Quy định dùng ChatGPT trong công ty: mẫu tham khảo và dữ liệu

Đăng ngày 25/10/2026

Tóm tắt và điều cần nhớ

Quy định dùng ChatGPT trong công ty cần trả lời được ai được dùng công cụ nào, cho việc gì, với dữ liệu nào và ai chịu trách nhiệm trước khi sử dụng kết quả. Một văn bản ngắn có đường xin phép, báo lỗi và cập nhật sẽ dễ áp dụng hơn yêu cầu chung hãy dùng AI an toàn. Mẫu trong bài do tác giả soạn để tham khảo, cần chỉnh theo tổ chức và pháp luật liên quan.

• Quy định nên bao phủ AI tích hợp trong phần mềm, tiện ích và tác tử, không chỉ một trang chat.
• Công khai trên mạng không tự xác nhận dữ liệu được phép dùng cho mọi mục đích.
• Ba nhóm dữ liệu của bài là khung quản trị đề xuất, không phải danh mục phân loại pháp lý.
• Người giao việc và người duyệt cần biết đầu ra là bản nháp, thông tin đã kiểm hay hành động đã được phép.
• Mẫu cần được thử bằng tình huống thực tế của nhân viên trước khi ban hành, rồi có người quản lý phiên bản.

Chính sách ngắn cần nối với cách làm việc như thế nào?

Hướng dẫn nền tảng của National AI Centre, Australia, dành cho tổ chức mới bắt đầu quản trị hoặc dùng AI theo cách có rủi ro thấp. Nguồn đặt trách nhiệm, tác động, rủi ro và thông tin thiết yếu trong các thực hành nền tảng. Có thể tham khảo việc điều chỉnh theo quy mô và tác vụ; không coi hướng dẫn nước ngoài là kết luận hệ thống của doanh nghiệp trong nước thuộc mức thấp [1].

Trang hướng dẫn tạo chính sách của cơ quan này nêu phạm vi được và không được dùng, người duyệt, dữ liệu, giám sát, báo vấn đề và thời điểm rà soát. Trang cũng yêu cầu điều chỉnh mẫu theo cách tổ chức đang vận hành. Bài chỉ tham khảo cấu trúc câu hỏi công khai; mẫu phía dưới là nội dung tự soạn, không dịch hay nhận đã dùng toàn bộ tệp mẫu của nguồn [2].

Phạm vi bao gồm cả công cụ ẩn trong quy trình

Trong bài này, shadow AI được dùng theo nghĩa vận hành: công cụ hoặc kết nối AI nhân viên dùng cho việc công ty nhưng nằm ngoài danh mục và cách quản lý đã được biết, chấp thuận. Không gắn nó với một tỷ lệ phổ biến chung. Người quản lý nên mở đường khai báo dễ hiểu và hướng thay thế phù hợp, thay vì để nhân viên không biết phải hỏi ai khi cần dùng công cụ mới.

CNIL hướng dẫn tổ chức xác định mục đích, cân nhắc phương thức triển khai, giới hạn dữ liệu nhập và đặt quy định nội bộ cho AI tạo sinh. Hướng dẫn thuộc phạm vi bảo vệ dữ liệu châu Âu, chỉ được dùng làm tài liệu tham khảo trong bài. Không thể từ tên tài khoản doanh nghiệp hoặc một cách triển khai suy ra đã đáp ứng mọi nghĩa vụ và điều kiện an toàn [3].

Ba nhóm dữ liệu: phân biệt theo quyền được dùng

Nhóm công khai đã được duyệt gồm nội dung tổ chức chủ động cho phép sử dụng ở phạm vi tương ứng. Ví dụ giả định là bản giới thiệu sản phẩm đang công bố của chính công ty. Bài đề xuất người dùng vẫn kiểm quyền sử dụng và mục đích. Một tài liệu xuất hiện trên website của người khác không mặc nhiên thuộc nhóm được phép đưa vào mọi công cụ hoặc dùng lại để tạo nội dung thương mại.

