Khi phát hiện hồ sơ khách hàng đã bị đưa vào một công cụ AI không được phép, việc đầu tiên là khoanh vùng: thông tin gì, vào công cụ nào, bằng tài khoản nào, từ bao giờ, đã chia sẻ cho ai. Sau đó mới đến xoá, đánh giá mức độ, quyết định báo cho khách và cơ quan nếu cần, và sửa quy trình. Làm đúng thứ tự giúp không bỏ sót và không làm mất dấu vết cần cho đánh giá.
Bài này dành cho luật sư điều hành, người phụ trách bảo mật của văn phòng và trưởng phòng pháp chế khi gặp tình huống như trợ lý dán nguyên hợp đồng chưa ẩn danh vào chatbot miễn phí, đường dẫn cuộc trò chuyện chứa thông tin vụ việc bị gửi vào nhóm nhắn tin lớn, hoặc máy tính có tài khoản AI đăng nhập sẵn bị mất. Bài nêu nguyên lý; nghĩa vụ thông báo theo pháp luật về dữ liệu cá nhân bạn cần đối chiếu văn bản hiện hành và có thể cần chuyên gia hỗ trợ.
Những giờ đầu: khoanh vùng trước khi làm gì khác
Phản xạ tự nhiên là xoá ngay. Nhưng xoá trước khi ghi lại thì sau đó không biết chính xác điều gì đã xảy ra. Thứ tự gợi ý:
- Hỏi người liên quan một cách bình tĩnh, không truy lỗi: đã đưa gì vào, công cụ nào, tài khoản nào, bao nhiêu lần, có tải tệp lên không, có tạo đường dẫn chia sẻ không.
- Ghi lại ngay bằng văn bản: thời điểm phát hiện, thời điểm sự việc, mô tả thông tin, tên khách hàng và hồ sơ liên quan, người phát hiện, người thực hiện.
- Chụp lại hoặc xuất bản sao nội dung cuộc trò chuyện để lưu trong hồ sơ sự cố nội bộ, nếu cần cho đánh giá. Bản này lưu ở nơi có phân quyền, không gửi qua kênh nhắn tin.
- Tắt đường dẫn chia sẻ nếu có, và hỏi những ai đã nhận đường dẫn.
- Ngừng mọi việc dùng công cụ đó với hồ sơ cho đến khi xử lý xong.
Mục tiêu của giai đoạn này là có một bức tranh đúng và đủ. Người liên quan thường đã lo sợ; nếu bị trách móc ngay, họ có xu hướng kể thiếu. Một câu như "cần biết hết để xử lý cho đúng, chuyện trách nhiệm tính sau" giúp có thông tin đầy đủ hơn.
Xoá và hạn chế lan rộng
Sau khi đã ghi lại, mới tiến hành xoá. Xoá cuộc trò chuyện trên công cụ, xoá tệp đã tải lên nếu công cụ lưu riêng, kiểm phần ghi nhớ của công cụ và xoá nếu có thông tin vụ việc. Nếu là tài khoản cá nhân của nhân viên, đề nghị họ làm các bước này trước mặt người phụ trách và xác nhận bằng văn bản.
Đọc chính sách của công cụ để biết điều gì xảy ra sau khi xoá: dữ liệu còn trong bản sao lưu bao lâu, có đã được dùng để huấn luyện không, có cách gửi yêu cầu xoá chính thức cho nhà cung cấp không. Với tài khoản miễn phí, nội dung có thể đã thuộc phạm vi được dùng để cải thiện mô hình theo điều khoản tại thời điểm đó; việc này thường không đảo ngược được, và bạn cần biết để đánh giá đúng mức độ.
Nếu sự việc liên quan đến đường dẫn chia sẻ hay thiết bị bị mất, các bước hạn chế lan rộng khác nhau: tắt đường dẫn, đăng xuất tài khoản trên mọi thiết bị, đổi mật khẩu, khoá thiết bị từ xa nếu có thể. Ghi lại từng bước và thời điểm làm. Nếu sự cố đã kéo dài nhiều tuần mới phát hiện, ví dụ một trợ lý quen dán hồ sơ vào chatbot cá nhân từ lâu, phạm vi khoanh vùng phải mở rộng ra mọi hồ sơ người đó từng làm, không chỉ hồ sơ vừa bị phát hiện.
