Khi nào tác tử AI cần con người phê duyệt

01Tác tử hành động, nên câu hỏi cũng thay đổi

Một trợ lý trò chuyện soạn văn bản, còn con người quyết định làm gì với văn bản đó. Tác tử AI đi xa hơn: nó gọi công cụ. Nó cập nhật một bản ghi, đặt một lịch hẹn, chuyển một hồ sơ, gửi một tin nhắn hoặc chuẩn bị một khoản thanh toán. Khi phần mềm bắt đầu hành động, câu hỏi hữu ích không chỉ còn là “câu trả lời này có tốt không?” mà là “ai chịu trách nhiệm về hành động này, và họ đã đồng ý khi nào?”

Cộng đồng an ninh ứng dụng đã đặt tên cho sai lầm này. Danh sách OWASP Top 10 cho ứng dụng mô hình ngôn ngữ lớn xếp quyền tự quyết quá mức (mở trang web bên ngoài) (excessive agency) vào nhóm rủi ro cốt lõi: một tác tử có nhiều chức năng, nhiều quyền hoặc nhiều quyền tự chủ hơn mức nhiệm vụ cần. Con người phê duyệt là một trong các biện pháp kiểm soát. Nếu áp dụng ở mọi nơi, nó làm chậm công việc và tập cho người dùng thói quen bấm “phê duyệt”. Nếu không áp dụng ở đâu cả, tổ chức sẽ có những hành động không ai quyết định. Công việc thực sự nằm ở chỗ đặt nó đúng nơi.

02Bắt đầu từ hành động, không bắt đầu từ mô hình

Lập danh mục mọi công cụ mà tác tử có thể gọi. Với từng công cụ, trả lời bốn câu hỏi. Các câu hỏi này cố ý xoay quanh hành động và tác động của nó, không xoay quanh mô hình.

1. 01Có hoàn tác được không? Và với chi phí nào: một cú nhấp chuột, một văn bản đính chính, một khoản hoàn tiền hay một vụ kiện?
2. 02Ai chịu tác động? Một bản nháp nội bộ, một đồng nghiệp, một khách hàng hay người dân, tiền bạc, hay một bên thứ ba?
3. 03Hành động có tạo ra cam kết hoặc hệ quả pháp lý không? Một quyết định liên quan đến một người, một khoản thanh toán, một hợp đồng, một tin nhắn gửi đi nhân danh tổ chức.
4. 04Tần suất và tốc độ ra sao? Một hành động diễn ra hàng nghìn lần mỗi ngày cần biện pháp kiểm soát khác với hành động chỉ diễn ra hai lần mỗi tuần.

Câu trả lời xếp mỗi hành động vào một trong bốn cấp. Phần lớn tổ chức nhận thấy chỉ một số ít hành động mang gần như toàn bộ rủi ro, và đó là tin tốt: công sức phê duyệt nên dồn vào đúng những hành động đó.

Các cấp này là công cụ thiết kế, không phải phân loại pháp lý. Hãy đối chiếu chúng với quy định áp dụng cho tổ chức. Với hoạt động hướng tới thị trường châu Âu, GDPR trao cho cá nhân những quyền cụ thể đối với quyết định chỉ dựa trên xử lý tự động (mở trang web bên ngoài) tạo ra hệ quả pháp lý hoặc ảnh hưởng đáng kể tương tự (Điều 22). Với hệ thống AI rủi ro cao, Đạo luật AI của EU (EU AI Act) yêu cầu hệ thống phải được con người giám sát hiệu quả (mở trang web bên ngoài) (Điều 14). Cấp 4 thường là nơi các nghĩa vụ này rơi vào.

03Những tín hiệu luôn phải đến tay con người

Một số tình huống cần đẩy hành động lên cấp cao hơn, bất kể vị trí thông thường của nó. Hãy xây dựng các tình huống này thành bước kiểm tra tường minh trong quy trình, để chúng không phụ thuộc vào việc tác tử có nhận ra hay không.

• Dữ liệu đầu vào nằm ngoài phạm vi tác tử đã được kiểm thử: một loại tài liệu mới, một ngôn ngữ ít gặp, trường dữ liệu bị thiếu hoặc mâu thuẫn.
• Các nguồn tác tử truy xuất mâu thuẫn nhau, hoặc hành động đề xuất dựa trên điều mà tác tử không trích dẫn được.
• Số tiền, phạm vi hoặc số bản ghi bị ảnh hưởng vượt ngưỡng do tổ chức đặt ra.
• Hồ sơ liên quan đến một nhóm nhạy cảm: dữ liệu sức khỏe, trẻ vị thành niên, khiếu nại, tranh chấp hoặc yêu cầu xem xét lại đang được giải quyết.
• Tác tử đã phải thử lại, hoặc một hệ thống phía sau trả về lỗi.

