Trước khi tải tệp lên AI, hãy xóa những gì chỉ đúng với một người cụ thể, giữ những gì AI cần để hiểu việc, rồi kiểm cả phần ẩn trong tệp lẫn cài đặt tài khoản. Số căn cước, số tài khoản, lương, số điện thoại khách gần như không bao giờ cần cho việc tóm tắt, sửa câu hay lập bảng. Từ ngày 01/01/2026, Việt Nam áp dụng Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, nên thói quen làm sạch tệp không chỉ là cẩn thận mà còn là cách giảm rủi ro pháp lý. Bài này là hướng dẫn thực hành, không phải tư vấn pháp lý.

Luật hiện hành nói gì về dữ liệu cá nhân?

Dữ liệu cá nhân là thông tin giúp xác định một người cụ thể, ví dụ họ tên đi kèm số điện thoại, số căn cước, địa chỉ. Các văn bản đang áp dụng, đã đối chiếu ngày 26/09/2026:

Văn bảnNgày ban hànhHiệu lựcĐiểm liên quan khi dùng AI
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15Quốc hội thông qua 26/6/202501/01/2026Điều 9: sự đồng ý phải tự nguyện, biết rõ, theo từng mục đích; im lặng không được coi là đồng ý. Điều 30: xử lý dữ liệu cá nhân bằng trí tuệ nhân tạo phải đúng mục đích, giới hạn trong phạm vi cần thiết
Nghị định 356/2025/NĐ-CP31/12/202501/01/2026Quy định chi tiết luật, có danh mục dữ liệu cá nhân nhạy cảm (loại dữ liệu khi lộ gây ảnh hưởng trực tiếp đến quyền lợi của người đó, như sức khỏe, sinh trắc học, vị trí, lịch sử giao dịch ngân hàng)
Nghị định 13/2023/NĐ-CP17/4/2023Đã hết hiệu lực từ 01/01/2026Được Nghị định 356/2025/NĐ-CP thay thế. Tài liệu nội bộ còn dẫn Nghị định 13 nên cập nhật lại

Điều 8 của luật quy định mức phạt hành chính tối đa 3 tỷ đồng cho nhiều vi phạm, riêng chuyển dữ liệu ra nước ngoài trái quy định có thể bị phạt đến 5% doanh thu năm trước liền kề của tổ chức.

Điểm còn chưa rõ: nhân viên dán dữ liệu khách vào một chatbot đặt máy chủ ở nước ngoài có bị tính là chuyển dữ liệu cá nhân ra nước ngoài (Điều 20, phải lập hồ sơ đánh giá tác động) hay không. Bài này chưa tìm thấy hướng dẫn chính thức trả lời thẳng trường hợp đó. Cách an toàn nhất là không đưa dữ liệu cá nhân lên khi việc không cần đến nó.

Sơ đồ ba bước xóa, giữ, kiểm trước khi tải tệp lên AI
Sơ đồ minh họa; không phải ảnh chụp một công cụ cụ thể.

Bước 1: Xóa gì?

Nguyên tắc: nếu AI vẫn làm được việc khi thiếu thông tin đó, hãy xóa hoặc thay bằng mã.

  1. Giấy tờ định danh: số căn cước, hộ chiếu, mã số thuế cá nhân, số bảo hiểm xã hội.
  2. Tài chính: số tài khoản ngân hàng, số thẻ, lương từng người, khoản nợ, lịch sử giao dịch.
  3. Liên lạc của khách và nhân viên: số điện thoại, email, địa chỉ nhà, tài khoản Zalo.
  4. Dữ liệu nhạy cảm: tình trạng sức khỏe, giấy nghỉ ốm, ảnh khuôn mặt, vân tay, vị trí.
  5. Bí mật kinh doanh: giá vốn, điều khoản hợp đồng chưa ký, mật khẩu, khóa truy cập phần mềm.
  6. Chữ ký, con dấu, mã QR trên ảnh chụp chứng từ.

Cách thay: đổi "Nguyễn Văn A, 0903xxxxxx" thành "Khách 01". Giữ riêng một bảng đối chiếu mã với tên thật ở máy mình, không đưa bảng này cho AI.

Bước 2: Giữ gì để AI vẫn làm được việc?

Xóa quá tay thì AI trả lời chung chung. Nên giữ:

Việc nhờ AICần giữCó thể bỏ
Tóm tắt biên bản họpNội dung thảo luận, quyết định, hạn chót, vai trò (trưởng phòng, kế toán)Tên đầy đủ, số điện thoại người dự
Phân tích bảng doanh thuCột ngày, sản phẩm, số lượng, khu vựcTên và số điện thoại khách
Sửa email trả lời khiếu nạiNội dung khiếu nại, chính sách áp dụngMã đơn thật, địa chỉ giao hàng
Soạn quy chế lươngCấu trúc bậc, tỷ lệ, công thứcLương thật của từng người

Ví dụ giả lập: một cửa hàng muốn AI gom lý do đổi trả từ 200 dòng dữ liệu. Chỉ cần cột "lý do", "sản phẩm", "tháng". Xóa cột họ tên, điện thoại, địa chỉ trước khi tải, kết quả phân tích không thay đổi.

