Trả lời nhanh: dùng AI không tự động là không an toàn, nhưng dán dữ liệu khách vào AI thì có rủi ro thật. Với ChatGPT và Claude, theo điều khoản người dùng của họ, nội dung bạn nhập mặc định có thể được dùng để huấn luyện mô hình trừ khi bạn tắt trong cài đặt; với Gemini, chế độ Keep Activity off sẽ loại hội thoại mới khỏi việc huấn luyện. Đặt cạnh Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 1/1/2026), việc dán danh sách số điện thoại, hồ sơ bệnh án hay ảnh khách vào công cụ AI là rủi ro bạn nên tránh.
Bài viết tổng hợp thông tin để tham khảo, không thay thế tư vấn pháp lý. Hãy đối chiếu văn bản gốc và chính sách hiện hành của từng công cụ trước khi áp dụng.
Chủ shop thường chỉ hỏi "AI có lấy dữ liệu của tôi không" khi đã lỡ dán dữ liệu khách vào rồi. Bài này trả lời câu hỏi đó trước, rồi liệt kê năm việc bạn không nên đưa vào AI, và cách vẫn dùng AI hằng ngày mà không vi phạm.
Các công cụ AI dùng dữ liệu bạn nhập thế nào?
Không có câu trả lời chung cho mọi công cụ. Mỗi nhà cung cấp có mặc định khác nhau, và điều khoản có thể thay đổi theo thời gian.
| Công cụ | Mặc định dùng để huấn luyện? | Cách tắt |
|---|---|---|
| ChatGPT (bản miễn phí) | Có thể dùng hội thoại để cải thiện mô hình | Tắt trong phần cài đặt dữ liệu của tài khoản |
| Claude (tài khoản cá nhân) | Theo điều khoản người dùng, nội dung có thể dùng để huấn luyện trừ khi bạn tắt | Tắt trong cài đặt tài khoản |
| Claude (Team, Enterprise, API) | Mặc định không dùng để huấn luyện | Không cần làm gì |
| Gemini | Tùy chế độ Activity; Keep Activity off thì hội thoại mới không dùng để huấn luyện | Tắt Keep Activity hoặc dùng chat tạm thời |
| Gemini API gói trả phí | Nội dung không dùng để cải thiện sản phẩm | Chọn gói trả phí |
Hai điểm quan trọng rút ra từ bảng này. Một là gói dùng cho công việc (doanh nghiệp, API trả phí) thường an toàn hơn gói cá nhân miễn phí — đây là lý do nhiều doanh nghiệp không cho nhân viên dùng tài khoản AI cá nhân để xử lý dữ liệu khách. Hai là ngay cả khi bạn tắt huấn luyện, dữ liệu vẫn có thể bị người kiểm duyệt xem lại trong một số trường hợp vì mục đích an toàn, nên nguyên tắc an toàn nhất vẫn là: đừng nhập thứ bạn không muốn người ngoài nhìn thấy.
Với Gemini, Google nói rõ dữ liệu có thể được xem bởi người kiểm duyệt để đánh giá chất lượng, và cảnh báo người dùng không nhập thông tin mật. Với Claude, điều khoản người dùng nêu hai trường hợp vẫn dùng nội dung kể cả khi bạn đã tắt huấn luyện: khi bạn gửi đánh giá phản hồi, và khi nội dung bị gắn cờ để kiểm tra an toàn.
Nếu bạn muốn đối chiếu chính sách gốc, đường dẫn tới trang chính sách của từng công cụ nằm ở mục Nguồn tham khảo cuối bài. Ngày truy cập các trang này là 11/10/2026.
5 việc không nên đưa vào công cụ AI
- Danh sách khách hàng dạng file. Dán cả file Excel gồm tên, số điện thoại, địa chỉ vào AI để nhờ phân loại hoặc viết tin nhắn. Đây là dữ liệu cá nhân của hàng trăm người trong một lần.
- Số điện thoại, số CCCD, số tài khoản. Kể cả vài số lẻ cũng là dữ liệu định danh. Không cần dán số thật để AI viết mẫu tin nhắn — dùng số giả như 0900 000 000.
- Hồ sơ sức khỏe, ảnh trước sau của khách. Với spa, phòng khám, ảnh khuôn mặt và tình trạng da là dữ liệu nhạy cảm. Không đưa lên bất kỳ công cụ AI công khai nào.