Danh sách trên cố ý thiếu một tín hiệu: mức độ tự tin của chính mô hình. Mô hình ngôn ngữ có thể nói sai một cách trôi chảy, hiện tượng mà Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) gọi là bịa đặt (mở trang web bên ngoài) (confabulation) trong hồ sơ rủi ro AI tạo sinh. Điểm tự đánh giá có thể là một yếu tố đầu vào, nhưng phải đi cùng các bước kiểm tra bên ngoài, như quy tắc xác thực và đối chiếu với hệ thống gốc, và không bao giờ thay thế chúng.

04Thiết kế bước phê duyệt mà con người thực sự làm được

Một chuỗi liên tục các câu hỏi “phê duyệt?” sẽ tập cho con người thói quen phê duyệt. Đạo luật AI của EU nêu thẳng rủi ro này: người giám sát một hệ thống rủi ro cao phải luôn ý thức được thiên kiến tự động hóa.

Bốn lựa chọn thiết kế giúp sự ý thức đó trở nên khả thi.

Hiển thị bằng chứng, không chỉ câu trả lời

Trình bày hành động đề xuất bằng lời lẽ dễ hiểu, các nguồn mà nó dựa vào (với liên kết mở đúng đoạn văn), quy tắc hoặc chính sách đã áp dụng và chính xác điều gì sẽ thay đổi trong hệ thống nào. Người duyệt phải mở ba ứng dụng để kiểm tra một đề xuất thì khi bị áp lực thời gian sẽ thôi kiểm tra.

Để việc từ chối dễ như việc chấp thuận

Từ chối và chỉnh sửa là kết quả bình thường, không phải ngoại lệ. Đặt hai nút này cạnh nút phê duyệt, yêu cầu một lý do ngắn khi có người từ chối, và đưa các lý do đó vào quá trình đánh giá. Nếu chỉnh sửa một đề xuất khó hơn tự viết lại từ đầu, con người sẽ phê duyệt cả những đề xuất chưa hoàn chỉnh.

Giao quyền phê duyệt cho vai trò có thẩm quyền

Quyền phê duyệt thuộc về một vai trò được chỉ định, có năng lực, được đào tạo và có thẩm quyền bác bỏ kết quả của hệ thống; với hệ thống AI rủi ro cao, Đạo luật AI yêu cầu bên triển khai đáp ứng đúng điều này (khoản 2 Điều 26 (mở trang web bên ngoài)). Bổ sung người thay thế và đường báo cáo vượt cấp, đồng thời đo thời gian các mục phải chờ. Một hàng đợi không ai phụ trách sẽ trở thành điểm nghẽn khiến các nhóm tìm cách đi vòng qua điểm phê duyệt.

Chỉ duyệt theo lô những gì thực sự ít rủi ro

Xem xét lần lượt bốn mươi mục gần như giống hệt nhau không khiến ai cẩn thận hơn. Với hành động cấp 2, cho phép duyệt theo lô kèm lấy mẫu ngẫu nhiên. Giữ nguyên việc duyệt từng mục với cấp 3 và cấp 4.

05Thực thi điểm phê duyệt trong hệ thống, không phải trong câu lệnh

Một chỉ dẫn trong câu lệnh (prompt) không phải là cơ chế kiểm soát truy cập. Văn bản mà tác tử đọc, như email, tài liệu hay trang web, có thể chứa chỉ dẫn riêng, điều OWASP gọi là chèn câu lệnh (mở trang web bên ngoài) (prompt injection). Nếu thứ duy nhất ngăn tác tử thực hiện một hành động không thể đảo ngược là một câu trong phần chỉ dẫn, hãy coi như một ngày nào đó câu ấy sẽ bị vô hiệu.

• Cấp cho tác tử một danh tính riêng với quyền tối thiểu mà từng công cụ cần, và cho tác tử hành động trong phạm vi quyền của người dùng gửi yêu cầu khi nền tảng hỗ trợ.
• Thực thi việc phê duyệt ở tầng tích hợp: dịch vụ gửi thư từ chối lệnh gọi nếu không có bản ghi phê duyệt hợp lệ cho đúng hành động đó.
• Đặt giới hạn về giá trị, số lượng và tần suất cho các công cụ, độc lập với tác tử.
• Tách biệt công cụ đọc và công cụ ghi, để có thể mở rộng những gì tác tử được thấy mà không mở rộng những gì tác tử được làm.

