Chính sách AI là gì?
Chính sách AI là tài liệu ngắn của công ty cho nhân viên biết họ được dùng công cụ trí tuệ nhân tạo nào, cho những nhiệm vụ nào, với thông tin gì, và phải làm gì trước khi sử dụng kết quả có sự hỗ trợ của AI. Trong doanh nghiệp nhỏ, tài liệu này thường dài vài trang và do nhà sáng lập, người phụ trách vận hành hoặc người đang quản lý dữ liệu và hợp đồng chịu trách nhiệm.
Cụm từ này bao hàm một số tài liệu mà mọi người thường nhầm lẫn với nhau. Chính sách sử dụng được chấp nhận là bộ quy tắc nhân viên tuân theo hằng ngày. Chính sách AI tạo sinh đề cập đến các công cụ tạo văn bản, hình ảnh hoặc mã và những rủi ro đi kèm nội dung được tạo ra. Khung quản trị là lớp quản lý phía sau cả hai: ai phê duyệt công cụ, ai quản lý sổ theo dõi, các quyết định được rà soát bao lâu một lần. Hầu hết công ty dưới 200 người có thể gộp cả ba vào một tài liệu, miễn là mỗi phần được ghi nhãn rõ ràng.
Hướng dẫn này trình bày những quyết định mà mọi chính sách AI đều cần, kèm các điều khoản mẫu cho một công ty giả định. Đây là thông tin chung, không phải tư vấn pháp lý. Luật về bảo vệ dữ liệu, lao động và bảo vệ người tiêu dùng khác nhau theo quốc gia và lĩnh vực, nên hãy nhờ người tư vấn có chuyên môn rà soát phiên bản bạn áp dụng.
| Tài liệu | Những câu hỏi được giải đáp | Nội dung nên xem tiếp |
|---|---|---|
| Chính sách AI (toàn bộ) | Vì sao công ty sử dụng AI, ai chịu trách nhiệm về các quyết định, các quy tắc liên kết với nhau như thế nào | Hướng dẫn này |
| Chính sách sử dụng được chấp nhận | Những việc nhân viên được và không được làm với công cụ đã được phê duyệt ở thời điểm hiện tại | Hướng dẫn về chính sách sử dụng AI được chấp nhận |
| Chính sách AI tạo sinh | Cách xử lý văn bản, hình ảnh và mã do AI tạo ra, công khai việc sử dụng AI và kiểm tra kết quả | Hướng dẫn về chính sách AI tạo sinh |
| Khung quản trị | Ai phê duyệt công cụ, duy trì sổ theo dõi và rà soát các quyết định | Hướng dẫn về khung quản trị AI |
| Mẫu | Cấu trúc theo từng điều khoản để bạn hoàn thiện và kiểm tra | Mẫu chính sách AI |
Chính sách AI của một công ty nhỏ nên giải quyết những gì?
Một chính sách hữu ích giúp mọi người quyết định cần làm gì trước khi đưa thông tin vào công cụ hoặc sử dụng kết quả của công cụ. Chính sách cần xác định các dịch vụ được phê duyệt, nhiệm vụ phù hợp, giới hạn thông tin, trách nhiệm kiểm tra và cách chuyển vấn đề lên người có thẩm quyền. Một danh sách cảnh báo thiếu những quyết định thực tế đó sẽ khiến nhân viên phải tự đoán, và người phải tự đoán sẽ hoặc ngừng dùng công cụ, hoặc âm thầm sử dụng.
Bắt đầu với những quy trình công việc mọi người thực sự đang làm. Bản nháp thư mời dựa trên thông tin công khai cần biện pháp kiểm soát khác với bản tóm tắt tài liệu mật của khách hàng. Với mỗi quy trình, hãy ghi rõ mục đích, tài liệu nguồn, người đọc dự kiến và hậu quả nếu xảy ra sai sót. Bối cảnh đó là điểm khởi đầu tốt hơn so với việc coi mọi cách sử dụng AI đều như nhau.
