AI và dữ liệu cá nhân: Doanh nghiệp có đang vô tình vi phạm pháp luật khi sử dụng ChatGPT ?
Một nhân viên đưa danh sách khách hàng vào ChatGPT để viết email. Một bộ phận nhân sự tải hồ sơ ứng viên lên AI để sàng lọc. Một luật sư sử dụng AI để phân tích hợp đồng có thông tin khách hàng. Một doanh nghiệp đưa tài liệu nội bộ lên công cụ AI để tóm tắt.
Tất cả những việc này có thể giúp tiết kiệm hàng giờ làm việc. Nhưng có một câu hỏi mà rất nhiều doanh nghiệp chưa thực sự đặt ra: Doanh nghiệp có quyền đưa những dữ liệu đó vào AI hay không ?
Trong thời đại ChatGPT, Gemini, Copilot và hàng loạt công cụ Generative AI, ranh giới giữa "sử dụng AI để tăng năng suất" và "vô tình làm lộ dữ liệu" đang trở nên ngày càng mong manh.
Đáng chú ý hơn, khi AI Agent bắt đầu có khả năng tự động truy cập email, hệ thống CRM, kho dữ liệu và các phần mềm doanh nghiệp, rủi ro về bảo vệ dữ liệu cá nhân, quyền riêng tư, bảo mật thông tin và trách nhiệm pháp lý sẽ còn lớn hơn nhiều.
Đây chính là lúc doanh nghiệp cần nhìn nhận một thực tế: Sử dụng AI không chỉ là vấn đề công nghệ. Đó còn là vấn đề pháp lý.
1. Vì sao AI đang tạo ra một "bài toán dữ liệu" mới ?
AI cần dữ liệu để hoạt động hiệu quả. Muốn AI trả lời chính xác hơn, người dùng thường cung cấp cho AI nhiều thông tin hơn.
Ví dụ:
- Đưa hợp đồng vào AI để phân tích;
- Đưa báo cáo tài chính vào AI để tóm tắt;
- Đưa hồ sơ khách hàng vào AI để phân loại;
- Đưa CV ứng viên vào AI để đánh giá;
- Đưa email nội bộ vào AI để soạn phản hồi;
- Đưa dữ liệu kinh doanh vào AI để dự báo.
Về mặt năng suất, đây là một bước tiến lớn. Nhưng về mặt pháp lý, mỗi thao tác "copy – paste" dữ liệu vào AI có thể đặt ra nhiều câu hỏi:
- Dữ liệu này thuộc về ai?
- Có chứa dữ liệu cá nhân không?
- Người dùng có được phép chia sẻ dữ liệu không?
- AI có lưu trữ dữ liệu không?
- Dữ liệu được xử lý ở đâu?
- Nhà cung cấp AI có thể sử dụng dữ liệu vào mục đích khác không?
- Dữ liệu có được chuyển ra nước ngoài không?
- Có vi phạm nghĩa vụ bảo mật với khách hàng không?
- Có vi phạm hợp đồng không?
Do đó, vấn đề không phải là: "AI có an toàn hay không?" mà là: "Doanh nghiệp đang đưa dữ liệu gì vào AI và dữ liệu đó được xử lý như thế nào?"
2. Dữ liệu cá nhân và AI: Rủi ro bắt đầu từ một thao tác rất đơn giản
Hãy tưởng tượng một nhân viên chăm sóc khách hàng có một file Excel gồm: họ tên; số điện thoại; email; địa chỉ; lịch sử giao dịch. Nhân viên muốn AI giúp phân loại khách hàng. Họ tải toàn bộ file lên một công cụ AI và yêu cầu: "Hãy phân nhóm khách hàng và đề xuất chiến lược chăm sóc."
Về mặt công việc, điều này có vẻ hoàn toàn bình thường, nhưng về pháp lý, doanh nghiệp cần trả lời:
- Khách hàng có biết dữ liệu của họ được xử lý theo cách này không?
- Doanh nghiệp có cơ sở pháp lý phù hợp để xử lý dữ liệu cho mục đích đó không?
- Nhà cung cấp AI có được quyền tiếp cận dữ liệu không?
- Dữ liệu có được lưu trữ hoặc chuyển đến quốc gia khác không?
