Tình huống đã bàn ở nhiều bài trước: nhân viên dán dữ liệu khách hàng vào công cụ AI. Về trách nhiệm với bên ngoài, câu trả lời rõ ràng — doanh nghiệp với tư cách bên kiểm soát dữ liệu vẫn là chủ thể chịu trách nhiệm trước pháp luật và trước chủ thể dữ liệu. Việc nhân viên làm sai không chuyển trách nhiệm ra khỏi doanh nghiệp.
Nhưng còn quan hệ nội bộ: doanh nghiệp có xử lý được người đó không? Câu trả lời phụ thuộc một thứ rất cụ thể — quy tắc đó có nằm trong nội quy lao động hay không.
Vì sao email nhắc nhở không đủ
Bộ luật Lao động 2019 đặt nguyên tắc: người sử dụng lao động chỉ được xử lý kỷ luật lao động đối với hành vi vi phạm đã được quy định trong nội quy lao động hoặc trong hợp đồng lao động, hoặc theo quy định của pháp luật.
Hệ quả trực tiếp: một quy tắc chỉ tồn tại trong email nội bộ, trong tài liệu đào tạo, hoặc trong một tệp hướng dẫn trên máy chủ chung — không phải căn cứ để xử lý kỷ luật. Nhân viên vi phạm nó, doanh nghiệp muốn khiển trách hay sa thải cũng thiếu cơ sở.
Đây là khoảng trống rất phổ biến hiện nay, vì quy tắc dùng AI thường được ban hành nhanh, dưới dạng thông báo, để kịp ứng phó với việc nhân viên đã bắt đầu dùng công cụ.
Nội dung tối thiểu cần đưa vào
1. Danh mục công cụ được phép và không được phép
Liệt kê cụ thể, không viết chung chung kiểu "các công cụ được phê duyệt". Nhân viên cần biết ngay công cụ mình định dùng có nằm trong danh sách không, mà không phải đi hỏi.
Kèm cơ chế bổ sung: ai duyệt công cụ mới, quy trình đề xuất thế nào. Không có cơ chế này thì danh sách sẽ bị bỏ qua ngay khi có công cụ mới xuất hiện.
2. Phân loại dữ liệu và lằn ranh cấm tuyệt đối
Đây là phần quan trọng nhất và phải viết bằng ngôn ngữ cụ thể. So sánh hai cách viết:
| Cách viết không dùng được | Cách viết dùng được |
|---|---|
| "Không đưa thông tin nhạy cảm vào công cụ trí tuệ nhân tạo" | "Không đưa vào bất kỳ công cụ AI nào: hồ sơ ứng viên và nhân sự; bảng lương; sao kê ngân hàng; hồ sơ sức khoẻ; hợp đồng và tài liệu của khách hàng; mã nguồn nội bộ; danh sách khách hàng có tên và số điện thoại" |
Cột trái nghe đầy đủ nhưng mỗi người hiểu một kiểu. Cột phải là thứ nhân viên nhớ được và cũng là thứ đứng vững khi cần xử lý kỷ luật.
3. Quy tắc với đầu ra
Nội dung do AI tạo ra phải được kiểm trước khi gửi ra ngoài; phải gắn nhãn nếu thuộc trường hợp bắt buộc; không được đưa cam kết thay mặt doanh nghiệp dựa trên nội dung AI sinh ra chưa qua kiểm.
4. Nghĩa vụ báo cáo sự cố
Nhân viên lỡ đưa dữ liệu không được phép vào công cụ phải báo ngay cho đầu mối, trong thời hạn cụ thể. Kèm theo cam kết: báo cáo trung thực và kịp thời được xem xét giảm nhẹ.
Điều khoản này quan trọng hơn vẻ ngoài của nó. Nếu hậu quả của việc báo cáo là bị xử lý nặng, không ai báo cáo — và doanh nghiệp mất khả năng khắc phục sớm, vốn là thứ có ý nghĩa nhất khi có sự cố dữ liệu.
5. Mức xử lý tương ứng
Phân biệt rõ: sơ suất một lần đã báo cáo kịp thời; tái phạm; cố ý; và hành vi gây hậu quả nghiêm trọng. Mức xử lý phải nằm trong khung hình thức kỷ luật lao động mà pháp luật cho phép.
Trình tự ban hành
Nội quy lao động không phải văn bản muốn sửa lúc nào cũng được. Theo Bộ luật Lao động 2019:
- Người sử dụng lao động phải tham khảo ý kiến của tổ chức đại diện người lao động tại cơ sở đối với nơi có tổ chức này, trước khi ban hành hoặc sửa đổi nội quy lao động;
- Nội quy lao động phải được thông báo đến người lao động, và những nội dung chính phải được niêm yết ở nơi cần thiết tại nơi làm việc;
- Người sử dụng lao động sử dụng từ 10 người lao động trở lên phải đăng ký nội quy lao động tại cơ quan chuyên môn về lao động theo quy định; nội quy lao động có hiệu lực sau thời hạn quy định kể từ ngày cơ quan có thẩm quyền nhận được đầy đủ hồ sơ đăng ký.
