Model Risk Management cần thay đổi gì khi tổ chức triển khai Generative AI?

Phần 1. Bối cảnh, khái niệm và sự thay đổi trong quản trị rủi ro mô hình

Trong nhiều năm, Model Risk Management (MRM) tại các ngân hàng và tổ chức tài chính chủ yếu tập trung vào những mô hình có đầu vào, phương pháp tính toán và kết quả tương đối rõ ràng. Chẳng hạn, mô hình chấm điểm tín dụng dự báo khả năng khách hàng không trả được nợ, mô hình định giá xác định giá trị của một công cụ tài chính, còn mô hình đo lường rủi ro thị trường ước tính mức tổn thất có thể xảy ra. Bộ phận quản trị rủi ro mô hình thường kiểm tra chất lượng dữ liệu, giả định, phương pháp phát triển, độ chính xác của kết quả và sự phù hợp khi đưa vào sử dụng.

Sự xuất hiện của Generative AI khiến cách quản trị này cần được mở rộng. Khác với những mô hình truyền thống thường tạo ra một giá trị dự báo hoặc điểm số, Generative AI có thể viết báo cáo, phân tích tài liệu, giải thích số liệu, tạo chương trình và đề xuất hành động. Cùng một câu hỏi, hệ thống có thể đưa ra những câu trả lời khác nhau tùy theo ngữ cảnh, dữ liệu được cung cấp hoặc phiên bản mô hình. Điều này khiến việc xác định một kết quả đúng hay sai trở nên phức tạp hơn, đặc biệt đối với các nhiệm vụ đòi hỏi phân tích và nhận định.

Ví dụ, một ngân hàng triển khai Generative AI để hỗ trợ bộ phận Treasury tổng hợp diễn biến lãi suất liên ngân hàng, tỷ giá và thị trường trái phiếu. Hệ thống có thể đọc dữ liệu từ nhiều nguồn, viết báo cáo thị trường và đưa ra nhận định về những yếu tố đang tác động đến thanh khoản. Công việc trước đây cần chuyên viên thu thập và tổng hợp trong nhiều giờ có thể được hỗ trợ thực hiện nhanh hơn. Tuy nhiên, nếu AI nhầm lẫn đơn vị, sử dụng dữ liệu cũ hoặc đưa ra nhận định không có căn cứ, báo cáo vẫn có thể trông rất hợp lý và khiến người đọc tin tưởng.

Đây là điểm khác biệt quan trọng giữa Generative AI và những mô hình định lượng thông thường. Với một mô hình dự báo lãi suất, người kiểm định có thể đối chiếu kết quả dự báo với diễn biến thực tế và đánh giá sai số. Với một hệ thống AI viết báo cáo thị trường, việc kiểm định còn phải xem xét số liệu có chính xác không, nguồn trích dẫn có tồn tại không, thông tin quan trọng có bị bỏ sót không và phần nhận định có vượt quá những gì dữ liệu cho phép kết luận hay không.

Vì vậy, MRM cần quan tâm đến toàn bộ quá trình hình thành câu trả lời. Chất lượng của một hệ thống Generative AI phụ thuộc vào nhiều thành phần, bao gồm mô hình ngôn ngữ, dữ liệu đầu vào, hướng dẫn xử lý, cơ chế tìm kiếm tài liệu và các công cụ được phép sử dụng. Một mô hình ngôn ngữ tốt vẫn có thể đưa ra kết quả sai nếu hệ thống cung cấp dữ liệu không chính xác hoặc truy xuất nhầm tài liệu.

Một thay đổi khác nằm ở phạm vi sử dụng. Generative AI có thể được triển khai cho nhiều công việc với mức độ rủi ro rất khác nhau. Một công cụ hỗ trợ tóm tắt tài liệu công khai không có cùng mức độ ảnh hưởng với hệ thống phân tích hồ sơ tín dụng hoặc đề xuất giao dịch cho Treasury. Nếu tổ chức áp dụng cùng một quy trình kiểm định cho tất cả trường hợp, nguồn lực kiểm soát có thể bị phân bổ chưa hợp lý.