Bước 3: Kiểm phần ẩn trong tệp và cài đặt tài khoản

Siêu dữ liệu (metadata) là thông tin đi kèm tệp nhưng không hiện trên trang, như tên người tạo, bình luận, lịch sử sửa. Trong Word, Excel, PowerPoint trên Windows, vào Tệp (File), Thông tin (Info), Kiểm tra sự cố (Check for Issues), Kiểm tra tài liệu (Inspect Document) để tìm bình luận, theo dõi thay đổi, thuộc tính tệp, văn bản ẩn. Microsoft lưu ý dữ liệu đã xóa bằng công cụ này có thể không khôi phục được, nên làm trên bản sao.

Các chỗ hay sót:

  • Trang tính, hàng, cột bị ẩn trong Excel vẫn được AI đọc.
  • Bình luận và thay đổi đang theo dõi trong Word.
  • Ghi chú người thuyết trình trong PowerPoint.
  • Ảnh chụp màn hình có tab trình duyệt, tin nhắn đến, số điện thoại ở góc.
  • PDF bôi đen bằng hình chữ nhật: chữ bên dưới có thể vẫn chọn và sao chép được.

Sau đó kiểm cài đặt huấn luyện của tài khoản (tên mục có thể đổi theo phiên bản):

Công cụTài liệu chính thức nói gì
ChatGPT gói cá nhânTắt "Improve the model for everyone" trong Cài đặt, Kiểm soát dữ liệu (Data Controls). OpenAI không dùng dữ liệu gói Business, Enterprise để huấn luyện theo mặc định
Claude gói cá nhânMục Model Improvement trong cài đặt quyền riêng tư; cuộc trò chuyện ẩn danh (Incognito) không dùng để huấn luyện. Gói thương mại mặc định không dùng để huấn luyện
Gemini tài khoản Google cá nhânKhi bật lưu hoạt động (Keep Activity), một phần cuộc trò chuyện có thể được người đánh giá xem; Google khuyên không nhập thông tin bí mật. Tài khoản Workspace có điều khoản riêng

Tắt huấn luyện không có nghĩa là tệp không được lưu. Ví dụ OpenAI cho biết cuộc trò chuyện tạm thời có thể được giữ đến 30 ngày vì lý do an toàn. Với tài liệu công ty, xem thêm 5 điều cần kiểm trước khi đưa tài liệu công ty vào AI.

Mẫu nhờ AI kiểm lại tệp đã làm sạch

Sau khi tự xóa, có thể nhờ AI rà thêm một lần trên bản đã làm sạch (không phải bản gốc):

Yêu cầu có thể sao chép
Tôi đã xóa thông tin cá nhân khỏi tài liệu đính kèm và thay bằng mã như "Khách 01".

Hãy liệt kê mọi chỗ còn có thể giúp xác định một người cụ thể: tên riêng, số điện thoại, email, số giấy tờ, địa chỉ, số tài khoản, biển số xe, mô tả đủ chi tiết để đoán ra người.

Ghi số trang hoặc ô. Không sửa tài liệu, chỉ liệt kê.

AI có thể bỏ sót. Kết quả này là bước kiểm thêm, không thay việc tự đọc lại.

Hỏi đáp

Tệp chỉ có tên khách thôi thì có sao không?

Tên đứng một mình ít khi đủ xác định một người, nhưng tên đi kèm công ty, chức vụ hoặc số đơn hàng thì có thể. Nếu việc không cần tên, thay bằng mã. Nếu cần tên (ví dụ soạn thư gửi đúng người), cân nhắc dùng tài khoản công ty có cam kết không huấn luyện và chỉ đưa phần thật sự cần.

Tôi dùng gói trả phí thì có cần làm sạch nữa không?

Gói trả phí cá nhân như ChatGPT Plus hay Claude Pro vẫn là gói dành cho người tiêu dùng, cài đặt huấn luyện do bạn tự chỉnh. Gói doanh nghiệp có cam kết dữ liệu chặt hơn, nhưng nghĩa vụ theo luật dữ liệu cá nhân vẫn thuộc về doanh nghiệp bạn. Làm sạch vẫn là thói quen nên giữ.

Kết nối Google Drive hay OneDrive với AI thì kiểm thế nào?

Khi kết nối, AI có thể đọc nhiều tệp hơn bạn nghĩ. Xem bài Kết nối Gmail, Drive hay OneDrive với AI: 7 câu hỏi quyền truy cập. Nếu tệp chứa dữ liệu khách hàng, đọc thêm Dùng AI với dữ liệu khách hàng: được và không được làm gì.

Giới hạn của bài này

  • Không phải tư vấn pháp lý. Doanh nghiệp xử lý dữ liệu khách hàng thường xuyên nên hỏi luật sư hoặc bộ phận pháp chế.
  • Chưa có hướng dẫn chính thức nói rõ việc dán dữ liệu cá nhân vào chatbot nước ngoài có được tính là chuyển dữ liệu ra nước ngoài hay không.
  • Tên mục cài đặt trong ChatGPT, Claude, Gemini hay đổi; bài chưa thử lại từng bước trên tài khoản thật.
  • Điều 38 của luật có miễn trừ có thời hạn một số nghĩa vụ cho doanh nghiệp nhỏ, khởi nghiệp, hộ kinh doanh; phạm vi cụ thể cần đọc toàn văn.

Nguồn & lưu ý