- Dữ liệu lương, hợp đồng, hồ sơ nhân viên. Thông tin lương và CCCD nhân viên thuộc nhóm nhạy cảm; hãy xử lý trong phần mềm nội bộ, không qua chatbot công cộng.
- Ảnh chụp màn hình có thông tin khách. Rất nhiều người dán ảnh chụp màn hình đơn hàng, tin nhắn, sao kê mà quên rằng trong đó có tên và số điện thoại khách.
Nguyên tắc chung: nếu bạn không muốn thông tin đó xuất hiện trên một trang web công khai thì đừng đưa vào AI công cộng. Trước khi dán bất cứ thứ gì, hãy tự hỏi thông tin này có phải của người khác không.
Luật Bảo vệ dữ liệu cá nhân nói gì?
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 1/1/2026, áp dụng cho cả doanh nghiệp, hộ kinh doanh và cá nhân xử lý dữ liệu của người khác. Nghĩa là khi bạn nhập dữ liệu khách vào một công cụ AI, bạn đang là bên xử lý dữ liệu và phải chịu trách nhiệm.
Vài điểm liên quan trực tiếp tới việc dùng AI:
- Phải có sự đồng ý rõ ràng trước khi xử lý dữ liệu cá nhân. Im lặng hoặc tiếp tục dùng website không được coi là đồng ý.
- Chỉ thu thập và dùng dữ liệu cho đúng mục đích đã thông báo. Dùng dữ liệu khách để "thử AI" là sai mục đích.
- Cấm mua bán dữ liệu cá nhân trái phép, mức phạt có thể tới 10 lần khoản thu từ hành vi vi phạm.
- Chuyển dữ liệu ra nước ngoài trái quy định có thể bị phạt tới 5% doanh thu năm trước với tổ chức. Nhiều công cụ AI xử lý dữ liệu ở máy chủ nước ngoài, đây là điểm cần lưu ý.
- Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn trừ một số nghĩa vụ, nhưng miễn trừ mất hiệu lực nếu xử lý dữ liệu nhạy cảm như sức khỏe, sinh trắc học.
Nói cách khác, rủi ro không chỉ là "AI lấy dữ liệu của tôi" mà là bạn vi phạm nghĩa vụ bảo vệ dữ liệu của người khác. Bài luật bảo vệ dữ liệu cá nhân và website đi sâu vào phần website và shop online cần làm. Bạn cũng nên có mẫu chính sách bảo mật, đổi trả cho website để nói rõ với khách dữ liệu của họ được dùng thế nào.
Cách dùng AI an toàn trong công việc hằng ngày
- Ẩn danh trước khi dán. Thay tên, số điện thoại, địa chỉ thật bằng ký hiệu như "Khách A", "0900 000 000".
- Chỉ dán đúng phần cần thiết. Cần viết tin nhắn thì chỉ dán nội dung cần viết, không dán cả bảng khách.
- Tắt huấn luyện trong cài đặt của từng tài khoản AI cá nhân, và kiểm tra lại định kỳ vì mặc định có thể thay đổi.
- Dùng tài khoản công việc cho dữ liệu công việc. Ưu tiên gói doanh nghiệp hoặc API trả phí khi xử lý dữ liệu khách.
- Không đưa dữ liệu nhạy cảm vào AI công cộng: sức khỏe, sinh trắc học, tài chính chi tiết.
- Ghi lại mục đích sử dụng khi xin đồng ý của khách, để việc dùng AI không nằm ngoài phạm vi đã thông báo.
- Chọn công cụ có chính sách rõ ràng, có cam kết không dùng dữ liệu để huấn luyện nếu bạn trả phí.
Ba hiểu lầm hay gặp
"Tôi trả phí nên chắc chắn an toàn." Trả phí giúp ích vì nhiều gói trả phí mặc định không dùng dữ liệu để huấn luyện, nhưng vẫn có ngoại lệ (phản hồi, kiểm tra an toàn). Trả phí giảm rủi ro, không xóa hết.
"Tôi xóa hội thoại là xong." Xóa hội thoại không đồng nghĩa xóa mọi bản ghi. Một số dữ liệu có thể được lưu thêm để vận hành và an toàn, với thời hạn khác nhau.
