Khác biệt lớn nhất giữa tài khoản chatbot cá nhân và tài khoản doanh nghiệp không nằm ở tính năng mà ở chỗ ai kiểm soát dữ liệu. Với tài khoản cá nhân, dữ liệu thuộc quan hệ giữa bạn và hãng AI, theo điều khoản dành cho người tiêu dùng. Với tài khoản doanh nghiệp, công ty ký hợp đồng với hãng, thường kèm cam kết không dùng dữ liệu để huấn luyện, và quản trị viên của công ty đặt chính sách lưu trữ, quyền truy cập.
Vì vậy, đưa tài liệu công ty vào tài khoản cá nhân, kể cả gói trả phí, là đưa dữ liệu của công ty ra một nơi công ty không quản lý được. Bài này viết cho người đi làm: phân biệt hai loại tài khoản, hiểu rủi ro của việc dùng AI "ngầm", nên làm gì khi công ty đã cấp tài khoản và khi chưa có quy định nào.
Hai loại tài khoản khác nhau ở đâu
Chi tiết cụ thể thay đổi theo từng hãng và từng gói; bảng dưới mô tả khác biệt điển hình để bạn biết cần hỏi gì:
| Khía cạnh | Tài khoản cá nhân | Tài khoản doanh nghiệp |
|---|---|---|
| Ai ký điều khoản với hãng | Bạn, theo điều khoản người dùng phổ thông | Công ty, theo hợp đồng riêng |
| Dùng dữ liệu để huấn luyện | Tuỳ cài đặt; nhiều nơi mặc định cho phép, bạn phải tự tắt | Thường cam kết không dùng; cần đọc hợp đồng của đúng gói |
| Ai quản lý lịch sử | Chỉ bạn | Quản trị viên đặt thời gian lưu, có thể xem hoặc xuất nhật ký theo chính sách |
| Đăng nhập | Email cá nhân, mật khẩu riêng | Thường qua hệ thống đăng nhập của công ty, có xác thực hai lớp bắt buộc |
| Khi bạn nghỉ việc | Tài khoản và lịch sử theo bạn ra đi | Công ty khoá tài khoản, dữ liệu ở lại với công ty |
| Kết nối ứng dụng khác | Bạn tự bật | Quản trị viên cho phép hoặc chặn từng loại |
Đừng nhầm "đăng nhập bằng email công ty" với "tài khoản doanh nghiệp". Nếu bạn tự đăng ký gói cá nhân bằng địa chỉ email công ty, đó vẫn là tài khoản cá nhân theo điều khoản người tiêu dùng; công ty không quản lý nó, chỉ có tên miền email là của công ty.
AI ngầm: vì sao nhân viên hay dùng và rủi ro thật là gì
Trong giới quản trị công nghệ, việc nhân viên tự dùng công cụ AI cho công việc mà công ty không biết hoặc chưa duyệt được gọi là AI ngầm. Lý do rất dễ hiểu: công cụ miễn phí, tiện, làm xong việc nhanh hơn, trong khi công ty chưa cấp tài khoản hay chưa có quy định. Phần lớn người làm vậy không có ý xấu, họ chỉ muốn làm tốt việc được giao.
Rủi ro không nằm ở một lần dùng mà ở chỗ cộng dồn. Một nhân viên dán bản nháp thư cho khách, một người dán bảng lương để nhờ viết công thức, một người dán đoạn mã có khoá kết nối. Mỗi lần đều đi vào tài khoản cá nhân khác nhau, cài đặt khác nhau, và không ai trong công ty biết dữ liệu nào đã ra ngoài. Khi có sự cố, công ty không thể trả lời câu hỏi đơn giản nhất: dữ liệu của khách đã nằm ở đâu.
Về phía cá nhân, rủi ro là trách nhiệm. Nếu tài liệu bạn đưa vào công cụ ngoài bị lộ, hoặc hợp đồng với khách cấm chia sẻ cho bên thứ ba, người chịu trách nhiệm đầu tiên là bạn, dù bạn không cố ý. Đây là lý do cách an toàn nhất không phải là giấu, mà là hỏi và làm rõ.
Ví dụ giả định: một phòng kinh doanh năm người
Một công ty phân phối thiết bị văn phòng có phòng kinh doanh năm người, chưa có quy định gì về AI. Sau vài tháng, mỗi người đã có thói quen riêng: người dùng bản miễn phí để viết thư chào hàng, người dùng gói trả phí cá nhân để phân tích bảng doanh số theo khách, người cài một tiện ích trình duyệt để tóm tắt email. Không ai thấy mình làm gì sai, và năng suất của phòng tăng thấy rõ.
