Quy định sử dụng AI trong doanh nghiệp: mẫu 1 trang cho SME

Quy định sử dụng AI trong doanh nghiệp tốt nhất cho một công ty vừa và nhỏ là một trang giấy mà nhân viên đọc hết trong 5 phút. Nó trả lời đúng sáu câu: dữ liệu nào không bao giờ được đưa vào công cụ AI công cộng, công cụ nào được duyệt, ai kiểm tra kết quả, khi nào phải nói với khách hàng, nội dung AI tạo ra thuộc về ai, và hỏi ai khi không chắc. Mục tiêu không phải cấm AI, mà là để mọi người dùng AI an toàn, công khai.

Nhân viên của bạn đã dùng AI, dù bạn có cho phép hay không

Hãy hình dung công ty bạn như một toà nhà khoá cửa chính rất kỹ, nhưng mỗi nhân viên lại có một cánh cửa sổ riêng: một tab ChatGPT, Gemini hay Claude, một ứng dụng AI trên điện thoại. Tài liệu đi ra qua những cánh cửa đó mà không ai ghi sổ.

Hiện tượng này có tên: AI ngầm (shadow AI) là việc nhân viên dùng công cụ AI cho công việc mà doanh nghiệp không biết, không duyệt và không kiểm soát. Còn BYOAI (bring your own AI) là việc nhân viên tự mang công cụ AI cá nhân đến chỗ làm.

Số liệu cho thấy đây là chuyện phổ biến, không phải ngoại lệ:

• Báo cáo Microsoft Work Trend Index 2024 (khảo sát 31.000 người lao động tri thức tại 31 thị trường) cho biết 75% người lao động tri thức đã dùng AI trong công việc, và 78% người dùng AI tự mang công cụ AI riêng đến chỗ làm. Ở doanh nghiệp vừa và nhỏ, tỷ lệ này là 80%.
• Cisco Data Privacy Benchmark 2024 (2.600 chuyên gia bảo mật và quyền riêng tư tại 12 khu vực): 48% thừa nhận đã nhập thông tin không công khai của công ty vào công cụ AI tạo sinh.

Tự mang AI riêng đi làm Microsoft 2024

78%

Đã nhập dữ liệu nội bộ vào AI Cisco 2024

48%

Không có quy định = mỗi người tự quyết

↻ Xem lại

Nghĩa là câu hỏi không còn là “có nên cho nhân viên dùng AI không”, mà là “họ đang đưa gì vào AI, và có ai biết không”.

Vì sao cấm AI hoàn toàn thường không hiệu quả

Cấm hoàn toàn nghe an toàn nhưng thường chỉ đẩy việc dùng AI xuống “dưới gầm bàn”. Nhân viên vẫn cần làm nhanh hơn, nên họ chuyển sang điện thoại cá nhân, tài khoản cá nhân. Doanh nghiệp mất luôn khả năng nhìn thấy, hướng dẫn và kiểm soát.

Vụ việc ở Samsung năm 2023 thường được nhắc tới. Theo Bloomberg (Fortune dẫn lại, 5/2023), một số kỹ sư đã đưa mã nguồn bảo mật và nội dung một cuộc họp vào ChatGPT để sửa lỗi và tóm tắt. Sau đó Samsung tạm cấm nhân viên dùng các công cụ như ChatGPT cho công việc, với lý do lo ngại rủi ro bảo mật từ AI tạo sinh. Bài học ở đây không phải “AI nguy hiểm”, mà là nhân viên không có hướng dẫn rõ trước khi dùng.

Cũng theo Cisco (2024), 27% tổ chức được khảo sát đã cấm dùng AI tạo sinh, ít nhất là tạm thời. Nhưng cái giá của việc không có quy định thì rõ hơn:

• IBM Cost of a Data Breach 2025 (600 tổ chức, các vụ rò rỉ từ 3/2024 đến 2/2025): cứ 5 tổ chức thì có 1 tổ chức báo cáo bị rò rỉ dữ liệu liên quan đến AI ngầm.
• Tổ chức có mức AI ngầm cao chịu chi phí rò rỉ cao hơn trung bình 670.000 USD so với tổ chức có ít hoặc không có AI ngầm.
• Chỉ 37% tổ chức có chính sách quản lý AI hoặc phát hiện AI ngầm.

Đây là số liệu toàn cầu, phần lớn từ tổ chức lớn. Với SME Việt Nam, hãy đọc nó như tín hiệu xu hướng, không phải con số chính xác cho công ty bạn.