- Doanh nghiệp có kiểm soát được việc xóa dữ liệu hay không?
Nếu doanh nghiệp không trả lời được những câu hỏi này, rủi ro pháp lý có thể đã xuất hiện ngay từ thời điểm dữ liệu được đưa vào AI.
3. ChatGPT, Gemini hay Copilot có phải là "người nhận dữ liệu" không?
Đây là một câu hỏi pháp lý rất đáng chú ý.
Khi người dùng đưa dữ liệu vào một hệ thống AI, dữ liệu có thể được:
- Truyền đến máy chủ của nhà cung cấp;
- Xử lý bằng mô hình AI;
- Lưu trữ trong hệ thống;
- Ghi nhận trong nhật ký;
- Sử dụng cho các mục đích vận hành;
- Hoặc trong một số trường hợp, được xử lý theo các điều khoản dịch vụ khác nhau.
Điều này phụ thuộc vào:
- Loại tài khoản;
- Phiên bản dịch vụ;
- Chính sách của nhà cung cấp;
- Cấu hình bảo mật;
- Hợp đồng doanh nghiệp;
- Khu vực địa lý.
Vì vậy, doanh nghiệp không nên mặc định: "Tôi chỉ đang nói chuyện với AI". Trên thực tế, phía sau AI có thể là cả một hệ thống xử lý dữ liệu phức tạp. Đặc biệt, với doanh nghiệp, việc sử dụng phiên bản AI cá nhân miễn phí và việc sử dụng giải pháp AI doanh nghiệp có thể có những khác biệt quan trọng về:
- Quyền kiểm soát dữ liệu;
- Bảo mật;
- Lưu trữ;
- Quản trị tài khoản;
- Quyền quản trị;
- Điều khoản sử dụng.
Doanh nghiệp cần đọc kỹ Privacy Policy, Terms of Service và Data Processing Agreement của nhà cung cấp trước khi đưa dữ liệu nhạy cảm vào hệ thống.
4. Không phải dữ liệu nào cũng được phép đưa vào AI
Một trong những nguyên tắc quan trọng nhất mà doanh nghiệp cần xây dựng là: Không phải dữ liệu nào cũng được phép đưa vào AI.
Có thể chia dữ liệu thành 4 nhóm.
Nhóm 1: Dữ liệu công khai
Ví dụ:
- Thông tin trên website;
- Văn bản pháp luật công khai;
- Thông tin báo chí.
Mức độ rủi ro tương đối thấp.
Nhóm 2: Dữ liệu nội bộ
Ví dụ:
- Quy trình;
- Tài liệu đào tạo;
- Báo cáo nội bộ.
Cần kiểm soát quyền truy cập.
Nhóm 3: Dữ liệu mật
Ví dụ:
- Chiến lược kinh doanh;
- Kế hoạch đầu tư;
- Giá thầu;
- Bí mật thương mại;
- Thông tin chưa công bố.
Không nên đưa vào AI công cộng nếu chưa có đánh giá rủi ro và cơ chế bảo vệ phù hợp.
Nhóm 4: Dữ liệu cá nhân và dữ liệu nhạy cảm
Ví dụ:
- Thông tin nhận dạng;
- Thông tin tài chính;
- Thông tin sức khỏe;
- Hồ sơ nhân sự;
- Dữ liệu khách hàng.
Đây là nhóm cần mức độ kiểm soát cao nhất.
Doanh nghiệp cần xem xét:
- Mục đích xử lý;
- Căn cứ pháp lý;
- Phạm vi dữ liệu;
- Thời gian lưu trữ;
- Bên thứ ba;
- Chuyển dữ liệu;
- Bảo mật.
5. "Shadow AI": Mối nguy doanh nghiệp thường không nhìn thấy
Một trong những rủi ro lớn nhất hiện nay không đến từ hệ thống AI chính thức của doanh nghiệp.
Nó đến từ chính nhân viên.
- Một nhân viên sử dụng ChatGPT để viết email.
- Một nhân viên khác sử dụng Gemini để phân tích dữ liệu.
- Một nhân viên khác tải hợp đồng lên AI.
- Bộ phận marketing dùng AI để tạo nội dung.
- Bộ phận nhân sự dùng AI để lọc CV.
