Chính sách dùng AI một trang cho nhóm nhỏ: được, hỏi trước, cấm
Nhóm nhỏ không cần bộ quy định dày. Bài đưa ra một trang với ba cột (được làm, hỏi trước, cấm), bốn mức dữ liệu nói bằng lời thường, người chịu trách nhiệm, cách xử lý sự cố, kèm mẫu dán được, ví dụ cho nhóm sáu người và danh sách kiểm.
Dành cho trưởng nhóm, người làm tự do, chủ doanh nghiệp nhỏ và bất kỳ ai trong nhóm vài người dùng AI để làm việc, kể cả người mới. Không cần biết pháp lý hay bảo mật. Thuật ngữ nào cũng đi kèm một ví dụ đời thường, và phần tính toán được đánh dấu để bỏ qua nếu bạn không cần.
Đây không phải tư vấn pháp lý. Số liệu lấy từ nguồn công khai, có liệt kê cuối bài, và có chỗ tôi chỉ đọc qua bản tin. Ví dụ ghi là "minh họa" được dựng lại, không nhắc đến người hay công ty thật. Cách AI làm việc bên trong chưa ai hiểu hết, nên các hình dung chỉ là cách tưởng tượng để dễ nhớ. Mẫu chính sách là gợi ý thực hành của tôi, không phải chuẩn bắt buộc.
Tóm tắt nhanh#
- Nhóm nhỏ thường không có luật chơi về AI. Một bản tin về khảo sát Stack Overflow 2026 ghi rằng khoảng 29,7% người trả lời để cá nhân tự quyết và khoảng 24% nói nơi làm việc có công cụ được duyệt hoặc chính sách chính thức. Đây là số đọc qua bản tin.
- Rủi ro lớn nhất thường không nằm ở chỗ AI sai, mà ở chỗ ai đó dán dữ liệu không nên dán. Năm 2023, theo tin của Bloomberg và các báo thuật lại, nhân viên Samsung bị tường thuật là đã đưa mã nguồn nội bộ lên ChatGPT, và công ty sau đó hạn chế công cụ AI tạo sinh.
- Một trang là đủ để bắt đầu: ba cột (được làm, hỏi trước, cấm), bốn mức dữ liệu nói bằng lời thường, danh sách công cụ đã duyệt, một người chịu trách nhiệm cho mỗi thay đổi AI viết, các bước khi có sự cố và ngày xem lại.
- Cách thử chính sách: lấy 20 việc thật của tuần trước và xếp vào ba cột. Nếu quá nhiều việc rơi vào "hỏi trước", chính sách đang quá chặt hoặc quá mơ hồ.
- Chính sách quá chặt khiến người ta đi vòng, quá mơ hồ khiến không ai biết làm gì, và không ai đọc thì như không có. Bài liệt kê cách nhận ra từng loại.
- Chính sách không phải bảo chứng an toàn. Nó chỉ làm cho điều cần làm trở nên rõ ràng và có người chịu trách nhiệm.
