Chính sách sử dụng AI nội bộ nên bao gồm những nội dung gì?

Nhân viên của hầu hết doanh nghiệp đã dùng AI trong công việc từ trước khi ban lãnh đạo kịp bàn về nó: nhờ chatbot công cộng viết lại email, dịch hợp đồng, tóm tắt biên bản họp, thậm chí dán cả bảng lương vào để “làm đẹp số liệu”. Cấm hẳn thì không thực tế, còn để mặc thì dữ liệu khách hàng, bí mật kinh doanh và thông tin nhân sự có thể rời khỏi công ty mà không ai hay.

Chính sách sử dụng AI nội bộ là văn bản nói rõ cho nhân viên được dùng công cụ nào, được đưa dữ liệu gì vào, phải kiểm tra kết quả ra sao và báo cho ai khi có chuyện. Bài viết đi qua tám nội dung một chính sách cần có, cách soạn và ban hành để văn bản không nằm yên trong thư mục chung, cùng các chỉ số giúp biết chính sách có thực sự được làm theo.

1. Chính sách sử dụng AI nội bộ điều chỉnh điều gì

Đối tượng của chính sách là con người: nhân viên, cộng tác viên, thực tập sinh khi họ tự mở một công cụ AI để làm việc. Công cụ có thể là chatbot công cộng trên trình duyệt, trợ lý viết cài trong trình soạn thảo, tính năng AI mới được bật trong phần mềm kế toán hay CRM, hoặc tiện ích mở rộng trên trình duyệt. Điểm chung là doanh nghiệp không trực tiếp kiểm soát nơi dữ liệu đi đến.

Điều này khác với việc kiểm soát dữ liệu của một AI Agent do chính doanh nghiệp xây dựng và vận hành, nơi quyền truy cập, mã hóa và nhật ký được thiết kế trong hệ thống; nội dung đó đã được trình bày ở bài kiểm soát dữ liệu AI Agent. Việc phát hiện nhân viên đang dùng công cụ ngoài danh mục, hay còn gọi là shadow AI, cũng là một chủ đề riêng, xem bài shadow AI trong doanh nghiệp. Bài này tập trung vào phần văn bản quy định: nói gì, nói với ai và làm sao để người đọc hiểu được.

Một chính sách tốt thường ngắn hơn người ta nghĩ. Nhân viên cần trả lời được ba câu hỏi trong vài giây trước khi dán nội dung vào một ô chat: công cụ này có được phép không, dữ liệu này có được đưa vào không, và kết quả này có cần ai xem lại không. Phần chi tiết kỹ thuật có thể để ở phụ lục cho bộ phận IT.

2. Tám nội dung cần có trong chính sách

1. Phạm vi công cụ

Chính sách nên có danh mục công cụ chia làm ba nhóm: được phép dùng cho công việc, được phép có điều kiện (chỉ dùng với dữ liệu công khai, hoặc chỉ một số bộ phận), và không được dùng. Danh mục cần ghi cả tính năng AI nằm sẵn trong phần mềm đang dùng, vì nhiều nhân viên không coi đó là “dùng AI”. Mỗi mục ghi phiên bản hoặc gói dịch vụ cụ thể, bởi cùng một công cụ nhưng gói cá nhân và gói doanh nghiệp có thể khác nhau về việc lưu và dùng lại dữ liệu người dùng.

Danh mục phải có người cập nhật và có đường để nhân viên đề xuất thêm công cụ mới. Nếu thủ tục xin phép quá chậm, nhân viên sẽ lặng lẽ dùng công cụ ngoài danh mục.

2. Dữ liệu cấm

Đây là phần quan trọng nhất và nên viết bằng ví dụ cụ thể thay vì khái niệm. Thay vì ghi “không nhập thông tin mật”, hãy liệt kê: số căn cước và thông tin liên hệ của khách hàng, bảng lương và hồ sơ đánh giá nhân viên, giá vốn và biên lợi nhuận, hợp đồng chưa ký, mã nguồn chưa công bố, mật khẩu và khóa truy cập hệ thống, hồ sơ sức khỏe. Nên kèm bảng ba mức dữ liệu (công khai, nội bộ, hạn chế) và ghi rõ mức nào được đưa vào nhóm công cụ nào.

