Một quy chế sử dụng AI dùng được trong doanh nghiệp chia mọi việc thành ba vùng: vùng được làm (nhân viên tự dùng AI, tự chịu trách nhiệm kiểm tra), vùng không được làm (cấm tuyệt đối, kể cả khi được sếp nhờ), và vùng cần xin phép (được làm sau khi người có thẩm quyền đồng ý). Quanh ba vùng ấy là vài mục bắt buộc: phạm vi áp dụng, dữ liệu được đưa vào đâu, công cụ nào được dùng, ai kiểm đầu ra, báo sự cố thế nào và chế tài ra sao.
Phần dưới đi qua cấu trúc mười mục, cách viết từng vùng bằng ví dụ của chính công ty, quy trình lấy ý kiến và ban hành, và những câu chữ nên tránh. Bài viết hướng tới doanh nghiệp tư nhân; cơ quan nhà nước có khung riêng mà AI Công Sở bàn kỹ hơn. Nếu bạn cần một trang tóm tắt góc an ninh thông tin, AI Bảo Mật có mẫu chính sách một trang cho văn phòng nhỏ.
Vì sao chia ba vùng tốt hơn một danh sách điều cấm
Các bản quy định AI đầu tiên ở nhiều công ty là một danh sách dài những điều "không được": không đưa dữ liệu khách hàng, không dùng cho hợp đồng, không dùng công cụ lạ. Đọc xong, nhân viên không biết mình được làm gì, và phản ứng phổ biến là hoặc thôi không dùng nữa, hoặc dùng lén ngoài tầm mắt công ty.
Cấu trúc ba vùng giải quyết chuyện này bằng cách nói rõ cả hai phía. Vùng được làm cho người làm việc sự tự tin: soạn nháp email nội bộ, tóm tắt tài liệu công khai, gợi ý dàn ý thuyết trình — cứ làm, chỉ cần tự kiểm. Vùng cấm ngắn và cứng. Vùng cần xin phép là nơi chứa tất cả những gì mới, chưa rõ hoặc rủi ro trung bình, có một người cụ thể quyết định trong thời hạn cụ thể.
Ba vùng còn giúp quy chế già đi chậm hơn. Khi có công cụ mới hay tình huống mới, công ty không phải viết lại văn bản mà chỉ chuyển việc từ vùng xin phép sang vùng được làm khi đã đủ kinh nghiệm, hoặc ngược lại khi phát hiện rủi ro.
Mười mục nên có trong quy chế sử dụng AI
Không phải công ty nào cũng cần đủ mười mục ở bản đầu, nhưng đây là danh sách kiểm để không bỏ sót:
- Mục đích và phạm vi: áp dụng cho ai (nhân viên chính thức, thực tập sinh, cộng tác viên, nhà thầu), cho thiết bị nào (máy công ty, điện thoại cá nhân khi làm việc công ty).
- Định nghĩa ngắn: "công cụ AI" trong quy chế này gồm những gì — chatbot, tính năng AI trong phần mềm văn phòng, công cụ tạo ảnh, ghi âm cuộc họp tự tóm tắt.
- Vùng được làm: liệt kê theo loại việc, kèm ví dụ của từng phòng.
- Vùng không được làm: ngắn, rõ, không có ngoại lệ ngầm.
- Vùng cần xin phép: loại việc, người duyệt, thời hạn trả lời.
- Quy tắc dữ liệu: dẫn sang bảng phân loại dữ liệu, mức nào vào công cụ nào.
- Công cụ được dùng: dẫn sang danh mục công cụ được duyệt, nguyên tắc dùng tài khoản công ty.
- Kiểm tra và trách nhiệm đầu ra: người gửi chịu trách nhiệm; loại nội dung nào cần người thứ hai đọc.
- Báo sự cố: dán nhầm, gửi nhầm, phát hiện nội dung sai đã ra ngoài — báo cho ai, trong bao lâu, và cam kết không trừng phạt người tự báo sớm.
- Hiệu lực, rà soát và chế tài: ngày hiệu lực, chu kỳ rà soát, liên hệ với nội quy lao động hiện có.
Bảng phân loại dữ liệu và danh mục công cụ nên để ở phụ lục để sửa riêng mà không phải ban hành lại cả quy chế.
