Doanh nghiệp xuất khẩu Việt Nam muốn giữ và mở rộng đơn hàng từ đối tác nước ngoài ngày nay không chỉ cần giá tốt và giao hàng đúng hạn — mà còn phải chứng minh được mình quản lý trí tuệ nhân tạo (AI) một cách minh bạch, an toàn và tuân thủ chuẩn quốc tế. Các tập đoàn mua hàng tại châu Âu, Mỹ, Nhật Bản và Hàn Quốc đang đưa yêu cầu về AI vào hợp đồng, bảng câu hỏi đánh giá nhà cung cấp và các đợt kiểm tra định kỳ: doanh nghiệp dùng AI ở đâu, dữ liệu được xử lý ra sao, hệ thống AI có bị thiên vị hay không, và ai chịu trách nhiệm khi AI sai. Bài viết này giải thích vì sao yêu cầu đó xuất hiện, đối tác nước ngoài thường hỏi những gì, các chuẩn quốc tế đang chi phối cuộc chơi — nổi bật là EU AI Act, GDPR và ISO/IEC 42001 — cách rà soát hệ thống AI hiện có, phân loại rủi ro, chuẩn bị hồ sơ kỹ thuật, quản trị dữ liệu xuyên biên giới, và lộ trình đáp ứng theo mức độ ưu tiên, kèm ví dụ thực tế theo ngành dệt may, điện tử, thực phẩm và phần mềm gia công.
Vì sao đối tác nước ngoài bắt đầu yêu cầu về AI?
Trước đây, yêu cầu với nhà cung cấp xuất khẩu chủ yếu xoay quanh chất lượng sản phẩm, giá, tiến độ và chứng nhận như ISO 9001 hay tiêu chuẩn ngành. Ngày nay, khi AI tham gia ngày càng sâu vào sản xuất, kiểm tra chất lượng, chăm sóc khách hàng và ra quyết định, đối tác mua hàng nhận ra rủi ro không còn nằm ở sản phẩm hữu hình mà nằm ở cách AI vận hành phía sau. Một hệ thống AI chấm điểm nhà cung cấp thiếu công bằng, một chatbot đưa thông tin sai cho khách hàng cuối, hay một mô hình dự báo nhu cầu dùng dữ liệu cá nhân trái phép đều có thể kéo theo khiếu nại, phạt hành chính và tổn hại thương hiệu — mà người chịu trách nhiệm cuối cùng thường là bên mua hàng, tức đối tác nước ngoài. Vì vậy, họ chuyển từ việc “tin tưởng” sang “yêu cầu bằng chứng”: doanh nghiệp phải mô tả được mình dùng AI ở đâu, dữ liệu nào đi vào hệ thống, mô hình được kiểm tra ra sao và ai chịu trách nhiệm giám sát.
EU AI Act là chất xúc tác lớn nhất. Đạo luật này áp dụng cho cả doanh nghiệp ngoài EU nếu sản phẩm hoặc dịch vụ có dùng AI được đưa vào thị trường châu Âu. Nghĩa là một công ty Việt Nam xuất khẩu hàng sang EU — dù chỉ dùng AI trong nội bộ để kiểm tra chất lượng — vẫn có thể bị hỏi về việc tuân thủ, vì dữ liệu và kết quả AI gắn với chuỗi cung ứng của sản phẩm. Tương tự, GDPR đã áp dụng từ lâu với mọi doanh nghiệp xử lý dữ liệu cá nhân của công dân EU, bất kể doanh nghiệp đặt trụ sở ở đâu. Khi AI và dữ liệu cá nhân gắn chặt với nhau, hai bộ luật này tạo thành “hàng rào kép” mà doanh nghiệp xuất khẩu buộc phải vượt qua.
Một động lực khác đến từ chính các tập đoàn đa quốc gia. Nhiều tập đoàn đã ban hành chính sách AI có trách nhiệm (responsible AI policy) áp dụng cho toàn bộ chuỗi cung ứng, yêu cầu nhà cung cấp ký cam kết, điền bảng đánh giá và đôi khi chấp nhận kiểm toán độc lập. Các hãng kiểm toán và tư vấn lớn cũng đưa “AI governance” vào bộ tiêu chí đánh giá nhà cung cấp. Doanh nghiệp nào chuẩn bị sớm sẽ biến yêu cầu này thành lợi thế cạnh tranh — được ưu tiên trong các đợt lựa chọn nhà cung cấp, đàm phán giá tốt hơn và ít bị gián đoạn bởi các đợt kiểm tra đột xuất.
Đối tác nước ngoài thường yêu cầu những gì về AI?
Yêu cầu về AI từ đối tác nước ngoài không phải một câu hỏi chung chung mà thường là một danh sách cụ thể, chia theo nhóm. Dưới đây là sáu nhóm yêu cầu phổ biến nhất mà doanh nghiệp xuất khẩu Việt Nam hay gặp trong bảng câu hỏi đánh giá nhà cung cấp hoặc phụ lục hợp đồng.
Nhóm 1: Minh bạch về việc dùng AI ở đâu
Đối tác muốn biết doanh nghiệp dùng AI trong những khâu nào: kiểm tra chất lượng bằng thị giác máy, chatbot chăm sóc khách hàng, dự báo nhu cầu, chấm điểm nhà cung cấp, tuyển dụng hay ra quyết định giá. Họ thường yêu cầu một danh sách đầy đủ các hệ thống AI đang vận hành, mục đích của từng hệ thống, dữ liệu đầu vào và đầu ra, và bên thứ ba nào cung cấp mô hình. Nếu doanh nghiệp dùng AI của nhà cung cấp bên ngoài (ví dụ API của OpenAI, Google hay Microsoft), đối tác cũng muốn biết tên nhà cung cấp, phiên bản mô hình và nơi dữ liệu được xử lý.
