The Vendor Concentration Heatmap: Anh/chị chưa thực sự đa dạng hóa

Hệ thống AI của anh/chị có ba nhà cung cấp. Nhưng có thể chỉ có một điểm phụ thuộc.

Cả hai câu đó có thể cùng đúng, và khoảng trống giữa chúng chính là nơi sự cố gián đoạn tiếp theo đang chờ.

Đây không phải một mối lo lý thuyết mà một hội đồng quản trị thận trọng chỉ cần để mắt tới. Trong vòng tám tháng, hai cơ quan quản lý tài chính chạy hai quy trình riêng biệt, áp dụng các tiêu chí khác nhau, xem xét mức độ tập trung trong thị trường của chính mình, và đi đến về cơ bản cùng một danh sách ngắn. Sự hội tụ đó là bằng chứng hữu ích nhất mà hội đồng quản trị một ngân hàng từng được trao về chủ đề này, và gần như chưa ai đặt nó lên bàn của hội đồng.

Vì sao điều này quan trọng ngay lúc này

Ngày 18/11/2025, các Cơ quan Giám sát châu Âu (ESAs) công bố danh sách 19 nhà cung cấp công nghệ được chỉ định là bên thứ ba ICT trọng yếu của hệ thống tài chính, theo Điều 31(1) và 31(9) của quy định về khả năng chống chịu hoạt động của EU. Danh sách gồm ba nhà cung cấp cloud lớn, cùng các doanh nghiệp hạ tầng, dữ liệu và dịch vụ chuyên môn.

Tháng 7/2026, Vương quốc Anh chỉ định 4 bên thứ ba trọng yếu theo cơ chế riêng của mình, có hiệu lực từ 13/7/2026. 3 trong 4 là cùng những pháp nhân mà các cơ quan châu Âu đã nêu tên.

Hãy giữ lấy cụm từ pháp nhân, vì chính nó đang gánh lập luận chứ không phải để trang trí. Chính xác là ba, không phải bốn, và cái thứ tư không phải một thiếu sót — nó thuộc cùng một tập đoàn với một pháp nhân đã được chỉ định, nhưng dưới một pháp nhân khác. Một câu nói lỏng lẻo hơn sẽ viết cùng những công ty đó và sẽ sai về cái thứ tư; một câu cẩu thả hơn sẽ viết cả bốn. Chính cơ chế này cũng phân biệt như vậy: nó chỉ định các pháp nhân, trong khi đánh giá dịch vụ do cả tập đoàn cung cấp. Điểm sụp mà bài viết này bàn tới đã hiện ra ngay trong cơ chế chỉ định, trước cả khi một ngân hàng mở sổ đăng ký của chính mình.

Khối lượng nằm bên dưới các quyết định chỉ định đó giờ cũng đã được đo. Trong báo cáo tổng quan thường niên đầu tiên về các sự cố ICT nghiêm trọng, công bố ngày 03/6/2026, các cơ quan giám sát châu Âu ghi nhận 3.383 sự cố nghiêm trọng do các tổ chức tài chính trong EU báo cáo cho năm 2025 — 0,18 sự cố trên mỗi tổ chức thuộc phạm vi — và nêu tên lỗi hệ thống cùng các sự kiện bên ngoài là nguyên nhân chính, đồng thời nhấn mạnh sự cần thiết của một hệ thống quản trị rủi ro bên thứ ba vững chắc. Đó là một cơ quan giám sát phát biểu đúng lập luận của bài viết này, với 3.383 quan sát đứng sau.

Hãy lưu ý một quyết định chỉ định là gì và không phải là gì. Nó không phải một ước tính thị phần. Một ước tính của giới phân tích là một phương pháp anh/chị không thể kiểm tra, thực hiện trên một tập đối tượng mà anh/chị thường không nhìn thấy. Một quyết định chỉ định là một quyết định, có ngày tháng, do một cơ quan giám sát đưa ra khi có quyền truy cập các sổ đăng ký thông tin mà tổ chức tài chính buộc phải duy trì. Hai quy trình như vậy cùng hội tụ là thứ gần với phép đo nhất mà chủ đề này có được.

Bắt đầu từ phần đúng

Đa nhà cung cấp là có thật ở tầng trên cùng của stack. Phần lớn ngân hàng lớn hiện chạy nhiều hơn một foundation model, và multi-cloud phổ biến tới mức trong nhóm tổ chức tài chính lớn, các cơ quan giám sát coi đó là trạng thái bình thường chứ không phải ngoại lệ. Cách mô tả đó là của chính bài viết này, rút ra từ cách các cơ quan giám sát viết về thị trường chứ không phải từ một văn bản duy nhất nói đúng như vậy, và nó được đánh dấu đúng như thế trong bảng ở cuối bài.

Kiến trúc đó là có chủ đích và hợp lý, và các hội đồng quản trị đã yêu cầu điều đó là đúng. Vấn đề không phải sự đa dạng hóa là giả. Vấn đề là nó chỉ có thật ở đúng một tầng, và câu hỏi chưa ai đặt ra là bên dưới nó quy về đâu.

