AI và ISO/GMP: những gì doanh nghiệp compliance cần lưu ý

2025-09-24

Tóm tắt cho Quality Director và CEO

• ISO/GMP không cấm dùng AI — nhưng đặt ra yêu cầu cụ thể về cách AI được kiểm soát, ghi nhận, và tích hợp vào hệ thống quản lý chất lượng.
• Rủi ro không phải đến từ AI tự nó mà đến từ cách triển khai: AI không có validation, không có audit trail, không có human review checkpoint — là rủi ro compliance thực sự trong môi trường có chứng nhận.
• Ba vùng rủi ro chính cần đánh giá: tài liệu và kiểm soát tài liệu, dữ liệu chất lượng và traceability, và quyết định và phê duyệt.
• Cách tiếp cận phù hợp: bắt đầu từ vùng rủi ro thấp, xây dựng governance trước khi mở rộng, và đảm bảo AI là công cụ hỗ trợ người có thẩm quyền — không phải thay thế.

Câu hỏi thực tế mà Quality Director đang đặt ra

Trong nhiều doanh nghiệp sản xuất hiện nay, AI đang được triển khai từ dưới lên: nhân viên bắt đầu dùng ChatGPT cá nhân để soạn thảo, trưởng phòng dùng AI để tóm tắt báo cáo, IT thử nghiệm chatbot để tra cứu tài liệu.

Với doanh nghiệp thông thường, điều này có thể là bước đầu hợp lý và ít rủi ro.

Nhưng với doanh nghiệp đang duy trì chứng nhận ISO 9001, ISO 22000, GMP, FSSC 22000, hay các tiêu chuẩn tương đương — câu hỏi khác hẳn.

Quality Director và Compliance Officer cần hỏi: “AI đang được dùng trong phạm vi nào? Có ảnh hưởng đến hệ thống quản lý chất lượng không? Nếu auditor hỏi về những hoạt động liên quan đến AI, chúng ta có thể trả lời không?”

Đây là những câu hỏi khó bỏ qua trong môi trường có chứng nhận — và là lý do AI trong doanh nghiệp ISO/GMP không thể được xử lý theo kiểu “cứ dùng rồi tính”.

ISO/GMP yêu cầu gì có liên quan đến AI

Hầu hết các tiêu chuẩn ISO và GMP không có quy định riêng về AI — bởi vì hầu hết được viết trước khi AI trở nên phổ biến trong vận hành doanh nghiệp. Nhưng các nguyên tắc nền tảng của những tiêu chuẩn này tạo ra yêu cầu rõ ràng với bất kỳ công cụ hay hệ thống nào được dùng trong quy trình có ảnh hưởng đến chất lượng sản phẩm.

Kiểm soát tài liệu và phiên bản

Các tiêu chuẩn ISO và GMP yêu cầu kiểm soát chặt chẽ về tài liệu: tài liệu nào đang có hiệu lực, ai có quyền phê duyệt thay đổi, và các phiên bản cũ cần được nhận diện rõ ràng.

Khi AI tham gia vào việc tạo, sửa đổi, hoặc tóm tắt tài liệu — đặc biệt SOP, hướng dẫn vận hành, hay hồ sơ chất lượng — câu hỏi đặt ra là: tài liệu được tạo hay chỉnh sửa bởi AI có đi qua quy trình kiểm soát tài liệu tiêu chuẩn không? Ai phê duyệt? Phiên bản nào đang có hiệu lực?

Nếu câu trả lời là “nhân viên dùng AI viết rồi copy vào hệ thống tài liệu mà không qua review có hệ thống” — đây là rủi ro kiểm soát tài liệu thực sự.

Traceability và ghi nhận hồ sơ

Yêu cầu về traceability là cốt lõi của cả ISO 22000 và GMP: khả năng truy vết từ sản phẩm cuối về nguyên liệu đầu vào, quy trình sản xuất, và kết quả kiểm tra.

Khi AI tham gia vào phân tích dữ liệu chất lượng, phân tích kết quả kiểm tra, hoặc tổng hợp thông tin lô hàng — những output này có trở thành một phần của chuỗi traceability không? Hay chúng tồn tại song song với hồ sơ chính thức mà không được ghi nhận?

Câu trả lời ảnh hưởng trực tiếp đến khả năng trả lời của doanh nghiệp khi auditor yêu cầu tái tạo lại chuỗi quyết định về một lô hàng cụ thể.

Xác nhận và validation của hệ thống

Trong môi trường GMP — đặc biệt trong ngành dược và thực phẩm có quy định chặt — có yêu cầu về “Computer System Validation” (CSV) hoặc “Computer Software Assurance” (CSA): các hệ thống máy tính được dùng trong quy trình GMP cần được validate để chứng minh chúng hoạt động đúng theo yêu cầu dự định.

