Rủi ro bảo mật từ Shadow AI và bài toán kiểm soát trí tuệ nhân tạo trong cơ quan công quyền

Việc cán bộ, công chức tự ý ứng dụng các giải pháp trí tuệ nhân tạo (AI) thương mại chưa qua thẩm định vào xử lý công việc hành chính đang trở thành thách thức lớn đối với an toàn dữ liệu công quyền. Thực trạng này, hay còn gọi là hiện tượng "Shadow AI", tiềm ẩn nguy cơ rò rỉ dữ liệu nghiệp vụ nhạy cảm và làm suy giảm độ tin cậy của các quyết định quản lý nhà nước.

Shadow AI và nguy cơ mất kiểm soát an toàn thông tin nghiệp vụ

Shadow AI là thuật ngữ chỉ hành vi người dùng sử dụng những công cụ trí tuệ nhân tạo ngoài kế hoạch phê duyệt của tổ chức. Tại buổi trao đổi chuyên đề về chuyển đổi số và AI cho 800 cán bộ, quản lý sáng 10/10 tại Hà Nội, bà Manon Lafitte, chuyên gia dữ liệu số thuộc dự án Hợp tác Chính phủ điện tử Pháp - Việt, đã phân tích chi tiết về hiểm họa của xu hướng này.

Khi nhân viên nhập tài liệu nội bộ vào các nền tảng thương mại tự do, luồng dữ liệu đó thoát khỏi sự bảo vệ của hệ thống thông tin cơ quan. Không chỉ dừng lại ở nguy cơ bảo mật, các mô hình ngôn ngữ lớn thương mại còn dễ mắc lỗi "ảo giác" (hallucination) – đưa ra các phản hồi sai lệch, thiếu cơ sở nhưng có vẻ thuyết phục, hoặc phản ánh định kiến sẵn có từ tập dữ liệu huấn luyện công cộng. Nếu thiếu cơ chế giám sát từ đầu, sự cố vận hành là điều khó tránh khỏi.

Kinh nghiệm quản trị: Kiểm toán thuật toán và xây dựng AI có chủ quyền

Để ngăn chặn tác động tiêu cực của Shadow AI, các chuyên gia khuyến nghị cơ quan chức năng cần tiến hành rà soát thực tế việc dùng AI của cán bộ: xác định rõ danh tính người dùng, mục đích ứng dụng và phân loại công cụ đó là AI có chủ quyền hay AI trôi nổi. Từ việc lập bản đồ hiện trạng, đơn vị có thể xây dựng giải pháp AI có chủ quyền do chính mình kiểm soát và thiết kế để thay thế hoàn toàn công cụ bên ngoài.

Tại Pháp, một cơ quan độc lập giữ vai trò phòng thí nghiệm chuyên trách kiểm toán các giải pháp AI và thuật toán trước khi cấp phép vận hành trong khối nhà nước. Đơn vị này giám sát chặt chẽ các chỉ số then chốt gồm tính minh bạch, khả năng giải thích và tính truy vết của mô hình nhằm giữ quyền làm chủ tuyệt đối hệ thống dữ liệu số.

Tiêu chí đánh giá	AI thương mại trôi nổi (Shadow AI)	AI có chủ quyền được kiểm toán
Kiểm soát dữ liệu	Dữ liệu gửi lên máy chủ bên thứ ba, nguy cơ rò rỉ cao	Lưu trữ và xử lý trong hạ tầng riêng của cơ quan nhà nước
Tính minh bạch và giải thích	Hộp đen thuật toán, không thể truy vết quá trình ra quyết định	Có khả năng giải thích, kiểm toán thuật toán độc lập
Xử lý hiện tượng ảo giác	Phụ thuộc vào phản hồi máy tính, dễ phát sinh sai số	Bắt buộc có sự kiểm tra, xác minh và phê duyệt của con người

Nguyên tắc con người phê duyệt và khuyến nghị từ OECD

Nguyên tắc tiên quyết trong ứng dụng kỹ thuật số vào công vụ là luôn duy trì sự kiểm soát, giám sát và phê duyệt của con người (Human-in-the-loop). Con người có trách nhiệm trực tiếp xác minh nguồn dữ liệu đầu vào của hệ thống nhằm loại bỏ hiện tượng ảo giác và sai lệch thông tin trước khi ban hành văn bản hành chính.

Mức độ ràng buộc pháp lý sẽ tỷ lệ thuận với mức độ rủi ro của từng mô hình: AI càng có khả năng giải thích và tính minh bạch cao thì hành lang pháp lý khi triển khai thực tế càng thuận lợi. Khảo sát của Tổ chức Hợp tác và Phát triển Kinh tế (OECD) tại 14 quốc gia cho thấy hướng dẫn về thiết kế, giám sát AI thử nghiệm vẫn còn phân tán, dễ làm xói mòn trách nhiệm giải trình.

OECD khuyến nghị các chính phủ nên triển khai thử nghiệm có cấu trúc từ quy mô nhỏ, đồng thời đo lường liên tục qua 5 khía cạnh cốt lõi: hiệu suất, giá trị công, tính khả thi, khả năng sử dụng và năng lực quản trị rủi ro.