Bẫy phụ thuộc trong chuyển đổi số và AI: Doanh nghiệp Việt Nam làm sao để kiểm soát chủ quyền công nghệ?

Last updated on 16 October, 2026

Khi doanh nghiệp thuê nhà, ai đang giữ chìa khóa?

Hãy hình dung một doanh nghiệp thuê văn phòng trong một tòa nhà hiện đại. Chủ tòa nhà cung cấp điện, nước, internet, hệ thống an ninh và dịch vụ vận hành. Nhờ đó, doanh nghiệp không cần đầu tư hạ tầng ban đầu lớn, có thể mở rộng nhanh và tập trung vào hoạt động kinh doanh.

Đây là một lựa chọn hợp lý. Tuy nhiên, nếu chủ tòa nhà có quyền thay đổi giá thuê bất cứ lúc nào, giới hạn giờ ra vào, từ chối cho chuyển đồ sang địa điểm khác hoặc giữ lại toàn bộ hồ sơ kinh doanh khi hợp đồng kết thúc, lợi thế ban đầu sẽ trở thành sự lệ thuộc.

Khi thuê công nghệ, doanh nghiệp có thể mất quyền chủ động như thế nào?

Trong chuyển đổi số, nhiều doanh nghiệp đang đứng trước tình huống tương tự. Họ sử dụng phần mềm dưới dạng dịch vụ (Software as a Service – SaaS), hạ tầng điện toán đám mây (Cloud Computing) và các nền tảng trí tuệ nhân tạo (Artificial Intelligence – AI) để tăng tốc vận hành.

Tuy nhiên, dữ liệu, quy trình, ứng dụng và tri thức quan trọng ngày càng gắn chặt với hệ sinh thái của một số nhà cung cấp. Khi đó, doanh nghiệp có thể gặp khó khăn nếu muốn chuyển đổi nền tảng, thay đổi nhà cung cấp hoặc điều chỉnh cách thức vận hành.

Vấn đề không nằm ở việc sử dụng công nghệ nước ngoài. Điều quan trọng hơn là doanh nghiệp có còn quyền lựa chọn khi giá dịch vụ tăng, điều khoản thay đổi, hệ thống gián đoạn hoặc công nghệ không còn phù hợp hay không.

Chủ quyền công nghệ (Technological sovereignty): Vấn đề quản trị, không chỉ là vấn đề kỹ thuật

Đó chính là bài toán chủ quyền công nghệ: doanh nghiệp có đủ năng lực và quyền kiểm soát để quyết định công nghệ được sử dụng như thế nào, dữ liệu được quản lý ra sao và có thể thay đổi nhà cung cấp khi cần thiết hay không?

Đối với Hội đồng quản trị (HĐQT) và Ban Tổng giám đốc, đây không chỉ là vấn đề của bộ phận công nghệ thông tin. Thay vào đó, chủ quyền công nghệ cần được xem là một nội dung quan trọng trong quản trị rủi ro, bảo vệ năng lực cạnh tranh và duy trì hoạt động kinh doanh dài hạn.

Chủ quyền công nghệ không có nghĩa là tự xây dựng mọi thứ

Một hiểu lầm phổ biến là muốn tự chủ công nghệ thì phải sở hữu máy chủ, tự phát triển phần mềm hoặc xây dựng mô hình AI riêng. Cách tiếp cận này có thể khiến doanh nghiệp đầu tư quá mức, trong khi vẫn không giải quyết được các rủi ro quản trị cốt lõi.

Chủ quyền công nghệ không đồng nghĩa với tự cung tự cấp. Doanh nghiệp vẫn có thể sử dụng nền tảng quốc tế, thuê dịch vụ đám mây hoặc khai thác các mô hình AI bên ngoài, miễn là giữ được quyền kiểm soát cần thiết đối với tài sản số và hoạt động kinh doanh của mình.

