Một công ty nhỏ cần quy định dùng AI ngay khi có nhân viên đầu tiên mở chatbot trên máy công ty, tức là gần như chắc chắn đã cần từ hôm qua. Quy định đó không phải tập tài liệu dày: một trang giấy trả lời đủ bốn câu là được — dữ liệu nào không được đưa vào AI, công cụ nào được dùng bằng tài khoản nào, ai chịu trách nhiệm về kết quả AI làm ra, và gặp chuyện thì báo ai.
Bài này dành cho chủ cửa hàng, chủ văn phòng dịch vụ, trưởng phòng hành chính ở những nơi 5 đến 50 người, không có phòng IT riêng. Mục tiêu là để nhân viên dùng AI mạnh tay hơn chứ không phải sợ hơn, nhưng dùng trong một hàng rào mà ai cũng nhìn thấy. Phần cuối có khung tám mục để bạn chép ra và điền theo công ty mình.
Vì sao công ty chưa mua công cụ AI nào vẫn cần quy định
Nhiều chủ doanh nghiệp nghĩ rằng chưa đăng ký gói AI nào cho công ty thì chưa có gì phải quản. Thực tế ngược lại: khi công ty không cung cấp công cụ, nhân viên tự dùng tài khoản cá nhân, miễn phí, trên điện thoại riêng. Kế toán dán bảng lương vào để nhờ tính thuế thu nhập cá nhân, nhân viên kinh doanh dán nguyên hợp đồng của khách để nhờ tóm tắt, người làm nội dung dán danh sách khách hàng thân thiết để nhờ viết tin nhắn chúc mừng sinh nhật. Không ai làm vậy vì cố ý; họ làm vì việc cần xong nhanh và không ai bảo là không được.
Vấn đề nằm ở chỗ dữ liệu đó đi qua máy chủ của một bên thứ ba, theo điều khoản của tài khoản cá nhân, và công ty không có cách nào biết hay thu hồi. Tuỳ cài đặt và tuỳ hãng, nội dung trò chuyện có thể được lưu, được người của hãng xem lại khi kiểm tra chất lượng, hoặc được dùng để cải thiện mô hình. Chính sách này thay đổi theo thời gian, nên điều an toàn nhất là công ty tự đặt ranh giới thay vì trông vào điều khoản của người khác.
Thêm một lý do ít được nhắc: nếu sau này xảy ra sự cố lộ thông tin khách hàng, câu đầu tiên khách và cơ quan chức năng hỏi là công ty đã có quy định gì. Một trang quy định ký ngày rõ ràng, có chữ ký xác nhận của nhân viên, cho thấy công ty đã làm phần việc của mình. Phần nghĩa vụ pháp lý về dữ liệu cá nhân có bài riêng ở danh mục luật của trang; ở đây chỉ bàn cách tổ chức trong nội bộ.
Ba nhóm dữ liệu: dán thoải mái, dán sau khi che, không bao giờ dán
Phần quan trọng nhất của quy định là bảng phân loại dữ liệu. Nhân viên không nhớ được mười trang điều khoản, nhưng nhớ được ba màu. Bảng dưới là gợi ý để bạn sửa theo ngành của mình.
| Nhóm | Ví dụ trong công ty nhỏ | Cách xử lý |
|---|---|---|
| Xanh: dán thoải mái | Bài viết đã đăng công khai, mô tả sản phẩm trên trang web, câu hỏi kiến thức chung, bản nháp thư không có tên người | Dùng bằng công cụ được phép, vẫn đọc lại kết quả |
| Vàng: dán sau khi che | Thư khách hàng phàn nàn, hợp đồng mẫu, bảng doanh thu theo tháng, biên bản họp | Thay tên người, tên công ty, số điện thoại, số tài khoản, địa chỉ bằng ký hiệu như Khách A, Công ty B trước khi dán |
| Đỏ: không bao giờ dán | Bảng lương, số căn cước, thông tin sức khoẻ, mật khẩu, mã khoá, danh sách khách đầy đủ, giá vốn và chiết khấu riêng với đối tác | Không đưa vào bất kỳ chatbot nào, kể cả khi đã che, trừ khi công ty có công cụ được duyệt riêng cho việc đó |
Bạn sẽ thấy nhóm vàng là nơi tranh cãi nhiều nhất. Nguyên tắc dễ nhớ: nếu một người lạ đọc được đoạn đã che mà vẫn đoán ra đó là khách nào, thì che chưa đủ. Một bảng doanh thu có tên cửa hàng duy nhất ở một phường nhỏ, dù đã bỏ tên, vẫn lộ ra công ty bạn.
Công cụ nào được dùng và bằng tài khoản nào
Liệt kê đích danh công cụ được phép. Viết rõ tên hai hoặc ba công cụ công ty chấp nhận, kèm loại tài khoản. Chỉ ghi "được dùng AI" thì nhân viên sẽ hiểu là dùng gì cũng được, kể cả ứng dụng lạ tải từ quảng cáo.
