Quản trị AI doanh nghiệp: khung kiểm soát và an toàn dữ liệu

Tóm tắt nhanh: Quản trị AI doanh nghiệp là bộ quy tắc trả lời bốn câu hỏi: nhân viên được dùng công cụ AI nào, được đưa dữ liệu gì vào, kết quả nào phải có người duyệt, ai chịu trách nhiệm khi có sự cố. Từ ngày 1/1/2026, Luật Bảo vệ dữ liệu cá nhân (số 91/2025/QH15) và Nghị định 356/2025/NĐ-CP (thay Nghị định 13/2023/NĐ-CP) có hiệu lực; từ ngày 1/3/2026 có thêm Luật Trí tuệ nhân tạo (số 134/2025/QH15). Doanh nghiệp nhỏ và vừa nên bắt đầu bằng ba việc: kiểm kê công cụ AI đang dùng, phân loại dữ liệu rồi ban hành chính sách sử dụng AI dài một đến hai trang.

Quản trị AI doanh nghiệp là gì?

Quản trị AI là cách doanh nghiệp kiểm soát việc dùng trí tuệ nhân tạo (AI) giống như kiểm soát chi tiêu: có danh sách được phép, có người duyệt, có sổ ghi lại. Khác với an ninh mạng, rủi ro chính ở đây ít khi đến từ tin tặc. Nó đến từ chính nhân viên, khi họ dán hợp đồng của khách vào một chatbot miễn phí hoặc gửi đi báo giá do AI soạn mà không ai soát con số.

Ví dụ giả định: kế toán một công ty thương mại 30 người dùng chatbot AI cá nhân để tóm tắt bảng công nợ có tên, số điện thoại và số nợ của từng khách. Không ai trong công ty biết, không có hợp đồng nào với nhà cung cấp, còn dữ liệu đã nằm trên máy chủ ở nước ngoài. Quản trị AI giúp doanh nghiệp biết những tình huống như vậy để cho phép có điều kiện hoặc chặn hẳn.

Sáu phần kiểm soát ở dưới được rút gọn theo tinh thần khung quản lý rủi ro AI mà Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) công bố ngày 26/1/2023 cho các tổ chức dùng tự nguyện.

Vì sao doanh nghiệp nhỏ và vừa cũng cần quản trị AI?

Doanh nghiệp nhỏ cần quản trị AI vì nhân viên đã dùng AI trước khi công ty có chính sách. Hiện tượng này gọi là AI ngầm (shadow AI): nhân viên tự dùng công cụ AI bằng tài khoản cá nhân cho việc công ty, ngoài tầm nhìn của ban giám đốc. Ý định thường tốt, chỉ là muốn làm nhanh hơn. Rủi ro thì có ba loại.

Thứ nhất là lộ dữ liệu: tuỳ điều khoản và cài đặt, một số công cụ AI bản miễn phí hoặc cá nhân có thể lưu và dùng nội dung người dùng nhập để cải thiện mô hình. Thứ hai là sai mà không ai biết, vì AI có thể trả lời sai như thật (hallucination) và con số sai trong báo giá sẽ đi thẳng tới khách. Thứ ba là pháp lý: dữ liệu khách hàng và nhân viên là dữ liệu cá nhân, đã có luật riêng với mức phạt cụ thể.

Khung pháp lý cần biết (kiểm tra tháng 11/2026)

Ba văn bản dưới đây là khung chính cho việc dùng AI và dữ liệu cá nhân. Thông tin tổng hợp từ các nguồn dẫn kèm; trước khi quyết định cách tuân thủ, doanh nghiệp nên kiểm tra văn bản gốc và tham vấn luật sư.

