Mẫu Chính Sách Sử Dụng AI Nội Bộ Cho Doanh Nghiệp (1 Trang)
Nhân viên của bạn nhiều khả năng đã dùng AI trong công việc, dù công ty có cho phép hay chưa. Vấn đề thường không nằm ở bản thân công cụ, mà ở chỗ không ai nói rõ dữ liệu nào được đưa vào, ai chịu trách nhiệm khi AI sai, và việc gì không được giao cho AI quyết định. Một chính sách dài 20 trang sẽ không ai đọc. Một trang giấy có thể được đọc, ký xác nhận và dán cạnh bàn làm việc.
Dưới đây là mẫu chính sách sử dụng AI nội bộ gói trong một trang, do Phanmembiz soạn cho doanh nghiệp vừa và nhỏ. Bạn có thể sao chép, thay các phần trong [ngoặc vuông] và điều chỉnh theo thực tế. Phần sau mẫu giải thích lý do của từng mục và những điểm cần cân nhắc khi áp dụng.
Lưu ý quan trọng: đây là mẫu tham khảo, không phải tư vấn pháp lý. Hãy rà soát với luật sư trước khi áp dụng, đối chiếu với quy định hiện hành về dữ liệu cá nhân, trí tuệ nhân tạo và lao động, đặc biệt nếu bạn gắn chính sách với chế tài kỷ luật trong nội quy lao động.
Tải mẫu chính sách sử dụng AI nội bộ (.docx)
Mẫu chính sách sử dụng AI nội bộ (1 trang)
CHÍNH SÁCH SỬ DỤNG AI NỘI BỘ [TÊN CÔNG TY]
Phiên bản [1.0] | Hiệu lực từ [dd/mm/yyyy] | Người chịu trách nhiệm chính sách: [Họ tên, chức danh] | Rà soát lại: mỗi [6] tháng hoặc khi đổi công cụ, quy định
1. Mục đích và phạm vi
Chính sách áp dụng cho mọi nhân viên, cộng tác viên và đối tác làm việc cho [Tên công ty] khi dùng công cụ AI (chatbot, trợ lý AI trong phần mềm, công cụ tạo nội dung, AI agent) cho công việc của công ty, kể cả khi dùng tài khoản cá nhân. Mục tiêu: dùng AI để làm việc hiệu quả hơn mà không làm lộ dữ liệu, sai lệch thông tin hay vi phạm pháp luật.
2. Công cụ được phép
- Danh sách được duyệt: [Tên công cụ 1, Tên công cụ 2], dùng bằng tài khoản công ty. Danh sách do [người phụ trách] cập nhật tại [đường dẫn].
- Công cụ khác: phải xin phê duyệt trước khi dùng cho công việc. Không dùng tài khoản cá nhân hoặc bản miễn phí cho dữ liệu mức VÀNG và ĐỎ.
3. Dữ liệu nào được và không được đưa vào AI
| Mức | Ví dụ dữ liệu | Quy tắc khi dùng AI |
|---|---|---|
| XANH | Thông tin công khai, nội dung đã đăng, câu hỏi chung, ý tưởng không gắn với khách hàng cụ thể. | Được dùng với công cụ trong danh sách được duyệt. |
| VÀNG | Tài liệu nội bộ không nhạy cảm, số liệu tổng hợp, quy trình, bản nháp báo giá chưa gửi. | Chỉ dùng tài khoản công ty của công cụ được duyệt; bỏ tên và thông tin nhận dạng trước khi nhập. |
| ĐỎ | Dữ liệu cá nhân của khách hàng, nhân viên (CCCD, số điện thoại, địa chỉ, email, tài chính, sức khỏe), mật khẩu và khóa truy cập, mã nguồn, hợp đồng, bí mật kinh doanh, dữ liệu đối tác cam kết bảo mật. | KHÔNG đưa vào AI nếu chưa có phê duyệt bằng văn bản của [người phụ trách]. |
4. Con người chịu trách nhiệm
- Người dùng chịu trách nhiệm về mọi nội dung AI tạo ra mà mình sử dụng. Kiểm tra số liệu, tên, trích dẫn, giá và điều khoản với nguồn gốc trước khi gửi hoặc lưu.
- Không gửi trực tiếp cho khách hàng hoặc cơ quan nhà nước nội dung do AI tạo mà chưa có người duyệt.