Điều mà việc đếm nhà cung cấp không đo được

Đếm số nhà cung cấp chỉ đo anh/chị nhận bao nhiêu hóa đơn. Nó không đo được mức độ tập trung.

Hãy xem trường hợp phổ biến. Hai nhà cung cấp mô hình, được chọn cẩn thận, để có dự phòng thực sự. Cả hai được phục vụ qua cùng một cloud. Trong cùng một region. Trên cùng một dòng chip tăng tốc. Đó là một điểm phụ thuộc khoác hai logo, và hội đồng quản trị được báo cáo rằng hệ thống là đa nhà cung cấp — điều đó đúng, ở tầng mà hội đồng nhìn thấy.

Hội đồng Ổn định Tài chính (FSB) nêu một phiên bản sắc hơn của điều này trong báo cáo tháng 10/2025 về việc ứng dụng AI và các điểm dễ tổn thương trong ngành tài chính. Báo cáo mô tả một chuỗi cung ứng AI gồm năm tầng, trên một khung mà báo cáo ghi nhận là của nghiên cứu từ Ngân hàng Thanh toán Quốc tế (BIS) chứ không nhận là của mình, và phát hiện mức độ tập trung ở từng tầng trong bốn tầng đầu tiên, với các mức độ khác nhau: phần cứng chuyên dụng là nhiều nhất, rồi đến hạ tầng tính toán, dữ liệu huấn luyện và mô hình huấn luyện sẵn. Riêng tầng thứ năm, các ứng dụng hướng tới người dùng cuối, báo cáo nói rõ là có mức độ tập trung không đồng nhất, tùy theo lĩnh vực ứng dụng. Một phát hiện có phân mức thì mạnh hơn một phát hiện đồng loạt, và nó đáng được dẫn lại đúng như một phát hiện có phân mức. Heatmap sáu tầng bên dưới là cách phân chia của riêng bài viết này, dựng cho sổ đăng ký của một ngân hàng chứ không phải cho một báo cáo về ổn định tài chính, và không nên lẫn lộn hai thứ đó.

Cũng chính báo cáo đó dẫn lại một phát hiện khảo sát của cơ quan giám sát về quy mô, và các điều kiện đi kèm con số ấy còn quan trọng hơn chính con số.

Ba nhà cung cấp cloud lớn nhất chiếm khoảng ba phần tư mức sử dụng cloud trong các doanh nghiệp dịch vụ tài chính tại Vương quốc Anh. Con số đó đến từ chính báo cáo của các doanh nghiệp gửi Ngân hàng Trung ương Anh (Bank of England) và Cơ quan Quản lý Ứng xử Tài chính (FCA) trong khảo sát AI năm 2024 của hai cơ quan này, trong đó doanh nghiệp được yêu cầu nêu tên ba nhà cung cấp hàng đầu về dịch vụ cloud, mô hình và dữ liệu. Vậy nên đó là một khảo sát của cơ quan giám sát, do hai cơ quan quản lý tài chính thực hiện trên chính tập đối tượng mà họ quản lý — không phải phân tích của giới phân tích, không phải một phép đo thị phần, và không phải một cuộc tổng điều tra. Nó cũng là Vương quốc Anh, vốn không đồng nghĩa với ngành tài chính nói chung. Cả hai nửa đó phải đi cùng con số: một ngân hàng dẫn nó như thị phần toàn ngành trên phạm vi toàn cầu là đã nói quá về địa lý, còn một ngân hàng gạt nó đi như một ước tính của giới phân tích là đã nói thiếu về thẩm quyền của nó.

Cùng khảo sát đó còn mang một con số gần với luận điểm của bài viết này hơn nhưng gần như không được lưu hành. Giữa hai vòng khảo sát 2022 và 2024, tỷ trọng các nhà cung cấp được nêu tên thuộc về ba nhà cung cấp mô hình lớn nhất đã tăng từ 18% lên 44%. Đó là một phép đo mức độ tập trung ở tầng mô hình — chính là C1 bên dưới — được đo hai lần, trên cùng một tập đối tượng, bởi cùng hai cơ quan quản lý. Một mức độ là hữu ích. Một mức độ được đo hai lần thì tốt hơn.

Và báo cáo còn chứa một phát hiện ít được chú ý hơn bất kỳ con số nào trong đó. Các mô hình huấn luyện sẵn thường không đi kèm quan hệ hợp đồng chính thức nào, nhưng vẫn tạo ra rủi ro bên thứ ba. Từ thường là của chính báo cáo và được giữ nguyên ở đây. Hãy nghĩ xem điều đó tác động thế nào tới các biện pháp kiểm soát của một ngân hàng. Một khung quản trị rủi ro bên thứ ba bắt đầu bằng việc yêu cầu hợp đồng. Ở tầng mô hình có thể không có hợp đồng nào. Khung này không thất bại một cách ồn ào — nó không tìm thấy gì, không báo cáo gì, và điểm phụ thuộc vẫn vô hình. Một biện pháp kiểm soát trả về kết quả sạch vì nó không có gì để bám vào thì, trên dashboard, trông y hệt một biện pháp kiểm soát đã đạt.

