# Hướng dẫn phân loại rủi ro cao theo Đạo luật Trí tuệ nhân tạo: Hướng dẫn dành cho các doanh nghiệp vừa và nhỏ

> Hướng dẫn phân loại rủi ro cao theo Đạo luật AI dành cho bạn. Tìm hiểu các tiêu chí, nghĩa vụ và cách chuẩn bị cho doanh nghiệp vừa và nhỏ của bạn với danh sách kiểm tra của chúng tôi. Bắt đầu ngay bây giờ.

Source: https://www.electe.net/vi/post/ai-act-high-risk-classification-guide

Site guide: https://www.electe.net/vi/llms.txt

Có lẽ bạn đang đối mặt với một tình huống rất thực tế. Bạn đã triển khai một hệ thống phân tích để dự báo doanh số, một công cụ đánh giá khách hàng hoặc một công cụ sàng lọc hồ sơ ứng viên. Rồi bạn đọc thấy các từ như “AI Act”, “rủi ro cao”, “phạt tiền”, và cảm giác ngay lập tức ập đến: thêm phức tạp, thêm chi phí, thêm rủi ro.

Phản ứng đó là điều dễ hiểu, nhưng vấn đề thực sự lại nằm ở chỗ khác. Đạo luật AI không trừng phạt những ai sử dụng AI. Nó trừng phạt những ai sử dụng AI mà không nhận thức được tác động của nó đối với con người, quyền lợi và an ninh. Đối với một doanh nghiệp vừa và nhỏ, sự phân biệt này thay đổi hoàn toàn cục diện. Nó giúp bạn tránh việc coi mọi dự án AI như một vấn đề pháp lý không thể giải quyết được, đồng thời cho phép bạn tập trung thời gian và ngân sách vào những nơi thực sự cần thiết.

Cũng có một lý do chiến lược để giải quyết vấn đề này ngay bây giờ. Các doanh nghiệp vừa và nhỏ (SME) của Ý chiếm **95% số doanh nghiệp**, nhưng chỉ **15%** đã triển khai hệ thống AI tiên tiến cho analytics, với khoảng cách **40%** so với mức trung bình EU do các rào cản quy định, theo [dữ liệu được trích dẫn trong phân tích về Article 6 của AI Act](https://artificialintelligenceact.eu/article/6/). Trên thực tế, nhiều công ty dừng lại không phải vì AI không cần thiết, mà vì việc tuân thủ có vẻ mơ hồ.

Hướng dẫn này làm một việc đơn giản. Nó chuyển đổi việc phân loại **high-risk** thành các quyết định vận hành cụ thể cho SME Ý. Không có thuật ngữ vô ích. Không gây hoang mang. Với một logic rõ ràng về những gì cần xem xét, cách đánh giá bản thân và nơi cần can thiệp.

## Mục lục

- [AI Act đã có hiệu lực. Doanh nghiệp của bạn đã sẵn sàng chưa?](#lai-act-e-qui-la-tua-azienda-e-pronta)
- [Một quy định quan trọng ngay cả khi bạn không phát triển mô hình](#un-regolamento-che-conta-anche-se-non-sviluppi-modelli)
- [Tại sao nên hành động trước](#perche-conviene-muoversi-prima)
- [High-risk không có nghĩa là AI xấu](#high-risk-non-vuol-dire-ai-cattiva)
- [Hai con đường xác định việc phân loại](#i-due-percorsi-che-determinano-la-classificazione)
- [Tám lĩnh vực của Annex III](#le-otto-aree-dell-annex-iii)
- [Khi nào Annex I cũng quan trọng](#quando-conta-anche-l-annex-i)
- [Các ngoại lệ cần được chứng minh](#le-eccezioni-vanno-dimostrate)
- [Bán lẻ và tối ưu hóa tồn kho](#retail-e-ottimizzazione-inventario)
- [Chấm điểm tín dụng và tiếp cận tín dụng](#credit-scoring-e-accesso-al-credito)
- [AML và hệ thống báo cáo](#aml-e-sistemi-di-segnalazione)
- [Các nghĩa vụ thực sự quan trọng](#gli-obblighi-che-contano-davvero)
- [Bảng thực hành cho một SME](#tabella-pratica-per-una-pmi)
- [Những câu hỏi bạn cần trả lời ngay](#le-domande-che-devi-chiudere-subito)
- [Các dấu hiệu cần leo thang xử lý ngay lập tức](#segnali-che-richiedono-escalation-immediata)
- [Kết quả cần đạt được từ danh sách kiểm tra này](#cosa-deve-uscire-da-questa-checklist)
- [Nơi công nghệ thực sự giúp ích](#dove-la-tecnologia-aiuta-davvero)
- [Tuân thủ và business intelligence phải hoạt động cùng nhau](#compliance-e-business-intelligence-devono-lavorare-insieme)
- [Biến nghĩa vụ pháp lý thành lợi thế cạnh tranh](#trasforma-lobbligo-normativo-in-vantaggio-competitivo)

## Luật AI đã có hiệu lực. Công ty của bạn đã sẵn sàng chưa?

Một doanh nhân trong lĩnh vực bán lẻ triển khai hệ thống trí tuệ nhân tạo (AI) để dự báo nhu cầu và lượng hàng tồn kho. Một giám đốc tài chính sử dụng mô hình phân tích để đánh giá các đơn xin vay vốn. Một giám đốc nhân sự đang thử nghiệm phần mềm sắp xếp hồ sơ xin việc. Không ai trong số họ nghĩ rằng mình đang bước vào một lĩnh vực chịu sự quản lý chặt chẽ với tác động lớn. Thế nhưng, chính từ đây, những rắc rối bắt đầu nảy sinh.

