Bảy mươi sáu phần trăm người lao động đã sử dụng những công cụ AI mà họ tự tìm ra và tự đăng ký để làm việc. Bốn mươi mốt phần trăm nói rằng người sử dụng lao động không cung cấp cho họ bất kỳ công cụ nào, bất kỳ đào tạo nào và bất kỳ hướng dẫn nào (Resume Now BYO AI Report, 2026). Đặt hai con số này cạnh nhau và kết luận thật khó chịu: đợt triển khai AI của bạn đã chạy rồi. Chỉ là bạn chưa phê duyệt nó, bạn không thấy nó, và bạn không quản trị nó.
Đây chính là khoảng trống quản trị shadow AI, và nó là hạng mục bị định giá sai nhiều nhất trong nghị trình 2026 của một Head of Operations phân khúc trung. Phần lớn các nhà lãnh đạo vận hành vẫn đang tranh luận có nên khởi động thí điểm AI được phê duyệt đầu tiên hay không. Trong khi đó, ba phần tư nhân sự của họ đã dán hợp đồng, dữ liệu khách hàng và dữ liệu pipeline vào các chatbot tiêu dùng — vì nó hiệu quả, và vì không ai bảo họ đừng làm. Quyết định trước mặt bạn không phải là có áp dụng AI hay không. Mà là có tiếp tục giả vờ rằng sự áp dụng bạn đã có không hề đang diễn ra hay không.
Đợt triển khai AI thực sự của bạn đã ở trong sản xuất
Hãy bắt đầu từ quy mô, vì chính quy mô khiến điều này mang tính vận hành chứ không lý thuyết. Resume Now BYO AI Report — một khảo sát với hơn 1.000 người lao động Mỹ công bố vào tháng 6 năm 2026 — phát hiện 76% đã mang AI của riêng mình vào công việc, trong khi chỉ 21% cho biết có hướng dẫn AI theo vai trò (Resume Now BYO AI Report, 2026). Đây không phải sai số làm tròn. Đó là bốn trên năm người đang ứng biến trước bước dịch chuyển công nghệ hệ trọng nhất của thập kỷ mà không có tấm bản đồ nào.
Nhiều khảo sát độc lập năm 2026 xác nhận hình dạng của hiện tượng này. Nghiên cứu Workforce AI của Salesforce đặt mức sử dụng AI hằng ngày ở 67% nhân viên, trong khi chỉ 18% tổ chức cho biết có chính sách AI chính thức (Salesforce, 2026). Dù con số chính xác ở doanh nghiệp bạn là bao nhiêu, câu chuyện nằm ở tỷ lệ: sự áp dụng đang chạy nhanh gấp hai đến ba lần quản trị. Công cụ đến qua trình duyệt, không qua mua sắm, và đến nhanh hơn bất kỳ chức năng IT hay vận hành nào từng lên kế hoạch.
Hãy hình dung cụ thể ở quy mô 200 nhân sự toàn thời gian. Chuyên viên phân tích giỏi nhất của bạn soạn bình luận cho hội đồng quản trị trong một chatbot miễn phí vì nó nhanh hơn một trang giấy trắng. Một nhân viên kinh doanh dán toàn bộ tài liệu yêu cầu của khách hàng tiềm năng vào một công cụ khác để tóm tắt trước cuộc gọi. Một nhân viên tài chính dùng công cụ thứ ba để đối chiếu một bảng tính có số liệu khách hàng bên trong. Mỗi người đều đang làm đúng điều bạn mong muốn — nhanh hơn, tư duy sâu hơn — và mỗi người đều đang lặng lẽ xuất dữ liệu mật cho một nhà cung cấp mà bạn không hề có hợp đồng. Nhân con số ấy với ba phần tư lực lượng lao động và bạn có được dấu chân AI thực sự của mình. Chỉ là nó chưa bao giờ xuất hiện trong một dòng ngân sách hay một đợt rà soát bảo mật.
Đây là cách định khung lại có ý nghĩa với một người vận hành. Bạn không có một "vấn đề áp dụng AI". Sự áp dụng đã xảy ra rồi. Bạn có một vấn đề khả kiến và một vấn đề kiểm soát nằm trên một nền tảng đã cài đặt mà bạn chưa bao giờ cấp phát. Việc triển khai đã xong. Cái còn thiếu là quản trị.
Khoảng trống này thực sự tốn kém đến đâu
Bản năng là xem shadow AI như một tiêu đề bảo mật — vấn đề của CISO, một dòng tuân thủ. Cách định khung đó xem nhẹ mức phơi nhiễm vận hành, vì chi phí xuất hiện ở ba nơi mà Vận hành thực sự sở hữu.
