Tóm tắt
ISO/IEC 42001:2023 là tiêu chuẩn hệ thống quản lý AI do ISO ban hành, giúp doanh nghiệp phát triển hoặc dùng AI quản trị rủi ro và trách nhiệm.
ISO 42001 là gì? ISO/IEC 42001:2023 là tiêu chuẩn quốc tế về hệ thống quản lý trí tuệ nhân tạo (AIMS), do ISO và IEC ban hành tháng 12/2023. Tiêu chuẩn áp dụng cho tổ chức phát triển, cung cấp hoặc sử dụng AI, yêu cầu đánh giá rủi ro và tác động của hệ thống AI, và có thể được tổ chức chứng nhận độc lập cấp chứng chỉ.
ISO 42001 tóm tắt trong một bảng
| Mục | Nội dung |
|---|---|
| Tên đầy đủ | ISO/IEC 42001:2023, Artificial intelligence: Management system |
| Bên ban hành | ISO và IEC, công bố tháng 12/2023 (iso.org) |
| Phạm vi | Mọi tổ chức phát triển, cung cấp hoặc sử dụng hệ thống AI, không giới hạn ngành hay quy mô |
| Cấu trúc | Clause 4 đến 10 theo cấu trúc hệ thống quản lý chung của ISO, giống ISO 27001 |
| Control tham chiếu | Annex A: 38 control trong 9 nhóm (A.2 đến A.10) |
| Điểm riêng | Đánh giá rủi ro AI (6.1.2), xử lý rủi ro và Statement of Applicability (6.1.3), đánh giá tác động hệ thống AI (6.1.4) |
| Tính bắt buộc | Tự nguyện; không luật Việt Nam nào bắt buộc, nhưng khách hàng có thể yêu cầu trong hợp đồng |
| Chứng nhận | Tổ chức chứng nhận độc lập, audit Stage 1 và Stage 2, chu kỳ 3 năm có surveillance audit |
ISO 42001 áp dụng cho ai?
ISO 42001 áp dụng cho tổ chức ở bất kỳ vai trò nào với hệ thống AI: tự phát triển model, cung cấp sản phẩm hoặc API có AI, hay chỉ sử dụng công cụ AI của bên thứ ba trong quy trình kinh doanh. Tiêu chuẩn yêu cầu tổ chức xác định rõ vai trò của mình với từng hệ thống AI, vì vai trò quyết định control nào cần áp dụng.
Ở Việt Nam, bốn nhóm thường cân nhắc ISO 42001 sớm nhất:
- Startup và SaaS có tính năng AI bán cho khách hàng enterprise ở EU, Mỹ, Nhật.
- Công ty outsourcing xây tính năng AI cho khách hàng nước ngoài và nhận câu hỏi về AI governance trong vendor assessment.
- Doanh nghiệp dùng AI trong quyết định về con người: tuyển dụng, chấm điểm tín dụng, bảo hiểm, giáo dục, y tế.
- Doanh nghiệp đã có ISO 27001 muốn mở rộng hệ thống quản lý sang AI với chi phí tổ chức thấp hơn làm từ đầu.
Cấu trúc ISO 42001 gồm những phần nào?
Phần yêu cầu nằm ở clause 4 đến 10: bối cảnh tổ chức (4), lãnh đạo (5), hoạch định (6), hỗ trợ (7), vận hành (8), đánh giá hiệu quả (9) và cải tiến (10). Clause 1 đến 3 là phạm vi, tài liệu viện dẫn và thuật ngữ. Vì dùng cấu trúc chung với ISO 27001, doanh nghiệp đã có ISMS sẽ thấy phần quản lý tài liệu, internal audit và management review quen thuộc.
Bốn phụ lục hỗ trợ phần yêu cầu. Annex A liệt kê 38 control tham chiếu để lập Statement of Applicability; Annex B hướng dẫn triển khai từng control; Annex C liệt kê các mục tiêu và nguồn rủi ro AI tiềm năng; Annex D mô tả cách dùng AIMS theo lĩnh vực. Như ISO 27001, ISO 42001 yêu cầu Statement of Applicability (clause 6.1.3): mỗi control được chọn hay loại trừ đều phải có lý giải.
