Quản trị dữ liệu Legal AI: Bảo vệ dữ liệu cá nhân và bí mật pháp lý

Tài liệu pháp lý thường chứa dữ liệu cá nhân, bí mật kinh doanh, chiến lược tranh tụng hoặc thông tin thuộc phạm vi hạn chế tiếp cận. Vì vậy, lựa chọn công cụ AI không thể tách rời việc quản trị dữ liệu. Câu hỏi quan trọng không chỉ là AI làm được gì, mà còn là dữ liệu đi đâu, ai được truy cập và được lưu trong bao lâu.

1. Tình huống: tải hồ sơ khách hàng lên dịch vụ AI đặt máy chủ ở nước ngoài

Sự kiện này đồng thời làm phát sinh hoạt động xử lý dữ liệu cá nhân và có thể là chuyển dữ liệu xuyên biên giới. Điều 3 Luật Bảo vệ dữ liệu cá nhân yêu cầu dữ liệu chỉ được xử lý đúng phạm vi, mục đích rõ ràng, bảo đảm chính xác, thời hạn lưu phù hợp và có biện pháp bảo vệ. Khoản 1 Điều 20 xác định việc dùng nền tảng ngoài lãnh thổ Việt Nam để xử lý dữ liệu thu thập tại Việt Nam là một trường hợp chuyển dữ liệu xuyên biên giới; khoản 2 yêu cầu lập hồ sơ đánh giá tác động và gửi trong 60 ngày kể từ ngày đầu tiên chuyển, trừ trường hợp được miễn.

2. Không thể chỉ dựa vào điều khoản 'không dùng để huấn luyện'

Điều 37 phân chia trách nhiệm giữa bên kiểm soát và bên xử lý dữ liệu. Bên kiểm soát phải xác định mục đích, chọn bên xử lý phù hợp, bảo đảm quyền của chủ thể và áp dụng biện pháp quản lý, kỹ thuật; bên xử lý chỉ được nhận dữ liệu sau khi có thỏa thuận hoặc hợp đồng và phải xử lý đúng thỏa thuận. Điều 21 còn yêu cầu hồ sơ đánh giá tác động xử lý dữ liệu trong 60 ngày từ ngày đầu tiên xử lý, còn Điều 23 đặt thời hạn thông báo 72 giờ đối với vi phạm có khả năng gây tổn hại thuộc phạm vi luật định. Vì vậy, hợp đồng phải bao quát cả nhà thầu phụ, vị trí xử lý, nhật ký, xóa dữ liệu và phối hợp sự cố.

3. Quyền của chủ thể và vòng đời dữ liệu

Điều 4 ghi nhận quyền được biết, đồng ý hoặc không đồng ý, rút lại sự đồng ý, xem, sửa, yêu cầu xóa, hạn chế, phản đối và khiếu nại. Điều 9 quy định sự đồng ý phải tự nguyện, cụ thể theo từng mục đích và im lặng không phải là đồng ý; Điều 14 yêu cầu xóa hoặc hủy khi hoàn thành mục đích, hết thời hạn hoặc có căn cứ khác, đồng thời ngăn khôi phục trái phép. Vì vậy, hệ thống Legal AI phải có cơ chế truy tìm dữ liệu của một chủ thể trong tệp đầu vào, lịch sử prompt, chỉ mục và bản sao lưu; nếu không thể thực hiện quyền trong toàn bộ chuỗi xử lý, thiết kế vận hành chưa đáp ứng yêu cầu pháp lý.

4. Phân loại dữ liệu trước khi sử dụng

Tổ chức nên chia dữ liệu theo mức độ nhạy cảm và mục đích xử lý. Tài liệu công khai có thể được xử lý theo quy trình đơn giản hơn; dữ liệu cá nhân, bí mật kinh doanh, hồ sơ khách hàng hoặc tài liệu nội bộ cần biện pháp kiểm soát cao hơn; bí mật nhà nước chỉ được xử lý trong phạm vi, hệ thống và điều kiện pháp luật cho phép.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 1/1/2026 đặt việc xử lý dữ liệu trong khuôn khổ về căn cứ, mục đích, quyền của chủ thể và trách nhiệm của các bên. Việc dùng AI không tạo ra ngoại lệ chung cho các nghĩa vụ này.

