Chính sách AI cho nhóm nhỏ: Bản mẫu khởi đầu một trang

Chính sách AI của một nhóm nhỏ là một bộ quy tắc ngắn gọn bằng văn bản, quy định công cụ AI nào nhân viên được phép dùng, dữ liệu nào được phép đưa vào, ai là người kiểm duyệt kết quả đầu ra và phải làm gì khi có sự cố xảy ra. Đối với các công ty dưới 50 người, một trang là đủ. Mục tiêu không phải là làm chậm tiến độ làm việc, mà là biến việc sử dụng an toàn thành mặc định để bạn có thể ứng dụng AI nhanh hơn với ít rủi ro hơn.

Chính sách AI cho nhóm nhỏ là gì?#

Chính sách AI là một thỏa thuận bằng văn bản trong nội bộ công ty về cách thức các công cụ AI được sử dụng, với dữ liệu nào và dưới trách nhiệm của ai. Đây không phải là một văn bản pháp lý rườm rà và cũng không phải là danh sách cấm đoán.

Đối với một doanh nghiệp lớn, quản trị AI đồng nghĩa với các ủy ban, bảng đăng ký rủi ro và các đợt kiểm toán. Đối với một doanh nghiệp mười người, nó chỉ đơn giản là trả lời năm câu hỏi thực tế:

• Chúng ta được phép sử dụng những công cụ nào?
• Thông tin nào tuyệt đối không bao giờ được rời khỏi công ty?
• Ai là người kiểm tra kết quả đầu ra trước khi đem vào sử dụng thực tế?
• Một agent tự động được phép tự làm những gì?
• Báo cho ai khi có sự cố xảy ra?

Nếu chính sách của bạn trả lời rõ ràng năm câu hỏi đó, nó đã tốt hơn hầu hết các bản chính sách hiện có.

Tại sao một công ty nhỏ lại cần chính sách AI?#

Bởi vì đội ngũ của bạn gần như chắc chắn đã và đang sử dụng AI, dù bạn có viết quy tắc hay không. Rủi ro không nằm ở bản thân công nghệ; nó nằm ở việc sử dụng tùy tiện, không minh bạch.

Các tình huống thất bại phổ biến ở các công ty nhỏ là:

• Shadow AI: Nhân viên dán danh sách khách hàng, hợp đồng hoặc báo cáo tài chính vào tài khoản chatbot cá nhân vì làm như vậy nhanh hơn.
• Đầu ra không được kiểm soát: Một bản báo giá, tin nhắn hoàn tiền hoặc cam kết về sản phẩm được gửi đi với một chi tiết sai lệch nhưng được trình bày rất tự tin.
• Không có trách nhiệm giải trình: Khi một thông điệp do AI viết gây ra sự cố, không ai đứng ra chịu trách nhiệm.
• Chất lượng không đồng đều: Một nhân viên nhận được kết quả xuất sắc từ AI, người khác lại nhận về kết quả đáng xấu hổ, và khách hàng nhìn thấy cả hai điều đó.
• Niềm tin của khách hàng và tính tuân thủ: Khách hàng và đối tác ngày càng hỏi nhiều hơn về cách dữ liệu của họ được xử lý, và luật bảo vệ dữ liệu cá nhân tại địa phương áp dụng cho bạn bất kể quy mô công ty lớn hay nhỏ.

Chính sách này cũng mang lại giá trị tích cực. Khi mọi người nắm rõ ranh giới, họ sẽ tự tin thử nghiệm hơn — đó chính là điều bạn mong muốn nếu đang hướng tới mức tăng năng suất đã thảo luận trong hướng dẫn về ROI của chúng tôi.

Chính sách AI một trang nên bao gồm những gì?#

Tám phần ngắn là đủ. Mỗi phần nên gói gọn từ hai đến năm dòng.

1. Mục đích. Một câu: chúng ta sử dụng AI để tiết kiệm thời gian và nâng cao chất lượng dịch vụ, đồng thời bảo vệ dữ liệu khách hàng và công ty trong quá trình đó.
2. Công cụ được phê duyệt. Danh sách tên các công cụ và loại tài khoản được phép sử dụng (tài khoản công ty hoặc tài khoản doanh nghiệp, không dùng tài khoản cá nhân miễn phí). Bất kỳ công cụ nào ngoài danh sách đều cần sự phê duyệt của người phụ trách.
3. Quy tắc dữ liệu. Phân loại theo hệ thống đèn giao thông bên dưới.
4. Kiểm duyệt của con người. Những kết quả đầu ra nào bắt buộc phải có người chịu trách nhiệm kiểm duyệt trước khi sử dụng.
5. Tính minh bạch. Khi nào cần thông báo cho khách hàng hoặc đối tác biết có sự tham gia của AI.
6. AI agent và tự động hóa. Những hệ thống tự động được phép truy cập và thực hiện những tác vụ gì.
7. Sự cố. Cách thức báo cáo sai sót hoặc rò rỉ dữ liệu, đảm bảo không đổ lỗi khi báo cáo kịp thời.
8. Quyền sở hữu và rà soát. Một người cụ thể đứng tên chịu trách nhiệm chính sách và ngày rà soát định kỳ hàng quý.

