Khi doanh nghiệp đưa dữ liệu cá nhân của khách vào một công cụ AI có máy chủ đặt ngoài Việt Nam, về nguyên lý đó là một hình thức chuyển dữ liệu cá nhân ra nước ngoài. Nghị định 13/2023/NĐ-CP đã đặt nghĩa vụ riêng cho việc này — lập và lưu hồ sơ đánh giá tác động chuyển dữ liệu, gửi cơ quan chuyên trách — và Luật Bảo vệ dữ liệu cá nhân 2025 tiếp tục điều chỉnh, có thể kèm cơ chế miễn, giảm cho một số trường hợp.
Bài này viết cho chủ doanh nghiệp nhỏ và người phụ trách vận hành: khi nào việc dùng AI chạm vào quy định này, mức rủi ro của từng kiểu dùng, cách giảm dữ liệu cá nhân xuống mức thấp nhất trước khi gửi, và những gì cần đọc trong điều khoản của nhà cung cấp. Góc thao tác cho nhân viên dùng chatbot hằng ngày có ở danh mục “Dữ liệu khi dùng chatbot AI”; ở đây tập trung vào nghĩa vụ của tổ chức.
Dán danh sách khách vào chatbot có phải chuyển dữ liệu ra nước ngoài không
Pháp luật không định nghĩa chuyển dữ liệu ra nước ngoài chỉ là gửi tệp cho một đối tác ở nước khác. Theo tinh thần của quy định, việc dùng không gian mạng, thiết bị, phương tiện điện tử để đưa dữ liệu cá nhân của người Việt Nam tới một địa điểm ngoài lãnh thổ, hoặc xử lý dữ liệu đó tại một địa điểm ngoài lãnh thổ, đều có thể được tính. Phần lớn các dịch vụ AI phổ biến đặt máy chủ ở nước ngoài, nên một lần dán bảng tính có tên, số điện thoại, lịch sử mua của khách vào chatbot để nhờ phân nhóm là đã rơi vào vùng này.
Điều đó không có nghĩa là mọi lần dùng AI đều phải làm thủ tục. Nếu bạn chỉ đưa vào nội dung không chứa dữ liệu cá nhân — mô tả sản phẩm, quy trình nội bộ đã bỏ tên người, số liệu tổng hợp không lần ngược được về ai — thì không có dữ liệu cá nhân nào bị chuyển. Đây là lý do việc che và ẩn danh trước khi gửi là biện pháp hiệu quả nhất về cả pháp lý lẫn bảo mật.
Ranh giới khó nằm ở những dữ liệu tưởng như vô hại: đoạn chat chăm sóc khách hàng có tên tài khoản, ảnh chụp màn hình đơn hàng có địa chỉ, tệp ghi âm cuộc gọi đưa vào công cụ chuyển giọng nói thành chữ. Những thứ này đều chứa dữ liệu cá nhân, đôi khi cả dữ liệu nhạy cảm.
Vai trò của bạn và của nhà cung cấp AI
Bạn là bên kiểm soát. Doanh nghiệp quyết định đưa dữ liệu khách vào AI để làm gì, nên là bên kiểm soát dữ liệu và chịu trách nhiệm chính trước khách hàng. Khách không có quan hệ gì với nhà cung cấp AI; họ chỉ biết đã đưa thông tin cho cửa hàng của bạn.
Nhà cung cấp AI thường là bên xử lý khi họ cam kết chỉ xử lý dữ liệu theo yêu cầu của bạn, không dùng cho mục đích riêng. Tài khoản doanh nghiệp và giao diện lập trình của nhiều nhà cung cấp có điều khoản theo hướng này.
Nhưng có thể trở thành bên kiểm soát độc lập nếu điều khoản cho phép họ dùng nội dung bạn gửi để huấn luyện, cải thiện sản phẩm. Khi đó dữ liệu khách của bạn được dùng cho mục đích mà khách không hề được báo — đây là chỗ rủi ro lớn nhất của tài khoản cá nhân miễn phí.
Nhân viên dùng tài khoản riêng là lỗ hổng. Nếu nhân viên tự dùng tài khoản cá nhân để xử lý dữ liệu khách, doanh nghiệp vẫn chịu trách nhiệm nhưng không kiểm soát được điều khoản, lịch sử hay việc xoá. Quy định nội bộ cần nói rõ công cụ nào được dùng cho dữ liệu công việc.
Hồ sơ đánh giá tác động: là gì và khi nào cần
Hồ sơ đánh giá tác động là tài liệu doanh nghiệp tự lập để mô tả việc xử lý dữ liệu và chứng minh đã cân nhắc rủi ro. Theo Nghị định 13/2023 có hai loại liên quan: hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài. Nội dung thường gồm: thông tin bên chuyển và bên nhận, mục đích, loại dữ liệu, mô tả biện pháp bảo vệ, đánh giá rủi ro và hậu quả có thể xảy ra, cơ chế tiếp nhận yêu cầu của chủ thể dữ liệu.
