Doanh nghiệp được dùng AI với dữ liệu khách hàng khi việc đó nằm trong mục đích khách đã được thông báo và đồng ý, chỉ đưa phần dữ liệu cần thiết, và dùng công cụ có cam kết bảo vệ dữ liệu phù hợp. Điều không nên làm là đưa cả danh sách khách vào tài khoản AI cá nhân để làm một việc khách không hề biết. Từ 01/01/2026, căn cứ chính là Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Bài này giúp nhận diện rủi ro, không phải tư vấn pháp lý.

Căn cứ pháp lý nào đang áp dụng?

Đã đối chiếu trên nguồn chính thống ngày 26/09/2026:

  • Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Quốc hội thông qua ngày 26/6/2025, hiệu lực từ 01/01/2026.
  • Nghị định 356/2025/NĐ-CP ngày 31/12/2025, hiệu lực 01/01/2026: quy định chi tiết luật và thay thế Nghị định 13/2023/NĐ-CP. Tài liệu nội bộ còn dẫn Nghị định 13 là đã cũ.
  • Luật Trí tuệ nhân tạo số 134/2025/QH15: thông qua 10/12/2025, hiệu lực 01/3/2026. Điều 7 cấm thu thập, xử lý, sử dụng dữ liệu trái quy định về dữ liệu, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ khi phát triển và sử dụng AI.

Bốn điều của Luật 91/2025/QH15 nên đọc trước:

ĐiềuNội dung chính
Điều 9Sự đồng ý của chủ thể dữ liệu (người mà dữ liệu nói về) phải tự nguyện, biết rõ loại dữ liệu và mục đích, thể hiện cho từng mục đích; im lặng hoặc không phản hồi không được coi là đồng ý
Điều 30Xử lý dữ liệu cá nhân bằng trí tuệ nhân tạo, dữ liệu lớn, điện toán đám mây phải đúng mục đích, giới hạn trong phạm vi cần thiết, có biện pháp bảo mật, phân loại theo mức rủi ro
Điều 20Chuyển dữ liệu cá nhân ra nước ngoài phải lập hồ sơ đánh giá tác động, trừ các trường hợp được miễn
Điều 8Phạt hành chính tối đa 3 tỷ đồng với nhiều vi phạm; chuyển dữ liệu ra nước ngoài trái quy định có thể bị phạt đến 5% doanh thu năm trước của tổ chức
Sơ đồ bốn câu hỏi trước khi đưa dữ liệu khách hàng vào AI
Sơ đồ minh họa; không phải ảnh chụp một công cụ cụ thể.

Được và không được: bảng tóm tắt

Nên làmKhông nên làm
Nhờ AI gom chủ đề từ phản hồi khách sau khi đã bỏ tên, số điện thoạiDán cả tệp CRM có số điện thoại, địa chỉ vào tài khoản AI cá nhân
Dùng AI soạn nháp trả lời một khách cụ thể, nhân viên đọc lại rồi gửiĐể AI tự quyết hoàn tiền, từ chối bảo hành, chấm điểm tín dụng khách mà không có người duyệt
Dùng tài khoản công ty (gói Business, Team, Workspace, Microsoft 365) có cam kết không huấn luyệnDùng tài khoản cá nhân của nhân viên cho dữ liệu khách của công ty
Dùng dữ liệu cho mục đích đã ghi trong thông báo, chính sách quyền riêng tưLấy danh sách khách mua hàng để nhờ AI viết tin quảng cáo sản phẩm khác khi khách chưa đồng ý mục đích này
Giữ riêng bảng đối chiếu mã với tên thật, không đưa cho AIGửi dữ liệu nhạy cảm (sức khỏe, vị trí, giao dịch ngân hàng) khi việc không bắt buộc

Điều khoản của nhà cung cấp cũng nói tương tự. Điều khoản sử dụng của OpenAI (hiệu lực 01/01/2026) ghi người dùng không được dùng đầu ra liên quan đến một người cho mục đích có thể gây tác động pháp lý hoặc đáng kể đến người đó. Thỏa thuận dịch vụ của Microsoft cũng hạn chế dùng dịch vụ AI để ra quyết định hệ trọng mà không có con người giám sát.

Ví dụ giả lập: một spa muốn AI viết tin nhắn chúc mừng sinh nhật khách. Nếu khi đăng ký thẻ thành viên, khách đã được thông báo và đồng ý nhận tin chăm sóc, spa có thể nhờ AI soạn mẫu tin chung, rồi phần mềm nhắn tin tự điền tên. AI không cần nhìn thấy danh sách ngày sinh và số điện thoại.

Gói cá nhân và gói doanh nghiệp khác nhau ở đâu?

