Theo dõi quyết định AI: Liên kết bị thiếu trong tuân thủ AI doanh nghiệp

Yêu cầu đến vào một ngày thứ Ba, từ nhóm kiểm toán, và nó được nêu rõ một cách lịch sự: đối với khách hàng đã được đánh dấu vào ngày 11 tháng 3, hãy cho thấy các đầu vào mà hệ thống đã sử dụng, phiên bản của mô hình đã chạy, các lựa chọn mà nó đã chấm điểm, và tên của người đã xem xét kết quả. Các kỹ sư của bạn có thể chạy lại quy trình — với dữ liệu hôm nay, qua mô hình hôm nay, tạo ra câu trả lời hôm nay. Điều họ không thể làm là cho thấy những gì đã xảy ra vào tháng Ba, vì mô hình đã được huấn luyện lại hai lần kể từ đó, bản chụp đầu vào chưa bao giờ được lưu giữ, và "đánh giá của con người" chỉ là một biểu tượng thumbs-up trên Slack mà không ai lưu trữ.

Nhóm sẽ sản xuất một cái gì đó — một sự tái tạo hợp lý, kèm theo lời xin lỗi vì sự chậm trễ. Và đó chính xác là điều mà một cuộc kiểm toán tồn tại để phân biệt với bằng chứng. Một sự tái tạo là một câu chuyện về những gì có thể đã xảy ra. Một dấu vết là một bản ghi về những gì đã xảy ra.

Bài viết này là phần kỹ thuật trong một loạt ba phần — sau khoảng cách trách nhiệm (tại sao các quyết định tự động không có trách nhiệm dẫn đến thảm họa) và dấu vết kiểm toán quyết định AI (năm lĩnh vực của bản ghi). Ở đây: ý nghĩa của việc theo dõi quyết định trong thực tế, bản đồ quy định với các mốc thời gian như chúng thực sự đứng sau những thay đổi vào năm 2026, bốn trụ cột của việc triển khai, và cách thực hiện ngay cả khi mô hình thuộc về người khác.

"Quyết định theo dõi" thực sự có nghĩa là gì

Mỗi hệ thống sản xuất đều ghi lại nhật ký. Theo dõi là một lĩnh vực khác với một câu hỏi khác. Một nhật ký thông thường trả lời điều gì đã xảy ra: yêu cầu được nhận, mô hình được gọi, phản hồi được trả về, 200 OK. Một dấu vết quyết định trả lời tại sao kết quả lại như vậy — và để làm được điều đó, bốn điều cần phải được ghi lại mà nhật ký thông thường hầu như không bao giờ giữ: lý do đứng sau đầu ra (các yếu tố, lập luận hoặc chuỗi đã tạo ra nó), các lựa chọn đã được xem xét và đánh giá, danh tính chính xác của người ra quyết định (phiên bản mô hình và các đầu vào như chúng đã ở thời điểm đó, không phải như chúng là hôm nay), và các điểm kiểm tra của con người — ai đã xem xét, họ đã thay đổi gì, họ đã bỏ qua điều gì.

Mối quan hệ với dấu vết kiểm toán từ phần hai của loạt bài này là đơn giản: dấu vết kiểm toán là bản ghi mà một quyết định bị ảnh hưởng bởi AI để lại; việc truy tìm là khả năng đảm bảo rằng các bản ghi như vậy tồn tại cho mọi quyết định quan trọng, không thể bị chỉnh sửa lén lút, và có thể được sản xuất theo yêu cầu nhiều tháng sau đó. Một cái là tài liệu; cái kia là hệ thống ống dẫn làm cho tài liệu trở nên đáng tin cậy.

Bản đồ quy định — với các ngày tháng như chúng thực sự đang diễn ra

Luật AI của EU là đạo luật rõ ràng nhất từng được viết về việc theo dõi quyết định, và lịch trình của nó đã thay đổi vào năm 2026, vì vậy cần phải nêu rõ. Đối với các hệ thống có rủi ro cao (các lĩnh vực trong Phụ lục III: việc làm, tín dụng, giáo dục, dịch vụ thiết yếu, thực thi pháp luật và các lĩnh vực khác), Luật yêu cầu ghi lại sự kiện tự động trong suốt thời gian hoạt động của hệ thống (Điều 12), giữ lại nhật ký ít nhất sáu tháng bởi cả nhà cung cấp và người triển khai (Điều 19 và 26), tài liệu kỹ thuật được lưu giữ trong mười năm (Điều 18), giám sát con người có ý nghĩa với quyền can thiệp hoặc thay thế (Điều 14), báo cáo sự cố nghiêm trọng — ngay lập tức, và không muộn hơn 15 ngày, được siết chặt xuống còn hai ngày cho các sự cố lan rộng (Điều 73) — và một quyền giải thích: những người bị ảnh hưởng có thể yêu cầu một tài khoản rõ ràng về vai trò của AI trong quyết định liên quan đến họ (Điều 86). Các hình phạt có thể lên tới 35 triệu euro hoặc 7% doanh thu toàn cầu.