5. Việc không giao cho AI quyết định
- AI chỉ soạn nháp, tóm tắt, gợi ý; con người quyết định các việc: tuyển dụng, sa thải, đánh giá nhân sự; cấp tín dụng, giảm giá đặc biệt; tư vấn pháp lý, y tế, tài chính cho khách; trả lời khiếu nại; thanh toán; xóa hoặc ghi đè dữ liệu gốc; ký hoặc cam kết hợp đồng.
6. Minh bạch với khách hàng và đồng nghiệp
- Khi khách hàng tương tác trực tiếp với AI (ví dụ chatbot), phải nêu rõ đó là AI và luôn có cách chuyển sang nhân viên.
- Hình ảnh, video, giọng nói do AI tạo có thể bị nhầm là thật phải gắn nhãn AI. Không tạo nội dung giả mạo người hoặc sự kiện có thật.
7. AI agent và tự động hóa
- Mỗi agent có một người chịu trách nhiệm được chỉ định, chạy với quyền tối thiểu, có nhật ký hoạt động, và cần người duyệt trước mọi hành động không thể hoàn tác (gửi cho khách, thanh toán, xóa hoặc sửa dữ liệu gốc).
8. Sự cố, đào tạo và rà soát
- Báo cáo sự cố: nếu lỡ nhập dữ liệu mức ĐỎ hoặc nội dung AI sai gây hậu quả, báo ngay cho [người phụ trách, email/số điện thoại] trong vòng [24] giờ. Báo cáo kịp thời, trung thực được ghi nhận là hành vi đúng.
- Đào tạo và xác nhận: mọi người đọc chính sách và được hướng dẫn trong [30] ngày kể từ khi bắt đầu làm việc hoặc khi chính sách thay đổi.
Xác nhận đã đọc: [Họ tên] | Chức danh: [...] | Ngày: [dd/mm/yyyy] | Chữ ký: [...]
Mẫu tham khảo, không phải tư vấn pháp lý. Cần điều chỉnh theo thực tế và rà soát với luật sư trước khi áp dụng.
Vì sao mẫu chính sách được thiết kế như vậy
Ba mức dữ liệu thay vì một danh sách cấm dài. Nhân viên cần ra quyết định trong vài giây khi mở chatbot. Ba mức XANH, VÀNG, ĐỎ dễ nhớ hơn một danh sách liệt kê, và đủ rõ cho phần lớn tình huống. Mức ĐỎ bao gồm dữ liệu cá nhân vì từ 1/1/2026, Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) và Nghị định 356/2025/NĐ-CP có hiệu lực, yêu cầu căn cứ xử lý hợp pháp và sự đồng ý theo từng mục đích; dán dữ liệu khách hàng vào một công cụ AI bên ngoài là một hoạt động xử lý dữ liệu mới. Cách phân loại và ghi nhận sự đồng ý được trình bày kỹ trong bài dữ liệu sạch cho AI: 5 bước chuẩn bị dữ liệu khách hàng.
Tài khoản công ty, không phải tài khoản cá nhân. Với tài khoản công ty, doanh nghiệp quản lý được ai đang dùng, thu hồi quyền khi nhân viên nghỉ việc, và chọn được các thiết lập về dữ liệu mà nhà cung cấp cho phép. Điều kiện cụ thể (dữ liệu có được dùng để huấn luyện mô hình hay không, lưu trữ ở đâu) khác nhau theo từng công cụ và từng gói; hãy đọc điều khoản của công cụ bạn chọn trước khi đưa vào danh sách được duyệt.
Con người chịu trách nhiệm, AI chỉ soạn nháp. Mục 4 và 5 dựa trên một thực tế: AI có thể sai một cách tự tin, và khách hàng sẽ không chấp nhận lời giải thích "do máy viết". Danh sách việc không giao cho AI ở Mục 5 nhất quán với khuyến nghị trong bài AI agent cho SME Việt Nam: 5 việc nên làm, 3 việc chưa nên giao, nơi chúng tôi phân tích các trường hợp như chatbot trả lời sai chính sách hay AI xếp hạng hồ sơ ứng viên có thiên lệch.
