Chọn nhà thầu bằng AI事業者ガイドライン: 8 câu hỏi trước khi ký
Tóm tắt: AI事業者ガイドライン (bản 1.2, công bố 31/03/2026 bởi Bộ Nội vụ và Truyền thông, Bộ Kinh tế Công nghiệp Nhật Bản) không phải chứng nhận, nhưng là bộ khung tốt để hỏi nhà thầu. Bài này chuyển khung đó thành 8 câu hỏi, cho biết câu trả lời tốt trông thế nào, và VAON trả lời ra sao.
Mục lục
- AI事業者ガイドライン là gì, và có ràng buộc pháp lý không?
- Nhà thầu phát triển thuộc vai nào trong ガイドライン?
- 8 câu hỏi nên đặt cho nhà thầu, và câu trả lời tốt trông thế nào?
- VAON trả lời 8 câu hỏi này ra sao?
- Dùng bảng này trong buổi họp thế nào?
- Khi nào bộ câu hỏi này không phù hợp?
- Câu hỏi thường gặp
1. AI事業者ガイドライン là gì, và có ràng buộc pháp lý không?
AI事業者ガイドライン là văn bản hướng dẫn do Bộ Nội vụ và Truyền thông (総務省) cùng Bộ Kinh tế, Thương mại và Công nghiệp (経済産業省) ban hành, và không có tính ràng buộc pháp lý. Chính văn bản tự gọi mình là "非拘束的なソフトロー" (soft law không ràng buộc). Bản mới nhất tại thời điểm viết bài là bản 1.2, công bố ngày 31/03/2026. Trước đó là bản 1.1 (28/03/2025) và bản 1.0 (19/04/2024).
Điều này quyết định cách dùng. Không có chuyện nhà thầu "đạt chứng nhận ガイドライン", vì không có cơ chế chứng nhận đi kèm trong văn bản. Cái bạn dùng được là bộ khung: 10 nguyên tắc chung (lấy con người làm trung tâm, an toàn, công bằng, bảo vệ quyền riêng tư, bảo đảm an ninh, minh bạch, trách nhiệm giải trình, giáo dục và năng lực hiểu biết, cạnh tranh công bằng, đổi mới) cùng phần xây dựng quản trị AI. Vì vậy khi nghe một nhà thầu nói "chúng tôi tuân thủ ガイドライン", bạn nên hỏi lại: tuân thủ điều nào, và bằng chứng ở đâu.
Bài về quản trị AI, ISO và EU AI Act đã so sánh ガイドライン với các khung quốc tế. Bài này đi theo hướng khác: dùng ガイドライン làm danh sách câu hỏi để chọn nhà thầu.
2. Nhà thầu phát triển thuộc vai nào trong ガイドライン?
ガイドライン chia các bên thành ba vai: AI開発者 (xây dựng mô hình và hệ thống AI), AI提供者 (đưa AI vào ứng dụng, sản phẩm hay quy trình rồi cung cấp cho người dùng) và AI利用者 (doanh nghiệp dùng AI trong hoạt động của mình). Một nhà thầu làm hệ thống có tính năng AI cho bạn thường rơi vào vai AI提供者, và bạn là AI利用者. Chú thích của chính văn bản nói rằng thực tế có nhiều trường hợp và một bên có thể kiêm nhiều vai.
| Vai | Làm gì | Ví dụ khi thuê ngoài |
|---|---|---|
| AI開発者 | Xây mô hình, hệ thống AI | Hãng làm mô hình ngôn ngữ |
| AI提供者 | Đưa AI vào dịch vụ, tích hợp với hệ thống hiện có, hỗ trợ vận hành | Nhà thầu làm chatbot hay hệ thống có AI cho bạn |
| AI利用者 | Dùng AI trong hoạt động kinh doanh | Doanh nghiệp đặt hàng |
Có một trường hợp khác cần phân biệt: nhà thầu không đưa AI vào sản phẩm của bạn mà chỉ dùng AI để viết code. Khi đó họ là bên dùng công cụ AI, và điều bạn quan tâm là cách họ kiểm soát code AI sinh ra. Văn bản có một chú thích nêu riêng: khi dùng AI sinh mã, cần chú ý đến tính an toàn và bảo mật của mã sinh ra. Chủ đề này nằm ở bài trụ về 12 điều cần kiểm tra và bài về trách nhiệm khi code AI viết có lỗi.
3. 8 câu hỏi nên đặt cho nhà thầu, và câu trả lời tốt trông thế nào?
