Chính sách sử dụng AI nội bộ: viết thế nào để người ta thực sự đọc

Sai lầm phổ biến khi xây chính sách AI: viết một tài liệu dài, đầy đủ, đúng về mặt pháp lý — rồi gửi qua thư điện tử một lần và không ai mở lại.

Chính sách chỉ có tác dụng khi nó thay đổi hành vi ở thời điểm người ta sắp làm sai. Điều đó đòi hỏi cấu trúc khác với một văn bản pháp chế thông thường.

Cấu trúc hai lớp

Phần lớn giá trị nằm ở lớp 1. Lớp 2 tồn tại để trả lời câu hỏi khi có tranh cãi và để chứng minh với cơ quan quản lý — nhưng nó không ngăn được ai làm sai.

Bốn nội dung của lớp một trang

1. Danh sách cấm — viết cụ thể tới mức nhớ được

Đây là nội dung quan trọng nhất. Nguyên tắc: liệt kê loại tài liệu, không mô tả tính chất.

Cột trái nghe chuyên nghiệp hơn nhưng mỗi người hiểu một kiểu. Cột phải là thứ nhân viên nhớ được khi đang chuẩn bị dán một tệp vào ô chat.

2. Danh sách công cụ được phép

Liệt kê tên cụ thể, kèm việc được dùng. Không viết "các công cụ đã được phê duyệt" — người đọc không tra được danh sách đó ở đâu.

Kèm một dòng: muốn dùng công cụ mới thì đề xuất ở đâu, mất bao lâu để được trả lời.

3. Ba quy tắc với đầu ra

• Kiểm trước khi gửi ra ngoài — mọi căn cứ, con số, tên riêng;
• Gắn nhãn nếu nội dung do AI tạo và thuộc diện phải gắn nhãn;
• Không đưa cam kết thay mặt công ty dựa trên nội dung AI sinh ra chưa qua kiểm.

4. Báo cáo sự cố

Một dòng: lỡ đưa dữ liệu không được phép vào công cụ thì báo cho ai, trong bao lâu — kèm cam kết báo cáo kịp thời được xem xét giảm nhẹ.

Vế cuối quyết định việc cơ chế này có chạy hay không. Nếu báo cáo đồng nghĩa với bị kỷ luật thì không ai báo, và tổ chức mất khả năng khắc phục sớm — thứ có ý nghĩa nhất khi xảy ra sự cố dữ liệu.

Lớp hai — những gì tài liệu đầy đủ cần có

1. Phạm vi áp dụng: ai, thiết bị nào, trong và ngoài giờ làm việc;
2. Phân vai: ai duyệt công cụ mới, ai giữ danh sách kiểm kê, ai là đầu mối tiếp nhận sự cố, ai rà soát định kỳ;
3. Quy trình duyệt công cụ mới: tiêu chí đánh giá nhà cung cấp, ai quyết, thời hạn;
4. Quy tắc theo mức rủi ro: hệ thống tham gia quyết định về con người có quy trình riêng, chặt hơn;
5. Nghĩa vụ tuân thủ tương ứng: hồ sơ đánh giá tác động, gắn nhãn, thông báo với cơ quan có thẩm quyền;
6. Quy trình xử lý sự cố;
7. Lịch rà soát và người chịu trách nhiệm.

Ba việc quyết định chính sách có chạy hay không

Cung cấp công cụ thay thế

Cấm mà không cho lựa chọn là cách chắc chắn để nhân viên dùng lén, và dùng lén thì tổ chức mất hoàn toàn khả năng kiểm soát. Nếu cấm dùng công cụ công cộng cho tài liệu nội bộ, phải cung cấp một công cụ đã được duyệt làm được việc đó.

Đầu mối hỏi đáp có thật

Một người hoặc một kênh trả lời được câu "trường hợp này có được không" trong ngày. Không có chỗ hỏi thì người ta tự quyết định — và tự quyết định theo hướng tiện cho công việc.

Đào tạo bằng ví dụ, không bằng đọc quy tắc

Buổi đào tạo hiệu quả nhất là buổi đưa ra năm tình huống thật của chính tổ chức và hỏi người tham dự xem được hay không được. Thảo luận quanh tình huống làm người ta nhớ; đọc quy tắc thì không.

Quan hệ với nội quy lao động

Chính sách sử dụng AI và nội quy lao động là hai văn bản khác nhau, và cần cả hai:

• Chính sách hướng dẫn cách làm đúng — chi tiết, dễ sửa, cập nhật nhanh;
• Nội quy lao động là căn cứ xử lý kỷ luật — chỉ được xử lý kỷ luật với hành vi vi phạm đã được quy định trong nội quy lao động, hợp đồng lao động hoặc theo quy định của pháp luật.

Cách làm hợp lý: đưa các quy tắc cốt lõi vào nội quy lao động — nhóm dữ liệu cấm tuyệt đối, nghĩa vụ báo cáo sự cố — và để phần chi tiết, hay thay đổi ở chính sách. Như vậy vừa có căn cứ xử lý, vừa không phải sửa nội quy mỗi lần đổi danh sách công cụ.

Hỏi đáp nhanh

Chính sách sử dụng AI nên dài bao nhiêu?

Nên có hai lớp: một trang cho mọi nhân viên gồm cấm gì, được dùng gì, hỏi ai, báo cáo ở đâu — đọc trong hai phút; và tài liệu đầy đủ cho người phụ trách, pháp chế, quản lý. Phần lớn giá trị nằm ở lớp một trang, vì lớp đầy đủ không ngăn được ai làm sai.

Viết danh sách dữ liệu cấm thế nào cho hiệu quả?

Liệt kê loại tài liệu cụ thể thay vì mô tả tính chất. Câu không đưa thông tin nhạy cảm vào AI nghe chuyên nghiệp nhưng mỗi người hiểu một kiểu; danh sách gồm hồ sơ nhân sự, bảng lương, sao kê ngân hàng, hồ sơ sức khoẻ, tài liệu khách hàng, mã nguồn, danh sách khách hàng có tên và số điện thoại là thứ người ta nhớ được.

Vì sao phải có cam kết giảm nhẹ khi tự báo cáo sự cố?

Vì nếu báo cáo đồng nghĩa với bị kỷ luật thì không ai báo, và tổ chức mất khả năng khắc phục sớm — thứ có ý nghĩa nhất khi xảy ra sự cố dữ liệu. Cơ chế báo cáo chỉ chạy khi người báo không bị thiệt vì đã trung thực.

Cấm dùng công cụ AI công cộng thì có đủ không?

Không, nếu không cung cấp công cụ thay thế. Cấm mà không cho lựa chọn là cách chắc chắn để nhân viên dùng lén, và dùng lén thì tổ chức mất hoàn toàn khả năng kiểm soát. Nếu cấm dùng công cụ công cộng cho tài liệu nội bộ thì phải có một công cụ đã được duyệt làm được việc đó.

Chính sách AI và nội quy lao động khác nhau thế nào?

Chính sách hướng dẫn cách làm đúng, chi tiết và dễ cập nhật. Nội quy lao động là căn cứ xử lý kỷ luật, vì chỉ được xử lý kỷ luật với hành vi đã được quy định trong nội quy, hợp đồng lao động hoặc theo pháp luật. Nên đưa các quy tắc cốt lõi vào nội quy và để phần chi tiết hay thay đổi ở chính sách.