Hãy thử tưởng tượng, nhân viên kinh doanh sao chép danh sách khách hàng vào AI để soạn thư điện tử. Bộ phận nhân sự tải hồ sơ ứng viên lên để lọc. Lập trình viên đưa mã nguồn vào AI để tìm lỗi. Những thao tác chỉ mất vài giây, nhưng cũng có thể khiến dữ liệu rời khỏi phạm vi kiểm soát ban đầu.
Cyberhaven 2026 ghi nhận 39,7% lượt đưa dữ liệu vào công cụ AI có liên quan thông tin nhạy cảm; 32,3% lượt sử dụng ChatGPT trong mẫu nghiên cứu diễn ra qua tài khoản cá nhân. IBM 2025 cũng cho biết 63% tổ chức được khảo sát chưa có chính sách quản trị AI đầy đủ.
Vấn đề vì thế không còn là “có nên dùng AI hay không”, mà là dữ liệu nào được phép đưa vào, công cụ nào được dùng và doanh nghiệp còn kiểm soát được dữ liệu đến đâu. Bài viết phân tích 7 tình huống lộ dữ liệu khi dùng AI thường gặp và cách giảm rủi ro.
Tóm tắt nhanh
- Lộ dữ liệu khi dùng AI thường bắt đầu từ thao tác của người dùng, không nhất thiết từ một cuộc tấn công.
- Câu lệnh, tệp tải lên, tài khoản cá nhân và quyền kết nối đều có thể làm dữ liệu rời phạm vi quản trị.
- Không phải mọi lần đưa tài liệu vào AI đều là một vụ vi phạm dữ liệu.
- Doanh nghiệp nên phân loại dữ liệu, phê duyệt công cụ AI và quản lý quyền truy cập.
- F-DDH BOX là giải pháp góp phần giảm thiểu lộ dữ liệu bằng cách giám sát và ngăn chặn kết nối bất thường từ mạng nội bộ đến máy chủ điều khiển của hacker.
Hiểu đúng về lộ dữ liệu khi dùng AI trước khi đánh giá rủi ro
Nói đến lộ dữ liệu khi dùng AI, câu hỏi đầu tiên không phải “AI có nguy hiểm không?”, mà là doanh nghiệp có còn kiểm soát được dữ liệu sau khi nhân viên đưa dữ liệu vào công cụ hay không.
Ví dụ, nhân viên dùng tài khoản AI cá nhân để tóm tắt hợp đồng nội bộ. Chưa thể kết luận dữ liệu đã bị đánh cắp. Tuy nhiên, tài liệu đã được đưa sang một dịch vụ ngoài hệ thống bằng tài khoản mà bộ phận Công nghệ thông tin (CNTT) có thể không quản lý.
Trước khi kết luận có lộ dữ liệu hay không, doanh nghiệp nên trả lời bốn câu hỏi:
1. Dữ liệu gì đã được đưa vào?
2. Công cụ nào xử lý?
3. Tài khoản nào được dung?
4. Dữ liệu có thể được lưu hoặc chia sẻ tiếp ở đâu?
Xem thêm: Rò rỉ dữ liệu và vi phạm dữ liệu khác nhau thế nào?
Để lộ dữ liệu khi dùng AI có thể phát sinh rủi ro pháp lý nào?
Rủi ro khi dùng AI không chỉ nằm ở việc dữ liệu rời khỏi phạm vi kiểm soát của doanh nghiệp. Nếu thông tin bị đưa vào công cụ AI có chứa dữ liệu cá nhân hoặc thuộc nhóm dữ liệu được pháp luật bảo vệ, doanh nghiệp còn có thể phải xem xét các nghĩa vụ liên quan đến mục đích xử lý, phạm vi sử dụng, quyền truy cập và biện pháp bảo vệ dữ liệu.
Điều này càng đáng lưu ý khi Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã có hiệu lực từ ngày 01/01/2026, trong khi Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ ngày 01/03/2026. Việc nhân viên tự đưa thông tin khách hàng, hồ sơ nhân sự hoặc tài liệu nội bộ vào một công cụ AI vì vậy không nên chỉ được nhìn như một thao tác công nghệ thông thường.