Một cách kiểm tra tốt là xem nhân viên mới có thể trả lời ba câu hỏi sau khi đọc hay không: tôi dùng tài khoản nào, tuyệt đối không được dán nội dung gì vào và tôi cần hỏi ai. Nếu tài liệu không trả lời được những câu đó thì tài liệu vẫn chưa làm tròn nhiệm vụ, dù trông có vẻ kỹ lưỡng đến đâu.
Doanh nghiệp nhỏ có bắt buộc phải có chính sách AI theo luật không?
Ở hầu hết các nơi, không có luật chung nào quy định mọi doanh nghiệp nhỏ phải có một tài liệu mang tên chính sách AI, nhưng các nghĩa vụ hiện hành vẫn áp dụng cho cách nhân viên sử dụng AI. Luật bảo vệ dữ liệu, điều khoản bảo mật trong hợp đồng với khách hàng, luật lao động và quy định quảng cáo không ngừng áp dụng chỉ vì bản nháp do một công cụ tạo ra. Chính sách là cách thiết thực để cho nhân viên biết những nghĩa vụ hiện có này áp dụng như thế nào khi họ dùng AI.
Tại Vương quốc Anh, ICO công bố hướng dẫn về AI và bảo vệ dữ liệu cùng bộ công cụ đánh giá rủi ro cho các tổ chức. Cả hai trang hiện đều nêu rằng hướng dẫn đang được xem xét lại sau Luật Dữ liệu (Sử dụng và Truy cập), vì vậy hãy kiểm tra tình trạng cập nhật trước khi dựa vào bất kỳ chi tiết nào. Tại Liên minh châu Âu, Điều 4 của EU AI Act về hiểu biết AI đã được áp dụng từ 2 February 2025 cho bên cung cấp và bên triển khai hệ thống AI. Phần hỏi đáp về hiểu biết AI của Ủy ban châu Âu nêu rằng không có một cách tiếp cận phù hợp cho tất cả, không bắt buộc có chứng chỉ và hồ sơ đào tạo nội bộ là đủ. Tài liệu cũng đưa ra ví dụ về nhân viên dùng trợ lý trò chuyện để viết nội dung quảng cáo hoặc dịch thuật: họ cần được thông báo về những rủi ro cụ thể như ảo giác AI.
Nếu bạn bán hàng vào Liên minh châu Âu, tuyển dụng người tại đó hoặc xử lý dữ liệu cá nhân của cư dân tại đây, hãy tìm tư vấn về những quy định áp dụng cho bạn. Phạm vi của hướng dẫn này hẹp hơn: có chính sách bằng văn bản cùng với đào tạo thực hành là một cách hợp lý để chứng minh rằng mọi người đã được thông báo về các rủi ro và cách xử lý.
Ai cần chịu trách nhiệm về các quyết định?
Chỉ định một người phụ trách chính sách và những người có quyền phê duyệt công cụ cũng như các quy trình xử lý thông tin nhạy cảm. Trong công ty có 12 người, người sáng lập có thể đảm nhiệm tất cả các việc này. Trong công ty có 80 người, trưởng bộ phận vận hành có thể phụ trách công cụ, người chịu trách nhiệm bảo vệ dữ liệu phụ trách thông tin cá nhân, còn trưởng các bộ phận phụ trách kiểm tra kết quả trong phạm vi của mình. Nhân viên cần một đầu mối để gửi câu hỏi về những vấn đề chính sách chưa đề cập.
Phần Quản trị trong cẩm nang triển khai khung quản lý rủi ro AI của NIST đề cập đến việc xác định vai trò và trách nhiệm, đào tạo nhân sự về rủi ro AI và thiết lập các kênh trao đổi thông tin. Cấu trúc ở đây được điều chỉnh để một nhóm nhỏ có thể áp dụng vào vận hành. Sử dụng các tiêu đề này không có nghĩa là chính sách tuân thủ bất kỳ luật nào hoặc được NIST chứng thực.
Ghi tên người phụ trách và người thay thế ngay trong chính sách, chứ không chỉ ghi chức danh. Ở các công ty nhỏ, chức danh thay đổi nhanh hơn tài liệu, và một quy trình chuyển vấn đề lên cấp trên mà dẫn đến vị trí không có ai đảm nhiệm thì cũng như không có quy trình.
