Mẫu chính sách AI dành cho nhân viên

Bạn nên sử dụng mẫu này như thế nào?

Sao chép các điều khoản dưới đây vào tài liệu của bạn, thay thế mọi nội dung giữ chỗ trong ngoặc vuông và trao đổi từng điều khoản với người chịu trách nhiệm về quy trình đó. Không áp dụng làm chính sách công ty khi chưa kiểm tra các công cụ, thông tin và nghĩa vụ thực tế có liên quan. Nội dung này chủ ý không đặt ra một quyền chung cho phép tải mọi dữ liệu kinh doanh lên công cụ.

Dùng một nhiệm vụ quen thuộc để kiểm tra xem nhân viên có thể áp dụng tài liệu đã hoàn thiện hay không. Ví dụ, họ có biết tài khoản nào được phê duyệt để soạn email từ thông tin công khai, và cần hỏi ai trước khi chia sẻ báo cáo khách hàng không? Nếu câu trả lời chưa rõ, hãy cải thiện chính sách trước khi yêu cầu nhân viên xác nhận đã đọc và hiểu.

Mẫu này cung cấp thông tin chung, không phải tư vấn pháp lý. Các quy định về bảo vệ dữ liệu, lao động và lĩnh vực hoạt động khác nhau tùy quốc gia, và bạn nên nhờ một chuyên gia tư vấn có chuyên môn phù hợp rà soát phiên bản mình áp dụng.

Các điều khoản về mục đích, phạm vi và trách nhiệm phụ trách cần có những gì?

Ba điều khoản đầu tiên nêu lý do chính sách tồn tại, đối tượng áp dụng và người quyết định khi có điểm chưa rõ. Hãy viết ngắn gọn; mục đích của chúng là giúp người đọc nắm được định hướng, không phải tạo hiệu lực pháp lý.

Điều 1, mục đích: "[Công ty] sử dụng các công cụ AI để hỗ trợ nhân viên soạn thảo, tóm tắt, nghiên cứu và phân tích. Chính sách này giải thích những công cụ nào được phê duyệt, thông tin nào được phép sử dụng với các công cụ đó, cách kiểm tra kết quả và cần hỏi ai. Chính sách này bổ trợ, không thay thế, các chính sách [an toàn thông tin / bảo vệ dữ liệu / bảo mật] của chúng tôi."

Điều 2, phạm vi áp dụng: "Chính sách này áp dụng cho tất cả nhân viên, nhà thầu và [người làm việc tự do / thực tập sinh] làm việc cho [Công ty], trên mọi thiết bị, bao gồm cả các tính năng AI tích hợp trong phần mềm chúng tôi đang sử dụng, như [bộ ứng dụng văn phòng, công cụ thiết kế, CRM]."

Điều 3, trách nhiệm quản lý: "[Tên, vai trò] chịu trách nhiệm quản lý chính sách này và danh mục công cụ được phê duyệt. [Tên người thay thế] đảm nhiệm khi người phụ trách vắng mặt. Mọi câu hỏi gửi đến [email hoặc kênh liên hệ]. [Tên, vai trò] phê duyệt mọi quy trình làm việc có liên quan đến thông tin cá nhân."

Điền các điều khoản về công cụ và thông tin như thế nào?

Điều 4 và 5 liên quan đến phần lớn rủi ro, nên cần được quy định cụ thể nhất. Điều 4 nêu chính xác các tài khoản; điều 5 quy định những loại thông tin nào được phép đưa vào từng tài khoản.

Điều 4, công cụ được phê duyệt: "Chỉ sử dụng các công cụ có trong danh mục công cụ được phê duyệt và đăng nhập bằng tài khoản [Công ty] của bạn. Không được sử dụng tài khoản cá nhân, gói miễn phí và tiện ích mở rộng trình duyệt không có trong danh mục cho công việc của [Công ty] hoặc khách hàng. Để đề nghị sử dụng công cụ mới, hãy gửi email cho [người phụ trách], nêu rõ công cụ, gói dịch vụ, tác vụ và thông tin sẽ được sử dụng."

Điều 5, thông tin: "Bạn được phép sử dụng thông tin công khai và [thông tin nội bộ] trong các công cụ được phê duyệt. Bạn không được nhập [tài liệu mật của khách hàng / thông tin giá / số liệu tài chính chưa công bố / mã nguồn / thông tin xác thực] trừ khi danh mục cho phép dùng công cụ đó cho tác vụ đó. Không nhập thông tin cá nhân về nhân viên, ứng viên hoặc khách hàng trừ khi [tên] đã phê duyệt quy trình làm việc cụ thể. Chỉ xóa tên không có nghĩa là thông tin đã an toàn để chia sẻ."