Annex A của ISO 42001 gồm những control nào?
Annex A chia 38 control thành 9 nhóm. Danh sách đầy đủ từng control có ở trang ISO 42001 Annex A.
| Nhóm | Chủ đề | Số control | Ví dụ control |
|---|---|---|---|
| A.2 | Chính sách liên quan đến AI | 3 | AI policy, căn chỉnh với chính sách khác, review AI policy |
| A.3 | Tổ chức nội bộ | 2 | Vai trò và trách nhiệm về AI, kênh báo cáo lo ngại |
| A.4 | Tài nguyên cho hệ thống AI | 5 | Tài nguyên dữ liệu, công cụ, hạ tầng tính toán, nhân sự |
| A.5 | Đánh giá tác động của hệ thống AI | 4 | Quy trình đánh giá tác động, tác động lên cá nhân và xã hội |
| A.6 | Vòng đời hệ thống AI | 9 | Yêu cầu, verification và validation, triển khai, giám sát, tài liệu kỹ thuật, log sự kiện |
| A.7 | Dữ liệu cho hệ thống AI | 5 | Thu thập, chất lượng, nguồn gốc (provenance) và chuẩn bị dữ liệu |
| A.8 | Thông tin cho bên liên quan | 4 | Tài liệu cho người dùng, báo cáo ra bên ngoài, thông báo sự cố |
| A.9 | Sử dụng hệ thống AI | 3 | Quy trình sử dụng có trách nhiệm, mục đích sử dụng dự kiến |
| A.10 | Quan hệ với bên thứ ba và khách hàng | 3 | Phân bổ trách nhiệm, nhà cung cấp, khách hàng |
Nhóm mới nhất với hầu hết doanh nghiệp là A.5: đánh giá tác động của hệ thống AI lên cá nhân, nhóm người và xã hội. Đây không phải privacy impact assessment hay security risk assessment quen thuộc, mà cần một phương pháp riêng và hồ sơ cho từng hệ thống.
ISO 42001 liên quan thế nào đến EU AI Act?
EU AI Act (Regulation (EU) 2024/1689) là luật bắt buộc; ISO 42001 là tiêu chuẩn tự nguyện. Chứng chỉ ISO 42001 không phải bằng chứng tuân thủ EU AI Act, nhưng AIMS tạo ra phần lớn quy trình quản trị và tài liệu mà luật yêu cầu với hệ thống high-risk: quản lý rủi ro, data governance, tài liệu kỹ thuật, ghi log, thông tin cho bên triển khai và giám sát của con người.
Sau Digital Omnibus về AI (Regulation (EU) 2026/1744), nghĩa vụ cho hệ thống high-risk độc lập (Annex III) áp dụng từ 2/12/2027 thay vì 2/8/2026, và cho AI trong sản phẩm được quản lý (Annex I) từ 2/8/2028. Các quy định cấm, nghĩa vụ với general-purpose AI model và nghĩa vụ minh bạch (Article 50) giữ lịch cũ. Phạm vi áp dụng cho công ty Việt Nam và các mức rủi ro được phân tích ở bài ISO 42001 và EU AI Act.
ISO 42001 khác ISO 27001 ở điểm nào?
ISO 27001 quản lý rủi ro an toàn thông tin; ISO 42001 quản lý rủi ro và tác động của hệ thống AI, gồm bias, minh bạch, giám sát của con người và vòng đời model. Hai tiêu chuẩn dùng chung clause 4 đến 10 nên có thể vận hành trong một hệ thống quản lý tích hợp, nhưng mỗi tiêu chuẩn có Annex A và Statement of Applicability riêng. Cách chia phần dùng chung và phần riêng có ở bài tích hợp ISO 27001 và ISO 42001.
Lộ trình đạt chứng nhận ISO 42001 gồm những bước nào?
- Xác định phạm vi: hệ thống AI, địa điểm và vai trò của tổ chức.
- Lập danh mục hệ thống AI, gồm cả công cụ AI nhân viên dùng hằng ngày. Xem danh mục hệ thống AI và risk register.
