Đưa AI vào công ty mà không rò dữ liệu: kiểm gì trước

Nhiều công ty chưa họp bàn cách đưa AI vào công ty thì nhân viên đã tự dùng trước rồi. Kinh doanh dán nguyên hợp đồng vào công cụ AI để tóm tắt. Kế toán dán danh sách khách để lọc theo doanh số. Lập trình viên dán 1 đoạn mã để hỏi vì sao báo lỗi. Không ai làm vậy để phá công ty. AI giúp xong việc nhanh hơn vài lần so với làm tay. Vấn đề nằm ở chỗ khác. Công ty chưa biết chuyện này đang diễn ra. Chưa ai kiểm dữ liệu đi đâu sau khi dán vào ô chat.

Bài này không khuyên tránh xa AI. Dùng đúng cách vẫn lợi hơn hại. Bài đưa checklist 4 nhóm để duyệt dùng chính thức, thay vì để nhân viên tự dán dữ liệu vào bất kỳ công cụ nào họ tìm được.

Vì sao đưa AI vào công ty mà không kiểm dữ liệu là rủi ro thật

Rủi ro không nằm ở bản thân AI. Nó nằm ở chỗ dữ liệu nhập vào có thể bị lưu lại, dùng để huấn luyện mô hình, hoặc đặt trên máy chủ ở 1 nước khác với quy định khác hẳn Việt Nam. Một hợp đồng có điều khoản bảo mật mà dán vào công cụ công cộng là đã vi phạm điều khoản đó ngay từ lần dán đầu tiên. Dù không ai cố ý làm sai. Dán tay vào công cụ chat công cộng là 1 kiểu rủi ro. Ghép AI vào quy trình bằng AI Workflow n8n chạy trên hạ tầng riêng là kiểu khác, ít phụ thuộc thói quen từng người.

4 nhóm cần kiểm trước khi đưa AI vào công ty

Kiểm đủ 4 nhóm trước khi cho dùng chính thức. Dữ liệu nào cấm đưa vào. Điều khoản công cụ nói gì. Ai được cấp tài khoản. Quy định nội bộ viết ra sao. Thiếu 1 nhóm là còn lỗ hổng.

Nhóm 1: dữ liệu nào tuyệt đối không đưa vào

• Thông tin cá nhân khách hàng: tên, số điện thoại, địa chỉ, số căn cước, lịch sử giao dịch.
• Hợp đồng có điều khoản bảo mật, kể cả bản nháp chưa ký.
• Mã nguồn lõi: phần xử lý thanh toán, thuật toán tính giá, khoá API còn hiệu lực.
• Thông tin tài chính chưa công bố: doanh thu quý, kế hoạch sáp nhập, báo cáo nội bộ.
• Mật khẩu, khoá truy cập, thông tin đăng nhập dưới mọi hình thức.

Nhóm 2: đọc điều khoản của công cụ trước khi cấp phép dùng

• Dữ liệu nhập vào có dùng để huấn luyện mô hình không, hay chỉ xử lý rồi bỏ.
• Dữ liệu lưu bao lâu, có xoá được theo yêu cầu không.
• Máy chủ đặt ở đâu, có ràng buộc gì với dữ liệu cá nhân người Việt Nam không.
• Có tuỳ chọn tắt lưu trữ hoặc tắt huấn luyện không, tắt ở đâu trong cài đặt.
• Bản miễn phí và bản dành cho doanh nghiệp, khác nhau thế nào về điều khoản dữ liệu, đọc kỹ cả 2 mục trước khi chọn.

Nhóm 3: phân quyền và quản lý tài khoản

• Dùng tài khoản công ty cấp riêng. Không dùng tài khoản cá nhân của từng nhân viên.
• Ai được cấp quyền dùng, theo phòng ban hay theo từng người.
• Nhân viên nghỉ việc thì thu hồi quyền trong bao lâu, ai chịu trách nhiệm.
• Có ghi lại lịch sử ai dùng, dùng lúc nào, để truy vết khi có sự cố.

Nhóm 4: viết quy định nội bộ, đừng để miệng truyền miệng

• Liệt kê rõ loại dữ liệu nào được dán vào, loại nào cấm hẳn.
• Ai duyệt trường hợp đặc biệt khi cần dùng dữ liệu nhạy cảm hơn mức cho phép.
• In ngắn 1 trang, dán chỗ dễ thấy. Đừng chôn trong tài liệu dài không ai đọc.
• Có kênh báo cáo khi lỡ dán nhầm dữ liệu. Không phạt người báo cáo trung thực.

