Checklist bảo mật khi dùng AI và agent ở công sở (cập nhật theo luật mới)

Cập nhật lần cuối 24/10/2026 · Đọc khoảng 3 phút · Ban biên tập AI Công Sở

Bài này không có liên kết giới thiệu.

Bảo mật khi dùng AI không cần phức tạp. Phần lớn sự cố đến từ vài thói quen: dán dữ liệu thật cho tiện, cấp quyền quá rộng, và tin kết quả mà không kiểm tra. Bài này là danh sách để bạn soát trong một phút.

Hai luật nên biết (không phải tư vấn pháp lý)

• Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15, thông qua 26/6/2025) có hiệu lực từ 1/1/2026. Theo bài của VnEconomy, luật đặt cơ chế thực thi quyền của chủ thể dữ liệu và yêu cầu thông báo cho cơ quan chuyên trách trong 72 giờ khi vi phạm có thể gây tổn hại theo điều kiện luật nêu.
• Luật Trí tuệ nhân tạo được thông qua 10/12/2025 và có hiệu lực từ 1/3/2026. Nguyên tắc nổi bật: AI phục vụ con người và quyết định quan trọng cần có sự giám sát của con người; ứng dụng trong lĩnh vực như lao động, tài chính thuộc nhóm nguy cơ cao với tiêu chuẩn chặt hơn.

Nếu cơ quan bạn xử lý dữ liệu cá nhân bằng AI, hãy để người làm pháp chế rà soát cụ thể.

Trước khi đưa dữ liệu vào AI

• Đã thay tên, số điện thoại, email, số tài khoản, số hợp đồng bằng dữ liệu mẫu chưa?
• Cơ quan có cho phép công cụ này với loại dữ liệu này không?
• Đã chỉnh cài đặt dữ liệu cuộc trò chuyện của công cụ chưa?

Khi cho agent làm việc

• Chỉ kết nối thư mục cần thiết; giữ tài liệu tài chính và giấy tờ cá nhân ngoài tầm với.
• Giới hạn các trang web agent được vào; tránh trang bạn đang đăng nhập.
• Việc mới chạy ở chế độ phê duyệt thủ công.
• Không cài skill hay plugin từ nguồn không rõ.

Sau khi có kết quả

• Đối chiếu con số, ngày tháng, tên riêng với nguồn gốc.
• Có người duyệt trước khi gửi ra ngoài hoặc dùng để quyết định về con người hay tiền.

Bạn là chuyên viên an toàn thông tin, viết quy tắc ngắn gọn để nhân viên văn phòng thật sự đọc và làm theo.
Bối cảnh: nhóm [NHOM] dùng AI để [VIEC_DANG_LAM]. Loại dữ liệu nhóm xử lý: [LOAI_DU_LIEU]. Công cụ: [CONG_CU]. Có agent đọc tệp hoặc duyệt web: [CO_AGENT].
Yêu cầu: soạn bản quy tắc một trang: dữ liệu không được đưa vào AI, dữ liệu được phép nếu đã ẩn danh, quy tắc cho agent, ai duyệt kết quả, việc phải làm khi lỡ đưa nhầm dữ liệu. Chỗ liên quan pháp luật ghi [Hỏi pháp chế].
Định dạng: tiêu đề phụ và gạch đầu dòng, dưới 300 chữ.