Khó khăn không nằm ở nội dung của đạo luật. Vấn đề nằm ở chỗ nhiều doanh nghiệp vừa và nhỏ coi các công cụ của mình chỉ là những hệ thống tự động hóa hoạt động đơn thuần, trong khi trên thực tế, một số công cụ này lại ảnh hưởng đến việc tiếp cận việc làm, các dịch vụ thiết yếu hoặc các quyết định có tác động đáng kể đến con người. Đạo luật về Trí tuệ nhân tạo (AI Act) chính xác là nhắm vào điểm đó.

> Không cần phải là một công ty phần mềm để nằm trong phạm vi của AI Act. Chỉ cần sử dụng AI trong các quy trình thực sự có tác động là đủ.

Nếu bạn sử dụng analytics, chấm điểm, xếp hạng hoặc hệ thống dự đoán, câu hỏi không phải là liệu AI Act có liên quan đến bạn hay không. Câu hỏi đúng là: **hệ thống nào của bạn có thể rơi vào phân loại high-risk, và với những hệ quả vận hành nào**.

Tin tốt là logic này không phải là ngẫu nhiên. Nó có một cấu trúc rõ ràng. Nếu bạn hiểu được điều này, bạn có thể phân biệt các trường hợp thông thường với các trường hợp nhạy cảm, ghi chép kỹ lưỡng các trường hợp ngoại lệ và thiết lập việc tuân thủ như một quy trình kinh doanh có thể quản lý được. Đối với một doanh nghiệp vừa và nhỏ đầy tham vọng, đây không chỉ đơn thuần là một thủ tục pháp lý. Đây là cách để bảo vệ sự phát triển, danh tiếng và khả năng ứng dụng AI một cách tự tin.

## Đạo luật AI là gì và tại sao nó lại quan trọng đối với doanh nghiệp vừa và nhỏ của bạn

Đạo luật về Trí tuệ nhân tạo (AI Act) nên được xem như một cẩm nang của châu Âu về việc sử dụng trí tuệ nhân tạo một cách đáng tin cậy. Đạo luật này không được ban hành nhằm cản trở sự đổi mới. Mục đích của nó là điều chỉnh các quy định dựa trên mức độ rủi ro. Càng hệ thống AI có tác động lớn đến an ninh hoặc các quyền cơ bản, thì các nghĩa vụ phải tuân thủ càng tăng lên.

### Một quy định vẫn có giá trị ngay cả khi bạn không phát triển các mô hình

Nhiều doanh nghiệp vừa và nhỏ mắc phải một sai lầm cơ bản. Họ cho rằng quy định này chỉ áp dụng cho những người phát triển mô hình trí tuệ nhân tạo. Thực tế không phải vậy. Nếu bạn sử dụng các hệ thống trí tuệ nhân tạo để hỗ trợ các quyết định kinh doanh quan trọng, thì bạn đã nằm trong phạm vi điều chỉnh của quy định này rồi.

Một ví dụ minh họa phù hợp là dây an toàn. Nếu bạn lái xe chậm trong bãi đỗ xe, mức độ bảo vệ cần thiết là tối thiểu. Nếu bạn đang chạy với tốc độ cao trên đường cao tốc, các biện pháp an toàn phải được áp dụng nghiêm ngặt. Trong lĩnh vực trí tuệ nhân tạo (AI), tình huống cũng tương tự. Một hệ thống chỉ đề xuất các sản phẩm tương tự sẽ có tác động hạn chế. Ngược lại, một hệ thống ảnh hưởng đến việc tiếp cận tín dụng, tuyển dụng nhân sự hoặc các dịch vụ thiết yếu lại thuộc một phạm trù khác.

Để có cái nhìn tổng quan giới thiệu rộng hơn về quy định này, cũng nên đọc thêm [hướng dẫn này của ELECTE về European AI Act](https://www.electe.net/post/european-ai-act).

### Tại sao nên hành động sớm

Đối với một doanh nghiệp vừa và nhỏ (SME) của Ý, Đạo luật về Trí tuệ nhân tạo (AI Act) tác động đến ba lĩnh vực rất cụ thể:

- **Rủi ro pháp lý và vận hành**. Nếu bạn phân loại sai một hệ thống, bạn sẽ đưa ra các quyết định sai về kiểm soát, tài liệu và quản trị.
- **Niềm tin thương mại**. Khách hàng, đối tác và nhà đầu tư bắt đầu yêu cầu bằng chứng về độ tin cậy, chứ không chỉ hiệu suất.
- **Khả năng mở rộng**. Việc sử dụng AI có tổ chức và được tài liệu hóa giúp việc phát triển, tích hợp quy trình mới và đối mặt với các cuộc kiểm toán trở nên dễ dàng hơn.

> **Quy tắc thực hành:** nếu hệ thống AI của bạn ảnh hưởng đến con người, khả năng tiếp cận cơ hội hoặc an toàn, hãy coi đó là vấn đề quản trị trước khi coi là vấn đề IT.

Cách tiếp cận này hữu ích hơn so với phản ứng hoảng loạn trước các quy định như thường thấy. Nó giúp bạn lập bản đồ các trường hợp sử dụng một cách nghiêm túc và xác định rõ những trường hợp nào tuân thủ là yêu cầu bắt buộc, còn những trường hợp nào chỉ cần một bản đánh giá được ghi chép đầy đủ là đủ.