Trên thực tế, rủi ro thường không bắt đầu từ một sự cố lớn, mà từ những thao tác rất quen thuộc như sao chép dữ liệu khách hàng vào câu lệnh, tải nguyên tài liệu lên AI, dùng tài khoản cá nhân hoặc cấp quyền truy cập quá rộng. 7 tình huống dưới đây là những điểm doanh nghiệp thường gặp nhất và cũng là nơi cần ưu tiên kiểm soát để hạn chế lộ dữ liệu khi sử dụng AI.
7 tình huống lộ dữ liệu khi dùng AI doanh nghiệp thường gặp phải
Bảy tình huống dưới đây đi theo hành trình dữ liệu trong công việc: từ lúc người dùng nhập thông tin vào AI đến khi kết quả được chia sẻ hoặc lưu lại.
1. Sao chép dữ liệu khách hang và dán trực tiếp vào câu lệnh AI
Nhân viên kinh doanh có thể nhờ AI phân nhóm khách hàng hoặc viết thư. Khi người dùng sao chép họ tên, thư điện tử, số điện thoại hay lịch sử mua hàng vào ô nhập liệu, nguy cơ lộ dữ liệu xuất hiện ngay ở câu lệnh, không cần tải tệp lên.
Đề xuất cách kiểm soát: Doanh nghiệp nên quy định dữ liệu nào được phép nhập trực tiếp, trường hợp nào phải ẩn thông tin nhận diện và công cụ nào đã được phê duyệt. Chỉ nên đưa vào lượng dữ liệu tối thiểu cần cho công việc.
2. Tải nguyên hợp đồng, hồ sơ ứng viên hoặc báo cáo nội bộ lên AI
Một tệp thường chứa nhiều thông tin hơn phần người dùng muốn hỏi. Hợp đồng có thể có giá và chữ ký; hồ sơ ứng viên có thông tin cá nhân; báo cáo có số liệu chưa công bố. Lộ dữ liệu vì thế có thể đến từ chính những trường thông tin người dùng bỏ sót.
Đề xuất cách kiểm soát: Trước khi tải lên AI, nên kiểm tra toàn bộ tệp, loại bỏ dữ liệu không cần thiết và xác định tài liệu có thuộc nhóm được phép xử lý bằng AI hay không.
3. Dùng tài khoản AI cá nhân hoặc công cụ chưa được phê duyệt
Đây là tình huống AI ngoài kiểm soát: nhân viên tự đăng ký công cụ hoặc dùng tài khoản cá nhân cho công việc. Khi đó, bộ phận CNTT có thể không biết công cụ nào đang được sử dụng, dữ liệu nào đã được gửi và chính sách lưu giữ nào đang áp dụng.
Đề xuất cách kiểm soát: Để giảm lộ dữ liệu, doanh nghiệp nên công bố danh sách công cụ được phép, yêu cầu dùng tài khoản doanh nghiệp khi phù hợp và rà soát định kỳ những công cụ phát sinh ngoài quy trình.
4. Đưa mã nguồn, khóa truy cập hoặc cấu hình hệ thống vào AI
Lập trình viên dùng AI để tìm lỗi hoặc viết mã kiểm thử. Nhưng đoạn mã được sao chép nguyên có thể kèm địa chỉ hệ thống nội bộ, khóa API (khóa truy cập), cấu trúc cơ sở dữ liệu hoặc logic sản phẩm. Lộ dữ liệu lúc này có thể ảnh hưởng cả bí mật kỹ thuật.
Đề xuất cách kiểm soát: Doanh nghiệp nên tách khóa truy cập khỏi mã nguồn, dùng công cụ rà soát thông tin bí mật trong mã và quy định kho mã nào được phép dùng AI.
5. Cấp cho AI quyền truy cập quá rộng vào thư điện tử, kho tài liệu hoặc hệ thống nghiệp vụ
Nhiều công cụ AI có thể kết nối thư điện tử, kho tài liệu hoặc hệ thống quản lý khách hàng để tự lấy dữ liệu. Nếu tài khoản được cấp quyền quá rộng, nguy cơ lộ dữ liệu mở rộng từ một tệp sang nhiều nguồn.