Quy định sử dụng AI trong doanh nghiệp gồm những gì

Một quy định một trang cần 6 phần. Thiếu phần nào, nhân viên sẽ tự đoán ở phần đó.

Phần	Câu hỏi nó trả lời	Ví dụ nội dung
1. Dữ liệu	Được đưa gì vào AI, cấm đưa gì?	Bảng đèn đỏ–vàng–xanh (bên dưới)
2. Công cụ được duyệt	Dùng công cụ nào, tài khoản nào?	“Chỉ dùng tài khoản công ty cấp; công cụ khác hỏi trước”
3. Người kiểm tra và chịu trách nhiệm	Ai duyệt kết quả AI trước khi dùng?	“Người gửi đi chịu trách nhiệm như tự tay làm”
4. Minh bạch với khách hàng	Khi nào phải nói có AI tham gia?	Nội dung tư vấn, báo cáo cho khách có AI hỗ trợ
5. Bản quyền và sở hữu trí tuệ	Nội dung AI tạo ra dùng thế nào?	Kiểm tra trùng lặp, không dùng hình ảnh mô phỏng người thật
6. Đầu mối hỏi đáp	Không chắc thì hỏi ai?	Một cái tên, một kênh chat, trả lời trong 24 giờ

Quà tặng miễn phí · Template + hướng dẫn

Mẫu quy định sử dụng AI 1 trang

Bản quy định sử dụng AI một trang, điền tên công ty là dùng được: bảng dữ liệu đèn đỏ–vàng–xanh, bảng công cụ được duyệt, checklist 10 điểm cho nhân viên và dòng ký xác nhận.

• — Mẫu quy định 1 trang có sẵn chỗ trống, copy vào Google Docs là dùng
• — Bảng phân loại dữ liệu đèn đỏ–vàng–xanh với ví dụ theo phòng ban
• — Bảng công cụ AI được duyệt và mức dữ liệu tối đa cho từng công cụ
• — Checklist 10 điểm nhân viên tự kiểm trước khi dùng AI
• — Lộ trình ban hành trong 7 ngày và dòng ký xác nhận

Danh xưng

Danh xưng Anh Chị

Họ tên Email

Website

Tôi đồng ý nhận tài liệu và email. Xem Chính sách bảo mật. Nhận tài liệu ngay →

Miễn phí, huỷ đăng ký lúc nào cũng được.

Bảng phân loại dữ liệu đèn đỏ – vàng – xanh

Bảng đèn giao thông giúp nhân viên tự quyết định trong vài giây: đỏ là không bao giờ đưa vào AI công cộng, vàng là chỉ dùng công cụ được duyệt và phải bỏ thông tin định danh, xanh là dùng thoải mái. Đây là phần quan trọng nhất của cả quy định.

Mức	Quy tắc	Ví dụ dữ liệu
🔴 Đỏ	Không bao giờ đưa vào công cụ AI công cộng, kể cả khi “chỉ để tóm tắt”	Họ tên kèm số điện thoại, số CCCD, tài khoản ngân hàng của khách hoặc nhân viên; thông tin sức khoẻ; bảng lương; hợp đồng; báo giá chưa gửi; mã nguồn; mật khẩu, mã truy cập; kế hoạch chiến lược, tài liệu cổ đông
🟡 Vàng	Chỉ dùng công cụ công ty đã duyệt, sau khi bỏ tên và thông tin định danh	Số liệu kinh doanh nội bộ đã ẩn tên khách; quy trình nội bộ; phản hồi khách hàng đã ẩn danh; nháp email gửi khách (không có số liệu nhạy cảm)
🟢 Xanh	Dùng thoải mái với mọi công cụ được duyệt	Thông tin đã công khai trên website; bài đăng đã xuất bản; kiến thức chung; ý tưởng tiêu đề, dàn ý bài thuyết trình

Bối cảnh pháp lý ở Việt Nam

Dữ liệu cá nhân ở Việt Nam đã có khung pháp lý riêng. Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân được Chính phủ ban hành ngày 17/4/2023, có hiệu lực từ 1/7/2023, trong đó có nhóm dữ liệu cá nhân nhạy cảm như tình trạng sức khoẻ, quan điểm chính trị, tôn giáo. Tiếp đó, Luật Bảo vệ dữ liệu cá nhân (số 91/2025/QH15) có hiệu lực từ 1/1/2026. Theo VCCI, Nghị định 356/2025/NĐ-CP hướng dẫn Luật này đã thay thế Nghị định 13/2023.

