Hướng dẫn cài đặt bảo mật dữ liệu trên ChatGPT, Claude và Gemini để tránh lộ thông tin

Cài đặt bảo mật khi dùng phần mềm AI là việc chủ động kiểm soát dữ liệu đầu vào, quyền lưu trữ và việc sử dụng nội dung để cải thiện mô hình. Thiết lập đúng giúp giảm nguy cơ lộ thông tin cá nhân, bí mật kinh doanh và tài liệu nội bộ, đồng thời vẫn tận dụng được ChatGPT, Claude và Gemini một cách hữu ích.

Không có nút cài đặt nào khiến việc gửi dữ liệu lên một dịch vụ AI trực tuyến trở nên an toàn tuyệt đối. Bảo mật hiệu quả là kết hợp giữa cấu hình tài khoản, lựa chọn đúng loại dữ liệu, giới hạn quyền truy cập và quy trình kiểm tra trước khi chia sẻ kết quả. Tên menu, lựa chọn và thời hạn lưu trữ có thể thay đổi theo khu vực, gói dịch vụ và phiên bản. Hãy đối chiếu giao diện hiện tại với tài liệu chính thức của nhà cung cấp trước khi áp dụng cho tổ chức.

1. Hiểu đúng rủi ro trước khi bật tính năng bảo mật

Khi nhập câu hỏi, tải tệp hoặc kết nối một ứng dụng, bạn đang đưa nội dung vào một quy trình xử lý gồm nhiều bước: dịch vụ nhận dữ liệu, tạo phản hồi, có thể lưu lịch sử và vận hành các tính năng liên quan. Vì vậy, “không dùng dữ liệu để huấn luyện” không đồng nghĩa với “không lưu dữ liệu” hay “không ai có thể truy cập dữ liệu”. Hãy đọc riêng các điều khoản về lưu trữ, kiểm tra lạm dụng, xóa dữ liệu và quyền truy cập của quản trị viên.

Phân biệt ba khái niệm thường bị nhầm lẫn:

• Lịch sử trò chuyện: bản ghi các cuộc hội thoại hiển thị trong tài khoản; một số tính năng vẫn có thể giữ dữ liệu trong khoảng thời gian nhất định dù không hiện trong lịch sử.
• Sử dụng dữ liệu để cải thiện mô hình: tùy chọn cho phép hoặc không cho phép dùng nội dung theo các điều khoản dịch vụ áp dụng. Đây không nhất thiết là công tắc lưu trữ.
• Quyền truy cập và chia sẻ: quyền của ứng dụng kết nối, thành viên trong không gian làm việc, người nhận liên kết chia sẻ hoặc quản trị viên tổ chức.

Rủi ro không chỉ là “AI học thuộc” nội dung. Tệp có thể chứa tên khách hàng, mã hợp đồng, dữ liệu định danh, nhận xét nội bộ hoặc thông tin ẩn trong phần bình luận và thuộc tính tài liệu. Một câu hỏi tưởng như vô hại cũng có thể tiết lộ quy trình, kế hoạch hoặc sự cố chưa công bố. Đây là lý do cần xây dựng tư duy về AI đúng (AI Mindset): xem AI là công cụ xử lý thông tin có giới hạn, không phải một nơi lưu trữ riêng tư mặc định.

Về bản chất, trí tuệ nhân tạo (AI) tạo đầu ra dựa trên dữ liệu và hướng dẫn được cung cấp; chất lượng bảo vệ thông tin còn phụ thuộc vào sản phẩm, cấu hình tài khoản và cách người dùng thao tác. Trước khi dùng, hãy phân loại dữ liệu thành công khai, nội bộ, mật và dữ liệu cá nhân/được quản lý theo quy định. Nếu chưa xác định được loại dữ liệu hoặc chưa có quyền chia sẻ, mặc định không đưa lên dịch vụ.

2. Cài đặt bảo mật trên ChatGPT, Claude và Gemini

Thực hiện bằng tài khoản và thiết bị được tổ chức cho phép. Trước khi thay đổi, ghi lại tài khoản đang đăng nhập và loại gói: tài khoản cá nhân, gói nhóm/doanh nghiệp hay tài khoản do trường học quản lý có thể có thiết lập và điều khoản khác nhau. Nếu không thấy đúng tên mục dưới đây, tìm trong Settings, Data Controls, Privacy hoặc mục quản trị của tổ chức; không suy đoán rằng một công tắc tương tự có tác dụng giống hệt.