Tám câu hỏi dưới đây bám vào các nguyên tắc có thể kiểm chứng bằng tài liệu và quy trình, chứ không bằng lời hứa. Cột cuối là mục tương ứng trong ガイドライン bản 1.2.
| # | Câu hỏi | Câu trả lời tốt | Dấu hiệu đáng ngờ | Mục tham chiếu |
|---|---|---|---|---|
| 1 | Ai là người chịu trách nhiệm về việc dùng AI trong dự án của tôi? | Nêu tên và chức danh, người này tham gia dự án | "Cả đội chịu trách nhiệm" | Trách nhiệm giải trình: nêu rõ người chịu trách nhiệm |
| 2 | Hợp đồng phân chia trách nhiệm giữa hai bên thế nào khi AI có sai sót? | Có điều khoản phân chia rõ, nêu cả phần phía tôi | Hợp đồng chỉ nói chung về "chất lượng" | Trách nhiệm giải trình: phân chia trách nhiệm giữa các bên bằng hợp đồng |
| 3 | Anh chị dùng công cụ AI nào, cho khâu nào, và có báo tôi khi đổi không? | Liệt kê loại công cụ và khâu, cam kết báo khi đổi | "Chúng tôi dùng AI để nhanh hơn" | Minh bạch |
| 4 | Mã và dữ liệu của tôi có đi vào công cụ AI không, và ai cho phép? | Chỉ khi tôi cho phép; nếu chưa, nêu rõ phần nào không chạy | Không có chính sách, hoặc "không sao đâu" | Quyền riêng tư, an ninh |
| 5 | Ai đọc lại code AI viết trước khi phát hành? | Có người khác đọc, có kịch bản test, có danh sách kiểm tra | "AI đã tự kiểm tra rồi" | An toàn: người có thể kiểm soát |
| 6 | Code AI sinh ra được kiểm tra bảo mật bằng cách nào? | Có cổng tự động (quét secret, dependency, phân tích tĩnh) cộng với người đọc | Chỉ nói "chúng tôi chú ý bảo mật" | Bảo đảm an ninh; chú thích về mã do AI sinh |
| 7 | Tôi có xem được hồ sơ review và test không? | Có, và hồ sơ lưu theo từng lần thay đổi | Hồ sơ "nội bộ", không cho xem | Truy vết; lập tài liệu |
| 8 | Khi phát hiện sai sót, quy trình báo và xử lý là gì? | Có quy trình, báo cáo định kỳ nêu rủi ro | Không có quy trình, xử lý khi nào hay khi đó | Trách nhiệm giải trình: ứng xử với bên liên quan |
Hai câu đầu hay bị bỏ qua nhất. Người ta hỏi về công nghệ, ít ai hỏi "ai chịu trách nhiệm" và "ghi ở đâu trong hợp đồng". Trong ガイドライン, chính hai việc này nằm trong phần trách nhiệm giải trình.
4. VAON trả lời 8 câu hỏi này ra sao?
Câu trả lời của VAON dựa trên quy trình đang chạy, và chúng tôi không tuyên bố "tuân thủ" ガイドライン. Dưới đây là từng câu.
- Người chịu trách nhiệm. CEO Đặng Văn Luân dự buổi đầu 60 phút với mọi khách. CTO Đoàn Minh Hoàng và Tech Lead tham gia mọi dự án. Mỗi dự án có một đầu mối thống nhất ngay từ đầu.
- Phân chia trách nhiệm trong hợp đồng. Yêu cầu được chốt bằng văn bản trước khi xây dựng. Điều khoản bảo hành và mức trách nhiệm cụ thể, chúng tôi bàn theo từng dự án; không có mức chung để công bố.
- Công khai việc dùng AI. Kỹ sư dùng Claude Code và GitHub Copilot hằng ngày để đọc lại mã, sinh test và đồng bộ tài liệu. Người kiểm tra trước khi phát hành.
- Dữ liệu. Không đưa mã hay dữ liệu của khách vào công cụ AI khi chưa được phép. Khách chưa cho phép thì bước AI rà soát không chạy, chỉ còn cổng tự động và người đọc.
- Ai đọc lại. Mỗi thay đổi đi qua 7 bước, trong đó có phản biện bởi người khác, kiểm tra chéo và trưởng nhóm duyệt. Nhánh chính bị khoá, không merge khi chưa review.
- Bảo mật cho code AI. Trên mỗi pull request ở mọi dự án: quét secret, quét dependency, phân tích tĩnh (SAST). Kỹ sư kiểm tra tên package AI đề xuất trước khi cài. AI rà phần thay đổi và người đọc kết quả; AI bổ sung cho người, không thay, và có cảnh báo sai. Quy trình này tham chiếu NIST SSDF (SP 800-218) và văn bản 注意喚起 dành cho nhà cung cấp phần mềm của NCO và METI ngày 18/05/2026, không phải tuân thủ chính thức bất kỳ khung nào.
- Hồ sơ. Hồ sơ review và test được lưu ở mọi dự án, khách xem được.
- Xử lý sai sót. Báo cáo hằng tuần nêu tiến độ, rủi ro và việc cần khách quyết. Việc ngoài phạm vi đi qua yêu cầu thay đổi: VAON báo giá và ảnh hưởng tiến độ bằng văn bản, khách duyệt mới làm.
Về chứng chỉ: VAON chưa có chứng chỉ ISO 27001. Quy chế an toàn thông tin của chúng tôi được xây theo khung ISO 27001, do CEO thiết lập từ kinh nghiệm đưa một doanh nghiệp 120 nhân sự đạt chứng chỉ này. VAON sẵn sàng trình bày quy trình và ký cam kết theo mẫu của khách.
