Trách nhiệm giải trình trong hoạt động công nghệ được thực hiện thế nào?

Vì vậy, để xác định một chủ thể phải giải trình những gì, cần xem xét đồng thời vai trò của chủ thể, mức độ rủi ro của hệ thống và tình huống phát sinh yêu cầu giải trình.

Trách nhiệm giải trình trong hoạt động công nghệ là gì?

Về bản chất, trách nhiệm giải trình là nghĩa vụ của chủ thể có liên quan phải làm rõ cơ sở, cách thức thực hiện, biện pháp kiểm soát và trách nhiệm đối với hoạt động hoặc kết quả do công nghệ tạo ra khi pháp luật hoặc tình huống cụ thể yêu cầu.

Đối với AI, trách nhiệm này gắn với hai nhóm vấn đề: quyết định của hệ thống và hệ quả của quyết định đó. Luật đồng thời yêu cầu duy trì sự kiểm soát và khả năng can thiệp của con người đối với quyết định, hành vi của hệ thống AI.

Điều đó có nghĩa trách nhiệm giải trình không đồng nhất với việc phải công khai toàn bộ công nghệ. Nghĩa vụ giải trình phải phù hợp với khả năng kỹ thuật và không buộc chủ thể tiết lộ những thông tin được pháp luật bảo vệ, như bí mật kinh doanh, bí mật công nghệ, mã nguồn hoặc thuật toán chi tiết trong những trường hợp luật quy định.

Chủ thể nào có trách nhiệm giải trình?

Luật phân biệt trách nhiệm theo vai trò của chủ thể thay vì áp dụng một nghĩa vụ giống nhau cho tất cả.

Nhà cung cấp là chủ thể chịu trách nhiệm về hệ thống được cung cấp, bao gồm mục đích sử dụng, nguyên lý hoạt động ở mức mô tả chức năng, dữ liệu đầu vào chủ yếu và các biện pháp quản lý, kiểm soát rủi ro trong phạm vi luật quy định. Với hệ thống rủi ro cao, nhà cung cấp còn phải lập, cập nhật và lưu giữ hồ sơ kỹ thuật, nhật ký hoạt động ở mức cần thiết cho đánh giá và kiểm tra.

Bên triển khai chịu trách nhiệm chủ yếu về việc đưa hệ thống vào vận hành, kiểm soát rủi ro, xử lý sự cố và bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân chịu tác động.

Người sử dụng không phải lúc nào cũng chịu cùng mức trách nhiệm giải trình như nhà cung cấp hoặc bên triển khai. Tuy nhiên, người sử dụng hệ thống AI rủi ro cao phải tuân thủ quy trình vận hành, hướng dẫn kỹ thuật, biện pháp an toàn và thông báo kịp thời sự cố cho bên triển khai.

Chủ thể phải giải trình những nội dung nào?

Nội dung giải trình phụ thuộc vào loại hệ thống và vai trò của chủ thể. Với hệ thống AI rủi ro cao, các nội dung trọng tâm gồm:

·         Mục đích sử dụng hệ thống

·         Nguyên lý hoạt động ở mức mô tả chức năng

·         Loại dữ liệu đầu vào chủ yếu

·         Biện pháp quản lý và kiểm soát rủi ro

·         Việc vận hành và giám sát hệ thống

·         Biện pháp xử lý sự cố

·         Các nội dung cần thiết phục vụ thanh tra, kiểm tra

·         Thông tin công khai về chức năng, cách thức vận hành và cảnh báo rủi ro cho người sử dụng và người bị ảnh hưởng

Với nhà cung cấp hệ thống rủi ro cao, nghĩa vụ còn gắn với việc quản trị dữ liệu huấn luyện, kiểm thử và vận hành; duy trì hồ sơ kỹ thuật, nhật ký hoạt động; bảo đảm khả năng giám sát và can thiệp của con người.

Điểm quan trọng là giải trình không có nghĩa phải công khai toàn bộ bí mật kỹ thuật. Luật đặt ra giới hạn để việc giải trình vừa phục vụ kiểm tra, giám sát vừa bảo vệ bí mật kinh doanh và bí mật công nghệ.

Trường hợp nào phát sinh trách nhiệm giải trình?

Không phải mọi hệ thống đều chịu cùng một cơ chế giải trình. Mức độ rủi ro là yếu tố quyết định quan trọng.

Với hệ thống AI rủi ro cao

Nhà cung cấp phải giải trình với cơ quan nhà nước có thẩm quyền về các nội dung như mục đích sử dụng, nguyên lý hoạt động, dữ liệu đầu vào chủ yếu, biện pháp kiểm soát rủi ro và những nội dung cần thiết cho thanh tra, kiểm tra. Bên triển khai phải giải trình về vận hành, kiểm soát rủi ro, xử lý sự cố và các vấn đề liên quan đến quyền, lợi ích hợp pháp của tổ chức, cá nhân.