AI systems — đặc biệt khi được dùng trong phân tích dữ liệu có ảnh hưởng đến quyết định chất lượng — có thể nằm trong phạm vi yêu cầu này, tùy theo mức độ ảnh hưởng và loại tiêu chuẩn áp dụng.

Đây là vùng yêu cầu chuyên biệt, và doanh nghiệp nên tham khảo tư vấn compliance có kinh nghiệm với tiêu chuẩn cụ thể của mình trước khi triển khai AI vào các quy trình GMP.

Quyết định dựa trên bằng chứng

Cả ISO 9001 lẫn ISO 22000 đều có nguyên tắc “evidence-based decision making” — quyết định phải dựa trên dữ liệu và bằng chứng có thể kiểm chứng.

Khi AI tham gia vào quá trình ra quyết định, nguyên tắc này áp dụng cho AI: kết quả AI đưa ra có dựa trên evidence cụ thể không? Evidence đó có thể được xem xét và kiểm chứng bởi người có thẩm quyền không?

Ba vùng rủi ro chính cần đánh giá

Thay vì xem xét AI trong môi trường ISO/GMP như một vấn đề tổng thể, hữu ích hơn là phân loại theo ba vùng rủi ro — mỗi vùng cần cách tiếp cận khác nhau.

Vùng rủi ro thấp — AI hỗ trợ tác vụ cá nhân ngoài quy trình GMP/ISO

Ví dụ: dùng AI để soạn nháp email nội bộ, tóm tắt tài liệu không phải tài liệu chất lượng chính thức, dịch thuật thông thường, chuẩn bị slide thuyết trình nội bộ.

Những ứng dụng này không ảnh hưởng trực tiếp đến hồ sơ chất lượng, tài liệu có kiểm soát, hay quyết định có ảnh hưởng đến sản phẩm. Rủi ro compliance thấp — có thể cho phép với guidance cơ bản.

Governance cần thiết: Chính sách AI cơ bản (ai được dùng công cụ nào, dữ liệu nào không được đưa vào AI bên ngoài), nhưng không cần quy trình validation phức tạp.

Vùng rủi ro trung bình — AI hỗ trợ quy trình có ảnh hưởng gián tiếp

Ví dụ: dùng AI để tra cứu SOP và hướng dẫn, chatbot hỗ trợ nhân viên tìm thông tin, AI tóm tắt báo cáo kiểm tra để người phụ trách xem xét nhanh hơn.

Ở đây, AI đang tham gia vào quy trình nhưng quyết định cuối vẫn là của người có thẩm quyền. Rủi ro compliance ở mức trung bình — cần kiểm soát có hệ thống.

Governance cần thiết: Xác định rõ phạm vi AI được tham gia, human review checkpoint trước mọi quyết định, ghi nhận rằng tài liệu chính thức vẫn là nguồn có thẩm quyền (AI chỉ hỗ trợ tra cứu, không thay thế tài liệu gốc).

Vùng rủi ro cao — AI tham gia trực tiếp vào quyết định có ảnh hưởng đến sản phẩm

Ví dụ: AI phân tích kết quả kiểm tra để gợi ý pass/fail, AI tổng hợp dữ liệu lô hàng để hỗ trợ quyết định xuất kho, AI gợi ý thay đổi thông số quy trình dựa trên dữ liệu lịch sử.

Ở vùng này, AI output có thể ảnh hưởng trực tiếp đến quyết định về an toàn sản phẩm và compliance. Rủi ro cao — cần governance đầy đủ trước khi triển khai.

Governance cần thiết: Validation của hệ thống AI (tùy tiêu chuẩn), audit trail đầy đủ cho mọi output AI có ảnh hưởng đến quyết định, human sign-off bắt buộc với ghi nhận rõ ràng, và xem xét định kỳ về hiệu suất và độ chính xác của AI.

Rủi ro không chỉ từ AI — mà từ cách triển khai

Một điểm quan trọng cần nhấn mạnh: ISO/GMP không cấm AI. Các tiêu chuẩn này không nói “không được dùng công nghệ mới”. Họ nói: bất kỳ công cụ hay hệ thống nào được dùng trong quy trình có ảnh hưởng đến chất lượng phải được kiểm soát phù hợp.

Rủi ro thực sự không đến từ AI tự nó — mà đến từ ba tình huống triển khai phổ biến:

Tình huống 1 — AI được dùng mà không ai trong tổ chức biết rõ phạm vi nào. Nhân viên dùng AI cho nhiều mục đích khác nhau, bao gồm cả những việc có ảnh hưởng đến tài liệu chất lượng — nhưng không có policy rõ ràng, không có training, và Quality Department không biết điều này đang xảy ra.