Ý nghĩa thực tế với chủ doanh nghiệp: danh sách khách hàng, hồ sơ nhân viên không còn chỉ là “tài sản công ty”, mà là dữ liệu cá nhân có nghĩa vụ bảo vệ theo luật. Dán chúng vào một công cụ AI chưa kiểm soát là một rủi ro bạn nên chặn ngay từ quy định.

Công cụ được duyệt, người chịu trách nhiệm và minh bạch với khách hàng

Ba phần tiếp theo của quy định trả lời câu hỏi “dùng cái gì, ai chịu, nói gì với khách”. Mỗi phần chỉ cần 2–3 dòng.

Công cụ được duyệt

Chọn 1–2 công cụ cho cả công ty và cấp tài khoản công ty, thay vì để mỗi người tự dùng tài khoản cá nhân. Khi chọn, hãy đọc kỹ điều khoản của nhà cung cấp: dữ liệu nhập vào có được dùng để huấn luyện mô hình không, có tắt được không, dữ liệu lưu ở đâu. Các gói dành cho doanh nghiệp hoặc nhóm thường có tuỳ chọn này, nhưng hãy tự kiểm tra với từng nhà cung cấp.

Kèm theo một bảng ngắn: tên công cụ, loại tài khoản, mức dữ liệu tối đa được phép (xanh hay vàng), người quản lý tài khoản. Công cụ mới thì hỏi đầu mối trước khi dùng.

Người kiểm tra và chịu trách nhiệm

Nguyên tắc chỉ một câu: người gửi kết quả đi là người chịu trách nhiệm, như thể tự tay làm. “AI viết” không phải là lời giải thích khi báo giá sai số, khi email gửi khách có thông tin bịa, hay khi báo cáo trích một quy định không tồn tại.

Điều này khớp với cách tôi đã viết trong bài giao việc cho nhân viên và AI: mỗi đầu việc có AI tham gia vẫn cần đúng một người chủ trì và một bước kiểm tra.

Minh bạch với khách hàng

Không cần ghi “có AI hỗ trợ” trên mọi email. Nhưng với sản phẩm khách trả tiền để nhận chuyên môn của bạn (báo cáo tư vấn, phân tích, nội dung thiết kế), hãy quyết định trước: khi nào phải nói, nói thế nào. Quy tắc gợi ý: nếu khách sẽ thấy bị lừa khi biết AI làm phần lớn, thì nói trước.

Bản quyền và sở hữu trí tuệ

Nội dung AI tạo ra có thể giống nội dung đã có. Quy định nên yêu cầu: không dùng AI tạo hình ảnh mô phỏng người thật hay logo thương hiệu khác; kiểm tra lại trích dẫn, số liệu trước khi đăng; không dán tài liệu có bản quyền của bên thứ ba (sách, khoá học đã mua) để AI viết lại thành sản phẩm của công ty.

Cách triển khai quy định trong 7 ngày

Quy định chỉ có tác dụng khi được nói ra, giải thích và nhắc lại. Đây là lộ trình gọn cho công ty 10–100 người:

1. Ngày 1 — Hỏi trước, đừng đoán. Gửi một khảo sát ẩn danh 3 câu: bạn đang dùng công cụ AI nào, cho việc gì, đã từng đưa dữ liệu gì vào. Mục tiêu là nhìn thấy thực tế, không phải bắt lỗi.
2. Ngày 2 — Viết bản nháp một trang. Dùng 6 phần ở trên và bảng đèn đỏ–vàng–xanh. Đừng viết từ đầu: lấy mẫu có sẵn rồi sửa.
3. Ngày 3 — Chọn công cụ được duyệt. 1–2 công cụ, tài khoản công ty, đã kiểm tra điều khoản dữ liệu.
4. Ngày 4 — Rà với 2–3 người dùng AI nhiều nhất. Họ biết chỗ nào trong quy định không thực tế.
5. Ngày 5 — Công bố trong một buổi họp 20 phút. Giải thích lý do, đi qua bảng đèn bằng ví dụ thật của từng phòng ban. Nói rõ: mục tiêu là dùng AI an toàn hơn, không phải cấm.
6. Ngày 6 — Mỗi người ký xác nhận đã đọc. Một dòng xác nhận cuối trang là đủ.
7. Ngày 7 — Hẹn ngày rà lại. AI thay đổi nhanh; rà lại quy định mỗi quý hoặc khi có công cụ mới.