Từ khó, nói dễ#
| Thuật ngữ | Nói dễ hiểu |
|---|---|
| AI use policy (chính sách dùng AI) | Tờ nội quy ngắn nói nhóm được, cần hỏi và không được làm gì với AI. Như nội quy bếp ăn chung. |
| Data classification (phân loại dữ liệu) | Gắn nhãn cho thông tin theo độ nhạy cảm: công khai, nội bộ, khách hàng, bí mật. Như phân biệt đồ để ngoài tủ và đồ để trong két. |
| Approved tool (công cụ đã duyệt) | Công cụ AI mà nhóm đã đọc điều khoản và đồng ý cho dùng. Như nhà cung cấp đã qua kiểm tra trước khi nhập hàng. |
| Accountability (người chịu trách nhiệm) | Người ký nhận kết quả và trả lời khi có chuyện. AI không đứng tên được. |
| Shadow AI (dùng AI ngoài tầm nhìn) | Người trong nhóm tự dùng công cụ chưa được duyệt vì tiện, như nấu ăn bằng bếp riêng ngoài khu bếp chung. |
| Incident (sự cố) | Việc đã xảy ra làm lộ hoặc có nguy cơ làm lộ dữ liệu, hoặc để lỗi tới tay khách. |
| Disclosure (thông báo cho khách) | Cho khách biết nhóm có dùng AI trong phần việc của họ, khi nào và ở mức nào. |
| Review date (ngày xem lại) | Ngày đã hẹn để đọc lại tờ chính sách và sửa. |
1. Hình dung trước: nội quy bếp ăn chung#
Hình dung một căn bếp chung của sáu người. Không ai muốn đọc một cuốn quy định dày. Nhưng nếu không có gì, người này dùng chung dao thớt sống và chín, người kia để đồ ăn hết hạn trong tủ lạnh. Một tờ giấy dán cửa tủ là đủ: cái này cứ dùng, cái này hỏi trước (ví dụ nồi áp suất của bác chủ nhà), cái này không bao giờ (để bình gas mở khi ra ngoài). Tờ giấy ngắn thì người ta đọc. Có ngày xem lại thì nó không lỗi thời. Có tên người chịu trách nhiệm thì có ai để hỏi.
Chính sách dùng AI cho nhóm nhỏ cũng vậy. Mục tiêu không phải bao quát mọi tình huống, mà là cho mọi người cùng một câu trả lời cho những câu hỏi lặp lại nhiều nhất: tôi có dán cái này vào đây được không, ai đọc lại cái AI viết, nếu lỡ tay thì làm gì.
Điều rút ra: một chính sách tốt cho nhóm nhỏ là tờ giấy dán cửa tủ, không phải cuốn sổ trong ngăn kéo.
2. Vì sao cần: hai điều có dữ liệu#
2.1 Phần lớn nhóm chưa có luật chơi (khảo sát Stack Overflow 2026, qua bản tin)#
Một bản tin về khảo sát Stack Overflow Developer Survey 2026 (IT Brief) ghi rằng khoảng 29,7% người trả lời nói việc dùng AI ở nơi làm việc là tùy chọn và để cá nhân tự quyết, và chỉ khoảng 24% nói người sử dụng lao động có công cụ được duyệt hoặc chính sách hay hướng dẫn chính thức. Tôi chỉ đọc con số này qua bản tin, chưa đối chiếu bảng trong trang khảo sát, và mẫu là người chịu trả lời khảo sát, không đại diện cho mọi nhóm nhỏ. Hãy đọc là "khá nhiều nơi chưa có", không phải con số chính xác.
Điều rút ra: nếu nhóm bạn chưa có chính sách thì bạn không lạ, và khoảng trống này là chuyện thường gặp chứ không phải riêng bạn.
2.2 Một ca được tường thuật: mã nguồn lên chatbot (Samsung, 2023)#
Theo tin đầu tiên của Bloomberg vào đầu tháng 5/2023 và các báo thuật lại (Forbes, TechRadar), kỹ sư của Samsung dùng ChatGPT để xử lý lỗi trong mã nguồn và bị tường thuật là đã đưa mã nguồn nội bộ lên đó vào khoảng tháng 4/2023. Công ty sau đó gửi thông báo hạn chế dùng công cụ AI tạo sinh trên máy tính, điện thoại và mạng của công ty, cho phép dùng trên thiết bị cá nhân miễn là không đụng đến tài sản trí tuệ của công ty, và nói vi phạm có thể bị kỷ luật. Thông báo theo các tin này không nêu nội dung đoạn mã bị lộ. Các nguồn cũng không thống nhất về việc lệnh hạn chế là tạm thời hay lâu dài, và tôi chưa mở được tin gốc của Bloomberg, nên hãy giữ ở mức "theo các tin thuật lại".
Điều đáng chú ý ở đây không phải tên một công ty lớn. Chuyện này xảy ra ở một chỗ có kỹ sư giỏi: một việc rất bình thường (nhờ chatbot xem giúp lỗi) kết hợp với một thói quen rất bình thường (dán đoạn code vào) là đủ.
