Tóm tắt nhanh
Khi AI đi vào sản phẩm thật, câu hỏi không chỉ là "model trả lời hay không". Team cần quản trị rủi ro: dữ liệu đầu vào, quyền truy cập, prompt injection, leakage, hallucination, bias, monitoring, audit log và trách nhiệm khi output sai. Trong dự án Nhật, AI governance đang trở thành phần quan trọng của DX.
Japan AISI được lập để thúc đẩy phương pháp đánh giá và tiêu chuẩn về AI safety. Các tài liệu năm 2026 của AISI nhấn mạnh data quality, known attacks và việc phối hợp trong nước/quốc tế. Developer không cần thành chuyên gia policy, nhưng cần biết rủi ro kỹ thuật thường gặp.
AI governance là gì?
AI governance là cách tổ chức đặt rule, quy trình và trách nhiệm để AI được dùng an toàn, minh bạch và có kiểm soát.
- Thành phần
- Policy
- Câu hỏi thực tế
- Tool/model nào được dùng?
- Thành phần
- Data governance
- Câu hỏi thực tế
- Dữ liệu nào được nhập, lưu, học lại?
- Thành phần
- Security
- Câu hỏi thực tế
- Có chống prompt injection, leakage, abuse không?
- Thành phần
- Quality
- Câu hỏi thực tế
- Output có được kiểm chứng không?
- Thành phần
- Human review
- Câu hỏi thực tế
- Ai chịu trách nhiệm cuối?
- Thành phần
- Monitoring
- Câu hỏi thực tế
- Có log, alert, audit không?
- Thành phần
- Incident response
- Câu hỏi thực tế
- Nếu AI trả lời sai hoặc lộ dữ liệu thì xử lý thế nào?
Trong dự án Nhật, các câu hỏi này thường xuất hiện khi chuyển AI từ PoC sang production.
Rủi ro kỹ thuật developer nên biết
- Rủi ro
- Prompt injection
- Ví dụ
- User khiến AI bỏ qua instruction
- Cách giảm
- Input filtering, tool permission, output validation
- Rủi ro
- Data leakage
- Ví dụ
- AI trả thông tin không nên trả
- Cách giảm
- Access control, retrieval scope, masking
- Rủi ro
- Hallucination
- Ví dụ
- AI bịa fact hoặc API
- Cách giảm
- Citation, validation, human review
- Rủi ro
- Model misuse
- Ví dụ
- User dùng AI tạo nội dung nguy hiểm
- Cách giảm
- policy, moderation, monitoring
- Rủi ro
- Data poisoning
- Ví dụ
- Dữ liệu học/retrieval bị nhiễm
- Cách giảm
- data quality, review nguồn dữ liệu
- Rủi ro
- Over-permission
- Ví dụ
- AI agent có quyền quá rộng
- Cách giảm
- least privilege, approval step
AI system không chỉ là model. Nó gồm UI, API, prompt, vector database, retrieval, tool, permission, log và monitoring.
Developer cần hỏi gì trong AI project?
Trước khi implement, hãy hỏi:
- User nào được dùng AI feature?
- AI được truy cập dữ liệu nào?
- Prompt và output có lưu log không?
- Có personal information không?
- Output có cần nguồn tham khảo không?
- Có human approval trước khi action không?
- Có test case cho prompt injection không?
- Nếu model lỗi hoặc timeout thì fallback ra sao?
Những câu hỏi này giúp biến AI feature từ demo đẹp thành sản phẩm vận hành được.
Câu tiếng Nhật nên nhớ
- 日本語
- AIガバナンスを確認します。
- かな
- AIがばなんすをかくにんします
- Nghĩa tiếng Việt
- Tôi sẽ xác nhận AI governance.
- Dùng khi nào
- Planning
- 日本語
- セキュリティリスクがあります。
- かな
- せきゅりてぃりすくがあります
- Nghĩa tiếng Việt
- Có security risk.
- Dùng khi nào
- Risk report
- 日本語
- 機密情報の扱いを確認したいです。
- かな
- きみつじょうほうのあつかいをかくにんしたいです
- Nghĩa tiếng Việt
- Tôi muốn xác nhận cách xử lý thông tin mật.
- Dùng khi nào
- Data
- 日本語
- アクセス権限を制御します。
- かな
- あくせすけんげんをせいぎょします
- Nghĩa tiếng Việt
- Tôi sẽ kiểm soát quyền truy cập.
- Dùng khi nào
- Permission
- 日本語
- 出力結果を検証します。
- かな
- しゅつりょくけっかをけんしょうします
- Nghĩa tiếng Việt
- Tôi sẽ verify output.
- Dùng khi nào
- Quality
- 日本語
- 人による確認が必要です。
- かな
- ひとによるかくにんがひつようです
- Nghĩa tiếng Việt
- Cần con người xác nhận.
- Dùng khi nào
- Human-in-the-loop
- 日本語
- 監査ログを残します。
- かな
- かんさろぐをのこします
- Nghĩa tiếng Việt
- Sẽ lưu audit log.
- Dùng khi nào
- Compliance
Checklist AI security cho developer
- Input có thể chứa instruction độc hại không?
- Retrieval chỉ lấy dữ liệu user được phép xem không?
- AI output có được validate trước khi dùng cho action không?
- Tool/API mà AI gọi có quyền tối thiểu chưa?
- Log có ẩn thông tin nhạy cảm không?
- Có monitoring cho lỗi, abuse, latency không?
- Có fallback khi model không trả lời hoặc trả lời không chắc chắn không?
Nguồn tham khảo để đọc thêm
- Japan AISI - AI Safety Institute
- Japan AISI - Known Attacks and Their Impacts on AI Systems
- Japan AISI - National Status Report on AI Safety in Japan 2025
Học tiếp trên JLPTVN
Đọc tiếp generative AI trong quy trình phát triển, data quality và data-driven DX, non-functional requirements. Luyện câu tại bug và review.
Sau khi đọc, làm bài luyện IT và lưu câu sai ở Review để quay lại đúng điểm yếu.
FAQ
AI governance có phải việc của manager không?
Manager và policy owner quyết định rule, nhưng developer implement access control, logging, validation, monitoring và test. Vì vậy developer vẫn liên quan trực tiếp.
Prompt injection có cần test không?
Có. Nếu AI feature nhận input từ user hoặc tài liệu ngoài, cần test prompt injection và kiểm soát quyền tool/retrieval.
Human-in-the-loop là gì?
Là cơ chế con người kiểm tra hoặc approve trước khi AI output tạo ảnh hưởng lớn, ví dụ gửi email khách hàng, cập nhật dữ liệu hoặc quyết định nghiệp vụ.