Phân loại dữ liệu trước khi đưa vào AI là chia mọi thông tin của công ty thành vài mức — thường là bốn: Công khai, Nội bộ, Mật, Nhạy cảm — rồi quy định mỗi mức được đưa vào loại công cụ AI nào. Dữ liệu Công khai dùng được với hầu hết công cụ; Nội bộ chỉ vào công cụ công ty đã duyệt bằng tài khoản công ty; Mật chỉ sau khi che hoặc trong môi trường được phê duyệt riêng; Nhạy cảm (dữ liệu cá nhân nhạy cảm, bí mật lớn) mặc định không đưa vào.
Bài này đưa ra định nghĩa từng mức bằng ví dụ thật của doanh nghiệp nhỏ, bảng tra theo phòng ban, cách che dữ liệu để hạ mức, và những trường hợp hay phân loại sai. Phần kỹ thuật bảo vệ hệ thống (mã hoá, phân quyền, sao lưu) thuộc phạm vi AI Bảo Mật; ở đây bàn quy tắc người làm việc cần nhớ.
Vì sao quy chế AI vô nghĩa nếu thiếu bảng phân loại dữ liệu
Gần như mọi quy chế AI đều có một câu kiểu "không đưa dữ liệu mật vào công cụ AI". Vấn đề là "mật" không có nghĩa chung. Với kế toán, giá vốn là mật; với nhân viên bán hàng, giá vốn là thứ họ cần biết để đàm phán. Với người làm nhân sự, ngày sinh của nhân viên là dữ liệu cá nhân; với người tổ chức tiệc sinh nhật, đó chỉ là ngày cần nhớ.
Bảng phân loại dữ liệu biến câu nguyên tắc thành phép tra: người làm việc nhìn vào thông tin trước mặt, xác định nó thuộc mức nào, và biết ngay được làm gì với nó. Không còn phải đoán, không còn phải hỏi sếp cho từng tệp.
Lợi ích thứ hai ít được nhắc: phân loại giúp công ty biết mình có những loại dữ liệu nào, nằm ở đâu, ai giữ. Nhiều doanh nghiệp nhỏ lần đầu làm bảng này mới phát hiện danh sách khách hàng có số căn cước đang nằm trong một bảng tính chia sẻ cho cả công ty. Đây là việc nên làm dù có dùng AI hay không, nhưng AI làm nó trở nên cấp bách hơn vì một thao tác dán là dữ liệu đã rời khỏi công ty.
Bốn mức dữ liệu và quy tắc đưa vào AI
Bốn mức dưới đây là cách chia phổ biến, đủ đơn giản để nhân viên nhớ. Công ty có thể gộp còn ba mức nếu quy mô nhỏ:
| Mức | Định nghĩa ngắn | Ví dụ | Quy tắc với AI |
|---|---|---|---|
| Công khai | Đã hoặc sẽ công bố ra ngoài, lộ không gây hại | Nội dung website, catalogue đã phát hành, thông cáo báo chí, quy định pháp luật | Dùng với mọi công cụ, kể cả bản miễn phí |
| Nội bộ | Chỉ dùng trong công ty, lộ gây bất tiện nhưng không thiệt hại lớn | Quy trình làm việc, biên bản họp thường kỳ, lịch công tác, tài liệu đào tạo | Chỉ công cụ trong danh mục được duyệt, tài khoản công ty |
| Mật | Lộ gây thiệt hại tài chính, pháp lý hoặc uy tín | Giá vốn, hợp đồng, báo giá có tên khách, kế hoạch kinh doanh, số liệu tài chính chưa công bố | Che thông tin định danh trước, hoặc chỉ dùng công cụ được phê duyệt riêng cho mức Mật |
| Nhạy cảm | Lộ gây hại nghiêm trọng cho người hoặc công ty, có nghĩa vụ pháp lý đặc biệt | Dữ liệu sức khoẻ, tài khoản ngân hàng, số căn cước, bảng lương cá nhân, mật khẩu, mã nguồn lõi | Mặc định không đưa vào; ngoại lệ phải có phê duyệt bằng văn bản |
Quy tắc ở cột cuối là gợi ý. Công ty có hợp đồng doanh nghiệp với nhà cung cấp AI, trong đó cam kết không dùng dữ liệu để huấn luyện và có thoả thuận xử lý dữ liệu, có thể nới mức Mật; công ty chỉ dùng bản miễn phí nên giữ chặt.