Điều rút ra: rủi ro ở đây nằm ở hành vi dán dữ liệu, và nó cần một quy tắc nói rõ dữ liệu nào không được dán.
3. Tờ giấy một trang: ba cột và bảy mục#
Hình dung tờ giấy dán cửa tủ, chia ba cột màu xanh, vàng, đỏ. Mỗi cột chỉ vài dòng.
3.1 Ba cột#
- Được làm (không cần hỏi): dùng công cụ đã duyệt với dữ liệu công khai và nội bộ cho các việc như giải thích, viết nháp, viết test, đổi tên, soạn tài liệu.
- Hỏi trước: dùng công cụ chưa có trong danh sách, đưa dữ liệu khách hàng vào bất kỳ công cụ nào, cho agent chạy lệnh cài, xóa hoặc triển khai, dùng AI trong phần việc khách đã nói không dùng.
- Cấm: dán khóa, mật khẩu, token và dữ liệu cá nhân thật, dùng tài khoản miễn phí cá nhân cho dữ liệu của khách, gộp code do AI viết khi chưa có người thứ hai đọc và chưa chạy kiểm.
3.2 Bốn mức dữ liệu, nói bằng lời thường#
Hình dung nhà có bốn chỗ cất đồ.
| Mức | Là gì | Ví dụ | Quy tắc gợi ý |
|---|---|---|---|
| Công khai | Ai cũng đã thấy hoặc được phép thấy | Tài liệu mã nguồn mở, bài blog đã đăng | Dùng công cụ đã duyệt thoải mái |
| Nội bộ | Của nhóm, lộ ra thì ngại nhưng không hại | Ghi chú họp, code chưa có bí mật | Chỉ công cụ đã duyệt |
| Khách hàng | Của khách, đã hứa giữ kín | Dữ liệu, tài liệu, code của khách | Hỏi trước, và chỉ khi điều khoản cho phép |
| Bí mật | Lộ ra là thiệt hại thật | Khóa truy cập, mật khẩu, token, dữ liệu cá nhân thật | Không bao giờ đưa vào công cụ AI |
3.3 Bảy mục còn lại#
- Công cụ đã duyệt: tên, loại tài khoản, ai duyệt, ngày duyệt, và điều khoản về dữ liệu đã đọc chưa.
- Ai duyệt kết quả: mọi thay đổi do AI viết có một người thứ hai đọc. Cách đòi bằng chứng ở bài Làm cho kết quả của AI tự chứng minh giúp người đọc nhanh hơn.
- Ai chịu trách nhiệm: người bấm gộp hoặc gửi cho khách là người trả lời. Xem thêm bài Ai chịu trách nhiệm khi AI sai.
- Nói với khách: khi nào nói, nói gì, theo hợp đồng.
- Ghi lại: việc mới dùng AI thì ghi một dòng: công cụ, mục đích, mức dữ liệu.
- Khi có sự cố: các bước ngắn ở phần 6.
- Ngày xem lại: thường khoảng 90 ngày sau, có tên người giữ.
3.4 Mẫu để dán và sửa#
CHÍNH SÁCH DÙNG AI CỦA NHÓM [tên nhóm]
Người giữ: [tên] Có hiệu lực: [ngày] Xem lại vào: [ngày + 90 ngày]
ĐƯỢC LÀM (không cần hỏi)
- Dùng công cụ trong danh sách bên dưới với dữ liệu Công khai và Nội bộ.
- Nhờ AI giải thích, viết nháp, viết test, đổi tên, soạn tài liệu.
HỎI TRƯỚC
- Dùng công cụ chưa có trong danh sách.
- Đưa dữ liệu Khách hàng vào bất kỳ công cụ AI nào.
- Cho agent chạy lệnh cài, xóa hoặc triển khai.
- Dùng AI ở phần việc mà khách đã yêu cầu không dùng.
CẤM
- Dán khóa, mật khẩu, token, dữ liệu cá nhân thật.
- Dùng tài khoản AI cá nhân miễn phí cho dữ liệu của khách.
- Gộp code AI viết khi chưa có người thứ hai đọc và chưa chạy kiểm.
