Trên bàn họp ban giám đốc, bản kế hoạch đưa trí tuệ nhân tạo (AI) vào gánh bớt việc nhận được cái gật đầu nhanh chóng. Những con số trên màn chiếu đều rất thuyết phục: năng suất tăng vọt, chi phí nhân sự giảm rõ rệt. Thế nhưng, khi được hỏi: "Nếu hệ thống làm lộ dữ liệu khách hàng hoặc tự đưa ra quyết định sai, ai là người chịu trách nhiệm cuối cùng?", cả phòng họp lại rơi vào khoảng lặng.
Sự ngập ngừng ấy không hề hiếm gặp. Làn sóng đưa trí tuệ nhân tạo vào công việc hằng ngày đang chạy quá nhanh, nhanh hơn rất nhiều so với tốc độ các doanh nghiệp kịp dựng lên những hàng rào bảo vệ và cơ chế giám sát an toàn.
' %2F%3E%3C%2Fsvg%3E)
Quản trị AI hiệu quả, an toàn đang là bài toán đau đầu của ban lãnh đạo doanh nghiệp (Ảnh: IQPC).
Ai chịu trách nhiệm khi AI gặp sự cố?
Theo báo cáo của PwC công bố từ khảo sát hơn 3.900 lãnh đạo doanh nghiệp và công nghệ tại 71 quốc gia, việc bảo vệ hệ thống AI đang trở thành khoảng trống lớn nhất trong công tác chuẩn bị ứng phó rủi ro. Con số này vượt qua cả các mối đe dọa quen thuộc như điện toán đám mây, sự cố từ bên thứ ba hay mã độc tống tiền.
Bà Tonya Ugoretz, chuyên gia tại Viện Đổi mới An ninh mạng và Rủi ro thuộc PwC, nhận định trên tạp chí Cybersecurity Dive: "Nhận thức của các nhà lãnh đạo doanh nghiệp đang tăng lên, rằng cơ hội từ AI và rủi ro của AI cần được xem xét đồng thời".
Thực tế đáng lo ngại nhất nằm ở chỗ quyền hạn và trách nhiệm giải trình vẫn chưa được phân định rõ ràng. Dữ liệu từ PwC cho thấy chưa đầy 30% trách nhiệm về AI thuộc về các giám đốc công nghệ thông tin hoặc giám đốc công nghệ. Chỉ khoảng 25% tổ chức có nhân sự chuyên trách quản lý AI, và 17% giao việc này cho giám đốc an ninh thông tin. Khi chưa có mô hình thống nhất, doanh nghiệp rất khó xác định ai sẽ là người cuối cùng "đứng mũi chịu sào" nếu hệ thống gặp trục trặc.
Đồng quan điểm, khảo sát thực trạng an ninh mạng do tổ chức ISACA thực hiện với hơn 1.800 chuyên gia, do Wolters Kluwer tài trợ, cũng chỉ ra khoảng cách đáng kể. Chỉ 51% chuyên gia an ninh mạng tham gia vào quá trình triển khai AI và 56% tham gia xây dựng chính sách điều chỉnh. Ông Sandy Buchanan, Giám đốc sản phẩm cấp cao tại Wolters Kluwer TeamMate, nhấn mạnh thách thức nổi bật hiện nay chính là khoảng cách giữa tốc độ ứng dụng AI và tốc độ điều chỉnh các hoạt động quản trị rủi ro.
Nỗi lo "nhân viên ảo" tự tung tự tác và rủi ro mua ngoài
Một bước tiến mới đang được nhiều nơi áp dụng là các "tác nhân AI" - những phần mềm có khả năng tự vận hành và đưa ra quyết định thay cho con người để giải quyết công việc. Tuy nhiên, việc trao quyền quá rộng mà thiếu giám sát đang mở ra những lỗ hổng nguy hiểm.
Ông George Gerchow, Giám đốc an ninh tại Bedrock Data, cảnh báo trên Cybersecurity Dive: "Hãy coi mỗi tác nhân AI là một danh tính mới, có một người cụ thể chịu trách nhiệm. Một tác nhân sẽ kế thừa các quyền truy cập của tài khoản mà nó sử dụng. Nó không cần phá vỡ hệ thống bảo mật, mà chỉ cần đi qua những cánh cửa chúng ta đã để mở".
Trước thực tế này, báo cáo quý III của KPMG ghi nhận 49% tổ chức đã chủ động khoanh vùng các tình huống rủi ro cao để siết bớt quyền truy cập tự động của công cụ này, tăng mạnh so với mức 28% của năm trước đó.
Rủi ro còn nhân lên khi phần lớn doanh nghiệp chọn mua giải pháp AI từ các nhà cung cấp bên ngoài thay vì tự phát triển. Những công cụ này thường đòi hỏi quyền truy cập sâu vào nguồn dữ liệu nội bộ và các hệ thống trọng yếu. Ông Pasha Sternberg, luật sư chuyên về an ninh mạng tại hãng luật Polsinelli, lưu ý rằng việc thẩm định đối tác cung cấp trên cả khía cạnh kỹ thuật lẫn an toàn thông tin là yêu cầu bắt buộc trước khi bắt tay hợp tác.
Nguy cơ từ những phần mềm AI "dùng chui" nơi công sở
Bên cạnh các phần mềm được cấp phép, các nhà quản lý còn đối mặt với một vấn đề âm thầm, "AI ngầm". Đây là hiện tượng nhân viên tự ý tải về và sử dụng các ứng dụng trí tuệ nhân tạo chưa qua thẩm định nhằm làm việc nhanh hơn, học kỹ năng mới hoặc giải quyết nhu cầu cá nhân.
Hành vi tưởng chừng vô hại này lại tiềm ẩn nguy cơ để lộ thông tin kinh doanh hoặc dữ liệu khách hàng. Trung tâm An ninh mạng quốc gia Anh từng lên tiếng cảnh báo rằng thói quen này có thể kéo theo hàng loạt rủi ro ngoài dự kiến cho toàn bộ hệ thống của tổ chức. Bà Sarah Glover, luật sư tại Polsinelli, chia sẻ: "Rất khó bảo vệ và quản lý những gì bạn không biết là đang tồn tại".
Thay vì cấm đoán cực đoan, các chuyên gia khuyến nghị doanh nghiệp cần xây dựng quy chuẩn minh bạch để nhân viên an tâm làm việc. Nghiên cứu của ISACA ghi nhận 35% đội ngũ an ninh mạng đang chủ động tận dụng AI và tự động hóa để khỏa lấp tình trạng thiếu hụt kỹ năng, tăng 12 điểm phần trăm so với năm trước.
Theo ông Sandy Buchanan, giải pháp phù hợp là hướng AI vào việc xử lý các đầu việc thủ công, tốn thời gian trong khâu tuân thủ và vận hành. Khi gánh nặng giấy tờ được san sẻ, nhân sự nội bộ sẽ rảnh tay để tập trung vào phần việc mang lại giá trị cao nhất: đánh giá, kiểm soát rủi ro và giữ vững tay lái cho doanh nghiệp.