Nhóm 2: Con người giám sát AI như thế nào
Đối tác muốn thấy một người thật chịu trách nhiệm cho mỗi hệ thống AI: ai phê duyệt kết quả, ai can thiệp khi AI sai, và quy trình leo thang khi phát hiện lỗi. Với các quyết định có tác động lớn — ví dụ AI loại một ứng viên tuyển dụng hoặc từ chối một nhà cung cấp — đối tác thường yêu cầu có con người xem xét lại trước khi quyết định có hiệu lực. Họ cũng hỏi về việc đào tạo nhân sự vận hành AI và tần suất rà soát lại quyết định của hệ thống.
Nhóm 3: Dữ liệu được thu thập và bảo vệ ra sao
Nhóm yêu cầu này xoay quanh nguồn gốc dữ liệu huấn luyện và vận hành: dữ liệu lấy từ đâu, có sự đồng ý của chủ thể dữ liệu hay không, dữ liệu được lưu ở đâu, ai có quyền truy cập và dữ liệu được xóa khi nào. Đối tác đặc biệt quan tâm khi dữ liệu cá nhân của khách hàng hoặc nhân viên tại EU được đưa vào hệ thống AI, vì khi đó GDPR áp dụng trực tiếp và doanh nghiệp phải chứng minh được cơ sở pháp lý, biện pháp mã hóa, kiểm soát truy cập và quy trình xử lý khi xảy ra rò rỉ dữ liệu.
Nhóm 4: Hệ thống AI có công bằng và chính xác không
Đối tác muốn bằng chứng rằng hệ thống AI không phân biệt đối xử theo giới tính, độ tuổi, dân tộc hay các đặc điểm nhạy cảm khác, và độ chính xác của nó được đo lường bằng số liệu cụ thể. Họ có thể yêu cầu báo cáo kiểm tra thiên vị (bias audit), kết quả kiểm thử trên các nhóm dữ liệu khác nhau, và ngưỡng chấp nhận được cho tỷ lệ lỗi. Với hệ thống kiểm tra chất lượng bằng thị giác máy, họ quan tâm tới tỷ lệ bỏ sót lỗi và tỷ lệ báo lỗi sai; với chatbot, họ quan tâm tới tỷ lệ trả lời sai sự thật.
Nhóm 5: Ai chịu trách nhiệm khi AI sai
Đối tác muốn thấy một cơ chế trách nhiệm rõ ràng: khi AI đưa ra kết quả sai gây thiệt hại, ai là người chịu trách nhiệm khắc phục, bồi thường và báo cáo. Họ thường yêu cầu doanh nghiệp mô tả quy trình ghi nhật ký (logging) để truy vết lại quyết định của AI, thời gian lưu trữ nhật ký, và cách doanh nghiệp thông báo cho đối tác khi phát hiện sự cố liên quan tới AI. Một số hợp đồng còn quy định nghĩa vụ thông báo trong vòng 24–72 giờ khi xảy ra sự cố nghiêm trọng.
Nhóm 6: Có chứng nhận hoặc kiểm toán độc lập không
Nhóm yêu cầu cuối cùng là về bằng chứng độc lập: doanh nghiệp có chứng nhận ISO/IEC 42001 về quản lý AI hay không, đã từng qua kiểm toán AI độc lập chưa, và có báo cáo đánh giá tác động (impact assessment) cho các hệ thống rủi ro cao hay không. Chứng nhận và kiểm toán độc lập không phải lúc nào cũng bắt buộc, nhưng có chúng giúp doanh nghiệp trả lời bảng câu hỏi của đối tác nhanh hơn rất nhiều, vì phần lớn câu hỏi đã được trả lời trong hồ sơ chứng nhận.
| Nhóm yêu cầu | Ví dụ câu hỏi từ đối tác | Bằng chứng cần chuẩn bị |
|---|---|---|
| Minh bạch về việc dùng AI | Doanh nghiệp dùng AI ở những khâu nào? | Danh sách hệ thống AI, mục đích, dữ liệu đầu vào/đầu ra |
| Giám sát của con người | Ai phê duyệt kết quả AI? | Sơ đồ trách nhiệm, quy trình leo thang, biên bản rà soát |
| Bảo vệ dữ liệu | Dữ liệu cá nhân được xử lý ở đâu? | Chính sách dữ liệu, hợp đồng xử lý dữ liệu, biện pháp mã hóa |
| Công bằng và chính xác | Độ chính xác của AI là bao nhiêu? | Báo cáo kiểm tra thiên vị, số liệu độ chính xác theo nhóm |
| Trách nhiệm khi AI sai | Ai chịu trách nhiệm khi AI sai? | Nhật ký hệ thống, quy trình xử lý sự cố, cam kết thông báo |
| Chứng nhận, kiểm toán | Có chứng nhận ISO/IEC 42001 không? | Chứng chỉ, báo cáo kiểm toán độc lập, đánh giá tác động |
EU AI Act và các chuẩn quốc tế doanh nghiệp xuất khẩu cần biết
EU AI Act là đạo luật toàn diện đầu tiên trên thế giới về trí tuệ nhân tạo, được Nghị viện châu Âu thông qua năm 2024 và bắt đầu áp dụng theo lộ trình từ năm 2025. Đạo luật này phân loại hệ thống AI theo mức độ rủi ro và đặt ra nghĩa vụ tương ứng cho từng mức. Doanh nghiệp xuất khẩu Việt Nam cần hiểu khung phân loại này vì nó quyết định mức độ hồ sơ và kiểm tra mà đối tác EU sẽ yêu cầu.
