Đánh giá nhà cung cấp AI là quá trình doanh nghiệp kiểm tra một dịch vụ AI (chatbot, nền tảng API, phần mềm có tính năng AI, đơn vị triển khai) về bảo mật, quyền riêng tư và độ tin cậy trước khi đưa dữ liệu công ty vào. Trọng tâm là bảng câu hỏi bảo mật gồm các nhóm: dữ liệu được dùng để huấn luyện không, lưu ở đâu, bao lâu, ai truy cập, mã hóa thế nào, chứng nhận bảo mật, nhà thầu phụ, quản lý sự cố, kiểm soát truy cập và điều khoản hợp đồng. Mức độ đánh giá nên tương xứng với độ nhạy cảm của dữ liệu sẽ dùng.
Đánh giá nhà cung cấp AI là gì và khi nào cần
Đánh giá nhà cung cấp AI là việc thu thập thông tin và bằng chứng để trả lời câu hỏi: dữ liệu của công ty có an toàn khi đi qua dịch vụ này không, và nhà cung cấp có đáng tin để phụ thuộc lâu dài không. Đây là phiên bản dành cho AI của quy trình đánh giá nhà cung cấp công nghệ thông tin nói chung.
Không phải công cụ nào cũng cần đánh giá sâu. Mức độ nên theo rủi ro:
- Nhẹ: công cụ dùng với dữ liệu công khai, ví dụ AI viết bài mạng xã hội từ thông tin sản phẩm đã đăng. Kiểm tra nhanh nhà cung cấp uy tín, có chính sách quyền riêng tư.
- Vừa: công cụ xử lý dữ liệu nội bộ như biên bản họp, quy trình, email công việc. Dùng bảng câu hỏi rút gọn.
- Sâu: dịch vụ xử lý dữ liệu khách hàng, dữ liệu cá nhân, tài chính, hoặc tích hợp vào sản phẩm bán cho khách. Dùng bảng câu hỏi đầy đủ, yêu cầu bằng chứng, rà soát hợp đồng.
Đối tượng cần đánh giá gồm cả nhà cung cấp mô hình (dịch vụ API), ứng dụng xây trên mô hình của người khác, và đơn vị triển khai, gia công giải pháp AI cho bạn. Với nhóm cuối, cần hỏi thêm họ dùng mô hình của ai, dữ liệu của bạn đi qua những bên nào.
Nhóm câu hỏi 1: Dữ liệu và huấn luyện mô hình
Đây là nhóm câu hỏi quan trọng nhất và cũng là nơi câu trả lời hay mơ hồ nhất.
- Dữ liệu chúng tôi gửi vào (prompt, tệp, kết quả) có được dùng để huấn luyện hoặc cải thiện mô hình không? Mặc định là gì, có tắt được không, tắt ở đâu?
- Dữ liệu được lưu bao lâu? Có chế độ không lưu hoặc lưu ngắn hạn không?
- Dữ liệu được lưu và xử lý ở quốc gia, khu vực nào? Có chọn được khu vực không?
- Nhân viên nhà cung cấp có xem nội dung của chúng tôi không, trong trường hợp nào (ví dụ giám sát lạm dụng), quy trình phê duyệt ra sao?
- Khi chấm dứt hợp đồng, dữ liệu được xóa thế nào, trong bao lâu, có xác nhận không?
- Chúng tôi có xuất được dữ liệu (lịch sử, cấu hình, trợ lý tùy chỉnh) ra không?
- Dữ liệu của các khách hàng khác nhau được tách biệt thế nào?
Cách đọc câu trả lời: ưu tiên câu trả lời dẫn tới tài liệu chính thức (điều khoản dịch vụ, chính sách dữ liệu doanh nghiệp, phụ lục xử lý dữ liệu) thay vì lời hứa qua email của nhân viên kinh doanh. Lưu ý rằng điều khoản giữa gói cá nhân, gói nhóm và gói doanh nghiệp của cùng một sản phẩm thường khác nhau.
Nhóm câu hỏi 2: Bảo mật kỹ thuật và chứng nhận
- Dữ liệu có được mã hóa khi truyền và khi lưu không? Ai quản lý khóa mã hóa?
- Nhà cung cấp có chứng nhận hoặc báo cáo kiểm toán độc lập nào: ISO/IEC 27001, SOC 2 Type II, ISO/IEC 27701, ISO/IEC 42001? Phạm vi chứng nhận có bao gồm dịch vụ chúng tôi dùng không?
- Có hỗ trợ đăng nhập một lần (SSO), xác thực đa yếu tố, quản lý người dùng tập trung không?
- Có nhật ký kiểm toán (audit log) cho hoạt động của người dùng, quản trị viên không? Lưu bao lâu, xuất được không?
- Có phân quyền theo vai trò không?
- Nhà cung cấp kiểm thử bảo mật định kỳ thế nào, có chương trình nhận báo cáo lỗ hổng không?
- Với tính năng AI: có biện pháp chống prompt injection, lọc nội dung, giới hạn hành động của agent không?