## Giải thích đơn giản về khái niệm AI rủi ro cao

Việc phân loại **high-risk** không phải là một phán xét đạo đức về công nghệ. Nó không có nghĩa là hệ thống đó sai, nguy hiểm tuyệt đối hoặc cần tránh. Nó có nghĩa là hệ thống hoạt động trong các bối cảnh mà một lỗi, một thiên vị hoặc một quyết định mơ hồ có thể gây ra những hậu quả quan trọng đối với con người thật.

### "Rủi ro cao" không có nghĩa là AI xấu

Một công cụ đề xuất phim cho bạn có thể mắc sai lầm mà không gây ra hậu quả nghiêm trọng. Tệ nhất là bạn chỉ mất vài phút. Tuy nhiên, một hệ thống đánh giá đơn xin vay vốn, sàng lọc ứng viên hoặc hỗ trợ ra quyết định trong lĩnh vực y tế lại không có được sự dư địa đó. Nếu hệ thống mắc sai lầm, điều đó không chỉ gây phiền toái. Nó còn có thể hạn chế khả năng tiếp cận các cơ hội, dịch vụ hoặc các biện pháp bảo vệ.

Đây là logic cần ghi nhớ. AI Act tập trung vào bối cảnh sử dụng và mức độ nghiêm trọng của hậu quả. Đây là một cách tiếp cận đúng đắn. Quá thường xuyên, các công ty tập trung vào khả năng kỹ thuật của mô hình và bỏ qua điểm cốt lõi: **quyết định đó ảnh hưởng thế nào đến cuộc sống của con người?**

Đối với những ai muốn thoát khỏi lý thuyết và xem các ứng dụng gần với thực tế doanh nghiệp hơn, những [nghiên cứu tình huống thực tế về Trí tuệ nhân tạo trong SME](https://maiamanagement.it/consulente-digitale/intelligenza-artificiale-nelle-pmi-con-casi-studio-pratici/) này cũng hữu ích, vì chúng cho thấy các trường hợp sử dụng thay đổi giá trị và rủi ro như thế nào tùy theo bối cảnh.

### Hai tiêu chí quyết định việc phân loại

Trọng tâm của **AI Act high-risk classification guide** nằm ở đây. Quy định này theo hai con đường chính. Theo [hướng dẫn về phân loại high-risk của EU AI Act](https://euairisk.com/resources/eu-ai-act-high-risk-classification-guide), một hệ thống AI được phân loại là rủi ro cao nếu:

1. **Nằm trong các trường hợp sử dụng cụ thể của Annex III**, bao gồm **8 lĩnh vực trọng yếu** như sinh trắc học, cơ sở hạ tầng thiết yếu, giáo dục, việc làm, dịch vụ thiết yếu, thực thi pháp luật, tư pháp và lập hồ sơ cá nhân.
2. **Là một thành phần an toàn của một sản phẩm được quy định bởi EU** trong Annex I, chẳng hạn như thiết bị y tế hoặc phương tiện cơ giới.

Điều 6 đưa ra cơ cấu kép này. Và điều này rất thông minh. Nó không chỉ tập trung vào các lĩnh vực nhạy cảm, mà còn bao gồm cả những sản phẩm mà trong đó trí tuệ nhân tạo (AI) trở thành một phần của hệ thống an ninh tổng thể.

Sau đó có một điểm mà nhiều SME hiểu sai. Có **các ngoại lệ** nếu hệ thống không gây ra rủi ro đáng kể, nhưng đây không phải là những lối tắt tự động. Chúng cần được lý giải và ghi nhận chính thức bởi nhà cung cấp. Nếu bạn nói “đây không phải là high-risk”, bạn phải có khả năng chứng minh điều đó.

> Nếu lập luận của bạn là “dù sao cũng có con người trong quy trình”, thì điều đó chưa đủ. Điều quan trọng là hệ thống đó thực sự định hướng quyết định cuối cùng đến mức nào.

Sự phân biệt này chính là ranh giới giữa một đánh giá nghiêm túc và sự tuân thủ chỉ mang tính hình thức.

## Các tiêu chí chính thức để phân loại nhóm nguy cơ cao

Câu hỏi đúng không phải là “Chúng ta có nên sử dụng AI không?”. Mà là “AI này có ảnh hưởng đến an ninh, quyền lợi hay khả năng tiếp cận các cơ hội thiết yếu hay không?”. Từ đây, việc phân loại một cách nghiêm túc mới bắt đầu.

Đối với một doanh nghiệp vừa và nhỏ, bước này cần được xem xét như một quyết định kinh doanh, chứ không phải là một thủ tục pháp lý. Nếu bạn hiểu sai về hệ thống, bạn sẽ đặt sai thứ tự ưu tiên, chuẩn bị sai tài liệu và đầu tư không hợp lý. Ngược lại, nếu bạn hiểu đúng, bạn có thể thiết kế các biện pháp kiểm soát phù hợp và sử dụng dữ liệu thu thập được để quản lý tốt hơn các quy trình, nhà cung cấp và trách nhiệm nội bộ.