Đánh giá mức độ nghiêm trọng
Không phải sự cố nào cũng nghiêm trọng như nhau. Bảng dưới gợi ý các yếu tố để văn phòng đánh giá, từ đó quyết định cách xử lý tiếp theo.
| Yếu tố | Mức thấp | Mức cao |
|---|---|---|
| Loại thông tin | Đã ẩn danh một phần, không có dữ liệu nhạy cảm | Nguyên văn, có danh tính, sức khoẻ, hình sự, tài chính, trẻ em |
| Công cụ và tài khoản | Gói tổ chức có cam kết không huấn luyện, chỉ chưa được duyệt | Tài khoản miễn phí cá nhân, không rõ điều khoản |
| Phạm vi lan | Chỉ trong công cụ, không chia sẻ | Đã tạo đường dẫn, đã gửi cho người ngoài văn phòng |
| Khả năng nhận diện | Người ngoài khó biết đây là vụ của ai | Vụ việc nổi tiếng hoặc chi tiết đủ để nhận ra |
| Ảnh hưởng đến khách | Khó gây thiệt hại thực tế | Có thể ảnh hưởng vụ việc, uy tín, quan hệ kinh doanh của khách |
Đánh giá nên do ít nhất hai người làm, trong đó có luật sư phụ trách hồ sơ. Ghi lại kết luận và lý do. Khi có yếu tố ở mức cao, nên nghiêng về phía báo cho khách và tìm hiểu nghĩa vụ thông báo theo quy định.
Báo cho khách hàng
Nghĩa vụ giữ bí mật và quan hệ tin cậy với khách hàng gần như luôn dẫn đến cùng một hướng: nếu thông tin của khách đã đi ra ngoài phạm vi kiểm soát của văn phòng theo cách khách không đồng ý, khách nên được biết. Cách báo và thời điểm báo phụ thuộc mức độ, nhưng che giấu là lựa chọn tệ nhất, vì nếu khách phát hiện sau, niềm tin mất hẳn và văn phòng ở thế rất khó với cả khách lẫn Đoàn luật sư.
Nội dung báo nên gồm: chuyện gì đã xảy ra, thông tin nào liên quan, văn phòng đã làm gì để hạn chế, đánh giá của văn phòng về rủi ro, và văn phòng sẽ làm gì để không lặp lại. Nên báo bằng một cuộc gặp hoặc cuộc gọi do luật sư phụ trách thực hiện, sau đó gửi văn bản xác nhận. Tránh ngôn ngữ kỹ thuật, tránh giảm nhẹ quá mức, tránh đổ lỗi cho nhân viên trước mặt khách.
Khách hàng có thể có nghĩa vụ riêng của họ, ví dụ doanh nghiệp phải báo cáo theo quy chế nội bộ hay theo quy định về dữ liệu cá nhân. Báo sớm giúp khách có thời gian làm việc đó. Sau cuộc báo, hẹn một mốc cập nhật cụ thể, kể cả khi chưa có gì mới, để khách không phải tự hỏi lại.
Nghĩa vụ với cơ quan và với người có dữ liệu
Pháp luật về dữ liệu cá nhân. Nếu thông tin bị đưa ra ngoài có dữ liệu cá nhân, khung pháp lý về bảo vệ dữ liệu cá nhân có thể đặt ra nghĩa vụ thông báo vi phạm cho cơ quan chuyên trách trong thời hạn ngắn, và trong một số trường hợp cho chính người có dữ liệu. Phạm vi, thời hạn và nội dung thông báo bạn cần đọc trong Luật Bảo vệ dữ liệu cá nhân 2025 và văn bản hướng dẫn hiện hành.
Đoàn luật sư. Không phải mọi sự cố đều cần báo Đoàn, nhưng nếu có khiếu nại hoặc sự việc nghiêm trọng, việc văn phòng đã chủ động xử lý và ghi chép đầy đủ sẽ được xem xét. Khi không chắc, có thể hỏi ý kiến một luật sư có kinh nghiệm về đạo đức nghề nghiệp.
Bên bảo hiểm. Nếu văn phòng có bảo hiểm trách nhiệm nghề nghiệp, đọc hợp đồng xem có nghĩa vụ thông báo sự việc có thể dẫn đến yêu cầu bồi thường không. Thông báo trễ có thể ảnh hưởng quyền lợi bảo hiểm.
Khách hàng doanh nghiệp có hợp đồng riêng. Một số hợp đồng dịch vụ với khách doanh nghiệp có điều khoản về thông báo sự cố an toàn thông tin trong thời hạn nhất định. Kiểm hợp đồng của khách liên quan.
Sửa quy trình để không lặp lại
Sự cố là dịp tốt nhất để sửa quy trình, vì mọi người đều thấy rõ vì sao cần sửa. Sau khi xử lý xong phần cấp bách, trong vòng một đến hai tuần:
- Họp ngắn với những người liên quan, tìm nguyên nhân gốc: thiếu quy định, quy định không rõ, thiếu công cụ được phép, áp lực thời gian, hay thiếu hướng dẫn.
