Quy định sử dụng AI trong doanh nghiệp: dữ liệu nào được nhập

Quy định sử dụng AI trong doanh nghiệp nên trả lời ba câu hỏi trước khi nhân viên mở ChatGPT, Gemini hay Claude: dữ liệu nào được nhập, công cụ nào được dùng (gói cá nhân hay gói doanh nghiệp), và ai chịu trách nhiệm kiểm tra kết quả. Ở Việt Nam, câu hỏi về dữ liệu còn gắn với Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ 1/1/2026. Bài này đưa ra cách phân loại dữ liệu, so sánh chính sách dữ liệu của một số nhà cung cấp, và một mẫu quy định một trang để bạn chỉnh lại cho công ty mình.

Lưu ý: bài viết chỉ mang tính tham khảo chung, không phải tư vấn pháp lý. Doanh nghiệp nên hỏi luật sư về trường hợp cụ thể của mình.

Vì sao cần thống nhất quy định trước, không đợi có sự cố

Khi chưa có quy định, mỗi người tự quyết định. Ví dụ minh họa: một nhân viên dán danh sách khách hàng vào chatbot để nhờ viết email, một kỹ sư dán đoạn mã có khóa API để nhờ sửa lỗi. Không ai cố ý làm sai, nhưng công ty không biết dữ liệu đã đi đâu.

Cấm hoàn toàn cũng không giải quyết được, vì nhân viên vẫn có thể dùng bằng tài khoản cá nhân. Cách thực tế hơn là cho phép có điều kiện, đủ cụ thể để nhân viên tự trả lời được câu "cái này có được dán vào AI không?".

Phân loại dữ liệu: được nhập, phải xử lý trước, không được nhập

Bước đầu tiên là chia dữ liệu thành ba nhóm. Bạn có thể dùng bảng dưới đây làm điểm khởi đầu rồi chỉnh theo ngành của mình.

Nhóm	Ví dụ	Quy tắc gợi ý
Xanh: được nhập	Thông tin đã công khai trên website công ty, văn bản pháp luật công khai, bản nháp không chứa tên người hay tên khách hàng	Dùng trên công cụ đã được duyệt
Vàng: phải xử lý trước	Biên bản họp nội bộ, báo cáo doanh số, nội dung email với khách hàng	Xóa hoặc thay thế tên người, số điện thoại, email, tên công ty khách hàng, số liệu nhạy cảm; chỉ dùng gói doanh nghiệp
Đỏ: không được nhập	Dữ liệu cá nhân của khách hàng, nhân viên, ứng viên (họ tên kèm số CCCD, lương, sức khỏe, tài khoản ngân hàng…), hợp đồng chưa công bố, mã nguồn có khóa bí mật, mật khẩu, thông tin bên đối tác yêu cầu bảo mật	Không nhập vào bất kỳ công cụ AI nào nếu chưa được bộ phận phụ trách duyệt riêng

Điểm hay bị bỏ sót:

• Dữ liệu cá nhân không chỉ là họ tên. Luật 91/2025/QH15 định nghĩa dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác "xác định hoặc giúp xác định một con người cụ thể" (Điều 2). Một chức danh kèm tên phòng ban trong công ty nhỏ cũng có thể đủ để nhận ra một người.
• Hợp đồng thường có điều khoản bảo mật. Trước khi dán hợp đồng vào AI để nhờ tóm tắt, hãy kiểm tra hợp đồng có cấm tiết lộ cho bên thứ ba hay không. Nếu không chắc, xếp vào nhóm Đỏ.
• Mã nguồn có thể chứa khóa API, mật khẩu, hoặc thuộc quyền sở hữu của khách hàng theo hợp đồng.

Cách "xử lý trước" cho nhóm Vàng

Ví dụ minh họa: thay vì dán "Anh Nguyễn Văn A, Trưởng phòng mua hàng công ty B, đề nghị giảm giá 8% cho đơn hàng 1.200 thùng", nhân viên viết lại thành:

Khách hàng (một công ty sản xuất) đề nghị giảm giá cho một đơn hàng lớn.
Hãy viết email trả lời lịch sự, giữ mức giá hiện tại,
đề xuất thay bằng điều kiện thanh toán linh hoạt hơn.

