Rủi ro từ thói quen dùng AI cá nhân

Xem xét tình huống một nhân viên kinh doanh cần gửi gấp báo giá cho đối tác. Để tiết kiệm thời gian, người này sao chép bảng giá đại lý cùng danh sách khách hàng vào một công cụ AI miễn phí nhằm tối ưu hóa văn phong. Mặc dù văn bản hoàn thành nhanh chóng, toàn bộ dữ liệu nội bộ nhạy cảm đã bị tải lên một hệ thống nằm ngoài tầm kiểm soát của doanh nghiệp nơi công ty không thể xác định vị trí lưu trữ, thời hạn lưu giữ hay liệu dữ liệu đó có bị khai thác để huấn luyện mô hình AI hay không. Đây là tình huống rất phổ biến ở SME: nhân viên chủ động dùng AI để làm việc nhanh hơn và chính sự tự phát ấy vô tình mở cửa cho rủi ro an ninh thông tin.

Những con số đáng lo ngại

Theo Báo cáo Cost of a Data Breach 2026 từ IBM và Viện Ponemon, 43% sự cố rò rỉ dữ liệu doanh nghiệp toàn cầu bắt nguồn từ việc nhân viên tự ý sử dụng các công cụ AI cá nhân chưa qua kiểm duyệt. Đáng chú ý, 92% tổ chức gặp sự cố lộ dữ liệu qua AI thừa nhận họ hoàn toàn thiếu cơ chế phân quyền và kiểm soát truy cập phù hợp. Bên cạnh đó, các nghiên cứu chuyên sâu cũng chỉ ra rằng có tới 39,7% các lượt tương tác trên công cụ AI chứa dữ liệu nhạy cảm của doanh nghiệp. Lệnh cấm áp đặt hiếm khi hiệu quả bởi nhân viên sẽ chuyển sang dùng kín đáo hơn. Do đó, SME cần một cơ chế quản trị linh hoạt.

Doanh nghiệp cần mở một lối đi an toàn

Nhân viên dùng AI cá nhân vì họ cần hoàn thành công việc nhanh hơn trong khi công ty chưa đưa ra giải pháp thay thế phù hợp. Lựa chọn bền vững nhất là cung cấp một nền tảng AI chính thức: đủ linh hoạt để đáp ứng công việc, nhưng cũng đủ chặt chẽ để doanh nghiệp yên tâm vận hành. Nền tảng này cần đáp ứng ba tiêu chuẩn cốt lõi:

AI phải hiểu công việc của doanh nghiệp: Khác với công cụ AI đa dụng, AI doanh nghiệp cần tích hợp trực tiếp vào email, tài liệu, bảng tính và cuộc họp hằng ngày. AI hiểu ngữ cảnh từ chính dữ liệu nội bộ giúp nhân viên không còn lý do phải sao chép tài liệu sang ứng dụng bên ngoài.

AI phải tuân thủ phân quyền sẵn có: Người có quyền xem file lương mới nhận được câu trả lời liên quan đến quỹ lương. Dữ liệu nhạy cảm cần được gắn nhãn và duy trì nhãn bảo mật ngay cả khi AI tóm tắt hoặc tạo văn bản mới. Dữ liệu doanh nghiệp tuyệt đối không được dùng để huấn luyện mô hình chung, và mọi thao tác đều lưu lại nhật ký truy vết cho IT.

Nền tảng bảo mật phải đi trước: Hệ thống cần trang bị xác thực nhiều lớp, kiểm soát truy cập theo ngữ cảnh, quản lý thiết bị đầu cuối, phân loại dữ liệu kết hợp chính sách chống thất thoát và giám sát để phát hiện sớm ứng dụng chưa phê duyệt. Lộ trình hợp lý luôn là: chuẩn hóa dữ liệu trước, ứng dụng AI sau.

CMC Telecom đồng hành cùng SME

Doanh nghiệp nhỏ thường không thiếu công cụ mà thiếu nguồn lực để kết nối đồng bộ từ rà soát dữ liệu, dựng nền tảng, đào tạo nhân sự cho đến trực vận hành sự cố. CMC Telecom cung cấp giải pháp trọn gói theo lộ trình 5 bước linh hoạt, giải quyết chính xác bài toán của từng khách hàng:

Workshop và tư vấn: Rà soát hiện trạng dữ liệu, xác định các trường hợp sử dụng (use case) ưu tiên và tư vấn phương án triển khai phù hợp với quy mô.

Triển khai nền tảng bảo mật: Thiết lập định danh, xác thực nhiều lớp, quản lý thiết bị, rà soát quyền chia sẻ, xây khung phân loại dữ liệu và chính sách chống thất thoát (DLP).

Chạy thử có kiểm soát (Pilot): Áp dụng thử nghiệm trên nhóm nhỏ để đo lường hiệu quả thực tế trước khi mở rộng toàn công ty.

Đào tạo chuẩn hóa: Tổ chức các buổi hướng dẫn riêng cho người dùng cuối và đội ngũ IT để công cụ được khai thác đúng và đều đặn.

Vận hành và hỗ trợ (Managed Service): Cung cấp dịch vụ quản lý sau triển khai từ hỗ trợ cấu hình, xử lý sự cố đến báo cáo định kỳ, giúp SME không phải tự xoay xở khi vận hành.

Đội ngũ chuyên gia từ CMC Telecom luôn sẵn sàng đồng hành tư vấn và triển khai cùng doanh nghiệp.