Rủi ro pháp lý khi đưa dữ liệu khách hàng vào AI

1- Rủi ro pháp lý khi sử dụng AI phân tích dữ liệu khách hàng

Trong thời đại số hóa, dữ liệu được ví như nguồn tài nguyên vô giá. Các doanh nghiệp hiện nay đều nỗ lực thu thập và lưu trữ một lượng lớn dữ liệu khách hàng, bao gồm hồ sơ cá nhân, lịch sử giao dịch và chi tiết thói quen tiêu dùng nhằm phục vụ cho các chiến lược tiếp thị. Với sự hỗ trợ đắc lực của các công cụ AI, việc phân tích, tổng hợp các tệp dữ liệu khổng lồ này trở nên dễ dàng và nhanh chóng hơn bao giờ hết. Tuy nhiên, sự tiện lợi vượt trội này luôn đi kèm với những cạm bẫy pháp lý nghiêm trọng nếu không được kiểm soát đúng mức, đặc biệt là dưới lăng kính giám sát khắt khe của Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.

Nghị định 13/2023/NĐ-CP quy định rất rõ ràng và nghiêm ngặt về các nguyên tắc xử lý dữ liệu cá nhân, trong đó sự đồng ý của chủ thể dữ liệu là yếu tố tiên quyết. Khi một nhân viên thuộc bộ phận marketing, kinh doanh hoặc chăm sóc khách hàng chủ quan sao chép danh sách khách hàng – bao gồm tên tuổi, số điện thoại, địa chỉ email, hoặc các chi tiết nhạy cảm hơn như sở thích cá nhân và thói quen tiêu dùng – sau đó dán trực tiếp vào khung chat của các nền tảng như ChatGPT để yêu cầu tóm tắt, đánh giá hoặc phân tích xu hướng, họ đã vô tình thực hiện một loạt các hành vi vi phạm pháp luật. Về mặt kỹ thuật và pháp lý, khi thông tin được nhập vào các nền tảng AI công cộng, hệ thống máy chủ của các nhà cung cấp dịch vụ này (thường được đặt tại nước ngoài) sẽ lập tức tiếp nhận, lưu trữ và có thể sử dụng chính nguồn dữ liệu đầu vào đó để tiếp tục huấn luyện mô hình ngôn ngữ lớn của họ.

(i) Điều này dẫn đến hệ quả pháp lý đầu tiên và nguy hiểm nhất: Chuyển giao dữ liệu trái phép. Theo quy định của pháp luật hiện hành, việc cung cấp, chia sẻ hoặc chuyển giao dữ liệu khách hàng cho một bên thứ ba (trong trường hợp này là các đơn vị phát triển AI quốc tế) mà không có sự đồng ý trước bằng văn bản hoặc sự xác nhận rõ ràng, tự nguyện từ phía khách hàng là hành vi vi phạm nghiêm trọng. Khách hàng cung cấp thông tin cá nhân cho doanh nghiệp với mục đích duy nhất là thực hiện giao dịch mua sắm hoặc sử dụng dịch vụ, hoàn toàn không phải để thông tin của họ trở thành nguyên liệu học máy cho một công cụ trí tuệ nhân tạo xa lạ. Thêm vào đó, việc luân chuyển dữ liệu này ra khỏi biên giới quốc gia (chuyển dữ liệu ra nước ngoài) còn bắt buộc phải tuân thủ các thủ tục lập hồ sơ đánh giá tác động và báo cáo lên Bộ Công an. Nếu nhân viên tự ý thực hiện hành vi này, doanh nghiệp sẽ hoàn toàn mất kiểm soát quy trình và bắt buộc phải chịu trách nhiệm trực tiếp trước cơ quan nhà nước có thẩm quyền.