Lưu ý về chứng nhận: hỏi rõ phạm vi. Một công ty có thể có ISO 27001 cho văn phòng hoặc một sản phẩm khác, không bao gồm dịch vụ AI bạn định mua. Với báo cáo SOC 2, nhà cung cấp thường chỉ chia sẻ khi có thỏa thuận bảo mật. Nhiều nhà cung cấp lớn có trang ‘trust center’ công khai tài liệu bảo mật; đây là nơi bắt đầu tốt.
Nhóm câu hỏi 3: Nhà thầu phụ, sự cố và vận hành
Nhà thầu phụ và chuỗi cung ứng
- Danh sách nhà thầu phụ xử lý dữ liệu (subprocessor) có công khai không? Có thông báo khi thay đổi không?
- Ứng dụng của bạn dùng mô hình của nhà cung cấp nào? Dữ liệu của chúng tôi có được gửi tới nhà cung cấp mô hình đó không, theo điều khoản nào?
Quản lý sự cố
- Khi có sự cố bảo mật ảnh hưởng dữ liệu của chúng tôi, nhà cung cấp thông báo trong bao lâu, qua kênh nào?
- Có trang trạng thái dịch vụ công khai không?
Vận hành và liên tục
- Cam kết mức độ sẵn sàng dịch vụ (SLA) là gì, có bồi hoàn không?
- Phiên bản mô hình thay đổi thế nào, có thông báo trước không, có giữ phiên bản cũ một thời gian không?
- Nếu nhà cung cấp ngừng dịch vụ, chúng tôi có phương án chuyển đổi không?
- Hỗ trợ kỹ thuật bằng tiếng Việt hoặc tiếng Anh, trong khung giờ nào?
Câu hỏi về phiên bản mô hình hay bị bỏ qua nhưng rất thực tế: một chatbot đang trả lời tốt có thể thay đổi hành vi khi nhà cung cấp cập nhật mô hình, làm ảnh hưởng quy trình đang chạy.
Nhóm câu hỏi 4: Pháp lý, hợp đồng và AI có trách nhiệm
- Nhà cung cấp có phụ lục xử lý dữ liệu (DPA) không? Có đáp ứng yêu cầu bảo vệ dữ liệu cá nhân theo pháp luật Việt Nam và các thị trường chúng tôi phục vụ không?
- Ai sở hữu đầu ra do AI tạo ra theo điều khoản dịch vụ?
- Nhà cung cấp có cam kết bảo vệ khách hàng trước khiếu nại bản quyền liên quan đầu ra trong một số trường hợp không? Điều kiện là gì?
- Giới hạn trách nhiệm của nhà cung cấp khi AI đưa ra kết quả sai là gì?
- Nhà cung cấp có chính sách sử dụng chấp nhận được (acceptable use) không, chúng tôi cần tuân thủ gì?
- Nhà cung cấp đánh giá và giảm thiểu thiên lệch, nội dung có hại của mô hình thế nào? Có tài liệu mô tả mô hình (model card, system card) không?
- Nếu chúng tôi phục vụ khách châu Âu, nhà cung cấp hỗ trợ nghĩa vụ theo EU AI Act thế nào?
Phần pháp lý nên có người có chuyên môn rà soát, đặc biệt khi hợp đồng giá trị lớn hoặc dữ liệu nhạy cảm. Bài viết không thay thế tư vấn pháp lý; luôn đối chiếu với quy định hiện hành về bảo vệ dữ liệu cá nhân và chuyển dữ liệu ra nước ngoài.
Cách chấm điểm và ra quyết định
Gom câu trả lời vào bảng chấm điểm giúp so sánh nhiều nhà cung cấp khách quan, và để lại hồ sơ cho lần rà soát sau.
| Nhóm tiêu chí | Trọng số gợi ý | Điểm tối đa | Điều kiện loại ngay |
|---|---|---|---|
| Dữ liệu và huấn luyện | 30% | 5 | Không tắt được việc dùng dữ liệu để huấn luyện với dữ liệu nhạy cảm |
| Bảo mật kỹ thuật và chứng nhận | 25% | 5 | Không có MFA hoặc mã hóa |
| Nhà thầu phụ và sự cố | 15% | 5 | Không cam kết thông báo sự cố |
| Vận hành và liên tục | 15% | 5 | Không xuất được dữ liệu |
| Pháp lý và hợp đồng | 15% | 5 | Không có DPA khi xử lý dữ liệu cá nhân |
Quy trình đánh giá gọn cho doanh nghiệp vừa và nhỏ
Doanh nghiệp 20–50 người không có phòng bảo mật riêng có thể làm theo quy trình sau:
- Xác định nhu cầu và dữ liệu: dùng để làm gì, loại dữ liệu nào, bao nhiêu người dùng.
- Chọn mức đánh giá: nhẹ, vừa hoặc sâu theo độ nhạy cảm dữ liệu.
- Tự tìm trước: đọc trust center, trang bảo mật, điều khoản doanh nghiệp, danh sách nhà thầu phụ. Nhiều câu hỏi có sẵn câu trả lời công khai.
- Gửi bảng câu hỏi cho phần chưa rõ, yêu cầu trả lời bằng văn bản kèm đường dẫn tài liệu.
