Vì sao các công cụ AI tạo sinh cần có quy định sử dụng riêng?
Công cụ tạo sinh tạo ra văn bản, hình ảnh, âm thanh hoặc mã mới thay vì chỉ truy xuất hay sắp xếp thông tin sẵn có, nên rủi ro chính chuyển từ đầu vào sang đầu ra. Công cụ tìm kiếm trả về các trang mà bạn có thể kiểm tra; công cụ tạo sinh trả về một bản nháp có giọng điệu chắc chắn nhưng có thể chứa thông tin bịa đặt, cách diễn đạt vay mượn hoặc góc nhìn thiên lệch. Chính sách phải bao quát cả hai chiều.
Hồ sơ AI tạo sinh của NIST liệt kê mười hai rủi ro đặc thù của AI tạo sinh hoặc trở nên nghiêm trọng hơn do AI tạo sinh. Với một doanh nghiệp nhỏ thông thường, chính sách chủ yếu cần xử lý năm rủi ro: ảo giác (nội dung được khẳng định tự tin nhưng sai), quyền riêng tư dữ liệu (rò rỉ hoặc tiết lộ trái phép), sở hữu trí tuệ (sao chép nội dung được bảo hộ hoặc làm lộ bí mật kinh doanh), tính toàn vẹn thông tin (nội dung không phân biệt sự thật với ý kiến hoặc không thừa nhận điểm chưa chắc chắn) và điều NIST gọi là cấu hình tương tác giữa con người và AI, bao gồm thiên kiến tự động hóa và sự phụ thuộc quá mức.
Bạn có thể đưa các quy tắc này vào cùng tài liệu với quy tắc sử dụng được chấp nhận. Nhiều công ty nhỏ làm như vậy. Trang này tập trung vào các điều khoản riêng về nội dung. Đây là thông tin chung, không phải tư vấn pháp lý.
| Rủi ro trong hồ sơ NIST | Ứng dụng thực tế trong công việc | Quy định trong chính sách áp dụng cho vấn đề đó |
|---|---|---|
| Bịa đặt thông tin | Số liệu thống kê bịa đặt hoặc trích dẫn đến một trang không chứa thông tin đó | Đối chiếu mọi khẳng định về sự thật với một nguồn đã mở xem trước khi sử dụng |
| Quyền riêng tư dữ liệu | Dán danh sách liên hệ của khách hàng để soạn thư hàng loạt có thông tin cá nhân hóa | Các loại thông tin gắn với tài khoản được phê duyệt |
| Sở hữu trí tuệ | Hình ảnh mang phong cách đặc trưng của một nghệ sĩ, hoặc mã được sao chép từ một dự án có giấy phép | Quy tắc về câu lệnh yêu cầu phong cách, việc tái sử dụng và kiểm tra giấy phép |
| Tính toàn vẹn của thông tin | Bản tóm tắt trình bày phỏng đoán như sự thật | Yêu cầu thể hiện rõ những điểm chưa chắc chắn trong các bản nháp đã được rà soát |
| Phụ thuộc quá mức | Chấp nhận bản phân tích do AI tạo mà không đọc dữ liệu | Nêu rõ những quyết định vẫn do con người đưa ra |
Chính sách sử dụng ChatGPT dành cho nhân viên nên quy định những gì?
Chính sách sử dụng ChatGPT dành cho nhân viên cần nêu rõ phải dùng tài khoản nào, tuyệt đối không đưa gì vào câu lệnh, cách kiểm tra câu trả lời và cần hỏi ai; các quy định tương tự cũng phải áp dụng cho Claude, Gemini, Copilot và những trợ lý tương tự. Có thể nêu tên một sản phẩm trong tiêu đề để dễ hiểu, nhưng hãy viết các quy định sao cho không phải viết lại khi nhóm bổ sung công cụ khác.
