Shadow AI là việc dùng công cụ AI tại nơi làm việc mà tổ chức không biết hoặc không phê duyệt. Quản trị shadow AI là bộ quy tắc và biện pháp kiểm tra đưa việc sử dụng đó ra ánh sáng. Với đội marketing, một chính sách một trang là đủ để bắt đầu: công cụ được duyệt, nhóm dữ liệu, rà soát bởi con người, ghi nhật ký và đường báo cáo sự cố.
Những điểm chính
- Shadow AI là hành vi bình thường của những người muốn làm việc nhanh hơn; chính sách chỉ cấm thường chỉ đẩy nó vào chỗ khuất.
- Các rủi ro chính là rò rỉ dữ liệu, tuyên bố chưa kiểm chứng, bản quyền, lệch giọng thương hiệu và những cam kết không được ghi lại.
- Một chính sách tốt vừa trong một trang và trả lời năm câu hỏi: công cụ nào, dữ liệu nào, ai rà soát, ghi lại gì, và làm gì khi có sự cố.
- Đi kèm chính sách là danh sách công cụ được duyệt thực sự đủ tốt để dùng.
- Rà soát trang này mỗi quý; công cụ và quy tắc thay đổi rất nhanh.
Shadow AI là gì?
Đó là bất kỳ công cụ AI, plug-in, tiện ích trình duyệt hay agent nào mà nhân viên dùng cho công việc mà chưa được IT, pháp chế hoặc trưởng bộ phận marketing rà soát. Một copywriter dán brief của khách hàng vào chatbot miễn phí là ví dụ kinh điển. Một freelancer dùng công cụ tạo ảnh mà hợp đồng không nhắc đến cũng vậy.
Nguyên nhân thường không phải ý đồ xấu. Mọi người dùng công cụ giúp được họ. Cùng áp lực đó thúc đẩy tình trạng tràn lan công cụ AI, vừa là vấn đề chi phí vừa là rủi ro.
Vì sao shadow AI quan trọng với marketing?
Marketing xử lý dữ liệu khách hàng, kế hoạch chưa công bố, tài liệu mật của khách hàng và các tuyên bố công khai. Mỗi thứ đều có thể hỏng vì AI không được duyệt.
- Rò rỉ dữ liệu. Dữ liệu mật hoặc cá nhân bị nhập vào công cụ có điều khoản cho phép giữ lại hoặc dùng để huấn luyện.
- Tuyên bố sai. Mô hình bịa ra số liệu, trích dẫn và giá. Xem ảo giác AI trong marketing.
- Quyền và công bố. Quyền sở hữu tài sản do AI tạo ra không rõ ràng, và thiếu công bố khi quy định yêu cầu.
- Lệch thương hiệu. Nhiều người viết prompt khác nhau tạo ra nội dung nghe như không thuộc về ai.
- Cam kết ngầm. Agent trả lời khách hàng hoặc đăng bài mà không có bản ghi. Bài sổ cái bóng của chúng tôi bàn về điều này.
Có khung chuẩn nào được công nhận để dựa vào không?
Có. Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) đã công bố AI Risk Management Framework vào ngày 26 tháng 1 năm 2023 như một tài liệu tự nguyện. NIST cũng phát hành Generative AI Profile (NIST-AI-600-1) vào ngày 26 tháng 7 năm 2024 để giúp tổ chức nhận diện rủi ro đặc thù của AI tạo sinh. Khung này được viết cho các tổ chức xây dựng hoặc triển khai AI, nên đội marketing nên mượn các ý tưởng của nó — quản trị, lập bản đồ, đo lường và xử lý — thay vì áp dụng toàn bộ. Trang của NIST lưu ý khung đang được sửa đổi, vì vậy hãy kiểm tra phiên bản hiện hành.
Trưởng bộ phận pháp chế, bảo mật hoặc bảo vệ dữ liệu của bạn cũng có thể cần áp dụng quy định địa phương. Bài viết này không phải là tư vấn pháp lý.
Chính sách một trang nên viết gì?
Dùng sáu phần sau. Mỗi phần chỉ vài dòng.
