Chiến Lược Quản Trị AI Trong Tổ Chức: Từ Nghiên Cứu Wharton Đến Thực Tiễn Doanh Nghiệp

Đây là chiến lược quản trị AI hiệu quả tôi học được từ chương trình “AI Strategy and Governance” của trường Wharton School - xếp hạng nhất toàn cầu về MBA theo QS Global Rankings 2026 và U.S. News 2025.

Khi giáo sư Kevin Werbach, trưởng khoa Legal Studies & Business Ethics tại Wharton, ra mắt chương trình “Strategies for Accountable AI” năm 2024, ông đặt một câu hỏi cứng rắn: “Tổ chức của bạn đã sẵn sàng chịu trách nhiệm cho những gì AI tạo ra chưa?” Đây không phải câu hỏi tu từ. Nó xuất phát từ dữ liệu thực tế.

Theo khảo sát của McKinsey năm 2024, các công ty chú trọng kiểm soát rủi ro AI có lợi nhuận cao hơn từ đầu tư AI. Nhưng nghiên cứu của BCG cũng năm đó cho thấy mâu thuẫn: 84% lãnh đạo tin rằng quản trị AI có trách nhiệm cần là ưu tiên hàng đầu, nhưng chỉ 25% có chương trình toàn diện. Nghiên cứu của MIT thậm chí còn đo được khoảng cách này: các tổ chức có ban lãnh đạo hiểu rõ AI vượt trội đối thủ 10.9 điểm phần trăm về ROE, trong khi những tổ chức thiếu năng lực này kém trung bình ngành 3.8%.

Chỉ riêng trong tháng 12/2025, hai vụ việc điển hình minh chứng cho vấn đề này:

Vụ Cao Bằng (21/12/2025): Chủ tịch UBND tỉnh Cao Bằng Lê Hải Hòa phải ra văn bản nhắc nhở Sở Công Thương sau khi phát hiện báo cáo ngày 2/12/2025 có hàng loạt lỗi sai do sử dụng AI không kiểm soát. “Mở dữ liệu” thành “mở dữ li”, “ươm tạo doanh nghiệp” thành “xà tạo”, “27 hội nghị” bị chuyển thành “27 nghị viện” hoặc thậm chí “quốc hội 27”. UBND tỉnh nhận định nhiều lỗi mang đặc điểm của AI trong soạn thảo văn bản nhưng không được kiểm soát bởi cán bộ chuyên môn, vi phạm Khung AI tin cậy đã ban hành.

Vụ giáo sư Paul Yip (11/2025 - 18/12/2025): Giáo sư Paul Yip Siu-fai tại University of Hong Kong (xếp hạng 11 toàn cầu theo QS 2026) phải từ chức associate dean sau khi bài báo có tên ông là tác giả chính bị phát hiện có 20-24 trong số 61 tài liệu tham khảo là hư cấu do AI tạo ra. Bài báo “Forty years of fertility transition in Hong Kong” xuất bản ngày 17/10/2025 đã vượt qua hai vòng peer review mà không ai phát hiện. Sự việc chỉ bị lộ khi một người dùng mạng xã hội kiểm tra và tố cáo. Tạp chí Springer Nature đã rút lại bài báo, và University of Hong Kong buộc phải triển khai đào tạo bắt buộc về tính chính trực học thuật với AI cho toàn bộ nhà nghiên cứu.

Hai trường hợp này không phải ngoại lệ. Chúng minh chứng cho một vấn đề hệ thống: không có ranh giới rõ ràng giữa phần việc AI được làm và phần trách nhiệm con người phải gánh.

Dưới đây là tám trụ cột quản trị được tổng hợp từ chương trình “AI Strategy and Governance” của Wharton, nghiên cứu của McKinsey về AI Trust Maturity Model, và kinh nghiệm triển khai thực tế của BCG với hơn 3.000 chuyên gia công nghệ trong ba năm qua.

1. Phân tầng rủi ro trước khi giao việc

Không văn bản nào cũng nên được giao cho AI. Chương trình Wharton nhấn mạnh việc phân loại AI theo mức độ tác động kinh doanh và rủi ro pháp lý. Điều đầu tiên một tổ chức cần làm là phân loại văn bản theo mức độ rủi ro.

