Cứ mỗi lần một quy trình nào đó gãy, người ta lại lôi câu thần chú ra: “Hệ thống có human-in-the-loop mà”. Câu này hay được dùng để làm đẹp hồ sơ, như thể chỉ cần có một cái tên ký duyệt ở cuối văn bản, mọi rủi ro đã được thu phục. Thực tế tàn nhắn hơn thế. Trong không ít tổ chức, người ký duyệt chỉ là khán giả của một vòng lặp giả. Và khi vòng lặp giả đó vận hành đủ lâu, nó sinh ra ba căn bệnh làm tê liệt hoàn toàn quyền kiểm soát của con người, bất kể quy trình trên giấy có đẹp đến đâu.
Trong cuốn Đạo đức AI: Nguyên tắc và Thực hành, tôi đã dành nguyên một chương để giải phẫu chính cái “vòng lặp” này. Bài viết dưới đây không bình một vụ việc nào. Nó chỉ bình hiện tượng, cái cơ chế khiến một quy trình “có người” vẫn có thể gãy hoàn toàn.
1. HITL thực chất: không phải “có mặt” mà là “có quyền”
“Con người trong vòng lặp” (human-in-the-loop) nghe rất êm. Nhưng định nghĩa lõi của nó lại khiêm tốn và nghiêm ngặt:
“Con người trong vòng lặp (human-in-the-loop) là cơ chế thiết kế để bảo đảm có điểm dừng và điểm can thiệp của con người ở những quyết định nhạy cảm.” (Chương 2, trang 66)
Điểm dừng. Điểm can thiệp. Không phải “có một người ngồi đó”. Một tổ chức có thể bố trí mười người ký duyệt mà vẫn không có một điểm dừng thực sự nào, nếu những người ấy không được trao quyền và công cụ để can thiệp.
Tôi từng viết thẳng thừng trong Chương 12:
“Con người trong vòng lặp là cụm từ dễ bị dùng như một câu thần chú để làm đẹp hồ sơ. Nhưng trong vận hành, nếu con người chỉ ngồi nhìn màn hình và ký xác nhận, họ không phải là vòng lặp, họ là khán giả. Vòng lặp chỉ xuất hiện khi con người được đặt vào điểm chốt, được trao quyền phủ quyết, và có nút dừng kèm cơ chế quay lui.” (Chương 12, trang 567–568)
Và câu chốt:
“Nói cách khác, đây là thiết kế quyền lực, không phải thiết kế giao diện.” (trang 568)
Đó là khác biệt sống còn. Một checkbox trên màn hình là thiết kế giao diện. Quyền ép hệ thống dừng lại, từ chối, và quay lui mới là thiết kế quyền lực. Hầu hết quy trình “có HITL” chỉ làm được cái đầu, rồi tự huyễn với cái sau.
2. Checkpoint: quyết định có điều kiện, không phải checklist cho có
Nhiều người nhầm checkpoint (chốt chặn) với một dòng trong biểu mẫu. Không phải.
“Điểm kiểm tra (checkpoint, control gate) là khoảnh khắc ra quyết định có điều kiện, go hoặc quyết định triển khai hay dừng (no go), dựa trên bằng chứng. Chốt chặn biến nguyên tắc thành hành động, vì nó gắn vào quy trình phê duyệt và lưu vết.” (Chương 4, trang 156)
Và tôi nhấn mạnh:
“Không có nghĩa là: một dòng checklist để cho có.” (trang 156)
Một checkpoint thật phải trả lời ba dòng: quyết định cần ra là gì, bằng chứng cần có là gì, và ai chịu trách nhiệm. Thiếu một trong ba, nó chỉ là giấy. Tệ hơn, nó tạo ảo giác an toàn, cả tổ chức tin rằng “đã có chốt” trong khi chốt ấy chưa từng thật sự ngăn được cái gì.
Đây là gốc rễ của mọi thảm họa quy trình. Người ta không thiếu chốt chặn trên giấy. Họ thiếu chốt chặn có răng.
3. Tự mãn hóa tự động: “99% đúng” giết chết 1% cảnh giác
Khi một hệ thống chạy ổn 99% thời gian, điều tồi tệ nhất không phải là 1% lỗi. Điều tồi tệ là con người mất cảnh giác với chính cái 1% ấy.
“Đây là hiện tượng ‘Automation complacency’ (sự tự mãn vào tự động hóa): khi hệ thống hoạt động quá tốt trong 99% thời gian, con người dần mất cảnh giác và không còn khả năng phản ứng khi xảy ra 1% biến cố bất ngờ.” (Chương 2, trang 67)
Hệ lụy không dừng ở mất cảnh giác. Nó ăn sâu vào tay nghề:
“Khi dựa quá nhiều vào tự động hóa, con người dễ rơi vào tự mãn (complacency) và thiên kiến tự động hóa (automation bias), tức tin máy ‘đúng mặc định’ và mất dần thói quen thách thức kết quả, đến lúc hệ thống gặp sự cố thì đội ngũ cũng không còn đủ tay nghề để phát hiện hoặc can thiệp kịp.” (Chương 12, trang 571)
Hiện tượng này có tên là deskilling, teo rút năng lực. Người giám sát không hề lười. Họ bị môi trường vận hành tước đi khả năng phản ứng. Đến khi sai sót thực sự xuất hiện, người ta không còn đủ tay nghề để nhận ra nó. Đây là lỗi của thiết kế hệ thống, không phải lỗi của cá nhân ngồi ở điểm chốt.