Văn bản	Thông qua, ban hành	Hiệu lực	Liên quan gì tới doanh nghiệp dùng AI
Luật Bảo vệ dữ liệu cá nhân, số 91/2025/QH15	26/6/2025	1/1/2026	Mọi việc thu thập, xử lý dữ liệu khách hàng, nhân viên, kể cả qua công cụ AI
Nghị định 356/2025/NĐ-CP	31/12/2025	1/1/2026	Hướng dẫn chi tiết luật trên, thay Nghị định 13/2023/NĐ-CP
Luật Trí tuệ nhân tạo, số 134/2025/QH15	10/12/2025	1/3/2026	Phân loại rủi ro hệ thống AI, nghĩa vụ minh bạch của bên triển khai AI

Nguồn: ngày thông qua và hiệu lực Luật Bảo vệ dữ liệu cá nhân theo LuatVietnam; ngày ban hành Nghị định 356/2025/NĐ-CP và việc thay Nghị định 13/2023/NĐ-CP theo EY Việt Nam; Luật Trí tuệ nhân tạo theo Rajah Tann Asia và Cổng phổ biến pháp luật Cần Thơ.

Lưu ý: số 71/2025/QH15 là Luật Công nghiệp công nghệ số, không phải Luật Trí tuệ nhân tạo; theo Cổng phổ biến pháp luật Cần Thơ, phần quy định về AI của luật này (gồm Chương IV) đã bị Luật Trí tuệ nhân tạo bãi bỏ.

Luật Bảo vệ dữ liệu cá nhân yêu cầu gì?

Luật đặt ra ba nhóm việc. Sự đồng ý của người có dữ liệu phải rõ ràng và kiểm chứng được; theo EY Việt Nam, Nghị định 356/2025/NĐ-CP cấm đặt sẵn lựa chọn đồng ý hoặc dùng câu chữ gây hiểu nhầm. Doanh nghiệp phải lập hồ sơ đánh giá tác động khi xử lý dữ liệu cá nhân và khi chuyển dữ liệu ra nước ngoài. Khi có vi phạm thì phải thông báo trong thời hạn luật định, mà Luật Việt An tổng hợp là 72 giờ kể từ khi phát hiện.

Dán dữ liệu cá nhân của khách vào một dịch vụ AI có máy chủ ở nước ngoài có thể bị coi là chuyển dữ liệu cá nhân xuyên biên giới. Từng trường hợp cụ thể cần kiểm tra văn bản gốc hoặc hỏi luật sư. Cách an toàn là không đưa dữ liệu cá nhân vào công cụ AI chưa được công ty duyệt.

Về mức phạt, Điều 8 của luật đặt mức phạt hành chính tối đa bằng 10 lần khoản thu có được với hành vi mua bán dữ liệu cá nhân, 5% doanh thu năm trước liền kề của tổ chức với vi phạm về chuyển dữ liệu xuyên biên giới, 3 tỷ đồng với các vi phạm khác, theo Tạp chí Luật sư Việt Nam (2025).

Doanh nghiệp nhỏ được nới một phần. Theo LuatVietnam, Điều 38 của luật cho doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp quyền chọn thực hiện hay không các quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 (đánh giá tác động và bố trí nhân sự bảo vệ dữ liệu) trong 5 năm kể từ ngày luật có hiệu lực; hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện các quy định này. Quy định nới này không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu của số lượng lớn người. Các nghĩa vụ còn lại, như xin đồng ý và bảo mật dữ liệu, vẫn áp dụng cho mọi quy mô.

Luật Trí tuệ nhân tạo yêu cầu gì?

Luật Trí tuệ nhân tạo chia hệ thống AI thành ba mức rủi ro: cao, trung bình và thấp. Doanh nghiệp chỉ dùng công cụ AI có sẵn thường ở vai “người sử dụng” hoặc “bên triển khai”, không phải bên phát triển; mức rủi ro của từng hệ thống cần đối chiếu văn bản gốc.

Theo tổng hợp của công ty luật Rajah Tann Asia, bên triển khai phải thông báo rõ khi văn bản, âm thanh, hình ảnh hay video do AI tạo hoặc chỉnh sửa có thể gây nhầm lẫn về tính xác thực. Nội dung mô phỏng hình dáng, giọng nói của người thật hoặc tái hiện sự kiện có thật thì phải gắn nhãn dễ thấy. Hai nghĩa vụ này chạm thẳng vào việc làm marketing. Nhà cung cấp chatbot cũng phải giúp người dùng biết họ đang nói chuyện với AI chứ không phải con người.