Mức thấp: email nội bộ, ghi chú làm việc, tóm tắt cuộc họp. AI có thể soạn nháp và gần như không cần rà soát nhiều.

Mức trung: tài liệu truyền thông, báo cáo tổng hợp không mang tính quyết định. AI viết nháp nhưng người chuyên môn phải kiểm tra logic và thuật ngữ.

Mức cao: văn bản pháp lý, báo cáo tài chính, quyết định nhân sự, tài liệu công vụ, nghiên cứu học thuật. AI chỉ được phép tham gia ở giai đoạn soạn thảo dưới sự giám sát chặt chẽ, tuyệt đối không thay thế người chịu trách nhiệm.

Vụ giáo sư Paul Yip xảy ra chính vì bài báo học thuật - thuộc mức rủi ro cao - không được kiểm soát đúng cách. Nếu tổ chức không có bảng phân tầng này, nhân viên sẽ tự quyết định và mức độ cẩn trọng sẽ phụ thuộc vào cảm tính cá nhân. Nghiên cứu của McKinsey cho thấy các tổ chức có khung phân loại rủi ro rõ ràng đạt điểm maturity 3.0/4.0, trong khi trung bình thị trường chỉ 2.0/4.0.

2. Đặt ranh giới cứng cho AI

Quy định kiểu “dùng AI có trách nhiệm” quá mơ hồ để vận hành. Ranh giới phải cụ thể đến mức nhân viên không cần phải suy luận. Wharton gọi đây là “bright-line rules” - các quy tắc rạch ròi.

AI được làm: viết nháp theo dàn ý, sửa chính tả, gợi ý cấu trúc, diễn đạt lại câu văn.

AI không được làm: tự bịa số liệu, tự suy diễn tên cơ quan khi không có nguồn, tự chèn căn cứ pháp lý, tự thay đổi ý nghĩa nội dung gốc, tự tạo tài liệu tham khảo.

Ranh giới này phải được viết thành checklist, in ra và đặt ngay chỗ làm việc. Không cần đẹp, cần rõ. BCG phát hiện các tổ chức có ranh giới rõ ràng giảm được 40% sự cố liên quan đến ảo giác AI. Vụ Cao Bằng xảy ra chính vì thiếu ranh giới này: không ai quy định rõ AI được làm gì với báo cáo công vụ.

3. Thiết kế điểm chặn theo chuyên môn

Human in the loop không có nghĩa là một người đọc lại cho có. Nó phải là đúng người, đúng thời điểm, đúng trách nhiệm. Đây là nguyên tắc cốt lõi trong khung AI Readiness Tool mà Wharton giảng dạy.

Một quy trình tối thiểu cần ba lớp kiểm soát.

Người soạn chịu trách nhiệm về nguồn đầu vào và nội dung chính. Họ phải kiểm tra AI có hiểu đúng yêu cầu không, có đi chệch hướng không.

Người rà chuyên môn kiểm tra thuật ngữ, địa danh, số liệu, logic của báo cáo. Đây không phải người có chức cao mà là người hiểu rõ nhất lĩnh vực đó. Trong vụ Paul Yip, điểm chặn này thất bại khi cả tác giả chính (NCS Bai Yiming) và người hướng dẫn (giáo sư Paul Yip) đều không kiểm tra tài liệu tham khảo.

Người ký chịu trách nhiệm cuối cùng, chỉ ký khi đã thấy dấu vết rà soát ở hai lớp trước. Nếu không thấy dấu vết, họ có quyền từ chối và yêu cầu làm lại.

McKinsey xác định điểm này là yếu tố phân biệt lớn nhất giữa tổ chức ở level 2 maturity (đang tích hợp) và level 3 (đã trưởng thành).

4. Chuẩn hóa đầu vào để giảm ảo giác

AI không bịa vì nó ác ý. Nó bịa vì thiếu ngữ cảnh và phải đoán. Muốn giảm lỗi, phải chuẩn bị đúng thứ AI cần. Wharton dạy framework “Data Governance for AI” với ba yêu cầu bắt buộc.

Mỗi loại văn bản nên có bộ tài liệu đầu vào chuẩn: mẫu báo cáo của tổ chức, văn bản chỉ đạo liên quan, số liệu thống kê gốc, bảng thuật ngữ và cách viết tên riêng.