- Đánh giá rủi ro và tác động cho từng hệ thống, rồi chọn control và lập Statement of Applicability.
- Viết chính sách và triển khai control theo thứ tự ưu tiên từ gap assessment.
- Vận hành AIMS đủ lâu để có hồ sơ, sau đó internal audit và management review.
- Audit chứng nhận: tổ chức chứng nhận làm Stage 1 (tài liệu, mức sẵn sàng) và Stage 2 (vận hành thực tế); major nonconformity phải được khắc phục trước khi cấp chứng chỉ.
- Duy trì: surveillance audit trong chu kỳ 3 năm, rồi tái chứng nhận.
Nên chọn tổ chức chứng nhận được công nhận cho ISO 42001; ISO/IEC 42006:2025 đặt yêu cầu cho các tổ chức audit và chứng nhận AIMS. Thời gian mỗi giai đoạn phụ thuộc số hệ thống AI trong phạm vi và việc đã có ISMS hay chưa; chi tiết ở bài ISO 42001 mất bao lâu và checklist triển khai ISO 42001.
Nên bắt đầu từ đâu?
Ba việc dưới đây không cần ngân sách lớn và cho thấy ISO 42001 có phù hợp với giai đoạn hiện tại không:
- Lập danh sách mọi hệ thống AI: AI bạn xây, AI bạn triển khai cho khách hàng và công cụ AI nội bộ như trợ lý lập trình hay chatbot.
- Kiểm tra mức độ liên quan đến EU: nếu có hệ thống phục vụ người dùng EU, đối chiếu với các mức rủi ro của EU AI Act.
- Đặt ISO 42001 vào roadmap: nếu đang bán cho enterprise nước ngoài hoặc đang có ISO 27001, ISO 42001 là bước tiếp theo hợp lý; nếu chưa, một AI policy nội bộ cơ bản vẫn nên có.
pTrackly hỗ trợ ISO 42001 như thế nào?
pTrackly có ISO 42001 là một framework với compliance matrix theo clause và Annex A. Khi thêm framework, pTrackly tạo các policy template như AI policy, chính sách quản lý rủi ro và đánh giá tác động AI, data governance cho AI và vòng đời hệ thống AI, cùng evidence task định kỳ; control trùng với ISO 27001 chỉ tính một lần. Các tích hợp chỉ đọc với nền tảng AI (OpenAI, Anthropic, AWS Bedrock, Azure OpenAI, Google Vertex AI, MLflow và một số nền tảng khác) thu thập evidence hỗ trợ như danh sách model và mức sử dụng. pTrackly không thực hiện đánh giá tác động hay quyết định control nào áp dụng: đội của bạn làm việc đó, và tổ chức chứng nhận được công nhận mới cấp chứng chỉ. Xem ISO 42001 trên pTrackly.
Câu hỏi thường gặp
ISO 42001 có bắt buộc ở Việt Nam không?
Không. Chưa có luật Việt Nam nào bắt buộc ISO 42001. Doanh nghiệp thường làm vì khách hàng yêu cầu trong hợp đồng hoặc vendor assessment, hoặc để chuẩn bị cho các luật về AI ở thị trường xuất khẩu.
Ai cấp chứng chỉ ISO 42001?
Tổ chức chứng nhận độc lập, nên là tổ chức được công nhận cho ISO 42001 bởi cơ quan công nhận quốc gia. ISO không tự cấp chứng chỉ cho doanh nghiệp.
Chỉ dùng AI của bên thứ ba thì có cần ISO 42001 không?
Tiêu chuẩn vẫn áp dụng cho tổ chức sử dụng AI. Khi đó phạm vi và control tập trung vào lựa chọn công cụ, mục đích sử dụng, quản lý nhà cung cấp AI và thông tin cho người bị tác động.
Có ISO 42001 là tuân thủ EU AI Act chưa?
Chưa. EU AI Act có nghĩa vụ riêng như đăng ký, đánh giá sự phù hợp và nghĩa vụ minh bạch; ISO 42001 giúp có sẵn quy trình và tài liệu nhưng không thay thế các nghĩa vụ đó.