Do đó, việc phân loại nên dựa trên mục đích sử dụng và hậu quả có thể phát sinh. Một hệ thống hỗ trợ tra cứu quy định nội bộ có thể được phép hoạt động với cơ chế giám sát thông thường. Trong khi đó, hệ thống có ảnh hưởng đến quyết định cấp tín dụng, giao dịch tài chính hoặc thông tin gửi khách hàng cần được kiểm tra chặt chẽ hơn, có giới hạn sử dụng và cơ chế phê duyệt phù hợp.

Cũng cần phân biệt giữa việc sử dụng Generative AI như một công cụ hỗ trợ và việc để AI trực tiếp tham gia quyết định. Khi AI chỉ chuẩn bị bản nháp báo cáo để chuyên viên kiểm tra, rủi ro chủ yếu nằm ở chất lượng thông tin và khả năng người sử dụng phát hiện sai sót. Nhưng khi AI được kết nối với hệ thống nghiệp vụ và có quyền thực hiện hành động, sai sót có thể chuyển thành tổn thất thực tế trước khi con người kịp can thiệp.

Một ví dụ là hệ thống AI được cấp quyền truy cập dữ liệu danh mục đầu tư, phân tích trạng thái rủi ro và đề xuất tái cân bằng. Việc tạo đề xuất và việc thực hiện giao dịch phải được xem là hai cấp quyền khác nhau. AI có thể hỗ trợ tổng hợp thông tin và chuẩn bị phương án, nhưng quyết định đặt lệnh cần tuân thủ thẩm quyền, hạn mức và quy trình kiểm soát của tổ chức.

Như vậy, khi triển khai Generative AI, MRM cần mở rộng từ kiểm định bản thân mô hình sang đánh giá toàn bộ ứng dụng và cách ứng dụng đó ảnh hưởng đến hoạt động kinh doanh. Tổ chức cần hiểu hệ thống đang sử dụng nguồn dữ liệu nào, được phép làm gì, ai chịu trách nhiệm đối với kết quả và những tình huống nào phải chuyển lại cho con người xử lý.

Phần 2. Phương pháp đánh giá và triển khai Model Risk Management cho Generative AI

Điểm bắt đầu của một quy trình MRM phù hợp là xác định rõ Generative AI được triển khai để giải quyết công việc gì. Mỗi ứng dụng cần có mô tả cụ thể về người sử dụng, loại thông tin được phép tiếp cận, kết quả cần tạo ra và mức độ ảnh hưởng đến quyết định cuối cùng. Nếu phạm vi sử dụng không rõ, bộ phận kiểm định sẽ khó xác định đâu là hành vi hợp lệ và đâu là lỗi cần kiểm soát.

Chẳng hạn, ngân hàng muốn triển khai AI để hỗ trợ lập báo cáo thị trường hằng ngày. Phạm vi ban đầu có thể giới hạn ở việc tổng hợp dữ liệu lãi suất, tỷ giá, trái phiếu và tin tức từ các nguồn đã được phê duyệt. Hệ thống có nhiệm vụ trình bày diễn biến, chỉ ra những thay đổi đáng chú ý và chuẩn bị bản nháp cho chuyên viên. AI không được tự tạo số liệu khi nguồn chưa cập nhật, không tự đưa ra quyết định giao dịch và không gửi báo cáo chính thức nếu chưa được kiểm tra.

Khi mục tiêu sử dụng được xác định rõ, tổ chức có thể xây dựng bộ dữ liệu để kiểm định. Với Generative AI, việc thử một vài câu hỏi rồi nhận xét rằng câu trả lời có vẻ hợp lý là chưa đủ. Bộ kiểm định cần phản ánh những tình huống mà người dùng thực sự gặp trong công việc, bao gồm cả trường hợp thông tin đầy đủ, dữ liệu thiếu, tài liệu mâu thuẫn hoặc câu hỏi vượt ngoài phạm vi được phép trả lời.