Chính sách cũng nên hướng dẫn cách làm thay thế: ẩn tên khách, thay số liệu thật bằng số giả định, chỉ dán đoạn văn cần sửa thay vì cả tài liệu. Có cách làm thay thế thì nhân viên mới làm theo được.

3. Quyền sở hữu nội dung

Nội dung nhân viên tạo ra với sự hỗ trợ của AI trong giờ làm việc thuộc về ai, và doanh nghiệp có dám dùng nó ra bên ngoài không? Chính sách nên nói rõ nội dung đó được xử lý như sản phẩm công việc bình thường, nhưng người dùng AI chịu trách nhiệm kiểm tra việc sao chép nguyên văn từ nguồn khác, hình ảnh có thể trùng tác phẩm có bản quyền, và điều khoản của công cụ về quyền sử dụng đầu ra. Những câu hỏi pháp lý phức tạp như quyền tác giả với nội dung do AI tạo nên để bộ phận pháp chế hoặc luật sư tư vấn theo quy định hiện hành, chính sách chỉ cần chỉ ra ai là đầu mối hỏi.

4. Kiểm tra kết quả

AI có thể viết sai số liệu, bịa trích dẫn, dịch lệch nghĩa một điều khoản hợp đồng. Chính sách cần nêu nguyên tắc: người dùng chịu trách nhiệm về nội dung mình gửi đi, dù AI viết phần lớn. Sau đó phân mức kiểm tra theo loại đầu ra. Bản nháp nội bộ chỉ cần người viết đọc lại. Nội dung gửi khách, số liệu báo cáo, bản dịch văn bản pháp lý hay nội dung đăng công khai cần người thứ hai duyệt hoặc đối chiếu với nguồn gốc. Một số việc không nên giao cho AI công cộng kết luận, như đánh giá nhân sự hay tư vấn pháp lý cho khách.

5. Tài khoản

Nhân viên dùng tài khoản cá nhân hay tài khoản do công ty cấp? Tài khoản công ty cho phép quản lý tập trung, thu hồi khi nhân viên nghỉ việc và thường có điều khoản xử lý dữ liệu chặt hơn. Chính sách nên cấm dùng tài khoản cá nhân cho dữ liệu nội bộ, cấm chia sẻ một tài khoản cho nhiều người, yêu cầu bật xác thực hai lớp và quy định việc xóa lịch sử hội thoại có chứa dữ liệu công việc khi nghỉ việc hoặc chuyển bộ phận.

6. Nhà cung cấp

Trước khi một công cụ vào danh mục được phép, ai đó cần đọc điều khoản: dữ liệu nhập vào có được dùng để huấn luyện mô hình không, lưu ở đâu và bao lâu, có tùy chọn tắt lưu không, nhà cung cấp dùng bên thứ ba nào. Chính sách không cần chép lại các điều khoản này, nhưng nên nêu tiêu chí tối thiểu để một công cụ được duyệt và người có quyền duyệt. Khi nhà cung cấp đổi điều khoản, danh mục phải được rà lại.

7. Báo cáo sự cố

Nhân viên lỡ dán danh sách khách hàng vào một chatbot công cộng thì nên làm gì? Nếu chính sách chỉ có điều cấm mà không có kênh báo, người mắc lỗi sẽ im lặng. Cần ghi rõ: báo cho ai (bộ phận IT hoặc an toàn thông tin), báo trong bao lâu, cung cấp những thông tin gì (công cụ, thời điểm, loại dữ liệu), và việc làm ngay như xóa hội thoại nếu công cụ cho phép. Chính sách nên nói rõ việc tự báo sớm được ghi nhận khác với việc che giấu, để khuyến khích báo cáo.

8. Đào tạo

Văn bản chỉ có tác dụng khi người đọc hiểu. Buổi đào tạo nên dùng tình huống của chính bộ phận: kế toán có được nhờ AI đọc sao kê không, sales có được dán lịch sử trao đổi với khách để soạn email không, nhân sự có được tóm tắt CV không. Đào tạo lặp lại khi có nhân viên mới, khi danh mục công cụ đổi và khi xảy ra sự cố đáng rút kinh nghiệm. Một trang tóm tắt một mặt giấy để trên máy tính thường hữu ích hơn tài liệu dài.