### Tám lĩnh vực của Phụ lục III

**Annex III** là bộ lọc vận hành đầu tiên. [Bản tóm tắt quy định về AI Act](https://artificialintelligenceact.eu/high-level-summary/) nêu ra 8 lĩnh vực mà các hệ thống AI có thể rơi vào nhóm rủi ro cao:

- **Sinh trắc học**. Bao gồm các trường hợp sử dụng như nhận dạng từ xa trong bối cảnh nhạy cảm.
- **Hạ tầng trọng yếu**. Các hệ thống ảnh hưởng đến tính liên tục vận hành, an toàn hoặc quản lý rủi ro.
- **Giáo dục và đào tạo nghề**. AI ảnh hưởng đến việc tiếp cận, đánh giá hoặc phân bổ lộ trình học tập.
- **Việc làm**. Vấn đề không nằm ở bản thân công cụ, mà ở mức độ tác động của nó đến quyết định. Nếu nó định hướng việc tuyển dụng, thăng chức hoặc sa thải, rủi ro quy định sẽ tăng ngay lập tức.
- **Tiếp cận các dịch vụ thiết yếu và chấm điểm tín dụng**. Ở đây bao gồm các trường hợp có thể ảnh hưởng đến tín dụng, bảo hiểm, nhà ở hoặc các dịch vụ khác có tác động trực tiếp đến cá nhân.
- **Lực lượng thực thi pháp luật**.
- **Tư pháp**.
- **Lập hồ sơ cá nhân**.

Đối với nhiều doanh nghiệp vừa và nhỏ, đây mới chính là vấn đề cốt lõi. Việc phân loại phụ thuộc vào hiệu quả thực tế của hệ thống, chứ không phải vào tên gọi thương mại của phần mềm.

Một công cụ chấm điểm, một bộ phân loại tài liệu hay một hệ thống ưu tiên hồ sơ có thể trông như những công cụ trung lập. Nhưng chúng không trung lập nếu tác động đáng kể đến một quyết định liên quan đến việc tiếp cận tín dụng, tuyển dụng nhân sự hoặc đối xử khác biệt với khách hàng và người dùng. Trong các dự án tương tự như những dự án được mô tả trong [case study fintech dựa trên analytics và giám sát quyết định](https://www.electe.net/case-studies/fintech), yếu tố tạo nên sự khác biệt chính là khả năng truy vết: biết dữ liệu nào được đưa vào, logic nào có trọng số lớn nhất và ở đâu con người thực sự có thể điều chỉnh kết quả.

### Khi Phụ lục I cũng có ý nghĩa

Kênh thứ hai thường bị đánh giá thấp. Tuy nhiên, đây lại là kênh khiến nhiều doanh nghiệp bất ngờ nhất.

Nếu AI là **thành phần an toàn** của một sản phẩm đã chịu sự điều chỉnh của quy định hài hòa của EU, thì việc đánh giá sẽ thay đổi ngay lập tức. Bạn không còn chỉ phân tích một mô hình tạo ra kết quả đầu ra nữa. Bạn đang phân tích một chức năng góp phần vào mức độ an toàn tổng thể của sản phẩm hoặc quy trình.

Điểm này cũng áp dụng cho các doanh nghiệp vừa và nhỏ (SME) không sản xuất phần cứng. Chỉ cần tích hợp các mô-đun AI vào các giải pháp tổng thể hơn, hoặc cung cấp phần mềm tác động đến hệ thống điều khiển, cảnh báo, ngưỡng an toàn hoặc các cơ chế tự động hóa an toàn, là đã bước vào một lĩnh vực đòi hỏi khắt khe hơn nhiều về mặt tài liệu và kỹ thuật.

### Các trường hợp ngoại lệ phải được chứng minh

Có những trường hợp ngoại lệ, nhưng chúng cần được chứng minh bằng những lập luận có cơ sở. Không thể chỉ nói rằng hệ thống đóng vai trò chuẩn bị hay một người nào đó vẫn được cập nhật thông tin.

Hãy áp dụng một nguyên tắc đơn giản:

- **Nếu hệ thống định hướng một quyết định trọng yếu**, hãy xem ngay đó là ứng viên rủi ro cao.
- **Nếu nó thực hiện một nhiệm vụ hạn chế hoặc phụ trợ**, hãy ghi lại lý do vì sao đầu ra của nó không quyết định đáng kể đến kết quả cuối cùng.
- **Nếu nó tạo ra phân tích, cảnh báo hoặc mẫu hình**, hãy kiểm tra xem con người vận hành có thực sự có dư địa để phản đối, điều chỉnh và giải trình hay không.

Ở đây, một nền tảng phân tích dữ liệu không còn chỉ là công cụ hỗ trợ tuân thủ. Nó trở thành một tài sản chiến lược. Nền tảng này cho phép bạn lập bản đồ các trường hợp sử dụng, tái tạo quy trình ra quyết định, kiểm soát các phiên bản mô hình và tạo ra bằng chứng có cơ sở pháp lý vững chắc mà không biến đội ngũ của bạn thành một văn phòng pháp lý tạm thời.

Các doanh nghiệp vừa và nhỏ (SME) hoạt động theo cách này sẽ sử dụng ngân sách hiệu quả hơn. Họ không chạy theo những quy chuẩn thông thường. Thay vào đó, họ xây dựng một nền tảng quản trị AI đủ vững chắc để đáp ứng các cuộc kiểm toán, hỗ trợ sự phát triển và mở rộng sang các trường hợp ứng dụng mới.

## Các ví dụ cụ thể về tài chính bán lẻ và phòng chống rửa tiền

Sáng thứ Hai. Một doanh nghiệp vừa và nhỏ (SME) trong lĩnh vực tín dụng chấp thuận hoặc từ chối các yêu cầu chỉ trong vài phút. Một doanh nghiệp khác chặn các giao dịch đáng ngờ để tuân thủ các nghĩa vụ chống rửa tiền (AML). Trong cả hai trường hợp, vấn đề không phải là “chúng ta có nên sử dụng AI không?”. Vấn đề thực tế hơn nhiều: kết quả đầu ra của hệ thống có thực sự ảnh hưởng đến quyết định liên quan đến khách hàng, quyền truy cập vào dịch vụ hay các biện pháp kiểm soát hay không?