Ngày: Digital Omnibus 2026 (Quy định (EU) 2026/1744, có hiệu lực từ tháng 7 năm 2026) đã chuyển các nghĩa vụ rủi ro cao từ tháng 8 năm 2026 đến ngày 2 tháng 12 năm 2027 — tháng 8 năm 2028 đối với AI được nhúng trong các sản phẩm theo luật an toàn EU hiện hành. Những điều không thay đổi: các lệnh cấm (có hiệu lực từ tháng 2 năm 2025), các nghĩa vụ AI mục đích chung (tháng 8 năm 2025), các nghĩa vụ về minh bạch và gán nhãn nội dung (tháng 8 năm 2026) — và Điều 22 GDPR, điều này đã hạn chế các quyết định hoàn toàn tự động từ năm 2018 và, theo phán quyết SCHUFA của Tòa án Công lý châu Âu (CJEU), bao gồm cả điểm số do bên thứ ba sản xuất khi tổ chức quyết định dựa vào nó một cách nặng nề. Nếu bạn chờ đến tháng 12 năm 2027 để bắt đầu lưu giữ hồ sơ quyết định, bạn đã muộn cho luật áp dụng hôm nay.

Hoa Kỳ điều chỉnh cùng một lĩnh vực chất liệu theo từng lĩnh vực. Các ngân hàng đã sống dưới hướng dẫn rủi ro mô hình SR 11-7 của Cục Dự trữ Liên bang từ năm 2011 — danh mục mô hình, xác thực độc lập, tài liệu đủ để bên thứ ba hiểu cách thức hoạt động của mô hình; đây là điều gần nhất với một cuốn sách hướng dẫn theo dõi trong sản xuất ở bất kỳ đâu. Thông tư 2022-03 của CFPB yêu cầu các chủ nợ tuân thủ yêu cầu lý do cụ thể của ECOA bất kể độ phức tạp của thuật toán. Luật địa phương 144 của Thành phố New York yêu cầu kiểm toán thiên lệch hàng năm và thông báo cho ứng viên về các công cụ tuyển dụng tự động. Và Colorado — đáng được trích dẫn cẩn thận, vì hầu hết các tóm tắt mô tả một luật không còn tồn tại — đã bãi bỏ và tái ban hành Đạo luật AI của mình vào tháng 5 năm 2026 (SB 26-189, thay thế cho SB 24-205 chưa bao giờ có hiệu lực): từ ngày 1 tháng 1 năm 2027, những người triển khai AI trong các quyết định quan trọng phải thông báo trước cho người tiêu dùng, xem xét bởi con người, và cung cấp giải thích bằng văn bản trong vòng 30 ngày sau một kết quả bất lợi, với các nhà phát triển phải cung cấp tài liệu kỹ thuật cho những người triển khai; việc thi hành là độc quyền cho tổng chưởng lý của bang.

Xung quanh các điều lệ là giàn giáo tự nguyện mà các kiểm toán viên ngày càng coi là tài liệu tham khảo: NIST AI Risk Management Framework (quản lý, lập bản đồ, đo lường, quản lý) và ISO/IEC 42001, tiêu chuẩn hệ thống quản lý AI có thể chứng nhận. Cả hai đều không phải là luật; cả hai biến "chúng tôi coi trọng quản trị AI" thành một cấu trúc có thể kiểm tra — và cả hai đều giả định rằng các hồ sơ quyết định mà bài viết này đề cập đã tồn tại.

Bốn trụ cột của việc theo dõi quyết định

Bỏ qua các từ viết tắt, mọi khung trên đều yêu cầu bốn khả năng giống nhau:

Chúng tôi sử dụng các mô hình của bên thứ ba — liệu chúng tôi có thể tuân thủ không?

Có — và sự phản đối đã làm cho kiến trúc trở nên sai lệch. Bạn không thể theo dõi nội bộ của mô hình của nhà cung cấp, nhưng các nghĩa vụ ràng buộc bạn với tư cách là người triển khai chủ yếu không yêu cầu bạn làm như vậy. Những gì họ yêu cầu là phía của bạn trong quyết định: các đầu vào bạn đã gửi, đầu ra bạn đã nhận, bối cảnh mà bạn đã sử dụng nó, người đã xem xét nó, và lý do bạn có thể đưa ra cho người bị ảnh hưởng. Tất cả những điều đó sống trong một lớp theo dõi mà bạn sở hữu, bao quanh bất kỳ API nào đứng sau nó.