Năm khía cạnh cốt lõi của chủ quyền công nghệ

Để đánh giá mức độ tự chủ, doanh nghiệp có thể xem xét chủ quyền công nghệ qua năm khía cạnh sau:

• Chủ quyền dữ liệu: Doanh nghiệp biết dữ liệu đang được lưu trữ, xử lý và chia sẻ ở đâu; ai có quyền truy cập; dữ liệu có thể được xuất và chuyển đổi sang hệ thống khác hay không.
• Chủ quyền ứng dụng: Doanh nghiệp kiểm soát được cấu hình, quy trình nghiệp vụ, các giao diện kết nối và khả năng thay thế phần mềm.
• Chủ quyền AI: Doanh nghiệp hiểu dữ liệu nào được đưa vào AI, kết quả được sử dụng ra sao, ai chịu trách nhiệm và có thể chuyển sang mô hình khác hay không.
• Chủ quyền vận hành: Doanh nghiệp có phương án duy trì hoạt động khi nhà cung cấp gặp sự cố, tài khoản bị khóa hoặc dịch vụ bị gián đoạn.
• Chủ quyền quyết định: Ban lãnh đạo có đủ thông tin, năng lực và quyền hạn để lựa chọn, giám sát hoặc chấm dứt quan hệ với nhà cung cấp công nghệ.

Doanh nghiệp cần tự chủ đến mức nào?

Năm khía cạnh này không yêu cầu mức độ tự chủ giống nhau. Một doanh nghiệp có thể thuê toàn bộ hạ tầng nhưng vẫn kiểm soát tốt dữ liệu, quyền truy cập và khả năng chuyển đổi. Ngược lại, doanh nghiệp sở hữu máy chủ riêng nhưng không có nhân sự đủ năng lực vận hành cũng chưa chắc đã tự chủ.

Mục tiêu thực tế là giữ quyền kiểm soát đối với những năng lực công nghệ có ảnh hưởng lớn đến sự tồn tại và lợi thế cạnh tranh của doanh nghiệp.

Bẫy phụ thuộc công nghệ: Những rủi ro thường bị bỏ qua

Chi phí chuyển đổi số thấp hôm nay có thể trở thành chi phí khóa chặt ngày mai

Các nền tảng SaaS và AI thường hấp dẫn bởi chi phí ban đầu thấp, triển khai nhanh và không cần đội ngũ kỹ thuật lớn. Tuy nhiên, chi phí đăng ký dịch vụ chỉ là một phần của tổng chi phí sở hữu công nghệ.

Khi doanh nghiệp đã đưa hàng nghìn hồ sơ khách hàng vào hệ thống quản trị quan hệ khách hàng (Customer Relationship Management – CRM), chuẩn hóa quy trình trên nền tảng hoạch định nguồn lực doanh nghiệp (Enterprise Resource Planning – ERP) hoặc xây dựng quy trình phê duyệt bằng một công cụ riêng, việc thay thế không còn đơn giản như hủy một gói thuê bao.

Doanh nghiệp có thể phải trả thêm cho việc xuất dữ liệu, chuyển đổi định dạng, xây dựng kết nối mới, đào tạo nhân viên và vận hành song song hai hệ thống. Một số cấu hình hoặc chức năng đã phát triển riêng cũng có thể không chuyển đổi được.

Đây là hiện tượng khóa chặt nhà cung cấp (Vendor Lock-in). Chi phí chuyển đổi càng cao, quyền thương lượng của doanh nghiệp càng giảm.

Vì vậy, khi đánh giá một giải pháp, lãnh đạo cần hỏi không chỉ “Chi phí triển khai là bao nhiêu?” mà còn “Nếu sau ba năm chúng ta muốn rời bỏ hệ thống này, tổng chi phí và thời gian cần thiết sẽ là bao nhiêu?”.

Dữ liệu nằm trên đám mây không có nghĩa là doanh nghiệp kiểm soát được dữ liệu

Điện toán đám mây giúp doanh nghiệp giảm gánh nặng đầu tư và vận hành hạ tầng. Tuy nhiên, cần phân biệt giữa việc lưu trữ dữ liệu, quyền sở hữu dữ liệu theo hợp đồng và khả năng thực tế để truy cập, khai thác hoặc chuyển dữ liệu.

Dữ liệu khách hàng, giá bán, biên lợi nhuận, hồ sơ nhân sự, thiết kế sản phẩm và lịch sử giao dịch có thể là những tài sản tạo ra lợi thế cạnh tranh. Nếu doanh nghiệp không nắm rõ vị trí lưu trữ, quyền truy cập của bên thứ ba, chính sách sao lưu và quy trình xóa dữ liệu khi chấm dứt hợp đồng, rủi ro sẽ vượt ra ngoài phạm vi kỹ thuật.

