Rủi ro an toàn thông tin từ Shadow AI khi cán bộ dùng trí tuệ nhân tạo thương mại tự do

Hiện tượng cán bộ, công chức tự ý đưa các công cụ trí tuệ nhân tạo (AI) thương mại chưa qua kiểm duyệt vào xử lý hồ sơ, công việc hành chính đang trở thành bài toán an ninh thông tin nan giải. Tình trạng này, được giới chuyên môn định danh là "Shadow AI", tiềm ẩn nguy cơ trực tiếp làm rò rỉ dữ liệu nghiệp vụ nhạy cảm và phát sinh các quyết định sai lệch trong quản lý nhà nước.

Hiểm họa kỹ thuật từ hiện tượng Shadow AI trong khu vực công

Shadow AI mô tả hành vi người dùng trong tổ chức sử dụng các giải pháp trí tuệ nhân tạo nằm ngoài danh mục công nghệ thông tin được phê duyệt. Tại các cơ quan công quyền, việc đưa dữ liệu nghiệp vụ vào những hệ thống AI thương mại trôi nổi đồng nghĩa với việc thông tin có thể bị thu thập, lưu trữ trên máy chủ của bên thứ ba để huấn luyện mô hình, làm mất quyền kiểm soát dữ liệu.

Tại buổi trao đổi chuyên đề về chuyển đổi số và AI cho 800 cán bộ, quản lý sáng 10/10 tại Hà Nội, bà Manon Lafitte, chuyên gia dữ liệu số thuộc dự án Hợp tác Chính phủ điện tử Pháp - Việt, đã trực tiếp cảnh báo về hệ quả khôn lường của vấn đề này.

Bên cạnh nguy cơ bảo mật, các mô hình ngôn ngữ lớn thương mại thường xuyên đối mặt với hiện tượng "ảo giác" (hallucination). Hệ thống có thể tự tin đưa ra những câu trả lời sai sự thật, số liệu giả mạo hoặc chứa đựng định kiến thuật toán bị thiên lệch. Nếu áp dụng nguyên trạng các kết quả đầu ra này vào quy trình ban hành chính sách hay giải quyết thủ tục công mà thiếu kiểm tra, thiệt hại vận hành sẽ rất nghiêm trọng.

Giải pháp kiểm soát: Lập bản đồ dữ liệu và phát triển AI có chủ quyền

Để ngăn chặn rủi ro kỹ thuật, chuyên gia Manon Lafitte khuyến nghị cơ quan chức năng cần triển khai ngay việc rà soát thực tế trên diện rộng. Cần thống kê chi tiết nhân sự đang sử dụng công cụ nào, phục vụ mục đích gì, nguồn gốc thuộc AI có chủ quyền hay nền tảng thương mại tự do nhằm xây dựng bản đồ quản lý toàn diện.

Từ cơ sở dữ liệu rà soát, cơ quan nhà nước cần định hướng nghiên cứu và phát triển các mô hình AI có chủ quyền do đơn vị tự làm chủ hoặc tự thiết kế. Việc làm chủ thuật toán và hạ tầng lưu trữ sẽ chấm dứt sự phụ thuộc vào các nền tảng thương mại bên ngoài, bảo đảm thông tin nội bộ không bị phát tán ra môi trường công cộng.

Kinh nghiệm quản trị của Pháp: Kiểm toán thuật toán và giám sát con người

Chia sẻ mô hình thực tiễn, bà Lafitte cho biết Pháp đã thiết lập một cơ quan chuyên trách độc lập vận hành như phòng thí nghiệm để kiểm toán toàn diện các thuật toán AI trước khi triển khai vào bộ máy công quyền. Cơ quan này đánh giá hệ thống dựa trên ba tiêu chí cốt lõi:

• Tính minh bạch: Cấu trúc mô hình và tập dữ liệu đầu vào phải rõ ràng, không phải là hộp đen hoàn toàn.
• Khả năng giải thích được: Cơ chế suy luận của thuật toán có thể được phân tích và chứng minh logic.
• Khả năng truy vết: Mọi kết quả do AI khởi tạo đều phải truy ngược được nguồn gốc dữ liệu ban đầu.

Nguyên tắc sống còn được đặt ra là duy trì sự kiểm soát của con người (Human-in-the-loop). Con người bắt buộc phải phê duyệt cuối cùng và trực tiếp xác minh nguồn dữ liệu để triệt tiêu hiện tượng ảo giác. Hệ thống AI có rủi ro càng cao thì quy định ràng buộc pháp lý càng chặt chẽ; ngược lại, các mô hình có độ minh bạch cao sẽ dễ dàng được tích hợp vào thực tế.

Khuyến nghị từ OECD về đánh giá và kiểm soát rủi ro AI

Tình trạng Shadow AI không chỉ xuất hiện cục bộ. Báo cáo khảo sát tại 14 quốc gia của Tổ chức Hợp tác và Phát triển Kinh tế (OECD) cho thấy các hướng dẫn thiết kế, giám sát và đánh giá thử nghiệm AI tại hầu hết các chính phủ vẫn còn rời rạc, làm gia tăng nguy cơ lộ lọt dữ liệu nhạy cảm và xói mòn trách nhiệm giải trình.

OECD khuyến nghị các cơ quan công quyền chỉ nên khởi đầu việc ứng dụng AI qua những thử nghiệm có cấu trúc với quy mô nhỏ có kiểm soát rủi ro, đồng thời áp dụng khung đánh giá định kỳ trên 5 khía cạnh cốt lõi:

Khía cạnh đánh giá	Nội dung trọng tâm
Hiệu suất	Đo lường năng lực xử lý, độ chính xác và tốc độ phản hồi của thuật toán.
Giá trị công	Mức độ đóng góp thực chất vào lợi ích của xã hội và người dân.
Tính khả thi	Khả năng đáp ứng về tài nguyên kỹ thuật, hạ tầng và nhân sự vận hành.
Khả năng sử dụng	Độ thuận tiện, thân thiện khi cán bộ tác nghiệp trên hệ thống.
Quản trị rủi ro	Mức độ bảo mật dữ liệu, kiểm soát thiên vị và ngăn chặn rò rỉ thông tin.

Việc chuyển đổi số đòi hỏi sự linh hoạt công nghệ nhưng không thể đánh đổi an toàn dữ liệu quốc gia. Thiết lập hàng rào kỹ thuật, phát triển AI nội tại và duy trì vai trò kiểm duyệt của con người là hướng đi bắt buộc để cơ quan nhà nước khai thác sức mạnh AI một cách bền vững.