4. Mệt mỏi cảnh báo: khi giám sát biến thành nghi thức
Automation complacency làm người ta mất cảnh giác khi mọi thứ xanh. Alert fatigue làm điều ngược lại, nó tê liệt người ta ngay cả khi hệ thống đang hét lên cảnh báo.
Tôi kể một mini story trong Chương 12 về một trung tâm vận hành mạng:
“Quy trình quy định ‘nhân viên phải xác nhận trước khi chặn số’, nghe rất ổn. Nhưng AI trả về vài trăm cảnh báo mỗi giờ. Trực ca bị áp lực chỉ tiêu xử lý nhanh, hình thành thói quen chọn tất cả rồi bấm xác nhận. [...] Chỉ có dịch vụ là gãy. Vấn đề không nằm ở việc có người hay không, mà nằm ở việc người đó có đủ quyền và đủ điều kiện để thật sự đánh giá hay không.” (Chương 12, trang 570)
“Cú nhấp chuột vô hồn”, chọn tất cả, bấm xác nhận, không đọc. Đó là alert fatigue ở dạng thuần túy. Khi lượng tín hiệu vượt quá sức xử lý của một con người, phản ứng sinh tồn duy nhất là tắt tiếng nội tâm, bấm qua cho xong chỉ tiêu. Hệ thống khi ấy vẫn có đủ checkpoint trên giấy, vẫn có tên người ký, nhưng thực chất đã bị tê liệt hoàn toàn.
Áp dụng sang bất kỳ chuỗi sản xuất nội dung nào, một biên tập viên đối diện hàng chục bản thảo mỗi ngày, mỗi bản đi kèm một loạt checkbox “đã kiểm tra pháp lý, đã rà nguồn, đã duyệt nội dung”, sẽ sớm rơi vào chính cái nhấp chuột vô hồn ấy. Checkbox không còn là kiểm soát. Nó là nghi thức.
5. Trách nhiệm giải trình là cấu trúc, không phải cái tên trên văn bản
Khi mọi thứ gãy, phản xạ đầu tiên của tổ chức là hỏi: “Ai ký?”. Câu hỏi đó chưa đủ, và đôi khi là cạm bẫy.
“Trách nhiệm giải trình không phải đổ lỗi, mà là cấu trúc trách nhiệm có thể truy vết, có hồ sơ quyết định, có nhật ký, có quyền dừng, có quy trình sửa.” (Chương 2, trang 65)
Một tổ chức chỉ có “tên người chịu trách nhiệm” mà không có hệ thống truy vết thì đang đẩy một con người vào vị trí “chịu tội thay”. Vừa không kiểm soát được cái gì, vừa tạo ra một khoảng trống trách nhiệm khổng lồ vì mọi người còn lại đều tự thuyết phục rằng “đã có người ký rồi”.
Và để một con người ở điểm chốt có thể làm đúng vai trò, họ cần điều kiện sinh tử này (Chương 12, trang 570):
“Con người trong vòng lặp không thể sống nếu con người không có thời gian, công cụ, và quyền nói ‘không’, và quan trọng hơn, quyền nói ‘không’ ấy không bị trừng phạt dưới danh nghĩa ‘làm chậm’.”
Đó chính là gốc rễ của căn bệnh kế tiếp. Khi điều kiện ấy vắng mặt, checkpoint không còn là chốt chặn mà biến thành con dấu cao su. Như tôi viết ngay trước đó (Chương 12, trang 570):
“Sai lầm phổ biến là biến con người trong vòng lặp thành ‘con dấu cao su’ (rubber stamping). Khi khối lượng quá lớn, người duyệt mỏi mệt quyết định, rồi bấm đồng ý theo phản xạ, giống như máy.”
Kết: bài kiểm tra vòng lặp thật và giả
Nếu phải gói gọn toàn bộ vấn đề vào một bài kiểm tra, tôi đề nghị ba câu hỏi (Chương 12, trang 568):
Sai thì hỏng cái gì?
Ai có quyền nhấn nút dừng?
Quay lui trong bao lâu?
Và một câu hỏi cuối, dành cho bất kỳ ai đang ngồi ở điểm chốt: liệu người đó có dám từ chối một tình huống xử lý rủi ro cao khi chưa đủ thông tin, và từ chối mà không bị phạt?
Nếu câu trả lời là không, dù chỉ ở một câu, thì quy trình của tổ chức bác không có human-in-the-loop. Nó chỉ có một khán giả, một con dấu cao su, và một nút xác nhận vô hồn. Tai nạn không nằm ở chỗ thiếu người. Nó nằm ở chỗ người ấy chưa bao giờ được trao quyền.
Đừng huyễn hoặc mình bằng câu thần chú. HITL thực chất là thiết kế quyền lực, không phải thiết kế giao diện.
Và nói về quy trình và bằng chứng, tối Chủ nhật này (19/07/2026, 20:00–22:00) tôi sẽ có buổi giao lưu online “Đạo đức AI: Nguyên tắc và Thực hành”. Khoảng 60 phút trình bày những nội dung cốt lõi nhất của cuốn sách, chia làm ba phần: nền tảng khái niệm và giá trị, quản trị và thực thi qua NIST AI RMF, ISO/IEC 42001, EU AI Act, và ứng dụng trong ngân hàng, y tế, giáo dục, sản xuất, viễn thông, hành chính công. Sau đó là trao đổi trực tiếp với độc giả.
Thông điệp xuyên suốt rất đơn giản:
“Đạo đức AI là quy trình và bằng chứng, không phải lời hứa.”
Rất mong được gặp mọi người.
Link đăng kí tham dự: https://luma.com/ljpdmjbq