Evidence-Based AI: khi câu trả lời cần có khả năng kiểm chứng

2025-09-24

Tóm tắt cho CEO và Quality Director

• Trong môi trường có yêu cầu compliance — ISO, GMP, FSSC, HACCP — AI không chỉ cần đúng. AI cần có khả năng giải thích dựa trên căn cứ cụ thể, và những căn cứ đó phải có thể truy vết và kiểm chứng.
• “AI không biết lý do” không phải câu trả lời chấp nhận được trong môi trường audit. Tổ chức — không phải AI — chịu trách nhiệm pháp lý cho các quyết định và hành động, dù AI có tham gia vào đó hay không.
• Xây dựng AI có evidence không phải chỉ là yêu cầu kỹ thuật — đó là yêu cầu quản trị rủi ro. Và nó đòi hỏi nền tảng khác hẳn chatbot thông thường.
• Doanh nghiệp đang cân nhắc AI trong quy trình vận hành cần hỏi: câu trả lời AI đưa ra có thể kiểm chứng được không — không chỉ là chính xác?

Câu hỏi auditor không ai muốn nghe

Một tình huống quen thuộc với Quality Director trong bất kỳ doanh nghiệp sản xuất nào đang qua audit.

Auditor hỏi: “Quyết định cho phép lô hàng này xuất kho được đưa ra dựa trên cơ sở nào?”

Câu trả lời đúng phải có đủ: kết quả kiểm tra cụ thể, tiêu chuẩn áp dụng, người xác nhận, thời điểm phê duyệt, và tài liệu đi kèm.

Bây giờ thêm một yếu tố vào tình huống: hệ thống AI đã tham gia vào bước phân tích kết quả kiểm tra trước khi người phụ trách ký duyệt.

Auditor hỏi thêm: “AI đã phân tích dựa trên dữ liệu nào? Phiên bản tiêu chuẩn nào được áp dụng tại thời điểm đó? Kết quả phân tích của AI có thể xem lại được không?”

Nếu câu trả lời là “hệ thống không lưu lại” hoặc “chúng tôi không rõ AI dùng dữ liệu nào” — đó là gap compliance nghiêm trọng. Không phải vì AI sai, mà vì AI đã được dùng trong một quy trình có yêu cầu traceability mà không có trace.

Tại sao AI không có evidence là rủi ro trong môi trường regulated

Trong môi trường sản xuất thông thường, một câu trả lời sai nhưng tự tin có thể gây ra vấn đề. Trong môi trường có ISO, GMP, hay các tiêu chuẩn an toàn thực phẩm, một câu trả lời không thể kiểm chứng — dù đúng — cũng là vấn đề.

Lý do đến từ bản chất của compliance.

Compliance không chỉ đòi hỏi làm đúng — nó đòi hỏi chứng minh đã làm đúng.

Điều này là khác biệt cốt lõi. Một doanh nghiệp có thể có quy trình tốt nhưng vẫn không pass audit nếu không có hồ sơ chứng minh quy trình đó đã được thực hiện đúng.

Khi AI tham gia vào bất kỳ bước nào trong quy trình có compliance requirement — từ phân tích dữ liệu, gợi ý quyết định, đến tạo tài liệu — AI trở thành một phần của audit trail. Và nếu AI không có khả năng tạo ra audit trail, nó đang tạo ra khoảng trống trong hồ sơ compliance của doanh nghiệp.

Cụ thể hơn, những rủi ro thực tế:

Rủi ro 1 — Không thể tái tạo quyết định. Nếu có vấn đề xảy ra với một lô sản phẩm, điều tra cần tái tạo lại chuỗi quyết định dẫn đến việc lô đó được thông qua. Nếu AI đã tham gia phân tích nhưng không lưu dữ liệu đầu vào và kết quả phân tích, chuỗi đó không thể tái tạo hoàn chỉnh.

Rủi ro 2 — Phiên bản dữ liệu không được ghi nhận. AI phân tích dựa trên dữ liệu nào, tại thời điểm nào, với phiên bản tiêu chuẩn nào? Nếu câu trả lời không có, và tiêu chuẩn đã thay đổi sau đó, không thể chứng minh quyết định tại thời điểm đó là đúng theo tiêu chuẩn đang có hiệu lực.

Rủi ro 3 — Không có người chịu trách nhiệm rõ ràng. AI không phải thực thể pháp lý. Tổ chức chịu trách nhiệm về mọi quyết định được đưa ra, dù AI có tham gia hay không. Nếu không có ghi nhận rõ ràng về vai trò của AI và bước xác minh của con người, ranh giới trách nhiệm trở nên mờ nhạt — đây là điểm mà auditor có nhiều câu hỏi nhất.

Compliance context yêu cầu gì từ AI

Để AI hoạt động trong môi trường có yêu cầu compliance, có một số yêu cầu cụ thể mà hệ thống AI cần đáp ứng — vượt ra ngoài yêu cầu “trả lời đúng”.

Traceability đầu vào

AI phải có khả năng ghi nhận và lưu lại: câu hỏi hoặc nhiệm vụ được đặt ra là gì, dữ liệu nào được sử dụng làm đầu vào (bao gồm phiên bản và thời gian), tiêu chuẩn hoặc quy tắc nào được áp dụng.

Đây không phải chỉ là log kỹ thuật. Đây là bằng chứng về điều kiện mà quyết định được đưa ra.

Explainability của output

AI không chỉ đưa ra kết quả — AI cần có khả năng giải thích tại sao kết quả đó được đưa ra, dựa trên evidence cụ thể nào, và ở mức độ mà người có thẩm quyền có thể đánh giá.