(ii) Hơn thế nữa, các nền tảng AI công cộng thường không đưa ra các cam kết bảo mật tuyệt đối cho phiên bản sử dụng miễn phí hoặc phiên bản tiêu chuẩn thông thường. Lỗ hổng bảo mật hệ thống hoàn toàn có thể xảy ra bất cứ lúc nào, dẫn đến việc thông tin nhạy cảm của khách hàng bị rò rỉ, đánh cắp bởi tin tặc hoặc bị lợi dụng cho các mục đích lừa đảo tài chính. Khi sự cố lộ lọt xảy ra, hậu quả mà doanh nghiệp phải gánh chịu không chỉ dừng lại ở các mức phạt hành chính nặng nề theo quy định của pháp luật hiện hành, mà hệ lụy khủng khiếp nhất chính là sự sụp đổ về mặt uy tín và đánh mất hoàn toàn niềm tin từ phía người tiêu dùng. Để giải quyết triệt để các khủng hoảng này, doanh nghiệp thường phải tốn kém chi phí tìm đến các chuyên gia pháp lý hoặc luật sư tư vấn để đánh giá mức độ vi phạm và tìm hướng khắc phục, nhưng thiệt hại về giá trị thương hiệu là điều cực kỳ khó có thể bù đắp. Việc nhận thức chưa đầy đủ của người lao động về bản chất hoạt động của các công cụ phân tích tự động chính là lỗ hổng lớn nhất, biến các tiện ích công nghệ đột phá thành "quả bom nổ chậm" đe dọa trực tiếp đến sự sống còn và danh tiếng của toàn bộ tổ chức.

2- Xây dựng chính sách bảo mật nội bộ và vai trò không thể thiếu của luật sư

Để ngăn chặn triệt để các rủi ro đã phân tích ở trên, việc doanh nghiệp tự giác thiết lập một hàng rào bảo vệ vững chắc thông qua các quy định nội bộ là giải pháp mang tính sống còn. Cụ thể, ban lãnh đạo cần khẩn trương rà soát, xây dựng và ban hành một chính sách bảo mật dữ liệu nội bộ toàn diện, trong đó quy định chi tiết, minh bạch về cách thức nhân viên được phép tương tác với các công cụ công nghệ mới. Một chính sách bảo mật tiêu chuẩn và hiệu quả trong thời đại công nghệ số không thể chỉ là những đoạn văn bản chung chung được sao chép từ các mẫu có sẵn trên mạng, mà nó phải được thiết kế, may đo riêng biệt dựa trên quy trình hoạt động thực tế và phân nhóm loại hình dữ liệu đặc thù mà tổ chức đang nắm giữ.

Cốt lõi của văn bản quy định này chính là việc phân loại cấp độ dữ liệu một cách khoa học. Doanh nghiệp cần lập bảng liệt kê rõ ràng những loại dữ liệu nào thuộc nhóm thông tin nhạy cảm tuyệt đối không bao giờ được phép đưa vào các nền tảng AI công cộng. Ví dụ cụ thể, toàn bộ dữ liệu khách hàng mang tính định danh cá nhân (PII) như họ tên đầy đủ, số căn cước công dân, thông tin thẻ tín dụng, tài khoản ngân hàng, mật khẩu, hồ sơ y tế, cùng với các tệp dữ liệu chứa lịch sử hành vi mua sắm, thói quen tiêu dùng chi tiết đều phải được đưa vào "danh sách đen" nghiêm cấm nhập liệu vào ChatGPT hay bất kỳ công cụ AI mã nguồn mở nào khác. Tương tự, đối với các dữ liệu nội bộ cốt lõi như chiến lược kinh doanh sắp tới, báo cáo tài chính chưa công bố, hoặc mã nguồn phần mềm của công ty, quy định cấm cũng cần được áp dụng triệt để. Thay vì cấm đoán cực đoan hoàn toàn việc ứng dụng tiến bộ công nghệ, tổ chức có thể linh hoạt cấp phép sử dụng AI cho các tác vụ mang tính chất chung chung như viết email chào hàng cơ bản (tuyệt đối không chứa thông tin người nhận cụ thể), tìm kiếm ý tưởng xây dựng nội dung bài viết, hoặc dịch thuật các tài liệu tham khảo không mang tính bảo mật.