### Bán lẻ và tối ưu hóa hàng tồn kho

Hãy bắt đầu từ một trường hợp mà nhiều doanh nghiệp vừa và nhỏ (SME) đều quen thuộc. Một nhà bán lẻ sử dụng hệ thống trí tuệ nhân tạo (AI) để dự báo nhu cầu, tốc độ luân chuyển hàng tồn kho và thời gian đặt hàng lại. Nếu mô hình này nhằm mục đích cải thiện hoạt động mua hàng, logistics và lập kế hoạch kinh doanh, thì thông thường, đây không phải là trường hợp “rủi ro cao” theo quy định của Đạo luật AI.

Ranh giới sẽ thay đổi nếu hệ thống đó được áp dụng vào các quy trình mà tại đó một lỗi có thể ảnh hưởng đến tính liên tục của hoạt động, các biện pháp kiểm soát quan trọng hoặc các chức năng liên quan đến an ninh dịch vụ. Lúc đó, bạn không còn đang đánh giá một công cụ dự báo một cách trừu tượng nữa. Bạn đang đánh giá vai trò thực tế của nó trong một quy trình quan trọng.

Quy tắc hữu ích dành cho các doanh nghiệp vừa và nhỏ là: hãy phân loại theo trường hợp sử dụng, chứ không phải theo tên gọi của phần mềm.

### Đánh giá điểm tín dụng và khả năng tiếp cận tín dụng

Trong lĩnh vực tín dụng, mức độ tự quyết định được thu hẹp đáng kể. Nếu một hệ thống trí tuệ nhân tạo (AI) đánh giá độ tin cậy, phân loại khách hàng theo mức độ rủi ro hoặc có ảnh hưởng đáng kể đến kết quả của một yêu cầu, bạn cần xem xét đối tượng đó như một khách hàng có rủi ro cao và áp dụng cách tiếp cận nghiêm túc ngay từ đầu.

Lý do rất đơn giản. Ở đây, bạn không phải đang tối ưu hóa một chiến dịch tiếp thị hay việc sắp xếp lại kho hàng. Bạn đang tác động đến việc tiếp cận một dịch vụ tài chính. Đối với Đạo luật AI, sự khác biệt này có ý nghĩa quan trọng.

Một sai lầm thường gặp là chỉ dựa vào khái niệm “hỗ trợ ra quyết định”. Điều đó là chưa đủ. Nếu người quản lý có xu hướng chấp nhận điểm số do mô hình đưa ra, nếu các trường hợp ngoại lệ hiếm khi xảy ra, hoặc nếu thời gian xử lý khiến việc xem xét lại một cách khách quan trở nên khó khả thi, thì hệ thống thực sự đóng vai trò quan trọng trong quyết định cuối cùng.

Đối với một doanh nghiệp vừa và nhỏ (SME), bước đi đúng đắn không phải là tranh luận mãi về định nghĩa. Mà là tái cấu trúc quy trình ra quyết định dựa trên các bằng chứng có thể kiểm chứng: dữ liệu nào được đưa vào mô hình, điểm số nào được đưa ra, ai có quyền điều chỉnh, trong những trường hợp nào thực sự điều chỉnh, và với lý do gì. Một nền tảng phân tích được xây dựng tốt sẽ hỗ trợ bạn chính xác ở điểm này. Nền tảng này tích hợp tính minh bạch, nhật ký, các phiên bản mô hình và lý do thực thi. Tuân thủ không còn là một chi phí riêng lẻ mà trở thành nền tảng cho việc kiểm soát quản lý.

Để xem cách các đơn vị trong ngành đang tổ chức các quy trình tương tự, hãy tham khảo [các case study fintech của ELECTE](https://www.electe.net/case-studies/fintech).

> Trong lĩnh vực tín dụng, “hỗ trợ” không còn nhiều ý nghĩa nếu mô hình định hướng kết quả một cách dự đoán được và lặp đi lặp lại.

### Chống rửa tiền (AML) và các hệ thống báo cáo

Trong công tác phòng chống rửa tiền, cần có sự kỷ luật hơn là những khẩu hiệu suông. Một hệ thống phát hiện các bất thường hoặc mô hình đáng ngờ không nên tự động được coi là một hệ thống có thể tự quyết định về khách hàng hay các giao dịch. Hệ thống đó cần được đánh giá dựa trên chức năng cụ thể, mức độ tự động hóa và tác động thực tế đến hoạt động.

Hãy tự đặt cho mình bốn câu hỏi rõ ràng:

- mô hình tạo ra một cảnh báo cần kiểm tra, hay đã trực tiếp thúc đẩy việc khóa, chuyển cấp xử lý hoặc tạm ngưng?
- người phân tích có thể dễ dàng phản bác kết quả đầu ra, hay trên thực tế chỉ dừng lại ở việc xác nhận nó?
- có tồn tại nhật ký, lý do và ngưỡng có thể truy dựng lại được không?
- hệ thống được dùng để điều tra tốt hơn, hay để trực tiếp quyết định hành động?

Ở đây, nhiều doanh nghiệp vừa và nhỏ mắc sai lầm do thói quen tổ chức. Trên giấy tờ, có sự giám sát của con người. Trên thực tế, cảnh báo từ mô hình lại trở thành bộ lọc chính và không ai ghi chép lý do tại sao một báo cáo lại được xác nhận hay loại bỏ. Đây chính là điểm cần khắc phục.