Bốn mức rủi ro của EU AI Act
EU AI Act chia hệ thống AI thành bốn mức. Mức rủi ro không thể chấp nhận được bao gồm các hệ thống bị cấm hoàn toàn, như chấm điểm xã hội của công dân hay nhận diện sinh trắc học từ xa theo thời gian thực tại nơi công cộng (trừ một số ngoại lệ hẹp cho thực thi pháp luật). Mức rủi ro cao gồm các hệ thống ảnh hưởng trực tiếp tới an toàn và quyền con người: tuyển dụng và quản lý nhân sự, chấm điểm tín dụng, giáo dục và đào tạo nghề, y tế, giao thông, cơ sở hạ tầng quan trọng và thực thi pháp luật. Các hệ thống rủi ro cao phải đáp ứng nhiều nghĩa vụ nhất: quản lý rủi ro, quản trị dữ liệu, ghi nhật ký, minh bạch, giám sát của con người, đảm bảo độ chính xác và an ninh mạng, cùng đánh giá sự phù hợp trước khi đưa ra thị trường.
Mức rủi ro hạn chế áp dụng cho các hệ thống như chatbot hay công cụ tạo nội dung tổng hợp: nghĩa vụ chính là minh bạch — người dùng phải biết mình đang tương tác với AI hoặc nội dung do AI tạo ra. Mức rủi ro tối thiểu gồm phần lớn các ứng dụng AI thông thường như lọc thư rác hay gợi ý phim: không có nghĩa vụ bắt buộc, chỉ khuyến khích áp dụng quy tắc tự nguyện. Doanh nghiệp xuất khẩu cần xác định hệ thống AI của mình thuộc mức nào, vì điều đó quyết định toàn bộ khối lượng công việc tuân thủ phía sau.
EU AI Act ảnh hưởng thế nào tới doanh nghiệp ngoài EU
EU AI Act có hiệu lực ngoài lãnh thổ: bất kỳ doanh nghiệp nào cung cấp hệ thống AI cho thị trường EU hoặc có đầu ra AI được sử dụng trong EU đều thuộc phạm vi điều chỉnh. Với doanh nghiệp xuất khẩu Việt Nam, điều này có nghĩa là: nếu sản phẩm của bạn tích hợp AI (ví dụ thiết bị IoT có nhận diện hình ảnh), hoặc dịch vụ bạn cung cấp cho đối tác EU có dùng AI (ví dụ xử lý đơn hàng, chăm sóc khách hàng), bạn đều có thể bị yêu cầu chứng minh tuân thủ. Doanh nghiệp ngoài EU còn phải chỉ định một đại diện ủy quyền tại EU đối với hệ thống rủi ro cao, và phải hợp tác khi cơ quan giám sát thị trường EU yêu cầu cung cấp tài liệu.
Lộ trình áp dụng của EU AI Act diễn ra theo từng giai đoạn: các lệnh cấm với hệ thống rủi ro không thể chấp nhận được áp dụng từ tháng 2/2025; nghĩa vụ với mô hình AI đa năng (general-purpose AI) áp dụng từ tháng 8/2025; và phần lớn nghĩa vụ với hệ thống rủi ro cao áp dụng từ tháng 8/2026, với một số nghĩa vụ cho hệ thống tích hợp trong sản phẩm áp dụng tới tháng 8/2027. Doanh nghiệp xuất khẩu nên dùng lộ trình này để sắp xếp thứ tự ưu tiên: xử lý trước các hệ thống rủi ro cao sẽ chịu nghĩa vụ sớm nhất.
Ngoài EU AI Act, doanh nghiệp cần biết tới ISO/IEC 42001 — tiêu chuẩn quốc tế về hệ thống quản lý AI, tương tự như ISO 9001 cho chất lượng hay ISO 27001 cho an toàn thông tin. ISO/IEC 42001 cung cấp khung quản lý để doanh nghiệp xây dựng chính sách AI, đánh giá rủi ro, kiểm soát và cải tiến liên tục. Có chứng nhận ISO/IEC 42001 là bằng chứng mạnh khi đối tác hỏi về năng lực quản trị AI. Bên cạnh đó, các khung như NIST AI Risk Management Framework của Mỹ và hướng dẫn của OECD về AI đáng tin cậy cũng thường được đối tác quốc tế tham chiếu.
Bảo vệ dữ liệu xuyên biên giới khi dùng AI: GDPR, Nghị định 13 và chuyển dữ liệu ra nước ngoài
Khi doanh nghiệp Việt Nam dùng AI để xử lý dữ liệu của khách hàng, đối tác hay nhân viên ở nước ngoài, dữ liệu thường phải di chuyển qua biên giới: dữ liệu từ EU được gửi về máy chủ tại Việt Nam, hoặc dữ liệu tại Việt Nam được gửi lên dịch vụ AI đặt tại Mỹ hay Singapore. Mỗi lần dữ liệu xuyên biên giới là một lần doanh nghiệp phải tuân thủ đồng thời luật của cả hai phía, và đây là khu vực dễ mắc lỗi nhất.
GDPR áp dụng như thế nào với doanh nghiệp Việt Nam
GDPR áp dụng cho mọi tổ chức xử lý dữ liệu cá nhân của người đang ở trong EU, bất kể tổ chức đó đặt trụ sở ở đâu. Doanh nghiệp xuất khẩu Việt Nam sẽ thuộc phạm vi GDPR khi: thu thập dữ liệu khách hàng EU (ví dụ qua website, CRM, khảo sát), xử lý dữ liệu nhân viên của đối tác EU, hoặc dùng dữ liệu cá nhân EU để huấn luyện hay vận hành AI. Khi đó, doanh nghiệp phải có cơ sở pháp lý cho việc xử lý (thường là sự đồng ý hoặc thực hiện hợp đồng), thông báo minh bạch cho chủ thể dữ liệu, tôn trọng các quyền như quyền truy cập, xóa dữ liệu, phản đối xử lý tự động, và áp dụng biện pháp bảo vệ phù hợp như mã hóa và kiểm soát truy cập. Mức phạt GDPR có thể lên tới 20 triệu euro hoặc 4% doanh thu toàn cầu — một con số đủ để đe dọa sự tồn tại của doanh nghiệp vừa và nhỏ.