- Sửa đúng chỗ: nếu nhân viên dùng chatbot cá nhân vì văn phòng không có công cụ nào, câu trả lời là cung cấp công cụ được duyệt chứ không chỉ là cấm.
- Cập nhật quy định nội bộ và thông báo cho cả văn phòng, kể cả người không liên quan đến sự cố.
- Kiểm các hồ sơ khác xem có sự việc tương tự chưa được phát hiện không.
- Lưu toàn bộ hồ sơ sự cố: ghi chép ban đầu, đánh giá, thư báo khách, các bước đã làm, bài học. Hồ sơ này hữu ích nếu sau này có câu hỏi từ khách, cơ quan hay bên bảo hiểm.
Về xử lý người liên quan, nên phân biệt sai sót do thiếu hướng dẫn với cố tình vi phạm quy định đã biết. Phạt nặng sai sót đầu tiên do thiếu hướng dẫn khiến lần sau mọi người giấu sự cố thay vì báo sớm, và văn phòng mất đi cơ hội xử lý kịp thời.
Chuẩn bị trước khi có sự cố
Văn phòng xử lý sự cố tốt thường là văn phòng đã chuẩn bị từ trước. Những thứ nên có sẵn:
- Một trang quy trình ứng phó, ghi rõ ai là người nhận báo cáo, ai đánh giá, ai báo khách.
- Danh sách công cụ AI được duyệt và tài khoản của từng người, để khoanh vùng nhanh.
- Mẫu ghi nhận sự cố với các ô: thời điểm, thông tin, công cụ, người, phạm vi, các bước đã làm.
- Thông tin liên hệ cần thiết: bên bảo hiểm, người có thể hỏi ý kiến về đạo đức nghề nghiệp và dữ liệu cá nhân.
- Một văn hoá trong văn phòng nơi báo sớm được ghi nhận, không bị trách phạt vì đã báo.
Phần cuối khó đo nhưng quyết định nhiều nhất. Sự cố được báo trong một giờ có thể xử lý gọn; sự cố bị giấu một tháng thì thường đã quá muộn để hạn chế.
Câu hỏi thường gặp
Nếu đã xoá cuộc trò chuyện ngay thì có cần báo khách không?
Xoá là bước cần làm nhưng không xoá được việc thông tin đã rời khỏi văn phòng và có thể đã được lưu hoặc xử lý theo điều khoản của công cụ. Việc báo khách phụ thuộc đánh giá mức độ; với thông tin nhận diện được hoặc nhạy cảm, nên nghiêng về phía báo.
Có nên đề nghị nhà cung cấp AI xoá dữ liệu không?
Nên, nếu nhà cung cấp có kênh tiếp nhận yêu cầu xoá hay yêu cầu về quyền riêng tư. Gửi yêu cầu bằng văn bản, lưu lại phản hồi. Kết quả không chắc chắn, nhưng việc đã yêu cầu là một phần của nỗ lực hạn chế thiệt hại và đáng ghi vào hồ sơ sự cố.
Nhân viên gây sự cố nên bị xử lý thế nào?
Tuỳ mức độ và việc họ có vi phạm quy định đã được hướng dẫn hay không. Sai sót lần đầu do thiếu hướng dẫn nên tập trung vào đào tạo lại. Cố tình vi phạm sau khi đã được nhắc thì xử lý theo nội quy. Việc xử lý không thay cho việc văn phòng sửa quy trình.
Văn phòng nhỏ có cần một quy trình ứng phó bằng văn bản không?
Có, dù chỉ một trang. Khi sự cố xảy ra, mọi người thường lúng túng và bỏ sót bước. Một trang ghi sẵn thứ tự việc cần làm và người phụ trách giúp xử lý nhanh, đúng, và để lại hồ sơ cho thấy văn phòng đã có chuẩn bị.
Khách hàng biết chuyện rồi muốn chấm dứt hợp đồng thì sao?
Đó là quyền của khách theo hợp đồng dịch vụ. Văn phòng nên hợp tác bàn giao hồ sơ đầy đủ, tiếp tục giữ bí mật thông tin sau khi chấm dứt, và tránh phản ứng phòng thủ. Cách văn phòng xử lý giai đoạn này ảnh hưởng đến uy tín với những khách hàng khác.
Sự cố do khách hàng tự gửi thông tin qua kênh không an toàn có phải lỗi của văn phòng không?
Kênh khách tự chọn để gửi thông tin là trách nhiệm của khách phần lớn, nhưng khi thông tin đã đến văn phòng, việc văn phòng đưa nó vào công cụ nào là trách nhiệm của văn phòng. Nên hướng dẫn khách kênh gửi tài liệu an toàn ngay từ buổi đầu làm việc.