Lựa chọn thông minh là sử dụng phân tích dữ liệu làm nền tảng quản trị. Điều này giúp bạn xác định những cảnh báo nào dẫn đến quyết định, những biến số nào thực sự có ảnh hưởng, những điểm nào đội ngũ luôn xác nhận mô hình và những điểm nào họ thực sự thực hiện kiểm soát. Đây không chỉ là vấn đề tuân thủ mà còn là chiến lược. Nó giúp giảm thiểu mâu thuẫn với các cơ quan kiểm toán và đối tác, nâng cao chất lượng điều tra, đồng thời tránh tình trạng phát hiện quá muộn rằng một hệ thống “chỉ dành cho nội bộ” đã và đang tác động đến các quyết định nhạy cảm.

## Các yêu cầu tuân thủ đối với các hệ thống có rủi ro cao

Khi một hệ thống thuộc nhóm rủi ro cao, sai lầm lớn nhất là coi việc tuân thủ như một đống tài liệu cần hoàn thành vào phút chót. Cách làm này không hiệu quả. Và còn tốn kém hơn. Các nghĩa vụ tuân thủ cần được xem như một khung quản trị cho hệ thống.

### Những nghĩa vụ thực sự quan trọng

Phụ lục III nêu ra một số nghĩa vụ cốt lõi đối với các nhà cung cấp dịch vụ và các hệ thống có rủi ro cao. Những nghĩa vụ quan trọng nhất đối với một doanh nghiệp vừa và nhỏ (SME) là:

- **Quản lý rủi ro theo Điều 9**. Bạn phải xác định các rủi ro, đánh giá và giảm thiểu chúng trong suốt vòng đời của hệ thống. Đây không phải là một thủ tục hình thức. Đó là cách để bạn tránh phát hiện ra vấn đề khi mô hình đã đưa vào sản xuất.
- **Quản trị dữ liệu theo Điều 10**. Các tập dữ liệu phải mang tính đại diện và không chứa lỗi đáng kể. Điểm này không chỉ liên quan đến thiên lệch (bias). Nó còn liên quan đến chất lượng, tính nhất quán và tính phù hợp của dữ liệu được sử dụng.
- **Tài liệu kỹ thuật**. Nếu bạn không thể mô tả mục đích, logic, giới hạn và các cơ chế kiểm soát của hệ thống, thì bạn không đang quản trị AI. Bạn đang bị nó chi phối.
- **Khả năng truy vết**. Bạn phải có thể tái dựng lại cách hệ thống đã vận hành và những kết quả đầu ra mà nó đã tạo ra.
- **Giám sát của con người**. Sự giám sát của con người phải là thực chất, không phải mang tính hình thức. Cần có một người hoặc một vai trò có khả năng can thiệp, phản đối và điều chỉnh.

> Tuân thủ hiệu quả không làm chậm hoạt động kinh doanh. Nó loại bỏ các vùng xám vốn sau này sẽ cản trở việc kiểm toán, hợp tác với đối tác và mở rộng quy mô.

### Bảng hướng dẫn thực hành dành cho doanh nghiệp vừa và nhỏ

**Yêu cầu (Điều khoản của Đạo luật AI)****Mô tả chính****Hành động thực tế dành cho SME**Quản lý rủi ro (Điều 9)Quản lý liên tục các rủi ro của hệ thống AILập sổ đăng ký rủi ro cho từng trường hợp sử dụng AI và cập nhật khi thay đổi mô hình, dữ liệu hoặc mục đích sử dụngQuản trị dữ liệu (Điều 10)Dữ liệu phù hợp, có tính đại diện và được kiểm soátGhi chép nguồn dữ liệu, tiêu chí làm sạch, các hạn chế đã biết và các bước kiểm tra lỗi hoặc mất cân bằngTài liệu kỹ thuậtBằng chứng chính thức về cách thức hoạt động và mục đích của hệ thốngChuẩn bị tài liệu mô tả hệ thống, bao gồm mục đích, người dùng, dữ liệu đầu vào, đầu ra, hạn chế, logic và các biện pháp kiểm soátKhả năng truy xuấtKhả năng tái dựng các hoạt động của hệ thốngLưu trữ nhật ký, phiên bản mô hình, các tham số liên quan và các quyết định của con người có liên quanGiám sát của con ngườiGiám sát hiệu quả đối với các quyết địnhChỉ định một người chịu trách nhiệm nội bộ có thể dừng, xem xét hoặc điều chỉnh các kết quả đầu ra

Một doanh nghiệp vừa và nhỏ không cần một bộ phận tuân thủ quy mô lớn. Điều họ cần là một phương pháp. Nếu phương pháp này được tích hợp vào các quy trình phân tích, phát triển sản phẩm và vận hành, việc tuân thủ sẽ không còn là rào cản mà trở thành một cách tiếp cận chín muồi hơn trong việc ứng dụng trí tuệ nhân tạo.

## Danh sách kiểm tra hoạt động để đánh giá các hệ thống AI của bạn

Thứ Hai buổi sáng. Một khách hàng doanh nghiệp hỏi bạn rằng bạn phân loại hệ thống đánh giá điểm của mình như thế nào, ai là người giám sát hệ thống đó và bạn có những bằng chứng nào để chứng minh rằng nó không thuộc nhóm các hệ thống có rủi ro cao. Nếu lúc đó bạn phải lục lọi các tệp tin, email và những câu trả lời không chính thức, thì vấn đề không nằm ở thuật toán. Vấn đề nằm ở cơ chế quản trị.

