Bộ Công an khuyến cáo doanh nghiệp có thể gặp rắc rối pháp lý khi sử dụng AI
Một nhân viên có thể đưa danh sách khách hàng vào một công cụ AI để phân tích; sử dụng hồ sơ ứng viên để tạo nội dung tuyển dụng; tải hợp đồng chứa thông tin đối tác lên nền tảng trực tuyến; hoặc sử dụng hình ảnh, dữ…
Căn cứ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, đặc biệt là khoản 4 Điều 7 về xử lý dữ liệu cá nhân trái pháp luật và Điều 9 về sự đồng ý của chủ thể dữ liệu, doanh nghiệp đối mặt với nhiều rủi ro pháp lý trong hoạt động quản lý nhân sự, tuyển dụng và kinh doanh. Do dữ liệu cá nhân hiện diện trong hầu hết các hoạt động thường ngày như hồ sơ tuyển dụng, thông tin người lao động, số điện thoại hay lịch sử giao dịch khách hàng, các đơn vị rất dễ vi phạm nếu thu thập quá mức cần thiết, lưu giữ hồ sơ ứng viên không trúng tuyển, sử dụng thông tin sai mục đích hoặc để nhân viên tự ý sao chép dữ liệu ra khỏi hệ thống.
Theo quy định, dữ liệu của người lao động phải được lưu trữ đúng thời hạn và phải xóa, hủy khi chấm dứt hợp đồng. Do đó, doanh nghiệp cần rà soát toàn bộ quy trình từ thu thập, lưu trữ, sử dụng, chia sẻ đến xóa, hủy dữ liệu, đồng thời xác định rõ quyền tiếp cận và thời gian lưu giữ. Việc tuân thủ này không chỉ là trách nhiệm của riêng bộ phận công nghệ thông tin mà là nghĩa vụ quản trị chung, đòi hỏi phải lập danh mục dữ liệu, xác định mục đích xử lý và phổ biến quy định đến mọi bộ phận từ nhân sự, kinh doanh, chăm sóc khách hàng đến marketing.
Bên cạnh đó, việc ứng dụng trí tuệ nhân tạo, dữ liệu lớn, chuỗi khối và điện toán đám mây cũng phải tuân thủ pháp luật và tích hợp biện pháp bảo mật, phân quyền truy cập. Theo khoản 2 Điều 29 Luật Trí tuệ nhân tạo, trường hợp hệ thống AI có rủi ro cao gây thiệt hại dù được vận hành đúng quy định, bên triển khai vẫn phải chịu trách nhiệm bồi thường. Nhiều rủi ro phát sinh khi nhân viên tự ý đưa danh sách khách hàng, hồ sơ ứng viên, hợp đồng đối tác hoặc dữ liệu cá nhân lên các công cụ AI trực tuyến để phân tích và tạo nội dung mà thiếu kiểm tra cơ sở pháp lý.
Những thao tác kỹ thuật đơn giản này có thể vi phạm nghĩa vụ bảo vệ dữ liệu cá nhân, bí mật kinh doanh và quyền sở hữu trí tuệ.
Nguồn: CafeF