Soạn chính sách sử dụng AI cho nhân viên công ty
Một chính sách AI ngắn gọn giúp nhân viên biết công cụ nào được dùng, dữ liệu nào được nhập, việc nào cần phê duyệt và ai chịu trách nhiệm. Dưới đây là khung áp dụng, thử nghiệm và kiểm soát rủi ro cho doanh nghiệp.
AI có thể giúp nhân viên viết nhanh hơn, tóm tắt tốt hơn và chuẩn bị công việc sớm hơn. Nhưng chỉ một lần dán nhầm nội dung hợp đồng, dữ liệu nhân sự hoặc thông tin khách hàng vào công cụ không phù hợp cũng có thể tạo ra rủi ro lớn.
Vì vậy, câu hỏi không phải chỉ là “có cho nhân viên dùng AI hay không?”. Câu hỏi quan trọng hơn là:
> Nhân viên được dùng công cụ nào, được nhập loại dữ liệu nào, việc nào phải có người duyệt và ai chịu trách nhiệm cuối cùng?
Một chính sách AI ngắn, dễ hiểu và có thể áp dụng ngay sẽ giúp doanh nghiệp trả lời những câu hỏi đó.
Chính sách AI không phải để cấm, mà để tạo lan can
Chính sách một trang không thay thế quy chế bảo mật, hợp đồng với nhà cung cấp, quy trình pháp chế hay quy định bảo vệ dữ liệu của doanh nghiệp. Nó là hướng dẫn thực hành để nhân viên biết cách dùng AI trong công việc thường ngày.
NIST cho biết khung quản trị rủi ro AI hướng đến việc nuôi dưỡng niềm tin vào công nghệ AI, thúc đẩy đổi mới và giảm thiểu rủi ro. Với doanh nghiệp, có thể chuyển thành nguyên tắc đơn giản:
> Cho phép các trường hợp sử dụng có ích, nhưng đặt giới hạn rõ ràng về dữ liệu, quyền truy cập và quyết định có tác động lớn.
Thay vì mở đầu bằng danh sách dài các điều cấm, hãy xác định trước các việc AI có thể hỗ trợ:
Tóm tắt cuộc họp hoặc tài liệu.
Lập dàn ý email, đề xuất, báo cáo.
Viết bản nháp nội dung nội bộ.
Phân loại phản hồi hoặc nhóm chủ đề.
Gợi ý cấu trúc cho tài liệu và quy trình.
Sau đó, doanh nghiệp quy định loại dữ liệu nào được phép đi kèm và trường hợp nào cần phê duyệt.
Bốn quyết định lãnh đạo cần chốt
1. Phân loại dữ liệu theo cách nhân viên hiểu được
Nhân viên không cần nhớ thuật ngữ pháp lý phức tạp. Họ cần biết rõ loại thông tin nào có thể đưa vào AI.
Một mô hình thực dụng có thể gồm:
Công khai: Nội dung đã công bố, tài liệu truyền thông đã được phê duyệt, thông tin không yêu cầu bảo mật.
Nội bộ: Quy trình làm việc, kế hoạch chưa công bố, tài liệu vận hành.
Nhạy cảm hoặc hạn chế: Dữ liệu cá nhân, thông tin khách hàng, hợp đồng, dữ liệu tài chính, hồ sơ nhân sự, bí mật kinh doanh.
Nguyên tắc nên được viết rõ: dữ liệu nội bộ chỉ dùng trên công cụ được công ty phê duyệt. Dữ liệu nhạy cảm chỉ được xử lý khi doanh nghiệp đã xác định rõ công cụ, mục đích, quyền truy cập và cấp phê duyệt.
2. Chọn công cụ theo luồng dữ liệu, không chỉ theo câu trả lời hay
Với Microsoft Copilot, Microsoft cho biết dịch vụ này có thể kết nối mô hình ngôn ngữ với dữ liệu tổ chức qua Microsoft Graph, gồm email, tài liệu, lịch, trò chuyện, cuộc họp và liên hệ mà người dùng có quyền truy cập.
Microsoft cũng nêu rằng prompt, phản hồi và dữ liệu được truy cập qua Microsoft Graph không được dùng để huấn luyện các mô hình nền tảng.
Tuy nhiên, điều này không thay thế việc quản trị quyền truy cập. Microsoft cho biết Copilot chỉ hiển thị dữ liệu tổ chức mà người dùng có ít nhất quyền xem. Doanh nghiệp vì thế vẫn cần rà soát quyền với tài liệu, thư mục, nhóm làm việc và cả quyền chia sẻ ra bên ngoài.