ChatGPT: kiểm soát dữ liệu, lịch sử và liên kết chia sẻ

1. Mở ảnh đại diện hoặc menu tài khoản, vào Settings rồi tìm Data Controls. Kiểm tra lựa chọn liên quan đến việc cải thiện mô hình cho mọi người dùng và tắt nếu bạn không muốn nội dung trò chuyện được sử dụng theo mục đích đó. Đọc phần mô tả hiện hành để biết phạm vi áp dụng cho tài khoản của mình.
2. Kiểm tra chế độ trò chuyện tạm thời nếu cần trao đổi nội dung không muốn lưu trong lịch sử thông thường. Đây không phải giấy phép để nhập bí mật: nhà cung cấp vẫn có thể xử lý hoặc lưu giữ dữ liệu theo điều khoản, yêu cầu an toàn và thời hạn áp dụng.
3. Xem lại lịch sử, các GPT tùy chỉnh, liên kết chia sẻ và ứng dụng đã kết nối. Thu hồi quyền hoặc xóa những mục không còn cần thiết; không chia sẻ liên kết hội thoại có thông tin nội bộ cho người ngoài.
4. Nếu dùng không gian làm việc của tổ chức, hỏi quản trị viên về chính sách dữ liệu, quyền lưu giữ, nhật ký kiểm toán và khả năng truy cập của thành viên. Không lấy một tài khoản cá nhân để xử lý dữ liệu doanh nghiệp khi chưa được phê duyệt.

Claude: rà soát quyền riêng tư và các tính năng ghi nhớ

1. Vào menu tài khoản và Settings; tìm phần quyền riêng tư hoặc kiểm soát dữ liệu. Xem lựa chọn cho phép sử dụng nội dung để cải thiện Claude, nếu lựa chọn này xuất hiện với tài khoản của bạn, rồi đặt theo chính sách cá nhân hoặc tổ chức.
2. Kiểm tra lịch sử, tính năng ghi nhớ, hồ sơ cá nhân và những nội dung Claude có thể tham chiếu giữa các phiên. Tắt hoặc xóa phần không cần thiết theo chức năng đang có. Xóa một cuộc trò chuyện không mặc nhiên đồng nghĩa mọi bản sao liên quan bị xóa ngay lập tức.
3. Rà soát tích hợp, kết nối và quyền của ứng dụng hoặc dịch vụ bên ngoài. Chỉ cấp quyền tối thiểu; ngắt kết nối công cụ không còn dùng. Với tài khoản tổ chức, xác nhận chính sách của quản trị viên trước khi đưa tài liệu nội bộ vào cuộc trò chuyện.
4. Đọc thông tin về thời gian lưu dữ liệu và quy trình xóa áp dụng cho loại tài khoản của bạn. Khi cần xử lý tài liệu mật, hãy dùng môi trường đã được tổ chức phê duyệt thay vì dựa vào chế độ trò chuyện thông thường.

Gemini: quản lý hoạt động, ứng dụng được kết nối và dữ liệu tài khoản

1. Mở phần cài đặt của Gemini hoặc tài khoản Google, tìm mục liên quan đến Gemini Apps Activity hay hoạt động ứng dụng. Kiểm tra trạng thái lưu hoạt động, khoảng thời gian tự động xóa và lựa chọn sử dụng dữ liệu để cải thiện dịch vụ; tên và vị trí có thể thay đổi theo tài khoản.
2. Không xem việc tắt hoạt động là bảo đảm rằng mọi nội dung bị xóa tức thì. Tìm phần giải thích về thời hạn lưu giữ, xử lý an toàn và cách dữ liệu liên quan được quản lý. Nếu tài khoản do trường học hoặc doanh nghiệp cấp, chính sách tổ chức có thể áp dụng thay cho tùy chọn cá nhân.
3. Rà soát ứng dụng Google được kết nối, quyền truy cập vào Drive, Gmail hoặc các nguồn dữ liệu khác và phạm vi nội dung mà tính năng mở rộng có thể sử dụng. Chỉ bật tích hợp khi có nhu cầu rõ ràng, được phép và hiểu dữ liệu nào có thể được truy xuất.
4. Kiểm tra quyền truy cập tệp trước khi yêu cầu Gemini phân tích tài liệu. Thay đổi quyền chia sẻ của tệp, xóa bản tải lên hoặc ngắt kết nối nếu không còn cần thiết; tránh đưa liên kết công khai hoặc tài liệu của người khác vào cuộc trò chuyện.