Điều này không có nghĩa AI phải giải thích theo ngôn ngữ kỹ thuật AI. Nó có nghĩa câu trả lời phải đi kèm với căn cứ cụ thể: “kết quả kiểm tra X cho thấy Y, đối chiếu với tiêu chuẩn Z phiên bản V, dẫn đến đánh giá này.”

Human review checkpoint rõ ràng

Trong mọi quy trình có compliance requirement, phải có checkpoint rõ ràng nơi con người có thẩm quyền xem xét và xác nhận — hoặc bác bỏ — kết quả của AI trước khi nó được ghi nhận là quyết định.

AI không phải người ký duyệt. Người ký duyệt xem xét phân tích của AI và đưa ra quyết định của mình. Điều đó phải được ghi nhận rõ ràng trong hồ sơ.

Audit trail đầy đủ

Toàn bộ chuỗi — từ dữ liệu đầu vào, qua phân tích AI, đến human review, đến quyết định cuối — phải có thể truy vết, lưu trữ, và truy xuất khi cần.

Audit trail của AI phải là một phần của audit trail tổng thể của quy trình, không phải một log riêng biệt không ai biết cách đọc.

Evidence, trace và audit trail — phân biệt ba khái niệm

Ba thuật ngữ này thường bị dùng lẫn nhau, nhưng chúng có nghĩa cụ thể trong ngữ cảnh compliance.

Evidence là bằng chứng cụ thể rằng một sự kiện hoặc kết quả đã xảy ra. Ví dụ: kết quả đo nhiệt độ, phiếu kiểm tra đầu vào, ảnh chụp kết quả kiểm tra ngoại quan. Evidence là thứ auditor yêu cầu xem.

Trace là khả năng theo dõi ngược lại chuỗi sự kiện: từ quyết định về lô hàng này có thể truy ngược về kết quả kiểm tra, về dữ liệu nguyên liệu đầu vào, về người thực hiện và người phê duyệt. Trace là cơ sở của traceability.

Audit trail là hồ sơ có hệ thống ghi lại ai đã làm gì, khi nào, với kết quả gì, và nếu có thay đổi thì thay đổi đó được thực hiện bởi ai và khi nào. Audit trail là thứ khiến audit có thể diễn ra mà không cần phỏng vấn từng người.

Khi AI tham gia vào quy trình, cả ba đều cần bao gồm hoạt động của AI: AI đã nhận evidence nào, đã trace qua chuỗi nào, và audit trail ghi lại đủ để tái tạo lại chuỗi quyết định.

Cách tiếp cận phù hợp cho doanh nghiệp sản xuất có yêu cầu compliance

Không phải mọi ứng dụng AI trong doanh nghiệp đều cần mức độ evidence như nhau. Một chatbot giúp nhân viên tìm quy trình nhanh hơn không cần audit trail phức tạp. Nhưng AI tham gia vào phân tích quyết định, gợi ý hành động, hay tạo ra tài liệu có ý nghĩa compliance thì yêu cầu là khác hẳn.

Một nguyên tắc thực tế để phân loại: mức độ evidence AI cần tạo ra tỷ lệ với mức độ consequence nếu AI sai và không ai phát hiện kịp thời.

Hệ quả của việc AI nhận diện sai quy trình cần tra cứu: nhân viên mất thêm vài phút tìm đúng. Thấp.

Hệ quả của việc AI phân tích sai kết quả kiểm tra chất lượng dẫn đến lô sản phẩm không đạt được xuất kho: thu hồi sản phẩm, vi phạm compliance, rủi ro pháp lý. Rất cao.

Mức evidence yêu cầu cần tương ứng với mức consequence này.

Điều này cũng có nghĩa: doanh nghiệp không nhất thiết phải áp dụng evidence requirement phức tạp nhất cho mọi ứng dụng AI. Nhưng với những ứng dụng AI trong quy trình có consequence cao — đặc biệt trong kiểm soát chất lượng, phê duyệt, và traceability — evidence không phải là tùy chọn.

Kết luận — Câu hỏi đúng trước khi triển khai AI trong môi trường compliance

Trước khi đưa AI vào bất kỳ quy trình nào có yêu cầu compliance, có một câu hỏi cần trả lời rõ ràng:

“Nếu auditor hỏi về quyết định này, chúng ta có thể giải thích AI đã phân tích gì, dựa trên dữ liệu nào, tiêu chuẩn phiên bản nào, và ai đã xem xét và xác nhận trước khi quyết định được ghi nhận — không?”

Nếu câu trả lời là không chắc chắn — thì dù AI có chính xác đến đâu, nó chưa sẵn sàng cho môi trường compliance đó.

Đây không phải lý do để không dùng AI trong sản xuất và vận hành. Đây là yêu cầu để dùng AI đúng cách — với evidence, với trace, và với accountability rõ ràng.

Doanh nghiệp của bạn đang chuẩn bị gì để AI sẵn sàng cho môi trường compliance?

→ Làm AI Readiness Assessment — bao gồm đánh giá về governance và compliance readiness.

Đọc thêm:

• AI agent trong doanh nghiệp — không phải chatbot, không phải con người (bài trước)
• AI Readiness: tại sao AI không tự động làm doanh nghiệp thông minh hơn (pillar)
• AI Readiness: 6 điều kiện để AI thực sự có ích trong vận hành (liên quan)

Bài viết phản ánh yêu cầu compliance trong môi trường sản xuất và regulated industry theo hiểu biết của OKELAS. Các yêu cầu cụ thể về audit trail và evidence có thể khác nhau tùy tiêu chuẩn (ISO 9001, ISO 22000, GMP, FSSC 22000, v.v.) và cơ quan chứng nhận. Doanh nghiệp nên tham khảo tư vấn compliance chuyên ngành khi áp dụng AI vào quy trình có yêu cầu certification.