"AI không đọc nội dung của tôi." Một phần dữ liệu có thể được người kiểm duyệt xem lại. Hãy coi như mọi thứ bạn nhập đều có thể bị đọc.
Ví dụ: xử lý dữ liệu khách trong hệ thống thay vì dán vào AI
Một phòng khám cần soạn tin nhắn nhắc lịch cho hàng trăm khách. Cách làm an toàn là để phần mềm tự sinh tin nhắn từ dữ liệu lịch hẹn, thay vì sao chép danh sách khách ra ngoài rồi dán vào một chatbot công cộng.
DCA xây website V-Medical, phòng khám da liễu theo dạng CMS khối, nơi nội dung và form đặt lịch nằm trên hệ thống có kiểm soát. Cách làm này giữ dữ liệu khách trong hệ thống của bạn, có phân quyền, thay vì trôi qua nhiều công cụ bên ngoài. Nếu shop của bạn thu số điện thoại và Zalo của khách, hãy đọc thêm bài thu số điện thoại khách hàng cần xin đồng ý thế nào.
Khi nào dùng AI là an toàn, khi nào nên tránh?
An toàn: viết mô tả sản phẩm, soạn mẫu tin nhắn không có thông tin thật, dịch, tóm tắt tài liệu công khai, gợi ý ý tưởng nội dung. Những việc này không cần dữ liệu cá nhân.
Nên tránh hoặc xử lý đặc biệt: phân loại danh sách khách, viết tin nhắn cá nhân hóa cho từng người từ dữ liệu thật, xử lý hồ sơ sức khỏe, phân tích dữ liệu lương. Nếu buộc phải làm, hãy dùng công cụ có cam kết bảo mật và ẩn danh dữ liệu trước.
Nguyên tắc dễ nhớ nhất: AI là công cụ, còn trách nhiệm bảo vệ dữ liệu khách là của bạn. DCA làm phần mềm theo yêu cầu, hệ thống CRM và tư vấn chuyển đổi số tại TP.HCM; nếu bạn muốn giữ dữ liệu khách trong hệ thống có kiểm soát thay vì rải ra công cụ ngoài, có thể xem các dịch vụ của DCA.
Câu hỏi thường gặp
Theo điều khoản của nhà cung cấp, bản miễn phí mặc định có thể dùng hội thoại để cải thiện mô hình, và bạn có thể tắt trong cài đặt. Ngay cả khi tắt, một số trường hợp như phản hồi hoặc kiểm tra an toàn vẫn có thể dùng nội dung.
Chưa đủ. Tắt huấn luyện giảm rủi ro, nhưng dữ liệu vẫn có thể bị người kiểm duyệt xem lại và vẫn được lưu trong thời gian vận hành. Cách chắc chắn nhất là ẩn danh hoặc không nhập dữ liệu nhạy cảm.
Không, nếu bạn dùng đúng mục đích đã thông báo với khách, có sự đồng ý, và không đưa dữ liệu nhạy cảm ra công cụ công cộng. Vi phạm xảy ra khi bạn xử lý dữ liệu khách ngoài phạm vi được phép.
Đây là việc nên tránh. Bạn không cần số thật để AI viết mẫu tin nhắn — hãy thay bằng số giả. Nếu vẫn phải dùng dữ liệu thật, hãy dùng công cụ có cam kết bảo mật và ẩn danh trước.
Nhiều công cụ AI xử lý dữ liệu trên máy chủ nước ngoài, nên việc đưa dữ liệu cá nhân của khách vào đó có thể liên quan tới quy định chuyển dữ liệu xuyên biên giới. Hãy hỏi nhà cung cấp về vị trí lưu trữ và đối chiếu quy định hiện hành.
Nguồn tham khảo
- Google: Gemini Apps — cách dữ liệu được dùng và cách tắt
- Anthropic: Điều khoản sử dụng dành cho người dùng cá nhân
- Anthropic: Dữ liệu của sản phẩm thương mại có dùng để huấn luyện không
- Google: Bảng giá Gemini API (gói trả phí không dùng nội dung để cải thiện sản phẩm)
- VnEconomy: Những điểm mới trong Luật Bảo vệ dữ liệu cá nhân từ 1/1/2026
- LSVN: Mua bán dữ liệu cá nhân trái phép có thể bị phạt tới 10 lần doanh thu
Thông tin cập nhật đến tháng 10/2026.
