Ứng dụng AI trong doanh nghiệp: Cần chuẩn bị gì trước Quyết định 33/2026/QĐ-TTg?

Ngày 15/8/2026 đánh dấu một bước chuyển quan trọng trong cách Việt Nam quản lý trí tuệ nhân tạo: AI không còn chỉ là câu chuyện về công nghệ, mà đã trở thành câu chuyện về rủi ro, trách nhiệm và quản trị. Với các tổ chức đang ứng dụng AI trong những lĩnh vực nhạy cảm như y tế và ngân hàng, câu hỏi từ nay không chỉ là “Chúng ta có thể ứng dụng AI vào đâu?” mà còn phải là “Hệ thống AI này đang tạo ra quyết định gì, ảnh hưởng đến ai, mức độ tự động đến đâu và chúng ta có thể kiểm soát nó như thế nào?” Đây chính là vấn đề mà Quyết định 33/2026/QĐ-TTg của Thủ tướng Chính phủ về Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao đặt ra cho doanh nghiệp.

Quyết định 33/2026/QĐ-TTg thay đổi điều gì?

Quyết định 33/2026/QĐ-TTg được ban hành ngày 30/6/2026 và chính thức có hiệu lực từ 15/8/2026. Quyết định ban hành danh mục 46 hệ thống AI có rủi ro cao, trải rộng trên 6 lĩnh vực:

Giáo dục
Dân tộc và tôn giáo
Y tế
Ngân hàng
Tố tụng
Giao thông vận tải

Trong đó, lĩnh vực Y tế có 2 hệ thống và Ngân hàng có 2 hệ thống thuộc danh mục rủi ro cao. Điều đáng chú ý là việc một hệ thống AI có được coi là rủi ro cao không đơn giản dựa trên việc hệ thống đó “có sử dụng AI” hay không. Các tiêu chí quan trọng bao gồm:

Mức độ ảnh hưởng đến tính mạng, sức khỏe, tài sản, quyền con người và lợi ích hợp pháp
Mức độ tự động hóa; khả năng hỗ trợ hoặc thay thế quyết định cuối cùng;
Khả năng con người giám sát và can thiệp vào hệ thống.

Nói cách khác, không phải cứ đưa AI vào hệ thống quản lý là trở thành AI rủi ro cao. Nhưng khi AI bắt đầu tham gia trực tiếp vào những quyết định có hậu quả lớn, yêu cầu quản trị sẽ thay đổi hoàn toàn. Đây là điểm mà các CIO, CTO, CDO, Risk Manager và lãnh đạo chuyển đổi số cần đặc biệt lưu ý.

2 hệ thống AI rủi ro cao trong lĩnh vực Y tế

Theo danh mục hiện hành, lĩnh vực y tế có 2 hệ thống AI rủi ro cao:

AI hỗ trợ phẫu thuật/robot phẫu thuật

Áp dụng đối với hệ thống AI tích hợp vào robot có khả năng tham gia trực tiếp vào quá trình can thiệp hoặc dẫn hướng thao tác.

Robot sử dụng AI điều khiển tự động phục vụ phẫu thuật

Áp dụng khi AI tích hợp vào robot trực tiếp thực hiện tác động điều trị lên cơ thể người bệnh mà không cần nhân viên y tế xác nhận cho từng thay đổi thông số. Điều này dẫn đến một nhận định quan trọng:

Không phải mọi AI được sử dụng trong bệnh viện đều mặc nhiên thuộc danh mục 2 hệ thống này.

Ví dụ, một hệ thống AI được sử dụng để:

Phân tích dữ liệu vận hành bệnh viện;
Dự báo nhu cầu sử dụng giường bệnh;
Tối ưu lịch khám;
Dự báo nhu cầu thuốc/vật tư;
Hỗ trợ quản lý tồn kho;
Phân tích hiệu suất vận hành;
Đưa ra khuyến nghị cho bác sĩ hoặc nhà quản lý;

không nên chỉ nhìn vào chữ “AI” để kết luận rằng hệ thống đó là AI rủi ro cao. Nghị định 142/2026/NĐ-CP cũng đưa ra những trường hợp loại trừ đáng chú ý, chẳng hạn AI chỉ xử lý, chuẩn hóa, phân loại dữ liệu; chỉ phục vụ quản trị nội bộ; hoặc chỉ đưa ra phân tích, dự báo, khuyến nghị mang tính tham khảo và không được sử dụng làm căn cứ duy nhất cho quyết định cuối cùng.

Lưu ý quan trọng

Một hệ thống ban đầu chỉ đưa ra “khuyến nghị” có thể trở thành một hệ thống có mức độ rủi ro cao hơn nếu doanh nghiệp thay đổi cách sử dụng. Ví dụ:

AI đề xuất => bác sĩ xem xét => bác sĩ quyết định

khác hoàn toàn với:

AI quyết định => hệ thống tự động thực thi => không có bước xác nhận của con người.