Mỗi mục phê duyệt trong sổ theo dõi cần ghi rõ dịch vụ và gói sử dụng, công việc được phép thực hiện, thông tin được phép dùng, người rà soát và ngày rà soát. Hỏi riêng nhà cung cấp về việc dùng dữ liệu của bạn để huấn luyện, thời gian lưu giữ, quyền truy cập của quản trị viên và việc xóa dữ liệu; đồng thời ghi lại nội dung các điều khoản hiện hành cùng ngày bạn kiểm tra. Tuyên bố không dùng dữ liệu để huấn luyện không đồng nghĩa với việc không lưu trữ dữ liệu.

Các điều khoản về rà soát kết quả đầu ra và ra quyết định liên quan đến con người nên quy định những gì?

Điều 6 quy định người sử dụng kết quả phải chịu trách nhiệm kiểm tra; điều 7 bảo đảm các quyết định về con người vẫn do con người đưa ra. Cả hai điều này cần phù hợp với các cơ chế phê duyệt hiện có, không thay thế chúng.

Điều 6, rà soát kết quả: "Bạn chịu trách nhiệm về mọi sản phẩm công việc có AI hỗ trợ mà bạn sử dụng hoặc gửi đi. Trước khi sử dụng, hãy đối chiếu dữ kiện, số liệu, trích dẫn và nguồn dẫn với tài liệu gốc hoặc một nguồn được nêu tên rõ ràng. Loại bỏ mọi số liệu thống kê, kết quả, lời chứng thực hoặc nguồn dẫn mà bạn không thể truy xuất nguồn gốc. Những công việc thông thường cần được [bộ phận pháp chế / bộ phận tài chính / người quản lý] rà soát vẫn phải được họ rà soát."

Điều 7, quyết định về con người: "Không được dùng công cụ AI làm cơ sở cho các quyết định về tuyển dụng, lương, hiệu suất làm việc, kỷ luật, tín dụng hoặc khiếu nại của khách hàng. Công cụ AI có thể hỗ trợ soạn thảo hoặc sắp xếp tài liệu, nhưng một người được chỉ định rõ phải rà soát thông tin gốc và đưa ra quyết định."

Nếu nhóm của bạn xử lý khối lượng công việc lớn, chẳng hạn trả lời yêu cầu hỗ trợ, hãy thêm một câu về kiểm tra chọn mẫu: ai lấy mẫu các câu trả lời có AI hỗ trợ, tần suất bao nhiêu và cần làm gì khi xuất hiện lỗi lặp lại có quy luật.

Các điều khoản về công khai, báo cáo và rà soát được áp dụng như thế nào?

Ba điều khoản cuối cùng nêu khi nào cần cho người khác biết đã sử dụng AI, cần làm gì khi xảy ra sự cố và cách duy trì tính cập nhật của chính sách.

Điều 8, công khai việc sử dụng AI: "Thông báo cho người rà soát khi phần lớn nội dung bản thảo được tạo bằng AI. Tuân thủ hợp đồng với khách hàng và mọi quy định của nền tảng hoặc đơn vị xuất bản về nội dung do AI tạo. [Tùy chọn: Hình ảnh hoặc văn bản do AI tạo dành cho khách hàng được gắn nhãn là [nội dung nhãn].]"

Điều 9, báo cáo: "Nếu thông tin bị hạn chế sử dụng có thể đã được đưa vào một công cụ chưa được phê duyệt, hoặc kết quả có AI hỗ trợ đã gây ra hay suýt gây ra vấn đề, hãy báo cho [người phụ trách] ngay trong ngày, nêu rõ công cụ, tài khoản và nội dung đã chia sẻ. Tuân thủ [quy trình xử lý sự cố hiện có] nếu có áp dụng. Việc báo cáo kịp thời sẽ không bị xem là hành vi vi phạm."

Điều 10, rà soát: "[Người phụ trách] rà soát chính sách này và danh mục ít nhất mỗi [sáu / mười hai] tháng, cũng như mỗi khi có thay đổi về công cụ, gói dịch vụ, hợp đồng hoặc quy trình làm việc. Phiên bản [số], được [tên] phê duyệt vào [ngày]."

Những chỗ trống nào cần có quyết định cụ thể để điền vào?

Mỗi phần trong ngoặc vuông đều là một quyết định chưa được chốt, không phải phương án mặc định an toàn. Vì vậy, hãy đánh dấu các mục chưa rõ để rà soát thay vì điền vào một quy tắc nghe có vẻ hợp lý. Công ty phải cung cấp thông tin về người phụ trách chính sách, các dịch vụ và gói dịch vụ được phê duyệt, nhiệm vụ được phép thực hiện, thông tin bị hạn chế, trách nhiệm rà soát, kênh báo cáo và ngày rà soát.

Ghi lại lý do một công cụ được phê duyệt cho một tác vụ cụ thể. Cài đặt huấn luyện mô hình, lưu giữ dữ liệu, kiểm soát truy cập và quyền sử dụng theo hợp đồng là những vấn đề riêng biệt. Một công cụ có thể được chấp nhận cho mục đích này nhưng cần phê duyệt bổ sung cho mục đích khác. Thể hiện rõ sự khác biệt đó trong sổ theo dõi.

