Trước khi đưa tài liệu công ty lên AI: kiểm tra dữ liệu và quyền truy cập

Không thể kết luận việc đưa tài liệu công ty lên AI là an toàn chỉ từ tên công cụ hoặc một lời quảng cáo “bảo mật”. Trước khi tải lên, doanh nghiệp cần biết tài liệu chứa gì, mình có quyền xử lý và chia sẻ đến đâu, nhà cung cấp sẽ dùng dữ liệu thế nào, ai được truy cập và khi nào dữ liệu được xóa.

Cách bắt đầu ít rủi ro hơn là thử bằng tài liệu giả định hoặc bản đã giảm dữ liệu đến mức cần thiết. Nếu chưa trả lời được câu hỏi về quyền chia sẻ hoặc cách xử lý dữ liệu, hãy dừng việc tải bản thật và hỏi người có trách nhiệm.

Có file không đồng nghĩa được phép đưa lên công cụ khác

Nhân viên có thể được quyền đọc hợp đồng để làm việc nhưng chưa chắc được quyền chuyển hợp đồng cho một nhà cung cấp mới. Hồ sơ có thể chứa thông tin của khách hàng, nhân viên, đối tác hoặc điều khoản bảo mật với phạm vi sử dụng riêng.

Vì vậy, câu hỏi đầu tiên không phải “AI có đọc được PDF không?” mà là “ai cho phép xử lý tài liệu này cho mục đích này, trong công cụ này?”. Quyền truy cập nội bộ và quyền chia sẻ cho bên ngoài cần được xem xét riêng.

Nếu tài liệu liên quan đến khách hàng hoặc đối tác, kiểm tra cam kết bảo mật và phạm vi xử lý đã thống nhất. Mẫu thỏa thuận bảo mật thông tin giúp hình dung những nội dung cần làm rõ, nhưng có một thỏa thuận bảo mật không tự động giải quyết mọi yêu cầu về dữ liệu cá nhân.

Phân loại theo nội dung, không chỉ theo tên thư mục

Có thể dùng bốn nhóm làm quy tắc vận hành nội bộ ban đầu. Đây không phải hệ thống phân loại pháp lý đầy đủ và một tài liệu có thể thuộc nhiều nhóm.

Nhóm	Ví dụ	Việc cần làm trước khi dùng AI
Đã công khai	Tài liệu giới thiệu đã phát hành	Kiểm tra quyền sử dụng và tránh ghép thêm dữ liệu kín
Nội bộ	Hướng dẫn thao tác, mẫu biểu chưa phát hành	Xác nhận công cụ được phép và phạm vi người xem
Bí mật kinh doanh hoặc theo cam kết	Giá riêng, chiến lược, hợp đồng khách hàng	Kiểm tra thẩm quyền, nghĩa vụ và phương án giảm dữ liệu
Có dữ liệu cá nhân	Danh sách liên hệ, hồ sơ nhân sự	Đánh giá mục đích, căn cứ xử lý và yêu cầu bảo vệ áp dụng

Đừng để nhãn “nội bộ” che khuất dữ liệu cá nhân nằm trong phụ lục. Ngược lại, tài liệu từng công khai cũng không có nghĩa mọi cách thu thập, kết hợp hoặc sử dụng dữ liệu bên trong đều được phép.

Chỉ lấy phần thực sự cần cho câu hỏi

Nếu mục tiêu là sửa giọng văn của một thông báo, thường không cần tên thật, số điện thoại hoặc danh sách nhân viên. Nếu mục tiêu là tìm cấu trúc bảng bàn giao, có thể dùng một mẫu giả định thay vì hồ sơ đã ký.

Hãy tách đoạn cần xử lý, bỏ trang không liên quan và thay thông tin nhận diện bằng mã. Kiểm tra cả tên file, bình luận, lịch sử sửa đổi, ảnh nhúng và bảng ẩn nếu có. Khi che trên PDF hoặc ảnh, dùng phương pháp loại bỏ nội dung thực sự, không chỉ đặt một hình chữ nhật lên trên rồi để chữ bên dưới vẫn sao chép được.

Sau khi xuất bản đã xử lý, mở lại và thử tìm kiếm hoặc sao chép nội dung nhạy cảm. Nhờ người thứ hai kiểm tra khi dữ liệu quan trọng. Không tải lên để “nhờ AI tìm hộ thông tin cần che”, vì như vậy dữ liệu đã được chuyển đi trước khi hoàn thành bước bảo vệ.

Ví dụ giả định về thay dữ liệu

Bản gốc của một tình huống giả định ghi: “Anh Nguyễn Văn A, phụ trách dự án X tại khách hàng B, số điện thoại [...], yêu cầu điều chỉnh giá [...] theo hợp đồng [...]”. Nếu chỉ muốn viết lại email lịch sự, có thể dùng: “Người liên hệ tại Khách hàng 01 yêu cầu điều chỉnh điều kiện thương mại. Hãy viết lời đề nghị trao đổi thêm, không cam kết mức giá”.

Bản thay thế bỏ các dữ kiện không cần cho mục đích viết câu. Tuy nhiên, thay tên bằng mã chưa chắc khiến dữ liệu trở thành vô danh. Những chi tiết như chức danh hiếm, tên dự án, thời điểm và giá trị giao dịch vẫn có thể giúp nhận ra người hoặc doanh nghiệp.