Hồ sơ được lưu tại doanh nghiệp và gửi bản chính tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an trong thời hạn quy định. Luật 2025 có cơ chế miễn hoặc hoãn một số nghĩa vụ này cho doanh nghiệp nhỏ, siêu nhỏ, khởi nghiệp trong những điều kiện nhất định, thường không áp dụng khi xử lý dữ liệu nhạy cảm hoặc dữ liệu của số lượng lớn người. Điều kiện cụ thể, mẫu biểu và thời hạn thay đổi theo văn bản hướng dẫn, nên bạn cần kiểm theo quy định hiện hành trước khi kết luận mình được miễn.
Ngay cả khi được miễn nộp, việc tự viết một bản mô tả ngắn theo khung trên vẫn có ích: nó buộc bạn trả lời rõ dữ liệu nào đi đâu, ai chịu trách nhiệm, và là bằng chứng thiện chí nếu có sự cố. Với câu hỏi doanh nghiệp mình có thuộc diện phải nộp hay không, cách chắc chắn là hỏi luật sư; bạn có thể gửi câu hỏi tới luật sư trên AI Cố Vấn (aicovan.com) kèm mô tả cách đang dùng AI.
Các kiểu dùng AI với dữ liệu khách và mức rủi ro
Bảng dưới là đánh giá tương đối, để ưu tiên việc cần rà trước. Mức rủi ro thực tế phụ thuộc điều khoản cụ thể của công cụ và loại dữ liệu.
| Kiểu dùng | Dữ liệu cá nhân đi ra ngoài | Mức rủi ro | Hướng xử lý |
|---|---|---|---|
| Nhờ AI viết mẫu tin nhắn chung, không kèm dữ liệu khách | Không | Thấp | Làm bình thường |
| Dán một đoạn chat đã thay tên, xoá số điện thoại để nhờ gợi ý trả lời | Rất ít | Thấp | Duy trì thói quen che trước khi dán |
| Tải bảng khách hàng đầy đủ lên chatbot để phân nhóm | Nhiều, có định danh | Cao | Giả danh trước, dùng tài khoản doanh nghiệp, cân nhắc hồ sơ đánh giá |
| Chatbot trên trang web tự trả lời và lưu hội thoại ở nhà cung cấp nước ngoài | Liên tục, theo từng khách | Cao | Thông báo cho khách, điều khoản với nhà cung cấp, hồ sơ đánh giá |
| Chuyển ghi âm cuộc gọi thành chữ bằng dịch vụ nước ngoài | Giọng nói, nội dung đời tư | Cao | Xin đồng ý ghi âm và xử lý, xoá sau khi dùng |
| Đưa hồ sơ sức khoẻ, tài chính vào AI | Dữ liệu nhạy cảm | Rất cao | Tránh, hoặc chỉ làm sau đánh giá đầy đủ và tư vấn chuyên môn |
Nhìn bảng sẽ thấy rủi ro tăng mạnh không phải vì AI, mà vì lượng dữ liệu định danh được gửi đi và việc gửi diễn ra tự động, liên tục.
Quy trình 7 bước trước khi đưa dữ liệu khách vào AI
Ví dụ giả định: một công ty du lịch mười lăm người muốn dùng AI để phân tích phản hồi của khách sau chuyến đi.
- Xác định mục đích: tìm các vấn đề lặp lại trong phản hồi để cải thiện dịch vụ. Mục đích này không cần biết ai viết phản hồi.
- Liệt kê dữ liệu thật sự cần: nội dung phản hồi, tour, tháng. Không cần tên, số điện thoại, email, số hộ chiếu.
- Làm sạch: xoá cột định danh, đọc lướt để xoá tên người, số phòng, chi tiết sức khoẻ khách tự kể trong nội dung.
- Chọn công cụ: tài khoản doanh nghiệp có cam kết không dùng dữ liệu để huấn luyện, có tuỳ chọn xoá dữ liệu; ghi lại tên công cụ và ngày đọc điều khoản.
- Kiểm căn cứ: chính sách quyền riêng tư của công ty đã nói tới việc phân tích phản hồi bằng công cụ của bên thứ ba chưa? Nếu chưa, cập nhật.
- Ghi hồ sơ: một trang mô tả theo khung đánh giá tác động, kể cả khi bạn kết luận dữ liệu đã đủ ẩn danh.
- Dọn sau khi dùng: xoá tệp đã tải lên và lịch sử hội thoại nếu không còn cần, chỉ giữ kết quả tổng hợp.
Với công ty này, sau bước 3 dữ liệu gần như không còn yếu tố cá nhân, nên rủi ro pháp lý giảm mạnh mà kết quả phân tích vẫn y nguyên.
Che, ẩn danh và giả danh: ba mức khác nhau
Che (xoá trường định danh). Bỏ tên, số điện thoại, email, địa chỉ. Đơn giản, nhưng nội dung tự do vẫn có thể chứa định danh, nên phải đọc lại.