The Vendor Concentration Heatmap

Vậy hãy đếm tầng, đừng đếm nhà cung cấp. Sáu tầng, sắp theo đúng đường đi thực tế của một yêu cầu.

C1 · Model

Dòng foundation model nào thực sự tạo ra câu trả lời, và hai nhà cung cấp nghĩa là hai mô hình độc lập hay hai lớp vỏ bọc trên cùng một mô hình.

Điểm phụ thuộc ở đây không chỉ là nhà cung cấp mà còn là phiên bản: việc ngừng hỗ trợ một phiên bản là một cuộc chuyển đổi bắt buộc mà anh/chị không lên lịch. Và theo phát hiện nêu trên, đây là tầng mà các biện pháp kiểm soát dựa trên hợp đồng có thể không có gì để bám vào.

C2 · Inference và serving

Ai vận hành mô hình, trên năng lực tính toán của ai, theo điều khoản của ai — một giao diện của chính hãng, một bản host trên nhà cung cấp cloud, hay tự host.

Đây là nơi câu "chúng tôi có nhà cung cấp thứ hai" thường hết đúng nhất, vì giới hạn tốc độ và cam kết năng lực quyết định failover là một kế hoạch hay chỉ là một câu văn.

C3 · Cloud và region

Hạ tầng tính toán bên dưới, và vị trí vật lý của nó.

Tầng này không hề bị khuất. Nó chỉ nằm thấp hơn một tầng so với nơi sự đa dạng hóa được đếm. Đây là nơi tính đa nhà cung cấp ở C1 sụp về một, và là tầng mang hệ quả cao nhất nếu ngừng. Nêu tên region, không chỉ tên nhà cung cấp — rồi hỏi nhà cung cấp thứ hai chạy trên gì.

C4 · Dữ liệu và embedding

Vector store và embedding model mà hệ thống truy xuất của anh/chị phụ thuộc vào. Đây là điểm khóa chặt (lock-in) lặng lẽ nhất trong stack, và cũng là điểm ít khi được đưa vào chương trình họp nhất.

Để thay mô hình chuyển tài liệu của anh/chị thành vector, anh/chị không chỉ đổi một thiết lập. Anh/chị phải embed lại toàn bộ kho dữ liệu. Rồi kiểm định lại mọi kết quả truy xuất từng phụ thuộc vào mô hình cũ. Theo cách tác giả đọc bối cảnh tiêu chuẩn hiện nay, không có chuẩn khả chuyển nào cho lưu trữ vector để mang phần việc đó sang — đây là một đánh giá chứ không phải một phát hiện có nguồn, và được đánh dấu đúng như vậy ở bảng bên dưới. Dù vậy, mối lo nền tảng không phải do bài viết này nghĩ ra: ngay từ tháng 12/2019, chính Hội đồng Ổn định Tài chính đã liệt kê khả năng liên thông và khả năng chuyển dữ liệu trong môi trường cloud vào nhóm những vấn đề mà các cơ quan quản lý có thể cần thảo luận thêm — nguồn này được dẫn đầy đủ trong phần phản biện, vì nó chính là văn bản mà lập luận của các nhà cung cấp dựa vào.

Cần nói chính xác về nhận định này, vì chính sự chính xác giúp nó đứng vững trước phản biện. C4 không phải tầng tốn kém nhất tính bằng tiền. Nó là tầng có ma sát kiến trúc cao nhất — khó gỡ nhất. Và ma sát đó tăng dần theo quy mô kho dữ liệu, nghĩa là ngày rẻ nhất để xử lý nó luôn là một ngày trước hôm nay.

C5 · Công cụ và điều phối

Agent framework, bộ khung đánh giá, tầng observability — những thành phần mã hóa cách mọi thứ khác được nối với nhau, và hiếm khi được kiểm kê như những điểm phụ thuộc.

Một lưu ý thẳng thắn, nêu ngay ở đây thay vì giấu xuống chú thích. Tầng này có thật nhưng thiếu bằng chứng. Dạng lỗi cụ thể mà nó dự báo — một thay đổi guardrail hoặc bộ lọc an toàn làm hành vi hệ thống thay đổi mà không báo trước — chưa có trường hợp nào được ghi nhận trong nguồn công khai mà nghiên cứu này tìm thấy. Hãy coi C5 là khoảng trống trong tầm nhìn của chính anh/chị chứ không phải một sự cố đã được chứng minh. Biện pháp kiểm soát đầu tiên đơn giản là đưa nó vào sổ đăng ký.

C6 · Lối thoát

Quyền chấm dứt và quyền tiếp quản theo hợp đồng, khả năng chuyển dữ liệu và mô hình, và liệu điều gì trong số đó đã từng được thực thi hay chưa.