Bảng dưới liệt kê 8 loại dữ liệu thường gặp trong việc hàng ngày. Đối chiếu xem loại nào đưa vào AI được, loại nào không.

Cách bắt đầu an toàn khi mới đưa AI vào công ty

Đừng mở toang cho cả công ty dùng ngay tuần đầu. Thử với dữ liệu không nhạy cảm trước, như tóm tắt bài viết công khai hoặc soạn email mẫu chưa điền tên khách. Quan sát 2 tới 3 tuần rồi mở rộng.

• Chọn 1 phòng ban thử nghiệm trước. Không triển khai toàn công ty cùng lúc.
• Giao 1 người đầu mối theo dõi cách dùng, ghi lại câu hỏi phát sinh.
• Sau 2 tới 3 tuần, họp lại xem có phát sinh tình huống dán nhầm dữ liệu không.
• Mở rộng dần theo từng phòng ban. Không nhảy thẳng sang dữ liệu nhạy cảm nhất.

Dấu hiệu công ty đang rò rỉ dữ liệu qua AI mà không biết

Vài dấu hiệu dễ nhận ra nếu để ý. Nhân viên copy nguyên đoạn dài từ tài liệu nội bộ vào ô chat. Lịch sử trình duyệt có hơn 10 lượt truy cập công cụ AI ngoài giờ làm trong 1 tuần. Có người hỏi cách ẩn tên công ty trước khi dán dữ liệu. Dấu hiệu cuối nghe lạ nhưng khá phổ biến, vì nhân viên biết việc mình làm hơi rủi ro.

• Đoạn văn dài chứa tên khách, số hợp đồng xuất hiện trong lịch sử chat AI.
• Nhiều tài khoản cá nhân cùng truy cập công cụ AI từ mạng công ty.
• Nhân viên hỏi nhau cách ẩn tên công ty, ẩn tên khách trước khi dùng AI.
• Không ai trả lời được câu hỏi dữ liệu công ty đang nằm ở đâu ngoài hệ thống nội bộ.

Vì sao cấm hẳn công cụ AI thường phản tác dụng

Phản ứng đầu tiên của nhiều công ty là cấm hẳn, chặn luôn ở tường lửa. Cách này thường phản tác dụng. Nhân viên vẫn dùng, chỉ chuyển sang điện thoại cá nhân bằng tài khoản riêng, ngoài tầm kiểm soát của công ty hoàn toàn. Lúc đó công ty khó theo dõi hơn cả lúc chưa cấm. Không còn biết ai đang dùng, dùng cho việc gì, dán dữ liệu nào vào.

Cách hiệu quả hơn là cấp tài khoản chính thức, ra quy định rõ, để nhân viên dùng trong khuôn khổ đã kiểm. Vừa giữ năng suất tăng nhờ AI, vừa biết dữ liệu nào đang ra khỏi hệ thống công ty.

Phần pháp lý cần hỏi ai trước khi triển khai

Dữ liệu cá nhân của khách hàng và nhân viên có quy định riêng, bài này không đi sâu phần đó. Trước khi đưa AI xử lý dữ liệu liên quan thông tin cá nhân, hỏi bộ phận pháp chế hoặc luật sư tư vấn trước. Đừng tự suy đoán rồi triển khai đại trà.

Câu hỏi thường gặp khi đưa AI vào công ty

Ra quy định trước khi nhân viên tự dùng

Nhân viên đã dùng AI rồi. Dù công ty có ra quy định hay chưa. Việc cần làm không phải hỏi có nên cho dùng không. Mà là kiểm đủ 4 nhóm trong bài này rồi ra quy định trước khi có sự cố. Chờ tới lúc rò rỉ dữ liệu thật mới ra quy định thì đã muộn 1 bước.

Công ty muốn đưa AI vào quy trình mà vẫn giữ dữ liệu trên hạ tầng riêng có thể xem qua gói VPS cài sẵn n8n của BizMaC. Hoặc tham khảo thêm dịch vụ quản trị máy chủ nếu công ty đã có hệ thống riêng cần người trông coi phần vận hành.