Nhóm nội bộ cần điều kiện gồm tài liệu công việc chưa công bố nhưng có thể phục vụ một tác vụ được duyệt. Ví dụ giả định là bản quy trình không chứa hồ sơ cá nhân, được chủ tài liệu cho phép xử lý bằng công cụ đã chọn. Việc cần ghi là ai cho phép, phạm vi dữ liệu và thiết lập liên quan. Không nên dùng nhãn nội bộ như sự chấp thuận chung cho mọi phần mềm AI.

Nhóm hạn chế gồm thông tin mà người dùng không được tự đưa ra công cụ, như thông tin xác thực, dữ liệu khách hàng hoặc hồ sơ nhân sự chưa có cơ sở xử lý phù hợp. Đây là cách chia quản trị của tác giả, không kết luận pháp lý mọi dữ liệu khách đều cùng một loại. Khi chưa rõ, người dùng cần dừng gửi và hỏi đầu mối được chỉ định thay vì tự suy từ mức tiện lợi của tác vụ.

NIST AI 600-1 mô tả rủi ro quyền riêng tư và nội dung sai trong bối cảnh AI tạo sinh, đồng thời là tài liệu đồng hành tự nguyện với AI RMF. Có thể tham khảo các nhóm rủi ro khi đặt câu hỏi cho người quản lý dữ liệu. Ba nhóm nói trên không được NIST chứng nhận, và không bảo đảm dữ liệu mất tên sẽ không còn có thể nhận diện cá nhân [4].

Luật số 91/2025/QH15 phân biệt dữ liệu cá nhân cơ bản, nhạy cảm và quy định nguyên tắc xử lý theo phạm vi, mục đích rõ ràng. Điều 30 có yêu cầu riêng cho xử lý dữ liệu cá nhân trong AI, gồm giới hạn cần thiết và biện pháp phù hợp. Phân nhóm nội bộ cần được đối chiếu với luật và quy định liên quan, không dùng màu hoặc tên nhóm tự đặt để thay danh mục pháp lý [5].

Duyệt công cụ theo tác vụ và dữ liệu ra sao?

Danh mục được phép nên có tên công cụ, đơn vị quản lý, việc được dùng và dữ liệu được tiếp nhận. Bài đề xuất bổ sung những kết nối đang bật, người có quyền thay đổi và nơi xem thiết lập dữ liệu. Chỉ ghi tên hãng sẽ thiếu bối cảnh nếu cùng một hãng có nhiều sản phẩm, chế độ và điều kiện khác nhau. Tổ chức phải xem điều kiện thực tế đang dùng, không dựa vào quảng cáo chung.

Ví dụ giả định, AI được phép soạn lại nội dung công khai nhưng không được tự đọc hộp thư công ty. Nếu muốn nối hộp thư, đó là thay đổi phạm vi cần được xem xét riêng. Người duyệt nên hiểu kết nối sẽ nhìn thấy dữ liệu nào, có thể gửi hoặc xóa hay không và cách thu hồi. Một nút đồng ý nhanh của nhân viên không thay việc tổ chức phân định thẩm quyền.

OWASP về quyền hành động quá mức xem cả phần việc không cần thiết, quyền vượt nhu cầu và khả năng tự thực hiện của hệ thống AI. Nguồn đề xuất giới hạn công cụ cùng quyền ở hệ thống đích. Có thể dựa trên sự phân biệt này để kiểm đề nghị kết nối; mẫu chính sách của bài không tự xác nhận một công cụ đã được cấp đúng quyền hay đã an toàn [6].

Kiểm đầu ra trước khi nó thành lời công ty

Quy định dùng ChatGPT trong công ty nên nói rõ kết quả nào cần được kiểm trước công bố hoặc sử dụng. Bài đề xuất ưu tiên tên, số, trích dẫn, lời hứa với khách và nội dung ảnh hưởng cá nhân. Người duyệt phải có nguồn và biết phần nào là suy luận. Nếu chỉ được xem một đoạn văn trau chuốt mà không có căn cứ, người duyệt khó thực hiện trách nhiệm mà chính sách đang giao.