Tầng này cũng không hề bị khuất. Nó chỉ chưa từng được kiểm thử, nên văn bản và năng lực thực tế chưa bao giờ được đặt cạnh nhau. Cơ quan cạnh tranh của Vương quốc Anh kết thúc cuộc điều tra thị trường dịch vụ cloud bằng một quyết định cuối cùng ngày 31/7/2025 và kết luận rằng việc chuyển đổi nhà cung cấp và áp dụng multi-cloud bị hạn chế bởi các rào cản kỹ thuật và thương mại. Cả hai từ đều quan trọng: đây không thuần túy là bài toán kỹ thuật, và riêng bộ phận mua sắm không thể giải quyết được.

Chấm hai lần, không phải một

Đây là chỗ một bảng xếp hạng duy nhất đánh lừa anh/chị. Hỏi rời khỏi một tầng khó đến mức nào. Rồi hỏi, tách riêng, điều gì xảy ra nếu nó ngừng. Đó là hai câu hỏi khác nhau với câu trả lời khác nhau, và các ô nóng nhất nằm ở những hàng khác nhau.

Tầng có thể làm sập dịch vụ là C3. Tầng khó rời bỏ nhất là C4. Một hội đồng chỉ hỏi một câu sẽ chỉ nhận được một trong hai câu trả lời đó, và cho mục đích lập kế hoạch, đó thường là câu trả lời sai, vì C3 là tầng mà ai cũng đã lo từ trước.

Lối thoát, và câu hỏi quyết định

C6 là nhị phân, không chấm điểm. Hoặc anh/chị đã kiểm thử việc rời đi, hoặc anh/chị chỉ có một văn bản.

Có một hình mẫu để làm việc này cho đúng, và nó đáng được học hỏi thay vì chờ bị áp đặt. Theo cơ chế kiểm thử xâm nhập dựa trên mối đe dọa của EU, các tổ chức được xác định phải kiểm thử ít nhất 3 năm một lần; việc kiểm thử chạy trên hệ thống production đang vận hành; nó vươn tới cả các hệ thống thuê ngoài từ nhà cung cấp bên thứ ba; và — quy định quan trọng nhất đối với một hội đồng quản trị — văn bản phạm vi kiểm thử do cấp quản lý cao nhất phê duyệt.

Quy định cuối cùng ấy đáng được định vị cho đúng, vì nó không nằm ở chỗ mà một bản tóm tắt sẽ đặt nó. Chu kỳ 3 năm, yêu cầu chạy trên production đang vận hành và phạm vi vươn tới các hệ thống thuê ngoài nằm ở Điều 26 và Điều 27 của quy định. Còn việc cấp quản lý cao nhất phê duyệt nằm ở tiêu chuẩn kỹ thuật quản lý về kiểm thử xâm nhập dựa trên mối đe dọa, được ban hành dưới dạng một quy định ủy quyền — một loại văn bản khác với tiêu chuẩn kỹ thuật triển khai, và chính cơ chế này phân biệt hai loại đó. Cũng chính cơ chế này sau đó yêu cầu cơ quan có thẩm quyền thẩm định lại phạm vi, và đó mới là nửa làm cho chữ ký của hội đồng có sức nặng: hội đồng ký một phạm vi mà một cơ quan giám sát sẽ đọc.

Một ngân hàng nằm ngoài cơ chế đó có thể tự nguyện áp dụng cùng hình mẫu. Hội đồng ký phạm vi. Phép thử chạy trên hệ thống thật. Và nó không dừng lại ở ranh giới những gì anh/chị tự vận hành.

Pháp luật Việt Nam đã yêu cầu gì, và câu hỏi duy nhất còn bỏ ngỏ

Ở đây bài viết phải cẩn trọng, vì phiên bản dễ dãi của lập luận này là sai.

Cơ chế của EU không ràng buộc một ngân hàng thương mại Việt Nam. Nó áp dụng cho các tổ chức tài chính EU. Một ngân hàng Việt Nam chỉ thuộc phạm vi thông qua một pháp nhân tại EU có tư cách tổ chức tài chính, hoặc gián tiếp qua hợp đồng với các đối tác EU. Bất kỳ ai nói với hội đồng quản trị một ngân hàng Việt Nam rằng quy định châu Âu khiến các thành viên hội đồng phải chịu trách nhiệm cá nhân đối với một sự cố gián đoạn là đang nói quá, và điều chỉnh lại cho thật đúng quan trọng hơn là chỉ điều chỉnh qua loa. Cơ chế đó mở rộng các chế tài hành chính, do một cơ quan giám sát áp dụng, thông qua việc nội luật hóa ở cấp quốc gia, và không đặt mức trần nào ở cấp EU — đồng thời nó có cho phép một quốc gia thành viên truy đến các thành viên của cấp quản lý cao nhất với tư cách cá nhân, ở nơi pháp luật quốc gia quy định như vậy và khi họ chịu trách nhiệm về một hành vi vi phạm quy định này. Nghĩa vụ giám sát không phải là trách nhiệm cá nhân đối với một sự cố gián đoạn. Cả hai câu đó đều đúng, và bỏ đi câu nào cũng tạo ra một tờ trình hội đồng gây hiểu nhầm.