Ví dụ, khi kiểm tra hệ thống hỗ trợ phân tích thị trường, nhóm có thể sử dụng những báo cáo và dữ liệu đã được chuyên viên xác minh trước đó. AI được yêu cầu tổng hợp lại nội dung, sau đó kết quả được đối chiếu với dữ liệu gốc. Quá trình đánh giá cần xem xét AI có sử dụng đúng ngày quan sát, đơn vị lãi suất, kỳ hạn và nguồn thông tin hay không. Nếu một chỉ tiêu chưa có dữ liệu, hệ thống cần thể hiện rõ tình trạng thiếu thông tin, không được tự suy đoán để hoàn thiện báo cáo.

Một vấn đề thường gặp là AI có thể đưa ra câu trả lời chính xác về nội dung chung nhưng sai ở một chi tiết quan trọng. Chẳng hạn, lãi suất liên ngân hàng tăng từ 4,2% lên 4,5%. Hệ thống cần diễn giải chính xác đây là mức tăng 0,3 điểm phần trăm. Nếu AI nhầm thành tăng 0,3% theo nghĩa tương đối, ý nghĩa của số liệu sẽ khác. Với các báo cáo tài chính, những lỗi nhỏ về đơn vị, dấu âm dương hoặc kỳ hạn có thể ảnh hưởng đến nhận định của người sử dụng.

Vì vậy, quy trình kiểm định nên kết hợp đánh giá tự động với đánh giá của chuyên gia nghiệp vụ. Máy tính có thể kiểm tra các con số, sự tồn tại của nguồn trích dẫn và cấu trúc báo cáo. Tuy nhiên, những nhận định về nguyên nhân biến động thị trường, tính hợp lý của kết luận hoặc các yếu tố rủi ro bị bỏ sót vẫn cần được chuyên viên có chuyên môn xem xét.

Một số nội dung cần được theo dõi trong quá trình kiểm định gồm độ chính xác của thông tin, khả năng sử dụng đúng nguồn, tỷ lệ hoàn thành nhiệm vụ, khả năng nhận biết giới hạn của dữ liệu và mức độ cần chỉnh sửa bởi con người. Bên cạnh đó, tổ chức cần đo thời gian phản hồi, chi phí xử lý và khả năng duy trì chất lượng khi khối lượng sử dụng tăng lên.

Đối với hệ thống AI hỗ trợ lập báo cáo, một chỉ số có ý nghĩa thực tế là tỷ lệ nội dung được chuyên viên chấp nhận sau khi kiểm tra. Nếu phần lớn báo cáo vẫn phải viết lại vì sai số liệu hoặc thiếu thông tin, lợi ích về năng suất có thể thấp hơn kỳ vọng. Ngược lại, nếu AI tạo được bản nháp có cấu trúc rõ ràng, số liệu chính xác và nguồn đầy đủ, chuyên viên có thể tập trung vào việc đánh giá thị trường thay vì dành nhiều thời gian cho những công việc tổng hợp lặp lại.

Tuy nhiên, tỷ lệ chấp nhận cao không tự động chứng minh hệ thống an toàn. Người sử dụng có thể quá tin tưởng vào AI và bỏ qua những lỗi khó phát hiện. Vì vậy, tổ chức nên thực hiện kiểm tra độc lập trên một phần kết quả đã được phê duyệt, thay vì chỉ dựa vào phản hồi rằng người dùng hài lòng.

Một thay đổi đáng chú ý trong MRM là cách kiểm soát nguồn thông tin. Nhiều hệ thống Generative AI hiện nay được kết nối với cơ sở dữ liệu hoặc kho tài liệu nội bộ để tìm kiếm thông tin trước khi tạo câu trả lời. Cách triển khai này thường được gọi là Retrieval-Augmented Generation (RAG). Ví dụ, AI có thể tìm các quy định nội bộ, đọc báo cáo thị trường hoặc truy xuất dữ liệu tài chính trước khi tổng hợp kết quả.

Việc kết nối nguồn giúp câu trả lời có căn cứ hơn, nhưng không bảo đảm mọi thông tin đều chính xác. Hệ thống có thể chọn nhầm tài liệu cũ, trích dẫn đúng tên văn bản nhưng diễn giải sai nội dung, hoặc kết hợp thông tin từ nhiều thời điểm khác nhau. Vì vậy, bộ phận quản trị rủi ro cần đánh giá cả khả năng tìm đúng tài liệu, không chỉ kiểm tra câu trả lời cuối cùng.

