AIMS (AI Management System, hệ thống quản lý AI) là tập hợp chính sách, vai trò, quy trình và control mà tổ chức dùng để quản trị các hệ thống AI mình phát triển, cung cấp hoặc sử dụng. ISO/IEC 42001:2023 là tiêu chuẩn quốc tế đặt yêu cầu cho AIMS và là căn cứ để tổ chức chứng nhận độc lập audit, cấp chứng chỉ.
AIMS gồm những thành phần nào?
Theo ISO/IEC 42001, một AIMS cần có các thành phần sau, theo cùng cấu trúc clause 4 đến 10 với ISMS của ISO 27001:
| Thành phần | Clause ISO 42001 | Nội dung |
|---|---|---|
| Phạm vi và vai trò | 4.1 đến 4.4 | Hệ thống AI trong phạm vi, vai trò của tổ chức với từng hệ thống |
| AI policy và trách nhiệm | 5.2, 5.3 | Chính sách AI do lãnh đạo phê duyệt, người chịu trách nhiệm |
| Đánh giá rủi ro AI | 6.1.2 | Rủi ro với tổ chức và với việc đạt mục tiêu AI |
| Xử lý rủi ro và SoA | 6.1.3 | Chọn control, đối chiếu Annex A, lập Statement of Applicability |
| Đánh giá tác động hệ thống AI | 6.1.4 | Tác động lên cá nhân, nhóm người và xã hội |
| Đánh giá hiệu quả và cải tiến | 9, 10 | Giám sát, internal audit, management review, corrective action |
Tại sao AIMS quan trọng?
Khi AI đi vào sản phẩm và quyết định kinh doanh, rủi ro không chỉ là bảo mật: model có thể thiên lệch, kết quả khó giải thích, dữ liệu huấn luyện không rõ nguồn gốc, hoặc nhà cung cấp AI thay đổi model mà không báo trước. Không có AIMS, mỗi đội xử lý theo cách riêng và khi có sự cố thì khó xác định ai chịu trách nhiệm. AIMS biến các việc đó thành quy trình có owner, có hồ sơ và được audit định kỳ.
AIMS khác ISMS ở điểm nào?
ISMS theo ISO 27001 quản lý rủi ro an toàn thông tin. AIMS quản lý rủi ro và tác động của hệ thống AI, thêm đánh giá tác động lên con người (clause 6.1.4) và có Annex A riêng với 38 control trong 9 nhóm, từ chính sách AI, vòng đời hệ thống, dữ liệu đến quan hệ với bên thứ ba. Hai hệ thống dùng chung cấu trúc nên có thể vận hành tích hợp; xem tích hợp ISO 27001 và ISO 42001.
Ví dụ AIMS trong thực tế
Một công ty fintech dùng model chấm điểm tín dụng đưa model vào phạm vi AIMS, đánh giá tác động lên người vay, đặt tiêu chí validation trước mỗi lần phát hành model, ghi log quyết định và có quy trình xử lý khiếu nại. Khi khách hàng hoặc auditor hỏi, công ty xuất trình hồ sơ đã có thay vì gom lại từ đầu.
pTrackly hỗ trợ AIMS thế nào?
pTrackly có ISO 42001 là một framework với compliance matrix theo clause và Annex A, các policy template về AI, evidence task định kỳ, risk register và tích hợp chỉ đọc với nền tảng AI để thu thập evidence hỗ trợ. Đội của bạn vẫn thực hiện đánh giá tác động và quyết định control. Xem ISO 42001 trên pTrackly và bài ISO 42001 là gì.
Câu hỏi thường gặp
AIMS có bắt buộc không?
Không. ISO 42001 là tiêu chuẩn tự nguyện; doanh nghiệp xây AIMS khi khách hàng yêu cầu bằng chứng quản trị AI hoặc khi muốn chuẩn bị cho các luật về AI như EU AI Act.
Doanh nghiệp chỉ dùng AI của bên thứ ba có cần AIMS không?
Có thể cần. ISO 42001 áp dụng cho cả tổ chức sử dụng AI; khi đó AIMS tập trung vào mục đích sử dụng, quản lý nhà cung cấp AI và thông tin cho người bị tác động.
AIMS có cần chứng nhận không?
Không bắt buộc. Tổ chức có thể vận hành AIMS mà không chứng nhận; chứng chỉ do tổ chức chứng nhận độc lập cấp sau audit Stage 1 và Stage 2.