Điều thực sự ràng buộc nằm gần hơn, và hữu ích hơn.

Theo Thông tư 09/2020/TT-NHNN, có hiệu lực từ 01/1/2021, cloud không bị cấm — hệ thống từ cấp độ ba trở lên có thể lên cloud khi đáp ứng các yêu cầu an toàn — và tổ chức phải hoàn thành đánh giá rủi ro trước khi sử dụng. Nghĩa vụ gửi báo cáo hẹp hơn nhiều so với cách nó thường được mô tả, và sự phân biệt này gánh một phần lập luận. Đánh giá trước khi sử dụng tại Điều 33(1) là nghĩa vụ chung đối với dịch vụ của bên thứ ba cho các hệ thống từ cấp độ ba trở lên và các hệ thống xử lý dữ liệu cá nhân của khách hàng. Điều 33(3) bổ sung nghĩa vụ gửi bản đánh giá đó cho Ngân hàng Nhà nước chỉ trong trường hợp tổ chức thuê ngoài toàn bộ công việc quản trị hệ thống đó. Riêng việc dùng cloud không tự nó đặt một báo cáo lên bàn cơ quan quản lý. Điều 35 của cùng thông tư điều chỉnh hợp đồng với bên thứ ba, quyền sở hữu dữ liệu và việc hoàn trả dữ liệu khi chấm dứt — đây là thứ gần nhất với một điều khoản C6 trong pháp luật Việt Nam, và đáng đọc trước kỳ gia hạn tiếp theo.

Theo Thông tư 13/2018/TT-NHNN, Điều 43 điều chỉnh rủi ro hoạt động phát sinh từ việc thuê ngoài. Nó vận hành bằng cách dẫn chiếu: nó áp dụng nghĩa vụ nhận diện — đo lường — theo dõi — kiểm soát tại Điều 42 cho rủi ro phát sinh từ thuê ngoài, và nó yêu cầu kế hoạch duy trì hoạt động kinh doanh liên tục tại Điều 46, do chính ngân hàng hoặc do nhà cung cấp xây dựng. Điều 42 đứng một mình là điều khoản chung về rủi ro hoạt động và hoàn toàn không nhắc tới thuê ngoài, và đó là lý do việc dẫn đúng số điều quan trọng với một người đọc tra lại văn bản.

Lưu ý cách dùng từ: luật Việt Nam nói duy trì hoạt động kinh doanh liên tục, không nói lối thoát. Và nó có yêu cầu kế hoạch đó phải được kiểm thử, ít nhất mỗi năm một lần, trong đó kế hoạch dự phòng cho cloud được kiểm thử về khả năng sẵn sàng thay thế cho các hoạt động đang chạy trên đó. Điều mà không văn bản Việt Nam nào yêu cầu là anh/chị phải kiểm thử việc thực sự rời khỏi một nhà cung cấp. Một phép thử failover bên trong một nhà cung cấp đúng là không phải một phép thử rời khỏi nhà cung cấp đó, và việc gộp hai thứ này là cách một ngân hàng kết luận rằng mình đã làm phần việc này rồi.

Và theo Luật Trí tuệ nhân tạo 134/2025/QH15, có hiệu lực từ 01/3/2026 theo Điều 34, nghĩa vụ được phân tách giữa nhà cung cấp và bên triển khai tại Điều 11 đến Điều 14. Thời gian chuyển tiếp 18 tháng đến 01/9/2027 nằm ở Điều 35(1)(a), và nó chỉ áp dụng cho các hệ thống thuộc ngành tài chính đã vận hành trước ngày luật có hiệu lực — một khoảng chạy đà cho những gì đang chạy, không phải một kỳ miễn trừ toàn ngành cho những gì anh/chị xây tiếp. Đây là lần thứ tư loạt bài này phải nói điều đó, nên xin nói thẳng: điều kiện ấy là mệnh đề đầu tiên của chính điều khoản, không phải một lời chú giải thêm vào.

Theo cách bài viết này đọc các nghĩa vụ của nhà cung cấp, một ngân hàng gắn thương hiệu của mình lên một ứng dụng AI sẽ chịu trách nhiệm với tư cách nhà cung cấp, kể cả khi mô hình lõi được cấp phép từ bên khác. Không điều khoản nào nói đúng chữ thương hiệu của chính mình, nên hãy đọc đó như một cách diễn giải Điều 11, 12 và 14 chứ không phải một căn cứ được trích nguyên văn. Đó là điểm neo trách nhiệm pháp lý của Việt Nam, và nó không cần đến luật châu Âu để có hiệu lực.

