Việc áp dụng trí tuệ nhân tạo (AI) đang bùng nổ mạnh mẽ hơn bao giờ hết, từ các tác nhân AI tự chủ (agentic AI) cho đến các mô hình ngôn ngữ lớn (LLM) được tích hợp sâu rộng vào mọi thứ, từ ứng dụng doanh nghiệp cho đến các chatbot hỗ trợ dịch vụ. Dù mang lại lợi ích rõ rệt trong việc tối ưu hóa quy trình, giảm tải công việc thủ công và hỗ trợ phân tích dữ liệu, AI cũng đi kèm những rủi ro bảo mật đáng ngại như các mô hình AI "nổi loạn", nguy cơ bị tấn công mạng và các tác nhân AI vô tình trở thành lối vào mới cho tin tặc xâm nhập mạng lưới nội bộ. Câu hỏi đặt ra là: Ai sẽ là người chịu trách nhiệm cao nhất khi xảy ra sự cố liên quan đến AI?
Theo báo cáo "Digital Trust Insights" vừa được PwC công bố dựa trên khảo sát khoảng 4.000 nhà lãnh đạo doanh nghiệp và công nghệ tại 71 quốc gia, hiện vẫn chưa có sự thống nhất về vai trò chịu trách nhiệm quản lý rủi ro AI. Dù nhận thức về cả cơ hội lẫn rủi ro của AI đã được thảo luận ở cấp hội đồng quản trị tại khoảng một nửa số doanh nghiệp, nhưng chưa có một vị trí cụ thể nào được giao toàn quyền quản lý công nghệ này.
Khảo sát cho thấy, 47% người tham gia cho biết an ninh mạng là một mục thường trực trong chương trình nghị sự của hội đồng quản trị. Về mặt nhân sự AI, khoảng một phần ba tổ chức (33%) đã nhận ra tầm quan trọng của việc quy trách nhiệm và bắt đầu tuyển dụng các vị trí chuyên trách như Giám đốc AI hoặc bổ sung thành viên hội đồng quản trị chuyên về AI.
Sự bất đồng thể hiện rõ nhất trong việc phân chia trách nhiệm bảo mật và quản trị AI. Cụ thể, 29% giám đốc điều hành (CEO) và lãnh đạo an ninh mạng cho rằng trách nhiệm thuộc về CIO, CTO hoặc các vai trò công nghệ tương đương. 17% nhận định trách nhiệm thuộc về CISO hoặc bộ phận an ninh mạng, trong khi 26% muốn giao cho một "nhà lãnh đạo hoặc bộ phận AI chuyên trách". Đáng chú ý, 11% thừa nhận trách nhiệm này vẫn chưa rõ ràng và đang bị phân mảnh giữa nhiều bộ phận.
Do các CIO và CISO hiện nay vốn đã quá tải với các công việc thường nhật, việc đè nặng thêm trách nhiệm quản lý an ninh AI có thể là một gánh nặng quá sức. Tình trạng này tương tự như giai đoạn năm 1994 khi vai trò CISO đầu tiên ra đời để đối phó với làn sóng tấn công mạng. Giới chuyên môn dự báo doanh nghiệp có thể sắp bước vào một làn sóng tuyển dụng mới cho vị trí CAISO (Giám đốc Bảo mật AI).
Trong khi các doanh nghiệp loay hoay định hình bộ máy nhân sự, công nghệ có thể hỗ trợ kiểm soát các tác nhân AI. Jim Taylor, Giám đốc Sản phẩm và Chiến lược tại RSA, chia sẻ rằng các mô hình hoặc tác nhân AI cũng sở hữu một "định danh" riêng, được liên kết với thông tin xác thực và có các mức độ truy cập tài nguyên khác nhau để thay mặt con người thực hiện công việc.
Do đó, ông Taylor khuyến nghị doanh nghiệp cần áp dụng các biện pháp kiểm soát định danh nghiêm ngặt vốn dùng cho con người – như nguyên tắc zero-trust, xác thực đa yếu tố (MFA) – cho các tác nhân AI này. Việc đăng ký AI trên một nền tảng tập trung, gắn trách nhiệm của mỗi tác nhân AI với một người quản lý cụ thể để phê duyệt các hành động có rủi ro cao, đồng thời thường xuyên đánh giá và hủy bỏ các tác nhân AI không còn sử dụng sẽ giúp doanh nghiệp chủ động bảo vệ hệ thống trước làn sóng rủi ro mới.