Bạn nên ghi lại các công cụ đã được phê duyệt như thế nào?
Ghi lại chính xác dịch vụ, gói và mục đích sử dụng được phép, vì chỉ tên thương hiệu sẽ che khuất những khác biệt quan trọng. Tài khoản cá nhân dành cho người tiêu dùng, không gian làm việc dành cho doanh nghiệp của công ty và tích hợp API của cùng một sản phẩm có thể có các điều khoản khác nhau về lưu giữ dữ liệu, huấn luyện mô hình và quyền kiểm soát của quản trị viên. Ghi lại các cài đặt và điều khoản liên quan thay vì cho rằng một tuyên bố áp dụng cho mọi phiên bản.
Hãy hỏi riêng về việc huấn luyện mô hình, lưu giữ dữ liệu, quyền truy cập, địa điểm xử lý và xóa dữ liệu. Tuyên bố không dùng dữ liệu để huấn luyện không có nghĩa là dữ liệu hoàn toàn không được lưu trữ hoặc bạn được phép tải tài liệu của khách hàng lên. Ví dụ về cách nhà cung cấp mô tả vấn đề này: tài liệu của Microsoft về Copilot Chat dành cho tổ chức nêu rằng các câu lệnh và phản hồi thuộc phạm vi điều chỉnh của phụ lục bảo vệ dữ liệu và không được dùng để huấn luyện mô hình nền tảng, đồng thời các biện pháp kiểm soát cụ thể thay đổi theo gói đăng ký. Đó là loại tuyên bố theo từng gói mà bạn cần ghi lại, kèm ngày kiểm tra.
Chỉ định người phụ trách và ngày rà soát cho từng mục được phê duyệt để có thể điều chỉnh danh sách khi dịch vụ hoặc quy trình làm việc thay đổi. Hướng dẫn về khung quản trị có mẫu sổ theo dõi gói gọn trong một trang.
| Trường phê duyệt | Câu hỏi thực tế |
|---|---|
| Dịch vụ và gói sử dụng | Cụ thể, nhân viên được phép dùng tài khoản hoặc không gian làm việc nào? |
| Tác vụ được phép | Những công việc và tài liệu nguồn nào được phép sử dụng? |
| Giới hạn thông tin | Những chi tiết nào tuyệt đối không được đưa vào, dù có tiện đến đâu? |
| Rà soát bởi con người | Ai kiểm tra kết quả trước khi đưa vào sử dụng cho mục đích dự kiến? |
| Người phụ trách và ngày | Ai chịu trách nhiệm duy trì quyết định này và khi nào quyết định được xem xét lại? |
Nhân viên có thể dán những nội dung nào vào công cụ AI?
Không có câu trả lời chung nào tách rời khỏi công cụ, dữ liệu và nghĩa vụ của công ty, vì vậy chính sách phải đưa ra câu trả lời phù hợp với bối cảnh của bạn. Hãy bắt đầu bằng cách chia thông tin thành một vài nhóm rõ ràng: công khai, nội bộ, tài liệu kinh doanh hoặc khách hàng thuộc diện bảo mật, và thông tin cá nhân. Sau đó, với từng công cụ đã được phê duyệt, hãy nêu rõ những nhóm nào được phép sử dụng. Chỉ xóa tên không có nghĩa là tài liệu đã được ẩn danh hoặc được phép tải lên.
Hướng dẫn của Trung tâm An ninh mạng Quốc gia Anh về mô hình ngôn ngữ lớn nêu thẳng vấn đề chung: tổ chức cung cấp mô hình có thể xem truy vấn. Hướng dẫn khuyến nghị không đưa thông tin nhạy cảm vào truy vấn gửi đến các mô hình công khai và đọc điều khoản sử dụng cùng chính sách quyền riêng tư trước khi đặt câu hỏi nhạy cảm. Chính sách của bạn có thể chuyển điều đó thành chỉ dẫn cụ thể cho những tài khoản đã được phê duyệt.