Một tình huống minh họa cụ thể: một đơn vị dịch vụ ghi sổ kế toán giả định có 18 người điền điều khoản 5 trước và nhận thấy không thể trả lời, vì thư thỏa thuận dịch vụ với khách hàng không đề cập đến AI. Thay vì đoán, chủ đơn vị đánh dấu tài liệu khách hàng là chưa được phép sử dụng trong khi chờ rà soát, phê duyệt ngay việc sử dụng tài liệu công khai và nội bộ, đồng thời đặt lịch trao đổi với cố vấn về việc cập nhật thư thỏa thuận dịch vụ.

Người đánh giá nên kiểm tra những gì?

Người rà soát cần kiểm tra để đảm bảo chính sách phù hợp với các quy trình hiện có về an toàn thông tin, quyền riêng tư, lao động và xuất bản, đồng thời không âm thầm thay thế các quy trình đó. Một tài liệu AI ngắn không nên nới lỏng quy định đang kiểm soát dữ liệu mật hoặc những quyết định có tác động đáng kể. Việc chọn người rà soát phù hợp phụ thuộc vào tổ chức, quy trình làm việc và phạm vi pháp lý áp dụng.

Phần Quản trị trong cẩm nang triển khai khung quản lý rủi ro AI của NIST đề cập đến vai trò, trách nhiệm, đào tạo và rủi ro từ bên thứ ba; mẫu này là bản chúng tôi điều chỉnh để các nhóm nhỏ có thể áp dụng thực tế. Hướng dẫn của ICO về AI và bảo vệ dữ liệu là nguồn thông tin chính thức của Vương quốc Anh cho các vấn đề về dữ liệu cá nhân. Các trang này hiện cho biết hướng dẫn đang được rà soát sau khi Luật Dữ liệu (Sử dụng và Truy cập) được ban hành, vì vậy hãy kiểm tra phiên bản đang được công bố. Mẫu này không phải là chứng nhận tuân thủ hay lời khẳng định rằng công ty bạn đã triển khai các biện pháp kiểm soát.

Làm thế nào để giới thiệu chính sách cho nhóm?

Hãy giới thiệu bằng ví dụ từ chính công việc của bạn, thay vì giao tài liệu để mọi người tự đọc. Cùng phân tích một ví dụ được phép, một ví dụ bị hạn chế và một trường hợp chưa rõ. Yêu cầu mọi người giải thích sự khác biệt và xác định cách chuyển vấn đề lên người có thẩm quyền. Dành thời gian để họ đặt câu hỏi về những công cụ và tài khoản họ thực sự sử dụng. Chỉ xác nhận đã hiểu chưa chứng minh được rằng một người có thể áp dụng giới hạn đó.

Xem lại chính sách sau buổi thực hành đầu tiên. Bổ sung những ví dụ giúp việc ra quyết định rõ ràng hơn và sửa những hướng dẫn không phù hợp với quy trình làm việc. Ghi số phiên bản và người phụ trách để nhân viên biết tìm các quy định hiện hành ở đâu.

Nếu bạn muốn thực hành theo một cấu trúc rõ ràng, Tosheo.ai đang được xây dựng để cung cấp cho từng vai trò những bài học ngắn, kết thúc bằng một nhiệm vụ thực hành trên công cụ AI thực tế, được chấm theo hướng dẫn có tiêu chí rõ ràng mà người học có thể xem. Sản phẩm không viết hoặc phê duyệt chính sách của bạn.

Khi nào một mẫu chung không phải là điểm khởi đầu phù hợp?

Mẫu chung không phải là điểm khởi đầu phù hợp nếu bạn tích hợp AI vào sản phẩm bán ra, xử lý dữ liệu cá nhân thuộc nhóm đặc biệt, hoạt động trong ngành nghề chịu sự quản lý chuyên biệt hoặc có hợp đồng đã quy định các điều khoản về AI. Hãy bắt đầu từ những nghĩa vụ đó với sự hỗ trợ của chuyên gia tư vấn có chuyên môn phù hợp và chỉ dùng cấu trúc này làm danh sách các chủ đề cần kiểm tra.

Cách này cũng không phù hợp nếu không ai chịu trách nhiệm. Một mẫu biểu được điền một lần rồi không bao giờ rà soát sẽ trở thành danh sách quy định về những công cụ mà nhóm không còn sử dụng. Hãy xác định người phụ trách trước khi điền điều khoản 4.

Nguồn và phạm vi

Sổ tay hướng dẫn Khung quản lý rủi ro AI của NIST: Quản trị, kiểm tra ngày 16 October 2026 ↗

ICO, Hướng dẫn về AI và bảo vệ dữ liệu (đang được rà soát), kiểm tra ngày 16 October 2026 ↗

ICO, Bộ công cụ đánh giá rủi ro về AI và bảo vệ dữ liệu (đang được rà soát), kiểm tra ngày 16 October 2026 ↗