06Ghi nhật ký những gì sau này cần giải thích

Với mỗi lần tác tử chạy, lưu lại yêu cầu, các nguồn đã truy xuất, từng lần gọi công cụ kèm tham số, hành động đề xuất, người phê duyệt, quyết định, mọi chỉnh sửa và các mốc thời gian. Với hệ thống AI rủi ro cao, bên triển khai phải lưu nhật ký do hệ thống tự động tạo ra trong ít nhất sáu tháng, trừ khi pháp luật khác quy định khác (khoản 6 Điều 26 (mở trang web bên ngoài)). Khi không có quy định nào bắt buộc, vẫn nên lưu: nhật ký là cách tổ chức học hỏi.

Xem lại nhật ký theo một nhịp cố định. Những hành động luôn được phê duyệt nguyên trạng là ứng viên để chuyển xuống một cấp. Những hành động thường bị chỉnh sửa cho thấy điểm yếu của tác tử, hoặc cần được đặt lên cấp cao hơn. Các lần từ chối tập trung quanh một nguồn, một biểu mẫu hay một nhóm thường cho thấy vấn đề quy trình mà không mô hình nào sửa được.

07Điều doanh nghiệp tại Việt Nam cần tính đến

Đạo luật AI của EU áp dụng cho nhà cung cấp đưa hệ thống AI ra thị trường EU, dù được thành lập ở đâu, và cả cho nhà cung cấp và bên triển khai ở ngoài EU nếu kết quả đầu ra của hệ thống AI được sử dụng tại EU (điểm a và điểm c khoản 1 Điều 2). Một doanh nghiệp Việt Nam đưa tác tử AI vào quy trình phục vụ khách hàng hoặc đối tác châu Âu vì vậy nên xác định sớm vai trò của mình và những hành động nào có thể thuộc diện rủi ro cao.

Trong nước, Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ ngày 1/3/2026 và được quy định chi tiết bởi Nghị định số 142/2026/NĐ-CP, có hiệu lực từ ngày 1/5/2026. Hệ thống AI đã đưa vào hoạt động trước khi luật có hiệu lực có thời gian chuyển tiếp đến ngày 1/3/2027, hoặc đến ngày 1/9/2027 trong lĩnh vực y tế, giáo dục và tài chính. Nên đối chiếu nghĩa vụ cụ thể với văn bản luật, nghị định và ý kiến tư vấn pháp lý của tổ chức.

Khi tác tử xử lý dữ liệu cá nhân, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 1/1/2026, cũng cần được đưa vào thiết kế. Luật yêu cầu lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên xử lý (Điều 21, trừ các trường hợp được luật cho phép không áp dụng), và thông báo cho cơ quan này chậm nhất là 72 giờ kể từ khi phát hiện vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân (Điều 23). Nhật ký nêu ở phần trên chính là nguồn để trả lời nhanh trong 72 giờ đó.

08Bắt đầu hẹp, rồi chuyển hành động xuống cấp thấp hơn

Khi đưa vào vận hành, xếp phần lớn các hành động có hệ quả lớn vào cấp 3 và cấp 4. Thống nhất trước thế nào là tốt: kết quả nào được coi là đúng, lỗi nào chấp nhận được và lỗi nào không. Sau đó đo lường theo các tiêu chí đó, chẳng hạn dùng các chức năng đo lường của Khung quản lý rủi ro AI của NIST (mở trang web bên ngoài) làm danh mục kiểm tra.

Chỉ chuyển một hành động xuống cấp nhẹ hơn khi có bằng chứng: một giai đoạn mà các lần phê duyệt không cần chỉnh sửa đáng kể, các bài kiểm thử trên những trường hợp đã từng sai, và sự đồng ý của người phụ trách quy trình. Ghi lại quyết định đó như mọi thay đổi khác của hệ thống, và giữ khả năng chuyển ngược lại.

Kết quả do AI tạo ra có thể sai. Đó không phải lý do để giữ tác tử xa công việc thực tế; đó là lý do để thiết kế những điểm con người giữ quyền kiểm soát. Tác tử hữu ích vì chúng có thể hành động. Đặt điểm phê duyệt có chủ đích là điều cho phép giao cho tác tử thêm việc theo thời gian.