Khi triển khai trợ lý AI hoặc bất kỳ hệ thống xử lý dữ liệu cá nhân, đơn vị phải trả lời được bốn câu hỏi: dữ liệu gì, lấy ở đâu, lưu bao lâu và ai chịu trách nhiệm. Đây không phải yêu cầu kỹ thuật thuần túy, mà là nghĩa vụ pháp lý.

Khung pháp lý cần theo dõi

  • Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, có hiệu lực từ 01/01/2026.
  • Nghị định 356/2025/NĐ-CP, thay thế Nghị định 13/2023/NĐ-CP, có hiệu lực từ 01/01/2026.
  • Luật Dữ liệu 60/2024/QH15 và các nghị định hướng dẫn.
  • Luật An toàn thông tin mạng và Nghị định 85/2016/NĐ-CP về ATTT theo cấp độ.
  • Luật Trí tuệ nhân tạo 134/2025/QH15 với các mốc chuyển tiếp cần theo dõi.

Danh mục trên cần được rà soát hiệu lực tại thời điểm lập hồ sơ. Đơn vị không nên dẫn văn bản đã hết hiệu lực hoặc chưa xác minh số hiệu.

Sáu việc phải làm trước khi dùng AI

  1. Lập bản đồ dữ liệu: loại dữ liệu, nguồn, mục đích, thời hạn lưu.
  2. Phân loại dữ liệu: công khai, nội bộ, hạn chế, tuyệt mật.
  3. Che dữ liệu cá nhân trước khi gửi ra ngoài: ẩn danh hoặc thay thế bằng mã.
  4. Đăng ký use case AI: mục đích, mô hình, chủ sở hữu, mức rủi ro, ngưỡng dừng.
  5. Có human-in-the-loop với quyết định ảnh hưởng quyền lợi của cá nhân.
  6. Ghi log và có kế hoạch ứng cứu sự cố, kể cả thông báo khi xảy ra lộ dữ liệu.

Nguyên tắc thiết kế trợ lý AI có trách nhiệm

  • Trích dẫn nguồn bắt buộc: mọi câu trả lời quan trọng phải chỉ ra tài liệu, mục và trang.
  • Không để AI sinh số liệu: số liệu phải lấy từ hệ thống nguồn, không do mô hình tạo ra.
  • Có ngưỡng dừng: khi chất lượng giảm hoặc chi phí vượt mức, hệ thống tự dừng và chuyển người.
  • Người dùng biết đang nói chuyện với AI: có nhãn rõ ràng và kênh chuyển chuyên gia.
  • Dữ liệu huấn luyện và log được quản lý theo vòng đời: có thời hạn lưu và quy trình xóa.
AI chỉ nên được dùng khi có bài toán rõ, dữ liệu đủ và người chịu trách nhiệm. Thiếu một trong ba điều kiện đó, AI là rủi ro chứ không phải giải pháp.

Hồ sơ tối thiểu cần có

  • Chính sách bảo vệ dữ liệu cá nhân và trang thông báo cho người dùng.
  • Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA).
  • Đăng ký hoạt động xử lý dữ liệu và AI Registry.
  • Quy trình ứng cứu sự cố, thông báo và khắc phục.
  • Hợp đồng hoặc phụ lục xử lý dữ liệu với nhà cung cấp.