Quy chế sử dụng AI trong doanh nghiệp cần quy định gì?

Quy chế sử dụng AI trong doanh nghiệp cần xác định rõ trách nhiệm và phạm vi sử dụng. Cho nhân viên dùng AI không khó. Khó hơn là xác định dữ liệu nào được đưa vào hệ thống. Đồng thời, cần xác định ai kiểm tra kết quả và ai xử lý khi có sai sót. Một quy chế ngắn nhưng rõ trách nhiệm sẽ hữu ích hơn. Không nên chỉ yêu cầu chung chung “sử dụng AI đúng pháp luật”.

Sơ đồ hướng dẫn quy chế sử dụng AI trong doanh nghiệp

Xác định vai trò và mức rủi ro

Luật Trí tuệ nhân tạo có hiệu lực từ ngày 01/03/2026. Nghị định 142/2026/NĐ-CP hướng dẫn thi hành có hiệu lực từ ngày 01/05/2026. Trách nhiệm phụ thuộc vai trò phát triển, cung cấp, triển khai hoặc sử dụng. Đồng thời, trách nhiệm còn phụ thuộc mức rủi ro của hệ thống. ^[1] ^[2]

Doanh nghiệp nên lập danh sách công cụ và công việc sử dụng AI. Công việc gồm soạn bản nháp, tổng hợp tài liệu và tư vấn khách hàng. Ngoài ra, còn có sàng lọc hồ sơ hoặc hỗ trợ quyết định. Không nên đánh đồng công cụ sửa câu chữ với hệ thống khác. Những hệ thống này có thể ảnh hưởng trực tiếp đến quyền và lợi ích của con người.

Mỗi trường hợp cần xác định người phụ trách và mục đích được phép. Đồng thời, quy định dữ liệu sử dụng và cơ chế dừng khi phát hiện vấn đề. Việc xác định nghĩa vụ pháp lý cụ thể cần đối chiếu đúng loại hệ thống. Không tự kết luận mọi công cụ đều thuộc nhóm rủi ro thấp.

Quy chế sử dụng AI trong doanh nghiệp: dữ liệu được phép nhập

Có thể chia dữ liệu nội bộ thành thông tin công khai. Nhóm tiếp theo chỉ dùng trong môi trường được phê duyệt. Nhóm còn lại không được đưa vào công cụ ngoài hệ thống. Đây là cách tổ chức quản trị đề xuất, không phải một bảng phân loại thay thế pháp luật.

Với dữ liệu cá nhân, cần kiểm tra mục đích và căn cứ xử lý. Đồng thời, cần kiểm tra quyền của chủ thể dữ liệu. Đồng thời, xem xét bên cung cấp dịch vụ và việc chuyển dữ liệu theo quy định. Chỉ xóa tên chưa chắc đã ẩn danh nếu phần còn lại vẫn nhận diện được một người. ^[3]

Ví dụ giả định, nhân viên bỏ tên khách khỏi bản án. Tuy nhiên, họ vẫn giữ địa chỉ, số điện thoại và tình tiết rất riêng. Tài liệu đó vẫn cần được đánh giá về khả năng nhận diện. Nghĩa vụ bảo mật cũng phải được xem xét trước khi đưa lên hệ thống.

Không để kết quả AI tự đi thẳng đến khách hàng

Nên quy định người duyệt đối với nội dung pháp lý, tài chính và nhân sự. Quy định này cũng áp dụng cho những quyết định có hậu quả đáng kể. Người duyệt phải kiểm tra nguồn, dữ kiện và phạm vi sử dụng. Không chỉ đọc để xem câu văn có trôi chảy hay không.

Đối với hệ thống rủi ro cao, pháp luật đặt ra yêu cầu quản lý và giám sát. Khả năng can thiệp của con người cũng phải được bảo đảm theo vai trò tương ứng. Quy chế nội bộ không thay thế hồ sơ và đánh giá sự phù hợp khi pháp luật yêu cầu. ^[1] ^[2]

Cần lưu dấu vết phiên bản đầu vào và đầu ra. Phần được người phụ trách sửa cũng cần lưu lại ở mức phù hợp. Đồng thời tránh lưu tràn lan dữ liệu nhạy cảm chỉ để chứng minh đã dùng AI.

Quy chế sử dụng AI trong doanh nghiệp: minh bạch và xử lý sự cố

Điều 11 Luật Trí tuệ nhân tạo quy định nghĩa vụ minh bạch. Trong đó có thông báo và gắn nhãn đối với nội dung có thể gây nhầm lẫn. Hoặc nội dung mô phỏng người thật, sự kiện thực tế thuộc các trường hợp đó. Cần áp dụng theo đúng đối tượng và văn bản hướng dẫn. Không đơn giản coi mọi bản nháp đều có cùng yêu cầu. ^[1] ^[2]

Quy trình sự cố nên xác định người nhận báo cáo và người khóa truy cập. Đồng thời, quy định cách bảo toàn thông tin và đánh giá nghĩa vụ thông báo. Không khuyến khích nhân viên tự xóa dấu vết khi vô tình đưa nhầm hồ sơ khách hàng.

Có nên cấm toàn bộ AI để tránh rủi ro?