Với cả ba dịch vụ, hãy kiểm tra lại cài đặt sau khi thay đổi gói, đăng nhập tài khoản mới, bật tính năng mới hoặc tham gia không gian làm việc khác. Lưu ảnh chụp cấu hình nội bộ nếu cần chứng minh quy trình đã được thực hiện, nhưng không lưu ảnh có chứa nội dung nhạy cảm. Cấu hình chỉ là lớp bảo vệ; cách bạn cung cấp ngữ cảnh cho AI cũng quan trọng. Tham khảo Context Engineering để thiết kế đầu vào đủ dùng mà không đưa vào dữ liệu thừa.

3. So sánh các lựa chọn bảo mật và cách chọn theo tình huống

Không nên chọn dịch vụ chỉ dựa vào một công tắc riêng tư hoặc lời giới thiệu chung. Hãy đánh giá đồng thời loại tài khoản, quản trị truy cập, xử lý dữ liệu, nhu cầu sử dụng và khả năng đáp ứng chính sách nội bộ. Các lựa chọn dưới đây là khung kiểm tra, không phải kết luận rằng một nền tảng luôn an toàn hơn nền tảng khác.

Bảng không thay thế điều khoản chính thức. Các nhà cung cấp có thể cập nhật sản phẩm, đổi tên cài đặt hoặc áp dụng chính sách khác nhau theo gói và khu vực. Trước khi xử lý dữ liệu thuộc ngành nghề chịu quản lý, hãy để bộ phận pháp chế, an toàn thông tin hoặc người phụ trách dữ liệu xác nhận. Đặc biệt, đừng suy ra rằng một tài khoản trả phí tự động đáp ứng mọi yêu cầu hợp đồng hoặc quy định.

4. Áp dụng Quy tắc 3Đ vào quy trình sử dụng hằng ngày

Learn AI Mindset đề xuất Quy tắc 3Đ cho hướng dẫn phần mềm AI: Đúng việc – Đúng ngữ cảnh – Đúng kiểm chứng. Quy tắc giúp chuyển cài đặt bảo mật thành hành vi lặp lại, thay vì chỉ thiết lập một lần rồi quên.

Đúng việc: xác định AI có cần tham gia hay không

Trước khi mở công cụ, hãy nêu rõ việc cần làm: tóm tắt văn bản công khai, lập dàn ý, phân loại phản hồi hay hỗ trợ soạn thảo. Nếu công việc đòi hỏi quyết định pháp lý, y tế, nhân sự, tín dụng, an ninh hoặc tiết lộ bí mật kinh doanh, không giao quyết định cuối cùng cho AI. Chọn công cụ đã được tổ chức chấp thuận; nếu không có, hỏi người phụ trách thay vì tự thử trên tài khoản cá nhân.

Đúng ngữ cảnh: chỉ gửi phần thông tin tối thiểu

Loại bỏ tên, địa chỉ, số tài khoản, mã hồ sơ và thông tin nhận diện không cần thiết. Thay bằng nhãn giả như “[Khách hàng A]” hoặc “[Ngày X]”; lưu bảng đối chiếu ở hệ thống nội bộ, không gửi kèm. Cắt trang tài liệu không liên quan, xóa nhận xét và kiểm tra thuộc tính tệp trước khi tải lên. Đưa hướng dẫn đủ để AI thực hiện nhiệm vụ nhưng không gửi toàn bộ kho dữ liệu chỉ để “cho AI hiểu thêm”.

Ví dụ, thay vì tải nguyên hợp đồng thật để yêu cầu tóm tắt, hãy dùng bản đã ẩn danh và chỉ cung cấp điều khoản liên quan nếu chính sách cho phép. Nếu mục tiêu chỉ là cải thiện văn phong, có thể thay dữ kiện bằng nội dung giả lập. Mọi dữ liệu đưa vào công cụ vẫn cần có căn cứ, quyền sử dụng và mục đích rõ ràng.