Một điểm hay bị bỏ qua: khi doanh nghiệp dùng dịch vụ AI của bên thứ ba (ví dụ gửi dữ liệu khách hàng lên một mô hình ngôn ngữ lớn qua API), doanh nghiệp vẫn là bên chịu trách nhiệm chính về dữ liệu đó, và phải ký hợp đồng xử lý dữ liệu (data processing agreement) với nhà cung cấp AI. Hợp đồng này phải nêu rõ dữ liệu được xử lý ở đâu, lưu bao lâu, có được dùng để huấn luyện mô hình hay không, và quy trình xử lý khi xảy ra rò rỉ. Nhiều doanh nghiệp Việt Nam gửi dữ liệu lên các dịch vụ AI mà không ký hợp đồng xử lý dữ liệu — đây là một lỗ hổng tuân thủ nghiêm trọng mà đối tác nước ngoài rất dễ phát hiện.
Nghị định 13/2023 và chuyển dữ liệu cá nhân ra khỏi Việt Nam
Ở phía Việt Nam, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân yêu cầu doanh nghiệp lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài trong nhiều trường hợp. Khi doanh nghiệp gửi dữ liệu cá nhân của người Việt Nam ra máy chủ hay dịch vụ AI ở nước ngoài, cần hoàn thiện các hồ sơ này và trong một số trường hợp phải thông báo cho cơ quan chức năng. Doanh nghiệp xuất khẩu cần quản lý cả hai chiều: dữ liệu EU vào Việt Nam (chịu GDPR) và dữ liệu Việt Nam ra nước ngoài (chịu Nghị định 13).
Bốn lỗi dữ liệu thường gặp nhất khi dùng AI
Lỗi thứ nhất: thu thập quá nhiều dữ liệu “để dành” mà không có mục đích rõ ràng — vi phạm nguyên tắc giới hạn mục đích của cả GDPR và Nghị định 13.
Lỗi thứ hai: dùng dữ liệu khách hàng để huấn luyện mô hình AI mà không có cơ sở pháp lý và không thông báo cho chủ thể dữ liệu.
Lỗi thứ ba: không phân loại dữ liệu nhạy cảm (sức khỏe, sinh trắc học, vị trí) và áp dụng cùng một mức bảo vệ cho mọi loại dữ liệu.
Lỗi thứ tư: không có quy trình xóa dữ liệu khi hết mục đích sử dụng hoặc khi chủ thể dữ liệu yêu cầu — dữ liệu cứ tồn tại mãi trong các bản sao lưu và hệ thống AI đã huấn luyện.
Bước 1: Rà soát toàn bộ hệ thống AI đang dùng và phân loại rủi ro
Mọi lộ trình đáp ứng yêu cầu AI đều bắt đầu từ một bước tưởng như đơn giản nhưng nhiều doanh nghiệp bỏ qua: lập danh sách đầy đủ mọi hệ thống AI đang vận hành trong doanh nghiệp, kể cả những công cụ tưởng như “không phải AI”. Chatbot trên website, công cụ dịch tự động, phần mềm nhận diện khuôn mặt chấm công, hệ thống gợi ý sản phẩm, công cụ sàng lọc hồ sơ ứng viên, mô hình dự báo tồn kho — tất cả đều là AI và đều cần được ghi nhận.
Cách lập danh sách AI đầy đủ trong 2 tuần
Việc lập danh sách nên do một nhóm nhỏ phụ trách, gồm đại diện từ IT, vận hành, nhân sự và pháp chế. Nhóm này phỏng vấn từng phòng ban, kiểm tra các hợp đồng phần mềm đang dùng, rà soát các tài khoản dịch vụ đám mây và liệt kê mọi công cụ có yếu tố AI. Với mỗi hệ thống, ghi lại: tên hệ thống, nhà cung cấp, mục đích sử dụng, dữ liệu đầu vào, dữ liệu đầu ra, ai vận hành, ai chịu trách nhiệm và dữ liệu có chứa thông tin cá nhân hay không. Một doanh nghiệp vừa (200–500 nhân sự) thường phát hiện 15–30 hệ thống AI, nhiều hơn hẳn con số ban lãnh đạo tưởng tượng.
Sau khi có danh sách, bước tiếp theo là phân loại: hệ thống nào xử lý dữ liệu cá nhân của công dân EU, hệ thống nào ra quyết định ảnh hưởng tới con người, hệ thống nào chỉ dùng nội bộ không chạm tới dữ liệu cá nhân. Việc phân loại này quyết định hệ thống nào cần hồ sơ đầy đủ và hệ thống nào chỉ cần ghi nhận đơn giản.
Phân loại rủi ro theo EU AI Act và mức độ ưu tiên
Với mỗi hệ thống trong danh sách, doanh nghiệp áp dụng khung phân loại bốn mức của EU AI Act.
Nếu hệ thống thuộc nhóm rủi ro không thể chấp nhận được (ví dụ chấm điểm xã hội nhân viên), cần dừng ngay hoặc thiết kế lại.
Nếu thuộc nhóm rủi ro cao (ví dụ sàng lọc hồ sơ ứng viên, chấm điểm tín dụng, kiểm tra an toàn lao động), cần chuẩn bị hồ sơ đầy đủ nhất: đánh giá tác động, hồ sơ kỹ thuật, kiểm tra thiên vị, giám sát của con người và nhật ký hệ thống.
Nếu thuộc nhóm rủi ro hạn chế (chatbot, công cụ tạo nội dung), cần đảm bảo minh bạch: thông báo cho người dùng rằng họ đang tương tác với AI.