AI vẫn làm được việc mà tên người, tên công ty và con số cụ thể không bị gửi đi. Nhân viên điền lại thông tin thật sau.

Gói cá nhân và gói doanh nghiệp: dữ liệu có bị dùng để huấn luyện mô hình không

Cùng một thương hiệu, gói cá nhân và gói doanh nghiệp thường có chính sách dữ liệu khác nhau. Bảng dưới tóm tắt trang chính thức của nhà cung cấp tính đến tháng 10/2026; chính sách có thể thay đổi, nên hãy kiểm tra lại trang gốc.

Nhà cung cấp	Gói cá nhân	Gói doanh nghiệp
OpenAI (ChatGPT)	Theo trang trợ giúp, nội dung từ dịch vụ cho cá nhân có thể được dùng để huấn luyện mô hình. Người dùng có thể tắt mục "Improve the model for everyone" trong Settings > Data controls. Nếu gửi phản hồi (feedback), cả cuộc trò chuyện liên quan có thể được dùng để huấn luyện. Temporary Chat không được dùng để cải thiện mô hình khi vẫn ở trạng thái tạm thời	Theo cùng trang, mặc định OpenAI không dùng đầu vào và đầu ra từ ChatGPT Business, ChatGPT Enterprise, ChatGPT Edu và API để cải thiện mô hình
Anthropic (Claude)	Từ thông báo ngày 28/8/2025, người dùng gói Free, Pro, Max được chọn có cho phép dùng dữ liệu để cải thiện Claude hay không, và có thể đổi trong Privacy Settings	Thông báo nêu rõ thay đổi này không áp dụng cho các dịch vụ theo Điều khoản thương mại, gồm Claude for Work, Claude for Government, Claude for Education và API
Google (Gemini trong Google Workspace)	Không nằm trong phạm vi trang dưới đây	Trang Privacy Hub của Workspace nêu nội dung của khách hàng không được dùng để huấn luyện mô hình AI tạo sinh ngoài domain của khách hàng nếu không có sự cho phép

Nguồn: OpenAI – cách dữ liệu được dùng để cải thiện mô hình, OpenAI – Enterprise privacy, Anthropic – cập nhật điều khoản cho người dùng cá nhân, Google Workspace – Generative AI Privacy Hub.

Từ đây có thể rút ra ba điều cho quy định nội bộ:

1. "Không dùng để huấn luyện" không có nghĩa là "được nhập mọi dữ liệu". Dữ liệu vẫn được xử lý trên máy chủ của nhà cung cấp.
2. Tài khoản cá nhân là điểm mù. Chính sách gói doanh nghiệp không áp dụng khi nhân viên dùng tài khoản miễn phí của mình.
3. Ghi rõ tên gói, ví dụ "ChatGPT Business bằng tài khoản công ty cấp", không chỉ ghi "ChatGPT".

Luật Bảo vệ dữ liệu cá nhân 2025 liên quan gì đến việc dùng AI

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 1/1/2026 (Tilleke & Gibbins). Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết cũng có hiệu lực từ 1/1/2026, và theo bản tóm tắt của LuatVietnam, nghị định này có nội dung hướng dẫn về bảo vệ dữ liệu cá nhân trong hệ thống trí tuệ nhân tạo (LuatVietnam).

Phần dưới chỉ nêu vài điểm liên quan trực tiếp đến việc nhân viên dùng AI, không phải toàn bộ nghĩa vụ của doanh nghiệp.

Chuyển dữ liệu ra nước ngoài

Điều 20 của Luật liệt kê các trường hợp được coi là chuyển dữ liệu cá nhân xuyên biên giới. Một trong số đó là sử dụng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân thu thập tại Việt Nam. Khoản 2 yêu cầu bên chuyển lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân và gửi cơ quan chuyên trách trong vòng 60 ngày kể từ ngày đầu tiên chuyển dữ liệu, trừ các trường hợp ngoại lệ (Điều 20).