Khi dùng tìm kiếm web, Microsoft cho biết Copilot có thể phân tích prompt để xác định các thuật ngữ cần tìm kiếm và tạo truy vấn gửi đến dịch vụ Bing Search. Nếu sử dụng agent hoặc mô hình của bên thứ ba, doanh nghiệp cần kiểm tra tuyên bố riêng tư và điều khoản sử dụng của thành phần đó.
3. Xác định việc nào bắt buộc có người duyệt
AI có thể tạo bản nháp. AI không thay thế trách nhiệm nghề nghiệp hay quyền quyết định của con người.
Chính sách cần quy định rõ: người gửi, ký, công bố hoặc dùng đầu ra AI để đưa ra quyết định vẫn chịu trách nhiệm cuối cùng.
Những nhóm việc thường cần cấp có thẩm quyền kiểm tra trước khi sử dụng gồm:
Nội dung gửi khách hàng, đối tác hoặc truyền thông.
Hợp đồng, báo giá và tài liệu liên quan pháp lý, thuế hoặc tài chính.
Tuyển dụng, đánh giá nhân sự, lương thưởng hoặc kỷ luật.
Nội dung có dữ liệu nhạy cảm hoặc có thể ảnh hưởng đáng kể đến cá nhân, khách hàng hay doanh nghiệp.
Người duyệt không nên chỉ đọc lại câu chữ. Họ cần kiểm tra riêng từng khía cạnh:
| Nội dung cần kiểm tra | Câu hỏi người duyệt cần trả lời |
|---|---|
| Độ chính xác | Số liệu, sự kiện, kết luận và trích dẫn có đúng với nguồn gốc không? AI có tự thêm thông tin không? |
| Bảo mật | Đầu vào hoặc đầu ra có chứa dữ liệu hạn chế, dữ liệu cá nhân hay bí mật kinh doanh không? |
| Bản quyền và quyền sử dụng | Nội dung, hình ảnh hoặc tài liệu đầu ra có cần kiểm tra nguồn gốc, quyền sử dụng hoặc điều khoản của nhà cung cấp không? |
| Thiên lệch | Nội dung có tạo ra nhận định thiếu công bằng, bất lợi hoặc không phù hợp với một nhóm người không? |
4. Phân vai thay vì giao chung cho IT
Không nên ghi chung chung rằng “IT quản lý AI”. Một chính sách ngắn vẫn cần nêu rõ ai làm gì:
Nhân viên: Dùng đúng công cụ và loại dữ liệu được phép; kiểm tra đầu ra; báo sự cố theo quy định.
Quản lý bộ phận: Xác định trường hợp sử dụng phù hợp; quy định điểm cần duyệt; đánh giá giá trị công việc.
IT và an toàn thông tin: Quản lý công cụ, tài khoản, quyền truy cập, cấu hình và quy trình xử lý sự cố.
Pháp chế, nhân sự hoặc đầu mối bảo vệ dữ liệu: Rà soát trường hợp liên quan dữ liệu cá nhân, hợp đồng và quyết định về con người.
Ban điều hành: Quyết định mức rủi ro chấp nhận được, ngân sách, danh mục công cụ và người sở hữu chính sách.
Ma trận áp dụng nhanh cho lãnh đạo
Ma trận dưới đây là ví dụ để doanh nghiệp thảo luận và điều chỉnh theo thực tế.
| Loại dữ liệu | Công cụ được phép | Mục đích sử dụng | Cấp phê duyệt |
|---|---|---|---|
| Công khai | Công cụ AI được công ty phê duyệt | Lập dàn ý, viết nháp, tóm tắt, gợi ý nội dung | Nhân viên tự kiểm tra |
| Nội bộ thông thường | Công cụ doanh nghiệp đã được phê duyệt | Tóm tắt tài liệu, hỗ trợ soạn thảo, phân tích công việc | Quản lý bộ phận hoặc theo quy định nội bộ |
| Dữ liệu nhạy cảm hoặc hạn chế | Chỉ công cụ được phê duyệt riêng cho dữ liệu này | Trường hợp sử dụng đã được xác định trước | Đầu mối có thẩm quyền phê duyệt |
| Tác vụ có tác động lớn đến khách hàng hoặc nhân viên | Công cụ và quy trình đã được phê duyệt | Hỗ trợ chuẩn bị hồ sơ, không thay thế quyết định con người | Quản lý có thẩm quyền, cùng bộ phận liên quan khi cần |
Điểm quan trọng: đây không phải là ma trận áp dụng nguyên xi cho mọi doanh nghiệp. Chính sách mẫu cần được pháp chế và đầu mối bảo vệ dữ liệu điều chỉnh theo ngành hoạt động, quốc gia, hợp đồng với khách hàng và nghĩa vụ bảo vệ dữ liệu đang áp dụng cho doanh nghiệp.