Vậy đây là khoảng trống, và cũng là lập luận của cả bài viết. Ngân hàng đã chạy một bản đánh giá rủi ro trước khi go-live, và gửi nó đi trong trường hợp toàn bộ hệ thống nằm trong tay người khác. Bản đánh giá đó hỏi nhà cung cấp có đủ năng lực hay không. Nó không hỏi nhà cung cấp đứng trên nền tảng nào, hay đã có ai từng thử rời đi hay chưa. Không văn bản Việt Nam nào trong hai văn bản trên đặt ra nghĩa vụ định lượng về mức độ tập trung, và không văn bản nào yêu cầu phải kiểm thử việc rời khỏi một nhà cung cấp — dù kế hoạch duy trì hoạt động liên tục bên trong nhà cung cấp đó được kiểm thử thường xuyên đến đâu.

Đây không phải một thất bại về tuân thủ. Đó là một câu hỏi mà hồ sơ giấy tờ không chạm tới.

Khi nào lập luận này không đứng vững

Trình bày ở mức mạnh nhất, vì một lập luận chưa được thử thách trước phản biện mạnh nhất của nó chỉ là một khẳng định.

Lập luận ủng hộ sự tập trung là có thật. Các nhà cung cấp cho rằng kỹ thuật đa availability zone, đa region và khoản đầu tư bảo mật của họ vượt xa những gì một tổ chức đơn lẻ có thể tự xây. Ở cấp độ khả năng chống chịu của riêng một ngân hàng, điều đó nhiều khả năng là đúng. Tập trung vào một nhà cung cấp lớn rất có thể làm tăng chứ không làm giảm tính sẵn sàng.

Lập luận đó thường được chống đỡ bằng chính báo cáo tháng 12/2019 của Hội đồng Ổn định Tài chính về sự phụ thuộc vào bên thứ ba trong dịch vụ cloud, và báo cáo ấy đáng được trích chính xác thay vì tóm tắt, vì bản tóm tắt đang lưu hành mạnh hơn văn bản gốc. Hội đồng kết luận rằng dường như chưa có rủi ro tức thời đối với ổn định tài chính phát sinh từ việc các tổ chức tài chính sử dụng dịch vụ cloud. Hãy đọc kỹ hai lớp dè dặt: dường như chưa có, và tức thời. Đó là một cách đọc có điều kiện về tình hình tính đến tháng 12/2019, không phải một giấy chứng nhận sạch, và bất kỳ ai diễn giải nó thành việc ứng dụng cloud không gây rủi ro cho ổn định tài chính thì đã làm với nguồn này đúng điều mà con số thị phần cloud ở trên đã bị làm — dẫn một phát hiện có thật ra ngoài những điều kiện mà nó được đo.

Và nguồn tốt nhất của phía phản biện lại lập luận giúp bài viết này ngay trong câu tiếp theo. Sau khi đi đến kết luận đó, chính báo cáo ấy nói rằng có thể có ích khi các cơ quan quản lý thảo luận thêm để đánh giá ba việc: mức độ phù hợp của các chuẩn mực quản lý và thực tiễn giám sát đối với các thỏa thuận thuê ngoài, khả năng các cơ quan quản lý phối hợp, hợp tác và chia sẻ thông tin về các dịch vụ cloud mà tổ chức tài chính sử dụng, và — việc thứ ba — các nỗ lực chuẩn hóa hiện nay nhằm bảo đảm khả năng liên thông và khả năng chuyển dữ liệu trong môi trường cloud.

Việc thứ ba đó chính là C4 và C6, do một cơ quan giám sát nêu tên, từ năm 2019, ngay bên trong văn bản mà lập luận của các nhà cung cấp dựa vào. Nó không chứng minh rằng hôm nay không tồn tại chuẩn khả chuyển nào; điều đó vẫn là đánh giá của bài viết này và được đánh dấu đúng như vậy. Điều nó chứng minh là mối lo này không phải do một người hoài nghi nhà cung cấp nghĩ ra. Nó đã nằm trên hồ sơ, như một phần việc còn dang dở, từ trước khi phần lớn ngân hàng có một mô hình chạy trong production.

Các cơ quan giám sát thực ra không phản bác phần kỹ thuật. Câu trả lời của họ là đó là sai tầm nhìn: khả năng chống chịu ở một tổ chức không phải là sự ổn định của cả hệ thống, và sự phụ thuộc chung tạo ra một bán kính ảnh hưởng mà một hệ thống phân tán không có. Nhưng đó là lập luận ở cấp hệ thống, và lập luận ở cấp hệ thống không phải thứ mà một hội đồng đơn lẻ có thể hành động.

Vì vậy nhận định ở đây phải thu hẹp, và nó đã thu hẹp. Bài viết này không lập luận rằng sự tập trung kém bền vững hơn. Nó lập luận một điều nhỏ hơn và khó bác bỏ hơn:

Đa nguồn ở tầng mô hình không giải quyết sự phụ thuộc ở tầng cloud, và lối thoát chưa từng được kiểm thử.

