ISO/IEC 42001
trong một trangin one page

Ví dụ xuyên suốt: trợ lý góp ý bài luậnRunning example: an essay feedback assistant

Mọi khái niệm bên dưới đều được neo vào một hệ thống giả định. Một ví dụ dùng lại nhiều lần dễ nhớ hơn mười ví dụ rời rạc.

Every idea below is anchored to one hypothetical system. One example reused many times sticks better than ten scattered ones.

Có cần ISO 42001 không?Do you need ISO 42001?

Câu hỏi đầu tiên, trước mọi chi tiết. Phần lớn team chỉ cần baseline.

The first question, before any detail. Most teams only need the baseline.

Khách hàng / đấu thầu / luật đòi chứng chỉ AI?
├── Có ──► Đã có ISO 27001?
│         ├── Có ──► Hệ thống tích hợp 27001 + 42001
│         │          (chung audit, tài liệu, review)
│         └── Không ─► Dựng AIMS, phạm vi 1–2 hệ thống
└── Không ─► AI ảnh hưởng quyền lợi người khác?
             (điểm số, tuyển dụng, tín dụng, sức khoẻ)
             ├── Có ──► Làm theo 42001, chưa xin chứng nhận
             └── Không ─► Baseline

Customer / tender / law requires an AI certificate?
├── Yes ──► Already have ISO 27001?
│          ├── Yes ──► Integrated 27001 + 42001 system
│          │           (shared audits, docs, reviews)
│          └── No ───► Build an AIMS, scope 1–2 systems
└── No ───► Does the AI affect other people's outcomes?
            (grades, hiring, credit, health)
            ├── Yes ──► Follow 42001, don't certify yet
            └── No ───► Baseline

Cấu trúc: Điều 4–10 theo vòng PDCAStructure: clauses 4–10 on the PDCA loop

Điều 1–3 chỉ là phạm vi và thuật ngữ. Phần bắt buộc ("shall") nằm ở Điều 4–10 — cùng bố cục với ISO 9001 và 27001 (Harmonized Structure). Rê chuột vào một điều để thấy nó nằm ở pha nào.

Clauses 1–3 are just scope and terms. The mandatory part ("shall") is clauses 4–10 — the same layout as ISO 9001 and 27001 (the Harmonized Structure). Hover a clause to see its phase.

Annex A: 38 control, 9 nhómAnnex A: 38 controls, 9 groups

Bắt đầu từ A.2 (không có A.1). Bạn phải đối chiếu với cả 38, nhưng chỉ áp dụng cái cần — lý do ghi trong SoA. Bấm một ô để xem nghĩa của nó ở trường học. Ô đặc có chấm = 3 control gần dev nhất.

It starts at A.2 (there is no A.1). You must compare against all 38, but only apply what you need — the reasons go in the SoA. Click a tile to see what it means at the school. Solid tiles with a dot = the 3 controls closest to developers.

Bốn khái niệm gánh cả tiêu chuẩnThe four ideas that carry the standard

Ba cái màu chàm thuộc khung chung với 27001. Cái màu hồng là thứ 27001 không có.

The three in indigo share a frame with 27001. The one in rose is what 27001 doesn't have.

Khác ISO 27001 ở đâuHow it differs from ISO 27001

Giống: cùng Điều 4–10, cùng risk assessment, SoA, internal audit, management review — đã có 27001 thì tái dùng được khoảng nửa khung. Khác: thứ được bảo vệ và ai bị hại.

Same: clauses 4–10, risk assessment, SoA, internal audit, management review — with 27001 in place you reuse about half the frame. Different: what is protected and who gets hurt.

27001 hỏi "thông tin có an toàn không?" — 42001 hỏi "AI có đang làm điều đúng với con người không, và ta biết bằng cách nào?"

27001 asks "is the information safe?" — 42001 asks "is the AI doing right by people, and how do we know?"

Ba control gần dev nhấtThe three controls closest to developers

Đây là nơi bằng chứng thật được sinh ra. Không có chúng, mọi policy phía trên chỉ là giấy.

This is where real evidence is produced. Without them, every policy above is paper.

{
  "trace_id": "c1f3…",
  "model": "vendor-llm@2026-09-01",
  "prompt_version": "rubric-v14",
  "retrieved_ids": ["rubric#3","sample#1182"],
  "student_ref": "hash:9a2e…",
  "suggested_grade": 6,
  "final_grade": 7,
  "teacher_override": true
}

source: graded-essays-2023-2025
origin: school LMS, 2023–2025
consent: parent form M-07
transform: strip names; NFC
count: 2000
indexed_at: 2026-09-15
owner: literature dept
retire_when: consent withdrawn

Suýt lọt top 3: A.6.2.6 giám sát (dashboard độ lệch điểm) · A.6.2.7 tài liệu kỹ thuật · A.7.4 chất lượng dữ liệu · A.6.2.5 triển khai (ra mắt dần + quay lui).

Close runners-up: A.6.2.6 monitoring (grade-drift dashboard) · A.6.2.7 technical docs · A.7.4 data quality · A.6.2.5 deployment (rollout + rollback).

Anti-patterns

M1: tự giải thích trong 5 phútM1: explain it in 5 minutes

Mốc M1 đạt khi bạn nói được kịch bản này không cần nhìn. Bấm bắt đầu và nói to — thanh tiến độ báo bạn đang ở phút nào.

M1 is done when you can deliver this script without notes. Press start and say it out loud — the bar shows which minute you're in.

Tự kiểm traSelf-check

Ba câu cần nhớThree things to remember