5. Đánh giá nhà cung cấp và luồng dữ liệu

Hợp đồng và tài liệu kỹ thuật cần làm rõ dữ liệu nhập, tệp đính kèm và đầu ra có được lưu hoặc dùng để huấn luyện hay không; vị trí xử lý; bên thứ ba tham gia; thời hạn lưu; cơ chế xóa, xuất dữ liệu và ứng phó sự cố. Không nên dựa hoàn toàn vào tuyên bố tiếp thị.

Nếu dữ liệu được chuyển ra ngoài phạm vi hệ thống hoặc lãnh thổ dự kiến, tổ chức cần đánh giá nghĩa vụ pháp lý tương ứng. Phân quyền, mã hóa, nhật ký truy cập và khả năng thu hồi quyền phải được kiểm thử trong điều kiện sử dụng thực tế.

6. Bản quyền và bằng chứng đóng góp của con người

Dữ liệu đầu vào phải được sử dụng hợp pháp. Việc một tài liệu có thể tìm thấy trên Internet không đồng nghĩa với quyền sao chép hoặc dùng cho mọi mục đích. Tổ chức cần kiểm tra giấy phép, điều khoản sử dụng, quyền của bên thứ ba và các ngoại lệ pháp luật nếu áp dụng.

Đối với đầu ra có AI hỗ trợ, nên lưu câu lệnh, nguồn đầu vào, bản nháp, phần chỉnh sửa và quyết định sáng tạo của con người. Hồ sơ này vừa hỗ trợ chứng minh quá trình làm việc, vừa giúp kiểm tra nguy cơ đầu ra lặp lại hoặc xâm phạm nội dung của bên khác.

7. Quản trị theo toàn bộ vòng đời dữ liệu

Vòng đời bắt đầu trước khi dữ liệu được nhập vào công cụ. Tổ chức cần xác định nguồn, quyền sử dụng, mục đích và mức độ cần thiết. Trong quá trình xử lý, phải kiểm soát người truy cập, vị trí xử lý, tệp tạm, nhật ký và đầu ra. Khi công việc kết thúc, cần xác định dữ liệu nào phải lưu để chứng minh quá trình, dữ liệu nào phải xóa và ai có quyền quyết định thời hạn.

Đầu ra của AI cũng có thể chứa dữ liệu nhạy cảm hoặc suy luận mới về cá nhân và tổ chức. Vì vậy, không nên chỉ bảo vệ tệp đầu vào. Quyền chia sẻ, tải xuống, sao chép và đưa đầu ra sang hệ thống khác phải được kiểm soát. Nếu người dùng đưa nội dung vào email hoặc tài liệu công khai, tổ chức cần có bước kiểm tra để tránh vô tình phát tán dữ liệu hoặc nhận định chưa được phê duyệt.

8. Thiết kế chính sách sử dụng AI nội bộ

Chính sách nên trả lời rõ ai được dùng công cụ nào, cho nhiệm vụ nào và với loại dữ liệu nào. Danh sách cấm cần dễ hiểu, kèm ví dụ về dữ liệu cá nhân nhạy cảm, bí mật kinh doanh, tài liệu tranh tụng hoặc thông tin thuộc phạm vi hạn chế. Đồng thời, chính sách phải chỉ ra kênh được phép để nhân viên không chuyển sang công cụ cá nhân vì thiếu giải pháp phù hợp.