Khi nhân viên đưa cho AI một đống tài liệu không rõ ràng và nói “viết báo cáo theo kiểu công văn”, AI sẽ dựa vào “giọng văn bản hành chính” học được từ internet và sai ở những chỗ quan trọng. Vụ Cao Bằng xảy ra chính vì AI không được cung cấp bảng thuật ngữ chính xác về cách viết tên cơ quan, sự kiện.

BCG báo cáo rằng các chính phủ châu Âu áp dụng phương pháp này giảm được 35% chi phí xử lý hồ sơ trong mười năm tới khi triển khai AI copilot có ngữ cảnh đầy đủ.

5. Bắt buộc AI trích dẫn nguồn

Một quy tắc đơn giản nhưng hiệu quả từ nghiên cứu của Wharton về Explainable AI: AI chỉ được phép viết những gì có trong tài liệu bạn cung cấp. Nếu không tìm thấy, phải ghi rõ “không có trong tài liệu đầu vào”.

Cách này biến AI từ “người viết trôi chảy” thành “người biên tập có ràng buộc”. Khi AI phải trích dẫn, nó buộc phải minh bạch về nguồn gốc thông tin và người rà soát dễ bắt lỗi hơn.

Vụ Paul Yip không xảy ra nếu có quy tắc này. NCS Bai Yiming dùng AI “tidy up” tài liệu tham khảo mà không yêu cầu AI trích dẫn từ nguồn cụ thể. Kết quả là AI tạo ra 20-24 tài liệu hư cấu có vẻ hợp lý nhưng không tồn tại.

Ethan Mollick, giáo sư tại Wharton và tác giả nghiên cứu “Co-Intelligence”, nhấn mạnh rằng transparency và traceability là hai yếu tố quan trọng nhất để xây dựng niềm tin với AI trong tổ chức.

6. Dùng checklist để bắt lỗi hệ thống

Đọc lại “bằng cảm giác” không đủ với văn bản quan trọng. Tổ chức cần một bảng kiểm tra cứng. Wharton cung cấp AI Impact Assessment framework với checklist bắt buộc.

Checklist tối thiểu phải có: tên riêng và chức danh, địa danh và số văn bản, thuật ngữ hành chính và tên chương trình, con số và đơn vị đo, tính nhất quán giữa tiêu đề và nội dung, tài liệu tham khảo (đối với nghiên cứu học thuật).

Nếu áp checklist này, lỗi kiểu “quốc hội 27” ở Cao Bằng và 20+ tài liệu hư cấu trong vụ Paul Yip gần như không có cửa thoát. Nhưng checklist chỉ hiệu quả khi nó được dùng, không phải khi nó được treo trên tường.

7. Lưu vết để học từ sai sót

Muốn cải tiến, phải có dữ liệu. Mỗi văn bản qua AI nên lưu lại: prompt gốc, tài liệu đầu vào, bản nháp AI tạo ra, các vòng chỉnh sửa, người chịu trách nhiệm ở từng khâu.

Khi có sự cố, tổ chức không đi tìm người để kỷ luật mà đi tìm lỗ hổng quy trình để vá. Nếu cùng một lỗi xuất hiện ở nhiều văn bản, đó không phải lỗi của nhân viên mà lỗi của hệ thống.

University of Hong Kong sau vụ Paul Yip đã phải triển khai “mandatory training and assessments for all researchers” về tính chính trực học thuật với AI. Đây là bài học đắt - một giáo sư mất chức vụ, một tạp chí mất uy tín, một trường đại học hàng đầu thế giới phải đối mặt với scandal.

BCG phát hiện các tổ chức có hệ thống logging và audit trails đầy đủ giảm được 60% thời gian xử lý sự cố AI và học được bài học nhanh hơn 3 lần.

8. Dạy kỷ luật trước, dạy công cụ sau

Tập huấn kiểu “bấm nút ở đâu” giúp nhân viên làm quen nhanh. Nhưng thứ bảo vệ uy tín của tổ chức là kỷ luật vận hành. Wharton nhấn mạnh “AI literacy” không chỉ là kỹ thuật mà là tư duy về trách nhiệm.

Trong đào tạo nội bộ, ba nội dung này phải là bắt buộc: nhận diện các dạng ảo giác và lỗi thường gặp, hiểu rõ quy trình chốt chặn và trách nhiệm, thực hành tình huống sai phạm và cách rà soát.