OWASP nêu nội dung từ tệp hoặc website có thể làm lệch hành vi mô hình qua tiêm lệnh gián tiếp. Vì vậy nhân viên không nên coi một câu trong tài liệu là ủy quyền để AI đổi nhiệm vụ hoặc chia sẻ thông tin. Bài chỉ dùng nguyên tắc phòng vệ này; việc thử kiểm soát cần được thực hiện trong môi trường được phép và không dùng dữ liệu nhạy cảm thật [7].

Mẫu tham khảo một trang để tổ chức chỉnh lại

Mẫu sau do tác giả soạn, chưa được thẩm định cho một doanh nghiệp cụ thể. Khi sử dụng, tổ chức phải điền bằng quyết định thực tế về người phụ trách, danh mục công cụ, loại dữ liệu và đường báo lỗi. Từ một trang mô tả không thể suy rằng đã hoàn thành mọi nghĩa vụ pháp lý. Nội dung nên được thử với các nhóm sẽ dùng trước khi ký ban hành.

• Mục đích và phạm vi: quy định áp dụng khi dùng ChatGPT cùng công cụ AI khác cho công việc, gồm tính năng tích hợp, tiện ích và tác tử. Chỉ dùng cho tác vụ nằm trong danh mục tổ chức đã chấp thuận.
• Công cụ: nhân viên dùng đúng sản phẩm, cấu hình và tài khoản được cấp phép cho công việc. Công cụ mới hoặc kết nối mới phải được người phụ trách xem xét trước khi đưa dữ liệu nội bộ vào.
• Dữ liệu: chỉ gửi phần cần thiết thuộc phạm vi đã được phép. Không tự đưa thông tin xác thực, hồ sơ cá nhân hoặc tài liệu hạn chế ra công cụ. Khi không chắc quyền dùng dữ liệu, dừng và hỏi đầu mối phụ trách.
• Kết quả: đầu ra AI là bản nháp cho tới khi hoàn thành bước kiểm tương ứng. Người chịu trách nhiệm đối chiếu nguồn, dữ kiện và quyền công bố trước khi dùng kết quả làm cam kết, quyết định hoặc nội dung đại diện công ty.
• Hành động: việc gửi, sửa, xóa hoặc thay đổi hệ thống phải đúng thẩm quyền và điều kiện đã được duyệt. Không cho AI tự mở rộng phạm vi từ lời yêu cầu trong tài liệu hoặc phản hồi của bên ngoài.
• Ghi nhận: với tác vụ cần truy vết, lưu đủ nguồn, phiên bản và người duyệt theo quy định lưu giữ của tổ chức. Nhật ký cần được bảo vệ, giới hạn quyền đọc và không trở thành kho dữ liệu nhạy cảm không kiểm soát.
• Báo vấn đề: khi nghi gửi sai dữ liệu hoặc AI thực hiện ngoài phạm vi, ngừng phần việc liên quan, báo đầu mối và giữ bằng chứng phù hợp. Không tự xóa dấu vết hoặc phát tán thêm nội dung để giải thích sự cố.
• Trách nhiệm và cập nhật: người dùng làm đúng phạm vi; chủ nghiệp vụ duyệt nội dung; đầu mối kỹ thuật quản lý kết nối. Người có thẩm quyền ban hành phiên bản và rà soát khi công cụ, dữ liệu, quy trình hoặc yêu cầu liên quan thay đổi.