DỮ LIỆU: Công khai / Nội bộ / Khách hàng / Bí mật (ví dụ ở mục 3.2)
CÔNG CỤ ĐÃ DUYỆT: [tên, loại tài khoản, người duyệt, ngày]
NGƯỜI CHỊU TRÁCH NHIỆM: người bấm gộp hoặc gửi cho khách
NÓI VỚI KHÁCH: [khi nào, thế nào]
GHI LẠI: việc mới dùng AI, một dòng (công cụ, mục đích, mức dữ liệu)
SỰ CỐ: dừng, báo trong 1 giờ, ghi lại việc đã làm, đổi khóa nếu lộ, báo khách nếu cần
4. Một ví dụ minh họa cho nhóm sáu người#
Đây là ví dụ dựng lại, không nhắc đến công ty thật. Hình dung một nhóm sáu người làm phần mềm theo hợp đồng cho vài khách. Họ điền mẫu:
- Công cụ đã duyệt: một dịch vụ trả phí của nhóm, tài khoản do trưởng nhóm tạo, người duyệt đã đọc điều khoản về việc có dùng dữ liệu của nhóm để huấn luyện hay không (cần đọc điều khoản thật của dịch vụ họ chọn). Tài khoản miễn phí cá nhân không nằm trong danh sách.
- Hỏi trước: mọi việc chạm vào dữ liệu khách, và mọi lần cho agent chạy lệnh cài hoặc deploy.
- Nói với khách: ghi trong báo giá rằng nhóm dùng AI hỗ trợ viết code, mọi thay đổi có người đọc, và dữ liệu của khách không được đưa vào công cụ nếu chưa có đồng ý.
- Xem lại: mỗi 90 ngày, trưởng nhóm giữ.
4.1 Phép thử: xếp 20 việc thật vào ba cột (minh họa, có thể bỏ qua)#
Cách thử chính sách: mỗi người liệt kê việc thật đã dùng AI tuần trước, nhóm xếp vào ba cột. Số bên dưới là số dựng sẵn để dễ tính, không phải số đo.
tasks, people, minutes_per_ask = 20, 6, 3
allowed, ask, banned = 12, 6, 2
print(allowed / tasks, ask / tasks, banned / tasks)
# 0.6 0.3 0.1
weekly = tasks * people # 120 việc mỗi tuần cả nhóm
asks = weekly * ask / tasks # 36 lần hỏi trước
minutes = asks * minutes_per_ask # 108 phút
print(weekly, asks, minutes, minutes / 60)
# 120 36.0 108.0 1.8
Đọc kết quả: trong 20 việc, 12 việc (60%) được làm ngay, 6 việc (30%) cần hỏi, 2 việc (10%) bị cấm. Với 6 người, mỗi người 20 việc một tuần, có khoảng 36 lần hỏi, mất cỡ 108 phút, tức khoảng 1,8 giờ một tuần cho cả nhóm. Nếu 12 trên 20 việc (60%) rơi vào "hỏi trước" thì cùng phép tính cho 72 lần hỏi và 3,6 giờ một tuần, và người ta sẽ ngừng hỏi.
Lưu ý rõ: ba phút mỗi lần hỏi và tỷ lệ 12, 6, 2 là số giả định. Mốc "hỏi trước không nên quá khoảng một phần ba số việc" là quy tắc kinh nghiệm của tôi, không phải số đo từ nghiên cứu nào. Hãy thử với việc thật của nhóm bạn rồi chỉnh.