Một người biết dùng AI nhưng không hiểu ranh giới của nó nguy hiểm hơn một người không dùng AI. Giáo sư Paul Yip - một nhà nghiên cứu uy tín về dân số học - đã mất chức vụ không phải vì thiếu chuyên môn mà vì thiếu kỷ luật kiểm soát AI.

McKinsey báo cáo rằng mất từ 2-3 năm để đạt được mức maturity cao trong quản trị AI có trách nhiệm, và yếu tố quan trọng nhất là văn hóa tổ chức, không phải công nghệ.

Hệ thống câu hỏi thẩm định nhanh

Trước khi đưa AI vào bất kỳ văn bản nào, năm câu hỏi này phải có câu trả lời rõ ràng - được rút ra từ AI Readiness Tool của Wharton.

- Văn bản này thuộc mức rủi ro nào?

- AI đang được giao phần việc gì, có vượt ranh giới không?

- Nguồn đầu vào ở đâu, ai chịu trách nhiệm về độ chính xác của nguồn?

- Những chỗ nào bắt buộc phải kiểm tra bằng mắt người?

- Ai có quyền dừng lại, yêu cầu viết lại, hoặc loại bỏ đoạn AI viết?

Nếu không trả lời được năm câu này, đừng cho AI vào quy trình.

Ngôn ngữ chung để bốn bên cùng vận hành

Một tổ chức muốn quản trị AI hiệu quả cần một bộ ngôn ngữ chung giữa lãnh đạo, kỹ thuật, pháp chế và vận hành. Đây là framework do BCG và Responsible AI Institute phát triển, được McKinsey chứng thực qua khảo sát 750 lãnh đạo tại 38 quốc gia.

Chín khái niệm này là nền tảng:

- Mục đích sử dụng: AI được dùng để làm gì trong quy trình này?

- Phạm vi áp dụng: AI được phép tham gia ở giai đoạn nào?

- Ranh giới cấm kỵ: AI tuyệt đối không được làm gì?

- Nguồn đầu vào: Dữ liệu nào được phép đưa cho AI?

- Trách nhiệm: Ai chịu trách nhiệm ở từng khâu?

- Mức giải thích cần có: Khi có sai sót, cần truy ra được gì?

- Tiêu chí công bằng: Nếu liên quan đến con người, tiêu chí nào để đảm bảo không thiên vị?

- Cơ chế giám sát: Ai theo dõi, bao lâu một lần, công khai thế nào?

- Quy trình sự cố: Khi có vấn đề, ai được gọi đầu tiên và làm gì?

Chỉ cần thống nhất chín điểm này, cuộc họp sẽ bớt tranh luận cảm tính và đi thẳng vào kiểm soát.

Tư duy về quản trị trong kỷ nguyên AI

Wharton không dạy cách dùng AI. Họ dạy cách tổ chức vẫn kiểm soát được kết quả khi AI tham gia vào quy trình. Kevin Werbach nói trong chương trình Strategies for Accountable AI: “Mọi tổ chức sẽ chi hàng triệu, nếu không phải hàng tỷ đô la cho quản trị AI giống như họ đang chi cho bảo mật dữ liệu và quyền riêng tư. Họ cần được đào tạo cách suy nghĩ về nó và chi tiêu khôn ngoan.”

Dữ liệu từ McKinsey và BCG xác nhận điều này. Các công ty dẫn đầu trong quản trị AI không phải là những công ty cấm dùng AI, mà là những công ty biết chính xác AI được làm gì, không được làm gì, và ai chịu trách nhiệm khi có vấn đề.

Hai vụ việc trong tháng 12/2025 - Cao Bằng và Paul Yip - minh chứng cho cái giá phải trả khi thiếu quản trị: uy tín tổ chức, chức vụ cá nhân, niềm tin công chúng.

Tám nguyên tắc trên không phải để hạn chế AI mà để giải phóng nó. Khi ranh giới rõ ràng, nhân viên tự tin dùng AI nhiều hơn vì họ biết mình đang làm đúng. Khi quy trình chặt chẽ, lãnh đạo an tâm cho AI vào sâu hơn vì rủi ro được kiểm soát.

Đó là chiến lược quản trị thực sự: không phải kiểm soát công nghệ, mà kiểm soát cách tổ chức dùng nó.

Bài gốc trên Substack của Lê Đình Lực.