Nhận định đó đứng vững nguyên vẹn trước phản biện, vì nó hoàn toàn không tranh luận về kỹ thuật bảo đảm tính sẵn sàng. Nó bàn về những gì anh/chị vẫn còn làm được khi quyết định không còn nằm trong tay mình.

Một heatmap anh/chị có thể điền ngay tuần này

1. Liệt kê các chức năng trọng yếu có dùng AI. Chức năng, không phải hệ thống — đơn vị quan trọng là một dịch vụ mà khách hàng sẽ nhận ra khi nó ngừng.
2. Nêu tên điểm phụ thuộc ở cả sáu tầng, cho từng chức năng. Chỗ nào chưa biết, ghi chưa rõ. Ô trống trung thực chính là một phát hiện, và phần lớn ngân hàng tìm thấy ô trống của mình ở C5.
3. Truy vết xuống dưới. Với mỗi mô hình đã nêu, ghi lại nó thực sự chạy trên gì ở tầng suy luận và tầng cloud, và nêu tên region. Đây là bước biến một danh sách nhà cung cấp thành một phép đo mức độ tập trung.
4. Chấm điểm hai trục — độ khó khi rời đi, hệ quả nếu ngừng.
5. Tìm điểm sụp. Xác định mọi chỗ mà hai hay nhiều lựa chọn tưởng như độc lập ở tầng trên quy về cùng một thứ ở bên dưới. Sự hội tụ đó chính là điểm nóng. Khi hai lựa chọn sụp về một, lãnh đạo nên coi chúng là một nhà cung cấp duy nhất — trong sổ đăng ký, trong hợp đồng, và trong kế hoạch phục hồi.
6. Chọn một lối thoát và kiểm thử nó. Một chức năng, một tầng, trên production, với phạm vi do hội đồng phê duyệt. Mục đích không phải là rời đi. Mà là tìm ra những gì kế hoạch chưa nói.

Rủi ro và giới hạn

Con số về thị phần cloud là một khảo sát tại Vương quốc Anh, không phải con số của anh/chị. Việc ba nhà cung cấp chiếm khoảng ba phần tư mức sử dụng cloud là điều các doanh nghiệp Anh tự báo cáo cho chính cơ quan quản lý của họ trong năm 2024. Nó không nói lên điều gì chính xác về hệ thống của riêng anh/chị, và không nói gì cả về Việt Nam. Đừng đưa nó vào tờ trình hội đồng như thể nó nói được điều đó.

C5 còn thiếu bằng chứng, như đã nêu ở trên. Hãy trình bày nó như một khoảng trống về tầm nhìn, không phải một sự cố chực chờ xảy ra.

Một nhận định ở đây là đánh giá chứ không phải phát hiện. Việc không tồn tại chuẩn khả chuyển cho lưu trữ vector là một phát biểu phủ định về bối cảnh tiêu chuẩn, và bài viết này chưa xác lập nó dựa trên văn bản của chính một tổ chức tiêu chuẩn hóa. Đó là cách đọc của tác giả, và điểm thực tiễn vẫn đứng vững theo cả hai hướng: phần việc embed lại và kiểm định lại không chuyển sang được, bất kể một chuẩn mực tương lai nào có nói gì.

Sáu tầng không phải cách phân chia duy nhất. Một tầng nguồn cung chip tăng tốc bên dưới C3, và một tầng con người và đơn vị tích hợp, đều có thể bàn. Sáu là con số mà bằng chứng ủng hộ, và khung chuỗi cung ứng năm tầng trong tài liệu về ổn định tài chính là một công cụ khác, cho một mục đích khác.

Không đưa ra một thứ tự xếp hạng duy nhất cho sáu tầng, vì bằng chứng không tạo ra một thứ tự như vậy và một thứ tự duy nhất sẽ che khuất phát hiện về hai trục.

Đây là một khuôn mẫu và một xu hướng, không phải một nghĩa vụ. Bất kỳ ai nói khác đi về cơ chế của EU và một ngân hàng Việt Nam là chưa đọc các điều khoản về phạm vi áp dụng.