Nếu thuộc nhóm rủi ro tối thiểu (lọc thư rác, gợi ý nội dung nội bộ), chỉ cần ghi nhận và áp dụng quy tắc tự nguyện.
| Hệ thống AI | Mức rủi ro (EU AI Act) | Hồ sơ cần chuẩn bị |
|---|---|---|
| Sàng lọc hồ sơ ứng viên | Cao | Đánh giá tác động, hồ sơ kỹ thuật, kiểm tra thiên vị |
| Chatbot chăm sóc khách hàng | Hạn chế | Thông báo minh bạch, nhật ký hội thoại, quy trình leo thang |
| Kiểm tra chất lượng bằng thị giác máy | Tối thiểu (hoặc Cao nếu liên quan an toàn) | Số liệu độ chính xác, quy trình kiểm tra định kỳ |
| Dự báo nhu cầu, tồn kho | Tối thiểu | Ghi nhận hệ thống, mô tả mục đích và dữ liệu |
| Nhận diện khuôn mặt chấm công | Cao | Đánh giá tác động, đồng ý của nhân viên, biện pháp bảo vệ sinh trắc học |
Bước 2: Chuẩn bị hồ sơ kỹ thuật và đánh giá tác động
Với các hệ thống rủi ro cao, đối tác nước ngoài và cơ quan quản lý EU sẽ yêu cầu hồ sơ kỹ thuật (technical documentation) — một bộ tài liệu mô tả chi tiết hệ thống AI: mục đích, phiên bản, dữ liệu huấn luyện, phương pháp kiểm tra, độ chính xác đo được, biện pháp quản lý rủi ro và hướng dẫn sử dụng. Hồ sơ này không cần viết từ đầu trong một lần; doanh nghiệp có thể xây dựng dần theo mẫu, bắt đầu từ hệ thống rủi ro cao nhất.
Hồ sơ kỹ thuật cần có những gì
Hồ sơ kỹ thuật nên gồm: mô tả tổng thể hệ thống và mục đích sử dụng; mô tả dữ liệu huấn luyện, kiểm tra và vận hành, bao gồm nguồn gốc và phương pháp thu thập; mô tả kiến trúc mô hình và các phiên bản đã triển khai; kết quả kiểm tra độ chính xác, độ ổn định và thiên vị; biện pháp quản lý rủi ro đã áp dụng; hướng dẫn vận hành và giám sát; và nhật ký thay đổi phiên bản. Với hệ thống mua từ nhà cung cấp bên ngoài, phần lớn thông tin này phải được yêu cầu từ nhà cung cấp — doanh nghiệp nên đưa điều khoản cung cấp tài liệu kỹ thuật vào hợp đồng mua phần mềm ngay từ đầu.
Một lưu ý quan trọng: hồ sơ kỹ thuật phải được cập nhật mỗi khi hệ thống thay đổi phiên bản, dữ liệu huấn luyện hoặc mục đích sử dụng. Đối tác nước ngoài thường kiểm tra ngày cập nhật gần nhất của hồ sơ để đánh giá doanh nghiệp có thực sự duy trì quản trị AI hay chỉ làm hồ sơ một lần cho có.
Đánh giá tác động trước khi triển khai hệ thống mới
Trước khi đưa một hệ thống AI rủi ro cao vào vận hành, doanh nghiệp nên thực hiện đánh giá tác động (impact assessment): xác định hệ thống ảnh hưởng tới ai, rủi ro nào có thể xảy ra, mức độ nghiêm trọng ra sao và biện pháp giảm thiểu là gì. Đánh giá này nên được ghi thành văn bản, có chữ ký phê duyệt của người chịu trách nhiệm và được lưu trữ cùng hồ sơ kỹ thuật. Khi đối tác hỏi “doanh nghiệp đã đánh giá rủi ro của hệ thống này chưa”, đây chính là tài liệu để trả lời.
Bước 3: Thiết lập quản trị dữ liệu và kiểm soát truy cập
Quản trị dữ liệu là nền tảng của mọi yêu cầu tuân thủ AI. Doanh nghiệp cần phân loại dữ liệu theo mức độ nhạy cảm, quy định ai được truy cập dữ liệu nào, mã hóa dữ liệu khi lưu trữ và khi truyền tải, và ghi nhật ký truy cập. Với dữ liệu cá nhân, cần có quy trình xử lý yêu cầu của chủ thể dữ liệu (truy cập, sửa, xóa) trong thời hạn luật định — GDPR quy định thời hạn thông thường là một tháng.
Doanh nghiệp cũng cần rà soát lại các hợp đồng với nhà cung cấp AI và dịch vụ đám mây: dữ liệu được xử lý ở đâu, có được dùng để huấn luyện mô hình chung hay không, và nhà cung cấp có cam kết tuân thủ GDPR hay không. Nếu nhà cung cấp đặt máy chủ ngoài EU và doanh nghiệp chuyển dữ liệu cá nhân EU cho họ, cần có cơ chế chuyển dữ liệu hợp lệ như điều khoản hợp đồng tiêu chuẩn (Standard Contractual Clauses) của EU.
Bước 4: Kiểm tra thiên vị và độ chính xác định kỳ
Hệ thống AI không tự duy trì độ chính xác theo thời gian. Dữ liệu thực tế thay đổi, hành vi khách hàng thay đổi, và mô hình dần “lệch” khỏi thực tế — hiện tượng này gọi là model drift. Doanh nghiệp cần kiểm tra định kỳ độ chính xác của hệ thống và phát hiện thiên vị: mô hình có đưa ra kết quả khác biệt cho các nhóm người khác nhau hay không.
Việc kiểm tra nên được thực hiện trên dữ liệu kiểm tra độc lập, không trùng với dữ liệu huấn luyện, và kết quả nên được ghi lại thành báo cáo. Với hệ thống kiểm tra chất lượng bằng thị giác máy, kiểm tra tỷ lệ bỏ sót lỗi trên từng loại sản phẩm; với hệ thống sàng lọc hồ sơ, kiểm tra tỷ lệ ứng viên được chọn theo giới tính và độ tuổi. Nếu phát hiện thiên vị vượt ngưỡng, doanh nghiệp cần có kế hoạch khắc phục: bổ sung dữ liệu, điều chỉnh mô hình hoặc thay đổi quy trình ra quyết định.