Ngoài quy tắc, tổ chức cần đào tạo cách nhận diện dữ liệu, ẩn danh hoặc giảm thiểu thông tin, kiểm tra đầu ra và báo cáo sự cố. Vi phạm do hiểu sai thường không được giải quyết chỉ bằng một văn bản chính sách dài. Giao diện và workflow nên hỗ trợ người dùng bằng cảnh báo, phân quyền và bước phê duyệt ngay tại thời điểm họ chuẩn bị gửi dữ liệu.

9. Ứng phó sự cố liên quan dữ liệu

Khi nghi ngờ dữ liệu bị nhập sai công cụ hoặc lộ cho người không có quyền, hành động đầu tiên là hạn chế tiếp tục xử lý và xác định phạm vi. Cần ghi nhận loại dữ liệu, người liên quan, thời điểm, hệ thống, nhà cung cấp và khả năng dữ liệu đã được lưu hoặc dùng cho mục đích khác. Không nên xóa dấu vết trước khi bảo toàn thông tin cần thiết cho điều tra.

Sau đó, tổ chức đánh giá nghĩa vụ thông báo, phối hợp với nhà cung cấp, thu hồi quyền, yêu cầu xóa và kiểm tra đầu ra đã được chia sẻ. Nguyên nhân gốc có thể là chính sách không rõ, cấu hình sai, người dùng thiếu đào tạo hoặc điều khoản nhà cung cấp không phù hợp. Kế hoạch khắc phục phải xử lý nguyên nhân hệ thống, không chỉ nhắc nhở cá nhân đã thực hiện thao tác.

10. Nền tảng hỗ trợ như thế nào?

– Phân loại dữ liệu và thiết lập danh sách công cụ được phép sử dụng.

– Kiểm soát mục đích, quyền truy cập, lưu giữ, chuyển dữ liệu và xóa dữ liệu.

– Đánh giá điều khoản huấn luyện mô hình, nhà thầu phụ và xử lý sự cố.

– Lưu bằng chứng về nguồn dữ liệu và đóng góp sáng tạo của con người.

11. Câu hỏi thường gặp

Câu hỏi 1. Tải hồ sơ lên dịch vụ AI ở nước ngoài có phải chuyển dữ liệu xuyên biên giới không?

Có thể. Khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân xác định việc dùng nền tảng ngoài lãnh thổ Việt Nam để xử lý dữ liệu thu thập tại Việt Nam là một trường hợp cần được đánh giá theo cơ chế chuyển dữ liệu xuyên biên giới.

Câu hỏi 2. Có sự đồng ý của khách hàng thì đã đủ để dùng dữ liệu cho AI chưa?

Chưa chắc. Ngoài căn cứ xử lý, tổ chức còn phải bảo đảm mục đích rõ ràng, giới hạn cần thiết, an toàn, quyền của chủ thể, hợp đồng với bên xử lý, thời hạn lưu và các hồ sơ đánh giá tác động nếu thuộc trường hợp luật yêu cầu.

Câu hỏi 3. Cam kết không dùng dữ liệu để huấn luyện có đủ bảo đảm an toàn không?

Không. Cần kiểm tra thêm nơi xử lý, nhà thầu phụ, phân quyền, mã hóa, nhật ký, thời hạn lưu, xóa dữ liệu, ứng phó sự cố và khả năng thực hiện quyền của chủ thể trong toàn bộ chuỗi xử lý.

12. Căn cứ pháp lý tham khảo

1. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP.

2. Luật Trí tuệ nhân tạo số 134/2025/QH15.

3. Luật An ninh mạng số 116/2025/QH15 và Luật Bảo vệ bí mật nhà nước số 117/2025/QH15.

4. Luật Giao dịch điện tử số 20/2023/QH15.

13. Kết luận

Quản trị dữ liệu Legal AI phải bắt đầu trước khi người dùng tải tệp hoặc nhập prompt. Chỉ khi mục đích, vai trò, luồng dữ liệu, thời hạn lưu, quyền truy cập và cơ chế xóa đều được xác định, tổ chức mới có thể đánh giá công cụ phù hợp với hồ sơ pháp lý nào.