Mối quan hệ với nhà cung cấp thêm ba nhiệm vụ thay vì loại bỏ chúng: tài liệu lý do tại sao mô hình này được chọn và cách nó được xác thực cho việc sử dụng của bạn; ghim và ghi lại phiên bản mô hình theo quyết định, để "mô hình nào đã chạy vào tháng Ba" có câu trả lời ngay cả sau khi nhà cung cấp gửi bản cập nhật; và hợp đồng cho hỗ trợ kiểm toán và lưu trữ, để phần chứng cứ của nhà cung cấp có thể truy cập được khi một cơ quan quản lý yêu cầu. Sự thừa nhận chân thành: đối với các mô hình nền tảng thực sự mờ đục, việc ghi lại lý do ở cấp độ mô hình là hạn chế — điều này chính là lý do tại sao lý do quan trọng nhất cần ghi lại là của con người, tại điểm kiểm tra nơi đầu ra trở thành một quyết định.

Bắt đầu từ đâu — giờ mà thời hạn đã thay đổi

Sự hoãn lại 16 tháng không phải là lý do để chờ đợi; đó là khoảng thời gian mà xây dựng vượt trội hơn việc cải tạo. Một dấu vết, theo định nghĩa, chỉ có thể được tạo ra vào thời điểm quyết định — bất cứ điều gì không được ghi lại giữa bây giờ và tháng 12 năm 2027 sẽ là tái cấu trúc mãi mãi. Và hai chế độ đã áp dụng, Điều 22 và khả năng kiểm toán thông thường, không tuân theo sự hoãn lại.

Chuỗi quy trình thực tiễn có ba bước, không bước nào yêu cầu một bộ phận tuân thủ. Liệt kê các điểm mà đầu ra của AI ảnh hưởng đến các quyết định quan trọng — về con người, tiền bạc hoặc chiến lược — bất kể chúng có liên quan đến danh sách Phụ lục III hay không. Ghi lại mỗi điểm bằng một phán quyết của con người: những gì hệ thống đã đề xuất, ai đã quyết định, và tại sao, được viết vào thời điểm quyết định. Tập trung các hồ sơ ở một nơi có thể tìm kiếm, để "cho tôi xem quyết định ngày 11 tháng 3" là một truy vấn, không phải là một dự án. Đó là 80% của việc truy tìm, và nó đáng có ngay cả khi không có cơ quan quản lý nào hỏi — vì các cuộc đánh giá sau đó của chính bạn sẽ hỏi. (Đối với việc triển khai truy tìm doanh nghiệp — yêu cầu kiểm toán, lưu trữ, kiểm soát truy cập — hãy nói chuyện với đội ngũ của chúng tôi.)

Nơi Argumentree phù hợp — lớp quyết định của con người

Argumentree thực hiện các trụ cột cho các quyết định mà con người đưa ra với sự hỗ trợ của AI. AI cấu trúc các lập luận và bằng chứng xung quanh một câu hỏi thành một cây pro/con (ghi lại lý luận, dưới dạng cấu trúc thay vì văn xuôi); con người cân nhắc, phản biện và đánh giá các lập luận, và một người quyết định được chỉ định ghi lại kết quả (con người trong quy trình, với việc xem xét bản thân được ghi lại); và cuộc thảo luận hoàn chỉnh tồn tại như một hồ sơ quyết định có thể tìm kiếm với toàn bộ lịch sử lập luận của nó (dấu vết, với việc xem xét mẫu qua các quyết định có sẵn vì các hồ sơ được cấu trúc, không phải văn bản tự do).

Xây dựng hệ thống ống nước trước khi bạn cần bằng chứng.

Quay lại yêu cầu vào thứ Ba. Trong một tổ chức có khả năng theo dõi, nó được trả lời trong một buổi chiều: đây là ảnh chụp đầu vào, đây là phiên bản mô hình, đây là các lựa chọn mà nó đã đánh giá, đây là phán quyết đã được ghi lại của người đánh giá và lời giải thích mà khách hàng được nợ. Không có gì anh hùng — chỉ là hệ thống cơ sở đã được xây dựng trước khi cần thiết, ghi lại vào thời điểm quyết định những gì không ai có thể tái tạo một cách trung thực sau này.

Đó là nội dung thực sự của "tuân thủ AI," khi các từ viết tắt được gỡ bỏ: những quyết định để lại bằng chứng. Các điều luật hội tụ vào nó, các khuôn khổ giả định điều đó, và — phần làm cho nó đáng thực hiện bất chấp thời gian — tổ chức của bạn hoạt động tốt hơn với nó, vì dấu vết giống nhau mà làm hài lòng một kiểm toán viên chính là hồ sơ ngăn chặn một câu hỏi đã được giải quyết không bị tái tranh luận từ trí nhớ. Thời hạn đã thay đổi. Hướng đi thì không.