"Code AI viết ai kiểm tra?" là một trong ba câu khách hỏi nhiều nhất năm 2026, cùng với "chưa có spec có hỏi được không?" và "ai thực sự làm, có thay người không?".
5. Dùng bảng này trong buổi họp thế nào?
Cách dùng thực tế là hỏi cả 8 câu với từng nhà thầu trong danh sách rút gọn, rồi chấm mỗi câu theo ba mức: có bằng chứng, có lời giải thích nhưng chưa có bằng chứng, hoặc không trả lời được. Đừng chấm điểm theo độ trôi chảy của câu trả lời. Chấm theo việc họ có đưa ra được tài liệu, hồ sơ hay điều khoản hợp đồng hay không.
Hai việc nên làm thêm. Một, yêu cầu xem một mẫu hồ sơ review thật (đã che thông tin khách khác) thay vì nghe mô tả. Hai, ghi các câu trả lời vào hợp đồng hoặc phụ lục, vì lời nói trong buổi họp không ràng buộc ai.
Nếu bạn đang so sánh nhà thầu ở Việt Nam, hãy xem thêm cách chọn công ty phát triển tại Việt Nam, nơi các câu hỏi về năng lực và quy mô được bàn riêng.
6. Khi nào bộ câu hỏi này không phù hợp?
Bộ câu hỏi này không thay thế thẩm định kỹ thuật và pháp lý. ガイドライン là khung tự nguyện, nó không đánh giá chất lượng code hay năng lực kỹ sư cụ thể. Tám câu hỏi cũng không bao hết: chưa có câu về giá, tiến độ hay kinh nghiệm theo ngành.
Còn hai điều cần nói thẳng. Thứ nhất, bài này đọc phần thân của ガイドライン bản 1.2 và bản checklist; nó không phải bản diễn giải đầy đủ phần phụ lục. Thứ hai, với dự án rất nhỏ, ít rủi ro, hỏi cả tám câu có thể nặng. Chọn các câu 3, 4, 5 trước. Và nếu nhà thầu từ chối trả lời cả những câu này, đó cũng là một thông tin.
7. Câu hỏi thường gặp
AI事業者ガイドライン có bắt buộc với doanh nghiệp Nhật không? Không. Văn bản là soft law không ràng buộc, kêu gọi doanh nghiệp tự nguyện thực hiện. Nhưng điều đó không có nghĩa là bạn không cần hỏi: các luật khác, như luật bảo vệ thông tin cá nhân, vẫn áp dụng riêng, và khung này cho bạn một danh sách câu hỏi sẵn.
Bản mới nhất của ガイドライン là bản nào? Theo trang của Bộ Nội vụ và Truyền thông, bản mới nhất là 1.2, công bố ngày 31/03/2026. Trước đó là 1.1 (28/03/2025) và 1.0 (19/04/2024). Hãy kiểm tra lại trang chính thức trước khi dùng, vì văn bản được cập nhật định kỳ.
Nhà thầu nói họ "tuân thủ ガイドライン" thì có đủ không? Chưa đủ. Không có chứng nhận đi kèm, nên câu đó chỉ có nghĩa khi đi kèm cụ thể: điều nào, làm bằng quy trình nào, bằng chứng ở đâu. Hãy hỏi theo bảng ở mục 3 và xin xem hồ sơ thật.
VAON có chứng chỉ ISO 27001 không? Chưa. Quy chế an toàn thông tin của VAON được xây theo khung ISO 27001, do CEO thiết lập từ kinh nghiệm đưa một doanh nghiệp 120 nhân sự đạt chứng chỉ này. VAON sẵn sàng trình bày quy trình và ký cam kết theo mẫu của khách.
Nên bắt đầu từ câu hỏi nào nếu ít thời gian? Bắt đầu từ câu 4 (dữ liệu có đi vào công cụ AI không), câu 5 (ai đọc lại code) và câu 7 (xem được hồ sơ không). Ba câu này lộ ra khác biệt giữa nhà thầu có quy trình thật và nhà thầu chỉ có lời nói.
Bạn đang lập danh sách rút gọn nhà thầu? Mang bảng 8 câu hỏi này đến buổi trao đổi 60 phút miễn phí có CEO VAON dự. Không cần tài liệu, không ràng buộc. Đặt lịch trao đổi 60 phút miễn phí
Nguồn tham khảo
- 総務省「AI事業者ガイドライン」trang chính thức (đọc ngày 17/10/2026): https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html
- AI事業者ガイドライン (第1.2版) 本編, 令和8年3月31日: https://www.soumu.go.jp/main_content/001064279.pdf
- AI事業者ガイドライン (第1.2版) 別添7 チェックリスト: https://www.soumu.go.jp/main_content/001064289.pdf
Tác giả: Đặng Văn Luân, Founder & CEO, VAON. Tốt nghiệp HEDSPI (Đại học Bách khoa Hà Nội), từng làm tại FPT Software, 5 năm tại Digital Plus (Tokyo) với hệ thống 10 triệu người dùng, 8 năm làm COO một công ty ITO 120 nhân sự và xây hệ thống quản lý theo ISO 9001, ISO 27001. 15 năm làm nghề.