Làm thế nào để quyết định dữ liệu nào được đưa vào công cụ AI?#

Hãy sử dụng mô hình đèn giao thông ba cấp độ. Đây là phần hữu ích nhất của tài liệu vì nhân viên có thể áp dụng ngay trong vài giây.

Hai lưu ý thực tế: Đầu tiên, hãy kiểm tra cài đặt và điều khoản của từng công cụ được phê duyệt để biết dữ liệu đầu vào của bạn có bị dùng để huấn luyện mô hình hoặc bị lưu giữ hay không, và ưu tiên chọn các gói doanh nghiệp (business plan) cho phép bạn kiểm soát điều đó. Thứ hai, hãy kiểm tra quy định bảo vệ dữ liệu cá nhân tại các quốc gia bạn hoạt động, vì các yêu cầu trên khắp Đông Nam Á có sự khác biệt. Đây là việc cần tham vấn một cố vấn pháp lý địa phương có chuyên môn, chứ không nên tự suy đoán.

Ai nên kiểm duyệt đầu ra của AI trước khi phát hành?#

Một quy tắc đơn giản: kết quả đầu ra càng khó đảo ngược hoặc càng hướng trực tiếp tới khách hàng, thì càng bắt buộc phải có con người kiểm tra kỹ lưỡng.

• Luôn được kiểm duyệt bởi một người cụ thể: giá cả và báo giá, hợp đồng, tin nhắn hoàn tiền và tuân thủ, số liệu tài chính, các tuyên bố về sức khỏe hoặc an toàn, bất cứ thứ gì phát hành dưới danh nghĩa công ty.
• Kiểm tra đột xuất (spot-check): phản hồi khách hàng thường nhật, bài đăng mạng xã hội, mô tả sản phẩm, tóm tắt nội quy nội bộ.
• Không cần kiểm duyệt: lên ý tưởng (brainstorming), hỗ trợ viết nháp cá nhân, định dạng văn bản.

Viết một câu làm rõ trách nhiệm: người gửi hoặc phát hành sản phẩm có sự hỗ trợ của AI phải chịu hoàn toàn trách nhiệm về sản phẩm đó. Câu nói đó sẽ loại bỏ lý do ngụy biện rằng "tại AI làm".

Những quy tắc nào nên áp dụng cho AI agent?#

Một AI agent là phần mềm sử dụng AI để thực hiện các tác vụ gồm nhiều bước, chẳng hạn như đọc tin nhắn, tra cứu dữ liệu và thực hiện hành động mà chỉ cần sự can thiệp hạn chế của con người. Các agent xứng đáng có một phần quy định riêng vì chúng có khả năng hành động, không chỉ dừng lại ở việc đưa ra lời khuyên.

Các quy tắc khởi đầu cho agent:

• Đặc quyền tối thiểu (least privilege): chỉ cấp cho agent quyền truy cập vào các hệ thống và dữ liệu mà tác vụ của nó thực sự cần. Ưu tiên quyền chỉ đọc (read-only) trước tiên.
• Hạn mức chi tiêu và hành động: đặt giới hạn tối đa cho số tiền hoàn lại, mức chiết khấu, đơn hàng hoặc tin nhắn được gửi đi mà không cần phê duyệt trước.
• Con người phê duyệt khi liên quan đến tiền và xóa dữ liệu: bất kỳ thao tác nào liên quan đến thanh toán, hoàn tiền, xóa dữ liệu khách hàng hoặc thay đổi hợp đồng đều cần có người tham gia xác nhận (human-in-the-loop).
• Ghi nhật ký (logging): lưu trữ lịch sử những gì agent đã thực hiện và lý do tại sao, để bạn có thể kiểm toán và khắc phục khi có lỗi.
• Công tắc ngắt khẩn cấp (kill switch): chỉ định một người có quyền tắt agent ngay lập tức khi cần.
• Kiểm thử trước khi chạy thực tế: cho agent chạy thử nghiệm trên một phần việc nhỏ, ít rủi ro trong vài tuần trước khi mở rộng quy mô.

Ví dụ, một cửa hàng bán lẻ nhỏ có thể để agent soạn thảo phản hồi cho các câu hỏi của khách hàng và gợi ý đơn đặt hàng bổ sung, trong khi người quản lý sẽ phê duyệt từng đơn mua hàng và từng khoản hoàn tiền.

