Giải thích cho người mới · 10/2026

Chính sách dùng AI
một trang

Nhóm nhỏ không cần cuốn sổ quy định. Một tờ giấy ba cột: được làm, hỏi trước, cấm. Kèm mẫu dán được.

Ví dụ đời thường Mẫu dán được Số liệu có nguồn Danh sách kiểm
Dán cái này được không? Ai chịu trách nhiệm?
Câu hỏi của bài này

Nhóm nhỏ cần một tờ giấy, không cần cuốn sổ

1Nhiều nhóm chưa có luật chơi về AI. Mỗi người tự quyết, dữ liệu có thể đi đến chỗ không ai duyệt.
2Rủi ro lớn thường là dán nhầm dữ liệu, không chỉ là AI trả lời sai.
3Một trang là đủ để bắt đầu. Chưa ai hiểu hết bên trong AI, nên hình ảnh chỉ để dễ nhớ. Đây không phải tư vấn pháp lý.
Hình dung trước

Tờ giấy dán cửa tủ trong bếp chung

Không có tờ giấy

Mỗi người tự đoán

Dao thớt sống và chín dùng chung, đồ hết hạn nằm trong tủ lạnh. Không ai biết hỏi ai.

Có tờ giấy

Cứ dùng, hỏi trước, không bao giờ

Ngắn thì người ta đọc. Có ngày xem lại thì không lỗi thời. Có tên người giữ thì có chỗ để hỏi.

Chính sách tốt cho nhóm nhỏ: tờ giấy dán cửa tủ, không phải cuốn sổ trong ngăn kéo.
Từ khó, nói dễ

Sáu từ sẽ gặp trong bài

Chính sách dùng AI

tên kỹ thuật: AI use policy

Tờ nội quy ngắn: được làm, cần hỏi, không được làm gì với AI.

Phân loại dữ liệu

tên kỹ thuật: data classification

Gắn nhãn thông tin theo độ nhạy cảm, như đồ để ngoài tủ hay trong két.

Công cụ đã duyệt

tên kỹ thuật: approved tool

Công cụ AI nhóm đã đọc điều khoản và đồng ý cho dùng, như nhà cung cấp đã qua kiểm tra.

Người chịu trách nhiệm

tên kỹ thuật: accountability

Người ký nhận kết quả và trả lời khi có chuyện. AI không đứng tên được.

Dùng AI ngoài tầm nhìn

tên kỹ thuật: shadow AI

Tự dùng công cụ chưa duyệt vì tiện, như nấu bằng bếp riêng ngoài bếp chung.

Sự cố

tên kỹ thuật: incident

Việc làm lộ hoặc có nguy cơ làm lộ dữ liệu, hoặc để lỗi tới tay khách.

Số liệu · Stack Overflow 2026

Nhiều nơi chưa có luật chơi

Để cá nhân tự quyết29,7%
Có công cụ hoặc chính sách24%

Phần trăm người trả lời khảo sát nói về nơi làm việc của họ. Đọc qua bản tin IT Brief.

Khoảng trống chính sách là chuyện thường gặp. Nhóm bạn không lẻ loi.

Chưa đối chiếu bảng gốc. Mẫu là người chịu trả lời, không đại diện mọi nhóm nhỏ.

Ca được tường thuật · 2023

Một thói quen bình thường là đủ

2023

theo Bloomberg và các báo thuật lại: kỹ sư bị tường thuật đã đưa mã nguồn nội bộ lên ChatGPT

Công ty sau đó hạn chế công cụ AI tạo sinh trên máy tính, điện thoại và mạng của công ty, và nói vi phạm có thể bị kỷ luật.

Chưa mở được tin gốc. Các nguồn không thống nhất về việc lệnh hạn chế là tạm thời hay lâu dài.

Rủi ro nằm ở hành vi dán dữ liệu. Cần một quy tắc nói rõ dữ liệu nào không được dán.
Tờ giấy một trang

Ba cột: được, hỏi trước, cấm

Được làm
  • Công cụ đã duyệt, dữ liệu công khai và nội bộ
  • Giải thích, viết nháp, viết test, soạn tài liệu
Hỏi trước
  • Công cụ chưa có trong danh sách
  • Dữ liệu khách hàng
  • Agent chạy lệnh cài hoặc deploy
Cấm
  • Dán khóa, mật khẩu, dữ liệu cá nhân thật
  • Tài khoản miễn phí cá nhân cho dữ liệu khách
  • Gộp code AI chưa ai đọc
Bốn mức dữ liệu

Bốn mức dữ liệu, nói bằng lời thường

1Công khai: ai cũng đã thấyDùng công cụ đã duyệt thoải mái
2Nội bộ: của nhóm, lộ ra thì ngạiChỉ công cụ đã duyệt
3Khách hàng: đã hứa giữ kínHỏi trước, và chỉ khi điều khoản cho phép
4Bí mật: lộ ra là thiệt hại thậtKhóa, mật khẩu, token, dữ liệu cá nhân thật. Không bao giờ đưa vào AI
Mẫu để dán

Mẫu để dán và sửa trong 30 phút

CHÍNH SÁCH DÙNG AI CỦA NHÓM [tên]
Người giữ: [tên] Xem lại: [ngày + 90 ngày]

ĐƯỢC: công cụ đã duyệt, dữ liệu Công khai, Nội bộ
HỎI TRƯỚC: công cụ mới, dữ liệu Khách hàng,
agent chạy lệnh cài hoặc deploy
CẤM: khóa, mật khẩu, dữ liệu cá nhân thật,
code AI chưa ai đọc
SỰ CỐ: dừng, báo trong 1 giờ, ghi lại, đổi khóa

Bảy mục còn lại: công cụ đã duyệt, ai đọc kết quả, ai chịu trách nhiệm, nói với khách, ghi một dòng, sự cố, ngày xem lại.