Tuy nhiên, việc tự mình soạn thảo một hệ thống quy định chặt chẽ, không có kẽ hở và đáp ứng đầy đủ các tiêu chuẩn khắt khe của Nghị định 13/2023/NĐ-CP không phải là điều dễ dàng đối với các nhà quản lý doanh nghiệp vốn thiếu hụt chuyên môn sâu về pháp lý. Đây chính là thời điểm doanh nghiệp cần đến sự hỗ trợ đắc lực từ một luật sư tư vấn chuyên nghiệp và am hiểu luật công nghệ. Các chuyên gia pháp lý sẽ tiến hành rà soát toàn bộ quy trình vận hành hiện tại, xác định các điểm mù rủi ro trong luồng luân chuyển dữ liệu của các phòng ban, từ đó thiết kế một bộ nội quy lao động và chính sách an toàn thông tin có tính ràng buộc pháp lý cao nhất. Trong trường hợp có cá nhân nhân viên vô tình hay cố ý làm trái quy định, chính sách bảo mật được soạn thảo chuẩn chỉnh này sẽ đóng vai trò là căn cứ pháp lý vững chắc và hợp lệ nhất để doanh nghiệp tiến hành các hình thức kỷ luật sa thải hoặc khởi kiện yêu cầu bồi thường thiệt hại.

Đối với các tập đoàn quy mô lớn hoặc các công ty hoạt động trong những lĩnh vực đặc biệt nhạy cảm về dữ liệu như tài chính, ngân hàng, bảo hiểm, y tế, giáo dục, việc ký kết hợp đồng thuê một luật sư riêng để đồng hành thường xuyên là một chiến lược đầu tư cực kỳ khôn ngoan. Luật sư riêng không chỉ đơn thuần đóng vai trò "chữa cháy" khi sự cố rò rỉ thông tin đã bùng phát, mà quan trọng hơn cả là đóng vai trò như một tấm khiên phòng ngừa rủi ro từ xa. Họ sẽ trực tiếp đứng ra tổ chức các buổi đào tạo, tập huấn định kỳ nhằm nâng cao nhận thức tuân thủ cho toàn bộ người lao động, cập nhật nhanh chóng các nghị định, thông tư mới nhất của chính phủ về an ninh mạng. Đồng thời, họ sẽ đại diện cho doanh nghiệp thực hiện các thủ tục hành chính vô cùng phức tạp như lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân để nộp lên Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an). Tóm lại, trong cuộc chạy đua khốc liệt về ứng dụng công nghệ, việc kết hợp nhịp nhàng giữa một khuôn khổ chính sách nội bộ nghiêm ngặt và sự cố vấn chuyên sâu từ các chuyên gia pháp lý chính là chìa khóa vàng giúp tổ chức vừa tối ưu hóa năng suất, vừa tuân thủ tuyệt đối tinh thần thượng tôn pháp luật.

3- Kết luận

Tóm lại, việc ứng dụng AI trong kinh doanh là xu thế tất yếu, nhưng tuyệt đối không được đánh đổi bằng sự an toàn của dữ liệu khách hàng. Việc vi phạm Nghị định 13/2023/NĐ-CP có thể đẩy doanh nghiệp vào những khủng hoảng pháp lý và truyền thông tồi tệ nhất. Do đó, ban lãnh đạo cần ngay lập tức ban hành một chính sách bảo mật minh bạch, rõ ràng. Đồng thời, việc hợp tác với một luật sư tư vấn hoặc trang bị luật sư riêng sẽ là màng lọc bảo vệ tối ưu, giúp doanh nghiệp phát triển bền vững trong kỷ nguyên số.

Bài viết chỉ mang tính tham khảo, không phải văn bản tư vấn pháp lý chính thức. Quý Vị nếu có vướng mắc có liên quan, có thể liên hệ với các luật sư giàu kinh nghiệm của Công ty Luật TNHH Everest để được hỗ trợ. Hotline: (024) 66.527.527, Email: info@everest.org.vn hoặc Trực tiếp tại các văn phòng của Công ty Luật TNHH Everest.