Tần suất kiểm tra phụ thuộc vào mức rủi ro: hệ thống rủi ro cao nên kiểm tra ít nhất mỗi quý, hệ thống rủi ro hạn chế kiểm tra mỗi sáu tháng, hệ thống rủi ro tối thiểu kiểm tra hàng năm hoặc khi có thay đổi lớn.
Bước 5: Lộ trình đáp ứng theo mức độ ưu tiên
Không doanh nghiệp nào có thể hoàn thiện mọi hồ sơ tuân thủ trong một tuần. Lộ trình thực tế chia thành ba giai đoạn theo mức độ ưu tiên, giúp doanh nghiệp đáp ứng được yêu cầu khẩn cấp của đối tác trước, rồi hoàn thiện dần phần còn lại.
Giai đoạn 1 (tuần 1–2): Trả lời được câu hỏi của đối tác
Lập danh sách hệ thống AI, phân loại rủi ro, chuẩn bị câu trả lời cho sáu nhóm yêu cầu phổ biến và rà soát hợp đồng với nhà cung cấp AI. Kết quả của giai đoạn này là doanh nghiệp có thể trả lời bảng câu hỏi của đối tác một cách tự tin, dù hồ sơ chi tiết chưa hoàn thiện.
Giai đoạn 2 (tháng 1–3): Hoàn thiện hồ sơ cho hệ thống rủi ro cao
Xây dựng hồ sơ kỹ thuật và đánh giá tác động cho các hệ thống rủi ro cao, thiết lập quản trị dữ liệu và quy trình kiểm tra thiên vị, ký hợp đồng xử lý dữ liệu với nhà cung cấp AI, và hoàn thiện hồ sơ đánh giá tác động theo Nghị định 13. Giai đoạn này thường cần sự hỗ trợ của đơn vị tư vấn chuyên về AI và pháp lý.
Giai đoạn 3 (tháng 3–6): Chứng nhận và vận hành liên tục
Triển khai hệ thống quản lý AI theo ISO/IEC 42001, thực hiện kiểm toán AI độc lập nếu đối tác yêu cầu, và đưa việc rà soát AI vào quy trình vận hành thường kỳ: kiểm tra định kỳ, cập nhật hồ sơ khi thay đổi, đào tạo nhân sự mới. Mục tiêu của giai đoạn này là biến tuân thủ AI từ một dự án một lần thành năng lực vận hành thường xuyên của doanh nghiệp.
| Giai đoạn | Thời gian | Việc cần làm | Kết quả |
|---|---|---|---|
| 1. Trả lời đối tác | Tuần 1–2 | Lập danh sách AI, phân loại rủi ro, trả lời bảng câu hỏi | Trả lời được yêu cầu khẩn cấp của đối tác |
| 2. Hồ sơ rủi ro cao | Tháng 1–3 | Hồ sơ kỹ thuật, đánh giá tác động, quản trị dữ liệu | Có hồ sơ đầy đủ cho hệ thống rủi ro cao |
| 3. Chứng nhận, vận hành | Tháng 3–6 | ISO/IEC 42001, kiểm toán độc lập, rà soát định kỳ | Tuân thủ AI thành năng lực thường xuyên |
Ví dụ thực tế theo ngành: yêu cầu AI khác nhau ra sao
Yêu cầu về AI không giống nhau ở mọi ngành. Doanh nghiệp dệt may xuất khẩu sang EU sẽ gặp những câu hỏi khác với doanh nghiệp điện tử xuất khẩu sang Mỹ hay công ty phần mềm gia công cho khách hàng Nhật Bản. Hiểu sự khác biệt này giúp doanh nghiệp chuẩn bị đúng trọng tâm thay vì làm dàn trải.
Ngành dệt may và da giày xuất khẩu sang EU
Doanh nghiệp dệt may thường dùng AI để kiểm tra chất lượng vải bằng thị giác máy, dự báo nhu cầu nguyên liệu và tối ưu cắt vải. Đối tác EU thường hỏi về dữ liệu huấn luyện của hệ thống kiểm tra chất lượng: ảnh mẫu có chứa dữ liệu cá nhân của công nhân không, mô hình có được kiểm tra trên nhiều loại vải và màu sắc khác nhau không, và tỷ lệ bỏ sót lỗi là bao nhiêu. Họ cũng quan tâm tới việc AI có ảnh hưởng tới điều kiện lao động hay không — ví dụ hệ thống chấm công bằng nhận diện khuôn mặt phải có sự đồng ý của người lao động và biện pháp bảo vệ dữ liệu sinh trắc học.
Một doanh nghiệp dệt may tại Bình Dương đã từng bị đối tác EU yêu cầu dừng hệ thống chấm công bằng nhận diện khuôn mặt vì không có đánh giá tác động và không xin ý kiến người lao động. Sau khi thực hiện đánh giá tác động, xin đồng ý và chuyển sang lưu trữ dữ liệu sinh trắc học dưới dạng mã hóa không thể đảo ngược, doanh nghiệp được đối tác chấp nhận tiếp tục sử dụng hệ thống.
Ngành điện tử và linh kiện xuất khẩu sang Mỹ
Doanh nghiệp điện tử thường dùng AI trong kiểm tra linh kiện, dự báo lỗi dây chuyền và quản lý chuỗi cung ứng. Đối tác Mỹ thường tập trung vào an ninh mạng và sở hữu trí tuệ: mô hình AI có được huấn luyện bằng dữ liệu độc quyền của đối tác hay không, dữ liệu thiết kế có bị gửi ra khỏi hệ thống của doanh nghiệp hay không, và nhà cung cấp AI có cam kết không dùng dữ liệu của doanh nghiệp để huấn luyện mô hình chung hay không. Họ cũng yêu cầu doanh nghiệp mô tả quy trình xử lý khi phát hiện mô hình AI đưa ra kết quả sai trong kiểm tra linh kiện — vì một lô linh kiện lỗi lọt qua kiểm tra có thể gây ra đợt thu hồi sản phẩm tốn kém.