Khác biệt nằm ở cam kết dữ liệu và quyền quản trị, không nằm ở độ thông minh:

  • ChatGPT Business, Enterprise: OpenAI cho biết không dùng dữ liệu của các không gian làm việc này để huấn luyện theo mặc định.
  • Claude for Work, API: Anthropic cho biết mặc định không dùng đầu vào, đầu ra của sản phẩm thương mại để huấn luyện.
  • Gemini trong Google Workspace: Google cho biết nội dung không bị người đánh giá xem hay dùng huấn luyện ngoài tổ chức nếu không được cho phép.
  • Microsoft 365 Copilot, Copilot Chat với tài khoản công việc: Microsoft cho biết lời nhắc và câu trả lời không dùng để huấn luyện mô hình nền, được áp dụng bảo vệ dữ liệu doanh nghiệp.

Gói cá nhân (kể cả trả phí) do từng nhân viên tự cài đặt, công ty không kiểm soát được. Cam kết của nhà cung cấp không chuyển nghĩa vụ pháp lý sang họ: doanh nghiệp bạn vẫn là bên quyết định mục đích xử lý. Nghị định 356/2025/NĐ-CP yêu cầu thỏa thuận khi chia sẻ dữ liệu phải nêu mục đích, loại dữ liệu, thời hạn, cách xóa và trách nhiệm từng bên, nên khi ký gói doanh nghiệp hãy lưu lại điều khoản xử lý dữ liệu (DPA) của nhà cung cấp.

Tiện ích AI trong Word, Excel: cần kiểm gì?

Tiện ích bổ sung (add-in) là phần mềm gắn thêm vào Office, ví dụ ChatGPT trong Word, Excel, hoặc Copilot có sẵn. Khi bạn mở bảng khách hàng và gọi AI trong đó, AI có thể đọc cả bảng đang mở. Trước khi dùng:

  1. Tiện ích đăng nhập bằng tài khoản nào: cá nhân hay công ty?
  2. Tiện ích do ai phát hành, có được quản trị viên Microsoft 365 của công ty cho phép không?
  3. Bảng đang mở có cột nào không cần cho việc này? Tách ra bảng mới chỉ gồm cột cần.
  4. Kết quả AI ghi thẳng vào bảng hay chỉ gợi ý? Nên chọn gợi ý để người duyệt.

Chi tiết về gói Free của ChatGPT trong Office có ở bài ChatGPT ngay trong Word, Excel và PowerPoint.

5 câu hỏi kiểm trước khi bắt đầu

  1. Việc này có nằm trong mục đích khách đã được thông báo và đồng ý không?
  2. Bỏ bớt cột nào mà AI vẫn làm được? (Cách làm có ở bài Trước khi tải tệp lên AI: xóa gì, giữ gì, kiểm gì?)
  3. Có dữ liệu nhạy cảm trong tệp không?
  4. Đang dùng tài khoản công ty có cam kết không huấn luyện, hay tài khoản cá nhân?
  5. Ai là người duyệt kết quả trước khi nó tác động đến khách?

Quản lý muốn đặt quy định chung cho nhóm có thể xem 5 điều kiểm về dữ liệu và điểm phê duyệt.

Hỏi đáp

Ẩn danh dữ liệu rồi thì có còn là dữ liệu cá nhân không?

Luật 91/2025/QH15 có định nghĩa khử nhận dạng là thay đổi hoặc xóa thông tin để dữ liệu không còn xác định được một người. Bài này chưa tìm thấy quy định nói dữ liệu đã khử nhận dạng thì hoàn toàn nằm ngoài phạm vi luật. Thực tế: thay tên bằng mã nhưng giữ bảng đối chiếu thì bảng đối chiếu vẫn là dữ liệu cá nhân cần bảo vệ.

Doanh nghiệp nhỏ có được miễn không?

Điều 38 của luật cho doanh nghiệp nhỏ, khởi nghiệp được chọn chưa thực hiện một số nghĩa vụ như đánh giá tác động trong 5 năm, và có quy định riêng cho hộ kinh doanh, doanh nghiệp siêu nhỏ, với ngoại lệ khi kinh doanh dịch vụ xử lý dữ liệu hoặc xử lý dữ liệu nhạy cảm. Miễn một số thủ tục không có nghĩa là được dùng dữ liệu khách tùy ý; các nguyên tắc về đồng ý và mục đích vẫn áp dụng. Nên hỏi luật sư để xác định chính xác.

Khách hỏi "anh chị có đưa thông tin của tôi cho AI không?" thì trả lời sao?

Trả lời đúng thực tế: dùng công cụ nào, cho việc gì, có bỏ thông tin định danh không. Nếu chưa ghi việc dùng AI trong chính sách quyền riêng tư, đây là lúc bổ sung. Luật cho khách quyền được biết, rút lại đồng ý và yêu cầu xóa dữ liệu.

Giới hạn của bài này

  • Không phải tư vấn pháp lý. Tình huống cụ thể (ngành y tế, tài chính, giáo dục) có quy định chuyên ngành riêng.
  • Chưa có hướng dẫn chính thức trả lời thẳng việc dán dữ liệu khách vào chatbot đặt máy chủ ở nước ngoài có cần hồ sơ chuyển dữ liệu ra nước ngoài theo Điều 20 hay không.
  • Cam kết dữ liệu của nhà cung cấp có thể thay đổi; bài chưa thử tiện ích AI trong Office với dữ liệu thật.

Nguồn & lưu ý