Đối với một doanh nghiệp vừa và nhỏ (SME), quá trình đánh giá ban đầu phải dẫn đến một quyết định thực thi, chứ không phải một bản báo cáo mơ hồ. Bạn cần nắm rõ ba điều: AI được áp dụng ở đâu, mức độ ảnh hưởng của nó đối với các quyết định, và những bằng chứng nào bạn có thể trình bày nếu kiểm toán viên, đối tác hoặc ban lãnh đạo yêu cầu giải trình về việc phân loại này. Ở đây, một quy trình phân tích khoa học sẽ tạo nên sự khác biệt. Nó giúp bạn rà soát các hệ thống, kết nối dữ liệu, mô hình và quy trình, đồng thời giảm thiểu thời gian lãng phí cho các cuộc kiểm tra đột xuất.

### Những yêu cầu bạn cần giải quyết ngay lập tức

Hãy sử dụng danh sách kiểm tra này như một công cụ sàng lọc về mặt quản lý trước khi xem xét khía cạnh pháp lý.

1. **Bạn có một danh mục cập nhật tất cả các hệ thống AI đang sử dụng không?**
Hãy bao gồm các mô hình phát triển nội bộ, các tính năng AI tích hợp trong phần mềm bên ngoài, hệ thống chấm điểm, xếp hạng, dự báo, chống gian lận và các tự động hóa ảnh hưởng đến các quy trình vận hành.
2. **Với mỗi hệ thống, bạn đã mô tả chức năng cụ thể bằng một câu rõ ràng chưa?**
“Analytics” là chưa đủ. Hãy viết rõ tác động thực tế: đánh giá yêu cầu tín dụng, sắp xếp lead, phát hiện bất thường, phân bổ mức ưu tiên, chặn giao dịch, hỗ trợ onboarding.
3. **Đầu ra có ảnh hưởng đến con người, khả năng tiếp cận dịch vụ hoặc các quyết định kinh tế quan trọng không?**
Nếu câu trả lời là có, việc kiểm tra cần được nâng cấp độ. Các hệ thống định hướng tín dụng, bảo hiểm, tuyển dụng, tiếp cận dịch vụ hoặc kiểm soát an ninh cần được chú ý ngay lập tức.
4. **Vai trò của con người có thực chất hay chỉ mang tính hình thức?**
Nếu người giám sát hầu như luôn xác nhận đầu ra mà không có công cụ, thời gian hay thẩm quyền để phản biện, thì đó không phải là giám sát thực sự.
5. **Bạn có thể giải thích tại sao hệ thống không phải là high-risk bằng các bằng chứng nội bộ có thể kiểm chứng không?**
Cần có tài liệu, log, tiêu chí quyết định, giới hạn đã công bố và một lý giải nhất quán. Nếu thiếu những bằng chứng này, việc phân loại sẽ yếu.
6. **Bạn có biết dữ liệu nào nuôi hệ thống và những rủi ro đi kèm không?**
Nguồn gốc dữ liệu, chất lượng, mức độ cập nhật, các biến nhạy cảm, lỗi đã biết và sự phụ thuộc vào các nhà cung cấp bên thứ ba đều cần được theo dõi. Nếu bạn không biết những điều này, bạn không đánh giá rủi ro. Bạn đang chịu rủi ro đó.

### Các dấu hiệu cần được báo cáo ngay lập tức

Một số trường hợp không thể xử lý chỉ bằng kinh nghiệm thông thường. Chúng cần được báo cáo ngay lập tức cho bộ phận tuân thủ, pháp lý, quản lý rủi ro hoặc ban lãnh đạo.

- **Hệ thống tạo ra điểm số, xếp hạng hoặc mức ưu tiên ảnh hưởng đến một quyết định cuối cùng**
- **AI can thiệp vào tín dụng, bảo hiểm, chống rửa tiền, HR hoặc tiếp cận các dịch vụ quan trọng**
- **Bạn sử dụng dữ liệu cá nhân nhạy cảm, dữ liệu tài chính hoặc kết hợp các nguồn khó giải thích**
- **Nhà cung cấp không cho bạn đủ khả năng nhìn thấy logic, giới hạn, phiên bản hoặc các biện pháp kiểm soát**
- **Ban lãnh đạo không thể hiểu một cách đơn giản cách hệ thống đi đến đầu ra**

> Nếu bạn không thể bảo vệ việc phân loại trước một khách hàng quan trọng hoặc một đơn vị kiểm toán, thì việc phân loại đó chưa sẵn sàng.

### Những điều cần đạt được từ danh sách kiểm tra này là gì

Cuối cùng, bạn không cần một danh sách những nghi vấn. Điều bạn cần là một kết quả cụ thể cho từng hệ thống: loại trừ, cần nghiên cứu sâu hơn, hoặc xem xét là có nguy cơ cao cho đến khi có bằng chứng ngược lại. Cách tiếp cận này giúp tránh được sai lầm thường gặp ở các doanh nghiệp vừa và nhỏ (SME) đầy tham vọng. Họ phát triển nhanh chóng, áp dụng các công cụ AI hữu ích, nhưng lại để việc phân loại rơi vào vùng xám, điều này sau đó làm chậm lại quá trình bán hàng, hợp tác và mở rộng quy mô.

Nếu bạn đã có một nền tảng báo cáo và kiểm soát dữ liệu, bạn có thể tổ chức công việc này tốt hơn nhiều. Một nền tảng được thiết lập tốt giúp bạn kết nối các trường hợp sử dụng, dữ liệu, đầu ra và trách nhiệm theo cách dễ hiểu ngay cả với người không chuyên kỹ thuật. Để hiểu cách thiết lập nền tảng này trong doanh nghiệp, bạn có thể tham khảo hướng dẫn này về [phần mềm business intelligence cho SME](https://www.electe.net/post/software-business-intelligence).