Khác biệt quan trọng nhất là giữa tài khoản cá nhân và tài khoản công ty. Các gói dành cho người dùng cá nhân và doanh nghiệp của cùng một trợ lý có thể có điều khoản khác nhau về huấn luyện mô hình, lưu giữ dữ liệu và quyền kiểm soát của quản trị viên. Ví dụ, tài liệu của Microsoft cho biết Copilot Chat do các tổ chức sử dụng được áp dụng phụ lục bảo vệ dữ liệu của hãng, và câu lệnh cùng câu trả lời không được dùng để huấn luyện mô hình nền tảng; các quyền kiểm soát khác nhau tùy gói. Hãy ghi lại tuyên bố tương ứng cho từng công cụ bạn phê duyệt, kèm ngày kiểm tra, thay vì mặc nhiên cho là như vậy.
Điều khoản mẫu: "Chỉ sử dụng [trợ lý] thông qua tài khoản doanh nghiệp của bạn tại [Công ty]. Không dùng tài khoản cá nhân cho công việc của công ty, kể cả để hỏi nhanh một câu, vì tài khoản cá nhân không thuộc phạm vi thỏa thuận của chúng ta với nhà cung cấp."
Nhân viên tuyệt đối không nên đưa những gì vào câu lệnh cho AI tạo sinh?
Nhân viên tuyệt đối không được đưa mật khẩu, khóa truy cập hay thông tin bí mật khác vào câu lệnh, và chỉ được nhập thông tin mật, thông tin khách hàng hoặc thông tin cá nhân khi quy trình đã được phê duyệt cho phép. Hướng dẫn của Trung tâm An ninh mạng Quốc gia Vương quốc Anh lưu ý rằng tổ chức cung cấp mô hình có thể xem truy vấn và khuyến nghị không gửi những truy vấn có thể gây vấn đề nếu bị công khai.
Tệp tải lên cũng được tính là câu lệnh. Khi bạn đính kèm một bảng tính để yêu cầu tạo biểu đồ, mọi cột trong đó đều được gửi đi, kể cả những cột không cần cho yêu cầu. Một điều khoản chính sách nêu rõ "xóa các cột không cần thiết trước khi tải lên" rất dễ thực hiện và giúp ngăn ngừa một sự cố thường gặp.
Điều khoản mẫu: "Trước khi dán hoặc tải lên, hãy loại bỏ mọi nội dung không cần thiết cho nhiệm vụ. Tuyệt đối không đưa vào thông tin bí mật. Không đưa vào thông tin khách hàng hoặc thông tin cá nhân trừ khi sổ đăng ký đã phê duyệt công cụ và nhiệm vụ đó. Nếu không chắc chắn, hãy hỏi [người phụ trách] trước."
Nên kiểm tra nội dung do AI tạo ra như thế nào trước khi sử dụng?
Mức độ kiểm tra nội dung được tạo phải tương xứng với mục đích sử dụng: nội dung động não riêng chỉ cần xem qua, sản phẩm giao cho khách hàng cần truy nguồn mọi nhận định, còn bất cứ nội dung nào liên quan đến pháp lý, tài chính hoặc an toàn đều cần người có chuyên môn phù hợp rà soát. Chính sách cần chỉ rõ người kiểm tra cho từng loại đầu ra, thường là người sẽ gửi hoặc công bố nội dung đó.
Một ví dụ cụ thể từ Fenwick Talent, công ty tư vấn tuyển dụng giả định có 15 người. Một tư vấn viên nhập câu lệnh: "Viết bản cập nhật thị trường dài 150 từ cho các giám đốc tài chính về tuyển dụng kế toán quản trị tại Leeds." Bản nháp nói nhu cầu tăng mạnh trong năm nay và mức lương tăng theo một tỷ lệ phần trăm cụ thể, đồng thời trích dẫn một khảo sát lương có tên rõ ràng. Tư vấn viên không tìm thấy khảo sát hay số liệu đó.
