạch kỹ năng, mô hình phân công trách nhiệm và kỷ luật vận hành sẽ khó chuyển từ thử nghiệm sang triển khai ổn định.

Toàn hội đồng cần đủ hiểu biết để chất vấn ban điều hành

Cẩm nang xem hiểu biết về AI là một năng lực của hội đồng quản trị. Không phải giám đốc nào cũng cần trở thành kỹ sư học máy, nhưng toàn hội đồng phải hiểu AI có thể tác động thế nào đến ngành, mô hình vận hành, cạnh tranh, quá trình ra quyết định và rủi ro.

Một số giám đốc cần đủ khả năng chất vấn các giả định, tuyên bố về giá trị và đánh giá rủi ro của ban điều hành. Hội đồng cũng nên có ít nhất một người — có thể là giám đốc, cố vấn hoặc thành viên ủy ban — sở hữu chiều sâu kỹ thuật cần thiết để phản biện các lựa chọn về hệ thống, dữ liệu, kiểm thử và biện pháp kiểm soát.

Đây là yêu cầu cao hơn việc giao AI cho một ủy ban công nghệ rồi chỉ nhận báo cáo định kỳ. AI cần trở thành một phần trong hoạt động giám sát chiến lược và trách nhiệm ủy thác của hội đồng, đồng thời hội đồng vẫn phải tìm đến chuyên gia khi câu hỏi kỹ thuật vượt quá chuyên môn nội bộ.

Phân định quyền quyết định trước khi hệ thống đi vào hoạt động

Quản trị AI chỉ trở nên thực chất khi tổ chức xác định rõ ai có quyền phê duyệt, vận hành, giám sát và dừng một hệ thống AI. Hội đồng nên yêu cầu các ranh giới ra quyết định dựa trên mức độ rủi ro, trong đó phân biệt:

• những quyết định ban điều hành có thể đưa ra trong giới hạn đã được phê duyệt;
• những quyết định phải được chuyển lên hội đồng hoặc ủy ban để xem xét; và
• những quyết định AI tuyệt đối không được tự động đưa ra.

Hậu quả càng nghiêm trọng thì biện pháp kiểm soát càng phải chặt chẽ. Với các ứng dụng tác động lớn đến việc làm — như tuyển dụng, thăng chức, chấm dứt hợp đồng hoặc đánh giá hiệu suất — hội đồng nên đặt ra “lằn ranh đỏ” rõ ràng: phải có sự xem xét thực chất của con người và người ra quyết định cuối cùng phải chịu trách nhiệm.

Đầu ra của AI không được biến thành một phán quyết tự động, không thể kiểm tra, về sinh kế của một người.

Nguyên tắc này phù hợp với kỳ vọng quản trị rộng hơn rằng AI nên hỗ trợ, thay vì âm thầm thay thế, phán đoán của con người. Trước khi hệ thống được đưa vào vận hành, tổ chức cần xác định rõ người sở hữu, ngưỡng phê duyệt, điểm bắt buộc có giám sát của con người và quy trình dừng hệ thống.

Kiểm tra tính công bằng, chất lượng dữ liệu và quyền khiếu nại

Một quy trình phê duyệt có trách nhiệm không thể chỉ dừng ở việc mô hình hoạt động tốt trên mức trung bình. Hội đồng nên đặt câu hỏi về cách tổ chức kiểm tra chất lượng dữ liệu, ghi nhận các giới hạn, rà soát thiên lệch và theo dõi hiệu quả sau khi triển khai.

Khi một hệ thống AI có ảnh hưởng đáng kể đến con người, người bị tác động cần có cách thức thực chất để hiểu quyết định, phản đối kết quả và yêu cầu con người xem xét lại. Lời giải thích không nhất thiết phải tiết lộ bí mật kỹ thuật độc quyền, nhưng phải đủ để phục vụ việc kiểm tra trách nhiệm và kháng nghị.

Đây là một phần của môi trường kiểm soát rộng hơn. Các tài liệu về quản trị doanh nghiệp của Singapore nhấn mạnh yêu cầu ra quyết định bằng AI phải minh bạch, có trách nhiệm, đồng thời chú ý đến các chuẩn mực pháp lý và đạo đức. Vai trò của hội đồng là bảo đảm những kỳ vọng này được chuyển thành quy trình có hồ sơ, người phụ trách và bằng chứng — thay vì chỉ dừng ở các nguyên tắc chung.

Xem AI là một phần của khả năng chống chịu an ninh mạng

AI tạo ra bài toán an ninh hai chiều. Tổ chức phải chuẩn bị trước các hình thức lừa đảo qua email có hỗ trợ AI, kỹ thuật thao túng tâm lý, gian lận, tấn công tự động và việc phát hiện lỗ hổng nhanh hơn. Đồng thời, chính các hệ thống AI cũng cần được bảo vệ trước nguy cơ rò rỉ dữ liệu, tấn công chèn lệnh, thao túng mô hình và điểm yếu từ nhà cung cấp hoặc bên thứ ba.

