Cách bảo vệ thông tin bảo mật khi dùng AI

Thông tin bảo mật là thông tin cá nhân hoặc thông tin doanh nghiệp mà bạn không được phép tiết lộ cho một người, dịch vụ hay công cụ cụ thể. Trước khi nhập thông tin vào công cụ AI, hãy xác nhận bạn được phép chia sẻ thông tin đó với đúng công cụ, cho đúng mục đích.

Các công cụ AI có thể xử lý nội dung theo những cách khác nhau. Quy định tại nơi làm việc vẫn có thể áp dụng, dù công cụ dễ truy cập. Nếu chưa chắc, hãy dùng ví dụ không nhạy cảm hoặc hỏi đầu mối phù hợp trong tổ chức.

Bắt đầu bằng một quy tắc đơn giản: Không chia sẻ thông tin bạn không được phép tiết lộ

Chỉ gửi thông tin vào công cụ AI khi bạn được phép chia sẻ thông tin đó với chính công cụ ấy cho mục đích cụ thể. Một công cụ phổ biến, tiện dùng hoặc dễ truy cập không đồng nghĩa với việc công cụ đó được phê duyệt cho thông tin hay nhiệm vụ của bạn.

Chẳng hạn, trước khi dán email khách hàng vào trợ lý AI để tóm tắt, nhân viên nên kiểm tra quy trình đã được phê duyệt. Email có thể chứa thông tin cá nhân hoặc thông tin kinh doanh chịu sự điều chỉnh của quy định tại nơi làm việc hay một thỏa thuận. Đây là điểm khởi đầu thực tế, không phải tiêu chí pháp lý áp dụng cho mọi trường hợp; yêu cầu có thể tùy thuộc vào tổ chức, ngành nghề, hợp đồng và địa điểm.

Trong công việc hằng ngày, thông tin nào có thể được xem là bảo mật?

Hãy tạm dừng và kiểm tra trước khi chia sẻ những nội dung sau. Đây là ví dụ, không phải danh mục đầy đủ hay cách phân loại có giá trị pháp lý trong mọi trường hợp:

• Chi tiết cá nhân dùng để nhận diện hoặc mô tả khách hàng, nhân viên, học sinh hay người khác.
• Hồ sơ khách hàng hoặc nhân viên, như tin nhắn, lịch sử tài khoản hoặc ghi chú xử lý vụ việc.
• Mật khẩu, mã truy cập, khóa API hoặc thông tin xác thực khác.
• Thông tin kinh doanh chưa công khai, như số liệu tài chính nội bộ, kế hoạch chưa công bố hoặc tài liệu dự án bảo mật.
• Hợp đồng, đề xuất hoặc tài liệu khác bị hạn chế chia sẻ theo chính sách hay thỏa thuận.

Bối cảnh quyết định cách xử lý. Theo quy định của tổ chức, chương trình họp chung có thể phù hợp để đưa vào công cụ, nhưng chương trình có tên khách hàng, giá trị thương vụ và kế hoạch ra mắt chưa công bố có thể cần được xử lý khác. Nếu không biết tài liệu được phân loại thế nào, hãy hỏi đầu mối phù hợp trong tổ chức.

Kiểm tra trước khi chia sẻ thông tin với công cụ AI

Trước khi gửi, hãy kiểm tra lần lượt:

1. Xác định nội dung trong tài liệu. Tìm thông tin cá nhân, thông tin xác thực, dữ liệu khách hàng, số liệu nội bộ và nội dung chưa công khai khác.
2. Kiểm tra quyền hạn và mục đích. Bạn có được phép chia sẻ tài liệu này với dịch vụ AI cho nhiệm vụ cụ thể không?
3. Kiểm tra đúng công cụ và tài khoản. Xác nhận tổ chức cho phép sản phẩm, loại tài khoản và trường hợp sử dụng đó. Đừng cho rằng một dịch vụ được phê duyệt thì dịch vụ khác cũng được phê duyệt.
4. Tham khảo hướng dẫn hiện hành. Xem quy định của tổ chức và thông tin chính thức của công cụ cho phiên bản, tài khoản bạn đang dùng.
5. Chỉ chia sẻ phần cần thiết khi phù hợp. Loại bỏ chi tiết không cần cho nhiệm vụ, nhưng đừng coi việc chỉnh sửa là bằng chứng rằng phần còn lại đã an toàn.
6. Dừng lại nếu chưa rõ. Dùng nội dung thay thế không nhạy cảm hoặc hỏi đầu mối có thẩm quyền.

Ví dụ, khi cần tóm tắt yêu cầu hỗ trợ của khách hàng, hãy kiểm tra trước xem quy trình đã được phê duyệt chưa. Tránh đưa tên hoặc chi tiết tài khoản, trừ khi chúng cần thiết và bạn được phép chia sẻ. Các bước này giúp bạn cân nhắc có hệ thống, nhưng không bảo đảm việc chia sẻ là an toàn.