Rò rỉ dữ liệu không dấu vết kiểm toán. Khi một nhân viên thả một danh sách khách hàng hay bản nháp hợp đồng vào một mô hình ngôn ngữ lớn tiêu dùng, dữ liệu đó rời khỏi phạm vi của bạn và, tùy điều khoản của công cụ, có thể bị lưu giữ hoặc dùng để huấn luyện. Bạn không có bất kỳ nhật ký nào về cái gì đã đi ra, khi nào, và đi đâu. Nghiên cứu của IBM liên tục cho thấy các vụ vi phạm liên quan đến dữ liệu không được quản lý hoặc "shadow" tốn kém hơn và chậm khống chế hơn so với dữ liệu được quản trị, chính vì bạn không thể khắc phục điều mình không thấy (IBM Cost of a Data Breach, 2025). Với một doanh nghiệp 200 nhân sự định tuyến dữ liệu độc quyền và dữ liệu khách hàng qua các công cụ tiêu dùng, mức phơi nhiễm tích tụ trong im lặng.
Chất lượng đầu ra thiếu nhất quán. Năm mươi người dùng năm mươi công cụ khác nhau, ở năm mươi trình độ khác nhau, không có prompt hay chuẩn chung, sẽ tạo ra năm mươi mức chất lượng nền khác nhau. Công việc trông như đã hoàn thành — trôi chảy, tự tin, được định dạng — và đó chính là điều khiến chất lượng không đồng đều khó bị phát hiện ở khâu sau. Bạn không nhận được năng suất của một năng lực AI được phối hợp. Bạn nhận được độ phân tán của một năng lực không được quản lý.
Chi tiêu lãng phí và giá trị bị kẹt. Người ta tự bỏ tiền túi, hoặc kê khai hoàn phí cho những gói đăng ký rải rác, cho các công cụ chồng chéo mà bạn có thể mua một lần với một phần nhỏ chi phí kèm theo bảo vệ dữ liệu thực sự. Tệ hơn, giá trị mà họ đang tạo ra vẫn bị kẹt trong các luồng công việc cá nhân vì không có cơ chế nào để nắm bắt, chuẩn hóa và lan tỏa cái đang hiệu quả.
Đây là mối liên hệ mà các nhà lãnh đạo vận hành bỏ sót: khoảng trống quản trị shadow AI và ROI AI đáng thất vọng mà ai cũng than phiền là cùng một hiện tượng. Gartner dự báo hơn 40% dự án AI tác nhân sẽ bị hủy vào cuối năm 2027, với lý do giá trị kinh doanh không rõ ràng và kiểm soát rủi ro không đầy đủ (Gartner, 2025). Bạn không thể thu về lợi tức từ một năng lực AI mà bạn từ chối thừa nhận là mình đang có.
Vì sao phản xạ cấm đoán lại phản tác dụng
Trước những con số này, phản xạ của một nhà lãnh đạo thận trọng với rủi ro là khóa chặt mọi thứ: chặn tên miền, ban hành thông báo, cấm AI tiêu dùng tại nơi làm việc. Nó tạo cảm giác kiểm soát. Nó lại tạo ra điều ngược lại.
Dữ liệu của Resume Now đã nói cho bạn biết vì sao. Người lao động áp dụng những công cụ này vì người sử dụng lao động không đưa ra giải pháp thay thế nào — 41% không nhận được gì. Một lệnh cấm không xóa bỏ nhu cầu cốt lõi đã thúc đẩy 76% trong số họ tự giải quyết; nó chỉ đẩy hành vi sâu hơn vào bóng tối, lên các thiết bị và tài khoản cá nhân nơi bạn có ít khả kiến hơn cả bây giờ. Bạn không giảm rủi ro. Bạn tự làm mình mù trọn vẹn hơn.
Lệnh cấm cũng từ bỏ lợi thế duy nhất chôn giấu trong những con số này. Việc ba phần tư lực lượng lao động của bạn tự nguyện học cách dùng AI là, với hầu hết các nỗ lực chuyển đổi, một kịch bản trong mơ. Quản trị thay đổi thường phải chiến đấu chống lại sự trì trệ. Ở đây nhu cầu đã tồn tại sẵn, tự tài trợ và tự thúc đẩy. Cấm nó nghĩa là trả cái giá rủi ro của shadow AI trong khi ném đi nguồn năng lượng áp dụng miễn phí lẽ ra đã có thể biện minh cho cả chương trình. Đó là cuộc đánh đổi tệ nhất trên bàn.