Kết quả yếu được giữ nguyên: "Nhu cầu tuyển kế toán quản trị tại Leeds tăng mạnh trong năm nay, với mức lương tăng [số liệu] theo [khảo sát]." Bản đã rà soát: "Trong các vị trí chúng tôi đã tuyển được người trong quý này, các giám đốc tài chính thường hỏi nhiều nhất về thời hạn báo trước khi nghỉ việc và điều kiện làm việc kết hợp. Chúng tôi đang thấy nhiều trường hợp công ty hiện tại đưa ra đề nghị giữ chân ở giai đoạn ứng viên nhận được lời mời làm việc." Bản đã rà soát chỉ sử dụng những gì Fenwick tự quan sát được. Điều khoản chính sách làm căn cứ cho việc chỉnh sửa: "Loại bỏ mọi số liệu thống kê, khảo sát hoặc kết quả mà bạn không thể mở ra và xác nhận."
Bạn muốn xem nội dung này liên quan thế nào đến một vai trò công việc?
Tìm hiểu đợt dùng thử cho đội ngũ đang được lên kế hoạch ↗Khi nào nhân viên nên công khai rằng nội dung do AI tạo ra?
Tối thiểu, nhân viên cần thông báo cho người duyệt khi phần lớn nội dung bản nháp được AI tạo ra, đồng thời tuân thủ mọi điều khoản hợp đồng khách hàng, quy định của nền tảng hoặc quy định xuất bản yêu cầu công khai việc sử dụng AI. Ngoài những yêu cầu đó, việc công khai hay không là lựa chọn của công ty, tùy thuộc vào đối tượng tiếp nhận và bối cảnh.
Các ví dụ được công bố có cách tiếp cận khác nhau. Hướng dẫn tạm thời dành cho nhân viên của chính quyền thành phố Boston, công bố vào tháng 5 năm 2023, yêu cầu nhân viên công khai việc sử dụng AI và nêu rõ mô hình đã dùng, đồng thời gợi ý dòng ghi nhận như "Nội dung mô tả này do ChatGPT 3.5 tạo và được biên tập bởi" nhân viên đó. Cách này phù hợp với một cơ quan công quyền. Một công ty dịch vụ nhỏ có thể quyết định rằng với nội dung thông thường, chỉ cần thông báo nội bộ cho người kiểm tra là đủ, còn hình ảnh hoặc giọng nói tổng hợp do AI tạo thì cần được ghi nhãn khi cung cấp ra bên ngoài.
Điều khoản mẫu: "Thông báo cho người rà soát khi AI tạo ra phần đáng kể của bản nháp. Gắn nhãn [nội dung nhãn] cho hình ảnh, âm thanh hoặc video do AI tạo ra dành cho khách hàng. Tuân thủ mọi chỉ dẫn của khách hàng về việc sử dụng AI; các chỉ dẫn đó được ưu tiên hơn điều khoản này."
Chính sách về AI tạo sinh nên quy định thế nào về bản quyền và hình ảnh?
Chính sách cần ngăn nhân viên cố ý sao chép tác phẩm được bảo hộ, yêu cầu kiểm tra giấy phép trước khi tái sử dụng mã hoặc tài nguyên được tạo ra, và cấm tạo hình ảnh hoặc giọng nói của người thật khi chưa có sự đồng ý. Tài liệu về rủi ro của NIST liệt kê việc dễ dàng sao chép nội dung được bảo hộ bản quyền, nhãn hiệu hoặc giấy phép và việc dễ làm lộ bí mật kinh doanh trong số các rủi ro của AI tạo sinh.