Vì vậy, với các bệnh viện và tổ chức y tế, vấn đề cần rà soát không chỉ nằm ở model AI, mà nằm ở toàn bộ workflow mà AI được tích hợp vào.

2 hệ thống AI rủi ro cao trong lĩnh vực Ngân hàng

Quyết định 33 xác định 2 nhóm hệ thống AI rủi ro cao trong lĩnh vực ngân hàng:

AI tự động thực hiện giao dịch điện tử trong hoạt động ngân hàng

Hệ thống thuộc phạm vi này khi có khả năng:

Tự tạo giao dịch;
Sửa đổi giao dịch;
Xác nhận;
Phê duyệt giao dịch;

đối với giao dịch có giá trị cao theo quy định của Ngân hàng Nhà nước và không có sự kiểm tra, phê duyệt hoặc kiểm soát của con người trước khi giao dịch được thực hiện.

AI tự động quyết định cấp tín dụng

Đây là nhóm đặc biệt đáng chú ý đối với các hệ thống lending, credit scoring và automated credit decisioning. Điều này có nghĩa là ngân hàng cần phân biệt rất rõ:

AI hỗ trợ cán bộ tín dụng với AI thay thế quyết định của cán bộ tín dụng.

Ví dụ:

AI phân tích hồ sơ => chấm điểm => đưa ra khuyến nghị => chuyên viên tín dụng xem xét => phê duyệt.

sẽ có bản chất quản trị rủi ro rất khác với:

AI phân tích hồ sơ => tự quyết định => hệ thống tự động phê duyệt/từ chối => không có bước kiểm soát độc lập của con người.

Và đây chính là nơi kiến trúc hệ thống, workflow, phân quyền và cơ chế Human-in-the-Loop trở nên quan trọng.

4 lưu ý quan trọng khi doanh nghiệp ứng dụng AI

“AI có rủi ro cao” không chỉ là vấn đề của nhà cung cấp AI

Một hiểu lầm khá phổ biến là: Nhà cung cấp AI chịu trách nhiệm về compliance, doanh nghiệp chỉ cần mua và triển khai. Nhưng trên thực tế, Nghị định 142/2026/NĐ-CP đặt trách nhiệm lên cả nhà cung cấp và bên triển khai.

Nhà cung cấp phải phân loại hệ thống trước khi đưa vào sử dụng. Đồng thời, bên triển khai phải phối hợp với nhà cung cấp để rà soát và phân loại lại nếu quá trình triển khai, tích hợp, sửa đổi chức năng hoặc thay đổi mục đích sử dụng làm phát sinh rủi ro mới hoặc mức rủi ro cao hơn. Đây là điểm cực kỳ quan trọng đối với các doanh nghiệp lớn.

Bởi trong thực tế, một hệ thống AI hiếm khi được sử dụng đúng 100% theo thiết kế ban đầu. Doanh nghiệp thường sẽ:

Tích hợp AI với ERP/core banking/HIS;
Kết nối thêm dữ liệu;
Xây dựng thêm workflow;
Thay đổi business rules;
Bổ sung automation;
Kết nối API;
Cho AI quyền truy cập vào các hệ thống nghiệp vụ;
Mở rộng AI sang một use case mới.

Chính quá trình tích hợp và mở rộng này có thể làm thay đổi mức độ rủi ro của hệ thống.

Doanh nghiệp nên bắt đầu từ “AI Inventory”, không phải từ việc mua thêm AI

Trước khi triển khai thêm AI, doanh nghiệp nên lập một AI Inventory – danh mục toàn bộ hệ thống và use case đang sử dụng AI. Mỗi hệ thống nên được xác định ít nhất những vấn đề như:

AI đang được sử dụng ở đâu?

Hệ thống nào?
Module nào?
Quy trình nghiệp vụ nào?

AI đang sử dụng dữ liệu gì?

Dữ liệu cá nhân?
Dữ liệu tài chính?
Dữ liệu y tế?
Dữ liệu nhạy cảm?
Dữ liệu từ bên thứ ba?

AI đang làm gì?

Phân tích?
Dự báo?
Khuyến nghị?
Chấm điểm?
Ra quyết định?
Hay trực tiếp thực hiện hành động?

Ai chịu ảnh hưởng bởi kết quả AI?

Nhân viên nội bộ?
Bệnh nhân?
Khách hàng ngân hàng?
Người vay vốn?
Đối tác?

Con người có quyền can thiệp không?

Có xem xét kết quả AI trước khi quyết định không?
Có quyền từ chối không?
Có quyền sửa quyết định không?
Có thể dừng hệ thống không?