3. Quy trình soạn và ban hành chính sách

Bước 1: Kiểm kê cách nhân viên đang dùng AI

Trước khi viết, hãy hỏi. Một khảo sát ngắn, không truy cứu, cho biết bộ phận nào dùng công cụ gì, cho việc gì và với loại dữ liệu nào. Kết quả thường cho thấy vài nhu cầu lớn lặp lại, như viết lại văn bản, dịch và tóm tắt, và đó là những nhu cầu chính sách phải đáp ứng bằng một công cụ được duyệt.

Bước 2: Phân loại dữ liệu theo mức được phép đưa vào công cụ

Dựa trên danh mục dữ liệu doanh nghiệp đang có, xếp từng loại vào ba mức và ghép với nhóm công cụ. Bước này cần trưởng các bộ phận tham gia, vì chỉ họ biết tài liệu nào của mình thực sự nhạy cảm. Đầu ra là một bảng ngắn mà nhân viên có thể tra khi phân vân.

Bước 3: Soạn văn bản, lấy ý kiến pháp chế và các bộ phận

Bản nháp nên được đọc bởi pháp chế, nhân sự, IT và vài nhân viên dùng AI nhiều. Pháp chế rà các nội dung liên quan đến dữ liệu cá nhân và quyền sở hữu theo quy định hiện hành; nhân sự xem cách chính sách gắn với nội quy lao động; nhân viên cho biết chỗ nào khó hiểu hoặc khó làm theo. Nên thử văn bản bằng vài tình huống thật xem người đọc có tự trả lời đúng không.

Bước 4: Ban hành, đào tạo và rà soát định kỳ

Ban hành kèm đào tạo, yêu cầu nhân viên xác nhận đã đọc, và đưa bản tóm tắt vào tài liệu hội nhập nhân viên mới. Đặt lịch rà soát cố định, chẳng hạn mỗi quý, vì công cụ AI thay đổi rất nhanh. Nếu doanh nghiệp có kho tài liệu nội bộ, có thể cho một AI tra cứu chính sách nhân sự trả lời câu hỏi về chính sách này, với điều kiện câu trả lời luôn dẫn về đúng điều khoản và phiên bản đang hiệu lực.

4. Ví dụ giả định

Một công ty phân phối khoảng một trăm nhân viên phát hiện nhiều người dùng chatbot công cộng để soạn báo giá và email cho khách. Công ty ban hành chính sách với danh mục ba nhóm công cụ, bảng dữ liệu ba mức, cấp tài khoản doanh nghiệp cho một trợ lý viết được duyệt, và quy định báo sự cố trong ngày.

Để kiểm tra chính sách có dễ hiểu không, nhóm soạn thảo đưa cho nhân viên các tình huống: dán email khách có số điện thoại để sửa câu chữ, nhờ AI tóm tắt biên bản họp có nhắc doanh số quý, dùng tiện ích dịch trên trình duyệt để dịch hợp đồng với nhà cung cấp, và trường hợp đã lỡ dán bảng lương vào công cụ công cộng. Câu trả lời sai tập trung ở đâu thì văn bản và buổi đào tạo cần sửa ở đó. Ví dụ này là giả định, không phản ánh kết quả của một doanh nghiệp cụ thể.

5. Rủi ro và giới hạn

• Văn bản quá dài, nhiều thuật ngữ khiến nhân viên không đọc và làm theo cảm tính
• Chỉ cấm mà không có công cụ thay thế được duyệt đẩy nhân viên sang dùng lén
• Danh mục công cụ không được cập nhật khi nhà cung cấp đổi điều khoản
• Không có kênh báo sự cố khiến lỗi bị che giấu thay vì được xử lý sớm

Chính sách cũng không thay được biện pháp kỹ thuật. Với dữ liệu mức hạn chế, doanh nghiệp vẫn cần phân quyền ở hệ thống nguồn, chặn tải xuất hàng loạt và giám sát phù hợp, như bài bảo mật dữ liệu AI Agent đã phân tích. Ngược lại, biện pháp kỹ thuật không bao giờ phủ hết mọi công cụ, nên văn bản và đào tạo vẫn là lớp bảo vệ cần có.

6. Phân chia trách nhiệm vận hành

Ban lãnh đạo phê duyệt chính sách và quyết định mức rủi ro chấp nhận được. Bộ phận IT hoặc an toàn thông tin giữ danh mục công cụ, thẩm định nhà cung cấp, cấp và thu hồi tài khoản, tiếp nhận sự cố. Pháp chế rà các nội dung về dữ liệu cá nhân, quyền sở hữu và điều khoản với nhà cung cấp. Nhân sự đưa chính sách vào nội quy, tổ chức đào tạo và xử lý vi phạm theo quy trình chung.