Kiểm tra điều khoản hiện hành, cài đặt của công cụ và quy định của tổ chức

Hãy tham khảo thông tin chính thức, hiện hành của đúng công cụ và tài khoản, cùng hướng dẫn của tổ chức. Kiểm tra thông tin và cài đặt liên quan đến quyền riêng tư hoặc cách xử lý dữ liệu. Xác nhận sản phẩm và trường hợp sử dụng đã được phê duyệt để xử lý loại tài liệu đó chưa.

Đừng suy đoán cách công cụ xử lý nội dung dựa trên trải nghiệm của đồng nghiệp, mô tả chung của nhà cung cấp hoặc cài đặt bạn chưa kiểm tra. Cách xử lý dữ liệu và biện pháp kiểm soát có thể khác nhau giữa các sản phẩm, tài khoản và cấu hình. Nếu thông tin hiện có chưa giải đáp thắc mắc, hãy hỏi đầu mối được tổ chức chỉ định trước khi gửi tài liệu bảo mật.

Vì sao chỉ xóa tên có thể chưa đủ

Xóa tên không nhất thiết khiến thông tin an toàn để chia sẻ. Những chi tiết khác, hoặc sự kết hợp giữa chúng, vẫn có thể chỉ ra một người, tổ chức hay sự việc nhạy cảm.

Bản cập nhật dự án không nêu tên khách hàng vẫn có thể tiết lộ khách hàng đó qua địa điểm đặc thù, thời hạn, giao dịch hoặc tổ hợp tình huống. Che thông tin, diễn đạt lại hay thay tên có thể giảm lượng thông tin được đưa vào, nhưng không biện pháp nào bảo đảm an toàn trong mọi trường hợp. Hãy kiểm tra xem bạn có được phép chia sẻ nội dung đã chỉnh sửa hay không và làm theo hướng dẫn áp dụng.

Những lựa chọn an toàn hơn khi chưa chắc

Bạn thường có thể nhận trợ giúp mà không cần gửi hồ sơ thật. Hãy cân nhắc:

• Yêu cầu mẫu chung hoặc danh sách kiểm tra thay vì nhờ phân tích tài liệu bảo mật có thật.
• Dùng tình huống giả định hoặc ví dụ tổng hợp không chứa chi tiết nhạy cảm.
• Chỉ chia sẻ đoạn trích không nhạy cảm, cần thiết cho nhiệm vụ và được quy định cho phép.
• Hỏi đầu mối có thẩm quyền tại nơi làm việc về cách xử lý tài liệu hoặc quy trình đã được phê duyệt.

Ví dụ, hãy yêu cầu mẫu trả lời khách hàng dựa trên khiếu nại giả định thay vì dán khiếu nại thật kèm lịch sử tài khoản. Kiểm tra cả ví dụ thay thế trước khi gửi: thông tin thật vẫn có thể nhận diện được sau khi đổi tên.

Nếu có thể bạn đã vô tình chia sẻ thông tin bảo mật

Nếu nghĩ rằng mình đã gửi thông tin bảo mật, hãy dừng chia sẻ nội dung liên quan và sớm làm theo quy trình báo cáo hoặc chuyển cấp xử lý của tổ chức. Liên hệ bộ phận an ninh, quyền riêng tư, quản lý hoặc nhóm phụ trách khác theo hướng dẫn.

Ghi lại ngắn gọn nội dung đã gửi, thời điểm gửi và công cụ hoặc tài khoản đã sử dụng. Thông tin này có thể giúp nhóm phụ trách đánh giá tình huống. Làm theo hướng dẫn của họ về các bước cần thực hiện với công cụ; đừng cho rằng xóa câu lệnh sẽ xóa các bản sao khác hoặc đảo ngược việc tiết lộ. Quy trình báo cáo khác nhau, vì vậy hãy dùng quy trình hiện hành của tổ chức thay vì dựa vào danh sách kiểm tra chung.

Danh sách kiểm tra nhanh về bảo mật thông tin

Trước khi dùng AI với thông tin cá nhân hoặc thông tin công việc, hãy tự hỏi: Tài liệu này có những gì? Tôi có được phép chia sẻ với đúng công cụ này cho mục đích này không? Tôi đã kiểm tra hướng dẫn hiện hành của công cụ và nơi làm việc chưa? Tôi có thể thay bằng thông tin ít nhạy cảm hơn không?

Nếu không thể trả lời chắc chắn, hãy tạm dừng và hỏi đầu mối có thẩm quyền. Đây là hướng dẫn chung, không phải tư vấn pháp lý; cách xử lý của công cụ và yêu cầu của tổ chức có thể khác nhau.

Đọc thêm trong chuyên đề Quyền riêng tư và An toàn khi sử dụng AI:

• Kiến thức nền tảng: Cách phát hiện deepfake an toàn và thận trọng
• Chuyên sâu cùng chủ đề: Rủi ro quyền riêng tư khi dùng AI
• Hướng dẫn thực hành & Mẫu Prompt: Hướng dẫn cài đặt bảo mật và tắt huấn luyện dữ liệu trên ChatGPT, Claude, Gemini
• Khám phá toàn bộ chuyên mục: Quyền riêng tư, Bảo mật & An toàn dữ liệu