Cung cấp cho nhân viên các ví dụ cụ thể về nội dung được phép và bị hạn chế trong từng quy trình làm việc đã được phê duyệt. Sử dụng dữ liệu giả định hoặc dữ liệu ít rủi ro đã được phê duyệt rõ ràng trong đào tạo. Nếu chưa rõ, nhân viên nên tạm dừng và liên hệ với người phụ trách được chỉ định thay vì tự phán đoán về quyền riêng tư ngay trong lúc thực hiện nhiệm vụ.
Công khai
Các trang web đã xuất bản, thông cáo báo chí, nội dung tiếp thị của chính bạn. Thường có thể dùng trong bất kỳ công cụ nào đã được phê duyệt.
Nội bộ
Ghi chép cuộc họp, tài liệu quy trình, bản nháp kế hoạch. Chỉ dùng trong không gian làm việc của công ty, không dùng tài khoản cá nhân.
Thông tin mật hoặc thông tin khách hàng
Tệp của khách hàng, giá cả, hợp đồng, kết quả chưa công bố. Chỉ sử dụng khi chủ sở hữu đã phê duyệt quy trình đó và các điều khoản với khách hàng cho phép.
Thông tin cá nhân
Bất cứ thông tin nào về nhân viên, ứng viên hoặc khách hàng có thể xác định được danh tính. Không nhập những thông tin này trừ khi người phụ trách bảo vệ dữ liệu đã xem xét quy trình cụ thể đó.
Bạn muốn xem nội dung này liên quan thế nào đến một vai trò công việc?
Tìm hiểu đợt dùng thử cho đội ngũ đang được lên kế hoạch ↗Cần làm gì trước khi sử dụng kết quả đầu ra?
Mọi đầu ra có AI hỗ trợ đều cần được kiểm tra theo cách phù hợp với mục đích sử dụng, và chính sách cần nêu rõ ai thực hiện việc đó. Bản nháp email có thể chỉ cần được đọc lại để đối chiếu với thông tin đã cung cấp. Phần giải thích số liệu cần được tính toán kiểm chứng độc lập. Nhận định về pháp luật, sức khỏe, tiền bạc hoặc an toàn cần có người đủ chuyên môn rà soát. Chính sách cần duy trì các bước phê duyệt hiện có, thay vì ngụ ý rằng có AI hỗ trợ thì không cần các bước đó nữa.
Yêu cầu nhân viên lưu riêng bản nháp do AI tạo và phiên bản đã được duyệt để sử dụng. Với công việc quan trọng, lưu đủ dấu vết rà soát để biết đã dùng nguồn nào, thay đổi những gì và ai đưa ra quyết định cuối cùng. Một câu trả lời trôi chảy, hay lời tự khẳng định của mô hình rằng câu trả lời là đúng, không phải là sự kiểm chứng độc lập.
Hãy nêu rõ những quyết định vẫn do con người đưa ra. Một điều khoản mẫu thường dùng: công cụ AI có thể hỗ trợ soạn thảo hoặc tóm tắt, nhưng không được dùng làm cơ sở cho quyết định về tuyển dụng, lương, hiệu suất làm việc, tín dụng hoặc khiếu nại của khách hàng nếu chưa có người được chỉ định kiểm tra thông tin làm căn cứ.
Một chính sách hoàn chỉnh cho nhóm có quy mô thực tế sẽ như thế nào?
Đây là ví dụ minh họa cụ thể cho một công ty tiếp thị giả định có 25 nhân viên, Harbour Lane Studio. Nhân viên sử dụng không gian làm việc doanh nghiệp của công ty trên một trợ lý trò chuyện và các tính năng AI trong bộ ứng dụng văn phòng. Một số người cũng có tài khoản cá nhân. Người sáng lập chịu trách nhiệm về chính sách, còn trưởng bộ phận dịch vụ khách hàng phê duyệt mọi việc liên quan đến tài liệu của khách hàng.