Mẫu chính sách AI một trang
text
CHÍNH SÁCH SỬ DỤNG AI
Mục đích
Dùng AI để hỗ trợ công việc; không thay thế trách nhiệm nghề nghiệp
và quyền quyết định của con người.
Được phép
Dùng các công cụ AI do công ty phê duyệt để tạo bản nháp, tóm tắt,
dàn ý và hỗ trợ phân tích.
Chỉ nhập dữ liệu công khai hoặc dữ liệu nội bộ theo đúng quyền truy cập
và quy định của công ty.
Không được phép
Nhập dữ liệu nhạy cảm vào công cụ chưa được công ty phê duyệt.
Để AI tự gửi, ký, công bố hoặc ra quyết định thay con người.
Dùng công cụ AI chưa khai báo cho công việc của công ty.
Phải duyệt
Nội dung đối ngoại; tài liệu pháp lý hoặc tài chính; quyết định nhân sự;
và nội dung có dữ liệu nhạy cảm.
Người duyệt kiểm tra: độ chính xác, bảo mật, bản quyền và thiên lệch.
Người phê duyệt: <vai trò/bộ phận>.
Lưu hồ sơ với tác vụ rủi ro cao
Lưu đầu vào, đầu ra, người kiểm tra và quyết định cuối cùng theo quy định
lưu trữ của công ty.
Khi nhập nhầm dữ liệu
Ngừng sử dụng đầu ra; lưu bằng chứng; báo ngay cho <đầu mối>;
yêu cầu xóa theo quy trình phù hợp; đánh giá phạm vi ảnh hưởng.
Công cụ được phép: <danh sách>.
Chủ sở hữu chính sách: <vai trò/bộ phận>.
Ngày rà soát tiếp theo: <ngày>.
Xử lý công cụ AI tự phát trong doanh nghiệp
Trong thực tế, nhân viên có thể đã dùng chatbot, công cụ tạo nội dung hoặc tiện ích AI bằng tài khoản cá nhân. Nếu chỉ ban hành lệnh cấm, doanh nghiệp có thể không nhìn thấy hoạt động này mà vẫn phải chịu rủi ro.
Hãy yêu cầu nhân viên khai báo công cụ đang dùng cho công việc. Sau đó, doanh nghiệp có thể phân loại:
Phê duyệt: Công cụ đáp ứng yêu cầu sử dụng và phù hợp với loại dữ liệu dự kiến.
Đánh giá thêm: Cần IT, an toàn thông tin, pháp chế hoặc đầu mối bảo vệ dữ liệu xem xét.
Chặn hoặc ngừng dùng: Công cụ không phù hợp với yêu cầu của doanh nghiệp hoặc không được phép xử lý loại dữ liệu liên quan.
Chính sách nên nêu thời hạn để nhân viên hoàn tất khai báo và thời điểm công ty đưa ra quyết định phê duyệt, giới hạn hoặc chặn công cụ.
Khi nhân viên nhập nhầm dữ liệu vào AI
Sự cố không chỉ là mất dữ liệu. Nhập nhầm thông tin vào công cụ không phù hợp cũng cần được xử lý có trình tự.
Quy trình tối thiểu nên gồm:
Ngừng sử dụng: Không tiếp tục nhập dữ liệu, không dùng hoặc chuyển tiếp đầu ra liên quan.
Lưu bằng chứng: Ghi nhận công cụ đã dùng, thời điểm, loại dữ liệu, prompt và đầu ra nếu có thể thực hiện theo quy định nội bộ.
Báo đầu mối: Thông báo ngay cho IT, an toàn thông tin hoặc đầu mối được chỉ định.
Yêu cầu xóa: Thực hiện yêu cầu xóa hoặc các bước xử lý phù hợp theo khả năng của công cụ và quy trình của doanh nghiệp.
Đánh giá phạm vi ảnh hưởng: Xác định dữ liệu nào liên quan, ai có thể bị ảnh hưởng và hành động tiếp theo cần thiết.