Nhiều công cụ AI phổ biến xử lý dữ liệu trên máy chủ đặt ngoài Việt Nam. Vì vậy, việc nhân viên dán dữ liệu cá nhân của khách hàng hay nhân viên vào các công cụ này có thể rơi vào phạm vi Điều 20. Việc có thuộc trường hợp ngoại lệ hay không, và hồ sơ cần lập thế nào, là câu hỏi doanh nghiệp nên hỏi luật sư. Cách an toàn trong lúc chờ câu trả lời là không cho nhập dữ liệu cá nhân (nhóm Đỏ trong bảng ở trên).

Mức phạt

Theo bản phân tích của Tilleke & Gibbins, vi phạm về chuyển dữ liệu xuyên biên giới có thể bị phạt tới 5% doanh thu năm trước của tổ chức vi phạm; mua bán dữ liệu cá nhân trái phép có thể bị phạt tới 10 lần khoản thu từ hành vi đó; các vi phạm khác có mức phạt tối đa 3 tỷ đồng (Tilleke & Gibbins). Cùng bài phân tích cho biết doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được ân hạn 5 năm với một số nghĩa vụ; phạm vi ân hạn cụ thể cần được luật sư xác nhận cho trường hợp của bạn.

Điều này có nghĩa gì với quy định nội bộ

• Quy định dùng AI nên dẫn chiếu đến quy trình bảo vệ dữ liệu cá nhân hiện có của công ty, không đứng riêng.
• Người phụ trách bảo vệ dữ liệu (nếu công ty có) nên tham gia duyệt công cụ AI.
• Dùng AI để xử lý dữ liệu cá nhân có chủ đích (ví dụ phân loại hồ sơ ứng viên) là một dự án riêng cần đánh giá pháp lý.

Ai duyệt công cụ AI

Quy định cần nói rõ ai được phép thêm một công cụ vào danh sách "được dùng". Với công ty vừa và nhỏ, có thể giao cho một nhóm nhỏ:

• Người phụ trách IT hoặc bảo mật: kiểm tra gói, chính sách dữ liệu, cách quản lý và thu hồi tài khoản.
• Người phụ trách pháp chế hoặc bảo vệ dữ liệu: xem điều khoản dịch vụ, nơi xử lý dữ liệu, nghĩa vụ theo Luật 91/2025/QH15.
• Trưởng bộ phận sử dụng: xác nhận công cụ thật sự cần cho công việc nào.

Gợi ý quy trình duyệt:

1. Nhân viên gửi đề xuất: công cụ, gói, mục đích, loại dữ liệu.
2. IT và pháp chế kiểm tra theo một danh sách câu hỏi cố định (dữ liệu có dùng để huấn luyện không, lưu bao lâu, xử lý ở đâu, có tài khoản quản trị không).
3. Ghi kết quả vào danh sách công cụ được duyệt, kèm loại dữ liệu được phép (chỉ Xanh, hay Xanh và Vàng).
4. Xem lại danh sách định kỳ, ví dụ mỗi quý, vì chính sách của nhà cung cấp có thể thay đổi.

Tiện ích trình duyệt và ứng dụng ghi âm cuộc họp có AI cũng nên đi qua cùng quy trình.

Mẫu quy định sử dụng AI một trang

Mẫu dưới đây là ví dụ minh họa. Hãy sửa tên công cụ, tên bộ phận và cách phân loại cho phù hợp với công ty bạn, và nhờ luật sư xem lại trước khi ban hành.