Điều khoản mẫu về công cụ được phê duyệt: "Chỉ sử dụng không gian làm việc dành cho doanh nghiệp Harbour Lane của [trợ lý] và các tính năng AI trong bộ ứng dụng văn phòng của chúng ta, đăng nhập bằng tài khoản công ty. Không sử dụng tài khoản cá nhân cho bất kỳ công việc nào của công ty hoặc khách hàng."
Điều khoản mẫu về thông tin: "Bạn có thể sử dụng thông tin công khai và nội bộ trong các công cụ được phê duyệt. Không nhập hồ sơ khách hàng, mức giá dành cho khách hàng hoặc bất kỳ nội dung nào được đánh dấu là bảo mật, trừ khi trưởng bộ phận dịch vụ khách hàng đã phê duyệt khách hàng và nhiệm vụ đó trong sổ đăng ký. Tuyệt đối không nhập thông tin cá nhân về ứng viên, nhân viên hoặc khách hàng."
Điều khoản mẫu về rà soát: "Trước khi sản phẩm công việc có AI hỗ trợ được gửi cho khách hàng, người phụ trách khách hàng phải đối chiếu mọi khẳng định về sự thật với bản yêu cầu hoặc một nguồn được nêu cụ thể, đồng thời loại bỏ mọi số liệu thống kê, kết quả hoặc lời chứng thực không thể truy nguyên nguồn. Công việc có AI hỗ trợ phải đáp ứng cùng tiêu chuẩn như mọi bản nháp khác."
Điều khoản mẫu về chuyển cấp xử lý: "Nếu không chắc chắn, hãy dừng lại và hỏi [tên người sáng lập], hoặc [tên người thay thế] nếu họ vắng mặt. Nếu bạn nghĩ rằng thông tin bị hạn chế đã được nhập vào nhầm công cụ, hãy báo cho họ ngay trong ngày. Bạn sẽ không bị phạt vì báo cáo kịp thời."
Sau đó, Harbour Lane thử áp dụng chính sách vào một công việc thực tế: viết bản tóm tắt chiến dịch từ bản yêu cầu của khách hàng, trước khi yêu cầu mọi người ký. Lần thử này cho thấy một điểm còn thiếu: không ai biết liệu hướng dẫn thương hiệu của khách hàng có được coi là tài liệu mật hay không. Người sáng lập đã bổ sung một dòng vào sổ theo dõi thay vì để từng trưởng nhóm phụ trách khách hàng tự quyết định.
Chính sách nên xử lý những điều chưa chắc chắn và sai sót như thế nào?
Chính sách cần nêu rõ cách báo cáo khi vô tình tiết lộ thông tin, khi có đầu ra thiếu căn cứ hoặc khi quy trình làm việc không còn phù hợp với nội dung đã được phê duyệt, đồng thời bảo đảm người báo cáo được an toàn. Nhân viên cần biết phải dừng việc gì, liên hệ với ai và giữ lại bằng chứng nào cho người phụ trách. Đừng tự tạo ra một quy trình xử lý sự cố chung mâu thuẫn với quy trình hiện có về vấn đề dữ liệu hoặc bảo mật; hãy dẫn chiếu đến quy trình đó.
Thử diễn tập tình huống ngắn trước khi áp dụng chính sách: có người đã dán một tài liệu hạn chế truy cập vào tài khoản cá nhân chưa được phê duyệt. Nhân viên có tìm được cách báo cáo sự việc không? Người phụ trách có biết dịch vụ và tài khoản nào đã được sử dụng, cũng như nhà cung cấp cho phép xóa dữ liệu theo những cách nào không? Dựa vào những điểm còn thiếu để cải thiện quy trình thực tế cùng những người rà soát phù hợp.
Làm thế nào để đảm bảo mọi người thực sự có thể làm theo?
Bản xác nhận có chữ ký cho thấy một người đã nhận được chính sách; nó không cho thấy họ có thể áp dụng chính sách đó. Mọi người học cách tuân thủ giới hạn bằng cách thực hành trên một nhiệm vụ sát thực tế: quyết định thông tin nào không nên đưa vào câu lệnh, đối chiếu một khẳng định do AI tạo ra với nguồn và giải thích phần họ đã chỉnh sửa. Đây cũng là điều mà phần hỏi đáp của Ủy ban châu Âu mô tả khi nói về việc thông báo cho nhân viên những rủi ro cụ thể trong công việc họ làm.