Một nhà máy điện tử tại Bắc Ninh đã xây dựng quy trình “hai lớp kiểm tra”: AI kiểm tra trước, sau đó con người kiểm tra ngẫu nhiên 5% số linh kiện AI đã duyệt và 100% số linh kiện AI đánh dấu nghi ngờ. Quy trình này giúp doanh nghiệp trả lời thuyết phục khi đối tác Mỹ hỏi về cách giám sát độ chính xác của AI.
Ngành thực phẩm và nông sản xuất khẩu
Doanh nghiệp thực phẩm dùng AI để phân loại nông sản, dự báo chất lượng và truy xuất nguồn gốc. Đối tác nước ngoài, đặc biệt là các chuỗi siêu thị châu Âu, thường hỏi về khả năng truy xuất: khi AI phân loại một lô hàng là đạt chuẩn, doanh nghiệp có truy vết được quyết định đó dựa trên dữ liệu nào hay không. Họ cũng quan tâm tới việc AI có được dùng để ra quyết định về an toàn thực phẩm hay không — nếu có, hệ thống đó được xếp vào nhóm rủi ro cao và cần hồ sơ đầy đủ.
Một doanh nghiệp chế biến thủy sản xuất khẩu sang EU đã xây dựng nhật ký AI chi tiết: mỗi lô hàng được AI phân loại đều ghi lại thời gian, phiên bản mô hình, dữ liệu đầu vào và kết quả, kèm theo chữ ký xác nhận của nhân viên kiểm tra. Nhờ nhật ký này, doanh nghiệp vượt qua đợt kiểm tra của đối tác mà không cần bổ sung thêm tài liệu.
Ngành phần mềm gia công cho khách hàng Nhật Bản và Hàn Quốc
Công ty phần mềm gia công thường dùng AI để hỗ trợ lập trình, kiểm thử và quản lý dự án. Khách hàng Nhật Bản và Hàn Quốc thường yêu cầu rất chi tiết về việc mã nguồn và dữ liệu dự án có được đưa lên các công cụ AI bên ngoài hay không — vì mã nguồn là tài sản sở hữu trí tuệ của khách hàng. Họ yêu cầu doanh nghiệp liệt kê mọi công cụ AI mà lập trình viên sử dụng, cam kết không đưa mã nguồn lên mô hình AI công khai, và sử dụng phiên bản AI triển khai nội bộ hoặc có hợp đồng bảo mật rõ ràng.
Một công ty phần mềm tại Hà Nội đã ban hành chính sách “danh sách trắng” công cụ AI: chỉ những công cụ đã được phê duyệt và ký hợp đồng bảo mật mới được dùng trong dự án, mọi công cụ AI công khai đều bị chặn trên máy tính làm việc. Chính sách này trở thành điểm cộng lớn khi công ty tham gia đấu thầu dự án với khách hàng Nhật Bản.
Checklist: doanh nghiệp đã sẵn sàng đáp ứng yêu cầu AI chưa?
Trước khi trả lời bảng câu hỏi của đối tác hoặc bước vào đợt kiểm tra, doanh nghiệp nên tự đánh giá bằng checklist dưới đây. Mỗi mục chưa hoàn thành là một khoảng trống cần lấp trước khi đối tác phát hiện ra.
| Hạng mục | Câu hỏi tự đánh giá | Đã xong? |
|---|---|---|
| Danh sách AI | Đã lập danh sách đầy đủ mọi hệ thống AI đang dùng? | ☐ |
| Phân loại rủi ro | Đã phân loại từng hệ thống theo EU AI Act? | ☐ |
| Hồ sơ kỹ thuật | Hệ thống rủi ro cao đã có hồ sơ kỹ thuật chưa? | ☐ |
| Đánh giá tác động | Đã đánh giá tác động cho hệ thống rủi ro cao? | ☐ |
| Quản trị dữ liệu | Đã phân loại dữ liệu và kiểm soát truy cập? | ☐ |
| Hợp đồng nhà cung cấp AI | Đã ký hợp đồng xử lý dữ liệu với nhà cung cấp AI? | ☐ |
| Kiểm tra thiên vị | Đã kiểm tra thiên vị và độ chính xác định kỳ? | ☐ |
| Giám sát con người | Mỗi hệ thống AI đã có người chịu trách nhiệm? | ☐ |
| Quy trình sự cố | Đã có quy trình xử lý và thông báo sự cố AI? | ☐ |
| Nhật ký hệ thống | Hệ thống AI có ghi nhật ký đầy đủ không? | ☐ |
| Đào tạo nhân sự | Nhân sự vận hành AI đã được đào tạo? | ☐ |
| Chứng nhận | Đã có kế hoạch đạt ISO/IEC 42001? | ☐ |
Chi phí đáp ứng yêu cầu AI: doanh nghiệp cần chuẩn bị ngân sách bao nhiêu?
Chi phí đáp ứng yêu cầu AI phụ thuộc vào quy mô doanh nghiệp, số lượng hệ thống AI và mức độ rủi ro. Với doanh nghiệp vừa (100–500 nhân sự, 10–20 hệ thống AI), chi phí cho giai đoạn rà soát và lập hồ sơ ban đầu thường dao động từ vài chục tới vài trăm triệu đồng, bao gồm chi phí tư vấn, kiểm toán và xây dựng hệ thống quản lý. Chi phí chứng nhận ISO/IEC 42001 và kiểm toán độc lập là khoản riêng, thường tính theo quy mô và phạm vi chứng nhận.
So với chi phí mất một hợp đồng xuất khẩu lớn vì không đáp ứng được yêu cầu AI của đối tác — có thể lên tới hàng chục tỷ đồng doanh thu mỗi năm — khoản đầu tư cho tuân thủ AI là rất nhỏ. Hơn nữa, nhiều khoản chi cho quản trị AI mang lại lợi ích kép: hệ thống dữ liệu tốt hơn, quy trình rõ ràng hơn và rủi ro vận hành thấp hơn, không chỉ phục vụ tuân thủ mà còn cải thiện hiệu quả kinh doanh.