Luật bản quyền đối với nội dung do AI tạo ra khác nhau giữa các quốc gia và vẫn đang phát triển, vì vậy chính sách không nên cam kết rằng công ty sở hữu hoặc có thể đăng ký bản quyền cho mọi kết quả được tạo ra. Chính sách nên nêu cách công ty xử lý những điểm chưa rõ: ví dụ, hình ảnh được tạo ra có thể được dùng thoải mái cho bản phác thảo nội bộ, nhưng mọi nội dung dành cho chiến dịch của khách hàng đều phải được kiểm tra theo điều khoản cấp phép của công cụ và chỉ dẫn của khách hàng trước.
Các điều khoản mẫu: "Không yêu cầu tạo nội dung theo phong cách của một nghệ sĩ còn sống hoặc thương hiệu cụ thể, hay yêu cầu công cụ sao chép văn bản có bản quyền. Không tạo hình ảnh, âm thanh hoặc video về một người có thật khi chưa có sự đồng ý bằng văn bản của họ. Kiểm tra điều khoản sử dụng cho mục đích thương mại của công cụ trước khi đưa nội dung được tạo vào sản phẩm làm cho khách hàng." Hãy xin tư vấn về quy định áp dụng tại khu vực pháp lý của bạn.
Những quyết định nào vẫn cần do con người đưa ra?
Các quyết định có ảnh hưởng đáng kể đến một người, chẳng hạn như tuyển dụng, lương, hiệu suất, tín dụng, khiếu nại và mọi vấn đề liên quan đến sức khỏe hoặc an toàn, phải do một người được chỉ định cụ thể phụ trách và người đó phải kiểm tra thông tin làm căn cứ. Công cụ AI tạo sinh có thể hỗ trợ soạn thảo, sắp xếp hoặc tóm tắt thông tin cho những quyết định này; chúng không nên là bên đưa ra quyết định.
Hồ sơ của NIST mô tả thiên kiến tự động hóa và sự phụ thuộc quá mức là một phần của rủi ro trong cách bố trí tương tác giữa con người và AI. Chính sách khắc phục điều này bằng một phép kiểm tra đơn giản: người ra quyết định phải có thể giải thích quyết định mà không viện dẫn những gì công cụ đã nói. Khi có liên quan đến dữ liệu cá nhân, hướng dẫn của ICO về AI và bảo vệ dữ liệu là nguồn tham khảo chính thức tại Vương quốc Anh; các trang hướng dẫn hiện cho biết nội dung đang được rà soát sau khi Đạo luật Dữ liệu (Sử dụng và Truy cập) được ban hành.
Khi nào chính sách về AI tạo sinh không phải là công cụ phù hợp?
Chính sách AI tạo sinh dành cho nhân viên là chưa đủ nếu bạn đang tích hợp các tính năng tạo sinh vào sản phẩm, tinh chỉnh mô hình bằng dữ liệu khách hàng hoặc triển khai trợ lý trò chuyện thay mặt bạn giao tiếp với công chúng. Những việc đó cần được rà soát về sản phẩm, bảo mật và pháp lý ở mức sâu rộng hơn nhiều so với các quy tắc dành cho nhân viên.
Nó cũng không thể thay thế việc thực hành. Biết rằng một bản nháp có thể chứa số liệu bịa đặt khác với việc phát hiện ra số liệu đó khi đang chịu áp lực thời hạn. Tosheo.ai đang được xây dựng để phục vụ bước thực hành này: theo kế hoạch, các lộ trình học theo vai trò sẽ kết thúc mỗi bài học bằng một nhiệm vụ thực hành trên công cụ AI thực tế, được chấm theo bộ tiêu chí công khai. Tosheo.ai không soạn thảo hay thực thi chính sách của bạn.
Nguồn và phạm vi
NIST, Hồ sơ AI tạo sinh (NIST AI 600-1), July 2024 ↗
NCSC, ChatGPT và các mô hình ngôn ngữ lớn: rủi ro là gì?, 14 tháng Ba 2023 ↗
ICO, Hướng dẫn về AI và bảo vệ dữ liệu (đang được rà soát), kiểm tra ngày 16 October 2026 ↗