Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026) không cấm công ty dùng ChatGPT, Claude hay Gemini. Nhưng khi bạn dán họ tên, số điện thoại, CCCD của khách hàng hay nhân viên vào một công cụ AI, đó là xử lý dữ liệu cá nhân: phải đúng mục đích đã nói với người đó, có căn cứ hợp pháp như sự đồng ý của họ, và nếu công cụ chạy trên nền tảng ở nước ngoài thì có thể bị coi là chuyển dữ liệu cá nhân xuyên biên giới, kèm thủ tục riêng. Cách đơn giản nhất để khỏi vướng là không đưa dữ liệu cá nhân vào AI ngay từ đầu. Bài này đi qua những điều luật liên quan và cách làm cụ thể.
Bài viết chỉ để tham khảo, không phải tư vấn pháp lý. Với trường hợp cụ thể của công ty bạn, hãy hỏi bộ phận pháp chế hoặc luật sư.
Dán thông tin vào AI có phải là "xử lý dữ liệu cá nhân" không?
Có. Điều 2 của luật định nghĩa dữ liệu cá nhân là thông tin "xác định hoặc giúp xác định một con người cụ thể", và xử lý dữ liệu cá nhân gồm cả thu thập, phân tích, tổng hợp, cung cấp, chuyển giao dữ liệu. Gửi danh sách khách hàng cho một chatbot để nó tóm tắt hay phân loại là cung cấp và phân tích dữ liệu đó.
Luật áp dụng cho mọi cơ quan, tổ chức, cá nhân Việt Nam (Điều 1), không chỉ công ty công nghệ. Một shop online năm người hay một văn phòng kế toán nhỏ cũng nằm trong đó.
Những điều luật nào liên quan trực tiếp?
Đúng mục đích, trong phạm vi cần thiết
Điều 3 đặt nguyên tắc: chỉ được thu thập, xử lý dữ liệu cá nhân "đúng phạm vi, mục đích cụ thể, rõ ràng". Khách đưa số điện thoại để bạn giao hàng, không phải để số đó nằm trong lịch sử trò chuyện của một dịch vụ AI.
Điều 30 nói riêng về trí tuệ nhân tạo và điện toán đám mây: dữ liệu cá nhân trong môi trường này "phải được xử lý đúng mục đích và giới hạn trong phạm vi cần thiết". Nếu AI làm được việc mà không cần biết tên khách, thì đưa tên vào là vượt quá phạm vi cần thiết.
Sự đồng ý phải rõ ràng
Theo Điều 9, sự đồng ý chỉ có hiệu lực khi người đó biết rõ loại dữ liệu, mục đích xử lý và ai xử lý; phải thể hiện cho từng mục đích; và "sự im lặng hoặc không phản hồi không được coi là sự đồng ý". Rất ít khách hàng từng đồng ý cho dữ liệu của mình được gửi sang một dịch vụ AI.
Dùng nền tảng ở nước ngoài
Điều 20 liệt kê các trường hợp chuyển dữ liệu cá nhân xuyên biên giới, trong đó có việc tổ chức, cá nhân tại Việt Nam "sử dụng nền tảng ở ngoài lãnh thổ" Việt Nam để xử lý dữ liệu cá nhân thu thập tại Việt Nam. Nhiều dịch vụ AI quốc tế xử lý dữ liệu trên máy chủ ở nước ngoài, nên việc dán dữ liệu khách hàng vào đó có thể thuộc trường hợp này.
Khi chuyển dữ liệu xuyên biên giới, tổ chức phải lập hồ sơ đánh giá tác động và gửi cơ quan chuyên trách trong 60 ngày. Luật miễn việc này cho vài trường hợp, như lưu dữ liệu của chính người lao động trên điện toán đám mây, hoặc khi người dân tự chuyển dữ liệu của mình; các trường hợp khác do Chính phủ quy định.
Mức phạt
Điều 8 quy định mức phạt hành chính tối đa với tổ chức: 5% doanh thu năm trước liền kề nếu vi phạm quy định chuyển dữ liệu xuyên biên giới, và 3 tỷ đồng với các vi phạm khác. Cá nhân vi phạm thì mức tối đa bằng một nửa. Doanh nghiệp nhỏ, hộ kinh doanh được miễn hoặc hoãn một số thủ tục giấy tờ (Điều 38), nhưng các nguyên tắc và hành vi bị cấm vẫn áp dụng như với mọi người.
Ngoài ra, Điều 4 nói mỗi người có nghĩa vụ "tôn trọng, bảo vệ dữ liệu cá nhân của người khác". Đó cũng là việc của từng nhân viên, không chỉ của công ty.
Việt Nam cũng đã có Luật Trí tuệ nhân tạo, hiệu lực từ ngày 01/3/2026. Bài này chỉ bàn chuyện dữ liệu cá nhân.
Có cách nào dùng AI mà không vướng những quy định này?
Có: đừng đưa dữ liệu cá nhân vào AI. Điều 2 nói rõ dữ liệu sau khi khử nhận dạng (không còn xác định được một người cụ thể) thì không còn là dữ liệu cá nhân. Phần lớn việc văn phòng cũng không cần danh tính: AI cần ngữ cảnh, không cần biết ai là ai.