Thử văn bản bằng tình huống thay vì chỉ xin chữ ký

Một cách kiểm do bài gợi ý là đưa chính sách cho nhân viên cùng một tác vụ giả định, rồi xem họ tìm được quyết định cần làm ở đâu. Ví dụ AI đang được phép soạn nội dung công khai nhưng người dùng muốn tải tài liệu khách. Câu trả lời cần chỉ ra đường hỏi và người duyệt, không chỉ nhắc dùng AI có trách nhiệm. Nếu mỗi người hiểu một cách, phải sửa phần thiếu trước triển khai.

Báo sự cố cần giữ được bằng chứng và người nhận

Quy định nội bộ nên xác định cách báo khi nghi nhập sai dữ liệu, lộ thông tin hoặc AI gọi công cụ ngoài phạm vi. Tác giả đề xuất ghi thời điểm, phần việc, hệ thống liên quan và người đã được thông tin, đồng thời hạn chế tiếp tục phát tán dữ liệu. Không nên mặc định xóa lịch sử ngay là đã giải quyết sự cố; có thể làm mất thông tin cần để điều tra và xử lý phù hợp.

Hướng dẫn vòng đời của NCSC dành cho bên cung cấp hệ thống AI có các phần vận hành, giám sát, quản lý cập nhật và ứng phó. Bài tham khảo cách nối chính sách với việc vận hành; phạm vi dừng ở giới thiệu vòng đời, không phải kiểm chi tiết từng biện pháp. Người phụ trách cần xác định quy trình cụ thể cùng những nghĩa vụ có thể phát sinh trước khi dùng mẫu trong tình huống thật [8].

Theo quy mô: giữ rõ vai trò dù một người làm nhiều việc

Ở doanh nghiệp nhỏ, chủ cơ sở hoặc một người được giao có thể quản lý danh mục công cụ AI và chủ nguồn. Bài đề xuất giữ cách gọi vai trò đơn giản để nhân viên biết nơi hỏi. Nếu cùng một người vừa soạn vừa duyệt, vẫn cần ghi bước kiểm và tài liệu căn cứ. Ít người không có nghĩa mọi dữ liệu đều được phép gửi cho công cụ ngoài.

Ở doanh nghiệp vừa, quyền dùng AI có thể phân tán giữa phòng ban. Tác giả đề xuất danh mục tập trung cho công cụ và kết nối, cùng người duyệt nội dung ở từng nghiệp vụ. Đầu mối kỹ thuật không nên tự kết luận quyền dùng dữ liệu của khách hay nhân sự. Nếu có đội bên ngoài hỗ trợ, phải phân định công việc, quyền tiếp cận và cách thu hồi khi kết thúc.

Với doanh nghiệp lớn, có thể cần nhiều quy trình chi tiết bên cạnh một trang chính sách chung. Dù bài tập trung doanh nghiệp nhỏ và vừa, nguyên tắc bàn giao vẫn hữu ích: nhân viên phải biết quy định nào hiện hành và người nào quyết định ngoại lệ. Không dùng một chữ ký phê duyệt công cụ AI để thay quyết định cho mọi cách sử dụng của mọi đơn vị.

Góc nhìn AI: cập nhật khi xuất hiện tác tử và tiện ích mới

OWASP trong bộ hướng dẫn 2025 phân biệt quyền hành động quá mức ở chức năng, quyền và tự chủ của tác tử AI. Sự phân biệt này là một căn cứ để xem xét thay đổi khi kết nối công cụ mới. Không nên xem phê duyệt việc soạn nội dung như sự cho phép mọi hành động mà tiện ích có thể thực hiện [6].

Một chính sách chỉ nhắc đừng nhập bí mật vào ô chat sẽ bỏ sót công cụ AI đọc dữ liệu tự động. Tiện ích có thể nhận nội dung trang, trợ lý họp có thể xử lý bản ghi, tác tử có thể gọi dịch vụ khác. Tổ chức nên hỏi dữ liệu tới công cụ bằng cách nào, không chỉ nhân viên đã gõ gì. Đây là phân tích thiết kế chính sách của tác giả, không phải kiểm một tiện ích cụ thể.