## Cách một nền tảng phân tích giúp đơn giản hóa việc tuân thủ

Việc tuân thủ quy định trở nên khó khăn khi dữ liệu bị phân tán, các quy trình không được theo dõi và kết quả đầu ra của các mô hình không gắn liền với trách nhiệm rõ ràng. Đây chính là lúc một nền tảng phân tích được thiết kế tốt có thể tạo ra sự khác biệt. Không phải như một lối tắt về mặt quy định, mà là một cơ sở hạ tầng mang lại trật tự.

### Nơi công nghệ thực sự phát huy tác dụng

Một nền tảng hiện đại mang lại lợi ích chủ yếu ở bốn khía cạnh sau:

- **Lập bản đồ các trường hợp sử dụng**. Các dashboard và quy trình tập trung giúp dễ dàng thấy AI được sử dụng ở đâu và với dữ liệu nào.
- **Khả năng truy xuất nguồn gốc vận hành**. Log, phiên bản mô hình và lịch sử đầu ra giúp tái dựng hành vi của hệ thống.
- **Chất lượng dữ liệu**. Kiểm tra, làm sạch và giám sát nguồn dữ liệu giúp giảm rủi ro sử dụng các tập dữ liệu kém chất lượng hoặc không nhất quán.
- **Báo cáo rõ ràng**. Khi bạn cần giải thích cho ban lãnh đạo, đối tác hoặc chuyên gia tư vấn về cách một hệ thống hoạt động, bạn cần các báo cáo dễ đọc, chứ không chỉ là đầu ra kỹ thuật.

Những ai đã làm việc với các công cụ business intelligence sẽ hiểu ngay lợi ích này. Nếu bạn muốn hiểu rõ hơn về bước này, bài phân tích chuyên sâu này của ELECTE về [phần mềm business intelligence cho quyết định doanh nghiệp](https://www.electe.net/post/software-business-intelligence) cũng hữu ích.

### Bộ phận Tuân thủ và bộ phận Phân tích kinh doanh cần phải hợp tác với nhau

Nhiều doanh nghiệp tách biệt hai lĩnh vực này quá rõ rệt. Một bên, đội ngũ dữ liệu mong muốn hiệu suất. Bên kia, đội ngũ tuân thủ lại chú trọng vào việc kiểm soát. Đây là một sự phân chia thiếu hiệu quả.

Giải pháp tối ưu là kết hợp hai mục tiêu này. Một hệ thống AI được quản lý chặt chẽ không chỉ mang lại những thông tin chi tiết sâu sắc hơn, mà còn giúp các quy trình trở nên ổn định, có thể kiểm tra lại và đáng tin cậy hơn đối với bên ngoài. Nói cách khác, việc tuân thủ quy định không chỉ nhằm mục đích tránh rủi ro. Nó còn giúp xây dựng một môi trường mà tại đó AI có thể được triển khai nhanh chóng hơn và với ít trở ngại nội bộ hơn.

Đây là điều mà nhiều doanh nghiệp vừa và nhỏ (SME) thường nhận ra quá muộn. Việc sắp xếp tài liệu, khả năng truy xuất nguồn gốc và sự minh bạch trong quy trình sử dụng không phải là những thủ tục hành chính rườm rà. Chúng chính là nền tảng để thực sự ứng dụng trí tuệ nhân tạo (AI) một cách linh hoạt và có thể mở rộng.

## Biến yêu cầu pháp lý thành lợi thế cạnh tranh

Đạo luật về Trí tuệ nhân tạo (AI Act) khiến nhiều người lo ngại, đặc biệt là những ai coi đó là một văn bản mang tính trừng phạt. Đó là cách hiểu hời hợt. Cách hiểu đúng đắn là: quy định này yêu cầu các doanh nghiệp phải hiểu rõ hơn về hệ thống của mình, dữ liệu của mình và tác động thực tế của các quyết định tự động.

Nếu áp dụng logic này, việc phân loại “rủi ro cao” sẽ không còn là một mối đe dọa mơ hồ nữa. Nó sẽ trở thành một tiêu chí hành động cụ thể. Bạn sẽ biết được đâu là những nơi cần tăng cường kiểm soát, đâu là những trường hợp ngoại lệ có thể ghi nhận, và đâu là những lĩnh vực mà doanh nghiệp vừa và nhỏ của bạn có thể đổi mới mà không phải hành động một cách mù quáng.

**AI Act high-risk classification guide** chính là để phục vụ mục đích này. Xóa bỏ sự mơ hồ. Xác định ưu tiên. Tránh những sai lầm nghiêm trọng. Và xây dựng AI đáng tin cậy hơn, dễ bảo vệ hơn và hữu ích hơn cho doanh nghiệp.

Các doanh nghiệp vừa và nhỏ (SME) nào nhận ra điều này sớm hơn sẽ không chỉ tuân thủ các quy định tốt hơn. Họ sẽ trở nên đáng tin cậy hơn, hoạt động có tổ chức hơn và sẵn sàng mở rộng quy mô hơn.

---

Nếu bạn muốn biến dữ liệu phân tán thành insight rõ ràng, có thể truy xuất nguồn gốc và sẵn sàng cho các quyết định an toàn hơn, hãy khám phá [ELECTE, nền tảng phân tích dữ liệu AI-powered dành cho SME](https://www.electe.net). Đây là một cách cụ thể để mang lại nhiều kiểm soát hơn, khả năng hiển thị tốt hơn và cấu trúc chặt chẽ hơn cho các quy trình thực sự quan trọng.