Chẳng hạn, một ngân hàng có nhiều phiên bản quy định về hạn mức giao dịch. Nếu AI truy xuất nhầm phiên bản đã hết hiệu lực, câu trả lời có thể rất rõ ràng nhưng lại dựa trên quy định không còn áp dụng. Để hạn chế tình trạng này, kho tài liệu phải được quản lý theo phiên bản, ngày hiệu lực và phạm vi sử dụng. Những tài liệu hết hiệu lực cần được đánh dấu rõ ràng, đồng thời hệ thống phải kiểm soát quyền truy cập theo vai trò của từng người dùng.

Việc ghi nhận lịch sử hoạt động cũng cần được thiết kế từ đầu. Với một kết quả quan trọng, tổ chức nên có khả năng xác định phiên bản mô hình, hướng dẫn xử lý, nguồn dữ liệu được sử dụng và những bước kiểm tra đã thực hiện. Khi phát hiện sai sót, thông tin này giúp nhóm kỹ thuật và bộ phận MRM xác định nguyên nhân mà không phải suy đoán toàn bộ quá trình. Tuy nhiên, nhật ký hoạt động cũng phải được bảo vệ phù hợp, tránh lưu trữ hoặc tiết lộ không cần thiết những thông tin nhạy cảm.

Một điểm quan trọng khác là quản lý thay đổi. Trong các mô hình truyền thống, tổ chức thường thực hiện kiểm định lại khi thay đổi phương pháp, tham số hoặc nguồn dữ liệu quan trọng. Với Generative AI, chất lượng hệ thống còn có thể thay đổi khi cập nhật phiên bản mô hình ngôn ngữ, sửa hướng dẫn, bổ sung công cụ hoặc thay đổi cơ chế tìm kiếm tài liệu.

Ví dụ, bộ phận kỹ thuật thay mô hình ngôn ngữ hiện tại bằng một phiên bản mới có tốc độ phản hồi nhanh hơn. Dù chức năng của ứng dụng không thay đổi, cách mô hình diễn giải tài liệu và xử lý câu hỏi vẫn có thể khác. Trước khi đưa phiên bản mới vào sử dụng rộng rãi, nhóm cần chạy lại những tình huống kiểm định quan trọng và so sánh với hệ thống hiện tại. Việc cập nhật chỉ nên được chấp nhận khi các tiêu chí về chất lượng, bảo mật và khả năng kiểm soát tiếp tục được đáp ứng.

Về tổ chức thực hiện, MRM không nên là bộ phận duy nhất chịu trách nhiệm quản trị Generative AI. Đơn vị nghiệp vụ phải xác định mục tiêu và chịu trách nhiệm đối với cách sử dụng kết quả. Bộ phận công nghệ quản lý dữ liệu, hệ thống và quyền truy cập. Bộ phận an toàn thông tin đánh giá rủi ro bảo mật, còn MRM thực hiện kiểm định độc lập đối với chất lượng, giới hạn và rủi ro của mô hình hoặc ứng dụng theo phạm vi được giao.

Cách phân công này giúp tổ chức tránh tình trạng mỗi bộ phận chỉ kiểm tra một phần nhỏ nhưng không ai chịu trách nhiệm đối với kết quả cuối cùng. Một hệ thống AI có thể vượt qua kiểm thử kỹ thuật nhưng vẫn không phù hợp để sử dụng trong nghiệp vụ nếu không được đánh giá đầy đủ về nội dung và hậu quả của quyết định.

Phần 3. Rủi ro mới, cơ chế kiểm soát và ứng dụng thực tế

Rủi ro được nhắc đến nhiều nhất khi triển khai Generative AI là hallucination, tức hệ thống tạo ra thông tin không chính xác nhưng trình bày như một sự thật. Trong môi trường tài chính, rủi ro này đặc biệt đáng chú ý vì người sử dụng thường phải xử lý lượng lớn báo cáo và số liệu. Một nội dung được viết mạch lạc, sử dụng thuật ngữ chuyên môn và có vẻ đầy đủ nguồn dẫn có thể tạo cảm giác đáng tin cậy ngay cả khi một số chi tiết không được dữ liệu hỗ trợ.