- Không ai báo cáo cho bộ phận IT.
- Không ai xin phép bộ phận pháp chế.
- Không ai biết dữ liệu đang đi đâu.
Hiện tượng này thường được gọi là: Shadow AI – AI "bóng tối" hoặc AI không được quản trị chính thức.
Shadow AI có thể tạo ra một khoảng trống quản trị rất lớn. Doanh nghiệp có thể tưởng rằng mình đang kiểm soát dữ liệu. Nhưng trên thực tế, dữ liệu có thể đang được nhân viên đưa vào hàng chục công cụ AI khác nhau. Vì vậy, việc đầu tiên doanh nghiệp cần làm không phải là cấm AI mà là: Biết nhân viên đang sử dụng AI nào và sử dụng cho mục đích gì.
6. AI và dữ liệu cá nhân: Doanh nghiệp Việt Nam cần nhìn từ đâu?
Tại Việt Nam, vấn đề bảo vệ dữ liệu cá nhân ngày càng trở thành một nội dung quan trọng trong quản trị doanh nghiệp. Khi sử dụng AI, doanh nghiệp cần xem xét đồng thời nhiều lớp nghĩa vụ pháp lý liên quan đến:
- Bảo vệ dữ liệu cá nhân;
- Quyền riêng tư;
- An ninh mạng;
- Bí mật kinh doanh;
- Bảo mật thông tin;
- Hợp đồng;
- Sở hữu trí tuệ.
Điều quan trọng là doanh nghiệp không nên chỉ hỏi: "Công cụ AI này có an toàn không?" mà cần đặt câu hỏi rộng hơn: "Việc xử lý dữ liệu thông qua công cụ AI này có phù hợp với mục đích và căn cứ pháp lý mà doanh nghiệp đang có hay không?". Đây là một sự thay đổi rất quan trọng trong tư duy quản trị.
7. AI có thể làm phát sinh "chuyển dữ liệu xuyên biên giới"
Một vấn đề đặc biệt đáng lưu ý là dữ liệu có thể được xử lý trên các hệ thống đặt ngoài lãnh thổ Việt Nam. Doanh nghiệp có thể không biết chính xác:
- Dữ liệu được lưu ở đâu;
- Dữ liệu được xử lý ở đâu;
- Nhà cung cấp sử dụng trung tâm dữ liệu nào;
- Có bên thứ ba nào tham gia xử lý không.
Điều này đặc biệt quan trọng với các lĩnh vực:
- Ngân hàng;
- Bbảo hiểm;
- Y tế;
- Thương mại điện tử;
- Viễn thông;
- Doanh nghiệp có lượng lớn dữ liệu khách hàng.
Khi sử dụng AI quốc tế, doanh nghiệp cần xem xét các vấn đề về:
- Data Transfer
- Data Residency
- Data Processing
- Cross-border Data Transfer
Đây có thể trở thành một trong những nội dung quan trọng nhất trong hợp đồng giữa doanh nghiệp Việt Nam và nhà cung cấp AI.
8. AI và dữ liệu nhân sự: Một lĩnh vực dễ bị bỏ quên
Hãy tưởng tượng doanh nghiệp sử dụng AI để tuyển dụng. Bộ phận nhân sự tải lên: CV; thông tin ứng viên; lịch sử làm việc; trình độ; đánh giá phỏng vấn. AI sau đó đưa ra danh sách: "10 ứng viên tốt nhất."
Câu hỏi đặt ra:
- AI đã đánh giá dựa trên tiêu chí nào?
- Có yếu tố thiên kiến không?
- Ứng viên có biết dữ liệu của họ được phân tích bằng AI không?
- Có con người kiểm tra kết quả không?
- Nếu AI loại nhầm ứng viên, ai chịu trách nhiệm?
Đây là lý do AI trong tuyển dụng và quản lý nhân sự đang trở thành một trong những lĩnh vực được quan tâm trong các khung pháp lý AI trên thế giới.
Doanh nghiệp không nên để AI trở thành một "hộp đen" quyết định: ai được tuyển; ai bị loại; ai được thăng chức; ai bị đánh giá thấp. Các quyết định liên quan trực tiếp đến quyền lợi con người cần có cơ chế giám sát phù hợp.