Đề xuất cách kiểm soát: Doanh nghiệp nên chỉ cấp quyền vừa đủ cho nhiệm vụ và thường xuyên rà soát nguồn dữ liệu đang kết nối, quyền đọc hoặc ghi cùng các nhóm thông tin nhạy cảm.
6. Dùng AI để ghi âm, tạo biên bản hoặc tóm tắt cuộc họp nhạy cảm
Công cụ AI có thể ghi âm, chuyển giọng nói thành văn bản và tạo biên bản. Nhưng cuộc họp có thể chứa thông tin nhân sự, giá, khách hàng hoặc kế hoạch chưa công bố. Lộ dữ liệu dễ xảy ra nếu bản ghi được lưu hoặc chia sẻ ngoài dự kiến.
Đề xuất cách kiểm soát: Doanh nghiệp nên quy định cuộc họp nào được dùng AI, ai được truy cập bản ghi và thời gian lưu giữ. Nội dung nhạy cảm cần được cân nhắc trước khi bật ghi tự động.
7. Chia sẻ kết quả AI, ảnh chụp màn hình hoặc lịch sử hội thoại
Lộ dữ liệu không kết thúc khi AI trả lời. Nhân viên có thể gửi đường dẫn hội thoại, ảnh chụp màn hình hoặc sao chép kết quả sang thư điện tử và nhóm chat. Kết quả AI cũng có thể lặp lại dữ liệu đầu vào.
Đề xuất cách kiểm soát: Trước khi chuyển tiếp, người dùng cần kiểm tra và loại bỏ thông tin không cần thiết. Hồ sơ chính thức nên được đưa về nơi lưu trữ dữ liệu an toàn, thay vì nằm lại trong lịch sử hội thoại AI.
Doanh nghiệp cần làm gì để giảm nguy cơ lộ dữ liệu khi dùng AI?
1. Phân loại dữ liệu trước khi quy định cách dùng AI
Khi biết dữ liệu nào là công khai, nội bộ, mật hoặc nhạy cảm, nhân viên mới biết thông tin nào được đưa vào AI, thông tin nào phải ẩn bớt và trường hợp nào cần xin phê duyệt.
2. Phê duyệt công cụ và tài khoản dùng cho công việc
Danh sách công cụ nên nêu rõ mục đích, loại tài khoản và nhóm dữ liệu được phép xử lý. Quy định rõ giúp giảm việc nhân viên tự chọn công cụ ngoài kiểm soát.
3. Rà soát quyền truy cập và công cụ AI ngoài kiểm soát
Bộ phận CNTT nên định kỳ kiểm tra công cụ AI đang được dùng, tài khoản cá nhân và các kết nối dữ liệu đã cấp quyền. Với công cụ truy cập nhiều hệ thống, cần ưu tiên quyền tối thiểu.
4. Dùng đúng công cụ bảo mật cho đúng rủi ro
Phần mềm bảo mật dữ liệu máy tính có thể gồm nhiều nhóm: công cụ bảo vệ thiết bị giúp phát hiện mã độc; giải pháp ngăn thất thoát dữ liệu (DLP) kiểm soát nội dung và hành vi chia sẻ; hệ thống quản lý định danh kiểm soát quyền. Không có một công cụ đơn lẻ có thể ngăn chặn toàn bộ rủi ro lộ dữ liệu.
Xem thêm: Bảo vệ dữ liệu doanh nghiệp: 7 lớp bảo mật cần có năm 2026
5. Quy định nơi lưu hồ sơ chính thức sau khi AI xử lý
AI nên là công cụ hỗ trợ xử lý, không mặc định là kho hồ sơ. Doanh nghiệp cần xác định nơi lưu trữ dữ liệu an toàn cho tệp gốc, biên bản và kết quả cuối cùng, cùng quyền truy cập và thời hạn lưu.
