Ký hiệu ở cột Dùng AI — Hỏi đáp trả lời dựa trên nguyên văn và giải thích tiêu chuẩn Soạn thảo bản nháp theo ngành, quy mô, vai trò Đối chiếu so yêu cầu với tài liệu, chỉ ra chỗ thiếu Giáo trình tạo giáo trình, câu hỏi kiểm tra Con người việc người có thẩm quyền phán đoán, phê duyệt

Doanh nghiệp của bạn thuộc loại nào (ví dụ)

※ Việc áp dụng từng biện pháp kiểm soát được quyết định riêng trong Tuyên bố áp dụng. Bảng trên chỉ là ví dụ để xác định điểm xuất phát.

P. Hoạch định - các bước và nội dung chính

11)~14) Dòng chảy đánh giá rủi ro AI · đánh giá tác động · Tuyên bố áp dụng

※ Khoảng cấp độ và người phê duyệt là ví dụ trong bộ tài liệu. Hãy quyết định theo tiêu chí rủi ro của doanh nghiệp.
※ Đánh giá tác động xem xét an toàn, công bằng (thiên lệch), minh bạch/khả năng giải thích, dữ liệu cá nhân, bảo mật, sự giám sát của con người, tác động xã hội/môi trường; đánh giá quy mô, phạm vi và khả năng khắc phục của tác động. Chưa được phê duyệt thì không triển khai (cổng triển khai).
※ Đánh giá rủi ro lại khi đưa vào dùng/phát triển mới, định kỳ trong vận hành, và khi thay đổi mô hình, dữ liệu, mục đích sử dụng, khi có sự cố hoặc luật thay đổi.

D. Thực hiện - các bước và nội dung chính

17) Hệ thống tài liệu của bộ tài liệu ISO/IEC 42001

※ Doanh nghiệp loại người dùng không tự phát triển có thể rút gọn thủ tục phát triển/triển khai thành thủ tục đưa vào dùng và sử dụng. Ghi căn cứ quyết định vào Tuyên bố áp dụng.

C. Kiểm tra / A. Hành động - các bước và nội dung chính

※ Phần tóm tắt mục tiêu kiểm soát được rút gọn để dễ hiểu. Hãy đối chiếu số hiệu và câu chữ của biện pháp với nguyên văn ISO/IEC 42001:2023.

Dựa trên thực tế triển khai ISO/IEC 42001 tại một doanh nghiệp sản xuất thuộc loại người dùng AI, chúng tôi tổng hợp những điểm doanh nghiệp tương tự nên chuẩn bị trước. Dù toàn công ty là loại người dùng, mỗi phòng dùng AI theo cách khác nhau nên các biện pháp cần chú ý cũng khác nhau theo từng phòng.

※ Biện pháp được đánh giá thực tế theo Tuyên bố áp dụng của doanh nghiệp. Bảng trên là ví dụ của doanh nghiệp sản xuất loại người dùng.

Những điểm nên chuẩn bị trước

1. Xác nhận lại vai trò AI của từng phòng. Dù công ty là loại người dùng, nếu có phòng tự tạo hoặc tinh chỉnh AI thì phòng đó áp dụng đầy đủ các biện pháp vòng đời (A.6) và dữ liệu (A.7).
2. Theo dõi dự án AI đến cùng. Có đầu mối đăng ký thì khâu đầu vào (đăng ký, xem xét, phê duyệt) được quản lý tốt, nhưng khâu đầu ra như đăng ký hoàn thành dự án đã triển khai dễ bị bỏ sót. Định kỳ đối chiếu danh sách đăng ký với dự án thực tế.
3. Không chỉ giám sát mà còn kiểm tra việc dùng AI tạo sinh. Xác định hạng mục kiểm tra (nội dung có hại, có chứa dữ liệu cá nhân/bí mật, khả năng rò rỉ, tuân thủ quy định nội bộ), tần suất lấy mẫu, người phụ trách; ghi kết quả và đưa vào chỉ số kết quả. Nhật ký sử dụng là căn cứ.
4. Không để chỗ trống trong tài liệu. Bản nháp AI dễ còn sót chỗ đánh dấu như "cần xác nhận", và quyền phê duyệt có thể ghi khác nhau giữa các tài liệu. Hãy đồng bộ một lần sơ đồ tổ chức, bổ nhiệm, RACI và thẩm quyền đã phê duyệt.
5. Mở rộng đầu vào xem xét của lãnh đạo. Không chỉ đánh giá nội bộ mà cả kết quả đánh giá của khách hàng/nhà cung cấp và đánh giá chứng nhận.
6. Lập ma trận yêu cầu↔tài liệu. Ghi rõ mỗi yêu cầu của chương 4~10 và Phụ lục A nằm ở tài liệu nào, mục nào, đưa vào phụ lục của sổ tay để đánh giá và vận hành dễ dàng hơn.
7. Xem xét tài liệu do AI soạn ba lần. Lần lượt theo sự phù hợp với tiêu chuẩn → góc nhìn người phụ trách triển khai → thực tế vận hành, và lưu kết quả thành báo cáo xem xét.

1. AI soạn nháp, con người quyết định. Mức rủi ro, kết luận đánh giá tác động, lý do loại trừ trong Tuyên bố áp dụng và chính sách AI do người có thẩm quyền quyết định và phê duyệt.
2. Kiểm tra căn cứ. Đối chiếu số điều khoản và con số với nguyên văn tiêu chuẩn; nội dung không tìm được căn cứ thì ghi "cần xác nhận".
3. Viết lại bằng lời của công ty. Chép nguyên câu từ ví dụ của công ty khác thì khó được công nhận tính đặc thù của tổ chức khi đánh giá.
4. Có thông tin không được nhập. Không nhập dữ liệu cá nhân, bí mật kinh doanh, thông tin bảo mật theo hợp đồng vào AI bên ngoài. Ghi rõ tên các dịch vụ được công ty phép dùng trong hướng dẫn sử dụng AI tạo sinh, không dùng AI chưa được phép (AI ngầm).
5. AI dùng để xây dựng hệ thống cũng là đối tượng quản lý. Hãy đưa vào danh mục hệ thống AI và quản lý theo hướng dẫn sử dụng AI tạo sinh (A.9). Việc dùng AI để xây dựng hệ thống quản lý AI sẽ là ví dụ thực hiện đầu tiên của doanh nghiệp.
6. Hỗ trợ soạn tài liệu và đánh giá chứng nhận là hai việc riêng. Bản nháp AI hay tư vấn không bảo đảm được chứng nhận; đánh giá chứng nhận được tiến hành theo thủ tục độc lập để bảo đảm tính khách quan (ISO/IEC 17021-1).

Tham khảo: "Phương án xây dựng ISO 45001 bằng e-ISO", "Bộ tài liệu Hệ thống quản lý AI ISO/IEC 42001" và "Phương pháp tư vấn xây dựng hệ thống quản lý" của K-Certi, thực tế triển khai ISO/IEC 42001 của một doanh nghiệp sản xuất loại người dùng (không công bố tên). Hãy đối chiếu điều khoản với nguyên văn ISO/IEC 42001:2023.