Viết ba vùng bằng ví dụ của chính công ty
Phần khó nhất là biến nguyên tắc thành ví dụ mà nhân viên nhận ra ngay công việc của mình. Bảng dưới là ví dụ giả định cho một công ty thương mại khoảng 60 người; công ty bạn cần thay bằng việc thật của mình:
| Phòng | Được làm | Cần xin phép | Không được làm |
|---|---|---|---|
| Kinh doanh | Soạn nháp email chào hàng không có tên khách; luyện tình huống phản đối giá | Dùng AI tóm tắt lịch sử trao đổi với một khách cụ thể | Dán hợp đồng, báo giá có tên khách vào công cụ chưa duyệt |
| Kế toán | Hỏi cách dùng hàm bảng tính; soạn thư nhắc thanh toán mẫu | Đưa bảng số liệu đã xoá tên vào công cụ được duyệt để phân tích xu hướng | Giao AI tính thuế, lập báo cáo tài chính gửi cơ quan nhà nước mà không đối chiếu |
| Nhân sự | Soạn nháp mô tả công việc, thông báo nội bộ | Dùng AI tóm tắt hồ sơ ứng viên đã che thông tin cá nhân | Để AI tự loại ứng viên; dán bảng lương, hồ sơ sức khoẻ |
| Marketing | Gợi ý ý tưởng nội dung, viết lại câu chữ | Đăng hình ảnh, video do AI tạo lên kênh chính thức | Tạo hình ảnh giả người thật, giả sản phẩm đối thủ |
Mỗi ô nên là việc cụ thể đến mức nhân viên đọc xong biết ngay mình đang ở vùng nào. Nếu một ô phải giải thích thêm, đó là dấu hiệu cần chia nhỏ ra.
Quy trình soạn, lấy ý kiến và ban hành
Một quy chế được làm theo, khác một quy chế được ký, chủ yếu ở cách soạn. Trình tự gợi ý cho doanh nghiệp nhỏ:
- Thu thập tình huống thật. Người phụ trách hỏi mỗi phòng năm việc đang hoặc muốn làm với AI, và năm điều đang lo. Danh sách này là nguyên liệu cho ba vùng.
- Viết bản nháp một. Ngắn, dùng câu khẳng định, mỗi vùng có ví dụ của từng phòng. Có thể nhờ AI gợi ý cấu trúc, nhưng nội dung phải từ tình huống thật, và đừng dán tài liệu nội bộ chưa che vào công cụ chưa duyệt khi soạn.
- Lấy ý kiến hai vòng. Vòng một với trưởng phòng để chỉnh ví dụ. Vòng hai với một nhóm nhân viên đại diện, hỏi đúng một câu: "đọc xong, có tình huống nào của bạn mà không biết thuộc vùng nào không?"
- Rà soát pháp lý. Đối chiếu với nội quy lao động, quy định bảo vệ dữ liệu cá nhân và hợp đồng với khách hàng (một số hợp đồng cấm đưa thông tin của khách cho bên thứ ba). Với điều khoản chế tài và dữ liệu cá nhân, nên hỏi luật sư; có thể đặt câu hỏi với luật sư trên AI Cố Vấn (aicovan.com) để được hướng dẫn theo tình huống cụ thể.
- Ban hành kèm buổi phổ biến. Quyết định ban hành của người đại diện theo pháp luật, sau đó mỗi phòng một buổi ngắn làm thử tình huống. Nhân viên ký nhận sau buổi học chứ không trước.
- Mở kênh hỏi đáp. Một địa chỉ hoặc nhóm chat để hỏi vùng xám. Câu hỏi lặp lại từ ba lần trở lên thì đưa vào bản sửa đổi.
Phiếu xin phép cho vùng xám: một trang là đủ
Vùng cần xin phép chỉ chạy được khi việc xin phép nhẹ nhàng. Nếu phải viết công văn và chờ hai tuần, nhân viên sẽ bỏ qua bước này. Một phiếu một trang, điền trong năm phút, gồm các ô:
- Việc định làm: mô tả bằng một hai câu, ví dụ "dùng AI tóm tắt 40 phiếu khảo sát khách hàng quý ba để tìm năm vấn đề lặp lại nhiều nhất".
- Dữ liệu sẽ đưa vào: loại dữ liệu, mức theo bảng phân loại, đã che những gì.
- Công cụ dự định dùng: có trong danh mục được duyệt không, dùng tài khoản nào.
- Đầu ra dùng để làm gì: chỉ tham khảo nội bộ, đưa vào báo cáo cho lãnh đạo, hay gửi ra ngoài.
- Ai kiểm đầu ra: tên người đọc lại trước khi dùng.
- Làm một lần hay lặp lại: nếu lặp lại, đề xuất chuyển việc này vào vùng được làm sau khi chạy thử.
Người duyệt trả lời trong thời hạn đã cam kết, ghi rõ đồng ý, đồng ý có điều kiện hay từ chối kèm lý do. Lưu phiếu theo tháng: sau một quý, chồng phiếu này cho người phụ trách thấy rõ việc nào nên đưa hẳn vào vùng được làm, và đó là nguyên liệu tốt nhất cho lần sửa quy chế tiếp theo.
Câu chữ nên tránh và câu chữ nên dùng
Tránh "hạn chế sử dụng AI khi không cần thiết". Không ai biết thế nào là "cần thiết". Thay bằng loại việc cụ thể thuộc vùng nào.
Tránh "không đưa thông tin quan trọng vào AI". Mọi thông tin công việc đều quan trọng với người làm ra nó. Thay bằng tham chiếu mức dữ liệu: "dữ liệu mức Mật và Nhạy cảm không đưa vào bất kỳ công cụ nào ngoài danh mục ở Phụ lục 2".