Tình huống 2 — AI output trở thành tài liệu chính thức mà không qua review có hệ thống. Ai đó dùng AI viết một SOP mới, và tài liệu đó đi thẳng vào hệ thống tài liệu mà không qua quy trình phê duyệt tiêu chuẩn. Tài liệu này có thể chứa lỗi mà AI không phát hiện nhưng người review có kinh nghiệm sẽ bắt được.

Tình huống 3 — AI tham gia vào quy trình có compliance requirement nhưng không để lại audit trail. Như đã phân tích trong bài về evidence-based AI — đây là khoảng trống trong hồ sơ compliance ngay cả khi AI đưa ra kết quả đúng.

Cách tiếp cận AI phù hợp với môi trường compliance

Không có template “triển khai AI cho ISO” áp dụng được cho mọi doanh nghiệp và mọi tiêu chuẩn. Nhưng có một số nguyên tắc chung mà Quality Director có thể áp dụng để xây dựng cách tiếp cận phù hợp.

Nguyên tắc 1 — Bắt đầu từ vùng rủi ro thấp. Cho phép AI trong vùng rủi ro thấp trước — tạo kinh nghiệm tổ chức với AI trong môi trường có ít stakes hơn, trước khi mở rộng sang vùng có yêu cầu governance phức tạp hơn.

Nguyên tắc 2 — Xây governance trước khi mở rộng. Đối với mỗi ứng dụng AI mới trong vùng rủi ro trung bình hoặc cao, xác định trước: phạm vi AI được làm gì, ai review và phê duyệt output AI, và audit trail được tạo ra như thế nào — trước khi triển khai, không phải sau.

Nguyên tắc 3 — Giữ human authority rõ ràng. Trong mọi quyết định có ảnh hưởng đến sản phẩm hay compliance, người có thẩm quyền phải là người ký duyệt — không phải AI. AI là công cụ hỗ trợ phân tích và tổng hợp. Ranh giới này phải rõ ràng trong văn bản và trong thực tiễn vận hành.

Nguyên tắc 4 — Xem xét AI như một thay đổi hệ thống. Khi AI được tích hợp vào quy trình có compliance requirement, đây là một thay đổi hệ thống — và nên được xử lý theo quy trình quản lý thay đổi của doanh nghiệp, bao gồm đánh giá rủi ro, training nhân viên, và cập nhật tài liệu liên quan nếu cần.

Nguyên tắc 5 — Phân biệt rõ AI tools nào đang được dùng.

Có sự khác biệt lớn giữa: nhân viên dùng ChatGPT cá nhân trên trình duyệt (dữ liệu có thể được dùng để train mô hình), dùng API AI với data retention controls, và dùng AI deploy on-premise không chia sẻ dữ liệu ra bên ngoài. Với dữ liệu nhạy cảm về công thức, quy trình, hay dữ liệu khách hàng — sự phân biệt này có ý nghĩa compliance và data privacy thực sự.

Kết luận — AI trong ISO/GMP là câu hỏi governance, không phải câu hỏi kỹ thuật

AI và ISO/GMP hoàn toàn có thể cùng tồn tại — và khi được triển khai đúng, AI có thể hỗ trợ đáng kể cho hệ thống quản lý chất lượng: audit preparation hiệu quả hơn, phân tích xu hướng dữ liệu QC tốt hơn, hỗ trợ traceability, và giảm phụ thuộc vào kiến thức cá nhân.

Nhưng điều kiện để đạt được điều đó là AI được đưa vào trong khuôn khổ quản lý rủi ro — với governance rõ ràng, audit trail phù hợp, và human authority được duy trì.

Câu hỏi không phải “AI có phù hợp với môi trường ISO/GMP không” — câu hỏi là “chúng ta đang triển khai AI theo cách nào, và cách đó có phù hợp với yêu cầu của hệ thống quản lý chất lượng chúng ta đang duy trì không?”

Doanh nghiệp của bạn đang ở đâu trong hành trình AI compliance?

→ Làm AI Readiness Assessment — bao gồm đánh giá về governance và compliance readiness.

Đọc thêm:

• Evidence-Based AI: khi câu trả lời cần có khả năng kiểm chứng (bài trước)
• Từ AI Hype đến AI Có Thể Triển Khai — lộ trình thực tế cho manufacturing SME (liên quan)
• AI Readiness: tại sao AI không tự động làm doanh nghiệp thông minh hơn (pillar)

Bài viết phân tích yêu cầu AI compliance từ góc độ quản trị và vận hành, dựa trên các nguyên tắc của ISO 9001, ISO 22000, và GMP. Yêu cầu cụ thể có thể khác nhau đáng kể tùy tiêu chuẩn, ngành, và cơ quan chứng nhận — đặc biệt với Computer System Validation (CSV/CSA) trong môi trường GMP dược phẩm. Doanh nghiệp nên tham khảo tư vấn compliance có chuyên môn với tiêu chuẩn cụ thể đang áp dụng trước khi đưa ra quyết định triển khai.