- Mục đích và phạm vi. Áp dụng cho ai: nhân viên, freelancer và agency làm việc cho thương hiệu của bạn.
- Công cụ được duyệt. Danh sách có tên, kèm người phụ trách và cách đề xuất công cụ mới. Mọi thứ ngoài danh sách phải được duyệt trước.
- Nhóm dữ liệu. Nêu rõ dữ liệu nào được đưa vào công cụ nào.
- Công khai (nội dung đã đăng): được phép trong công cụ đã duyệt.
- Nội bộ (kế hoạch, bản nháp): chỉ công cụ đã duyệt có điều khoản doanh nghiệp.
- Mật (dữ liệu khách hàng, đợt ra mắt chưa công bố, hợp đồng): chỉ công cụ được duyệt cho loại này.
- Dữ liệu cá nhân (tên khách hàng, email, danh sách đối tượng): không đưa vào công cụ AI trừ khi bộ phận bảo mật quyền riêng tư đã đồng ý.
- Rà soát bởi con người. Một người có tên kiểm tra dữ kiện, số liệu, trích dẫn, tuyên bố, giọng thương hiệu và câu chữ pháp lý trước khi bất cứ thứ gì được phát hành. Dùng checklist QA cho nội dung AI của chúng tôi.
- Ghi nhật ký. Ghi lại công cụ, ngày, mục đích và người rà soát cho sản phẩm đã đăng có AI hỗ trợ. Các agent tự hành động cần có dấu vết kiểm toán và cổng phê duyệt.
- Sự cố. Nếu dữ liệu nhạy cảm bị dán vào công cụ chưa duyệt, hoặc một tuyên bố sai đã lên sóng: báo cho đầu mối được chỉ định trong thời hạn quy định, không xóa bằng chứng, và đừng lo bị quy trách nhiệm khi báo sớm.
Đưa việc dùng shadow AI hiện có ra ánh sáng như thế nào?
- Hỏi trước. Chạy một khảo sát ngắn, không quy trách nhiệm: bạn dùng những công cụ AI nào, để làm gì?
- Phân loại câu trả lời thành duyệt, thay thế và dừng.
- Đưa ra một lựa chọn đã duyệt tốt cho mỗi tác vụ phổ biến, nếu không danh sách sẽ bị bỏ qua.
- Đào tạo ngắn gọn. Một giờ về chính sách và về cách kiểm tra kết quả AI. Xem cách đào tạo marketer mới vào nghề về AI.
- Rà soát hằng quý và cập nhật danh sách công cụ.
FAQ
Shadow AI có giống shadow IT không?
Nó là một dạng của shadow IT. Shadow IT là mọi phần mềm chưa được duyệt; shadow AI là trường hợp riêng của AI, với rủi ro bổ sung từ việc dữ liệu bị dùng để huấn luyện và từ nội dung trông đúng nhưng không đúng.
Có nên cấm công cụ AI không?
Lệnh cấm toàn bộ khó thực thi và thường đẩy việc dùng vào chỗ khuất. Một danh sách được duyệt rõ ràng cùng quy tắc dữ liệu cho mọi người một con đường an toàn để có cùng lợi ích.
Ai nên sở hữu chính sách AI trong đội marketing?
Trưởng bộ phận marketing nên phụ trách hằng ngày, với ý kiến từ pháp chế, bảo mật và bảo vệ dữ liệu. Chỉ định một người để câu hỏi có nơi gửi đến.
Freelancer và agency có cần tuân theo không?
Có. Đưa chính sách vào hợp đồng hoặc brief, và hỏi đối tác họ dùng công cụ AI nào cho công việc của bạn và nhập dữ liệu gì.
Nên cập nhật chính sách bao lâu một lần?
Rà soát mỗi quý và bất cứ khi nào có công cụ, luật hoặc sự cố mới làm thay đổi bức tranh. Một trang lỗi thời tệ hơn không có gì vì nó tạo ra cảm giác an toàn giả.
Nguồn
- NIST, AI Risk Management Framework.
- Bài đăng của SOMIN: Sổ cái bóng và Ảo giác AI trong marketing.