Điền xong, bỏ bớt cái nhóm bạn không cần. Một trang mới là mục tiêu.

Minh họa, không có thật

Ví dụ: nhóm sáu người điền mẫu

1Công cụ đã duyệtMột dịch vụ trả phí của nhóm, đã đọc điều khoản về dữ liệu. Tài khoản cá nhân miễn phí không nằm trong danh sách
2Hỏi trướcMọi việc chạm dữ liệu khách, mỗi lần cho agent cài hoặc deploy
3Nói với kháchGhi trong báo giá: có dùng AI, mọi thay đổi có người đọc, dữ liệu khách chưa đồng ý thì không đưa vào
4Xem lạiMỗi 90 ngày, trưởng nhóm giữ
Ví dụ tính được

Tính thử: xếp 20 việc vào ba cột

tasks, people = 20, 6
allowed, ask, banned = 12, 6, 2
weekly = 20 * 6 120
asks = 120 * 6 / 20 36
minutes = 36 * 3 108

Minh họa: các số 12, 6, 2 và 3 phút mỗi lần hỏi là giả định, không phải số đo. Hãy thử với việc thật của nhóm.

Mỗi tuần có khoảng 36 lần hỏi, cỡ 108 phút, tức 1,8 giờ cho cả nhóm.

Nếu 12 trên 20 việc rơi vào “hỏi trước”: 72 lần, 3,6 giờ, và người ta sẽ ngừng hỏi.

Trong công việc

Chỗ nào chính sách cũng hỏng

1Không ai đọcGiữ một trang, dán nơi ai cũng thấy
2Quá chặt, người ta đi vòngCó công cụ thay thế đã duyệt, đếm việc rơi vào “hỏi trước”
3Quá mơ hồMỗi mức dữ liệu có ví dụ cụ thể
4Không có người chịu trách nhiệmGhi tên người bấm gộp và người giữ chính sách
5Công cụ đổi điều khoảnNgày xem lại, đọc lại điều khoản khi đổi gói
Minh họa, không có thật

Minh họa: một buổi sáng, hai kịch bản

Không có chính sách
10:05 · DevDán nguyên nhật ký lỗi, có email khách, vào chatbot công cụ cá nhân miễn phí.
10:30 · DevThấy có email thật. Không có quy trình, nên im lặng.
Tuần sau · KháchDữ liệu của chúng tôi đã đi đâu?
Có chính sách
10:05 · DevThấy dòng “dữ liệu khách thì hỏi trước”, nhắn trưởng nhóm.
10:15 · Trưởng nhómXóa email khỏi nhật ký, dùng công cụ đã duyệt, ghi một dòng.
Lỡ dán · Trưởng nhómBáo trong 1 giờ: ghi lại, đổi khóa, báo khách nếu cần.
Viết mục sự cố trước khi có sự cố. Lúc hoảng ít ai nghĩ ra các bước.
Khi có sự cố

Khi có sự cố: năm bước ngắn

1DừngNgừng việc đang làm với công cụ đó
2Báo trong một giờCho người chịu trách nhiệm, kể cả khi chưa chắc
3Ghi lạiĐã đưa gì, vào công cụ nào, lúc nào
4Xử lýĐổi khóa nếu lộ, xóa cuộc trò chuyện nếu được, hỏi nhà cung cấp về lưu dữ liệu
5Nói với khách nếu cầnTheo hợp đồng hoặc luật, rồi rút bài học vào chính sách. Báo cả khi suýt lỡ
Chỉ là con trỏ

Tiêu chuẩn và luật: đọc bản gốc

NIST AI RMF

Khung tự nguyện, 1/2023, bốn chức năng: Govern, Map, Measure, Manage. Hướng tới tổ chức lớn hơn.

ISO/IEC 42001

Tiêu chuẩn hệ thống quản lý AI, có thể được chứng nhận. Nhóm nhỏ thường chưa cần.

134/2025/QH15

Luật AI của Việt Nam, hiệu lực 1/3/2026 theo các nguồn tôi thấy. Tôi chưa đọc hết từng điều về nghĩa vụ.

Không phải tư vấn pháp lý. Hãy đọc văn bản gốc hoặc hỏi người làm pháp chế.
Danh sách kiểm

Tám câu hỏi trước khi dán lên cửa

1Chính sách vừa một trang chưa?
2Ba cột có ví dụ cụ thể chưa?
3Bốn mức dữ liệu có ví dụ quen thuộc?
4Có danh sách công cụ đã duyệt, kèm ngày?
5Code AI viết đã có người thứ hai đọc?
6Có tên người chịu trách nhiệm và người giữ?
7Các bước sự cố đã viết, báo suýt lỡ được phép?
8Đã đặt ngày xem lại?
Nhìn cân bằng

Nhìn cân bằng: được gì, chưa được gì

Làm được
  • Cho mọi người cùng một câu trả lời
  • Có chỗ để báo khi lỡ tay
  • Để lại dấu vết khi khách hỏi
Chưa làm được
  • Không phải bảo chứng an toàn, vẫn có thể lỡ dán
  • Chưa thấy nghiên cứu đo hiệu quả của một trang
  • Không thay cho đào tạo và văn hóa dám báo lỗi
Kết luận

Viết nháp trong 30 phút, thử với 20 việc thật, sửa sau 90 ngày.

Được, hỏi trước, cấm, bốn mức dữ liệu, một người chịu trách nhiệm, năm bước khi có sự cố và một ngày xem lại.