Đây là những câu hỏi quan trọng hơn rất nhiều so với việc doanh nghiệp đang sử dụng mô hình AI nào.

AI Compliance phải được thiết kế ngay trong kiến trúc hệ thống

Đối với một hệ thống AI có rủi ro cao, việc “đến cuối dự án mới kiểm tra compliance” có thể tạo ra chi phí rất lớn.

Ví dụ, nếu một ngân hàng xây dựng hệ thống cấp tín dụng tự động nhưng ngay từ đầu không thiết kế:

Cơ chế phê duyệt của con người;
Phân quyền;
Audit trail;
Logging;
Khả năng giải thích;
Cơ chế giám sát;
Kiểm soát dữ liệu;
Cơ chế rollback;
Kiểm soát phiên bản model;
Quản lý thay đổi;

thì việc bổ sung những thành phần này sau khi hệ thống đã vận hành có thể đòi hỏi thay đổi đáng kể cả kiến trúc. Trong khi đó, Nghị định 142/2026/NĐ-CP đã đặt ra yêu cầu về đánh giá sự phù hợp đối với hệ thống AI có rủi ro cao; với một số hệ thống, việc đánh giá có thể phải được thực hiện thông qua tổ chức đánh giá sự phù hợp. Do đó AI Compliance không nên được xem là một bước kiểm tra cuối dự án. Nó cần được đưa vào ngay từ giai đoạn thiết kế solution architecture.

Doanh nghiệp đang có hệ thống AI cần lưu ý gì?

Quyết định 33 có điều khoản chuyển tiếp. Đối với hệ thống AI thuộc danh mục rủi ro cao đã được đưa vào hoạt động trước ngày 15/8/2026, nhà cung cấp và bên triển khai phải hoàn thành các nghĩa vụ tuân thủ: Trước ngày 1/9/2027 đối với hệ thống thuộc lĩnh vực y tế, giáo dục và tài chính.

Trong thời gian chuyển tiếp, hệ thống được phép tiếp tục hoạt động, trừ trường hợp cơ quan có thẩm quyền xác định hệ thống có nguy cơ gây thiệt hại nghiêm trọng và yêu cầu tạm dừng hoặc chấm dứt. Điều này có nghĩa: Doanh nghiệp không nhất thiết phải dừng hệ thống AI đang vận hành vào ngày 15/8/2026.

Nhưng cũng không nên hiểu rằng: “Chúng ta còn hơn một năm nên chưa cần làm gì.”

Bởi một dự án AI Governance/AI Compliance có thể liên quan đến nhiều lớp:

Business Process => Data => AI Model => Application => Integration => Infrastructure => Security => Human Oversight => Monitoring => Documentation

Việc rà soát càng muộn, chi phí thay đổi càng lớn.

DEHA có thể giúp doanh nghiệp giải quyết bài toán này như thế nào?

Với kinh nghiệm triển khai các hệ thống quản lý và chuyển đổi số cho doanh nghiệp, DEHA tiếp cận AI Compliance không chỉ từ góc độ “kiểm tra pháp lý”, mà từ góc độ biến các yêu cầu quản trị AI thành những yêu cầu cụ thể trong hệ thống công nghệ và quy trình vận hành.

AI Risk Assessment

DEHA cùng doanh nghiệp rà soát toàn bộ các use case AI hiện tại và dự kiến triển khai: AI Inventory => Use Case Classification => Risk Assessment => Compliance Gap

Mục tiêu là trả lời:

Hệ thống nào có khả năng thuộc phạm vi rủi ro cao?
Hệ thống nào đang ở mức rủi ro trung bình/thấp?
Hệ thống nào cần được thiết kế lại workflow?

AI Compliance Gap Assessment

DEHA có thể rà soát hệ thống hiện tại theo các nhóm yêu cầu như:

Human-in-the-Loop;
Phân quyền và kiểm soát truy cập;
Quản trị dữ liệu;
Logging và audit trail;
Quản lý model/version;
Giám sát AI;
Quản lý sự cố;
Kiểm soát thay đổi;
Khả năng can thiệp và dừng hệ thống;
Tính minh bạch và khả năng giải trình.

Từ đó xây dựng Compliance Gap Report và roadmap xử lý theo mức độ ưu tiên.

Thiết kế lại kiến trúc AI theo hướng “Compliance by Design”

Thay vì triển khai AI trước rồi mới tìm cách đáp ứng yêu cầu quản trị, DEHA đưa các cơ chế kiểm soát vào ngay trong kiến trúc:

AI Model => AI Governance Layer => Business Rules => Human Approval => Core System / ERP / HIS / Banking System => Audit & Monitoring

Điều này đặc biệt quan trọng với những hệ thống mà AI có khả năng tác động trực tiếp đến quyết định nghiệp vụ.