Giả danh. Thay định danh bằng mã, giữ bảng đối chiếu ở máy của bạn. AI chỉ thấy “Khách 017”, bạn vẫn ghép lại được. Theo pháp luật, dữ liệu giả danh vẫn là dữ liệu cá nhân vì còn khả năng nhận diện lại, nhưng rủi ro khi bị lộ thấp hơn nhiều.
Ẩn danh thật sự. Dữ liệu không thể lần về một người kể cả khi kết hợp với thông tin khác. Thường đạt được bằng cách tổng hợp (số lượng theo nhóm), làm thô (độ tuổi theo khoảng thay vì ngày sinh) và bỏ các trường hợp hiếm.
Kiểm bằng câu hỏi đơn giản. Một người quen của khách đọc dữ liệu này có nhận ra khách không? Nếu có, dữ liệu chưa ẩn danh.
Đọc điều khoản nhà cung cấp AI: những gì cần tìm
Điều khoản thay đổi theo thời gian và theo gói dịch vụ, nên đọc bản hiện hành và lưu lại bản đã đọc kèm ngày.
- Nội dung bạn gửi có được dùng để huấn luyện hoặc cải thiện mô hình không, và có tắt được không.
- Dữ liệu được lưu bao lâu, ở khu vực nào, có tuỳ chọn chọn vùng lưu trữ không.
- Nhà cung cấp tự nhận là bên xử lý theo chỉ dẫn của bạn hay bên kiểm soát độc lập.
- Có thoả thuận xử lý dữ liệu cho khách hàng doanh nghiệp không, và gói nào có.
- Nhà cung cấp có dùng bên xử lý phụ, và bạn có được biết danh sách không.
- Cách yêu cầu xoá dữ liệu, xuất dữ liệu, và thời gian xử lý.
- Nghĩa vụ thông báo khi nhà cung cấp bị sự cố an ninh ảnh hưởng tới dữ liệu của bạn.
- Cam kết bảo mật như mã hoá, kiểm soát truy cập nội bộ, chứng nhận độc lập nếu có.
Nếu không tìm thấy câu trả lời cho ba mục đầu, hãy coi công cụ đó là không phù hợp với dữ liệu khách hàng, chỉ dùng cho nội dung đã ẩn danh.
Câu hỏi thường gặp
Dùng công cụ AI có máy chủ ở Việt Nam thì có hết nghĩa vụ không?
Không có nghĩa vụ về chuyển dữ liệu ra nước ngoài nếu dữ liệu thật sự không rời lãnh thổ, nhưng các nghĩa vụ khác vẫn còn: căn cứ xử lý, thông báo cho khách, hợp đồng với bên xử lý, biện pháp bảo vệ. Cũng cần kiểm xem nhà cung cấp trong nước có gọi tiếp mô hình nước ngoài phía sau không.
Nhân viên đã lỡ dán danh sách khách vào chatbot cá nhân thì làm gì?
Yêu cầu nhân viên xoá hội thoại đó và kiểm tuỳ chọn tắt huấn luyện của tài khoản, ghi lại sự việc, đánh giá loại và số lượng dữ liệu đã đưa ra. Nếu có dữ liệu nhạy cảm hoặc số lượng lớn, xem xét nghĩa vụ thông báo vi phạm theo quy định hiện hành.
Dữ liệu đã giả danh có phải lập hồ sơ chuyển ra nước ngoài không?
Dữ liệu giả danh vẫn có thể nhận diện lại nên về nguyên lý vẫn là dữ liệu cá nhân. Việc có phải lập hồ sơ hay không phụ thuộc quy định hiện hành và cơ chế miễn, giảm cho doanh nghiệp; giả danh giúp giảm rủi ro nhưng không tự động miễn thủ tục.
Có cần báo cho khách hàng rằng dữ liệu của họ được xử lý bằng AI nước ngoài không?
Có, theo nguyên tắc minh bạch. Chính sách quyền riêng tư nên nêu loại công cụ, mục đích, việc dữ liệu có thể được xử lý ở nước ngoài và biện pháp bảo vệ. Không cần nêu tên thương mại nếu không muốn, nhưng phải đủ rõ để khách hiểu.
Gửi email cho khách bằng dịch vụ email của nước ngoài có bị coi là chuyển dữ liệu không?
Về nguyên lý, mọi dịch vụ lưu và xử lý dữ liệu khách ở nước ngoài đều có thể liên quan, không riêng AI. Cách tiếp cận hợp lý là liệt kê tất cả dịch vụ nước ngoài đang chứa dữ liệu khách rồi đánh giá chung một lần, thay vì chỉ để ý tới AI.
Doanh nghiệp siêu nhỏ có cần làm gì nếu được miễn hồ sơ?
Miễn hồ sơ không miễn các nguyên tắc. Bạn vẫn cần xin đồng ý hoặc có căn cứ hợp pháp, thông báo cho khách, chọn công cụ có điều khoản phù hợp, che dữ liệu trước khi gửi và có cách xử lý khi khách yêu cầu xoá.