9. AI và bí mật kinh doanh: Một rủi ro lớn đối với doanh nghiệp
Không phải tất cả dữ liệu cần bảo vệ đều là dữ liệu cá nhân. Một doanh nghiệp có thể không chứa dữ liệu cá nhân nhưng vẫn có những thông tin cực kỳ nhạy cảm: công thức sản phẩm; bản thiết kế; giá thành; chiến lược đấu thầu; danh sách khách hàng; kế hoạch M&A; chiến lược kinh doanh; thông tin nghiên cứu và phát triển.
Nếu nhân viên đưa những thông tin này vào một công cụ AI không được doanh nghiệp phê duyệt, hậu quả có thể rất nghiêm trọng.
Vấn đề lúc này không chỉ là: Data Privacy mà còn là: Trade Secret Protection
Doanh nghiệp có thể mất quyền kiểm soát đối với thông tin mà mình từng coi là bí mật.
Vì vậy, chính sách AI nội bộ cần quy định rõ: Những loại thông tin nào tuyệt đối không được đưa vào AI công cộng?
10. AI và sở hữu trí tuệ: Dữ liệu đầu vào cũng có thể là vấn đề
Một nhân viên có thể đưa vào AI:
- một bài viết của đối thủ;
- một hình ảnh có bản quyền;
- một đoạn mã phần mềm;
- một thiết kế;
- một tài liệu được cấp phép hạn chế.
Sau đó yêu cầu: "Hãy viết lại" hoặc: "Hãy tạo một phiên bản tương tự".
Doanh nghiệp có thể vô tình tạo ra sản phẩm có nguy cơ xâm phạm quyền sở hữu trí tuệ.
Do đó, khi sử dụng AI, doanh nghiệp cần kiểm soát cả: Input và Output.
Không chỉ cần hỏi: "Nội dung AI tạo ra có vi phạm bản quyền không?" mà còn phải hỏi: "Dữ liệu chúng ta đưa vào AI có được phép sử dụng hay không?".
11. AI Agent sẽ làm rủi ro dữ liệu trở nên phức tạp hơn
Generative AI đã tạo ra nhiều vấn đề. Nhưng AI Agent có thể khiến vấn đề trở nên phức tạp hơn. Hãy tưởng tượng một AI Agent được cấp quyền truy cập: email; CRM; kho tài liệu; hệ thống kế toán; lịch làm việc.
AI Agent có thể tự động:
- đọc email;
- tìm thông tin khách hàng;
- phân tích hợp đồng;
- lập báo cáo;
- gửi email;
- cập nhật CRM.
Một AI Agent như vậy có thể xử lý lượng dữ liệu rất lớn. Và nếu quyền truy cập không được thiết kế đúng, AI Agent có thể trở thành một "điểm tập trung rủi ro". Đó là lý do doanh nghiệp cần chuyển từ: Data Governance sang: AI Data Governance và trong tương lai: Agent Governance
12. Doanh nghiệp cần xây dựng "AI Data Governance"
Một hệ thống AI Data Governance nên trả lời ít nhất 7 câu hỏi.
1. AI được phép truy cập dữ liệu nào?
Không cấp quyền rộng hơn mức cần thiết.
2. Dữ liệu nào được phép đưa vào AI?
Phân loại rõ dữ liệu công khai, nội bộ, mật và dữ liệu cá nhân.
3. AI xử lý dữ liệu ở đâu?
Xác định nơi lưu trữ và xử lý.
4. Ai có quyền sử dụng AI?
Không phải nhân viên nào cũng cần quyền như nhau.
5. AI có được lưu dữ liệu không?
Cần hiểu rõ chính sách lưu trữ.
6. Dữ liệu được sử dụng vào mục đích gì?
Phải phù hợp với mục đích xử lý đã xác định.
7. Khi nào dữ liệu phải được xóa?
Doanh nghiệp cần có chính sách về thời gian lưu trữ và xóa dữ liệu.
13. Doanh nghiệp nên xây dựng "AI Policy" như thế nào?
Một chính sách sử dụng AI nội bộ nên có ít nhất 10 nội dung:
1. Phạm vi áp dụng
Áp dụng cho ai và hệ thống nào?