Chẳng hạn, một AI được yêu cầu giải thích nguyên nhân lợi suất trái phiếu Chính phủ tăng trong tuần. Hệ thống có thể đưa ra những nguyên nhân quen thuộc như áp lực thanh khoản, kỳ vọng lạm phát hoặc biến động tỷ giá. Những lập luận này có thể hợp lý về mặt kinh tế nhưng chưa chắc phản ánh đúng diễn biến của tuần được phân tích. Nếu không có dữ liệu về giao dịch, thanh khoản và các yếu tố liên quan, AI cần thể hiện đó là những khả năng cần kiểm chứng, không nên khẳng định như nguyên nhân đã được xác nhận.

Để kiểm soát rủi ro này, tổ chức cần quy định rõ những loại kết luận phải có nguồn và cách xử lý khi bằng chứng chưa đầy đủ. Với các chỉ tiêu định lượng, dữ liệu nên được lấy trực tiếp từ hệ thống đã kiểm tra thay vì yêu cầu mô hình ngôn ngữ tự ghi nhớ hoặc suy đoán. Với phần nhận định, AI cần phân biệt giữa diễn biến thực tế và giả thuyết giải thích. Đây là một yêu cầu quan trọng đối với những ứng dụng hỗ trợ phân tích thị trường và quản trị rủi ro.

Rủi ro thứ hai là lộ lọt thông tin. Trong quá trình sử dụng, nhân viên có thể nhập báo cáo nội bộ, dữ liệu khách hàng, danh mục đầu tư hoặc những tài liệu chưa được phép công bố. Nếu hệ thống không được thiết kế với cơ chế bảo mật phù hợp, dữ liệu nhạy cảm có thể bị chuyển đến dịch vụ bên ngoài hoặc xuất hiện trong câu trả lời cho người không có quyền truy cập.

Vì vậy, trước khi triển khai, ngân hàng cần xác định loại dữ liệu nào được phép đưa vào hệ thống, dữ liệu nào phải ẩn danh và trường hợp nào không được sử dụng dịch vụ AI bên ngoài. Quyền truy cập phải được kiểm soát theo tài khoản và chức năng nghiệp vụ. Việc sử dụng một nền tảng AI phổ biến không đồng nghĩa với việc mọi dữ liệu nội bộ đều có thể được tải lên để xử lý.

Một rủi ro khác là prompt injection, khi nội dung mà AI tiếp nhận chứa những chỉ dẫn nhằm thay đổi hành vi của hệ thống. Ví dụ, một tài liệu được đưa vào kho tìm kiếm có thể chứa nội dung yêu cầu AI bỏ qua quy định ban đầu, tiết lộ thông tin hoặc thực hiện hành động ngoài thẩm quyền. Nếu hệ thống không phân biệt rõ tài liệu tham khảo với chỉ dẫn được phép thực thi, nội dung không đáng tin cậy có thể ảnh hưởng đến quá trình xử lý.

Rủi ro này trở nên nghiêm trọng hơn khi AI được kết nối với email, cơ sở dữ liệu hoặc các công cụ thực hiện nghiệp vụ. Một hệ thống chỉ có quyền đọc tài liệu thường có phạm vi ảnh hưởng nhỏ hơn hệ thống được phép gửi email, cập nhật dữ liệu hoặc thực hiện giao dịch. Vì vậy, quyền hạn của AI cần được giới hạn theo đúng nhiệm vụ. Những hành động có thể tạo ra hậu quả tài chính hoặc làm thay đổi dữ liệu quan trọng phải có kiểm tra độc lập và cơ chế phê duyệt thích hợp.

Bên cạnh rủi ro kỹ thuật, tổ chức còn phải quan tâm đến automation bias, tức xu hướng con người tin tưởng quá mức vào kết quả do hệ thống tự động tạo ra. Khi AI liên tục đưa ra câu trả lời có vẻ hợp lý, người sử dụng có thể dần giảm mức độ kiểm tra. Điều này đặc biệt nguy hiểm trong các công việc có áp lực thời gian, chẳng hạn chuẩn bị báo cáo thị trường buổi sáng, tổng hợp trạng thái rủi ro hoặc rà soát hồ sơ trước cuộc họp.