Khi AI có quyền hành động, cần thêm ranh giới rõ: ai đề nghị, ai cho phép, thao tác nào được làm và điều kiện dừng. Tác giả gợi ý tách quyền soạn với quyền gửi hoặc sửa. Những công việc đã được kiểm ở chế độ nháp không mặc nhiên đã được kiểm ở chế độ tự động. Nếu thay đổi chế độ, cần giữ bản mô tả để người phụ trách xem đúng phần quyền tăng thêm.

Có thể xây sổ thay đổi ngắn cho quy định dùng AI tạo sinh trong công ty. Sổ ghi công cụ hoặc kết nối đổi gì, nhóm bị ảnh hưởng và phần hướng dẫn cần sửa. Không chỉ sửa văn bản sau sự cố: điều khoản dịch vụ, cấu hình dữ liệu hoặc mục đích dùng AI thay đổi cũng là lý do cần rà soát. Tổ chức xác định chu kỳ thường lệ theo thực tế, không lấy một mốc tự đặt làm yêu cầu pháp luật.

Nội dung AI còn cần được xem lại sau nâng cấp. Bài đề xuất giữ một số tình huống kiểm cả trả lời đúng, thiếu dữ liệu và không có quyền, rồi dùng lại khi đổi cấu hình. Mục tiêu là phát hiện phần việc cần điều chỉnh trong chính sách. Kết quả không thay thế kiểm kỹ thuật hoặc đánh giá chuyên môn cần thiết, và không chứng minh mọi hành vi của công cụ đã được bao quát.

Việt Nam: một trang nội bộ không thay nghĩa vụ theo luật

Quốc hội thông qua Luật Bảo vệ dữ liệu cá nhân mang số 91/2025/QH15 ngày 26/06/2025, hiệu lực từ 01/01/2026. Nguyên tắc và quy định xử lý dữ liệu trong AI cần được đọc khi soạn chính sách tại Việt Nam. Những ngoại lệ của một số thủ tục không phải sự miễn toàn bộ trách nhiệm bảo vệ dữ liệu; bài không kết luận tổ chức cụ thể có được hưởng ngoại lệ nào [5].

Đối với hoạt động AI, văn bản mang số 134/2025/QH15 có các yêu cầu về minh bạch, an toàn và xử lý sự cố theo vai trò. Mẫu nội bộ ở đây chưa tự xác định vai nhà cung cấp hoặc bên triển khai cho một công cụ. Doanh nghiệp tại Việt Nam cần người có trách nhiệm đối chiếu đúng hệ thống, mục đích và quy định trước khi đưa AI vào phạm vi sử dụng có tác động lớn [9].

Khung đạo đức AI quốc gia được trình bày tại Thông tư của Bộ Khoa học và Công nghệ mang số 05/2026/TT-BKHCN. Ngày ký là 10/03/2026, với nội dung về dữ liệu và kiểm chứng. Cần giữ đúng phạm vi hoạt động phục vụ dịch vụ công hoặc quản lý nhà nước, cùng phần khuyến khích đối tượng khác. Không trình bày một khuyến nghị tham khảo như nghĩa vụ áp dụng không phân biệt cho mọi công ty tư nhân [10].

Tài liệu nước ngoài cần được đặt đúng đối tượng. Ví dụ AI Playbook của Anh công bố tháng 2/2025 hướng tới người làm việc trong tổ chức chính phủ và mở rộng hướng dẫn cũ. Những câu hỏi quản trị có thể gợi ý cách nghĩ, còn nghĩa vụ của cơ quan Anh không tự trở thành nội dung áp dụng cho một doanh nghiệp Việt Nam. Bài chỉ dùng phần giới thiệu phạm vi, chưa nhận đọc toàn bộ playbook [11].