Đặc biệt, doanh nghiệp cần xem xét nghĩa vụ bảo vệ dữ liệu cá nhân, bảo mật thông tin và yêu cầu pháp lý liên quan đến ngành nghề, loại dữ liệu và hoạt động xuyên biên giới. Không nên mặc định rằng sử dụng dịch vụ đám mây nước ngoài đồng nghĩa với vi phạm pháp luật, cũng không nên mặc định rằng nhà cung cấp sẽ chịu toàn bộ trách nhiệm.

Phụ thuộc AI có thể khiến doanh nghiệp mất dần năng lực nội tại

AI đang giúp nhân viên viết nội dung, phân tích tài liệu, lập báo cáo, hỗ trợ khách hàng và xử lý dữ liệu nhanh hơn. Nhưng nếu doanh nghiệp giao toàn bộ việc phân tích và ra quyết định cho AI mà không xây dựng năng lực kiểm chứng, một vấn đề mới sẽ xuất hiện: nhân viên biết sử dụng công cụ nhưng không còn đủ khả năng đánh giá chất lượng đầu ra.

Ví dụ, một bộ phận kinh doanh sử dụng AI để phân tích khách hàng và đề xuất giá bán. Nếu dữ liệu đầu vào không đầy đủ, mô hình có thể đưa ra khuyến nghị sai. Nếu nhân viên không hiểu logic kinh doanh phía sau, kết quả sai vẫn có thể được đưa vào quyết định chính thức.

Ngoài ra, doanh nghiệp cần kiểm tra điều khoản sử dụng dữ liệu đầu vào, chính sách lưu giữ dữ liệu, khả năng sử dụng dữ liệu để cải thiện mô hình và cơ chế kiểm soát quyền truy cập của nhà cung cấp.

Chủ quyền AI vì thế không nhất thiết là sở hữu mô hình riêng. Điều quan trọng hơn là doanh nghiệp kiểm soát được dữ liệu, quy trình ứng dụng, tiêu chuẩn đánh giá và quyền quyết định cuối cùng.

Một sự cố của nhà cung cấp có thể trở thành sự cố của toàn doanh nghiệp

Khi email, quản lý tài liệu, kế toán, bán hàng và vận hành đều phụ thuộc vào dịch vụ trực tuyến, một sự cố diện rộng có thể ảnh hưởng đồng thời đến nhiều chức năng.

Rủi ro không chỉ đến từ việc hệ thống ngừng hoạt động. Thay đổi chính sách dịch vụ, gián đoạn kết nối quốc tế, sự cố an ninh mạng hoặc việc nhà cung cấp ngừng một sản phẩm cũng có thể làm gián đoạn quy trình kinh doanh.

Nếu doanh nghiệp không có bản sao dữ liệu độc lập, quy trình làm việc thay thế và phương án khôi phục đã được kiểm thử, việc khôi phục hoạt động có thể mất nhiều thời gian hơn dự kiến.

Vì vậy, quản trị phụ thuộc công nghệ cần được tích hợp với quản trị liên tục kinh doanh, thay vì chỉ giao cho bộ phận công nghệ thông tin xử lý sự cố.

Doanh nghiệp Việt Nam nên bắt đầu từ đâu để kiểm soát chủ quyền công nghệ?

Thay vì đặt mục tiêu tự chủ toàn bộ, HĐQT và Ban Tổng giám đốc nên xây dựng lộ trình theo mức độ rủi ro và tầm quan trọng của từng năng lực.

Đánh giá mức độ phụ thuộc công nghệ trước khi đầu tư thêm

Bước đầu tiên là lập bản đồ các hệ thống, nền tảng SaaS, dịch vụ đám mây và công cụ AI đang được sử dụng trong doanh nghiệp. Danh mục này cần bao gồm cả các công cụ do nhân viên tự đăng ký và sử dụng mà chưa được bộ phận công nghệ thông tin phê duyệt.

