Nhóm phần mềm dùng AI lập trình cần một bộ quy ước ngắn, ai cũng nhớ được, trả lời năm câu: ai chịu trách nhiệm mã do AI viết, dữ liệu và mã nào không được đưa vào công cụ AI, dùng công cụ nào bằng tài khoản nào, thay đổi có AI tham gia được rà thế nào, và khi nào được để tác tử tự chạy. Một trang là đủ; dài hơn thì không ai đọc.
Bài này dành cho trưởng nhóm kỹ thuật và lập trình viên chính ở nhóm 3 đến 20 người, nơi mỗi người đã tự dùng AI theo cách riêng và bắt đầu thấy hệ quả: mã cùng một dự án mà mỗi phần một kiểu, yêu cầu gộp to bất thường, có người dán cả tệp cấu hình chứa khoá vào khung trò chuyện. Cuối bài có khung quy ước để chép và điền.
Vì sao cần quy ước riêng cho nhóm, không chỉ cho từng người
Khi một người dùng AI, hệ quả nằm trong mã của chính họ. Khi cả nhóm dùng, hệ quả lan sang người khác: người rà mã phải đọc thay đổi lớn hơn, người bảo trì phải hiểu mã viết theo kiểu không ai trong nhóm hay viết, người phụ trách an toàn phải đoán xem mã nguồn công ty đã đi qua những dịch vụ nào. Không có quy ước, mỗi người tối ưu cho tốc độ của mình, và cả nhóm trả giá ở khâu sau.
Quy ước cũng bảo vệ người dùng AI. Không có luật rõ, người mới không biết dán đoạn mã nào vào chatbot là được phép, họ hoặc sợ không dám dùng, hoặc dùng bừa. Người kỹ tính trong nhóm thì nghi ngờ mọi yêu cầu gộp có dấu vết AI. Một trang quy ước chung biến những tranh luận cảm tính đó thành câu hỏi có câu trả lời.
Quy ước này khác với chính sách dùng AI chung của công ty, nếu công ty đã có. Chính sách công ty nói về dữ liệu khách hàng, hợp đồng, tài khoản; quy ước nhóm cụ thể hơn, nói về kho mã, nhánh, yêu cầu gộp, kiểm thử. Hai thứ không mâu thuẫn: quy ước nhóm dẫn chiếu chính sách công ty ở phần dữ liệu và bổ sung phần riêng của nghề.
Năm nguyên tắc nên đứng đầu trang
Người mở yêu cầu gộp chịu trách nhiệm toàn bộ mã trong đó. Không có câu "AI viết đoạn đó". Nếu bạn gửi mã đi rà, bạn phải giải thích được từng dòng. Nguyên tắc này đơn giản nhưng giải quyết được phần lớn tranh cãi về sau.
Không đưa vào công cụ AI những thứ trong danh sách cấm. Khoá bí mật, mật khẩu, tệp biến môi trường, dữ liệu khách hàng thật, nhật ký có thông tin cá nhân. Mã nguồn chỉ đưa vào công cụ đã được nhóm duyệt, bằng tài khoản của tổ chức nếu có.
Mã AI viết đi qua đúng quy trình như mã người viết. Cùng kiểm thử, cùng rà soát, cùng kiểm tra tự động. Không có làn ưu tiên cho mã AI, cũng không có làn nghi ngờ đặc biệt; điều cần là quy trình chung đủ chặt.
Thay đổi lớn phải tách nhỏ trước khi gửi rà. AI làm việc tạo ra diff lớn trở nên rẻ. Ngưỡng cỡ yêu cầu gộp của nhóm vẫn giữ nguyên, người gửi chịu trách nhiệm tách.
Tác tử chạy trên nhánh riêng, không có quyền ghi nhánh chính. Mọi phiên tác tử đều trên nhánh riêng. Lệnh đẩy lên kho từ xa, lệnh xoá, lệnh viết lại lịch sử do người gõ.
