Nghĩa vụ giữ bí mật thông tin khách hàng không đổi khi luật sư dùng AI; cái đổi là số chỗ thông tin có thể rò ra. Đưa một đoạn hồ sơ vào chatbot nghĩa là chuyển thông tin đó cho một bên thứ ba xử lý, theo điều khoản của bên đó. Vì vậy câu hỏi đúng không phải "có được dùng AI không", mà là "thông tin nào, qua công cụ nào, với cam kết dữ liệu nào, và khách hàng đã biết đến đâu".
Bài này dành cho luật sư, trợ lý luật sư và chuyên viên pháp chế đang dùng hoặc sắp dùng AI trong công việc hằng ngày. Bài đi từ gốc nghĩa vụ trong Luật Luật sư và Bộ Quy tắc Đạo đức và Ứng xử nghề nghiệp luật sư Việt Nam, rồi chuyển thành những ranh giới cụ thể bạn áp được ngay trong tuần này. Bài viết nguyên lý, không thay ý kiến của Đoàn luật sư hay văn bản hiện hành mà bạn cần tự kiểm.
Gốc của nghĩa vụ: thông tin biết được khi hành nghề
Luật Luật sư có quy định riêng về bảo mật thông tin: luật sư không được tiết lộ thông tin về vụ, việc và về khách hàng mà mình biết được trong khi hành nghề, trừ khi khách hàng đồng ý hoặc pháp luật có quy định khác. Tổ chức hành nghề luật sư cũng có trách nhiệm bảo đảm nhân viên của mình không tiết lộ những thông tin đó. Bộ Quy tắc Đạo đức và Ứng xử nghề nghiệp do Liên đoàn Luật sư Việt Nam ban hành nhắc lại nghĩa vụ này ở góc đạo đức và mở rộng sang cách luật sư ứng xử với thông tin khách hàng nói chung. Câu chữ cụ thể và số điều bạn nên đọc lại trong bản hiện hành.
Điểm đáng chú ý là phạm vi của chữ "thông tin". Nghĩa vụ không chỉ bao trùm những gì khách hàng dặn là bí mật, mà gồm mọi điều luật sư biết được nhờ việc hành nghề: việc khách đang có tranh chấp, tên đối tác, tình hình tài chính, chuyện gia đình, thậm chí việc khách đã tìm đến văn phòng. Nhiều người làm luật quen nghĩ "chỉ hồ sơ mật mới phải giữ", trong khi chính sự việc một doanh nghiệp đang hỏi về thủ tục giải thể đã là thông tin nhạy cảm.
Nghĩa vụ này cũng không hết khi vụ việc kết thúc hay khi khách hàng thôi dùng dịch vụ. Điều đó quan trọng với AI, vì dữ liệu bạn đưa vào hôm nay có thể còn nằm trên máy chủ của hãng nhiều tháng sau, lâu hơn cả vụ việc.
Vì sao đưa thông tin vào AI là một dạng chuyển giao
Dữ liệu rời khỏi văn phòng. Khi bạn dán một đoạn biên bản vào chatbot trên nền web, đoạn đó được gửi lên máy chủ của nhà cung cấp, thường ở nước ngoài, để xử lý. Về bản chất, đó là giao thông tin cho một bên thứ ba, dù bên thứ ba ấy là máy.
Dữ liệu có thể được lưu và xem lại. Tuỳ loại tài khoản và cài đặt, lịch sử trò chuyện có thể được lưu, được nhân viên của hãng xem khi kiểm tra vi phạm hoặc chất lượng, hoặc được dùng để cải thiện mô hình. Chính sách mỗi hãng mỗi khác và thay đổi theo thời gian, nên bạn phải kiểm bản hiện hành của đúng gói mình dùng.
Tài khoản cá nhân là điểm yếu. Trợ lý dùng tài khoản miễn phí trên điện thoại riêng để tóm tắt hồ sơ là trường hợp phổ biến nhất. Văn phòng không biết dữ liệu nằm ở đâu, không xoá được, và khi trợ lý nghỉ việc thì lịch sử đó đi theo họ.
Rủi ro không nằm ở một câu hỏi, mà ở tổng các câu hỏi. Một câu hỏi lẻ về "điều khoản phạt vi phạm trong hợp đồng mua bán hàng hoá" không lộ gì. Nhưng ba mươi câu hỏi liên tiếp kèm tên công ty, số tiền và ngày ký thì đủ để dựng lại cả vụ việc. Đánh giá rủi ro phải nhìn cả phiên làm việc, không chỉ từng tin nhắn.