QUY ĐỊNH SỬ DỤNG CÔNG CỤ AI TẠO SINH – [Tên công ty] – Phiên bản [ngày]

• Phạm vi: áp dụng cho mọi nhân viên, cộng tác viên, thực tập sinh khi dùng công cụ AI tạo sinh cho công việc của công ty.
• Công cụ được dùng: chỉ các công cụ trong Danh sách công cụ được duyệt, bằng tài khoản công ty cấp. Không dùng tài khoản cá nhân cho dữ liệu công việc.
• Dữ liệu Xanh (thông tin công khai, bản nháp không chứa thông tin nhận dạng): được nhập vào công cụ được duyệt.
• Dữ liệu Vàng (tài liệu nội bộ): chỉ nhập sau khi đã xóa tên người, thông tin liên lạc, tên khách hàng và số liệu nhạy cảm.
• Dữ liệu Đỏ (dữ liệu cá nhân của khách hàng, nhân viên, ứng viên; hợp đồng; mã nguồn có thông tin bí mật; mật khẩu; thông tin đối tác yêu cầu bảo mật): không nhập, trừ khi được [bộ phận phụ trách] duyệt bằng văn bản cho trường hợp cụ thể.
• Kiểm tra kết quả: người dùng chịu trách nhiệm kiểm tra số liệu, tên riêng, trích dẫn luật và nội dung trước khi gửi ra ngoài. AI có thể đưa ra thông tin sai.
• Duyệt công cụ mới: gửi đề xuất cho [IT] và [Pháp chế]. Không tự cài tiện ích hay ứng dụng AI mới.
• Báo cáo sự cố: nếu lỡ nhập dữ liệu Đỏ, báo ngay cho [người phụ trách] trong ngày. Báo sớm không bị xem là lỗi; giấu sự cố mới là lỗi.
• Đào tạo: nhân viên mới học quy định này trong tuần đầu; toàn bộ nhân viên ôn lại khi quy định thay đổi.
• Xem lại: [bộ phận phụ trách] xem lại quy định và danh sách công cụ mỗi [quý/6 tháng].
• Liên hệ hỏi đáp: [tên, email nội bộ].

Đào tạo nhân viên theo quy định

Gửi file quy định để ký xác nhận thường không đủ, vì nhân viên vẫn không chắc một tài liệu cụ thể thuộc nhóm nào. Nên luyện trên chính tài liệu công việc của họ.

Ví dụ một buổi đào tạo:

1. Giải thích ngắn (15 phút): ba nhóm dữ liệu, danh sách công cụ được duyệt, cách báo sự cố.
2. Bài tập phân loại (20 phút): mỗi người mang 3–5 tài liệu thường dùng (đã che thông tin nếu cần), tự xếp vào Xanh, Vàng hoặc Đỏ, rồi cả nhóm thảo luận trường hợp chưa rõ.
3. Thực hành xử lý dữ liệu Vàng (30 phút): viết lại một yêu cầu cho AI mà không để lộ tên người, tên khách hàng, con số cụ thể, như ví dụ ở phần trên.
4. Kiểm tra kết quả AI (20 phút): cho AI làm một việc thật của bộ phận, rồi cả nhóm tìm số liệu sai, tên sai, khẳng định không có căn cứ.

Ví dụ minh họa: danh sách khách hàng dự hội thảo có họ tên và số điện thoại thuộc nhóm Đỏ, nhưng cột "ghi chú nhu cầu" sau khi xóa tên có thể đưa cho AI để nhóm các nhu cầu thường gặp.

Sau đó, giữ một kênh hỏi đáp nội bộ; câu hỏi lặp lại cho thấy quy định cần viết rõ hơn ở chỗ đó.

Bắt đầu từ đâu

Hỏi các bộ phận đang dùng công cụ AI nào, bằng tài khoản nào; kiểm tra chính sách dữ liệu của gói doanh nghiệp; chỉnh mẫu ở trên và nhờ luật sư xem; rồi ban hành, đào tạo bằng tài liệu thật và hẹn ngày xem lại.

EON tổ chức các buổi đào tạo AI thực hành ngay tại doanh nghiệp, dùng chính công việc của công ty làm bài tập: nhân viên thử AI trên nhiệm vụ của mình, rồi kiểm tra và sửa kết quả. Bạn có thể xem thêm tại trang đào tạo hoặc đọc các bài khác tại /vi/articles.