AI Governance là gì? Khung quản trị AI dành cho đội marketing

AI Governance (quản trị AI) trong marketing là bộ quy tắc, vai trò và quy trình quyết định đội được dùng hệ thống AI nào, cho việc gì, với mức kiểm soát ra sao, và ai chịu trách nhiệm khi đầu ra của AI gây hậu quả. Nó biến việc dùng AI từ lựa chọn cá nhân của từng nhân viên thành một hoạt động có chủ, có ranh giới và có thể rà soát.

Bài này khác bài Data Governance cho AI Marketing. Data governance quản trị dữ liệu: nguồn, phiên bản, quyền truy cập, chất lượng. AI governance quản trị hệ thống AI và đầu ra của nó: công cụ nào được duyệt, tác vụ nào được giao cho AI, điểm duyệt ở đâu, nhà cung cấp có đáng tin không. Hai bài bổ sung cho nhau; ở đây chỉ nhắc tới dữ liệu khi nó quyết định mức rủi ro của một hệ thống AI.

Data governance và AI governance khác nhau ở đâu

Khung NIST AI Risk Management Framework chia việc quản trị rủi ro AI thành bốn chức năng: Govern (thiết lập văn hoá, vai trò, chính sách), Map (xác định bối cảnh và rủi ro của từng hệ thống), Measure (đo lường, đánh giá) và Manage (ưu tiên và xử lý rủi ro). Doanh nghiệp nhỏ không cần áp dụng đầy đủ khung này, nhưng bốn chức năng là một khung tốt để kiểm tra mình có bỏ sót phần nào không.

Cần chuẩn bị gì

• Người khởi xướng có thẩm quyền: thường là chủ doanh nghiệp hoặc trưởng marketing, vì chính sách không ai đứng tên sẽ không ai theo.
• Danh sách công cụ đang được trả tiền từ thẻ công ty — điểm bắt đầu nhanh để kiểm kê.
• Danh sách loại nội dung công khai đội đang sản xuất và kênh đăng.
• Quy tắc thương hiệu hiện có: giọng điệu, từ không dùng, những điều không bao giờ hứa với khách.

Dựng khung AI governance qua 6 bước

Bước 1. Lập danh mục hệ thống AI

Liệt kê mọi hệ thống có AI mà đội dùng, kể cả tính năng AI nhúng trong công cụ quen thuộc như trình soạn thảo, công cụ thiết kế, nền tảng quảng cáo. Mỗi dòng ghi: tên, dùng cho việc gì, ai dùng, dữ liệu nào được đưa vào, đầu ra đi đâu (nội bộ hay công khai), tài khoản công ty hay cá nhân. Những công cụ nhân viên tự dùng ngoài danh sách — Shadow AI — thường lộ ra ở bước này.

Bước 2. Phân loại dữ liệu và rủi ro

Chấm mỗi hệ thống theo hai trục. Dữ liệu đưa vào: công khai, nội bộ, hay dữ liệu cá nhân của khách. Tác động của đầu ra: chỉ dùng nội bộ, được công khai sau khi người duyệt, hay tự thực hiện hành động (gửi, đăng, chi tiền). Hệ thống càng về phía dữ liệu cá nhân và hành động tự động thì càng cần kiểm soát chặt. Với dữ liệu cá nhân, doanh nghiệp cần xem xét nghĩa vụ theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân và hỏi ý kiến chuyên môn khi chưa chắc.

Bước 3. Chỉ định chủ sở hữu

Mỗi hệ thống có một người sở hữu chịu trách nhiệm về cấu hình, quyền truy cập, việc cập nhật và xử lý sự cố. Người sở hữu không nhất thiết là người dùng nhiều nhất, mà là người đủ thẩm quyền để tạm dừng công cụ khi cần. Chủ doanh nghiệp vẫn chịu trách nhiệm cuối cùng với nội dung công khai — AI không phải là bên chịu trách nhiệm.

Bước 4. Đánh giá nhà cung cấp

Trước khi đưa một công cụ vào danh sách được duyệt, đọc điều khoản và trả lời một bộ câu hỏi ngắn: dữ liệu đưa vào có được dùng để huấn luyện mô hình không, có tắt được không; dữ liệu lưu ở đâu, bao lâu, xoá được không; có phân quyền theo người dùng không; có nhật ký hoạt động không; quyền sử dụng đầu ra cho mục đích thương mại thế nào. Không tìm được câu trả lời cũng là một câu trả lời — xếp công cụ đó vào nhóm chỉ dùng với dữ liệu công khai.

Bước 5. Thiết lập phê duyệt và giám sát

Gắn mỗi mức rủi ro với một cách kiểm soát: rủi ro trung bình duyệt theo lô, rủi ro cao duyệt từng bản bởi người nắm dữ kiện, rủi ro rất cao cần hai người. Cách thiết kế điểm duyệt chi tiết xem ở bài Human-in-the-Loop. Với hệ thống tự động, cần thêm dấu vết kiểm toán (audit trail): ai đã cấu hình gì, AI đã làm gì, ai đã duyệt gì — để khi có sự cố còn truy lại được.

Bước 6. Rà soát định kỳ

Đặt lịch rà soát, ví dụ mỗi quý, và rà ngay khi có một trong các sự kiện: thêm công cụ mới, nhà cung cấp đổi điều khoản, xảy ra sự cố nội dung, hoặc AI được giao thêm quyền hành động. Buổi rà soát xem lại danh mục, các sự cố và cách xử lý, và những quy tắc không ai tuân thủ — quy tắc bị lờ đi thường là quy tắc quá khó làm, nên sửa quy tắc chứ không chỉ nhắc nhở.

Ví dụ thực hành: hai hệ thống, hai mức kiểm soát

Ví dụ giả định: một công ty phần mềm B2B nhỏ có đội marketing ba người, đang dùng một công cụ tạo ảnh minh hoạ cho bài blog và đang cân nhắc một agent đọc dữ liệu từ hệ thống CRM để soạn email chăm sóc khách theo giai đoạn.

Chính sách AI một trang cho đội marketing

Kết quả của sáu bước nên gói lại thành một trang mà nhân viên mới đọc trong năm phút:

• Công cụ được duyệt và mỗi công cụ dùng cho việc gì.
• Dữ liệu không được đưa vào bất kỳ công cụ AI nào chưa được duyệt riêng cho mục đích đó.
• Nội dung nào phải duyệt, ai duyệt, theo mức rủi ro.
• Những điều AI không được làm: tự đăng, tự gửi cho khách, tự thay đổi ngân sách — trừ khi đã được đánh giá và cho phép riêng.
• Cách xin dùng công cụ mới và cách báo sự cố.

Sai lầm thường gặp

• Viết chính sách dài chỉ để có, rồi không ai đọc và không ai kiểm.
• Quản trị theo công cụ, bỏ qua tính năng AI nhúng trong phần mềm quen thuộc.
• Áp một mức kiểm soát cho mọi thứ, làm chậm việc rủi ro thấp mà không chặt hơn ở việc rủi ro cao.
• Không có người sở hữu, nên khi có sự cố không ai có quyền tạm dừng.
• Coi đánh giá nhà cung cấp là việc một lần, trong khi điều khoản và tính năng thay đổi liên tục.

Câu hỏi thường gặp