5. Chỗ nào chính sách cũng hỏng#
Hình dung tờ nội quy: nếu quá dài thì không ai đọc, nếu quá chặt thì người ta nấu lén, nếu quá chung chung thì ai muốn hiểu sao cũng được.
| Tình huống | Cơ chế | Cách bắt được |
|---|---|---|
| Không ai đọc | Chính sách dài, nằm trong thư mục không ai mở | Giữ một trang, dán ở nơi mọi người nhìn thấy, nhắc lại khi có người mới |
| Quá chặt, người ta đi vòng | Việc thường gặp bị cấm mà không có công cụ thay thế | Đếm việc rơi vào "hỏi trước" và "cấm", cho công cụ thay thế đã duyệt |
| Quá mơ hồ | Chữ như "dữ liệu nhạy cảm" mà không có ví dụ | Ghi ví dụ cụ thể cho từng mức dữ liệu |
| Không có người chịu trách nhiệm | "Cả nhóm" chịu thì không ai chịu | Ghi tên người bấm gộp và người giữ chính sách |
| Công cụ đổi điều khoản | Danh sách duyệt từ nhiều tháng trước | Ngày xem lại và nhớ đọc lại điều khoản khi đổi gói |
| Chỉ cấm, không dạy | Người mới không biết vì sao | Một đoạn giải thích ngắn dưới mỗi điều cấm |
5.1 Minh họa: một buổi sáng có và không có chính sách#
Đây là tình huống minh họa, không nhắc đến người hay sản phẩm thật.
- 10:00. Một dev cần tìm lỗi trong báo cáo xuất cho khách. Nhật ký lỗi có email và tên của người dùng cuối của khách.
- 10:05. Dev dán nguyên nhật ký vào một chatbot công cộng bằng tài khoản miễn phí cá nhân, vì chưa có ai nói không được.
- 10:30. Dev thấy trong đoạn đã dán có email thật. Không có quy trình, nên dev im lặng.
- Tuần sau. Khách hỏi về việc dữ liệu của họ đi đâu. Không ai có câu trả lời.
Phiên bản có chính sách: ở 10:05, mục "dữ liệu khách hàng thì hỏi trước" khiến dev nhắn trưởng nhóm. Họ cùng xóa email khỏi nhật ký, dùng công cụ đã duyệt và ghi một dòng. Nếu vẫn lỡ dán, bước "báo trong một giờ" cho phép nhóm xử lý sớm: ghi lại đã dán gì, đổi khóa nếu có, báo khách nếu cần.
Việc nên làm: viết mục sự cố trước khi có sự cố, vì lúc hoảng người ta ít khi nghĩ ra các bước.
Minh họa này không thay cho bằng chứng. Ca Samsung được tường thuật ở trên là một ví dụ có thật về cùng kiểu hành vi, và khảo sát Stack Overflow 2026 (qua bản tin) cho thấy khoảng trống về chính sách là phổ biến. Xem thêm bài OWASP Top 10 cho ứng dụng dùng AI cho các rủi ro kỹ thuật.
6. Khi có sự cố: năm bước ngắn#
- Dừng: ngừng việc đang làm với công cụ đó.
- Báo trong một giờ: cho người chịu trách nhiệm, kể cả khi chưa chắc là sự cố.
- Ghi lại: đã đưa gì, vào công cụ nào, lúc nào.
- Xử lý: đổi khóa nếu lộ khóa, xóa cuộc trò chuyện nếu công cụ cho phép, hỏi nhà cung cấp về việc lưu dữ liệu.
- Nói với khách nếu hợp đồng hoặc luật yêu cầu, và rút bài học vào chính sách.
Cho phép báo cả khi "suýt lỡ". Nếu báo bị phạt thì người ta sẽ im lặng.