Ưu tiên tài khoản do công ty cấp. Gói dành cho tổ chức của các hãng lớn thường có tuỳ chọn không dùng dữ liệu để huấn luyện và cho quản trị viên xem ai đang dùng. Chi phí ở mức thấp tính theo đầu người. Nếu chưa đủ ngân sách, ít nhất quy định nhân viên dùng tài khoản cá nhân thì phải tắt mục cho phép dùng dữ liệu để cải thiện mô hình, và tự kiểm lại cài đặt mỗi khi ứng dụng cập nhật.
Cấm tiện ích và ứng dụng chưa duyệt. Tiện ích trình duyệt kiểu "tóm tắt mọi trang bằng AI" hay ứng dụng ghi âm cuộc họp tự chép lời thường đòi quyền đọc toàn bộ nội dung trên màn hình. Quy định nên ghi: cài thêm bất cứ thứ gì có chữ AI thì hỏi người phụ trách trước.
Một người phụ trách, không cần là dân IT. Ở công ty nhỏ, người phụ trách thường là chủ hoặc trưởng phòng hành chính. Việc của họ là giữ danh sách công cụ, trả lời câu hỏi "cái này dán được không", và cập nhật quy định khi có công cụ mới.
Khung chính sách một trang: tám mục cần có
Dưới đây là khung tám mục, mỗi mục chỉ một hai câu. Bạn có thể nhờ chính chatbot soạn bản nháp từ khung này, miễn là không dán vào tên khách, số liệu thật hay tên đối tác.
- Mục đích: công ty khuyến khích dùng AI để làm nhanh việc soạn thảo, tóm tắt, dịch, lên ý tưởng, trong phạm vi quy định này.
- Công cụ được phép: tên công cụ, loại tài khoản, ai cấp.
- Phân loại dữ liệu: chép bảng ba màu ở trên, kèm ví dụ của chính ngành bạn.
- Che dữ liệu: cách thay tên, số, địa chỉ bằng ký hiệu trước khi dán.
- Kiểm kết quả: mọi nội dung AI làm ra gửi cho khách, đăng công khai hoặc dùng để ra quyết định tiền bạc phải có người đọc lại và chịu trách nhiệm.
- Việc không giao cho AI: ví dụ tự gửi thư cho khách, tự duyệt chi, tự trả lời khiếu nại có yếu tố pháp lý.
- Báo sự cố: lỡ dán dữ liệu đỏ thì báo ai, trong bao lâu, và không bị phạt nếu tự báo sớm.
- Rà soát: ngày ban hành, ngày rà lại, chữ ký nhân viên đã đọc.
Câu lệnh mẫu để soạn nháp: "Bạn là người soạn nội quy cho một văn phòng dịch vụ khoảng 20 người, không có phòng IT. Hãy viết quy định dùng công cụ AI dài tối đa một trang theo tám mục sau, giọng rõ ràng, dễ hiểu cho nhân viên không chuyên kỹ thuật." Sau đó bạn tự sửa phần ví dụ cho khớp công ty.
Kết quả AI làm ra phải có người đứng tên chịu trách nhiệm
Mục kiểm kết quả thường bị viết sơ sài, nhưng đây mới là chỗ công ty hay trả giá. AI viết trôi chảy đến mức người đọc dễ tin; nó có thể bịa một điều khoản bảo hành không có, tính sai một con số thuế, hoặc dịch một câu trong hợp đồng thành nghĩa ngược lại. Khi thư đã gửi khách, câu "do AI viết" không giúp gì cho uy tín công ty.
Nguyên tắc nên ghi thẳng: người gửi là người chịu trách nhiệm, bất kể ai hay cái gì soạn ra nội dung. Với những việc có hậu quả tiền bạc hoặc pháp lý, cần thêm người thứ hai đọc. Ví dụ giả định: một công ty du lịch nhỏ cho phép nhân viên dùng AI soạn lịch trình gửi khách, nhưng giá, giờ bay và điều kiện huỷ phải được đối chiếu với hệ thống đặt chỗ trước khi gửi, và người đối chiếu ký tắt vào phiếu.
Cũng nên dặn riêng về lời khuyên bảo mật mà AI đưa ra. Chatbot có thể gợi ý một cài đặt không còn tồn tại trên phiên bản hiện hành, hoặc khẳng định một tệp là an toàn khi nó không có cách nào kiểm. Dùng AI để hiểu khái niệm thì tốt; dùng nó làm người gác cổng duy nhất thì không.
Triển khai trong hai tuần mà không làm nhân viên sợ dùng AI
Quy định ban hành theo kiểu dán lên bảng tin rồi thôi sẽ bị quên sau một tháng. Cách triển khai gọn cho công ty nhỏ:
- Ngày đầu tiên, hỏi nhanh từng bộ phận đang dùng AI vào việc gì, bằng công cụ nào. Không hỏi để bắt lỗi, hỏi để biết thực tế.