Tránh "nhân viên tự chịu trách nhiệm về mọi rủi ro". Câu này đẩy hết sang người làm và khiến họ giấu sự cố. Trách nhiệm cần chia: nhân viên chịu trách nhiệm kiểm đầu ra và tuân thủ quy tắc; công ty chịu trách nhiệm cung cấp công cụ phù hợp và hướng dẫn.
Dùng "người gửi là người chịu trách nhiệm về nội dung". Câu ngắn, ai cũng hiểu, và đúng bản chất: AI là công cụ soạn thảo, chữ ký vẫn của người.
Dùng "khi phân vân, hỏi trước khi làm". Kèm tên người hoặc kênh để hỏi và cam kết trả lời trong một thời hạn, ví dụ hai ngày làm việc.
Dùng "tự báo sớm không bị kỷ luật vì lỗi vô ý". Đây là câu quan trọng nhất cho phần sự cố. Thiếu nó, người dán nhầm dữ liệu sẽ im lặng, và công ty phát hiện muộn khi thiệt hại đã lớn.
Giữ quy chế sống sau ngày ban hành
Quy chế AI già nhanh hơn hầu hết văn bản nội bộ khác, vì công cụ thay đổi tính năng và điều khoản dữ liệu thường xuyên. Cách giữ quy chế sống là tách phần ổn định (nguyên tắc, ba vùng, trách nhiệm) khỏi phần hay đổi (danh mục công cụ, ví dụ). Phần ổn định chỉ sửa mỗi năm một lần; phần hay đổi để ở phụ lục, người phụ trách cập nhật và ghi ngày.
Mỗi lần rà soát, nhìn vào ba nguồn: câu hỏi nhân viên gửi qua kênh hỏi đáp, sự cố đã xảy ra, và thay đổi bên ngoài (công cụ mới, văn bản pháp luật mới, yêu cầu từ khách hàng lớn). Ghi số phiên bản và tóm tắt điểm thay đổi ở đầu văn bản để người đọc không phải so từng dòng.
Một dấu hiệu quy chế đang tốt: số câu hỏi vùng xám giảm dần sau mỗi lần sửa, và số lượt xin phép dùng việc mới tăng lên — nghĩa là nhân viên đang dùng AI nhiều hơn nhưng qua đúng cửa. Nếu không ai xin phép gì suốt ba tháng, nhiều khả năng mọi người đã quay lại dùng lén.
Câu hỏi thường gặp
Quy chế sử dụng AI có cần đăng ký với cơ quan nhà nước không?
Quy chế nội bộ về sử dụng công cụ thường không phải đăng ký riêng, nhưng nếu nội dung có điều khoản kỷ luật lao động thì cần đối chiếu với nội quy lao động và thủ tục liên quan theo Bộ luật Lao động hiện hành. Với điểm này nên hỏi người làm pháp chế hoặc luật sư, vì cách lồng ghép phụ thuộc nội quy sẵn có của từng công ty.
Có nên cấm hoàn toàn dùng tài khoản AI cá nhân cho việc công ty không?
Nhiều công ty chọn cấm dùng tài khoản cá nhân cho dữ liệu mức Nội bộ trở lên, nhưng cho phép với việc chỉ dùng thông tin công khai như học cách dùng hàm bảng tính. Lệnh cấm tuyệt đối chỉ hiệu quả khi công ty cung cấp được công cụ thay thế đủ dùng; nếu không, nhân viên sẽ dùng lén.
Thực tập sinh và cộng tác viên có phải tuân theo quy chế không?
Nên có. Thực tập sinh thường là nhóm dùng AI nhiều nhất và ít biết ranh giới dữ liệu nhất. Cách làm gọn là đưa điều khoản tuân thủ quy chế AI vào thoả thuận thực tập hoặc hợp đồng cộng tác, kèm buổi hướng dẫn ngắn ngày đầu làm việc.
Quy chế nên dài bao nhiêu trang?
Phần chính nên đọc hết trong mười phút, tức khoảng hai đến bốn trang. Các phụ lục như bảng phân loại dữ liệu, danh mục công cụ, mẫu phiếu xin phép có thể dài hơn vì chỉ tra cứu khi cần. Văn bản dài hơn mười trang thường không ai đọc trọn.
Ai nên ký ban hành quy chế sử dụng AI?
Thường là người đại diện theo pháp luật hoặc giám đốc điều hành, vì quy chế ràng buộc toàn công ty và có thể liên quan kỷ luật lao động. Người phụ trách AI soạn và giữ văn bản, nhưng chữ ký của lãnh đạo cao nhất cho nhân viên thấy đây là quy tắc thật chứ không phải gợi ý.
Nhân viên vi phạm quy chế lần đầu thì xử lý thế nào?
Nên phân biệt lỗi vô ý được tự báo, lỗi vô ý bị phát hiện và hành vi cố ý. Lỗi vô ý tự báo nên được xử lý bằng hướng dẫn lại; hành vi cố ý đưa dữ liệu mật ra ngoài thì xử lý theo nội quy lao động. Cách phân tầng này khuyến khích báo sớm, điều quan trọng hơn trừng phạt.