Bản mẫu một trang để sao chép và tùy biến#

Hãy điều chỉnh ngôn từ cho phù hợp với doanh nghiệp của bạn:

• Mục đích: Chúng tôi sử dụng AI để làm việc nhanh hơn và phục vụ khách hàng tốt hơn, đồng thời bảo vệ dữ liệu của khách hàng và công ty.
• Công cụ: Chỉ sử dụng các công cụ trong danh mục đã được phê duyệt, thông qua tài khoản công ty. Công cụ mới cần sự chấp thuận từ [Người phụ trách].
• Dữ liệu: Dữ liệu vùng Đỏ tuyệt đối không đưa vào công cụ AI. Dữ liệu vùng Vàng chỉ đưa vào các công cụ doanh nghiệp đã được phê duyệt sau khi đã xóa định danh. Dữ liệu vùng Xanh được tự do sử dụng.
• Kiểm duyệt: Kết quả AI tạo ra ảnh hưởng đến giá cả, hợp đồng, thanh toán hoặc phát ngôn công khai phải được kiểm tra bởi một người chịu trách nhiệm cụ thể. Ai gửi đi, người đó chịu trách nhiệm.
• Minh bạch: Chúng tôi không mạo nhận sản phẩm do AI tạo ra là do con người làm trong những trường hợp quan trọng đối với khách hàng, và sẽ công khai việc dùng AI khi có yêu cầu hoặc được kỳ vọng.
• Agent: Mặc định chỉ đọc, giới hạn hành động, con người phê duyệt các thao tác tiền tệ, luôn bật log, chỉ định người giữ kill switch.
• Sự cố: Báo cáo sai sót hoặc rò rỉ dữ liệu cho [Người phụ trách] ngay lập tức. Báo cáo nhanh chóng sẽ được khuyến khích, không bị xử phạt.
• Người sở hữu và rà soát: [Họ tên] chịu trách nhiệm về chính sách này. Chúng tôi rà soát lại chính sách vào mỗi quý.

Làm thế nào để triển khai chính sách này qua 5 bước?#

1. Khảo sát việc sử dụng hiện tại (30 phút). Hỏi nhóm xem họ đang dùng công cụ AI nào và dùng để làm gì. Hãy coi đây là một cuộc trao đổi để tìm hiểu, không phải một cuộc điều tra.
2. Soạn thảo văn bản. Sử dụng bản mẫu ở trên và giới hạn nội dung trong đúng một trang.
3. Chọn công cụ được duyệt. Chọn ra một vài công cụ, kiểm tra cài đặt dữ liệu và chuyển nhóm sang sử dụng tài khoản doanh nghiệp.
4. Tổ chức buổi phổ biến ngắn (20 phút). Đi qua nguyên tắc đèn giao thông với các ví dụ thực tế từ chính quy trình làm việc của bạn.
5. Đặt lịch rà soát. Đặt nhắc nhở định kỳ hàng quý trên lịch để cập nhật lại danh sách công cụ và quy tắc.

Các nhóm nhỏ thường mắc phải sai lầm gì với chính sách AI?#

• Viết quá dài. Một chính sách không ai đọc cũng tương đương với việc không có chính sách nào cả.
• Cấm đoán mọi thứ. Những lệnh cấm cứng nhắc chỉ đẩy việc sử dụng vào vòng bí mật (shadow AI), điều này còn tồi tệ hơn là sử dụng có định hướng.
• Bỏ quên các agent. Quy tắc dành cho việc sử dụng chatbot đơn thuần không bao quát được các hệ thống tự thực hiện hành động.
• Không có người sở hữu. Chính sách không gắn liền với tên một người chịu trách nhiệm cụ thể sẽ rơi vào quên lãng chỉ sau vài tháng.
• Viết xong rồi bỏ xó. Công cụ, điều khoản dịch vụ và quy định pháp lý luôn thay đổi; việc rà soát hàng quý sẽ giúp văn bản giữ được tính thực tế.

Điều này kết nối thế nào với phần còn lại của vận hành?#

Chính sách AI hoạt động hiệu quả nhất khi được đồng bộ với các cơ chế kiểm soát thường nhật của bạn. Nếu AI can thiệp vào hoạt động bán hàng, thanh toán hoặc dữ liệu khách hàng thân thiết, hãy áp dụng cùng một kỷ luật mà bạn dùng cho các hệ thống đó: giới hạn quyền truy cập, quy trình phê duyệt minh bạch và lưu trữ hồ sơ đầy đủ. Tại GoMetap, nơi chúng tôi làm việc về mảng thanh toán và giữ chân khách hàng cho các SME, nguyên tắc chúng tôi luôn tuân thủ là tự động hóa phải giúp quy trình trở nên dễ truy vết hơn, chứ không phải mập mờ hơn. Logic tương tự cũng áp dụng hoàn toàn cho AI.

Điểm mấu chốt#

Bạn không cần cả một phòng ban pháp chế để sử dụng AI một cách có trách nhiệm. Bạn chỉ cần một trang văn bản, quy tắc dữ liệu rõ ràng, người kiểm duyệt cụ thể cho các đầu ra quan trọng, giới hạn chặt chẽ cho agent và một người chịu trách nhiệm quản lý tài liệu. Hãy viết nó ngay trong tuần này, thử nghiệm với công việc thực tế và cải thiện qua từng quý. Những công ty ứng dụng AI thành công sẽ là những bên biết cách biến con đường an toàn thành con đường dễ đi nhất.