- Từ kết quả đó, chọn công cụ được phép và soạn bản nháp quy định một trang.
- Tuần đầu, gửi bản nháp cho trưởng các bộ phận đọc góp ý, nhất là phần ví dụ dữ liệu đỏ và vàng của bộ phận họ.
- Đầu tuần thứ hai, họp toàn công ty khoảng nửa giờ: giải thích ba màu dữ liệu, làm mẫu một lần che dữ liệu trước khi dán, trả lời câu hỏi.
- Cho nhân viên ký xác nhận đã đọc, lưu bản ký cùng hồ sơ nhân sự.
- Lập một nhóm nhắn tin nhỏ hoặc một đầu mối để hỏi nhanh "cái này dán được không", cam kết trả lời trong ngày.
Điều quan trọng là thông điệp: công ty muốn mọi người dùng AI nhiều hơn và an toàn hơn. Nếu nhân viên cảm thấy bị cấm đoán, họ sẽ quay lại dùng lén trên điện thoại riêng, và bạn mất luôn khả năng nhìn thấy.
Rà lại sau ba tháng: dấu hiệu quy định đang bị lờ đi
Ba tháng sau khi ban hành, dành một buổi để rà. Những dấu hiệu dưới đây cho thấy quy định cần sửa chứ không phải nhân viên cần bị nhắc nhở:
- Không ai hỏi người phụ trách câu nào trong suốt ba tháng — nhiều khả năng mọi người đã quên hoặc không biết hỏi ai.
- Nhân viên vẫn dùng một công cụ ngoài danh sách vì nó làm được việc mà công cụ được phép không làm được. Hãy cân nhắc thêm nó vào danh sách sau khi kiểm điều khoản.
- Có người tự báo đã lỡ dán dữ liệu đỏ. Đây là dấu hiệu tốt về văn hoá; hãy cảm ơn họ và xem lại vì sao ranh giới chưa đủ rõ.
- Bộ phận mới, sản phẩm mới hoặc khách hàng mới có loại dữ liệu chưa nằm trong bảng ba màu.
- Công cụ AI thêm tính năng đọc email, đọc lịch, tự thao tác trên máy tính — những tính năng này cần quy định riêng vì quyền truy cập rộng hơn hẳn.
Sửa xong, ghi ngày rà soát mới lên đầu trang và gửi lại cho mọi người kèm vài dòng nói rõ cái gì đã đổi. Một quy định sống là quy định có lịch sử sửa đổi.
Câu hỏi thường gặp
Công ty chỉ có năm người thì có cần quy định dùng AI bằng văn bản không?
Có, nhưng ngắn. Năm người vẫn có thể xử lý dữ liệu khách hàng, bảng lương và hợp đồng. Một trang giấy giúp mọi người hiểu giống nhau, và là bằng chứng công ty đã có biện pháp nếu sau này xảy ra sự cố.
Có nên cấm hẳn nhân viên dùng chatbot cho đơn giản không?
Cấm hẳn thường phản tác dụng vì nhân viên sẽ dùng lén trên điện thoại riêng, và công ty mất khả năng nhìn thấy. Cho phép có điều kiện, kèm bảng phân loại dữ liệu rõ ràng, an toàn hơn và giữ được lợi ích về năng suất.
Che dữ liệu trước khi dán vào AI cụ thể là làm thế nào?
Thay mọi tên người, tên công ty, số điện thoại, số tài khoản, địa chỉ, mã khách hàng bằng ký hiệu như Khách A hay Công ty B. Sau đó đọc lại xem người lạ có đoán ra được đó là ai không; nếu đoán được thì che thêm hoặc không dán.
Ai trong công ty nhỏ nên phụ trách quy định này?
Thường là chủ doanh nghiệp hoặc trưởng phòng hành chính, không cần là người làm IT. Việc của họ là giữ danh sách công cụ được phép, trả lời câu hỏi của nhân viên trong ngày và rà quy định ba tháng một lần.
Nhân viên lỡ dán dữ liệu khách hàng vào chatbot thì xử lý thế nào?
Nhân viên báo ngay cho người phụ trách, xoá cuộc trò chuyện đó trong công cụ nếu có thể, ghi lại đã dán gì và lúc nào. Người phụ trách đánh giá mức độ và quyết định có cần báo khách hay xử lý tiếp theo quy định về dữ liệu cá nhân hiện hành.
Quy định dùng AI có cần cập nhật thường xuyên không?
Nên rà ba tháng một lần trong năm đầu, sau đó sáu tháng một lần, và rà ngay khi công ty dùng công cụ AI có quyền đọc email, tài liệu hay tự thao tác trên máy. Tính năng các công cụ đổi nhanh nên quy định cũng phải đổi theo.