Ví dụ, một nhân viên chăm sóc khách hàng muốn nhờ AI soạn thư trả lời (thông tin hư cấu):
Khách Trần Thu Hà, số 0912 345 678, email thuha@example.com, đặt đơn ĐH-20261028-117 ngày 28/10, nhận được máy xay bị nứt nắp. Soạn thư xin lỗi và đề nghị đổi hàng.
Bản gửi AI:
Khách [TEN_1], số [SDT_1], email [EMAIL_1], đặt đơn [MA_1] ngày 28/10, nhận được máy xay bị nứt nắp. Soạn thư xin lỗi và đề nghị đổi hàng. Các mã trong ngoặc vuông là thông tin đã được thay thế, giữ nguyên, không đoán.
AI vẫn viết được thư, với lời chào "Chào chị [TEN_1]". Bạn đổi mã về tên thật trên máy mình rồi mới gửi khách.
Cần nói rõ: thay tên bằng mã trong khi công ty vẫn giữ bảng đối chiếu thì chưa chắc đã được coi là "khử nhận dạng" theo luật, vì công ty vẫn biết mã nào là ai. Và nếu nội dung còn những chi tiết đủ để đoán ra người (chức danh duy nhất, câu chuyện riêng), thì người đó vẫn có thể bị nhận ra. Thay mã giúp bớt hẳn những gì rời khỏi công ty, không phải tấm giấy miễn trách nhiệm. Cách làm chi tiết có trong bài có nên dán thông tin khách hàng vào ChatGPT.
Công ty nên làm gì, từng bước
- Hỏi xem ai đang dùng AI vào việc gì. Chăm sóc khách hàng soạn thư, nhân sự viết đánh giá, kế toán đối chiếu sao kê... Mỗi việc đưa vào AI những loại dữ liệu nào.
- Đặt một quy định ngắn, dễ nhớ. Ví dụ: không dán họ tên, số điện thoại, CCCD, số tài khoản, địa chỉ của người thật vào công cụ AI; thay bằng mã. Không bao giờ đưa dữ liệu nhạy cảm như sức khỏe, tôn giáo, ảnh CCCD. Danh mục dữ liệu nhạy cảm có trong bài nhân sự dùng AI viết đánh giá, tính lương.
- Nếu thật sự phải để AI xử lý dữ liệu cá nhân, hãy để bộ phận pháp chế xem xét trước: căn cứ xử lý (có cần xin đồng ý không), hợp đồng với nhà cung cấp AI, máy chủ đặt ở đâu và hồ sơ đánh giá tác động. Gói AI dành cho doanh nghiệp thường có điều khoản dữ liệu khác với tài khoản cá nhân, nhưng điều đó không thay được các thủ tục của luật.
- Hướng dẫn và nhắc lại. Một buổi chỉ cách thay mã trên ví dụ thật của phòng ban có ích hơn một văn bản dài không ai đọc.
Làm nhanh hơn với OfflineMask
Dò từng tên, từng số trong email dài hay bảng tính trăm dòng rất dễ sót. OfflineMask là ứng dụng miễn phí làm việc thay mã ngay trên máy tính:
- Ẩn. Dán văn bản hoặc mở tệp Excel, Word, PDF. Ứng dụng tự tìm email, số điện thoại, số tài khoản, số thẻ, CCCD, mã số thuế, và cả họ tên, địa chỉ, tên tổ chức khi bạn cài gói tiếng Việt. Bạn xem lại, ẩn thêm chỗ còn sót.
- Hỏi AI. Dán bản đã ẩn vào công cụ AI công ty cho phép.
- Khôi phục. Dán câu trả lời vào lại OfflineMask, các mã tự đổi về thông tin thật.
Việc nhận diện, ẩn và khôi phục chạy trên máy, không cần mạng, và bảng đối chiếu không rời khỏi máy bạn; xem chi tiết ở trang Quyền riêng tư. OfflineMask tìm được phần lớn chứ không phải mọi thông tin nhận ra một người, và không viết lại câu chữ thay bạn, nên hãy luôn đọc lại trước khi gửi. Ứng dụng là công cụ hỗ trợ, không thay cho quy định nội bộ hay ý kiến của luật sư.
Tóm lại
- Luật Bảo vệ dữ liệu cá nhân (hiệu lực từ 01/01/2026) không cấm dùng AI, nhưng dán dữ liệu khách hàng, nhân viên vào AI là xử lý dữ liệu cá nhân.
- Phải đúng mục đích, trong phạm vi cần thiết (Điều 3, Điều 30), và sự đồng ý phải rõ ràng cho từng mục đích (Điều 9).
- Dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam có thể là chuyển dữ liệu xuyên biên giới (Điều 20), kèm hồ sơ đánh giá tác động.
- Cách gọn nhất: thay họ tên, số điện thoại, CCCD, số tài khoản bằng mã trước khi gửi, không đưa dữ liệu nhạy cảm, và đọc lại mỗi lần.
- Trường hợp cụ thể, hỏi pháp chế hoặc luật sư.