Doanh nghiệp nên xem chi phí tuân thủ AI như một khoản đầu tư vào năng lực cạnh tranh, không phải chi phí hành chính. Những doanh nghiệp chuẩn bị sớm sẽ có lợi thế khi đối tác bắt đầu siết yêu cầu: họ trả lời nhanh hơn, ít bị gián đoạn hơn và được ưu tiên trong các đợt lựa chọn nhà cung cấp.
Câu hỏi thường gặp (FAQs)
Đối tác nước ngoài bắt đầu yêu cầu về AI từ khi nào?
Yêu cầu về AI bắt đầu xuất hiện rõ nét từ năm 2024, khi EU AI Act được thông qua và các tập đoàn lớn ban hành chính sách AI có trách nhiệm cho chuỗi cung ứng. Từ năm 2025, yêu cầu này trở nên phổ biến trong các bảng câu hỏi đánh giá nhà cung cấp và phụ lục hợp đồng, đặc biệt với doanh nghiệp xuất khẩu sang EU, Mỹ, Nhật Bản và Hàn Quốc.
Doanh nghiệp nhỏ có bị yêu cầu về AI không?
Có. Yêu cầu về AI không chỉ áp dụng cho doanh nghiệp lớn. Ngay cả doanh nghiệp nhỏ cũng có thể bị hỏi nếu họ dùng AI trong quy trình liên quan tới sản phẩm hoặc dịch vụ cung cấp cho đối tác — ví dụ dùng chatbot chăm sóc khách hàng hay hệ thống kiểm tra chất lượng tự động. Tuy nhiên, mức độ hồ sơ yêu cầu thường tỷ lệ thuận với quy mô và mức độ rủi ro của hệ thống AI.
EU AI Act có áp dụng cho doanh nghiệp Việt Nam không?
Có, nếu doanh nghiệp cung cấp sản phẩm hoặc dịch vụ có dùng AI cho thị trường EU hoặc có đầu ra AI được sử dụng trong EU. Đạo luật có hiệu lực ngoài lãnh thổ và áp dụng theo lộ trình từ năm 2025 tới 2027 tùy loại hệ thống.
Cần bao lâu để đáp ứng yêu cầu AI của đối tác?
Để trả lời được bảng câu hỏi của đối tác, doanh nghiệp thường cần 1–2 tuần rà soát và chuẩn bị. Để hoàn thiện hồ sơ cho hệ thống rủi ro cao, cần thêm 1–3 tháng. Để đạt chứng nhận ISO/IEC 42001 và vận hành tuân thủ liên tục, cần 3–6 tháng. Doanh nghiệp nên bắt đầu ngay cả khi đối tác chưa yêu cầu chính thức, vì chuẩn bị sớm luôn rẻ hơn xử lý gấp.
Doanh nghiệp cần thuê tư vấn bên ngoài không?
Với doanh nghiệp chưa có đội ngũ pháp lý và kỹ thuật chuyên về AI, thuê tư vấn bên ngoài là lựa chọn hợp lý cho giai đoạn rà soát, phân loại rủi ro và xây dựng hồ sơ ban đầu. Sau đó, doanh nghiệp có thể tự vận hành việc rà soát định kỳ khi đã có quy trình và nhân sự được đào tạo.
Chứng nhận ISO/IEC 42001 có bắt buộc không?
Hiện tại, ISO/IEC 42001 chưa phải là yêu cầu bắt buộc theo luật, nhưng ngày càng nhiều đối tác lớn coi đây là bằng chứng tin cậy về năng lực quản trị AI. Có chứng nhận giúp doanh nghiệp trả lời bảng câu hỏi của đối tác nhanh hơn và tăng khả năng trúng thầu trong các đợt lựa chọn nhà cung cấp.
Dùng AI của nhà cung cấp bên ngoài (như ChatGPT) có cần khai báo không?
Có. Doanh nghiệp cần liệt kê mọi công cụ AI đang dùng, kể cả công cụ miễn phí hay dùng thử, trong danh sách hệ thống AI. Khi dữ liệu được gửi lên dịch vụ AI bên ngoài, doanh nghiệp phải ký hợp đồng xử lý dữ liệu với nhà cung cấp và đảm bảo dữ liệu không được dùng để huấn luyện mô hình chung nếu không có sự đồng ý.
Nếu đối tác yêu cầu kiểm toán AI độc lập thì sao?
Doanh nghiệp nên chuẩn bị sẵn hồ sơ kỹ thuật, nhật ký hệ thống, báo cáo kiểm tra thiên vị và đánh giá tác động để cung cấp cho đơn vị kiểm toán. Kiểm toán AI độc lập thường tập trung vào độ chính xác, tính công bằng, bảo vệ dữ liệu và cơ chế giám sát của con người. Doanh nghiệp có hệ thống quản lý AI theo ISO/IEC 42001 sẽ vượt qua kiểm toán dễ dàng hơn nhiều.
Đáp ứng yêu cầu AI của đối tác nước ngoài là một hành trình, không phải một dự án một lần. Doanh nghiệp bắt đầu càng sớm thì càng có lợi thế: trả lời đối tác nhanh hơn, ít bị gián đoạn bởi kiểm tra đột xuất và được ưu tiên trong các đợt lựa chọn nhà cung cấp. Nếu doanh nghiệp cần hỗ trợ rà soát hệ thống AI hiện có, phân loại rủi ro theo EU AI Act, xây dựng hồ sơ kỹ thuật và lộ trình tuân thủ, đội ngũ tư vấn AI của ADC có thể đồng hành từ bước đánh giá ban đầu tới khi doanh nghiệp sẵn sàng đối diện với bất kỳ bảng câu hỏi hay đợt kiểm toán nào. Liên hệ ADC để được tư vấn lộ trình phù hợp với ngành và thị trường xuất khẩu của doanh nghiệp.