Những điểm chính

• Đếm nhà cung cấp không phải là phép đo mức độ tập trung. Nó chỉ đo anh/chị nhận bao nhiêu hóa đơn.
• Hai cơ quan quản lý, độc lập với nhau, đã chỉ định về cơ bản cùng những nhà cung cấp là trọng yếu, vào tháng 11/2025 và tháng 7/2026, và 3 trong 4 quyết định chỉ định của Vương quốc Anh là cùng những pháp nhân mà EU đã nêu. Hãy dùng điều đó thay cho các ước tính thị phần.
• Đa nhà cung cấp là trạng thái bình thường của một thị trường tập trung, không phải lối thoát khỏi nó.
• Con số về mức độ tập trung cloud là một khảo sát của cơ quan giám sát Vương quốc Anh dựa trên báo cáo của chính các doanh nghiệp, năm 2024 — có thẩm quyền trên tập đối tượng của nó và không nói gì về tập đối tượng của anh/chị. Ở tầng mô hình, cũng khảo sát đó cho thấy tỷ trọng của ba nhà cung cấp hàng đầu tăng từ 18% lên 44% giữa hai vòng 2022 và 2024.
• Một mô hình huấn luyện sẵn thường mang theo rủi ro bên thứ ba mà không có hợp đồng chính thức, nên một khung bắt đầu từ hợp đồng sẽ không tìm thấy gì và không báo cáo gì.
• Chấm mỗi tầng hai lần. C3 mang hệ quả cao nhất; C4 mang ma sát cao nhất. Chúng không phải cùng một tầng.
• C4 là chuyện kiến trúc, không phải chuyện giá. Đổi embedding model nghĩa là embed lại và kiểm định lại toàn bộ kho dữ liệu.
• Lối thoát là nhị phân. Đã kiểm thử, hoặc chỉ là một văn bản.
• Với một ngân hàng Việt Nam, nghĩa vụ ràng buộc là sự phân tách nhà cung cấp – bên triển khai tại Điều 11 đến Điều 14 của Luật Trí tuệ nhân tạo, không phải luật châu Âu. Bản đánh giá rủi ro trước khi sử dụng mà anh/chị vẫn làm không hỏi câu hỏi về mức độ tập trung, và nghĩa vụ gửi báo cáo chỉ phát sinh khi toàn bộ công việc quản trị hệ thống được thuê ngoài.

Các con số trong bài viết, và nguồn của từng con số

Mọi con số trong bài viết này đều được quy cho tổ chức đã công bố nó, kèm theo phạm vi đo lường của nó. Không tổ chức nào được nêu tên làm ví dụ ở bất kỳ đâu trong bài, theo chính sách biên tập: nêu tên một ngân hàng trong bài viết về sự phụ thuộc nhà cung cấp của ngân hàng đó sẽ hàm ý một quan hệ khách hàng mà chúng tôi không khẳng định.

Chủ ý không có trong bài. Bài viết này không nêu tên nhà cung cấp cloud nào, không nêu tên pháp nhân nào đã bị chỉ định, không nêu tên mô hình nào, không nêu tên ngân hàng nào, và không đưa ra ngưỡng định lượng nào về mức độ tập trung. Mọi nguồn gốc đứng sau bài đều đầy ắp tên riêng — danh sách chỉ định của châu Âu nêu tên 19 pháp nhân, báo cáo về ổn định tài chính nêu tên các doanh nghiệp chip, cloud và mô hình trong phần chú thích, quyết định chỉ định của Vương quốc Anh nêu tên bốn — và không tên nào được đưa vào đây. Bài cũng không dẫn số hiệu văn bản pháp quy cho quyết định chỉ định của Vương quốc Anh và không dẫn số khoản cho quy định về phê duyệt của cấp quản lý cao nhất trong tiêu chuẩn kỹ thuật. Cả hai đều có sẵn dưới dạng tóm tắt; cả hai đều bị loại ra vì chính nguồn gốc chưa được đọc. Một con số không mang theo được các điều kiện của nó thì không xuất hiện — và ở nơi một nguồn đã được đọc, như báo cáo tháng 12/2019, nó được trích kèm các lớp dè dặt của chính nó chứ không phải theo phiên bản mạnh hơn đang lưu hành.

Vị trí của bài này bên cạnh phần còn lại của loạt bài: The Grounded-Knowledge Architecture phụ trách câu hỏi câu trả lời có đúng hay không, còn bài này phụ trách câu hỏi anh/chị có rời đi được hay không. The Build-Buy-Partner Grid phụ trách quyết định nguồn cung và lập luận về rủi ro hệ thống. The AI Unit-Economics Ledger phụ trách chi phí — chi phí chuyển đổi dưới dạng một mức giá nằm ở đó; chi phí chuyển đổi dưới dạng một điểm khóa chặt nằm ở đây. Và AI-Ready Business Architecture, the 5-Layer Data-Readiness Map phụ trách chính các tầng dữ liệu, vốn là thứ mà C4 dựa vào.

Không có bất kỳ dữ liệu nào ở cấp khách hàng, nhân viên hay tổ chức xuất hiện trong bài viết này; không ngân hàng, nhà cung cấp, nền tảng hay mô hình nào được nêu tên hoặc được xác nhận; và heatmap sáu tầng là cách phân rã do tác giả đề xuất chứ không phải một chuẩn mực đã được phê chuẩn. Đây là quan điểm độc lập, không liên kết với bất kỳ tổ chức nào nơi tác giả đang hoặc đã từng làm việc, được chuẩn bị theo tinh thần Luật Trí tuệ nhân tạo 134/2025 của Việt Nam và chế độ bảo vệ dữ liệu cá nhân, và không thay thế cho việc rà soát pháp lý, tuân thủ, khả năng chống chịu hoạt động và bảo vệ dữ liệu của chính anh/chị.