Xây dựng Human-in-the-Loop

Đây có thể là một trong những thành phần quan trọng nhất đối với các hệ thống AI trong y tế và ngân hàng. DEHA có thể thiết kế workflow để đảm bảo:

AI đề xuất => Con người xem xét => Phê duyệt/Từ chối => Hệ thống thực thi

thay vì:

AI => Tự động quyết định => Tự động thực thi.

Điều này không chỉ giúp doanh nghiệp kiểm soát rủi ro mà còn tạo ra audit trail để có thể truy xuất:

AI đã đưa ra khuyến nghị gì?
Dựa trên dữ liệu nào?
Ai đã xem xét?
Ai phê duyệt?
Quyết định cuối cùng là gì?
Hệ thống đã thực thi hành động nào?

AI Monitoring & Audit

Một hệ thống AI không nên được coi là “đã hoàn thành” khi model được đưa vào production. Doanh nghiệp cần khả năng theo dõi:

Hiệu suất model;
Sai lệch;
Dữ liệu đầu vào;
Thay đổi model;
Hành vi bất thường;
Sự cố;
Quyết định của AI;
Quyết định của con người;
Các lần can thiệp;
Lịch sử phiên bản.

DEHA có thể hỗ trợ xây dựng lớp AI Monitoring & Audit tích hợp trực tiếp với hệ thống quản lý hiện hữu.

Tích hợp AI Governance vào hệ thống doanh nghiệp hiện tại

Đây là điểm DEHA có lợi thế khi tiếp cận từ góc độ system integrator. AI hiếm khi đứng một mình. Trong thực tế, AI sẽ cần kết nối với ERP / Core Banking / HIS / CRM / DWH / Data Lake / API / Identity Management / Security Platform. Vì vậy, compliance không chỉ nằm ở AI model. Compliance phải được bảo đảm xuyên suốt toàn bộ chuỗi công nghệ.

ORIENE AI: Khi AI trở thành trợ lý, thay vì người ra quyết định

ORIENE AI có thể được định vị như một AI Assistant/AI Chatbot dành cho doanh nghiệp, giúp người dùng tương tác với tri thức và dữ liệu doanh nghiệp thông qua giao diện hội thoại tự nhiên. Thay vì phải:

Mở nhiều hệ thống;
Tìm kiếm trong hàng nghìn tài liệu;
Tra cứu quy trình;
Đọc báo cáo;
Hỏi nhiều bộ phận khác nhau;

người dùng có thể đặt câu hỏi trực tiếp với AI và nhận thông tin được tổng hợp từ nguồn dữ liệu doanh nghiệp. Điểm quan trọng là AI không nhất thiết phải trở thành người ra quyết định. Nó có thể đóng vai trò của một trợ lý tri thức doanh nghiệp (Enterprise Knowledge Assistant):

Tìm kiếm thông tin
Tổng hợp dữ liệu
Giải thích quy trình
Trả lời câu hỏi
Hỗ trợ nhân viên
Đề xuất thông tin liên quan

trong khi quyền quyết định cuối cùng vẫn thuộc về con người. Đây là một mô hình đặc biệt phù hợp với những tổ chức đang muốn mở rộng ứng dụng GenAI nhưng đồng thời phải kiểm soát rủi ro. DEHA hiện cũng phát triển các giải pháp GenAI theo hướng tích hợp chatbot với hệ thống doanh nghiệp, bao gồm CRM, ERP, HRM và các nền tảng phân tích dữ liệu; đồng thời nhấn mạnh các yêu cầu về data governance, security và compliance trong quá trình tích hợp.

Quyết định 33/2026/QĐ-TTg không nên được nhìn nhận đơn thuần là một “rào cản pháp lý mới đối với AI”. Ở góc độ doanh nghiệp, đây có thể là cơ hội để chuyển từ: “Ứng dụng AI càng nhanh càng tốt” sang “Ứng dụng AI có kiểm soát, có trách nhiệm và có khả năng giải trình.” Đặc biệt trong y tế và ngân hàng, nơi một quyết định sai của AI có thể ảnh hưởng trực tiếp đến sức khỏe, tài sản và quyền lợi của con người, AI Governance sẽ dần trở thành một phần của kiến trúc hệ thống doanh nghiệp, chứ không còn là vấn đề riêng của bộ phận pháp chế hay IT.

Lưu ý: Nội dung trên nhằm cung cấp góc nhìn công nghệ và quản trị AI, không thay thế ý kiến tư vấn pháp lý chuyên ngành. Việc xác định một hệ thống cụ thể có thuộc danh mục AI rủi ro cao hay không cần được đối chiếu với kiến trúc, mục đích sử dụng, quy trình vận hành và các quy định pháp luật áp dụng tại thời điểm triển khai.