Phân vùng dữ liệu: cái gì được đưa vào công cụ AI
Phần dữ liệu là phần nhóm hay cãi nhau nhất, nên viết thành bảng ba mức với ví dụ cụ thể của dự án mình. Bảng dưới là gợi ý cho một nhóm làm phần mềm quản lý bán hàng, ví dụ giả định.
| Mức | Ví dụ | Quy định |
|---|---|---|
| Được dùng | Mã nguồn dự án trong công cụ đã duyệt, thông báo lỗi đã che, tài liệu công khai của thư viện | Dùng bình thường bằng tài khoản tổ chức |
| Che trước khi dùng | Nhật ký máy chủ, câu truy vấn có dữ liệu mẫu, tệp cấu hình đã bỏ khoá | Thay tên khách, số điện thoại, địa chỉ, mã đơn thật bằng giá trị giả |
| Không bao giờ | Khoá truy cập, mật khẩu, tệp biến môi trường, bản sao cơ sở dữ liệu thật, mã của khách hàng thuê gia công nếu hợp đồng cấm | Không đưa vào bất kỳ công cụ AI nào, kể cả đã che |
Dòng cuối có một ý dễ quên: nếu nhóm làm gia công, mã nguồn thuộc về khách hàng và hợp đồng có thể có điều khoản về việc đưa mã qua dịch vụ bên thứ ba. Kiểm hợp đồng trước, hỏi bộ phận pháp chế nếu có, chứ đừng mặc định là được. Phần giấy phép và bảo mật mã nguồn chi tiết có ở danh mục an toàn mã nguồn của trang.
Quy ước về ghi nhận và yêu cầu gộp
Phần này giúp người rà biết cần đọc kỹ ở đâu, và giúp nhóm nhìn lại sau này. Nên giữ ở mức tối thiểu để người ta thực sự làm:
- Nhánh do tác tử tạo có tiền tố thống nhất, ví dụ ai/, để phân biệt trong danh sách nhánh.
- Phần mô tả yêu cầu gộp có một dòng nói AI đã tham gia ở mức nào: gợi ý dòng, viết phần lớn, hay tác tử làm cả việc.
- Nếu AI viết kiểm thử, ghi rõ để người rà kiểm xem kiểm thử có thật sự kiểm hành vi hay chỉ lặp lại mã.
- Yêu cầu gộp vượt ngưỡng dòng nhóm đặt ra phải có lý do trong mô tả, hoặc tách ra.
- Không gộp yêu cầu gộp của chính mình khi chưa có người khác duyệt, kể cả khi tác tử đã "duyệt" giúp.
Nhóm nào muốn ghi công cụ AI vào lời mô tả ghi nhận theo kiểu dòng đồng tác giả ở cuối thì thống nhất một mẫu. Điều này không bắt buộc về kỹ thuật, nhưng giúp thống kê về sau.
Sáu tình huống quy ước phải trả lời sẵn
Dán thông báo lỗi có lẫn khoá truy cập. Quy ước nên nói rõ: che trước khi dán; nếu đã lỡ dán, coi khoá đó là đã lộ và xoay ngay, báo người phụ trách. Không có câu trả lời sẵn, người ta sẽ tự an ủi rằng chắc không sao.
AI gợi ý thêm một thư viện mới. Ai được quyết thêm phụ thuộc, cần kiểm những gì: thư viện có thật, có người duy trì, giấy phép hợp với dự án. Thư viện do AI gợi ý mà không tồn tại hoặc bị kẻ xấu đăng trùng tên là rủi ro có thật.
Tác tử muốn chạy tệp chuyển đổi dữ liệu. Chỉ chạy trên cơ sở dữ liệu cục bộ hoặc thử nghiệm; trên môi trường dùng chung thì người chạy, sau khi rà.
Làm dự án gia công cho khách. Kiểm hợp đồng về việc đưa mã qua dịch vụ bên ngoài trước khi dùng AI với kho đó; ghi kết luận vào tệp hướng dẫn của kho để người sau khỏi hỏi lại.
Người rà nghi một đoạn mã chép nguyên từ nguồn có giấy phép hạn chế. Quy trình là hỏi người gửi, tìm nguồn nếu có thể, và viết lại nếu không chắc. Phần nguyên lý giấy phép có bài riêng ở danh mục an toàn mã nguồn.
Một thành viên không muốn dùng AI. Quy ước không bắt buộc ai dùng. Năng suất được nhìn ở kết quả của cả nhóm, không ở việc ai dùng công cụ gì. Người không dùng AI vẫn phải theo phần rà soát và dữ liệu như mọi người, vì họ cũng sẽ rà mã có AI tham gia của đồng nghiệp và cần biết mức tham gia đó được ghi ở đâu.
Triển khai quy ước trong hai tuần
Quy ước viết xong mà không ai đọc thì bằng không. Cách đưa vào nhóm nhỏ mà không thành gánh nặng:
- Trưởng nhóm viết bản nháp một trang dựa trên khung trong bài, gửi cả nhóm trước buổi họp hai ngày.
- Họp ba mươi phút: mỗi người nêu một trường hợp thật mình từng lúng túng khi dùng AI, kiểm xem bản nháp đã trả lời chưa.