Rắc rối lộ ra khi một nhân viên nghỉ việc chuyển sang công ty đối thủ. Trưởng phòng nhận ra lịch sử chatbot cá nhân của người này chứa bảng doanh số theo từng khách, các bản báo giá đã gửi và ghi chú về khách khó tính. Công ty không có quyền yêu cầu xem hay xoá tài khoản cá nhân đó, và cũng không biết chắc còn những gì nằm trong tài khoản của bốn người còn lại.
Cách sửa trong ví dụ này không phức tạp: công ty chọn một công cụ, cấp tài khoản nhóm, viết một trang quy định nêu loại dữ liệu được và không được đưa vào, yêu cầu mọi người dọn lịch sử công việc khỏi tài khoản cá nhân. Điểm đáng chú ý là nếu từ đầu từng nhân viên chủ động hỏi quản lý như hướng dẫn ở phần dưới, rủi ro đã được nhìn thấy sớm hơn nhiều tháng.
Khi công ty đã cấp tài khoản doanh nghiệp
Có tài khoản công ty không có nghĩa là đưa gì vào cũng được. Những điều nên làm:
- Dùng tài khoản công ty cho mọi việc của công ty, kể cả việc nhỏ. Không chuyển qua lại giữa tài khoản cá nhân và công ty tuỳ lúc tiện.
- Đọc quy định nội bộ về loại dữ liệu được phép đưa vào. Nhiều công ty vẫn cấm dữ liệu khách hàng định danh, hồ sơ nhân sự, thông tin tài chính chưa công bố, ngay cả trên tài khoản doanh nghiệp.
- Hiểu rằng quản trị viên có thể có quyền xem hoặc xuất nhật ký sử dụng theo chính sách công ty. Đừng dùng tài khoản công ty cho chuyện riêng tư.
- Bật xác thực hai lớp nếu chưa bắt buộc, không chia sẻ tài khoản cho đồng nghiệp hay người ngoài.
- Không tự ý bật kết nối với hộp thư, ổ lưu trữ, phần mềm quản lý nếu quy định chưa cho phép. Những kết nối này mở rộng lượng dữ liệu chatbot đọc được.
- Khi thấy một tính năng mới liên quan đến dữ liệu, hỏi bộ phận phụ trách trước khi dùng cho tài liệu quan trọng.
Một hiểu lầm hay gặp là coi tài khoản doanh nghiệp như két sắt, cái gì cũng bỏ vào được. Cam kết không huấn luyện chỉ giải quyết một phần rủi ro; dữ liệu vẫn nằm trên hạ tầng của hãng, vẫn có thể bị lộ nếu tài khoản của bạn bị chiếm, và vẫn chịu các ràng buộc từ hợp đồng với khách hàng mà công ty đã ký. Vì thế quy tắc che dữ liệu thừa vẫn áp dụng, chỉ là ngưỡng được nới hơn so với tài khoản cá nhân.
Khi công ty chưa có tài khoản hay quy định nào
Đây là tình huống phổ biến ở doanh nghiệp nhỏ. Thay vì dùng lén hoặc bỏ hẳn, bạn có thể đi theo thứ tự sau:
- Hỏi thẳng người quản lý trực tiếp: công ty có cho dùng công cụ AI cho công việc không, có loại dữ liệu nào cấm tuyệt đối không. Một câu trả lời bằng tin nhắn cũng giúp bạn có căn cứ.
- Trong khi chờ, chỉ dùng tài khoản cá nhân cho việc không dính dữ liệu công ty: học kỹ năng, hỏi kiến thức chung, soạn khung văn bản trống.
- Nếu cần dùng với tài liệu công việc, che toàn bộ tên khách, đối tác, số liệu thật và tắt tuỳ chọn cho phép dùng nội dung để huấn luyện trong tài khoản cá nhân.
- Ghi lại cho chính mình đã dùng công cụ nào cho việc gì. Nếu sau này công ty hỏi, bạn trả lời được ngay.
- Đề xuất với quản lý một hướng chính thức: cấp tài khoản doanh nghiệp, hoặc ít nhất ban hành danh sách việc được làm và không được làm. Đề xuất cụ thể kèm ví dụ việc bạn đã tiết kiệm thời gian sẽ dễ được nghe hơn.
Cách làm này giúp bạn tận dụng AI mà vẫn đứng ở vị trí an toàn: mọi thứ minh bạch, không có dữ liệu nào ra ngoài mà công ty không biết.