Cùng nhóm xem xét một ví dụ được phép, một ví dụ bị hạn chế và một trường hợp chưa rõ từ công việc thực tế của bạn. Yêu cầu từng người giải thích sự khác biệt và tìm kênh chuyển vấn đề lên người có thẩm quyền. Sau đó quay lại chính sách và bổ sung những ví dụ đã giúp việc ra quyết định rõ ràng hơn.
Tosheo.ai đang được phát triển cho bước thực hành đó. Theo kế hoạch khi ra mắt, người quản lý chọn vai trò và các công cụ AI nhóm sử dụng, mỗi người học làm bài đánh giá đầu vào ngắn, và các bài học kết thúc bằng bài thực hành trong công cụ thực tế, được chấm theo bảng tiêu chí công khai. Dự kiến người quản lý sẽ thấy tiến bộ về kỹ năng và mức độ hoàn thành, không thấy nhật ký trò chuyện nguyên gốc. Sản phẩm không viết hay thực thi chính sách của bạn; mục đích là giúp mọi người thực hành những thói quen mà chính sách yêu cầu.
Làm thế nào để chính sách luôn hữu ích?
Rà soát chính sách mỗi khi công cụ, gói dịch vụ, hợp đồng hoặc quy trình làm việc thay đổi, đồng thời ấn định lịch rà soát ít nhất mỗi năm một lần. Hỏi nhân viên xem những quyết định nào vẫn khó đưa ra. Một chính sách mà không ai áp dụng được cần ví dụ rõ ràng hơn hoặc quy trình chuyển cấp xử lý tốt hơn, chứ không cần thêm một ô đánh dấu xác nhận.
Ghi ngày phiên bản và nội dung thay đổi ở đầu để mọi người biết quy tắc nào đang có hiệu lực. Khi nhà cung cấp thay đổi điều khoản hoặc khách hàng thêm điều khoản về AI vào hợp đồng, hãy cập nhật mục tương ứng trong sổ theo dõi và thông báo cho những người bị ảnh hưởng, thay vì chờ đến đợt rà soát hằng năm.
Khi nào hướng dẫn này không phải là giải pháp phù hợp?
Cách tiếp cận này được thiết kế cho đội ngũ khoảng 5 đến 200 người dùng trợ lý AI có sẵn cho công việc tri thức hằng ngày. Chỉ riêng cách này là chưa đủ nếu bạn xây dựng hoặc bán hệ thống AI, đưa ra quyết định tự động về con người, hoạt động trong lĩnh vực chịu sự quản lý chặt chẽ như y tế, tư vấn tài chính hoặc dịch vụ pháp lý, hay có hợp đồng với khách hàng quy định cụ thể về AI. Trong những trường hợp đó, bạn cần người có chuyên môn rà soát về pháp lý và bảo vệ dữ liệu, và có thể cần đánh giá rủi ro chính thức, trước khi hoàn tất chính sách.
Nó cũng không thay thế cho chương trình bảo mật thông tin. Nếu công ty chưa có các quy định cơ bản về mật khẩu, bảo mật thiết bị hoặc phân loại dữ liệu, hãy xử lý những việc đó trước; chính sách AI không có nền tảng sẽ không đứng vững.
Nguồn và phạm vi
Sổ tay hướng dẫn Khung quản lý rủi ro AI của NIST: Quản trị, kiểm tra ngày 16 October 2026 ↗
ICO, Hướng dẫn về AI và bảo vệ dữ liệu (đang được rà soát), kiểm tra ngày 16 October 2026 ↗
Ủy ban châu Âu, Năng lực sử dụng AI - Hỏi và đáp, cập nhật lần cuối ngày 27 July 2026 ↗
NCSC, ChatGPT và các mô hình ngôn ngữ lớn: rủi ro là gì?, 14 tháng Ba 2023 ↗