Từ ngày 1/1/2026, việc đưa dữ liệu vào chatbot AI chịu sự điều chỉnh của Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15) và Nghị định 356/2025/NĐ-CP — thay cho Nghị định 13/2023 đã hết hiệu lực. Nguyên tắc ngắn gọn: dữ liệu đã ẩn danh hoặc không định danh được cá nhân thì đưa vào thoải mái; còn dữ liệu cá nhân, đặc biệt là dữ liệu nhạy cảm, chỉ được đưa vào khi có sự đồng ý hợp lệ và đúng mục đích đã thông báo.
Điểm doanh nghiệp hay bỏ sót: khi bạn dán một hợp đồng, danh sách khách hàng hay hồ sơ nhân sự vào ChatGPT hay Claude, về mặt pháp lý bạn vẫn là bên chịu trách nhiệm với dữ liệu đó. Nhà cung cấp AI chỉ là bên xử lý thuê. Vì vậy, bài viết này đưa ra checklist cụ thể: dữ liệu nào được phép, dữ liệu nào phải dừng lại, và bốn nghĩa vụ pháp lý bạn cần khép kín trước khi để nhân viên dùng AI với dữ liệu thật.
Khung pháp lý đã đổi: Nghị định 13 không còn hiệu lực
Nhiều bài hướng dẫn trên mạng vẫn dẫn Nghị định 13/2023/NĐ-CP. Cần lưu ý: nghị định này đã hết hiệu lực từ ngày 1/1/2026. Thay thế nó là hai văn bản có giá trị pháp lý cao hơn và chi tiết hơn.
Thứ nhất là Luật Bảo vệ dữ liệu cá nhân, được Quốc hội thông qua ngày 26/6/2025 (Luật số 91/2025/QH15), lần đầu nâng bảo vệ dữ liệu cá nhân lên tầm luật thay vì chỉ là nghị định. Thứ hai là Nghị định 356/2025/NĐ-CP ban hành ngày 31/12/2025, hướng dẫn thi hành và thay thế toàn bộ Nghị định 13, tập trung vào đánh giá tác động xử lý dữ liệu, thủ tục chuyển dữ liệu ra nước ngoài, vai trò nhân sự bảo vệ dữ liệu (DPO) và cơ chế thanh tra của cơ quan an ninh mạng.
Với AI, ý nghĩa thực tế là: mọi lần nhân viên đưa dữ liệu cá nhân vào một công cụ AI đều là một hoạt động "xử lý dữ liệu cá nhân" theo luật, và doanh nghiệp phải chứng minh được mình có căn cứ hợp pháp để làm việc đó.
Phân biệt dữ liệu cơ bản và dữ liệu nhạy cảm
Luật chia dữ liệu cá nhân thành hai nhóm, và đây là điều quyết định bạn được đưa gì vào chatbot.
Dữ liệu cá nhân cơ bản gồm những thông tin định danh thông thường: họ tên, ngày sinh, số điện thoại, email, địa chỉ, số căn cước, biển số xe, thông tin tài khoản mạng xã hội. Dữ liệu cá nhân nhạy cảm là nhóm được bảo vệ chặt hơn, gồm dữ liệu về sức khỏe, sinh trắc học, dữ liệu tài chính (tài khoản, giao dịch, thẻ), dữ liệu vị trí, đời sống và xu hướng tình dục, quan điểm chính trị và tôn giáo, tình trạng phạm tội, nguồn gốc chủng tộc.
Nguyên tắc: đưa dữ liệu nhạy cảm vào AI đòi hỏi mức đồng ý và biện pháp bảo vệ cao hơn hẳn dữ liệu cơ bản. Trong nhiều trường hợp, cách an toàn nhất là không đưa dữ liệu nhạy cảm ở dạng định danh vào chatbot, mà tách phần định danh ra trước khi hỏi AI.
Checklist: dữ liệu ĐƯỢC đưa vào chatbot AI
Những loại dữ liệu dưới đây thường an toàn để đưa vào công cụ AI phục vụ công việc, với điều kiện dùng gói doanh nghiệp có cam kết không huấn luyện trên dữ liệu của bạn:
- Dữ liệu đã ẩn danh hoặc giả danh — đã xóa hoặc thay tên, số điện thoại, mã khách hàng bằng ký hiệu để không truy ngược ra cá nhân.