Không nhất thiết. Doanh nghiệp có thể bắt đầu từ công việc ít rủi ro. Đồng thời, sử dụng công cụ được phê duyệt và dữ liệu phù hợp. Điều quan trọng là quyền sử dụng phải đi cùng trách nhiệm kiểm tra. Không được chuyển toàn bộ trách nhiệm sang phần mềm.

Phân loại công việc được và không được dùng AI

Quy chế sử dụng AI trong doanh nghiệp nên xếp công việc theo tác động thực tế thay vì chỉ chia thành “được dùng” và “cấm dùng”: nhóm hỗ trợ hành chính từ dữ liệu công khai; nhóm xử lý tài liệu nội bộ đã được phân quyền; và nhóm rủi ro cao hoặc có tác động đến quyền của cá nhân như đánh giá nhân sự, hồ sơ khách hàng, quyết định tín dụng hoặc ý kiến pháp lý. Mỗi nhóm cần ghi công cụ được duyệt, loại dữ liệu và căn cứ xử lý. Căn cứ áp dụng cho dữ liệu cá nhân hoặc bí mật kinh doanh; xác định người kiểm tra đầu ra AI. Đồng thời ghi chế độ lưu nhật ký và cách báo cáo sự cố. Luật Trí tuệ nhân tạo 2025 và văn bản hướng dẫn cần được đánh giá theo bản chất hệ thống. Đồng thời xét chủ thể triển khai và nghĩa vụ cụ thể. Không mặc nhiên coi mọi công cụ soạn thảo có AI cùng mức rủi ro.

Quy chế sử dụng AI trong doanh nghiệp: phân quyền dữ liệu

Có thể lập ba tầng kiểm soát: dữ liệu công khai dùng theo quy trình thông thường. Dữ liệu mật chỉ được xử lý trong môi trường đã phê duyệt. Dữ liệu đặc biệt nhạy cảm hoặc hồ sơ chưa được phép phải chặn đưa lên công cụ ngoài. Đây là thiết kế quản trị, không phải phân loại pháp lý thay thế quy định nhà nước. Đối với hồ sơ vụ án, xóa họ tên chưa chắc bảo đảm ẩn danh. Đặc biệt khi còn địa chỉ, quan hệ gia đình và tình tiết độc nhất. Nhân viên phải biết cách xin phê duyệt và báo cáo khi đã đưa nhầm dữ liệu.

Kiểm tra và xử lý sự cố như thế nào

Người duyệt cần đối chiếu dữ kiện với tài liệu gốc. Kiểm tra điều luật có thật, còn hiệu lực và xác định chỗ hệ thống suy đoán. Sau đó mới cho phép gửi khách hàng. Quy chế nên quy định ai khóa tài khoản và bảo toàn bằng chứng. Đồng thời xác định người liên hệ nhà cung cấp và đánh giá nghĩa vụ thông báo khi rò rỉ dữ liệu. Lưu nhật ký ở mức cần thiết nhưng không tích lũy vô hạn dữ liệu nhạy cảm. Nếu AI tạo ảnh hoặc giọng nói mô phỏng người thật, cần kiểm tra nghĩa vụ minh bạch. Đồng thời kiểm tra quyền liên quan theo loại nội dung, không mặc nhiên xem mọi kết quả cùng loại.

Quy chế AI cần gắn với trách nhiệm người quản lý

Một quy chế chỉ nói “nhân viên tự chịu trách nhiệm” thường không đủ. Đặc biệt khi công ty chủ động triển khai công cụ và cung cấp dữ liệu. Cần nêu ai lựa chọn nhà cung cấp và ai phê duyệt loại dữ liệu. Đồng thời xác định ai kiểm tra kết quả và ai có quyền dừng hệ thống. Khi dùng AI sàng lọc ứng viên, chấm điểm khách hàng hoặc soạn tư vấn pháp lý. Nên có cơ chế phản hồi và kiểm tra của con người phù hợp với rủi ro. Không coi kết quả tự động là kết luận cuối. Với tài liệu mật, quy chế phải giải thích các hạn chế cụ thể. Không nên yêu cầu nhân viên tự đoán những hạn chế này. Định kỳ, doanh nghiệp nên rà nhật ký sự cố và những đầu ra sai nghiêm trọng. Đồng thời xem xét phản hồi từ người dùng để sửa quy trình. Cần đối chiếu nghĩa vụ mới phát sinh theo loại hệ thống đang triển khai.

Cần rà soát hồ sơ của bạn?

Bạn nên tập hợp văn bằng, hợp đồng, tài liệu sáng tạo hoặc chứng cứ sử dụng đang có. Liên hệ Công ty Luật TNHH Thái Dương FDI Hà Nội qua 0866 222 823. Qua đó, trao đổi phạm vi rà soát và đặt lịch làm việc.

Nội dung cung cấp thông tin pháp lý chung. Cách áp dụng còn phụ thuộc hồ sơ và thời điểm phát sinh. Đồng thời, cần đối chiếu quy định có hiệu lực đối với từng trường hợp.

Nguồn pháp lý tham khảo

[1] Luật Trí tuệ nhân tạo 2025 — số 134/2025/QH15

[2] Nghị định 142/2026/NĐ-CP — hướng dẫn Luật Trí tuệ nhân tạo

[3] Luật Bảo vệ dữ liệu cá nhân 2025 — số 91/2025/QH15

Công ty cho nhân viên sử dụng AI cần ban hành quy chế gì?