Để hạn chế, quy trình phê duyệt cần xác định rõ trách nhiệm của người kiểm tra. Người sử dụng phải có khả năng truy cập dữ liệu gốc, xem nguồn trích dẫn và chỉnh sửa những nội dung không phù hợp. Đối với các báo cáo quan trọng, việc phê duyệt không nên chỉ là một thao tác xác nhận hình thức. Tổ chức cần có cơ chế kiểm tra mẫu để đánh giá liệu người phê duyệt có thực sự phát hiện được sai sót hay không.

Một vấn đề thường bị đánh giá thấp là sự phụ thuộc vào nhà cung cấp. Phần lớn tổ chức không tự phát triển mô hình ngôn ngữ nền tảng mà sử dụng dịch vụ của các công ty công nghệ. Khi nhà cung cấp thay đổi phiên bản, chính sách xử lý dữ liệu, giới hạn sử dụng hoặc giá dịch vụ, hệ thống nội bộ có thể bị ảnh hưởng. Nếu nhiều ứng dụng quan trọng cùng phụ thuộc vào một nhà cung cấp, sự cố từ bên ngoài còn có thể tác động đồng thời đến nhiều hoạt động.

Do đó, MRM cần phối hợp với quản trị rủi ro bên thứ ba để đánh giá khả năng duy trì dịch vụ, tính minh bạch của những thay đổi và phương án thay thế khi có sự cố. Với các ứng dụng quan trọng, tổ chức nên chuẩn bị cơ chế chuyển sang quy trình thủ công hoặc hệ thống dự phòng. Việc chuyển đổi sang mô hình khác cũng cần được kiểm định, bởi hai mô hình ngôn ngữ có thể tạo ra kết quả khác nhau ngay cả khi sử dụng cùng dữ liệu và hướng dẫn.

Trong vận hành hằng ngày, kiểm soát Generative AI không nên kết thúc sau khi hệ thống được phê duyệt đưa vào sử dụng. Chất lượng cần được theo dõi liên tục thông qua những kết quả đã được kiểm tra, phản hồi của người dùng và các trường hợp bất thường. Nếu tỷ lệ câu trả lời sai tăng lên, thời gian phản hồi kéo dài hoặc hệ thống bắt đầu đưa ra nhiều kết luận không có nguồn, nhóm vận hành cần xác định nguyên nhân trước khi tiếp tục mở rộng sử dụng.

Quá trình giám sát cũng cần phân biệt lỗi phát sinh từ mô hình với lỗi dữ liệu và lỗi tích hợp. Ví dụ, AI đưa ra số liệu lãi suất không chính xác có thể do nguồn dữ liệu chưa cập nhật, công cụ truy xuất chọn sai ngày hoặc mô hình diễn giải nhầm kết quả. Mỗi nguyên nhân cần một biện pháp xử lý khác nhau. Chỉ thay đổi câu hướng dẫn cho AI chưa chắc giải quyết được vấn đề nếu dữ liệu đầu vào đã sai.

Một tình huống thực tế có thể xem xét là ngân hàng triển khai Generative AI để hỗ trợ lập báo cáo rủi ro thị trường. Trong giai đoạn đầu, hệ thống chỉ được phép đọc các dữ liệu đã kiểm tra về lãi suất, tỷ giá, trái phiếu và trạng thái danh mục. AI tổng hợp diễn biến, nhận diện những thay đổi đáng chú ý và chuẩn bị phần thuyết minh. Chuyên viên quản trị rủi ro kiểm tra số liệu, bổ sung nhận định và phê duyệt báo cáo trước khi gửi lãnh đạo.

Trong quá trình thử nghiệm, nhóm có thể đưa vào những trường hợp dữ liệu thiếu, ngày quan sát không đồng nhất hoặc các nguồn đưa ra số liệu khác nhau. Hệ thống đạt yêu cầu khi biết chỉ ra sự khác biệt, xác định phần thông tin chưa đủ căn cứ và không tự tạo số liệu để hoàn thiện báo cáo. Nếu AI chưa đáp ứng được các điều kiện này, phạm vi sử dụng cần tiếp tục được giới hạn ở mức hỗ trợ soạn thảo.