Với mỗi hệ thống, doanh nghiệp cần xác định:

• Quy trình kinh doanh nào phụ thuộc vào hệ thống?
• Dữ liệu nào được lưu trữ hoặc xử lý trên nền tảng?
• Nhà cung cấp có thể thay đổi giá, điều khoản hoặc phạm vi dịch vụ như thế nào?
• Dữ liệu có thể xuất đầy đủ bằng định dạng phổ biến hay không?
• Có phương án thay thế nếu hệ thống ngừng hoạt động không?
• Thời gian và chi phí dự kiến để chuyển sang nhà cung cấp khác là bao nhiêu?

Có thể sử dụng ma trận đánh giá với hai trục: mức độ quan trọng đối với kinh doanh và mức độ khó thay thế. Các hệ thống vừa thiết yếu vừa khó thay thế cần được ưu tiên đánh giá sâu.

Chẳng hạn, một công cụ tạo hình ảnh phục vụ truyền thông có thể dễ thay thế. Nhưng hệ thống chứa dữ liệu khách hàng, lịch sử giao dịch và các quy tắc tính giá độc quyền có thể đòi hỏi kế hoạch thoát khỏi nhà cung cấp chi tiết hơn nhiều.

Phân loại dữ liệu và xác định những gì không được đưa lên AI tùy tiện

Doanh nghiệp cần xây dựng quy tắc phân loại dữ liệu, chẳng hạn dữ liệu công khai, dữ liệu nội bộ, dữ liệu mật và dữ liệu có thông tin cá nhân hoặc thông tin kinh doanh nhạy cảm.

Tương ứng với từng loại dữ liệu, quy định rõ công cụ nào được phép sử dụng, ai có quyền truy cập và những điều kiện bảo mật phải đáp ứng.

Đối với AI, doanh nghiệp nên xác định các trường hợp được phép sử dụng, trường hợp cần phê duyệt và trường hợp bị cấm. Hợp đồng với nhà cung cấp cũng cần làm rõ quyền sử dụng dữ liệu đầu vào, thời hạn lưu giữ, việc xóa dữ liệu và trách nhiệm khi xảy ra sự cố.

Có thể tham khảo Khung quản lý rủi ro AI (AI Risk Management Framework) của Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST). Khung này tiếp cận quản trị AI thông qua các chức năng quản trị, nhận diện, đo lường và xử lý rủi ro, phù hợp để doanh nghiệp tham khảo khi thiết kế cơ chế kiểm soát.
Tham khảo: https://airc.nist.gov/airmf-resources/airmf/

Thiết kế kiến trúc công nghệ có khả năng thay thế

Không phải mọi hệ thống đều cần triển khai trên nhiều nền tảng. Tuy nhiên, doanh nghiệp nên hạn chế việc gắn chặt dữ liệu và quy trình cốt lõi với một nhà cung cấp mà không có phương án chuyển đổi.

Một số nguyên tắc có thể áp dụng:

• Ưu tiên định dạng dữ liệu phổ biến và có cơ chế xuất dữ liệu định kỳ.
• Thiết kế giao diện kết nối (Application Programming Interface – API) và tài liệu tích hợp rõ ràng để giảm chi phí thay thế.
• Tách biệt dữ liệu nghiệp vụ quan trọng khỏi các chức năng độc quyền khi có thể.
• Duy trì bản sao lưu độc lập và kiểm thử khả năng khôi phục.
• Với các ứng dụng AI quan trọng, đánh giá khả năng chuyển đổi mô hình hoặc nhà cung cấp mà không phải xây dựng lại toàn bộ quy trình.

Trong một số trường hợp, doanh nghiệp có thể lựa chọn kiến trúc đa đám mây (Multi-cloud), đám mây riêng (Private Cloud) hoặc triển khai tại chỗ (On-premises). Tuy nhiên, đây không phải giải pháp mặc định cho mọi doanh nghiệp. Kiến trúc càng phức tạp càng đòi hỏi năng lực vận hành, bảo mật và ngân sách tương ứng.

Mục tiêu không phải loại bỏ mọi sự phụ thuộc, mà là tránh để một sự phụ thuộc đơn lẻ trở thành điểm nghẽn không thể kiểm soát.

Xây dựng năng lực nội bộ để không phụ thuộc hoàn toàn vào nhà cung cấp

Ngay cả khi thuê ngoài phần lớn hoạt động công nghệ, doanh nghiệp vẫn cần một nhóm có khả năng hiểu kiến trúc hệ thống, dữ liệu, quy trình nghiệp vụ và các điều khoản hợp đồng quan trọng.