- Chấm điểm theo bảng, ghi rõ điều kiện loại ngay.
- Thử nghiệm có giới hạn: dùng thử với dữ liệu không nhạy cảm, nhóm nhỏ.
- Quyết định và cấu hình: nếu chọn, cấu hình đúng như cam kết (tắt huấn luyện, bật MFA, chọn khu vực dữ liệu).
- Ghi vào danh sách công cụ được phép kèm điều kiện, đặt ngày rà soát lại.
Có thể dùng AI để tóm tắt điều khoản dịch vụ dài, nhưng phải đọc lại các điều khoản then chốt về dữ liệu và trách nhiệm trong văn bản gốc trước khi kết luận.
Dấu hiệu cảnh báo và lỗi thường gặp
Dấu hiệu cảnh báo từ phía nhà cung cấp:
- Không có chính sách quyền riêng tư hoặc điều khoản dịch vụ rõ ràng, hoặc chỉ có bản rất ngắn chung chung.
- Trả lời ‘hoàn toàn bảo mật’ nhưng không chỉ ra tài liệu, chứng nhận hay cơ chế cụ thể.
- Không nói rõ dùng mô hình của ai, dữ liệu đi qua những đâu.
- Không có cách xóa dữ liệu hoặc xuất dữ liệu.
- Ép ký nhanh, từ chối cho dùng thử.
Lỗi thường gặp của doanh nghiệp:
- Chỉ đánh giá lúc mua, không rà soát lại khi nhà cung cấp đổi điều khoản.
- Đánh giá đúng gói doanh nghiệp nhưng nhân viên lại dùng gói cá nhân.
- Quên đánh giá đơn vị gia công, tích hợp AI cho mình.
- Bảng câu hỏi quá dài khiến nhà cung cấp nhỏ không trả lời, trong khi rủi ro thực tế thấp.
Bảng câu hỏi tốt là bảng tương xứng với rủi ro. Bắt đầu từ bộ câu hỏi về dữ liệu, mở rộng dần khi mức độ sử dụng tăng.
Trước khi gửi bảng câu hỏi, hãy tìm trang trust center hoặc trang bảo mật doanh nghiệp của nhà cung cấp. Với các nhà cung cấp lớn, phần lớn câu trả lời đã có sẵn ở đó, giúp bạn chỉ cần hỏi những điểm thật sự chưa rõ.
Muốn đưa AI vào công việc của doanh nghiệp? PCTech tư vấn, đánh giá mức sẵn sàng AI và triển khai chatbot, AI agent, tự động hóa cho doanh nghiệp.
10 câu hỏi, 2 phút, nhận mức độ và việc nên làm tiếp theo. Dùng thử ngay
Câu hỏi thường gặp
Cần hỏi nhà cung cấp AI những gì quan trọng nhất?
Dữ liệu có bị dùng để huấn luyện không, lưu ở đâu và bao lâu, ai truy cập được, và xóa dữ liệu thế nào khi ngừng dùng.
Chứng nhận SOC 2 và ISO 27001 có ý nghĩa gì khi chọn nhà cung cấp AI?
Đó là bằng chứng nhà cung cấp có hệ thống kiểm soát bảo mật được đánh giá độc lập. Cần kiểm tra phạm vi chứng nhận có bao gồm dịch vụ bạn dùng.
Doanh nghiệp nhỏ có cần đánh giá nhà cung cấp AI không?
Có, nhưng ở mức tương xứng. Với dữ liệu công khai chỉ cần kiểm tra nhanh; với dữ liệu khách hàng nên dùng bảng câu hỏi đầy đủ hơn.
Subprocessor là gì?
Là bên thứ ba mà nhà cung cấp dùng để xử lý dữ liệu của bạn, ví dụ dịch vụ đám mây, nhà cung cấp mô hình. Danh sách này cho biết dữ liệu đi qua những đâu.
Bao lâu nên đánh giá lại nhà cung cấp AI?
Ít nhất mỗi năm, và khi nhà cung cấp đổi điều khoản, có sự cố bảo mật hoặc bạn mở rộng loại dữ liệu sử dụng.
Đơn vị triển khai chatbot cho công ty có cần đánh giá không?
Có. Cần hỏi họ dùng mô hình của ai, lưu dữ liệu hội thoại ở đâu, ai truy cập và xử lý thế nào khi kết thúc hợp đồng.
Bài viết liên quan
- ISO/IEC 42001 là gì? Hệ thống quản lý AI cho doanh nghiệp
- Rò rỉ dữ liệu qua chatbot AI: các tình huống thực tế và cách phòng tránh
- Mẫu chính sách sử dụng AI cho doanh nghiệp: bản dùng ngay để chỉnh sửa
- Bảo mật dữ liệu khi dùng ChatGPT, Claude trong công ty
- EU AI Act tóm tắt cho doanh nghiệp Việt làm việc với châu Âu
- ChatGPT Team vs Claude Team: gói AI nào cho doanh nghiệp
- AI Governance là gì? Quản trị việc dùng AI trong công ty
