Dán dữ liệu khách hàng vào ChatGPT, công cụ AI: có sao không?

Chuyện đang xảy ra hằng ngày

Lấy một shop online tưởng tượng. Nhân viên chăm sóc khách hàng chép 200 tin nhắn khiếu nại, kèm tên, số điện thoại, địa chỉ của khách, dán vào một công cụ AI miễn phí và hỏi "tóm tắt giúp tôi khách hay phàn nàn gì nhất". Kết quả rất hữu ích. Nhưng 200 bộ dữ liệu cá nhân vừa được gửi tới máy chủ của một công ty khác, có thể ở nước ngoài, theo điều khoản mà không ai trong shop từng đọc.

Không ai cố ý làm sai. Đó là lý do cần quy tắc rõ ràng hơn là trông vào sự cẩn thận của từng người.

Vì sao đây là chuyện của luật dữ liệu

Nếu việc dùng công cụ bị coi là chuyển dữ liệu xuyên biên giới, doanh nghiệp phải lập hồ sơ đánh giá tác động chuyển dữ liệu và gửi trong 60 ngày kể từ ngày đầu tiên chuyển (Luật 91/2025/QH15, Điều 20 khoản 2). Miễn trừ cho doanh nghiệp nhỏ ở Điều 38 không nhắc Điều 20. Không lập, không nộp hồ sơ đúng hạn bị phạt 30–50 triệu đồng; không bảo đảm sự đồng ý của khách với mục đích chuyển, hoặc không báo khách việc dữ liệu được chuyển ra nước ngoài, tổ chức nhận và mục đích xử lý, bị phạt 50–100 triệu đồng (Nghị định 330/2026/NĐ-CP, Điều 56 khoản 1, khoản 2 điểm b; mức của tổ chức, cá nhân một nửa). Xem dùng Facebook, Google có phải chuyển dữ liệu ra nước ngoài.

Dùng AI mà vẫn giữ được dữ liệu khách

1. Bỏ thông tin nhận dạng trước khi dán. Thay tên bằng "Khách A", xoá số điện thoại, địa chỉ, mã đơn. Với việc tóm tắt khiếu nại, nội dung khiếu nại là đủ. Luật có nói về khử nhận dạng dữ liệu cá nhân (Điều 14); dữ liệu đã bỏ tên có còn được coi là dữ liệu cá nhân không thì bài này chưa đối chiếu, nhưng rủi ro thấp hơn hẳn.

2. Không bao giờ dán dữ liệu nhạy cảm. Ảnh CCCD, hồ sơ bệnh, sao kê ngân hàng đều nằm trong danh mục dữ liệu nhạy cảm (Nghị định 356/2025/NĐ-CP, Điều 4).

3. Chọn công cụ có điều khoản rõ. Đọc phần dữ liệu trong điều khoản: dữ liệu lưu ở đâu, giữ bao lâu, có dùng để huấn luyện mô hình không, có tắt được không. Với gói dùng cho doanh nghiệp, nhà cung cấp thường có điều khoản xử lý dữ liệu riêng; hãy lưu lại bản đã đồng ý. Đây là thoả thuận với một đối tác nhận dữ liệu, giống như với phần mềm bán hàng; xem chia sẻ dữ liệu khách hàng cho đối tác.

4. Ghi vào chính sách. Nếu doanh nghiệp dùng công cụ AI có xử lý dữ liệu khách, nêu trong chính sách bảo vệ dữ liệu: dùng để làm gì, nhà cung cấp nào, ở đâu.

Quy tắc nội bộ mẫu

Mẫu tham khảo, sửa theo doanh nghiệp:

QUY TẮC DÙNG CÔNG CỤ AI VỚI DỮ LIỆU KHÁCH HÀNG

1. Chỉ dùng công cụ AI do công ty chọn, bằng tài khoản công ty.
2. Trước khi dán, xoá: họ tên, số điện thoại, email, địa chỉ,
   mã đơn, số CCCD, ảnh có mặt người.
3. Không dán: ảnh giấy tờ, thông tin sức khoẻ, thông tin ngân hàng,
   dữ liệu của trẻ em.
4. Không dán cả danh sách khách hàng, kể cả để "lọc trùng".
5. Không rõ thì hỏi [người phụ trách dữ liệu].
6. Lỡ dán dữ liệu nhận dạng: báo ngay [người phụ trách dữ liệu]
   trong ngày.

Mục 6 quan trọng: nếu việc lỡ dán là một vi phạm có thể gây tổn hại cho khách, mốc báo cơ quan chuyên trách là 72 giờ kể từ khi phát hiện (Luật 91/2025/QH15, Điều 23). Một lần dán nhầm có tới ngưỡng đó không thì chưa có hướng dẫn chi tiết; xem lộ dữ liệu khách hàng: làm gì trong 72 giờ.

Bạn cần làm gì

• Hỏi nhân viên đang dùng công cụ AI nào, cho việc gì, có dán dữ liệu khách không.
• Chọn một hai công cụ, đọc điều khoản dữ liệu, lưu lại bản đã đồng ý.
• Ban hành quy tắc nội bộ như mẫu trên.
• Tập cho nhân viên thói quen thay tên khách bằng "Khách A".
• Ghi việc dùng AI vào chính sách bảo vệ dữ liệu.
• Hỏi luật sư: công cụ đang dùng có làm phát sinh hồ sơ chuyển dữ liệu xuyên biên giới không.

Muốn biết nghĩa vụ ban đầu của doanh nghiệp, dùng kiểm tra nghĩa vụ.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 2, 9, 14, 20, 23, 30, 38.
• Nghị định 356/2025/NĐ-CP, Điều 4 (dữ liệu nhạy cảm).
• Nghị định 330/2026/NĐ-CP, Điều 56: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.