Nếu cần một khung tham khảo quốc tế để làm kỹ hơn, Khung quản lý rủi ro AI của NIST (AI RMF 1.0), công bố tháng 1/2023, dành cho việc áp dụng tự nguyện, xoay quanh bốn chức năng: Quản trị (Govern), Nhận diện (Map), Đo lường (Measure), Xử lý (Manage). Doanh nghiệp nhỏ không cần áp dụng toàn bộ, nhưng tinh thần “quản trị trước, công cụ sau” là đúng cho mọi quy mô.

Quy định AI chỉ là một mảnh trong bức tranh lớn hơn. Nếu bạn đang đưa AI vào nhiều khâu, hãy đọc bài trụ cột ứng dụng AI trong quản lý doanh nghiệp. Và quy định này nên được lưu cùng các quy trình khác như một phần của hệ thống hoá doanh nghiệp, chứ không nằm trong một tin nhắn nhóm rồi trôi mất.

Sai lầm thường gặp khi ban hành quy định sử dụng AI

• Viết quá dài. Mười trang quy định nghe chuyên nghiệp nhưng không ai đọc. Một trang, có bảng, có ví dụ.
• Cấm công cụ thay vì cấm dữ liệu. Cấm ChatGPT nhưng không nói gì về việc dán danh sách khách hàng vào một ứng dụng AI khác. Rủi ro nằm ở dữ liệu, không ở tên công cụ.
• Không có đầu mối hỏi đáp. Nhân viên gặp tình huống không chắc mà không biết hỏi ai sẽ tự đoán, thường là đoán theo hướng tiện nhất.
• Ban hành xong không nhắc lại. Quy định cần được nhắc trong buổi họp, trong onboarding nhân viên mới, và cập nhật khi có công cụ mới.
• Quản lý không làm gương. Sếp dán bảng lương vào AI để “làm cho nhanh” thì mọi quy định đều vô nghĩa.
• Phạt người tự khai. Khi khảo sát ban đầu, nếu ai thành thật nói đã từng đưa dữ liệu nhạy cảm vào AI mà bị phạt, lần sau sẽ không ai nói thật nữa.

Checklist cho nhân viên trước khi dùng AI

• Dữ liệu tôi sắp dán thuộc mức xanh hoặc vàng, không phải đỏ
• Nếu là mức vàng, tôi đã bỏ tên, số điện thoại, số tài khoản, thông tin định danh
• Tôi đang dùng công cụ và tài khoản công ty đã duyệt
• Tôi không nhập mật khẩu, mã truy cập hay mã nguồn
• Tôi sẽ đọc lại toàn bộ kết quả trước khi dùng
• Tôi đã kiểm tra số liệu, tên người, trích dẫn trong kết quả
• Tôi chịu trách nhiệm về nội dung gửi đi như tự tay làm
• Tôi biết khi nào cần nói với khách hàng có AI hỗ trợ
• Không chắc, tôi hỏi đầu mối trước khi dán

Hãy gắn quy định vào việc thường ngày. Ví dụ, khi lập kế hoạch tuần với AI, nhân viên có thể đưa danh sách việc vào AI (mức xanh hoặc vàng), nhưng không đưa tên khách hàng kèm doanh số (mức đỏ).

Tóm lại

• Nhân viên đã dùng AI, kể cả khi bạn chưa cho phép. Quy định là để nhìn thấy và hướng dẫn, không phải để cấm.
• Một trang, sáu phần: dữ liệu, công cụ, trách nhiệm, minh bạch với khách, bản quyền, đầu mối hỏi đáp.
• Bảng đèn đỏ–vàng–xanh là phần quan trọng nhất: cấm dữ liệu nhạy cảm, không cấm công cụ.
• Người gửi kết quả đi là người chịu trách nhiệm.
• Ở Việt Nam, dữ liệu cá nhân đã có luật riêng, có hiệu lực từ 1/1/2026; quy định nội bộ giúp bạn chặn rủi ro từ gốc.

Việc làm ngay hôm nay: Gửi cho đội một câu hỏi ẩn danh: “Bạn đang dùng công cụ AI nào cho công việc, và đã từng đưa loại dữ liệu nào vào?” Câu trả lời sẽ cho bạn biết quy định của mình cần chặt ở đâu.

Các bài khác về vận hành và hệ thống nằm trong chủ đề Quản trị doanh nghiệp.