Sau một thời gian vận hành ổn định, ngân hàng có thể mở rộng sang các nhiệm vụ như đối chiếu báo cáo, phát hiện số liệu bất thường hoặc hỗ trợ xây dựng kịch bản rủi ro. Tuy nhiên, mỗi chức năng mới phải được đánh giá lại về dữ liệu, quyền truy cập, chất lượng đầu ra và mức độ ảnh hưởng đến quyết định. Việc một hệ thống làm tốt nhiệm vụ tóm tắt báo cáo không đồng nghĩa với việc nó đủ tin cậy để đề xuất hạn mức giao dịch hoặc quyết định phân bổ danh mục.

Đối với tổ chức mới bắt đầu triển khai, cách tiếp cận phù hợp là lựa chọn một số ứng dụng có lợi ích rõ ràng và phạm vi kiểm soát được. Hỗ trợ tìm kiếm quy định, tổng hợp báo cáo, đối chiếu tài liệu và chuẩn bị bản nháp phân tích thường là những công việc có thể đánh giá kết quả tương đối trực tiếp. Sau khi xây dựng được quy trình kiểm định, giám sát và xử lý sự cố, tổ chức mới cân nhắc những ứng dụng có ảnh hưởng lớn hơn đến quyết định kinh doanh.

Về mặt quản trị, các nguyên tắc MRM truyền thống như xác định phạm vi sử dụng, kiểm định độc lập, giám sát hiệu quả và quản lý thay đổi vẫn có giá trị. Tuy nhiên, Generative AI đòi hỏi bổ sung những nội dung mà các quy trình cũ có thể chưa bao quát đầy đủ, đặc biệt là kiểm soát nội dung tạo sinh, bảo mật dữ liệu, quyền thực hiện hành động và khả năng truy xuất nguồn của câu trả lời.

Các khung tham chiếu như NIST AI Risk Management Framework và OWASP Top 10 for LLM Applications có thể hỗ trợ tổ chức nhận diện những rủi ro đặc thù này. Trong khi đó, các nguyên tắc quản trị rủi ro mô hình trong ngành ngân hàng vẫn là cơ sở hữu ích để xác định trách nhiệm, mức độ kiểm định và cơ chế giám sát phù hợp. Tuy nhiên, cần xem xét phạm vi áp dụng của từng hướng dẫn thay vì mặc nhiên coi mọi ứng dụng Generative AI đều thuộc cùng một định nghĩa mô hình hoặc một chế độ quản lý.

Về lâu dài, thách thức lớn nhất không phải là lựa chọn mô hình ngôn ngữ có khả năng trả lời tốt nhất, mà là bảo đảm hệ thống luôn hoạt động trong phạm vi tổ chức có thể kiểm soát. Một ứng dụng AI có thể rất hữu ích khi hỗ trợ phân tích và tổng hợp thông tin, nhưng sẽ tạo ra rủi ro đáng kể nếu được trao quyền vượt quá khả năng kiểm định và giám sát.

Generative AI đang làm thay đổi phạm vi của Model Risk Management. Tổ chức không còn chỉ cần đánh giá mô hình có chính xác hay không, mà còn phải hiểu thông tin được tạo ra từ đâu, ai được phép sử dụng, kết quả ảnh hưởng đến quyết định nào và điều gì xảy ra khi hệ thống mắc lỗi.

Một hệ thống Generative AI được quản trị tốt không cần đưa ra câu trả lời cho mọi tình huống. Điều quan trọng là nó có thể cung cấp thông tin đáng tin cậy trong phạm vi được thiết kế, nhận biết khi thiếu căn cứ và chuyển những quyết định quan trọng về đúng người có thẩm quyền. Đây là nền tảng để các ngân hàng và tổ chức tài chính khai thác lợi ích của Generative AI mà vẫn duy trì được kỷ luật quản trị rủi ro.