Các bước đưa mẫu vào sử dụng

Để hoàn thiện quy định dùng ChatGPT trong công ty, người phụ trách nên chốt các quyết định thật trước khi điền mẫu. Văn bản không nên hứa công cụ an toàn nếu chưa có bằng chứng cấu hình và phạm vi. Bài đề xuất bắt đầu với những việc đã hiểu, ghi phần chưa rõ và giữ đường xin phép cho nhu cầu mới thay vì để một mẫu tham khảo trở thành lệnh chung thiếu bối cảnh.

• Bước 1: hỏi nhân viên đang dùng AI cho việc gì, gồm tính năng tích hợp và tiện ích.
• Bước 2: thống nhất loại dữ liệu, danh mục công cụ và người được quyết định ngoại lệ.
• Bước 3: chỉnh mẫu theo vai trò thực tế, đường báo lỗi và cách kiểm đầu ra.
• Bước 4: thử bằng tình huống giả định, sửa câu còn mơ hồ rồi phê duyệt phiên bản.
• Bước 5: công bố nơi tra cứu, hướng dẫn nhân viên và giao đầu mối theo dõi thay đổi.

Hỏi đáp về quy định dùng ChatGPT trong công ty

Có nên dùng nguyên mẫu để ký ban hành không? Không nên ký khi chưa xác định người phụ trách, danh mục công cụ và dữ liệu của tổ chức. Mẫu chỉ cung cấp cấu trúc tham khảo. Cần thử để biết nhân viên có quyết định được việc mình được làm và đường hỏi khi thiếu thông tin hay không. Nội dung pháp lý hoặc dữ liệu nhạy cảm cần được người có chuyên môn xem xét phù hợp.

Đổi tên công cụ thì có phải sửa chính sách không? Cần xem điều gì thay đổi ngoài tên. Nếu quyền, dữ liệu, điều kiện sử dụng hoặc cách xử lý đầu ra đổi, người phụ trách nên rà lại phần tương ứng. Một chính sách viết theo chức năng giúp giảm sửa vặt, nhưng danh mục sản phẩm và cấu hình được phép vẫn cần đúng với thứ nhân viên thật sự sử dụng.

Có phải mọi dữ liệu nội bộ đều bị cấm đưa vào AI không? Bài không đặt một lệnh cấm chung như vậy. Tổ chức cần xác định quyền, mục đích, công cụ và điều kiện xử lý. Khi chưa có quyết định phù hợp, nhân viên không nên tự suy rằng cần làm việc thì được gửi. Ba nhóm trong bài chỉ là cách tổ chức câu hỏi, không thay đánh giá pháp lý của dữ liệu.

Ghi dùng AI có làm hết trách nhiệm với đầu ra không? Không. Việc nhận biết có AI và việc nội dung đúng, được phép công bố là những câu hỏi khác nhau. Người được giao duyệt vẫn cần kiểm dữ kiện, nguồn và phạm vi sử dụng. Một nhãn không chứng minh công ty đã xác minh mọi phát biểu hoặc đã có quyền với tài liệu được dùng để tạo nội dung.

Nên rà soát chính sách bao lâu một lần? Tổ chức tự xác định lịch phù hợp và người chịu trách nhiệm, đồng thời rà khi công cụ, dữ liệu hoặc quyền thay đổi đáng kể. Bài không đưa một chu kỳ thành nghĩa vụ luật định. Nếu có thay đổi gấp, cần thông tin kịp thời cho người dùng về phần được phép và phần phải tạm dừng để kiểm lại.

Nguồn và phương pháp

Bài do tác giả soạn có hỗ trợ AI ngày 24/10/2026, không phải bản dịch hoặc mẫu đã thẩm định pháp lý. Các hướng dẫn chỉ được dùng trong phạm vi thực đọc; một số phần nguồn là giới thiệu, không toàn văn. Mẫu, ba nhóm dữ liệu và vòng cập nhật là đề xuất chưa kiểm chứng thực địa. Không có tài trợ hay lợi ích bán công cụ. Đây là thông tin chung, không phải tư vấn pháp lý cho tổ chức cụ thể.