- Nội dung không chứa dữ liệu cá nhân — tài liệu kỹ thuật, code, chính sách nội bộ, mô tả sản phẩm, văn bản marketing chưa gắn với người cụ thể.
- Dữ liệu công khai hợp pháp — thông tin doanh nghiệp đã công bố, nội dung website công khai, số liệu thị trường tổng hợp.
- Dữ liệu cá nhân của chính người dùng khi họ tự nhập để được hỗ trợ, đúng mục đích và trên gói có quản trị tập trung.
- Dữ liệu cá nhân đã có đồng ý rõ ràng cho đúng mục đích xử lý bằng AI — ví dụ tổng hợp phản hồi khách hàng đã thông báo sẽ dùng công cụ phân tích.
Checklist: dữ liệu KHÔNG nên đưa vào nếu chưa đủ điều kiện
Ngược lại, hãy dừng lại và kiểm tra căn cứ pháp lý trước khi đưa những loại dữ liệu sau vào bất kỳ chatbot nào:
- Dữ liệu nhạy cảm ở dạng định danh — hồ sơ sức khỏe, dữ liệu sinh trắc học, sao kê tài khoản, thông tin thẻ ngân hàng gắn tên người cụ thể.
- Dữ liệu cá nhân chưa có sự đồng ý cho mục đích xử lý bằng AI, hoặc thu thập cho mục đích khác rồi mang đi dùng lại.
- Dữ liệu trẻ em khi chưa có đồng ý của cha mẹ hoặc người giám hộ.
- Toàn bộ cơ sở dữ liệu khách hàng hoặc nhân sự dán nguyên khối vào chatbot để "nhờ AI phân tích" — vừa quá mục đích, vừa mất kiểm soát.
- Dữ liệu cá nhân của nhân viên đã nghỉ việc mà lẽ ra phải xóa khi chấm dứt hợp đồng lao động.
Bốn nghĩa vụ pháp lý cần khép kín
Muốn dùng AI với dữ liệu thật một cách hợp pháp, doanh nghiệp cần đáp ứng bốn nghĩa vụ dưới đây. Đây cũng là khung để xây quy chế nội bộ.
| Nghĩa vụ | Yêu cầu cụ thể |
|---|---|
| Sự đồng ý | Phải rõ ràng, cụ thể cho từng mục đích. Im lặng không còn được coi là đồng ý. Dữ liệu nhạy cảm và dữ liệu trẻ em cần mức đồng ý cao hơn. |
| Đúng mục đích, tối thiểu dữ liệu | Chỉ đưa vào AI phần dữ liệu thật sự cần cho công việc, đúng mục đích đã thông báo — không dán dư "cho chắc". |
| Chuyển dữ liệu ra nước ngoài | Phần lớn chatbot AI xử lý dữ liệu trên máy chủ nước ngoài. Đây là chuyển dữ liệu xuyên biên giới, phải lập hồ sơ đánh giá tác động theo Nghị định 356. |
| Xóa và thu hồi | Xóa dữ liệu khi hết mục đích, khi chủ thể yêu cầu, và xóa dữ liệu nhân viên khi chấm dứt hợp đồng. |
Nghĩa vụ khó nhất trong thực tế là chuyển dữ liệu xuyên biên giới: gần như mọi lần dùng ChatGPT, Claude hay Gemini bản quốc tế đều gửi dữ liệu ra máy chủ ngoài Việt Nam. Doanh nghiệp cần chuẩn bị hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài và lưu để xuất trình khi được thanh tra. Nếu chưa rõ cách xây, tham khảo dịch vụ quản trị AI và an toàn LLM của Uptech.