Nước đi: biến shadow AI thành AI được quản trị
Hành động có đòn bẩy cao nhất trong quý này không phải là thêm một thí điểm được phê duyệt nữa bắt vít vào bên hông một tổ chức vốn đã dùng AI ở khắp mọi nơi. Mà là biến sự áp dụng trong bóng tối bạn đang có thành sự áp dụng được quản trị mà bạn có thể thấy và điều hướng. Cụ thể, điều đó nghĩa là khép lại đúng khoảng trống mà dữ liệu phơi bày — 79% người lao động không có hướng dẫn theo vai trò — bằng ba nước đi mà một nhà lãnh đạo vận hành có thể thực thi mà không cần chờ một ủy ban.
1. Công bố một danh sách công cụ được phê duyệt ngay trong quý này
Cách giảm rủi ro nhanh nhất trong tầm tay bạn là nói cho mọi người biết công cụ nào an toàn để dùng và dùng cho việc gì. Phê duyệt hai hoặc ba nền tảng đã được thẩm định với điều khoản dữ liệu cấp doanh nghiệp — theo hợp đồng không huấn luyện trên dữ liệu bạn nhập vào — và nêu tên chúng rõ ràng. Điều này không chỉ giảm phơi nhiễm; nó cho 79% đang ứng biến một con đường chính danh — thứ duy nhất thực sự kéo hành vi ra khỏi bóng tối. Một danh sách được phê duyệt luôn thắng một lệnh cấm, vì nó chuyển hướng nhu cầu thay vì phủ nhận nhu cầu.
2. Ban hành các tình huống sử dụng theo vai trò, không phải một chính sách chung chung
Chỉ khoảng một trong năm người lao động có hướng dẫn AI theo vai trò, và chính tính cụ thể đó mới là toàn bộ vấn đề (Resume Now BYO AI Report, 2026). Một "chính sách AI" doanh nghiệp một trang nói "hãy có trách nhiệm" chẳng thay đổi được gì. Cái thay đổi hành vi là cho một nhân viên customer success thấy ba điều được phê duyệt mà AI nên làm trong luồng công việc của họ và hai điều nó không bao giờ được chạm tới — PII khách hàng, điều khoản hợp đồng — trong bối cảnh cụ thể của họ. Quản trị chạm đất khi nó đủ cụ thể để hành động ngay sáng thứ Hai.
3. Dựng dấu vết kiểm toán trước khi bạn cần đến nó
Định tuyến việc sử dụng được phê duyệt qua các công cụ và cấu hình có ghi nhật ký hoạt động, để bạn có thể trả lời câu hỏi hiện giờ bạn không trả lời được: dữ liệu nào đang đi đâu. Bạn không cần bộ công cụ quản trị AI cấp doanh nghiệp để bắt đầu. Bạn cần khả kiến về việc công cụ nào đang được dùng và lớp dữ liệu nào đang đi qua chúng — dấu vết kiểm toán tối thiểu khả thi biến một đợt triển khai vô hình thành một đợt triển khai có thể quản lý.
Không điều nào trong số này đòi hỏi ngân sách lớn hay một nền tảng mới. Nó đòi hỏi chấp nhận rằng việc triển khai đã xảy ra rồi và chọn cách quản lý nó. Những tổ chức năm nay biến shadow AI thành một năng lực được quản trị sẽ chuyển hóa nguồn năng lượng áp dụng miễn phí của lực lượng lao động thành lợi tức thực sự, có thể bảo vệ. Những tổ chức tiếp tục tranh luận về thí điểm đầu tiên sẽ tiếp tục trả trọn cái giá rủi ro của shadow AI mà không thu về bất kỳ lợi ích nào.
Quyết định cho quý này
Hãy rút ra một con số duy nhất cho doanh nghiệp của bạn trước cuộc họp lãnh đạo kế tiếp: có bao nhiêu người của bạn đã đang dùng các công cụ AI mà bạn không cung cấp? Bạn sẽ không có một câu trả lời gọn gàng — đó chính là phát hiện. Sự vắng mặt của một câu trả lời chính là khoảng trống quản trị shadow AI, được lượng hóa.
Rồi hãy làm điều duy nhất khép nó lại nhanh nhất. Công bố một danh sách công cụ được phê duyệt và một trang duy nhất về các tình huống sử dụng theo vai trò cho ba chức năng có mức phơi nhiễm dữ liệu cao nhất của bạn. Không phải một tổ công tác, không phải một khung sáu tháng — một danh sách và một trang, ngay trong quý này. Đợt triển khai AI của bạn đã chạy và đang vận hành không kiểm soát qua các công cụ tiêu dùng. Câu hỏi duy nhất còn để ngỏ là bạn sẽ tiếp tục để nhân viên vận hành nó thay cho bạn, hay bắt đầu tự mình vận hành nó.