Đối với người sử dụng và người bị ảnh hưởng, thông tin được cung cấp ở mức mô tả chức năng, cách vận hành và cảnh báo rủi ro nhằm bảo đảm an toàn trong sử dụng.

Với hệ thống AI rủi ro trung bình

Nhà cung cấp có trách nhiệm giải trình về mục đích sử dụng, nguyên lý hoạt động ở mức mô tả chức năng, dữ liệu đầu vào chủ yếu và biện pháp quản lý rủi ro, an toàn khi cơ quan nhà nước yêu cầu trong quá trình thanh tra, kiểm tra hoặc khi có dấu hiệu rủi ro, sự cố.

Bên triển khai phải giải trình về vận hành, kiểm soát rủi ro, xử lý sự cố và bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân khi có yêu cầu của cơ quan có thẩm quyền trong quá trình thanh tra, kiểm tra hoặc xử lý sự cố.

Với hệ thống AI rủi ro thấp

Nghĩa vụ giải trình được đặt ở mức nhẹ hơn. Nhà cung cấp và bên triển khai phải giải trình khi cơ quan nhà nước có thẩm quyền yêu cầu trong trường hợp có dấu hiệu vi phạm pháp luật hoặc ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân.

Cách phân tầng này cho thấy trách nhiệm giải trình được thiết kế theo hướng rủi ro càng cao thì yêu cầu kiểm soát, cung cấp thông tin và giải trình càng chặt chẽ.

Trách nhiệm giải trình có phải công khai toàn bộ công nghệ không?

Không.

Đây là một giới hạn quan trọng để tránh hiểu trách nhiệm giải trình thành nghĩa vụ công khai toàn bộ công nghệ hoặc bí quyết kỹ thuật.

Đối với hệ thống AI rủi ro cao, luật quy định việc giải trình và cung cấp thông tin không được yêu cầu tiết lộ mã nguồn, thuật toán chi tiết, bộ tham số hoặc thông tin thuộc bí mật kinh doanh, bí mật công nghệ. Việc giải trình phải phù hợp với khả năng kỹ thuật của hệ thống và không làm lộ bí mật kinh doanh theo quy định pháp luật.

Vì vậy, ranh giới hợp lý là: phải cung cấp đủ thông tin để cơ quan có thẩm quyền kiểm tra, giám sát và để người sử dụng hoặc người bị ảnh hưởng nhận biết các yếu tố cần thiết về an toàn, nhưng không mặc nhiên phải công khai bí mật kỹ thuật.

Doanh nghiệp cần chuẩn bị gì để đáp ứng trách nhiệm giải trình?

Từ các nghĩa vụ trên, chủ thể cung cấp hoặc triển khai công nghệ nên bảo đảm khả năng truy xuất và chứng minh tối thiểu đối với những vấn đề thuộc phạm vi trách nhiệm của mình.

Trước hết, cần xác định rõ mục đích và phạm vi sử dụng hệ thống. Tiếp đó là duy trì hồ sơ về cách hệ thống được vận hành, dữ liệu đầu vào chủ yếu, các biện pháp quản lý rủi ro và quy trình xử lý sự cố.

Đối với hệ thống rủi ro cao, yêu cầu về hồ sơ kỹ thuật và nhật ký hoạt động có ý nghĩa đặc biệt vì đây là cơ sở phục vụ đánh giá sự phù hợp, kiểm tra sau khi đưa hệ thống vào sử dụng và hậu kiểm.

Doanh nghiệp cũng cần xác định rõ ai chịu trách nhiệm ở từng khâu: cung cấp, triển khai, vận hành, giám sát, xử lý sự cố và phối hợp với cơ quan nhà nước. Đây là điều kiện thực tế để trách nhiệm giải trình không bị biến thành việc đùn đẩy trách nhiệm giữa các chủ thể.

Nhìn tổng thể, trách nhiệm giải trình trong hoạt động công nghệ được thực hiện theo nguyên tắc gắn trách nhiệm với vai trò và mức độ rủi ro. Chủ thể không chỉ phải giải thích hệ thống được dùng để làm gì mà, tùy trường hợp, còn phải làm rõ cách vận hành, dữ liệu đầu vào chủ yếu, biện pháp kiểm soát rủi ro, xử lý sự cố và tác động đối với quyền, lợi ích của người bị ảnh hưởng. Với AI, Luật Trí tuệ nhân tạo 2025 đã quy định rõ hơn cơ chế này và phân biệt nghĩa vụ giữa hệ thống rủi ro cao, trung bình và thấp.