Rủi ro rò rỉ dữ liệu từ Shadow AI khi cán bộ cơ quan nhà nước tự ý dùng trí tuệ nhân tạo

Hiện tượng Shadow AI xảy ra khi cán bộ, công chức tự ý sử dụng các công cụ trí tuệ nhân tạo thương mại chưa qua kiểm duyệt để xử lý công việc hành chính, dẫn đến nguy cơ bảo mật nghiêm trọng. Vấn đề này vừa được bà Manon Lafitte, chuyên gia dữ liệu số thuộc dự án Hợp tác Chính phủ điện tử Pháp - Việt, nhấn mạnh tại buổi trao đổi chuyên đề về chuyển đổi số và trí tuệ nhân tạo (AI) dành cho 800 cán bộ, nhà quản lý diễn ra sáng 10/10 tại Hà Nội.

Bản chất của Shadow AI và nguy cơ rò rỉ dữ liệu nghiệp vụ

Về mặt kỹ thuật, Shadow AI phản ánh tình trạng các công cụ trí tuệ nhân tạo bên ngoài được tích hợp tự phát vào quy trình vận hành mà không có sự thẩm định hay phê duyệt của bộ phận an ninh mạng. Khi công chức đưa tài liệu, báo cáo hoặc dữ liệu nghiệp vụ lên các mô hình thương mại công cộng, dữ liệu này có thể bị thu thập để huấn luyện mô hình, làm phát sinh nguy cơ rò rỉ thông tin nhạy cảm của cơ quan nhà nước.

Bên cạnh mối lo về quyền riêng tư và an toàn dữ liệu, các hệ thống AI thương mại trôi nổi còn tiềm ẩn nguy cơ tạo ra ảo giác (hallucination). Hệ thống có thể đưa ra các câu trả lời sai lệch, thiếu cơ sở thực tế hoặc chứa đựng định kiến cố hữu. Chuyên gia cảnh báo rằng nếu thiếu cơ chế giám sát nghiêm ngặt từ đầu, việc đưa các thông tin sai lệch này vào văn bản hành chính sẽ dẫn đến sự cố vận hành khó lường.

Bà Manon Lafitte, chuyên gia dữ liệu số thuộc dự án Hợp tác Chính phủ điện tử Pháp - Việt, tại buổi trao đổi chuyên đề sáng 10/10. Ảnh: Minh Ngọc

Kiểm toán độc lập và phát triển mô hình AI có chủ quyền

Để khắc phục triệt để lỗ hổng trên, bà Manon Lafitte khuyến nghị các cơ quan công quyền cần lập tức thực hiện việc rà soát thực tế việc sử dụng AI. Nhà quản lý cần thống kê rõ đối tượng sử dụng, mục đích công việc và phân loại công cụ đó thuộc nhóm AI có chủ quyền hay AI thương mại trôi nổi để thiết lập bản đồ quản trị chi tiết. Từ cơ sở dữ liệu đó, các đơn vị có thể chủ động nghiên cứu và phát triển các giải pháp AI có chủ quyền nội bộ.

Chia sẻ kinh nghiệm thực tiễn từ Pháp, bà Lafitte cho biết nước này đã thiết lập một cơ quan chuyên trách vận hành như phòng thí nghiệm độc lập để kiểm toán kỹ thuật toàn bộ thuật toán và giải pháp AI trước khi áp dụng vào khối hành chính. Quá trình kiểm định này đánh giá mức độ đáp ứng của hệ thống dựa trên 3 tiêu chí kỹ thuật then chốt:

Tính minh bạch (Transparency): Công khai cấu trúc và nguồn dữ liệu đầu vào dùng để đào tạo thuật toán.
Khả năng giải thích được (Explainability): Làm rõ cơ chế suy luận và lý do đưa ra câu trả lời của mô hình.
Khả năng truy vết (Traceability): Cho phép ghi nhận và đối soát lại toàn bộ lịch sử xử lý thông tin.

Đặc biệt, nguyên tắc bất biến khi triển khai trí tuệ nhân tạo trong khu vực công là luôn duy trì vai trò kiểm soát của con người (Human-in-the-loop). Con người phải là mắt xích cuối cùng trực tiếp xác minh nguồn dữ liệu để loại trừ hoàn toàn nguy cơ sai sót do ảo giác thuật toán gây ra. Mô hình AI nào có mức độ minh bạch và giải thích càng cao thì việc đáp ứng các rào cản pháp lý càng thuận lợi.

Khung tiêu chuẩn quản trị rủi ro AI từ khuyến nghị của OECD

Tình trạng cán bộ sử dụng công cụ AI tự phát không chỉ diễn ra tại một số khu vực mà đang trở thành bài toán chung mang tính toàn cầu. Trước đó, Tổ chức Hợp tác và Phát triển Kinh tế (OECD) đã phát đi cảnh báo về sự lan rộng của Shadow AI trong bộ máy hành chính nhà nước. Khảo sát thực hiện tại 14 quốc gia thành viên cho thấy các tài liệu hướng dẫn thiết kế, giám sát và thử nghiệm AI hiện vẫn còn phân mảnh, tạo ra nguy cơ lộ lọt dữ liệu và xói mòn trách nhiệm giải trình.

Tổ chức OECD khuyến nghị các chính phủ cần triển khai việc ứng dụng AI thông qua các mô hình thử nghiệm có cấu trúc và kiểm soát rủi ro từ quy mô nhỏ. Việc đánh giá hiệu quả không thể chỉ dựa vào cảm tính hay mức độ hài lòng đơn thuần, mà bắt buộc phải đo lường liên tục qua 5 khía cạnh cốt lõi:

Nhìn chung, để khai thác thế mạnh của trí tuệ nhân tạo mà vẫn đảm bảo an toàn tuyệt đối cho hệ thống dữ liệu quốc gia, các cơ quan công quyền cần nhanh chóng chuyển dịch từ việc dùng AI tự phát sang các nền tảng có chủ quyền, đặt dưới sự kiểm toán độc lập và cơ chế giám sát chặt chẽ của con người.