Nếu doanh nghiệp cần giữ bảng đối chiếu mã với tên thật, lưu riêng trong nơi được phép, không gửi cùng yêu cầu AI. Đối với dữ liệu vẫn có thể nhận diện lại, tiếp tục áp dụng kiểm soát phù hợp thay vì coi đã hết rủi ro.

Hỏi nhà cung cấp những gì?

Đọc chính sách và điều khoản áp dụng cho đúng gói dịch vụ, không suy từ một bài quảng cáo hoặc tính năng của gói khác. Ghi lại nguồn, ngày kiểm tra và câu trả lời chưa rõ.

• Dữ liệu đầu vào và đầu ra được lưu trong bao lâu? Có cơ chế xóa và giới hạn nào?
• Nội dung có được dùng để huấn luyện hoặc cải thiện hệ thống không? Cài đặt nào áp dụng cho tài khoản đang dùng?
• Ai có thể truy cập, gồm nhân sự hỗ trợ và nhà cung cấp phụ?
• Dữ liệu có được xử lý hoặc lưu ở nước ngoài không, và doanh nghiệp cần đánh giá nghĩa vụ nào?
• Có cách quản lý người dùng, thu hồi quyền và kiểm tra hoạt động phù hợp với nhu cầu không?
• Khi xảy ra sự cố, đầu mối liên hệ và quy trình xử lý là gì?

Nếu không tìm được thông tin cần thiết, hãy yêu cầu làm rõ trước khi dùng tài liệu nhạy cảm. Không có thông tin không phải là bằng chứng an toàn; có một tuyên bố bảo mật cũng chưa đủ để chứng minh mọi nhu cầu của doanh nghiệp được đáp ứng.

Checklist trước khi tải lên

Có thể sao chép khung sau vào phiếu kiểm tra nội bộ:

Mục đích xử lý: [...]. Loại tài liệu và phiên bản: [...]. Người có thẩm quyền xác nhận: [...]. Dữ liệu tối thiểu cần dùng: [...]. Thông tin đã loại bỏ: [...]. Công cụ và gói dịch vụ: [...]. Chính sách đã kiểm tra, ngày kiểm tra: [...]. Người được xem đầu ra: [...]. Thời điểm rà soát/xóa theo quy trình: [...]. Vấn đề chưa rõ: [...]. Kết luận: được xử lý trong phạm vi nào hoặc cần dừng để làm rõ.

Một mục chưa rõ về quyền sử dụng, thông tin nhạy cảm hoặc bên nhận dữ liệu cần được xử lý trước, không đánh dấu “đồng ý” chỉ để hoàn tất biểu mẫu. Với hồ sơ rủi ro cao, nhờ người phụ trách pháp lý, dữ liệu hoặc an toàn thông tin xem xét.

Đừng quên kết quả AI cũng có thể chứa thông tin kín

Bản tóm tắt có thể gom nhiều thông tin nhạy cảm vào một đoạn dễ gửi hơn. Hãy kiểm tra người nhận trước khi chia sẻ và không đặt đầu ra trong thư mục mở rộng quyền hơn tài liệu gốc.

AI cũng có thể suy diễn hoặc gán nhầm dữ kiện cho một người. Không dùng kết quả đó làm căn cứ tự động để quyết định tuyển dụng, kỷ luật, đánh giá tín dụng hoặc những việc ảnh hưởng lớn đến con người. Người có trách nhiệm cần kiểm tra nguồn và thực hiện quy trình phù hợp.

Khi nhân sự chuyển vai trò hoặc nghỉ việc, rà soát quyền theo quy trình của doanh nghiệp. Việc xóa một bản tải lên không mặc nhiên chứng minh mọi bản sao và dữ liệu liên quan đã bị xóa; cần hiểu phạm vi cơ chế mà nhà cung cấp cung cấp.

Lưu ý nguồn pháp luật hiện hành

Tại thời điểm kiểm tra ngày 25/10/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã có hiệu lực từ 01/01/2026. Nghị định 356/2025/NĐ-CP hướng dẫn thi hành và quy định Nghị định 13/2023/NĐ-CP hết hiệu lực từ cùng ngày. Vì vậy không nên chỉ dựa vào hướng dẫn cũ nhắc Nghị định 13.

Việc dùng nền tảng hoặc dịch vụ ở nước ngoài có thể cần xem xét quy định về chuyển dữ liệu xuyên biên giới theo tình huống thực tế. Không thể kết luận tất cả công cụ AI đều bị cấm hoặc mọi tài khoản doanh nghiệp đều đáp ứng yêu cầu. Bài viết là checklist vận hành, không thay cho đánh giá pháp lý cụ thể.

Bắt đầu nhỏ, giữ quyền kiểm soát

Sau khi xác định phạm vi được phép, tham khảo cách thử AI trong một quy trình nhỏ và lộ trình ứng dụng AI cho doanh nghiệp nhỏ.

Bạn có thể tìm hiểu giải pháp sắp xếp hồ sơ của TailieuAI, hiện ở giai đoạn beta, bằng tài liệu giả định trước. Hãy kiểm tra tính năng và chính sách áp dụng cho nhu cầu thật; bài viết này không xác nhận chứng chỉ bảo mật, nơi lưu dữ liệu hay cam kết an toàn nào của sản phẩm.