Bảng tra theo phòng ban — ví dụ giả định
Nhân viên nhớ ví dụ tốt hơn định nghĩa. Mỗi phòng nên có vài dòng ví dụ riêng; bảng dưới minh hoạ cho một doanh nghiệp dịch vụ khoảng 80 người:
| Phòng | Nội bộ | Mật | Nhạy cảm |
|---|---|---|---|
| Kinh doanh | Kịch bản chào hàng, tài liệu sản phẩm nội bộ | Danh sách khách tiềm năng có tên, số điện thoại; báo giá | Thông tin tài khoản ngân hàng của khách |
| Kế toán | Quy trình đối soát, mẫu biểu | Sổ sách, công nợ theo khách, số liệu quý chưa công bố | Bảng lương chi tiết, thông tin thuế cá nhân |
| Nhân sự | Nội quy, lịch đào tạo | Kết quả đánh giá năng lực, hồ sơ ứng viên | Hồ sơ sức khoẻ, số căn cước, tình trạng hôn nhân, kỷ luật |
| Chăm sóc khách hàng | Câu trả lời mẫu, quy trình xử lý khiếu nại | Lịch sử khiếu nại có tên khách | Ghi âm cuộc gọi có thông tin cá nhân |
| Ban giám đốc | Thông báo nội bộ | Kế hoạch năm, chiến lược giá | Thương vụ chưa công bố, tranh chấp pháp lý |
Khi gặp dữ liệu nằm giữa hai mức, quy tắc an toàn là xếp vào mức cao hơn cho đến khi người phụ trách trả lời.
Che dữ liệu để hạ mức: làm thế nào cho đúng
Phần lớn việc hữu ích với AI không cần thông tin định danh. Muốn AI viết lại một email khiếu nại, AI không cần biết tên khách hay số đơn hàng. Che đúng cách có thể hạ một tài liệu từ mức Mật xuống Nội bộ:
- Thay tên người và tổ chức bằng mã. "Khách hàng A", "Nhà cung cấp B", "Nhân viên 01". Giữ một bảng đối chiếu trên máy mình, không dán bảng đó vào AI.
- Xoá hoặc làm tròn số định danh. Số điện thoại, số tài khoản, số căn cước, mã số thuế: xoá hẳn. Số tiền hợp đồng: làm tròn hoặc thay bằng tỷ lệ nếu việc chỉ cần phân tích xu hướng.
- Bỏ chi tiết có thể suy ngược. "Giám đốc chi nhánh Đà Nẵng của một chuỗi nhà thuốc" có thể đủ để nhận ra một người cụ thể dù không có tên. Bỏ bớt bối cảnh không cần cho việc.
- Kiểm tệp đính kèm và siêu dữ liệu. Tệp văn bản có thể chứa tên tác giả, lịch sử chỉnh sửa, ghi chú ẩn; bảng tính có thể có trang tính ẩn. Xuất ra bản sạch trước khi tải lên.
- Đọc lại một lượt trước khi dán. Mất mười giây, chặn được phần lớn sự cố. Đây là thói quen nên luyện thành phản xạ — phần kỹ năng cốt lõi của Vietnam AI Center có bài luyện riêng.
Lưu ý: che dữ liệu giảm rủi ro chứ không xoá hết rủi ro. Dữ liệu Nhạy cảm như hồ sơ sức khoẻ, dù đã che tên, vẫn nên giữ quy tắc chặt vì khả năng suy ngược cao trong một cộng đồng nhỏ.
Những trường hợp hay phân loại sai
Ảnh chụp màn hình. Người ta cẩn thận với tệp nhưng quên rằng một ảnh chụp màn hình phần mềm quản lý khách hàng để hỏi AI "lỗi này là gì" chứa đầy tên và số điện thoại ở góc ảnh.
Ghi âm và bản ghi cuộc họp. Tính năng ghi âm tự tóm tắt rất tiện, nhưng cuộc họp với khách hoặc họp nhân sự có thể chứa dữ liệu Mật và Nhạy cảm. Cần quy tắc riêng: họp loại nào được bật, phải báo người dự họp.
Dữ liệu "đã công khai" trên mạng xã hội. Thông tin khách tự đăng công khai vẫn là dữ liệu cá nhân. Gom chúng lại để AI phân tích hồ sơ từng người là xử lý dữ liệu cá nhân, có nghĩa vụ pháp lý.
Tài liệu của khách hàng. Bản vẽ, đề bài, số liệu khách gửi cho công ty để làm dịch vụ thường có điều khoản bảo mật trong hợp đồng. Mức của chúng do hợp đồng quyết định, không do công ty tự xếp.
Mã nguồn và cấu hình. Đoạn mã nhỏ để hỏi lỗi tưởng vô hại, nhưng có thể kèm khoá truy cập, địa chỉ máy chủ nội bộ. Người làm kỹ thuật cần quy tắc riêng về việc này.
Đưa bảng phân loại vào thói quen hằng ngày
Một bảng phân loại nằm trong phụ lục quy chế ít khi được nhớ đến lúc người ta đang vội. Các công ty làm tốt thường đưa phân loại vào ngay chỗ làm việc: thư mục dùng chung đặt tiền tố theo mức như "MAT_" hay "NB_", mẫu văn bản có ô ghi mức ở chân trang, email gửi ra ngoài có dòng nhắc mức nếu có tệp đính kèm. Những dấu hiệu nhỏ này nhắc người làm việc tự hỏi "tệp này mức nào" trước khi dán vào bất kỳ đâu.