Minh bạch khi khách hàng nói chuyện với AI. Luật Trí tuệ nhân tạo (Luật số 134/2025/QH15, hiệu lực từ 1/3/2026) yêu cầu hệ thống AI tương tác trực tiếp với con người phải được thiết kế để người dùng nhận biết họ đang tương tác với AI. Mục 6 đưa yêu cầu đó vào thực hành hằng ngày. Nghĩa vụ cụ thể của doanh nghiệp bạn phụ thuộc vào vai trò (nhà cung cấp hay đơn vị triển khai) và mức rủi ro của hệ thống, nên cần luật sư xác định.
AI agent cần người chịu trách nhiệm và nhật ký. Agent không chỉ trả lời mà còn hành động trong hệ thống, nên một lỗi có thể đã gửi email cho khách hoặc sửa dữ liệu. Mục 7 yêu cầu ba thứ tối thiểu: một người chịu trách nhiệm, quyền tối thiểu và bước duyệt trước hành động không thể hoàn tác. Nếu agent của bạn kết nối với nhiều phần mềm, hãy đọc thêm bài MCP là gì về các rủi ro bảo mật khi cấp quyền cho AI.
Khuyến khích báo cáo sự cố. Câu "báo cáo kịp thời, trung thực được ghi nhận là hành vi đúng" có chủ đích: nếu nhân viên sợ bị phạt, họ sẽ giấu sự cố, và doanh nghiệp mất thời gian xử lý quý giá nhất.
Cách triển khai chính sách trong 30 ngày
- Tuần 1: chỉ định người chịu trách nhiệm chính sách; liệt kê các công cụ AI nhân viên đang thực sự dùng (hỏi thẳng, không phán xét); chọn danh sách công cụ được duyệt.
- Tuần 2: điền các phần trong ngoặc vuông; cho luật sư rà, đặc biệt nếu chính sách được đưa vào nội quy lao động.
- Tuần 3: tổ chức một buổi hướng dẫn ngắn với ví dụ thật của từng bộ phận (bán hàng, kế toán, chăm sóc khách hàng); mọi người ký xác nhận.
- Tuần 4: chuyển nhân viên sang tài khoản công ty; đặt lịch rà soát lại sau 6 tháng hoặc khi có công cụ, quy định mới.
Chính sách chỉ là bước đầu. Khi bắt đầu thử nghiệm AI cho một quy trình cụ thể, hãy đo trước và sau để biết công cụ có đáng tiền không, theo khung trong bài đo ROI của AI trong doanh nghiệp nhỏ.
Câu hỏi thường gặp
Doanh nghiệp nhỏ có cần chính sách AI không?
Nên có, ở mức một trang. Doanh nghiệp càng nhỏ thì một sự cố lộ dữ liệu khách hàng càng ảnh hưởng nặng tới uy tín, và nhân viên càng cần một quy tắc đơn giản để tự quyết.
Có nên cấm hẳn nhân viên dùng AI?
Thường không hiệu quả. Lệnh cấm dễ khiến nhân viên dùng lén bằng tài khoản cá nhân, khi đó doanh nghiệp không kiểm soát được dữ liệu nào đã đi ra ngoài. Cho phép có điều kiện, với danh sách công cụ được duyệt và ba mức dữ liệu, thường an toàn hơn.
Chính sách này có thay được tư vấn pháp lý không?
Không. Đây là mẫu tham khảo. Quy định về dữ liệu cá nhân, trí tuệ nhân tạo và lao động có thể áp dụng khác nhau tùy ngành nghề và quy mô; hãy cho luật sư rà trước khi áp dụng.
Bao lâu nên cập nhật chính sách một lần?
Mẫu đề xuất 6 tháng, hoặc sớm hơn khi đổi công cụ, khi có quy định mới, hoặc sau một sự cố. Công cụ AI thay đổi nhanh, nên danh sách được duyệt cũng cần được cập nhật thường xuyên.
Kết
Một chính sách AI tốt không cần dài. Nó cần trả lời được ba câu hỏi mà nhân viên gặp mỗi ngày: dùng công cụ nào, đưa dữ liệu gì vào, và ai chịu trách nhiệm với kết quả. Mẫu một trang ở trên là điểm khởi đầu; giá trị thật nằm ở việc mọi người đọc, hiểu và làm theo.
Nếu bạn muốn đưa AI vào CRM hoặc các phần mềm văn phòng với phân quyền, nhật ký và quy trình duyệt rõ ràng, đội ngũ Phanmembiz có thể cùng bạn thiết lập.