Trưởng bộ phận là người gần nhất với cách nhân viên làm việc hằng ngày. Họ trả lời câu hỏi “việc này có được dùng AI không” của nhóm mình, đề xuất công cụ mới khi có nhu cầu thật, và báo lại khi thấy chính sách gây vướng. Mỗi lần sửa chính sách cần ghi số phiên bản, ngày hiệu lực và nội dung thay đổi để nhân viên biết điều gì mới.

7. Chỉ số nên theo dõi

• Tỷ lệ nhân viên đã xác nhận đọc và hoàn thành đào tạo theo từng bộ phận
• Số đề xuất công cụ mới và thời gian xử lý mỗi đề xuất
• Số sự cố được tự báo so với số sự cố bị phát hiện qua kênh khác
• Tỷ lệ trả lời đúng trong bài kiểm tra tình huống sau đào tạo

Số sự cố được báo tăng lên sau khi ban hành chưa chắc là tin xấu; nhiều khi đó là dấu hiệu nhân viên đã biết kênh báo và không sợ báo. Điều đáng lo là thời gian xử lý đề xuất công cụ kéo dài, vì đó là lúc nhân viên bắt đầu tìm đường vòng.

8. Checklist trước khi ban hành

• Danh mục công cụ ba nhóm đã có người giữ và ngày rà soát
• Bảng dữ liệu ba mức có ví dụ cụ thể cho từng bộ phận
• Mức kiểm tra đầu ra được ghi theo loại nội dung
• Quy định tài khoản công ty và thu hồi khi nghỉ việc đã thống nhất với IT
• Kênh báo sự cố, thời hạn báo và người tiếp nhận đã rõ
• Pháp chế đã rà nội dung về dữ liệu cá nhân và quyền sở hữu
• Tài liệu đào tạo dùng tình huống thật của từng bộ phận

9. Câu hỏi thường gặp

Doanh nghiệp nhỏ có cần chính sách sử dụng AI riêng không? Có, nhưng có thể rất ngắn. Một trang nêu công cụ được dùng, dữ liệu không được đưa vào, ai kiểm tra nội dung gửi khách và báo cho ai khi lỡ tay đã đủ để bắt đầu, sau đó bổ sung khi quy mô tăng.

Có nên cấm hoàn toàn chatbot công cộng trong công ty? Cấm hoàn toàn thường khó thực thi và đẩy nhân viên sang dùng lén. Cách bền hơn là cung cấp một công cụ được duyệt cho các nhu cầu phổ biến, rồi chỉ cấm những loại dữ liệu và tình huống thật sự rủi ro.

Chính sách sử dụng AI khác gì quy định bảo mật thông tin sẵn có? Quy định bảo mật nói dữ liệu nào cần bảo vệ; chính sách sử dụng AI áp điều đó vào hành vi cụ thể khi dùng công cụ AI: dán gì, dùng tài khoản nào, kiểm tra đầu ra ra sao. Hai văn bản nên dẫn chiếu nhau thay vì lặp lại.

Bao lâu nên cập nhật chính sách sử dụng AI một lần? Nên rà soát theo lịch cố định, chẳng hạn mỗi quý, và rà ngay khi có công cụ mới được đề xuất nhiều, nhà cung cấp đổi điều khoản hoặc xảy ra sự cố. Mỗi bản cập nhật cần ghi rõ phiên bản và điểm thay đổi.

Kết luận

Chính sách sử dụng AI nội bộ không nhằm ngăn nhân viên dùng AI mà giúp họ dùng mà không đưa doanh nghiệp vào rủi ro. Tám nội dung cốt lõi là phạm vi công cụ, dữ liệu cấm, sở hữu nội dung, kiểm tra kết quả, tài khoản, nhà cung cấp, báo sự cố và đào tạo. Văn bản ngắn, có ví dụ, đi kèm một công cụ được duyệt và một kênh báo sự cố dễ dùng sẽ hiệu quả hơn nhiều trang điều cấm.

Trao đổi với Naventic để xây AI Agent nội bộ an toàn cho nhân viên. Đọc thêm: AI Agent nội bộ.