7. Số liệu, tiêu chuẩn và luật: đọc thế nào#
| Nguồn | Nói gì | Cách đọc | Lưu ý |
|---|---|---|---|
| Khảo sát Stack Overflow 2026, qua bản tin IT Brief | Khoảng 29,7% để cá nhân tự quyết, khoảng 24% có công cụ được duyệt hoặc chính sách chính thức | Khoảng trống chính sách là phổ biến | Đọc qua bản tin, chưa đối chiếu bảng gốc, mẫu là người chịu trả lời |
| Tin Samsung, 2023 (Bloomberg, Forbes, TechRadar) | Mã nguồn bị tường thuật là đã lên ChatGPT, công ty hạn chế công cụ AI tạo sinh | Hành vi dán dữ liệu là rủi ro thật | Tôi chưa mở tin gốc, nguồn không thống nhất về thời hạn lệnh hạn chế |
| NIST AI RMF 1.0 (1/2023) | Khung tự nguyện gồm bốn chức năng: Govern, Map, Measure, Manage | Chỉ để tham khảo cách nghĩ về quản trị | Dành cho tổ chức lớn hơn, tôi chỉ đọc qua tóm tắt thứ cấp |
| ISO/IEC 42001:2023 | Tiêu chuẩn hệ thống quản lý AI, có thể được chứng nhận | Chỉ là con trỏ, nhóm nhỏ thường chưa cần | Tôi chưa đọc văn bản tiêu chuẩn |
| Luật Trí tuệ nhân tạo số 134/2025/QH15 | Có hiệu lực từ 1/3/2026, phân biệt nhà phát triển, nhà cung cấp, bên triển khai và người sử dụng | Hãy đọc để biết nhóm mình thuộc vai nào | Không phải tư vấn pháp lý. Tôi chưa đọc đủ từng điều về nghĩa vụ |
Về pháp lý: theo các nguồn tôi tìm thấy, luật được Quốc hội thông qua ngày 10/12/2025 và có hiệu lực từ 1/3/2026. Luật định nghĩa bên triển khai là tổ chức hoặc cá nhân dùng hệ thống AI trong hoạt động nghề nghiệp, thương mại hoặc cung cấp dịch vụ, và việc dùng cho mục đích cá nhân, phi thương mại không thuộc phạm vi này. Nghĩa vụ cụ thể của từng bên, quy định hướng dẫn và thời hạn chuyển tiếp tôi chưa xác minh. Nếu nhóm bạn cung cấp sản phẩm hoặc dịch vụ dùng AI cho khách, hãy đọc toàn văn luật và hỏi người làm pháp chế. Bài này chỉ giúp bạn biết cần hỏi gì.
Đọc cho đúng: các nguồn trên ủng hộ việc có luật chơi rõ và có người chịu trách nhiệm. Tôi chưa tìm thấy nghiên cứu đo riêng một chính sách một trang giúp giảm bao nhiêu sự cố. Mẫu trong bài là tổng hợp thực hành.
8. Thói quen áp dụng từ ngày mai#
8.1 Tám câu hỏi trước khi dán chính sách lên cửa#
- Chính sách có vừa một trang không?
- Ba cột có ví dụ cụ thể, chứ không chỉ khái niệm?
- Bốn mức dữ liệu có ví dụ quen thuộc với nhóm mình?
- Có danh sách công cụ đã duyệt, kèm ngày và người duyệt không?
- Mọi thay đổi do AI viết đã có người thứ hai đọc chưa?
- Có tên một người chịu trách nhiệm và một người giữ chính sách không?
- Các bước sự cố đã viết ra, và báo suýt lỡ có được phép không?
- Đã có ngày xem lại chưa?
8.2 Ba việc làm ngay#
- Dành 30 phút điền mẫu ở mục 3.4, bỏ bớt những gì nhóm bạn không cần.
- Chạy phép thử 20 việc ở mục 4.1 với việc thật của tuần trước.
- Đặt ngày xem lại khoảng 90 ngày sau và ghi tên người giữ.
9. Nhìn cân bằng: chính sách làm được gì, chưa làm được gì#
Làm được: cho mọi người cùng một câu trả lời cho các câu hỏi lặp lại, giúp người mới biết làm gì, tạo chỗ để báo khi lỡ tay và để lại dấu vết khi khách hỏi.
Chưa làm được:
- Chính sách không phải bảo chứng an toàn. Người ta vẫn có thể lỡ dán, và công cụ có thể thay đổi điều khoản.
- Tôi chưa thấy nghiên cứu đo hiệu quả của chính sách một trang. Hãy tự theo dõi số lần hỏi và số sự cố suýt xảy ra.
- Một tờ giấy không thay cho đào tạo, công cụ kiểm tra và văn hóa dám báo lỗi.
- Với nhóm cung cấp dịch vụ cho khách hoặc xử lý dữ liệu cá nhân, một trang là điểm bắt đầu, không phải toàn bộ nghĩa vụ pháp lý.