Với hệ thống AI đã hoạt động trước ngày 1/3/2026, luật cho thời gian chuyển tiếp 18 tháng với lĩnh vực y tế, giáo dục, tài chính và 12 tháng với lĩnh vực khác. Luật cũng nêu AI không thay thế thẩm quyền và trách nhiệm của con người, nên doanh nghiệp phải giữ khả năng can thiệp vào quyết định của AI.

Khung kiểm soát AI 6 phần cho doanh nghiệp nhỏ và vừa

Sáu phần dưới đây đủ cho phần lớn doanh nghiệp nhỏ và vừa. Không cần làm cả sáu cùng lúc, nhưng nên làm theo thứ tự.

Danh mục công cụ AI và người phụ trách

Lập bảng mọi công cụ AI đang dùng: tên, bản miễn phí hay trả phí, ai dùng, cho việc gì, dữ liệu gì đi vào. Cách nhanh nhất là hỏi thẳng từng phòng, hứa không phạt ai vì đã dùng trước khi có quy định. Mỗi công cụ được duyệt cần một người phụ trách, thường là trưởng phòng dùng nhiều nhất.

Phân loại dữ liệu

Phân loại dữ liệu là chia thông tin của công ty thành vài mức, mỗi mức đi kèm quy tắc được đưa vào công cụ AI nào. Bốn mức là đủ cho doanh nghiệp nhỏ và vừa:

Mức	Ví dụ	Được dùng với AI thế nào
Công khai	Nội dung website, tài liệu giới thiệu sản phẩm đã phát hành	Mọi công cụ AI
Nội bộ	Quy trình nội bộ, biên bản họp không có dữ liệu cá nhân	Chỉ công cụ AI đã được công ty duyệt
Mật	Giá vốn, hợp đồng, báo cáo tài chính, kế hoạch kinh doanh	Chỉ công cụ AI có hợp đồng doanh nghiệp, cam kết không dùng dữ liệu để huấn luyện
Dữ liệu cá nhân, nhất là dữ liệu nhạy cảm	Thông tin khách hàng, hồ sơ nhân viên, bảng lương, dữ liệu sức khoẻ	Chỉ hệ thống đã đánh giá theo Luật Bảo vệ dữ liệu cá nhân, ưu tiên che hoặc bỏ thông tin định danh trước khi đưa vào

Bảng này nên dán ngay trong chính sách sử dụng AI, vì nhân viên cần trả lời được câu “tôi có được dán cái này vào không?” trong năm giây.

Chính sách sử dụng AI

Chính sách sử dụng AI là văn bản nội bộ một đến hai trang, viết bằng lời thường, mọi nhân viên đọc và ký xác nhận. Tối thiểu gồm:

• Danh sách công cụ AI được phép và công cụ bị cấm dùng cho việc công ty.
• Bảng phân loại dữ liệu ở trên.
• Những việc AI chỉ được soạn nháp, người phải duyệt: báo giá, hợp đồng, nội dung gửi khách, quyết định nhân sự.
• Quy tắc gắn nhãn nội dung do AI tạo khi đăng ra ngoài.
• Cách báo cáo khi lỡ đưa dữ liệu sai chỗ hoặc phát hiện AI trả lời sai, kèm cam kết không phạt người báo sớm.

Chính sách nên được rà lại mỗi sáu tháng, vì công cụ và quy định thay đổi nhanh. Các công cụ văn phòng phổ biến và cách dùng an toàn có ở bài công cụ AI cho văn phòng.

Phân quyền truy cập cho AI

AI không bao giờ được thấy nhiều hơn người đang dùng nó. Khi kết nối trợ lý AI hay AI Agent vào phần mềm kế toán, CRM hoặc kho tài liệu, hãy cho AI đọc theo quyền của từng người dùng, không dùng chung một tài khoản quản trị. Mọi thao tác ghi (tạo đơn, gửi email, sửa dữ liệu) cần có nhật ký ghi lại ai yêu cầu, AI đã làm gì, lúc nào.