2. Công cụ AI được phép sử dụng
Danh sách AI được doanh nghiệp phê duyệt.
3. Công cụ AI bị hạn chế
Những công cụ không được sử dụng cho dữ liệu doanh nghiệp.
4. Dữ liệu bị cấm đưa vào AI
Ví dụ:
- dữ liệu cá nhân nhạy cảm;
- bí mật kinh doanh;
- thông tin khách hàng;
- dữ liệu chưa công bố.
5. Quy trình phê duyệt
Ai được quyền phê duyệt việc sử dụng AI?
6. Kiểm soát đầu ra
Nội dung AI tạo ra phải được con người kiểm tra.
7. Quyền sở hữu trí tuệ
Xác định quyền sử dụng nội dung do AI tạo ra.
8. Bảo mật
Quy định về bảo vệ dữ liệu.
9. Trách nhiệm
Xác định ai chịu trách nhiệm khi AI gây ra sai sót.
10. Xử lý sự cố
Có cơ chế báo cáo và ứng phó khi dữ liệu bị lộ hoặc sử dụng sai.
14. Checklist 12 câu hỏi doanh nghiệp cần trả lời ngay hôm nay
Doanh nghiệp có thể bắt đầu bằng một cuộc rà soát nội bộ.
1. Nhân viên đang sử dụng những công cụ AI nào?
2. Những công cụ nào được doanh nghiệp chính thức phê duyệt?
3. Nhân viên có đưa dữ liệu khách hàng vào AI không?
4. Có đưa dữ liệu nhân sự vào AI không?
5. Có đưa bí mật kinh doanh vào AI không?
6. Có đưa hợp đồng vào AI không?
7. Dữ liệu được xử lý ở đâu?
8. Nhà cung cấp AI có thể sử dụng dữ liệu như thế nào?
9. Doanh nghiệp có chính sách AI nội bộ không?
10. Doanh nghiệp có phân loại dữ liệu trước khi sử dụng AI không?
11. Có cơ chế phê duyệt và giám sát con người không?
12. Nếu xảy ra sự cố dữ liệu, ai chịu trách nhiệm?
Nếu câu trả lời cho nhiều câu hỏi là: "Không biết." thì doanh nghiệp có thể đang có một khoảng trống quản trị AI đáng kể.
15. 7 nguyên tắc vàng khi doanh nghiệp sử dụng AI
Doanh nghiệp có thể bắt đầu bằng 7 nguyên tắc đơn giản:
- Nguyên tắc 1: Không đưa dữ liệu nhạy cảm vào AI công cộng nếu chưa được phê duyệt.
- Nguyên tắc 2: Luôn biết dữ liệu được xử lý ở đâu.
- Nguyên tắc 3: Không sử dụng AI để thay thế hoàn toàn quyết định của con người trong các lĩnh vực rủi ro cao.
- Nguyên tắc 4: Mọi công cụ AI doanh nghiệp sử dụng cần được kiểm kê.
- Nguyên tắc 5: Mọi dữ liệu đưa vào AI cần được phân loại.
- Nguyên tắc 6: Mọi nội dung quan trọng do AI tạo ra cần được con người kiểm tra.
- Nguyên tắc 7: Mọi doanh nghiệp sử dụng AI nên có chính sách AI nội bộ.
16. Từ "Privacy by Design" đến "AI by Design"
Trong lĩnh vực bảo vệ dữ liệu, một nguyên tắc quan trọng là: Privacy by Design. Tức là quyền riêng tư cần được tính đến ngay từ khi thiết kế hệ thống. Trong thời đại AI, doanh nghiệp có thể cần mở rộng tư duy này thành: AI Governance by Design
Ngay từ khi triển khai một hệ thống AI, doanh nghiệp cần xác định:
- AI được phép làm gì;
- AI được truy cập dữ liệu nào;
- Dữ liệu được xử lý ra sao;
- Ai chịu trách nhiệm;
- Con người giám sát như thế nào;
- Nếu xảy ra sự cố thì làm gì.
Không nên đợi đến khi hệ thống AI đã vận hành rồi mới bắt đầu nghĩ đến pháp lý. Bởi khi đó, chi phí sửa chữa có thể lớn hơn rất nhiều so với chi phí thiết kế ngay từ đầu.