Ba mức thông tin và cách xử lý với AI
Để nhân viên áp được nguyên tắc mà không phải hỏi luật sư điều hành từng lần, nhiều văn phòng chia thông tin thành ba mức. Bảng dưới là khung gợi ý, bạn sửa theo loại việc của văn phòng mình.
| Mức | Ví dụ trong văn phòng luật | Cách xử lý với AI |
|---|---|---|
| Công khai | Văn bản pháp luật, bản án đã công bố, bài nghiên cứu, câu hỏi pháp lý chung không gắn vụ việc | Dùng công cụ được văn phòng cho phép; vẫn kiểm trích dẫn với nguồn chính thức |
| Nội bộ, ẩn danh được | Hợp đồng đối tác gửi rà soát, đơn khởi kiện nháp, thư khách hỏi, biên bản làm việc | Chỉ đưa vào sau khi ẩn danh kỹ, và chỉ qua công cụ có cam kết không dùng dữ liệu để huấn luyện |
| Không đưa vào AI công cộng | Hồ sơ hình sự, thông tin sức khoẻ, tài liệu khách dặn tuyệt mật, bí mật kinh doanh cốt lõi, tài liệu có dấu hiệu bí mật nhà nước | Xử lý thủ công hoặc qua công cụ triển khai riêng đã được thẩm định và khách hàng biết |
Ranh giới giữa mức hai và mức ba không cố định. Một hợp đồng mua bán thông thường nằm ở mức hai, nhưng nếu nó là hợp đồng trong một thương vụ chưa công bố thì nó lên mức ba, vì chỉ riêng việc thương vụ tồn tại đã là bí mật.
Khi nào nên hỏi ý khách hàng trước
Pháp luật cho phép tiết lộ khi khách hàng đồng ý, và trong thực tế văn phòng có thể đưa vào hợp đồng dịch vụ một điều khoản về việc dùng công cụ công nghệ. Dù vậy, có những trường hợp nên hỏi riêng chứ không trông vào điều khoản chung:
- Khách hàng là doanh nghiệp có quy định nội bộ cấm chia sẻ dữ liệu với bên xử lý ở nước ngoài; dùng AI mà không hỏi có thể làm khách vi phạm chính quy định của họ.
- Hồ sơ có dữ liệu cá nhân nhạy cảm của người khác, như thông tin sức khoẻ của người lao động trong tranh chấp lao động, hay chuyện riêng tư trong vụ ly hôn.
- Khách hàng đã nói rõ muốn mọi trao đổi chỉ giữa họ và luật sư phụ trách.
- Văn phòng định đưa nguyên bộ hồ sơ, chứ không chỉ một đoạn, vào công cụ phân tích tài liệu.
- Vụ việc đang được báo chí quan tâm, nơi một mẩu rò rỉ nhỏ cũng gây thiệt hại lớn cho khách.
Hỏi khách không phải dấu hiệu yếu kém. Một câu như "văn phòng dùng công cụ hỗ trợ đọc tài liệu đã ẩn danh, anh chị có đồng ý không" thường được khách đón nhận như sự cẩn trọng. Cách viết điều khoản và cách nói với khách có bài riêng trong danh mục này.
Trách nhiệm của văn phòng, không chỉ của từng luật sư
Văn phòng phải chọn công cụ. Nếu văn phòng không cung cấp công cụ nào, nhân viên sẽ tự chọn. Một tài khoản dùng chung có điều khoản dữ liệu rõ ràng an toàn hơn mười tài khoản cá nhân không ai kiểm.
Văn phòng phải đặt quy tắc thành chữ. Quy tắc miệng "cẩn thận khi dùng AI" không giúp được ai. Cần một trang ghi rõ mức thông tin nào được đưa vào công cụ nào, ai duyệt ngoại lệ, và báo ai khi lỡ tay.
Văn phòng phải hướng dẫn và giám sát. Trợ lý, luật sư tập sự và nhân viên hành chính tiếp xúc với hồ sơ nhiều nhất. Họ cần được chỉ cách ẩn danh, được xem ví dụ làm đúng và làm sai, và biết rằng hỏi lại không bị coi là chậm.
Văn phòng phải ghi lại. Khi có khiếu nại, câu hỏi đầu tiên sẽ là văn phòng đã có biện pháp gì. Biên bản tập huấn, bản quy định có chữ ký, danh sách công cụ được phép kèm ngày kiểm điều khoản là bằng chứng cho sự cẩn trọng hợp lý.
Bốn hiểu lầm hay gặp trong văn phòng luật
"Chỉ là máy đọc, không phải người, nên không tính là tiết lộ." Nghĩa vụ bảo mật xét thông tin đi ra khỏi phạm vi kiểm soát của luật sư, không xét bên nhận là người hay máy. Máy chủ của hãng có người vận hành, có chính sách lưu trữ và có thể bị yêu cầu cung cấp dữ liệu theo pháp luật nơi đặt máy chủ.
"Đã xoá cuộc trò chuyện là hết." Nút xoá trên giao diện thường chỉ ẩn khỏi danh sách của bạn. Dữ liệu có thể còn trong bản sao lưu của hãng một thời gian theo chính sách của họ. Xoá là việc nên làm, nhưng không thay được việc đừng đưa vào ngay từ đầu.
"Khách hàng không hiểu công nghệ, nói ra chỉ làm họ lo." Khách hàng doanh nghiệp ngày càng hỏi thẳng câu này trong buổi làm việc đầu tiên, và một số đã đưa yêu cầu về công cụ AI vào hợp đồng dịch vụ pháp lý. Im lặng rồi bị phát hiện gây mất niềm tin nhiều hơn là nói rõ từ đầu.