Hợp đồng với nhà cung cấp AI

Trước khi trả tiền cho một công cụ AI, doanh nghiệp nên có câu trả lời bằng văn bản cho sáu câu hỏi:

1. Dữ liệu công ty nhập vào có được dùng để huấn luyện mô hình không, tắt thế nào?
2. Dữ liệu được lưu ở quốc gia nào, trong bao lâu?
3. Khi ngừng dùng, dữ liệu được xoá thế nào và có xác nhận không?
4. Nhà cung cấp dùng những bên thứ ba nào để xử lý dữ liệu?
5. Khi có sự cố lộ dữ liệu, nhà cung cấp báo cho công ty trong bao lâu?
6. Công cụ có quản lý người dùng tập trung, phân quyền và nhật ký cho quản trị viên không?

Các câu trả lời này cũng là đầu vào cho hồ sơ đánh giá tác động, nếu doanh nghiệp thuộc diện phải lập.

Con người duyệt và xử lý sự cố

Nội dung nào gửi ra ngoài công ty, ảnh hưởng tới tiền hoặc tới quyền lợi của một người (khách hàng, ứng viên, nhân viên) thì người phải duyệt cuối. Quy trình xử lý sự cố chỉ cần trả lời ai nhận báo cáo, ai đánh giá có phải vi phạm dữ liệu cá nhân không, ai thông báo trong thời hạn luật định.

Xử lý AI ngầm thế nào cho hiệu quả?

Cấm hẳn AI thường phản tác dụng: nhân viên chuyển sang dùng trên điện thoại cá nhân và công ty còn biết ít hơn. Cách tốt hơn là đưa ra một công cụ AI chính thức có tài khoản doanh nghiệp, đã tắt việc dùng dữ liệu để huấn luyện, kèm một buổi hướng dẫn ngắn. Sau ba tháng, hỏi lại các phòng còn nhu cầu nào chưa được đáp ứng, vì nhu cầu bị bỏ ngỏ chính là chỗ AI ngầm mọc lại.

Ai chịu trách nhiệm quản trị AI trong doanh nghiệp?

Trách nhiệm cuối cùng thuộc về ban giám đốc, vì đây là quyết định về rủi ro kinh doanh. Cách phân vai thường gặp ở doanh nghiệp nhỏ và vừa:

Vai trò	Việc chính
Giám đốc hoặc phó giám đốc	Duyệt chính sách, quyết định công cụ nào được dùng, chịu trách nhiệm cuối
Người điều phối AI (kiêm nhiệm)	Giữ danh mục công cụ, rà chính sách, nhận báo cáo sự cố
IT nội bộ hoặc đối tác IT	Cấu hình tài khoản, phân quyền, nhật ký, chặn công cụ chưa duyệt
Hành chính nhân sự hoặc pháp chế	Hợp đồng với nhà cung cấp, đồng ý của nhân viên và khách hàng, đầu mối với luật sư
Trưởng các phòng	Đảm bảo phòng mình dùng đúng chính sách, đề xuất ứng dụng mới

Doanh nghiệp không thuộc diện được nới theo Điều 38 còn phải bố trí nhân sự hoặc thuê dịch vụ bảo vệ dữ liệu cá nhân đủ điều kiện; theo EY Việt Nam, nhân sự nội bộ cần ít nhất hai năm kinh nghiệm liên quan và được đào tạo về bảo vệ dữ liệu cá nhân.

Các bước triển khai quản trị AI trong 90 ngày

Lộ trình dưới đây là gợi ý cho doanh nghiệp bắt đầu từ con số không; công ty ít người có thể làm nhanh hơn.

Bước 1: Kiểm kê trong 2 tuần đầu

Lập danh mục công cụ AI như phần trên, đồng thời liệt kê các nơi đang giữ dữ liệu cá nhân: phần mềm bán hàng, CRM, phần mềm nhân sự, file Excel, nhóm chat.

Bước 2: Ban hành chính sách tạm thời

Trong tháng đầu, ban hành bảng phân loại dữ liệu, chính sách bản ngắn và danh sách công cụ được phép tạm thời. Bản tạm thời có sớm vẫn hơn bản đầy đủ có muộn.