F-DDH BOX nằm ở đâu trong bài toán giảm thiểu lộ dữ liệu?
Bảy tình huống trên cho thấy nguy cơ lộ dữ liệu khi dùng AI chủ yếu xuất phát từ cách người dùng nhập dữ liệu, sử dụng tài khoản hoặc cấp quyền cho công cụ. Vì vậy, lớp kiểm soát đầu tiên vẫn phải là chính sách sử dụng AI và quy định bảo vệ dữ liệu chung giúp phân loại dữ liệu và quản lý quyền truy cập.
Tuy nhiên, một khoảng trống khác vẫn có thể tồn tại: thiết bị trong mạng đã bị mã độc xâm nhập và âm thầm kết nối ra Internet để nhận lệnh từ hacker. Đây không còn là rủi ro từ cách nhân viên sử dụng AI, mà là rủi ro dữ liệu bị đưa ra ngoài sau khi các lớp bảo vệ phía trước đã bị vượt qua.
F-DDH BOX là lời giải cho bài toán bảo mật này. Giải pháp giúp giám sát liên tục các kết nối từ mạng nội bộ ra Internet, đối chiếu đích đến với danh sách máy chủ điều khiển của hacker (C2) đã được nhận diện, từ đó cảnh báo tức thời và ngăn chặn kết nối nguy hiểm, giảm thiểu rủi ro lộ dữ liệu cho doanh nghiệp.
Có thể hình dung các lớp kiểm soát như sau:
| Tình huống | Lớp kiểm soát phù hợp |
| Nhân viên nhập hoặc tải dữ liệu lên AI | Chính sách sử dụng AI, phân loại dữ liệu, DLP nếu phù hợp |
| Dùng công cụ hoặc tài khoản ngoài kiểm soát | Quản trị công cụ, tài khoản và quyền truy cập |
| AI được cấp quyền quá rộng | Quản lý định danh, phân quyền tối thiểu |
| Thiết bị nhiễm mã độc và cố kết nối tới máy chủ điều khiển của hacker. | Giám sát và ngăn chặn kết nối đầu ra bất thường với F-DDH BOX |
Tìm hiểu thêm: F-DDH BOX – giải pháp ngăn rò rỉ dữ liệu đầu ra
Kết luận
AI có thể tạo thêm nhiều điểm mà dữ liệu có thể rời khỏi phạm vi quản trị. Điều doanh nghiệp cần kiểm soát không chỉ là “có dùng AI hay không”, mà là dữ liệu nào được đưa vào, công cụ nào được phép, quyền truy cập tới đâu và kết quả được lưu ở đâu.
Muốn giảm thiểu việc lộ dữ liệu, doanh nghiệp nên bắt đầu từ quy định dễ hiểu, sau đó bổ sung các lớp bảo mật phù hợp. Với khoảng trống ở kết nối đi ra Internet, F-DDH BOX là giải pháp đáng để doanh nghiệp cân nhắc.
Câu hỏi thường gặp
Dùng ChatGPT có làm lộ dữ liệu doanh nghiệp không?
Không thể kết luận chỉ từ việc sử dụng ChatGPT. Rủi ro phụ thuộc dữ liệu được gửi, loại tài khoản, cấu hình và chính sách của dịch vụ.
Những dữ liệu nào cần kiểm soát chặt khi dùng AI?
Thông tin khách hàng, hồ sơ nhân sự, hợp đồng, tài chính, mã nguồn và khóa truy cập thường cần mức kiểm soát cao hơn.
Tài khoản AI doanh nghiệp có an toàn tuyệt đối không?
Không. Tài khoản doanh nghiệp hỗ trợ quản trị tốt hơn, nhưng vẫn cần phân quyền, cấu hình và chính sách dữ liệu phù hợp.
F-DDH BOX có chặn nhân viên đưa dữ liệu vào AI không?
Không. F-DDH BOX không kiểm soát câu lệnh hoặc tệp người dùng tải lên AI. Giải pháp tập trung vào giám sát kết nối đi ra Internet, nhận diện và ngăn chặn kết nối bất thường tới máy chủ độc hại của hacker.
