Rủi ro AI trong doanh nghiệp: viết chính sách nội bộ một trang

Một sự thật mà đa số giám đốc Việt chưa muốn nhìn thẳng: nhân viên của bạn ĐANG dùng AI hằng ngày — dán email khách vào ChatGPT nhờ soạn trả lời, dán bảng giá nội bộ nhờ phân tích, dán hợp đồng nhờ tóm tắt — bất kể công ty đã cho phép hay chưa. Cấm là vô ích (họ dùng điện thoại cá nhân) và dại (mất năng suất thật). Lối đúng duy nhất: đi trước bằng một chính sách rõ ràng — và kinh nghiệm cho thấy chính sách hiệu quả nhất dài đúng một trang, vì chính sách 20 trang không ai đọc chính là không có chính sách. Bài này điểm mặt bốn rủi ro thật và đưa mẫu một trang dùng được ngay.

Bốn rủi ro thật — không phải nỗi sợ phim viễn tưởng

• Lộ dữ liệu: thông tin dán vào AI công cộng rời khỏi tầm kiểm soát của công ty; với dữ liệu cá nhân của khách còn chạm thẳng Nghị định 13/2023. Đây là rủi ro lớn nhất và đang xảy ra hằng ngày.
• AI bịa (hallucination): số liệu, điều khoản, án lệ do AI tạo trông thật đến mức nguy hiểm — báo giá sai một con số, cam kết nhầm một điều khoản là thiệt hại tiền thật.
• Pháp lý bản quyền: nội dung AI tạo có thể vướng quyền tác giả; logo, hình ảnh thương mại cần cẩn trọng gấp đôi.
• Phụ thuộc ngầm: quy trình quan trọng chạy trên prompt trong đầu một nhân viên — người đó nghỉ là quy trình sập; kỹ năng thẩm định của đội mòn dần nếu mọi thứ "hỏi AI là xong".

Mẫu chính sách AI một trang

Cấu trúc bốn khối, điền vào là ban hành được. Khối 1 — Tinh thần (2 câu): "Công ty khuyến khích dùng AI để làm việc tốt hơn. Chính sách này bảo vệ khách hàng, công ty và chính bạn." Khối 2 — Đèn xanh (được dùng thoải mái): soạn nháp nội dung không chứa dữ liệu mật, tra cứu kiến thức, tóm tắt tài liệu công khai, brainstorm, dịch thuật tài liệu không nhạy cảm. Khối 3 — Đèn đỏ (cấm tuyệt đối): dán dữ liệu cá nhân của khách (tên + số điện thoại + giao dịch...) vào công cụ AI công cộng; dán giá vốn, lương, hợp đồng, mã nguồn độc quyền; dùng AI tạo nội dung mạo danh; gửi bất cứ thứ gì AI tạo cho khách/đối tác mà chưa người kiểm. Khối 4 — Luật vàng (3 dòng): mọi đầu ra AI gửi ra ngoài công ty phải có người duyệt; không chắc thì hỏi [tên người phụ trách]; vi phạm dữ liệu khách xử lý như vi phạm bảo mật.

Ban hành không gây sốc: ba bước

Bước một, hợp pháp hoá hiện trạng: mở buổi 30 phút nói thẳng "công ty biết mọi người đang dùng AI, điều đó tốt, đây là luật chơi để dùng an toàn" — thái độ này khiến chính sách được đón nhận thay vì bị lách. Bước hai, cung cấp đường chính danh: chỉ rõ công cụ nào công ty duyệt cho việc gì (tài khoản AI công ty trả phí cho nội dung; dữ liệu khách hàng thì dùng AI tích hợp trong CRM — nơi dữ liệu không rời hệ thống đã kiểm soát); có đường chính danh tốt, chẳng ai cần đường vòng. Bước ba, một người phụ trách + nhịp xem lại mỗi quý: AI thay đổi từng tháng, chính sách đóng băng một năm sẽ thành giấy dán tường. Mẫu chính sách đầy đủ (bản Word điền sẵn) sẽ có trong ebook "Chính sách AI nội bộ" tại mục Download Ebook của ttis.vn — cùng chuyên đề với bài này.

Lối an toàn nhất cho dữ liệu khách hàng vẫn là nguyên tắc kiến trúc: AI đến với dữ liệu thay vì dữ liệu đến với AI — tức dùng năng lực AI tích hợp sẵn trong hệ thống đã kiểm soát như Oh CRM (tóm tắt hồ sơ, chấm điểm, dự báo chạy ngay trong CRM, không dán ra ngoài). Dùng thử miễn phí tại ttis.vn/dung-thu.