Trong buổi đào tạo, một bài tập hiệu quả là phát cho mỗi nhóm mười mẩu thông tin lấy từ công việc thật đã che tên — một đoạn biên bản, một dòng báo giá, một ảnh chụp màn hình — và yêu cầu xếp mức trong năm phút. Chỗ các nhóm xếp khác nhau chính là chỗ bảng cần thêm ví dụ. Bài tập này thường làm lộ ra vài loại dữ liệu mà người soạn bảng chưa nghĩ tới.
Cuối cùng, bảng phân loại cần một người trả lời câu hỏi nhanh. Khi nhân viên hỏi "danh sách đại lý có số điện thoại công ty, không có số cá nhân thì mức nào", câu trả lời nên đến trong ngày và được ghi thêm vào bảng ví dụ để người sau khỏi hỏi lại.
Dữ liệu cá nhân: phần phân loại có nghĩa vụ pháp lý đi kèm
Ở Việt Nam, dữ liệu cá nhân được bảo vệ bằng khung pháp lý riêng: Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, và Luật Bảo vệ dữ liệu cá nhân được Quốc hội thông qua năm 2025. Khung này phân biệt dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm (như sức khoẻ, tài chính, sinh trắc học, vị trí), với yêu cầu chặt hơn cho nhóm sau.
Hệ quả thực tế cho bảng phân loại: mọi dữ liệu cá nhân tối thiểu ở mức Mật trong bảng của công ty, còn dữ liệu cá nhân nhạy cảm theo định nghĩa của pháp luật luôn ở mức Nhạy cảm. Việc đưa dữ liệu cá nhân vào một công cụ AI của nhà cung cấp, đặc biệt máy chủ ở nước ngoài, có thể được xem là chia sẻ hoặc chuyển dữ liệu, kéo theo nghĩa vụ về sự đồng ý của chủ thể dữ liệu và hồ sơ đánh giá tác động.
Chi tiết nghĩa vụ, hồ sơ và mức xử lý thay đổi theo văn bản hướng dẫn, nên doanh nghiệp cần kiểm văn bản hiện hành và hỏi người làm pháp chế khi thiết kế quy trình có dữ liệu cá nhân đi qua AI. AI Bảo Mật có loạt bài riêng về luật dữ liệu cá nhân cho cửa hàng và doanh nghiệp nhỏ.
Câu hỏi thường gặp
Công ty nhỏ có nên chia ít mức hơn cho dễ nhớ không?
Được. Ba mức Công khai, Nội bộ, Hạn chế là đủ cho công ty dưới ba mươi người, miễn là mức Hạn chế có quy tắc rõ và ví dụ cụ thể. Điều quan trọng không phải số mức mà là mỗi nhân viên nhìn vào một thông tin thì xếp được ngay, và các phòng xếp giống nhau.
Ai quyết định một loại dữ liệu thuộc mức nào?
Trưởng phòng sở hữu dữ liệu đề xuất, người phụ trách AI tổng hợp và giải quyết chỗ mâu thuẫn, lãnh đạo duyệt bảng cuối. Với dữ liệu của khách hàng, hợp đồng với khách là căn cứ đầu tiên. Khi chưa rõ, xếp vào mức cao hơn cho đến khi có quyết định.
Che tên rồi thì đưa dữ liệu khách vào công cụ miễn phí được không?
Tuỳ việc và tuỳ mức. Một email khiếu nại đã bỏ tên, số đơn, số điện thoại thường hạ được xuống mức Nội bộ, nhưng mức Nội bộ vẫn chỉ nên vào công cụ được duyệt bằng tài khoản công ty. Bản miễn phí của nhiều công cụ có thể dùng nội dung để cải thiện dịch vụ, nên chỉ phù hợp với dữ liệu Công khai.
Có cần phân loại lại toàn bộ tài liệu cũ không?
Không cần làm một lần. Cách thực tế là phân loại theo loại tài liệu chứ không theo từng tệp: "mọi báo giá là Mật", "mọi hồ sơ nhân sự là Nhạy cảm". Tài liệu cũ được xếp theo loại khi ai đó mở ra dùng. Thư mục dùng chung có thể đặt tên theo mức để nhắc.
Dữ liệu tự tạo bằng AI thì xếp mức nào?
Theo nội dung, không theo nguồn gốc. Một bản kế hoạch kinh doanh do AI soạn nháp từ số liệu nội bộ là tài liệu Mật như kế hoạch do người viết. Nội dung AI tạo từ dữ liệu Công khai mà chưa công bố thì thường là Nội bộ cho đến khi được duyệt đăng.
Làm sao biết nhân viên có làm theo bảng phân loại không?
Không nên theo dõi lén. Cách lành mạnh là khảo sát ẩn danh định kỳ, kiểm tra ngẫu nhiên có báo trước với những quy trình rủi ro cao, và theo dõi số sự cố được tự báo. Nếu không có sự cố nào được báo suốt nhiều tháng, nhiều khả năng sự cố vẫn xảy ra nhưng không ai dám nói.