Mức phạt khi vi phạm
Luật mới đi kèm chế tài đủ nặng để doanh nghiệp không thể xem nhẹ. Các con số dưới đây lấy từ quy định về xử phạt vi phạm hành chính có hiệu lực từ 1/1/2026; mức tối đa áp cho tổ chức, cá nhân vi phạm cùng hành vi bị phạt bằng một nửa.
| Hành vi vi phạm | Mức phạt tối đa |
|---|---|
| Mua, bán dữ liệu cá nhân | Tới 10 lần khoản thu có được từ vi phạm; nếu không xác định được thì tối đa 3 tỷ đồng với tổ chức |
| Chuyển dữ liệu cá nhân ra nước ngoài trái quy định | Tới 5% doanh thu năm liền trước, hoặc tối đa 3 tỷ đồng nếu không xác định được doanh thu |
| Các vi phạm khác về bảo vệ dữ liệu cá nhân | Theo khung phạt tiền quy định, tối đa 3 tỷ đồng với tổ chức |
Ngoài tiền phạt, rủi ro lớn hơn thường là uy tín và gián đoạn kinh doanh khi bị buộc dừng hoạt động xử lý dữ liệu. Vì vậy, đầu tư vào quản trị dữ liệu từ đầu rẻ hơn nhiều so với xử lý hậu quả.
Cách triển khai an toàn cho doanh nghiệp
Để nhân viên dùng AI mà vẫn tuân thủ, ba việc nên làm ngay. Một là ban hành quy chế nội bộ nêu rõ dữ liệu nào được và không được đưa vào AI, theo đúng hai checklist ở trên. Hai là chuyển từ tài khoản cá nhân sang gói doanh nghiệp có cam kết không huấn luyện trên dữ liệu khách hàng, có SSO và nhật ký để kiểm soát ai đưa dữ liệu gì lên đâu.
Ba là chuẩn hóa hồ sơ tuân thủ: đánh giá tác động chuyển dữ liệu ra nước ngoài, cơ chế thu thập đồng ý, và quy trình xóa dữ liệu. Doanh nghiệp muốn dùng AI đúng luật có thể bắt đầu bằng việc chuẩn hóa license: xem cách chọn license AI cho doanh nghiệp và cân nhắc phân bổ công cụ theo từng phòng ban để giới hạn dữ liệu đúng người, đúng việc.
Câu hỏi thường gặp
Nghị định 13/2023 còn hiệu lực không?
Không. Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ ngày 1/1/2026, được thay thế bằng Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15) và Nghị định 356/2025/NĐ-CP. Các quy chế nội bộ dẫn Nghị định 13 cần được cập nhật.
Đưa dữ liệu khách hàng vào ChatGPT hay Claude có vi phạm luật không?
Không đương nhiên vi phạm, nhưng phải đủ điều kiện: có căn cứ hợp pháp (thường là sự đồng ý đúng mục đích), chỉ đưa dữ liệu tối thiểu cần thiết, và có hồ sơ đánh giá tác động cho việc chuyển dữ liệu ra nước ngoài. Dùng gói doanh nghiệp có cam kết không huấn luyện giúp giảm rủi ro, nhưng không thay thế nghĩa vụ pháp lý của bạn.
Gói doanh nghiệp cam kết không huấn luyện là đã đủ tuân thủ chưa?
Chưa đủ. Cam kết không huấn luyện của nhà cung cấp là điều kiện cần, giúp dữ liệu không bị dùng để dạy mô hình. Nhưng doanh nghiệp vẫn là bên kiểm soát dữ liệu, phải tự lo phần đồng ý, mục đích, chuyển dữ liệu xuyên biên giới và xóa dữ liệu.
Dữ liệu đã ẩn danh có được đưa vào AI tự do không?
Nếu dữ liệu thực sự đã ẩn danh, tức không còn khả năng truy ngược ra cá nhân, thì không còn là dữ liệu cá nhân và được đưa vào AI thoải mái hơn. Lưu ý phân biệt với giả danh (thay tên bằng mã nhưng vẫn giữ bảng đối chiếu) — dạng này vẫn được coi là dữ liệu cá nhân.
Doanh nghiệp nhỏ có phải tuân thủ không?
Có. Luật áp dụng cho mọi tổ chức, cá nhân xử lý dữ liệu cá nhân, không phân biệt quy mô. Doanh nghiệp nhỏ nên bắt đầu bằng quy chế nội bộ đơn giản và dùng gói AI có quản trị tập trung để dễ kiểm soát.
Uptech tư vấn khung quản trị dữ liệu khi dùng AI, cung cấp license Claude và ChatGPT gói doanh nghiệp có hóa đơn VAT, cam kết không huấn luyện và quản trị user tập trung. Liên hệ Uptech để dựng quy chế "dữ liệu nào được đưa vào AI" phù hợp với đặc thù dữ liệu và ngành của bạn.