Đúng kiểm chứng: xem đầu ra là bản nháp, không phải sự thật

Đối chiếu số liệu, tên riêng, trích dẫn và kết luận với nguồn gốc được phép truy cập. Kiểm tra xem câu trả lời có vô tình lặp lại dữ liệu riêng tư hoặc tạo thêm chi tiết không có trong tài liệu hay không. AI có thể trả lời trôi chảy nhưng sai; xem hướng dẫn về ảo giác AI (AI Hallucination) và áp dụng cách kiểm chứng câu trả lời của AI trước khi dùng kết quả trong quyết định hay tài liệu gửi ra ngoài.

Với quy trình quan trọng, phải có người chịu trách nhiệm duyệt đầu ra, nguồn tham chiếu và quyết định cuối cùng. Mô hình Human-in-the-Loop AI giúp giữ con người trong vòng kiểm soát: người dùng xác nhận mục đích, người có thẩm quyền kiểm tra nội dung và tổ chức lưu lại căn cứ cần thiết. Không coi việc AI tạo câu trả lời là bằng chứng rằng dữ liệu đã được xử lý đúng.

5. Khi nào không nên dùng AI và cách xử lý sự cố

Không nhập mật khẩu, khóa API, mã xác thực, thông tin thanh toán, hồ sơ sức khỏe, dữ liệu định danh hoặc bí mật khách hàng vào tài khoản AI thông thường. Không tải tài liệu mật hay dữ liệu được bảo vệ theo hợp đồng nếu chưa được phép rõ ràng và chưa xác nhận môi trường xử lý phù hợp. Đặc biệt thận trọng với dữ liệu trẻ em, hồ sơ nhân sự, thông tin điều tra, chiến lược chưa công bố và dữ liệu có thể tái nhận diện khi kết hợp với nguồn khác.

Không dùng AI để xử lý dữ liệu mà bạn không có quyền truy cập hoặc chia sẻ; không sao chép dữ liệu từ hệ thống nội bộ vào tài khoản cá nhân để né quy trình; không tin rằng xóa lịch sử sẽ xóa mọi bản sao ở mọi hệ thống. Nếu tính năng kết nối có thể đọc thư, tệp hoặc lịch, chỉ bật sau khi hiểu phạm vi quyền và đã được chấp thuận. Với trường hợp rủi ro cao, dùng môi trường được tổ chức đánh giá hoặc không dùng AI.

Nếu đã gửi nhầm thông tin nhạy cảm

1. Dừng chia sẻ: không tiếp tục hỏi AI về cùng dữ liệu, không tạo thêm bản sao và không gửi liên kết hội thoại cho người khác.
2. Giảm khả năng truy cập: xóa hoặc thu hồi liên kết chia sẻ nếu có; ngắt ứng dụng kết nối không cần thiết. Nếu lộ mật khẩu, khóa hoặc mã truy cập, đổi hoặc thu hồi chúng ngay trong hệ thống gốc.
3. Báo đúng đầu mối: liên hệ quản trị viên, bộ phận an toàn thông tin hoặc người phụ trách quyền riêng tư theo quy trình của tổ chức. Cung cấp loại dữ liệu, thời điểm, tài khoản và tính năng đã sử dụng; không gửi lại dữ liệu nhạy cảm trong báo cáo không an toàn.
4. Thực hiện yêu cầu xóa và ghi nhận: dùng công cụ xóa hoặc kênh hỗ trợ chính thức nếu phù hợp, đồng thời lưu thông tin sự cố theo chính sách. Không tự kết luận rằng sự cố đã được khắc phục chỉ vì cuộc trò chuyện biến mất khỏi giao diện.

Nếu tổ chức cần kiểm soát ở quy mô lớn, thiết lập quy định về tài khoản được phép, phân loại dữ liệu, phê duyệt ứng dụng, đào tạo nhân viên và quy trình báo cáo sự cố. Quy định nên giải thích rõ việc tắt sử dụng dữ liệu cho cải thiện mô hình khác với việc không lưu dữ liệu, đồng thời chỉ rõ ai có quyền duyệt ngoại lệ.