Năng lực này không nhất thiết phải nằm trong một phòng công nghệ thông tin lớn. Doanh nghiệp có thể phân công trách nhiệm cho bộ phận công nghệ thông tin, dữ liệu, an ninh thông tin và các chủ quy trình nghiệp vụ.

Điều quan trọng là doanh nghiệp phải tự nắm được những quyết định cốt lõi: công nghệ giải quyết vấn đề kinh doanh nào, dữ liệu nào cần bảo vệ, rủi ro nào có thể chấp nhận và điều kiện nào phải đáp ứng khi lựa chọn nhà cung cấp.

Chính vì vậy, chuyển đổi số không thể chỉ dừng lại ở một dự án mua sắm phần mềm. Thay vào đó, doanh nghiệp cần đồng thời thiết kế quy trình, phân định trách nhiệm, phát triển năng lực nhân sự và thiết lập cơ chế quản trị phù hợp. Cụ thể, để làm rõ hơn mối liên hệ giữa quản trị và triển khai công nghệ, OCD phân tích nội dung này trong bài viết Lộ trình chuyển đổi số cho doanh nghiệp sản xuất: Từ tư duy quản trị đến thực thi công nghệ.

Lộ trình tự chủ công nghệ từng phần cho HĐQT và Ban Tổng giám đốc

Doanh nghiệp không nên triển khai đồng loạt các biện pháp tự chủ trên mọi hệ thống. Một lộ trình theo giai đoạn giúp tập trung nguồn lực vào những rủi ro lớn nhất và tạo ra kết quả có thể đo lường.

Giai đoạn đầu: Nhận diện và kiểm soát rủi ro trước mắt

Trong khoảng 0 đến 3 tháng, doanh nghiệp tập trung kiểm kê hệ thống, dữ liệu và các nhà cung cấp quan trọng.

Các đầu việc ưu tiên gồm:

• Lập danh mục ứng dụng SaaS, dịch vụ đám mây và công cụ AI.
• Xác định các hệ thống thiết yếu, dữ liệu nhạy cảm và các điểm phụ thuộc đơn lẻ.
• Rà soát hợp đồng, quyền xuất dữ liệu, điều kiện chấm dứt dịch vụ và trách nhiệm bảo mật.
• Kiểm tra bản sao lưu, quyền quản trị và phương án khôi phục.
• Ban hành quy định tối thiểu về sử dụng AI và chia sẻ dữ liệu.

Kết quả cần đạt là HĐQT và Ban Tổng giám đốc có bức tranh rõ ràng về những gì doanh nghiệp đang phụ thuộc, mức độ rủi ro và các hành động cần ưu tiên.

Giai đoạn tiếp theo: Giảm chi phí chuyển đổi và tạo phương án dự phòng

Trong khoảng 3 đến 12 tháng, doanh nghiệp tập trung xử lý các điểm phụ thuộc có mức độ rủi ro cao.

Có thể thực hiện xuất dữ liệu định kỳ, chuẩn hóa định dạng, xây dựng giao diện tích hợp, bổ sung phương án dự phòng và kiểm thử việc khôi phục hệ thống. Với các nhà cung cấp trọng yếu, doanh nghiệp cần xây dựng kế hoạch chuyển đổi hoặc thoát khỏi dịch vụ (Exit Plan), trong đó quy định rõ trách nhiệm, thời gian và điều kiện thực hiện.

Đối với AI, nên bắt đầu từ những ứng dụng có giá trị cao nhưng rủi ro có thể kiểm soát. Doanh nghiệp cần có tiêu chí đánh giá độ chính xác, bảo mật, chi phí và khả năng thay thế mô hình trước khi mở rộng quy mô.

Giai đoạn dài hạn: Làm chủ năng lực tạo lợi thế cạnh tranh

Sau khi kiểm soát các rủi ro nền tảng, doanh nghiệp có thể đầu tư sâu hơn vào dữ liệu, kiến trúc tích hợp, năng lực phân tích và các ứng dụng AI gắn với lợi thế riêng.