Khi nghỉ việc hoặc chuyển bộ phận
Lúc rời công ty là lúc dữ liệu công việc hay bị bỏ quên trong tài khoản cá nhân. Trước ngày làm việc cuối cùng:
- Mở lịch sử chatbot cá nhân, tìm mọi cuộc trò chuyện liên quan đến công việc cũ, xoá chúng.
- Kiểm phần bộ nhớ hoặc cá nhân hoá, xoá những dòng nhắc tên công ty, khách hàng, dự án.
- Xoá các tệp đã tải lên, các dự án hay không gian làm việc chứa tài liệu của công ty, các liên kết chia sẻ đã tạo.
- Nếu bạn dùng tài khoản công ty, bàn giao những cuộc trò chuyện, mẫu câu lệnh hữu ích cho người kế nhiệm theo hướng dẫn của bộ phận phụ trách, không tự xuất về máy riêng.
- Gỡ các kết nối giữa tài khoản cá nhân và hộp thư, ổ lưu trữ công ty, nếu trước đây từng bật.
Ngược lại, khi vào công ty mới, đừng mang theo lịch sử hay mẫu câu lệnh có chứa dữ liệu của công ty cũ. Thói quen tốt là giữ các mẫu câu lệnh ở dạng trống, không gắn với khách hàng hay dự án cụ thể nào.
Những câu nên hỏi bộ phận phụ trách
Nếu công ty đã có hoặc đang chuẩn bị dùng tài khoản doanh nghiệp, đây là các câu giúp bạn hiểu mình được làm gì:
- Công cụ AI nào được duyệt, công cụ nào bị cấm?
- Loại dữ liệu nào tuyệt đối không đưa vào, kể cả trên tài khoản công ty?
- Lịch sử trò chuyện được giữ bao lâu, ai có quyền xem?
- Có được tải tệp lên không, có giới hạn loại tệp nào không?
- Có được bật kết nối với hộp thư, lịch, ổ lưu trữ không?
- Khi lỡ đưa nhầm dữ liệu, báo cho ai, trong bao lâu?
- Có danh sách mẫu câu lệnh dùng chung cho phòng ban không, để mọi người khỏi tự viết lại từ đầu?
Ở công ty nhỏ không có bộ phận công nghệ riêng, người trả lời có thể chính là chủ doanh nghiệp. Bạn hỏi đúng câu cũng là giúp công ty nhận ra những chỗ cần quy định. Phía chủ doanh nghiệp có thể tham khảo mục bảo mật cho doanh nghiệp nhỏ của AI Bảo Mật để soạn quy định.
Câu hỏi thường gặp
Gói trả phí cá nhân có an toàn như gói doanh nghiệp không?
Không nhất thiết. Gói trả phí cá nhân thường thêm tính năng và lượt dùng, còn cam kết về dữ liệu và quyền quản trị thì khác gói doanh nghiệp. Cách biết chắc là đọc trang chính sách của đúng gói bạn đang trả tiền, tìm phần nói về huấn luyện và quản trị dữ liệu.
Công ty có thấy mình hỏi gì trên tài khoản doanh nghiệp không?
Có thể, tuỳ hợp đồng và cấu hình. Nhiều gói doanh nghiệp cho phép quản trị viên xuất nhật ký sử dụng phục vụ tuân thủ. Hãy coi tài khoản công ty như hộp thư công ty: dùng cho công việc và giả định rằng nó có thể được kiểm tra theo quy định.
Dùng chatbot trên điện thoại cá nhân cho việc công ty có sao không?
Rủi ro nằm ở tài khoản và dữ liệu, không ở thiết bị. Nếu bạn đăng nhập tài khoản công ty trên điện thoại, cần khoá màn hình, không cho người khác mượn máy, và đăng xuất khi đổi máy. Nếu bạn dùng tài khoản cá nhân, các lưu ý về dữ liệu công ty trong bài vẫn giữ nguyên.
Công ty cấm dùng AI thì có nên dùng lén không?
Không nên. Quy định cấm thường có lý do, như hợp đồng với khách hay yêu cầu bảo mật của ngành. Nếu thấy AI giúp ích, hãy đề xuất với quản lý bằng một trường hợp cụ thể và cách làm an toàn đi kèm, thay vì tự ý dùng rồi chịu trách nhiệm một mình.
Có nên dùng chung một tài khoản trả phí cho cả nhóm để tiết kiệm không?
Dùng chung một tài khoản cá nhân cho nhiều người thường vi phạm điều khoản của hãng và khiến lịch sử của mọi người trộn lẫn, ai cũng đọc được việc của người khác. Nếu nhóm cần dùng thường xuyên, gói dành cho nhóm hay doanh nghiệp là lựa chọn đúng hơn.