"Văn phòng nhỏ thì không ai để ý." Rủi ro rò rỉ không tỉ lệ với quy mô văn phòng. Một văn phòng ba người làm hồ sơ ly hôn và tranh chấp đất đai giữ những thông tin riêng tư nhất của khách; một lần lộ là đủ để mất khách và bị khiếu nại lên Đoàn luật sư.
Năm việc làm ngay trong tuần này
Nếu văn phòng bạn chưa có gì, đây là thứ tự gọn nhất để đi từ con số không đến mức chấp nhận được.
- Hỏi từng người trong văn phòng đang dùng công cụ AI nào, bằng tài khoản nào, cho loại việc gì. Hỏi theo cách không truy lỗi để mọi người nói thật.
- Chọn một hoặc hai công cụ, đọc điều khoản dữ liệu của gói doanh nghiệp hoặc gói có cam kết không huấn luyện trên dữ liệu người dùng, ghi lại ngày đọc.
- Viết bảng ba mức thông tin như trên, dán vào nơi ai cũng thấy, kèm hai ví dụ thật đã ẩn danh của chính văn phòng.
- Tổ chức một buổi ba mươi phút thực hành ẩn danh một hợp đồng mẫu, để mọi người thấy che thế nào là đủ.
- Rà lại mẫu hợp đồng dịch vụ pháp lý để xem đã có điều khoản về công cụ công nghệ và bảo mật chưa; nếu chưa, soạn bổ sung cho các hợp đồng mới.
Năm việc này không đòi chi phí lớn. Phần tốn công nhất là bước một, vì nó buộc văn phòng nhìn thẳng vào thói quen đã có. Nhưng không biết dữ liệu đang chảy đi đâu thì mọi quy định khác chỉ là giấy.
Câu hỏi thường gặp
Dùng AI để hỏi một câu pháp lý chung có vi phạm nghĩa vụ bảo mật không?
Câu hỏi chung không gắn với vụ việc, không có tên người, tên công ty hay chi tiết nhận diện thì không làm lộ thông tin khách hàng. Rủi ro xuất hiện khi câu hỏi kèm sự kiện cụ thể đủ để người khác nhận ra khách hàng, hoặc khi nhiều câu hỏi cộng lại dựng được cả vụ việc.
Đã ẩn danh rồi thì có cần khách hàng đồng ý không?
Ẩn danh kỹ làm giảm rủi ro đáng kể, nhưng không phải lúc nào cũng đủ. Nếu khách hàng có quy định riêng, nếu hồ sơ có dữ liệu nhạy cảm, hoặc nếu chi tiết vụ việc hiếm đến mức vẫn đoán ra được, bạn nên hỏi ý khách. Điều khoản chung trong hợp đồng dịch vụ là nền, còn trường hợp đặc biệt thì hỏi riêng.
Gói AI trả phí có tự động an toàn cho hồ sơ khách hàng không?
Không tự động. Trả phí chỉ có nghĩa là bạn có một hợp đồng với nhà cung cấp; điều quan trọng là nội dung hợp đồng đó về lưu trữ, huấn luyện, nơi đặt máy chủ và quyền truy cập của nhân viên hãng. Bạn cần đọc điều khoản của đúng gói đang dùng và kiểm lại khi hãng cập nhật.
Nghĩa vụ giữ bí mật có áp dụng với chuyên viên pháp chế doanh nghiệp không?
Chuyên viên pháp chế không phải luật sư hành nghề thì không chịu Luật Luật sư theo cách luật sư chịu, nhưng thường bị ràng buộc bởi hợp đồng lao động, quy chế bảo mật của doanh nghiệp và quy định về bí mật kinh doanh, dữ liệu cá nhân. Về thực hành, các nguyên tắc ẩn danh và chọn công cụ trong bài vẫn áp dụng gần như nguyên vẹn.
Nếu nhân viên tự ý đưa hồ sơ vào AI thì văn phòng có chịu trách nhiệm không?
Tổ chức hành nghề có trách nhiệm bảo đảm nhân viên không tiết lộ thông tin, nên văn phòng khó đứng ngoài. Mức trách nhiệm cụ thể tuỳ tình huống và cần chuyên gia đánh giá. Điều văn phòng làm được ngay là có quy định bằng văn bản, có tập huấn và có cách phát hiện sớm để giảm thiệt hại.
Khách hàng tự gửi hồ sơ qua ứng dụng nhắn tin rồi hỏi luật sư có dùng AI không, nên trả lời thế nào?
Nên trả lời thật: văn phòng có dùng hay không, dùng cho loại việc gì, đưa vào công cụ ở mức nào và đã ẩn danh ra sao. Đồng thời gợi ý khách gửi tài liệu qua kênh an toàn hơn nếu kênh hiện tại không phù hợp. Sự minh bạch này giữ niềm tin tốt hơn mọi lời trấn an chung chung.