Mục tiêu là xử lý sớm, nhất quán và có thông tin để doanh nghiệp đưa ra quyết định phù hợp — không phải tạo tâm lý che giấu sự cố.
Thử chính sách trước khi áp dụng rộng
Đừng yêu cầu đội ngũ “dùng AI nhiều hơn”. Hãy bắt đầu với một tình huống công việc cụ thể, có dữ liệu đã được làm sạch phù hợp và có tiêu chí đo lường rõ ràng.
Ví dụ:
text
Hãy tạo dàn ý email theo nội dung dưới đây.
Không tự thêm số liệu, cam kết hoặc điều khoản.
Đánh dấu [CẦN XÁC NHẬN] ở mọi thông tin chưa có trong dữ liệu.
Nội dung được phép dùng:
<ghi nội dung đã được làm sạch dữ liệu nhạy cảm>
Mục tiêu không phải là có email hoa mỹ nhất. Mục tiêu là tạo bản nháp giúp người phụ trách làm nhanh hơn, nhận ra phần nào cần xác nhận và kiểm tra trước khi gửi.
Chỉ số nên theo dõi trong thử nghiệm
Mỗi trường hợp sử dụng nên có một người sở hữu và bộ chỉ số đơn giản:
Thời gian tiết kiệm: Thời gian hoàn thành tác vụ có giảm so với cách làm thông thường không?
Tỷ lệ đầu ra phải sửa: Bao nhiêu đầu ra cần sửa đáng kể trước khi có thể sử dụng?
Số sự cố dữ liệu: Có bao nhiêu lần nhập nhầm dữ liệu, dùng sai công cụ hoặc phát hiện vấn đề về quyền truy cập?
Chi phí trên mỗi tác vụ: Chi phí công cụ và chi phí vận hành có tương xứng với giá trị tiết kiệm được không?
Mức độ chấp nhận của người dùng: Nhân viên có hiểu chính sách và sẵn sàng dùng đúng quy trình không?
Triển khai theo ba giai đoạn
Giai đoạn khởi động: nhìn rõ hiện trạng
Người chịu trách nhiệm: Ban điều hành chỉ định đầu mối; IT, an toàn thông tin và các quản lý bộ phận cùng tham gia.
Kết quả bàn giao:
Danh sách công cụ AI đang được sử dụng hoặc đề xuất sử dụng.
Phân loại các nhóm dữ liệu cần kiểm soát.
Danh sách kho tài liệu và quyền truy cập cần rà soát.
Bản chính sách AI tạm thời.
Tiêu chí chuyển sang thử nghiệm: Doanh nghiệp đã xác định được công cụ, nhóm người dùng, tác vụ và loại dữ liệu được phép trong phạm vi thử.
Giai đoạn thử nghiệm: đo giá trị và kiểm tra rủi ro
Người chịu trách nhiệm: Quản lý bộ phận sở hữu tác vụ; IT và đầu mối kiểm soát hỗ trợ giám sát.
Kết quả bàn giao:
Danh sách trường hợp sử dụng đã thử.
Chỉ số về thời gian, chất lượng đầu ra, chi phí và sự cố.
Các điểm chưa rõ trong chính sách hoặc luồng phê duyệt.
Đề xuất điều chỉnh công cụ, quyền truy cập và hướng dẫn nhân viên.
Tiêu chí mở rộng hoặc dừng: Mở rộng khi lợi ích công việc rõ ràng, nhân viên có thể kiểm soát đầu ra và rủi ro nằm trong mức doanh nghiệp chấp nhận. Dừng hoặc thu hẹp khi không chứng minh được giá trị, phát sinh sự cố lặp lại hoặc chưa có biện pháp kiểm soát phù hợp.
Giai đoạn quyết định: chuẩn hóa hoặc loại bỏ
Người chịu trách nhiệm: Ban điều hành quyết định; đầu mối chính sách cập nhật tài liệu và triển khai.
Kết quả bàn giao:
Danh sách công cụ được phép, giới hạn hoặc không được sử dụng.
Quy trình duyệt cho tác vụ rủi ro cao.
Yêu cầu lưu hồ sơ đối với các quyết định quan trọng.
Kế hoạch đào tạo, truyền thông và lịch rà soát chính sách.
AI không tạo giá trị chỉ vì nhân viên viết bản nháp nhanh hơn. Giá trị xuất hiện khi doanh nghiệp giảm được thời gian làm việc lặp lại mà vẫn kiểm soát được chất lượng, dữ liệu và trách nhiệm.