Bước 3: Chọn công cụ chính thức và ký hợp đồng

Trong tháng thứ hai, chọn một hai công cụ AI có tài khoản doanh nghiệp, hỏi đủ sáu câu ở phần hợp đồng, cấu hình phân quyền và nhật ký.

Bước 4: Đào tạo và rà soát pháp lý

Đào tạo toàn bộ nhân viên về chính sách. Cùng luật sư xác định doanh nghiệp có thuộc diện được nới theo Điều 38 không, cần lập hồ sơ đánh giá tác động nào, mẫu đồng ý của khách hàng và nhân viên đã đúng chưa.

Bước 5: Đo và rà lại sau 90 ngày

Theo dõi số nhân viên đã ký chính sách, số công cụ ngoài danh sách còn được dùng, số sự cố được báo cáo và số lần AI trả lời sai bị bắt trước khi tới khách, rồi sửa chính sách theo đó.

Sai lầm thường gặp

Sai lầm đầu tiên là viết chính sách hai mươi trang mà không ai đọc. Chính sách dùng được là chính sách nhân viên nhớ được bảng phân loại dữ liệu.

Sai lầm thứ hai là giao quản trị AI cho IT. IT cấu hình được công cụ, nhưng không quyết định được báo giá nào cần người duyệt hay dữ liệu khách nào được dùng cho marketing; việc đó thuộc về trưởng phòng và ban giám đốc.

Sai lầm thứ ba là đợi luật rõ hoàn toàn mới làm. Kiểm kê công cụ, phân loại dữ liệu và yêu cầu người duyệt đều đáng làm dù luật quy định thế nào, vì chúng bảo vệ doanh nghiệp trước cả rủi ro kinh doanh.

Doanh nghiệp rất nhỏ, chỉ dùng AI viết nội dung công khai và không đưa dữ liệu khách vào, thì chưa cần đủ bộ khung: một trang quy tắc và danh sách công cụ được phép là đủ lúc đầu.

Câu hỏi thường gặp

Nghị định 13/2023/NĐ-CP còn hiệu lực không? Không. Từ ngày 1/1/2026, Nghị định 356/2025/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân (số 91/2025/QH15) và thay Nghị định 13/2023/NĐ-CP. Tài liệu nội bộ còn dẫn Nghị định 13 nên được cập nhật.

Nhân viên dùng chatbot AI miễn phí cho việc công ty có vi phạm luật không? Bản thân việc dùng chưa chắc vi phạm. Rủi ro pháp lý xuất hiện khi nhân viên đưa dữ liệu cá nhân của khách hàng hoặc đồng nghiệp vào công cụ đó mà không có căn cứ xử lý hợp lệ; trường hợp cụ thể nên hỏi luật sư.

Nội dung marketing do AI tạo có phải gắn nhãn không? Theo Luật Trí tuệ nhân tạo, bên triển khai phải thông báo khi nội dung do AI tạo hoặc chỉnh sửa có thể gây nhầm lẫn về tính xác thực. Nội dung mô phỏng người thật phải gắn nhãn dễ thấy; cách áp dụng cho từng loại nội dung nên kiểm tra trong văn bản hướng dẫn.

Doanh nghiệp có cần chứng nhận ISO/IEC 42001 không? ISO/IEC 42001:2023 là tiêu chuẩn quốc tế về hệ thống quản lý AI, áp dụng tự nguyện cho tổ chức ở mọi quy mô. Doanh nghiệp nhỏ và vừa thường chưa cần chứng nhận, trừ khi khách hàng lớn yêu cầu; dùng tiêu chuẩn này làm tài liệu tham khảo khi viết chính sách là đủ.

---

HAT Solutions giúp doanh nghiệp kiểm kê công cụ AI đang dùng, viết bảng phân loại dữ liệu và chính sách sử dụng AI, rồi thiết kế phân quyền khi kết nối AI vào phần mềm doanh nghiệp. Phần pháp lý chuyên sâu nên do luật sư của doanh nghiệp đảm nhận. Liên hệ để rà soát cách công ty đang dùng AI. Đọc thêm: ứng dụng AI trong doanh nghiệp và chatbot AI chăm sóc khách hàng.