Vì trình tự này mất thời gian, cách làm thực tế là gộp nội dung về AI vào đợt sửa nội quy gần nhất thay vì làm riêng một đợt — trừ khi rủi ro đủ cấp bách để không chờ được.
Ba việc đi kèm, thiếu thì nội quy vô nghĩa
- Đào tạo có ký nhận. Không chỉ để chứng minh nhân viên đã biết, mà vì phần lớn vi phạm đến từ không hiểu chứ không phải cố ý. Buổi đào tạo nên có ví dụ cụ thể, không chỉ đọc quy tắc.
- Cung cấp công cụ thay thế. Cấm mà không cho lựa chọn thay thế là cách chắc chắn để nhân viên dùng lén. Nếu cấm dùng công cụ công cộng cho tài liệu nội bộ thì phải cung cấp công cụ đã được duyệt.
- Đầu mối hỏi đáp. Một người hoặc một kênh mà nhân viên hỏi được "trường hợp này có được không". Không có chỗ hỏi thì người ta tự quyết định, và tự quyết định theo hướng tiện cho công việc.
Một lưu ý về ranh giới
Nội quy lao động điều chỉnh hành vi trong công việc. Doanh nghiệp cần cân nhắc khi quy tắc chạm tới thiết bị cá nhân và thời gian ngoài giờ của người lao động — phạm vi này cần được xác định hợp lý và tương xứng với mục đích bảo vệ thông tin, tránh mở rộng quá mức vào đời sống riêng tư.
Hỏi đáp nhanh
Vì sao quy tắc dùng AI phải nằm trong nội quy lao động?
Vì Bộ luật Lao động 2019 quy định người sử dụng lao động chỉ được xử lý kỷ luật đối với hành vi vi phạm đã được quy định trong nội quy lao động, hợp đồng lao động hoặc theo quy định của pháp luật. Quy tắc chỉ tồn tại trong email nội bộ hay tài liệu đào tạo không phải căn cứ để xử lý kỷ luật.
Nhân viên tự ý đưa dữ liệu khách hàng vào AI thì ai chịu trách nhiệm?
Doanh nghiệp với tư cách bên kiểm soát dữ liệu vẫn là chủ thể chịu trách nhiệm trước pháp luật và trước chủ thể dữ liệu. Việc nhân viên làm sai có thể là căn cứ xử lý kỷ luật nội bộ nhưng không chuyển trách nhiệm ra khỏi doanh nghiệp.
Nên viết quy tắc về dữ liệu thế nào cho dùng được?
Liệt kê cụ thể thay vì viết chung chung. Câu không đưa thông tin nhạy cảm vào công cụ AI thì mỗi người hiểu một kiểu; danh sách cụ thể gồm hồ sơ nhân sự, bảng lương, sao kê ngân hàng, hồ sơ sức khoẻ, tài liệu khách hàng, mã nguồn, danh sách khách hàng có tên và số điện thoại thì nhân viên nhớ được và cũng đứng vững khi cần xử lý.
Có nên quy định giảm nhẹ cho người tự báo cáo sự cố không?
Rất nên. Nếu hậu quả của việc báo cáo là bị xử lý nặng thì không ai báo cáo, và doanh nghiệp mất khả năng khắc phục sớm — vốn là thứ có ý nghĩa nhất khi xảy ra sự cố dữ liệu. Nên ghi rõ báo cáo trung thực và kịp thời được xem xét giảm nhẹ.
Sửa nội quy lao động cần theo trình tự nào?
Tham khảo ý kiến tổ chức đại diện người lao động tại cơ sở nơi có tổ chức này; thông báo đến người lao động và niêm yết nội dung chính tại nơi làm việc; và với đơn vị sử dụng từ 10 người lao động trở lên thì phải đăng ký nội quy lao động tại cơ quan chuyên môn về lao động, nội quy có hiệu lực sau thời hạn quy định kể từ khi cơ quan nhận đủ hồ sơ.
Lưu ý: Bài viết tổng hợp quy định đang có hiệu lực tại thời điểm đăng và chỉ mang tính tham khảo, không thay thế ý kiến pháp lý cho một vụ việc cụ thể. Văn bản pháp luật có thể được sửa đổi; vui lòng đối chiếu bản mới nhất hoặc trao đổi với luật sư trước khi quyết định.