Chẳng hạn, doanh nghiệp sản xuất có thể ưu tiên làm chủ dữ liệu vận hành, quy tắc lập kế hoạch sản xuất và khả năng kết nối giữa hệ thống hoạch định nguồn lực doanh nghiệp (ERP) với hệ thống điều hành sản xuất (MES). Doanh nghiệp dịch vụ có thể ưu tiên dữ liệu khách hàng, tri thức chuyên môn và quy trình tạo ra giá trị khác biệt.

Vì vậy, đây là giai đoạn doanh nghiệp cần lựa chọn có chủ đích những năng lực nên tự phát triển, những năng lực nên hợp tác và những dịch vụ có thể tiếp tục thuê ngoài. Cụ thể, để có thêm góc nhìn thực tiễn, doanh nghiệp có thể tham khảo các dự án chuyển đổi số của OCD và dịch vụ tư vấn giải pháp và chuyển đổi số.

Hội đồng quản trị cần giám sát chủ quyền công nghệ bằng những chỉ số nào?

Nếu chủ quyền công nghệ chỉ được thể hiện trong một chính sách, doanh nghiệp khó biết mức độ tự chủ đang cải thiện hay suy giảm. Ban lãnh đạo cần chuyển mục tiêu này thành các chỉ số quản trị.

Một số chỉ số có thể cân nhắc gồm:

• Tỷ lệ hệ thống thiết yếu có phương án thoát khỏi nhà cung cấp đã được phê duyệt.
• Tỷ lệ dữ liệu quan trọng có bản sao lưu độc lập và đã kiểm thử khôi phục.
• Thời gian dự kiến để khôi phục các quy trình kinh doanh thiết yếu.
• Tỷ lệ hợp đồng công nghệ trọng yếu có điều khoản xuất dữ liệu, chấm dứt dịch vụ và xóa dữ liệu rõ ràng.
• Mức độ tập trung chi phí công nghệ vào một nhà cung cấp hoặc một nền tảng.
• Tỷ lệ ứng dụng AI quan trọng có người chịu trách nhiệm, quy trình kiểm soát và tiêu chí đánh giá đầu ra.

Các chỉ số cần được thiết kế phù hợp với quy mô và mức độ rủi ro của doanh nghiệp. Không nên coi tỷ lệ tự phát triển phần mềm hoặc tỷ lệ sử dụng công nghệ trong nước là thước đo duy nhất của chủ quyền công nghệ.

Một doanh nghiệp sử dụng nhiều nền tảng khác nhau nhưng không có năng lực tích hợp, kiểm soát dữ liệu và ứng phó sự cố vẫn có thể rất dễ bị tổn thương.

Chủ quyền công nghệ là bài toán quản trị, không chỉ là bài toán kỹ thuật

Chuyển đổi số và AI mở ra cơ hội lớn để doanh nghiệp Việt Nam nâng cao năng suất, giảm chi phí và tạo ra mô hình kinh doanh mới. Việc sử dụng các nền tảng quốc tế có thể là lựa chọn hiệu quả, đặc biệt khi doanh nghiệp cần triển khai nhanh và chưa đủ nguồn lực để tự phát triển.

Tuy nhiên, lợi ích trước mắt không nên đánh đổi bằng sự phụ thuộc dài hạn mà doanh nghiệp không nhận diện được.

Chủ quyền công nghệ không có nghĩa là tự xây dựng mọi thứ, mà là giữ quyền lựa chọn, quyền kiểm soát và khả năng thay đổi khi cần thiết. Doanh nghiệp cần xác định dữ liệu nào phải được bảo vệ, năng lực nào tạo ra lợi thế cạnh tranh, hệ thống nào không được phép gián đoạn và mức độ phụ thuộc nào có thể chấp nhận.

Đối với HĐQT và Ban Tổng giám đốc, bước đi quan trọng nhất không phải là quyết định mua một nền tảng mới hay xây dựng một hệ thống riêng. Đó là thiết lập cơ chế quản trị để mọi quyết định công nghệ đều được đánh giá đồng thời về giá trị kinh doanh, rủi ro, khả năng thay thế và năng lực nội tại.

Khi làm được điều đó, doanh nghiệp có thể tận dụng sức mạnh của SaaS, điện toán đám mây và AI mà không đánh mất quyền chủ động đối với tương lai số của mình.