- Sửa bản nháp, đặt vào kho mã ở vị trí dễ thấy, cạnh hướng dẫn đóng góp; tệp hướng dẫn cho AI của dự án dẫn chiếu tới nó.
- Thêm vài kiểm tra tự động tương ứng: quét khoá bí mật trước khi ghi nhận, cảnh báo khi yêu cầu gộp vượt ngưỡng dòng.
- Sau hai tuần, họp mười lăm phút xem điều gì không chạy, sửa ngay.
Kiểm tra tự động quan trọng hơn bản thân văn bản. Một quy ước "không ghi nhận khoá bí mật" có công cụ quét đi kèm hiệu quả hơn mười lần nhắc nhở. Chọn những quy ước có thể biến thành kiểm tra tự động và làm việc đó trước.
Khung quy ước một trang để chép
Đề mục gợi ý, thay nội dung theo nhóm mình: 1. Trách nhiệm: người gửi yêu cầu gộp chịu trách nhiệm toàn bộ mã, giải thích được từng dòng. 2. Công cụ: danh sách công cụ được dùng với mã dự án và loại tài khoản; công cụ mới cần trưởng nhóm đồng ý. 3. Dữ liệu: bảng ba mức ở trên. 4. Tác tử: nhánh riêng, quyền được phép, lệnh cần người gõ, điểm dừng chuẩn. 5. Rà soát: ngưỡng cỡ yêu cầu gộp, dòng ghi mức tham gia của AI, không tự gộp.
6. Học và chia sẻ: nơi nhóm ghi lại câu lệnh hay, lỗi hay gặp của AI trên dự án này. 7. Sự cố: lỡ đưa khoá hay dữ liệu thật vào công cụ AI thì báo ai, trong bao lâu; khoá bị lộ phải xoay ngay, không chờ xem có ai dùng không. 8. Cập nhật: ai giữ quy ước, xem lại bao lâu một lần.
Mục bảy là mục người ta ngại viết nhất, vì nó thừa nhận rằng sai sót sẽ xảy ra. Nhưng chính vì vậy nó cần nhất. Nếu báo sự cố bị coi là tự thú, người ta sẽ giấu, và khoá bị lộ nằm đó hàng tháng. Ghi rõ rằng báo sớm được ghi nhận, không bị phạt, là cách duy nhất để mục này chạy.
Câu hỏi thường gặp
Có nên cấm hẳn AI với người mới vào nhóm?
Cấm hẳn thường không thực tế và đẩy việc dùng vào bóng tối. Cách hợp lý hơn là cho dùng nhưng yêu cầu giải thích được mã khi rà, và giao cho người mới một số việc tự làm không có AI để họ học hiểu kho mã. Người kèm cặp nên biết người mới đang dùng AI thế nào.
Mỗi người thích một công cụ khác nhau thì quy ước xử lý sao?
Quy ước không cần bắt mọi người dùng một công cụ, nhưng cần danh sách công cụ được phép dùng với mã dự án, đã kiểm điều khoản dữ liệu. Ngoài danh sách thì muốn dùng phải đề xuất. Tệp hướng dẫn dự án viết sao cho công cụ nào cũng đọc được.
Quy ước nhóm có cần trình ban giám đốc duyệt?
Phần dữ liệu và tài khoản nên khớp với chính sách công ty, nên gửi người phụ trách liên quan xem qua. Phần quy trình kỹ thuật như nhánh, rà soát, ngưỡng cỡ yêu cầu gộp thì trưởng nhóm và nhóm tự quyết là đủ.
Làm sao biết quy ước có được tuân thủ không?
Dựa vào kiểm tra tự động nhiều nhất có thể: quét khoá bí mật, bảo vệ nhánh chính, giới hạn cỡ yêu cầu gộp. Phần còn lại xem trong buổi nhìn lại định kỳ, hỏi thẳng ai thấy quy ước nào vướng. Quy ước bị lách nhiều thường là quy ước viết chưa hợp thực tế.
Có cần ghi rõ trong mã đoạn nào do AI viết?
Đa số nhóm không đánh dấu từng đoạn trong mã, vì sau vài lần sửa thì ranh giới không còn ý nghĩa. Ghi ở mức yêu cầu gộp là đủ cho việc rà soát. Nếu khách hàng hay hợp đồng yêu cầu khác, theo yêu cầu đó.
Bao lâu nên xem lại quy ước một lần?
Ba tháng một lần là nhịp hợp lý vì công cụ AI thay đổi nhanh, cộng thêm lần xem lại ngay sau mỗi sự cố. Mỗi lần xem lại nên ngắn, chỉ hỏi điều gì không còn đúng và điều gì đang thiếu.