Đừng thổi phồng: không có mẫu nào đúng cho mọi nhóm. Đừng coi nhẹ: khoảng trống chính sách thường lộ ra vào lúc khách hỏi, và lúc đó đã muộn để viết.
10. Kết luận#
Nhóm nhỏ không cần cuốn quy định dày, cần một tờ giấy dán cửa tủ: được, hỏi trước, cấm, bốn mức dữ liệu, một người chịu trách nhiệm, năm bước khi có sự cố và một ngày xem lại. Hãy viết ra nháp trong 30 phút, thử với 20 việc thật, và sửa sau 90 ngày.
Nguồn tham khảo#
Số liệu lấy từ nguồn công khai tính đến tháng 10/2026. Một số nguồn tôi chỉ đọc qua bản tin hoặc tóm tắt thứ cấp, nên hãy mở nguồn gốc để kiểm tra trước khi trích dẫn. Đây không phải tư vấn pháp lý.
- Stack Overflow, 2026 Developer Survey và bản tin IT Brief về khảo sát (nguồn của hai con số 29,7% và 24%)
- Tin về lệnh hạn chế AI tạo sinh của Samsung (5/2023): Forbes Australia và TechRadar (thuật lại tin của Bloomberg)
- NIST, AI Risk Management Framework (AI RMF 1.0, 1/2023)
- ISO, ISO/IEC 42001:2023
- Luật Trí tuệ nhân tạo số 134/2025/QH15 trên Thư viện Pháp luật và tóm tắt của Baker McKenzie (đọc toàn văn trước khi dựa vào)
Câu hỏi thường gặp
- Nhóm nhỏ có cần chính sách dùng AI không?
- Nên có, vì không có luật chơi thì mỗi người tự quyết và dữ liệu có thể bị dán vào công cụ không được duyệt. Một bản tin về khảo sát Stack Overflow 2026 cho biết khoảng 29,7% người trả lời nói việc dùng AI ở nơi làm việc để cá nhân tự quyết và khoảng 24% nói có công cụ được duyệt hoặc chính sách chính thức. Đó là số đọc qua bản tin, chưa đối chiếu bảng gốc. Một trang ngắn là đủ để bắt đầu.
- Chính sách một trang gồm những gì?
- Ba cột (được làm, hỏi trước, cấm), bốn mức dữ liệu (công khai, nội bộ, khách hàng, bí mật), danh sách công cụ đã duyệt, ai duyệt kết quả và ai chịu trách nhiệm, khi nào nói với khách, cái gì cần ghi lại, các bước khi có sự cố và ngày xem lại, thường sau khoảng 90 ngày.
- Có nên cấm hẳn các công cụ AI công cộng không?
- Tùy mức rủi ro. Năm 2023 Samsung hạn chế công cụ AI tạo sinh trên thiết bị và mạng của công ty sau khi nhân viên bị tường thuật là đã đưa mã nguồn lên ChatGPT, theo tin của Bloomberg và các báo thuật lại. Bài này không nói cấm là sai, chỉ nhắc rằng cấm không có công cụ thay thế dễ khiến người ta tìm đường vòng. Với nhóm nhỏ, cách thường dùng được là cho dùng công cụ đã duyệt với dữ liệu công khai và nội bộ, cấm dữ liệu bí mật.
- Chính sách này có thay cho tư vấn pháp lý không?
- Không. Bài chỉ là giải thích cho dev và không phải tư vấn pháp lý. Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ 1/3/2026 theo các nguồn tôi tìm thấy, nhưng tôi chưa đọc hết từng điều về nghĩa vụ. Hãy đọc văn bản gốc hoặc hỏi người làm pháp chế trước khi dựa vào nó.
- Bao lâu nên xem lại chính sách?
- Khoảng 90 ngày một lần là hợp lý cho nhóm nhỏ, vì công cụ và điều khoản thay đổi nhanh. Đây là gợi ý thực hành của tôi, không phải chuẩn bắt buộc. Hãy ghi ngày xem lại ngay trên đầu trang và giao cho một người.