Vì vậy, hội đồng nên bảo đảm rủi ro AI xuất hiện trong báo cáo về khả năng chống chịu mạng, hoạt động bảo đảm và kế hoạch ứng phó sự cố — không bị tách riêng trong một “ốc đảo” công nghệ. Các câu hỏi thiết yếu gồm: ai có thể vô hiệu hóa hệ thống, sự cố được báo cáo ra sao, dữ liệu và quyết định bị ảnh hưởng sẽ được điều tra thế nào, tổ chức khôi phục ra sao nếu dịch vụ AI ngừng hoạt động hoặc bị xâm nhập?

Cách nhấn mạnh này mở rộng những kỳ vọng hiện có đối với khả năng chống chịu mạng và quản trị rủi ro. Hướng dẫn về an ninh mạng của SID cũng coi khả năng chống chịu là yếu tố cần được tích hợp vào chiến lược doanh nghiệp, chứ không chỉ là nhiệm vụ kỹ thuật.

Hệ thống càng quan trọng, tiêu chuẩn càng phải cao

Hậu quả của một sự cố AI thay đổi đáng kể tùy theo trường hợp sử dụng. Một công cụ tăng năng suất nội bộ với rủi ro thấp không thể được quản lý theo cùng tiêu chuẩn với hệ thống hỗ trợ dịch vụ thiết yếu, hạ tầng quan trọng hoặc các hoạt động có hậu quả nghiêm trọng.

Trong những môi trường này, hội đồng nên yêu cầu tiêu chuẩn chặt chẽ hơn về khả năng chống chịu, bảo mật, kiểm thử, giám sát, báo cáo và khôi phục. Lý do rất rõ ràng: sự cố hoặc hành vi xâm nhập không chỉ ảnh hưởng đến tài chính hay danh tiếng của một tổ chức, mà còn có thể làm gián đoạn dịch vụ quan trọng và gây hệ quả vận hành rộng hơn.

Cách tiếp cận dựa trên rủi ro của cẩm nang không đối xử với mọi ứng dụng AI như nhau. Thay vào đó, cách phân quyền và kiểm soát phải tương xứng với mức độ tác động nếu hệ thống thất bại.

Một bảng điều hành thực tế cho các trường hợp sử dụng AI quan trọng

Các khuyến nghị của cẩm nang có thể được chuyển thành một sổ đăng ký hoặc bảng điều hành ngắn gọn ở cấp hội đồng. Với mỗi trường hợp sử dụng AI quan trọng, ban điều hành cần xác định được:

1. Chủ sở hữu: người chịu trách nhiệm về hệ thống và kết quả của hệ thống.
2. Kết quả kinh doanh dự kiến: mục tiêu và cách đo lường thành công.
3. Quyền ra quyết định: các ngưỡng phê duyệt và chuyển cấp.
4. Nguồn dữ liệu và quy tắc xử lý: dữ liệu nào được sử dụng và được quản lý ra sao.
5. Mức độ rủi ro: cấp rủi ro và lý do phân loại.
6. Biện pháp kiểm soát: gồm kiểm tra bảo mật, tính công bằng và chất lượng dữ liệu.
7. Điểm giám sát của con người: thời điểm con người phải can thiệp và người chịu trách nhiệm cho quyết định cuối cùng.
8. Kết quả kiểm thử và giám sát: bao gồm các giới hạn đã biết.
9. Sự cố, khiếu nại hoặc kháng nghị: cách xử lý và kết quả giải quyết.
10. Ngày đánh giá tiếp theo: hoặc điều kiện kích hoạt một cuộc rà soát mới.

Cấu trúc này đặt việc tạo giá trị và quản trị rủi ro vào cùng một hồ sơ. Nhờ đó, giám đốc có bằng chứng cụ thể để chất vấn, thay vì chỉ dựa vào tuyên bố chung rằng tổ chức đang “sử dụng AI có trách nhiệm”.

Điều các giám đốc cần làm ngay

Cẩm nang của SID không coi mở rộng ứng dụng AI và quản trị AI là hai lựa chọn đối lập. Tài liệu kêu gọi hội đồng theo đuổi những ứng dụng hữu ích với cùng mức kỷ luật dành cho các khoản đầu tư chiến lược quan trọng khác: xác định giá trị, phân công trách nhiệm, hiểu rủi ro, kiểm thử biện pháp kiểm soát và xem xét kết quả.

Việc cần làm trước mắt là đưa AI vào chương trình nghị sự thường kỳ của hội đồng, rà soát các trường hợp sử dụng quan trọng và tìm khoảng trống về hiểu biết, quyền sở hữu, quyền ra quyết định, giám sát của con người, kiểm thử và khả năng chống chịu.

Chiến lược AI mạnh nhất không phải là chiến lược có nhiều hoạt động nhất. Đó là chiến lược mà hội đồng có thể giải thích, đo lường và quản trị.