17. Doanh nghiệp Việt Nam nên làm gì trong năm 2026?
Trong bối cảnh pháp luật AI trên thế giới đang phát triển nhanh, doanh nghiệp Việt Nam có thể triển khai một lộ trình gồm 5 bước.
Bước 1: Kiểm kê AI
Lập danh sách tất cả công cụ AI đang được sử dụng.
Bước 2: Kiểm kê dữ liệu
Xác định dữ liệu nào đang được đưa vào AI.
Bước 3: Đánh giá rủi ro
Phân loại theo:
- Dữ liệu cá nhân;
- Dữ liệu nhạy cảm;
- Bí mật kinh doanh;
- Sở hữu trí tuệ.
Bước 4: Xây dựng AI Policy
Quy định rõ: Được dùng gì? Không được dùng gì? Ai chịu trách nhiệm?
Bước 5: Thiết lập AI Governance
Kết nối: Pháp chế + Công nghệ + An ninh mạng + Dữ liệu + Quản trị rủi ro
Đây là cách tiếp cận bền vững hơn so với việc để từng phòng ban tự sử dụng AI theo cách riêng.
Kết luận: AI không đáng sợ, nhưng việc sử dụng AI thiếu kiểm soát có thể tạo ra rủi ro lớn
AI đang trở thành một phần không thể thiếu trong hoạt động doanh nghiệp.
Nó giúp: tăng năng suất; giảm chi phí; tự động hóa; nâng cao chất lượng công việc.
Nhưng AI cũng đang tạo ra một lớp rủi ro mới:
- Dữ liệu cá nhân.
- Quyền riêng tư.
- Bí mật kinh doanh.
- Sở hữu trí tuệ.
- An ninh mạng.
- Trách nhiệm pháp lý.
Đặc biệt, khi AI Agent bắt đầu có khả năng tự truy cập và xử lý dữ liệu thay con người, câu hỏi sẽ không còn là: "Nhân viên có được dùng ChatGPT hay không?" mà sẽ trở thành: "Doanh nghiệp đã xây dựng hệ thống quản trị AI và dữ liệu đủ an toàn hay chưa?".
Trong kỷ nguyên AI, doanh nghiệp có thể không thể kiểm soát mọi công nghệ mà nhân viên sử dụng, nhưng doanh nghiệp hoàn toàn có thể kiểm soát:
- Dữ liệu nào được phép đưa vào AI.
- AI được phép truy cập dữ liệu nào.
- AI được phép thực hiện hành động gì.
- Và ai chịu trách nhiệm khi có sự cố.
Đó chính là nền tảng của AI Governance, AI Compliance và AI Data Governance. Và với mỗi doanh nghiệp, thời điểm tốt nhất để xây dựng những nguyên tắc này không phải là sau khi xảy ra sự cố mà là trước khi sự cố xảy ra.
Góc nhìn từ LawConnect365
Sự phát triển của AI đang tạo ra một lĩnh vực tư vấn pháp lý mới, nơi luật công nghệ, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ, an ninh mạng và quản trị doanh nghiệp giao thoa với nhau.
Doanh nghiệp sử dụng AI có thể cần tư vấn về: AI Governance → AI Compliance → Data Governance → Privacy → Cybersecurity → Intellectual Property → Contract → Liability
Trong tương lai, một AI Policy tốt có thể trở thành một phần quan trọng trong hệ thống quản trị doanh nghiệp, tương tự như chính sách bảo mật thông tin hoặc quy trình quản lý rủi ro.
Đối với doanh nghiệp Việt Nam, đây cũng là thời điểm phù hợp để chủ động rà soát:
- Chính sách sử dụng AI;
- Quy trình xử lý dữ liệu cá nhân;
- Hợp đồng với nhà cung cấp AI;
- Quyền sở hữu trí tuệ đối với dữ liệu và nội dung AI;
- Quy trình kiểm soát AI Agent;
- Cơ chế giám sát và xử lý sự cố.
AI có thể giúp doanh nghiệp làm việc nhanh hơn. Nhưng chỉ có quản trị tốt mới giúp doanh nghiệp sử dụng AI một cách an toàn và bền vững.
Tác giả bài viết: admin@lawconnect365.vn
0 Bình luận