6. Danh sách kiểm tra trước mỗi lần sử dụng

Dành vài giây kiểm tra trước khi nhấn gửi. Nếu một câu trả lời còn mơ hồ, hãy dừng lại và hỏi quản trị viên hoặc chủ dữ liệu. Danh sách dưới đây phù hợp cho cá nhân và có thể chuyển thành quy trình nội bộ.

• Tôi đang dùng đúng tài khoản và đúng môi trường được tổ chức cho phép.
• Tôi đã kiểm tra cài đặt dữ liệu, lịch sử, quyền chia sẻ và ứng dụng kết nối cần thiết.
• Tôi có quyền sử dụng dữ liệu và đã xác định mức độ nhạy cảm của dữ liệu.
• Tôi đã ẩn danh, loại bỏ trường không cần thiết và kiểm tra tệp trước khi tải lên.
• Tôi hiểu tính năng đang bật có thể truy cập hoặc lưu loại thông tin nào.
• Tôi sẽ kiểm chứng đầu ra và không để AI tự quyết định việc có ảnh hưởng đáng kể đến con người.
• Tôi biết cần báo cho ai nếu nhập nhầm hoặc phát hiện quyền truy cập bất thường.

Thực hành bảo mật tốt không phải là tránh mọi công cụ AI, mà là quản trị dữ liệu có chủ đích: dùng dữ liệu tối thiểu, đúng quyền, đúng nơi và có người kiểm tra. Hãy cập nhật hướng dẫn khi nhà cung cấp thay đổi tính năng; kiểm tra định kỳ các quyền kết nối và diễn tập cách xử lý tình huống gửi nhầm. Một thiết lập tốt chỉ phát huy tác dụng khi người dùng hiểu giới hạn của nó và tuân thủ quy trình.

Câu hỏi thường gặp về cài đặt bảo mật khi dùng phần mềm AI (FAQ)

Câu hỏi 1: Tắt tùy chọn cải thiện mô hình có nghĩa là dữ liệu của tôi không được lưu không?

Không. Tùy chọn hạn chế sử dụng dữ liệu để cải thiện mô hình không nhất thiết tắt lịch sử, lưu trữ phục vụ vận hành, kiểm tra an toàn hoặc các nghĩa vụ khác của dịch vụ. Hãy đọc chính sách dành cho đúng loại tài khoản, kiểm tra thiết lập lưu giữ và hỏi quản trị viên nếu dùng tài khoản tổ chức. Dù đã tắt, không nên nhập bí mật không được phép chia sẻ.

Câu hỏi 2: Dùng chế độ trò chuyện tạm thời có an toàn để gửi dữ liệu mật không?

Không nên mặc định như vậy. Chế độ tạm thời thường thay đổi cách nội dung xuất hiện trong lịch sử hoặc được giữ lại, nhưng phạm vi và thời hạn xử lý tùy sản phẩm. Nó không thay thế phê duyệt dữ liệu, ẩn danh hay đánh giá hợp đồng. Chỉ dùng dữ liệu mật trong môi trường đã được tổ chức cho phép và sau khi xác nhận điều khoản áp dụng.

Câu hỏi 3: Tài khoản trả phí có bảo đảm dữ liệu không được dùng hoặc truy cập không?

Không thể kết luận chỉ từ việc trả phí. Các gói có thể khác nhau về quản trị, quyền riêng tư và điều khoản, nhưng người dùng vẫn cần xem cấu hình, hợp đồng và chính sách lưu giữ cụ thể. Với tài khoản doanh nghiệp, hãy xác nhận bằng tài liệu chính thức hoặc người quản trị rằng gói đang dùng phù hợp mục đích, loại dữ liệu và yêu cầu của tổ chức.

Câu hỏi 4: Tôi nên làm gì nếu lỡ tải tài liệu nội bộ lên ChatGPT, Claude hoặc Gemini?

Ngừng gửi thêm nội dung, thu hồi liên kết chia sẻ hoặc quyền tích hợp nếu có, rồi báo ngay cho quản trị viên hay bộ phận an toàn thông tin theo quy trình nội bộ. Ghi nhận tài khoản, thời điểm, loại dữ liệu và tính năng liên quan mà không phát tán lại tài liệu. Nếu thông tin đăng nhập hoặc khóa truy cập bị lộ, thu hồi và thay mới tại hệ thống gốc.