Khi doanh nghiệp gom văn bản pháp luật, hợp đồng, hồ sơ vụ việc, ý kiến pháp lý nội bộ thành một kho để chạy trợ lý AI, kho đó trở thành một tài sản dữ liệu cần được quản trị: biết trong kho có gì, phân loại theo mức nhạy cảm, ai được làm gì, chia sẻ cho ai theo điều kiện nào. Luật Dữ liệu 2024, có hiệu lực từ 1/7/2025, cùng Luật Bảo vệ dữ liệu cá nhân 2025, có hiệu lực từ 1/1/2026, là hai văn bản cần đối chiếu đầu tiên.
Các trang chuyên về luật mới đã giới thiệu nội dung Luật Dữ liệu 2024 nói chung. Bài này đi theo hướng khác: lấy một kho dữ liệu pháp lý cụ thể của doanh nghiệp làm đối tượng, và đi qua những câu hỏi quản trị mà đội pháp chế và đội dữ liệu phải trả lời trước khi nối kho vào AI. Bài nêu nguyên lý; nghĩa vụ cụ thể cần đối chiếu luật và văn bản hướng dẫn hiện hành.
Kho dữ liệu pháp lý của doanh nghiệp gồm những gì
Một kho điển hình có bốn lớp. Lớp công khai: văn bản quy phạm pháp luật, án lệ, bản án đã công bố, tài liệu hướng dẫn của cơ quan nhà nước. Lớp nội bộ không nhạy cảm: quy chế, quy trình, mẫu văn bản của doanh nghiệp. Lớp nội bộ nhạy cảm: hợp đồng với đối tác, hồ sơ tranh chấp, ý kiến pháp lý về các giao dịch, biên bản làm việc với cơ quan nhà nước. Và lớp có dữ liệu cá nhân: hồ sơ nhân sự, hồ sơ khách hàng, câu hỏi của nhân viên gửi trợ lý.
Khi chưa có AI, bốn lớp này thường nằm ở những nơi khác nhau, mỗi nơi một kiểu phân quyền. Đưa vào một kho chung để trợ lý trả lời "mọi câu hỏi pháp lý của công ty" là gộp chúng lại, và nếu không cẩn thận, một nhân viên kinh doanh có thể hỏi trợ lý và nhận được trích đoạn hồ sơ tranh chấp mà họ không có quyền xem.
Vì vậy, việc đầu tiên trước khi bàn luật là lập danh mục: kho có những nguồn nào, mỗi nguồn thuộc lớp nào, ai là người chịu trách nhiệm về nguồn đó trong doanh nghiệp, dữ liệu đến từ đâu và được phép dùng cho mục đích gì.
Danh mục này cũng là thứ trả lời nhanh nhất cho câu hỏi của ban giám đốc hay kiểm toán nội bộ: trợ lý AI đang đọc những gì. Nếu đội không trả lời được câu đó trong vài phút bằng một bảng có sẵn, kho chưa sẵn sàng để nối vào AI.
Nhìn kho qua Luật Dữ liệu 2024: những điểm cần rà
Phân loại dữ liệu. Luật Dữ liệu 2024 đưa ra cách phân loại dữ liệu, trong đó có các nhóm dữ liệu cốt lõi và dữ liệu quan trọng gắn với những yêu cầu quản lý riêng. Phần lớn kho pháp lý của doanh nghiệp thông thường khó rơi vào các nhóm này, nhưng doanh nghiệp trong một số lĩnh vực hoặc có dữ liệu liên quan tới cơ quan nhà nước nên kiểm danh mục do cơ quan có thẩm quyền ban hành.
Quản trị và chất lượng dữ liệu. Luật đặt ra yêu cầu chung về quản trị, quản lý dữ liệu và bảo đảm chất lượng. Với kho pháp lý, điều này khớp với những việc đội dữ liệu vốn nên làm: biết nguồn gốc dữ liệu, ghi phiên bản, kiểm định kỳ, có người chịu trách nhiệm.
Bảo vệ dữ liệu. Kho chứa hợp đồng và hồ sơ tranh chấp là đích hấp dẫn cho kẻ tấn công. Phân quyền, mã hoá, nhật ký truy cập, sao lưu không chỉ là yêu cầu kỹ thuật mà còn là cách chứng minh doanh nghiệp đã thực hiện nghĩa vụ bảo vệ.
Chuyển dữ liệu ra nước ngoài. Nếu trợ lý AI chạy trên hạ tầng hoặc dịch vụ của nhà cung cấp ở nước ngoài, dữ liệu trong kho có thể đi qua biên giới. Cần xác định loại dữ liệu nào đi ra, có thuộc nhóm bị hạn chế không, và nghĩa vụ kèm theo theo Luật Dữ liệu 2024 và Luật Bảo vệ dữ liệu cá nhân 2025.
Sản phẩm, dịch vụ về dữ liệu. Nếu doanh nghiệp định cung cấp kho, hoặc kết quả phân tích từ kho, cho bên khác như một dịch vụ, cần kiểm xem mô hình đó có thuộc nhóm hoạt động mà luật đặt điều kiện riêng không.
Ma trận phân loại gợi ý cho kho pháp lý
Ma trận là ví dụ để doanh nghiệp tự điều chỉnh, không phải phân loại theo luật. Nó giúp gắn mỗi nguồn với quy tắc truy cập và quy tắc dùng cho AI.
| Lớp dữ liệu | Ví dụ | Ai được truy cập qua trợ lý | Được dùng cho AI thế nào |
|---|---|---|---|
| Công khai | Văn bản quy phạm, bản án công bố | Mọi nhân viên | Đưa vào kho truy xuất chung |
| Nội bộ thường | Quy chế, quy trình, mẫu văn bản | Mọi nhân viên | Đưa vào kho chung, ghi phiên bản |
| Nội bộ hạn chế | Hợp đồng, ý kiến pháp lý, hồ sơ giao dịch | Theo phòng ban, theo vụ việc | Kho riêng, lọc theo quyền của người hỏi |
| Mật | Hồ sơ tranh chấp đang diễn ra, điều tra nội bộ | Nhóm nhỏ được chỉ định | Không đưa vào trợ lý chung; nếu có thì hệ thống tách biệt |
| Có dữ liệu cá nhân | Hồ sơ nhân sự, khách hàng, câu hỏi của nhân viên | Theo mục đích và quyền | Chỉ khi có cơ sở xử lý, tối thiểu hoá, có thời hạn lưu |
Nguyên tắc then chốt: trợ lý AI không được có quyền rộng hơn người đang hỏi. Lọc theo quyền phải diễn ra ở bước truy xuất, trước khi dữ liệu vào ngữ cảnh của mô hình, chứ không phải nhờ mô hình "tự biết" không được nói.
Các bước rà một kho trước khi nối vào trợ lý AI
Ví dụ giả định cho một doanh nghiệp sản xuất có phòng pháp chế năm người, muốn dựng trợ lý trả lời câu hỏi pháp lý của các phòng ban:
- Lập danh mục nguồn: liệt kê mọi thư mục, hệ thống, hộp thư sẽ đưa vào kho; ghi lớp dữ liệu, người chịu trách nhiệm, mục đích.
- Phân loại theo ma trận; nguồn nào lẫn nhiều lớp thì tách ra trước, không đưa nguyên khối.
- Rà dữ liệu cá nhân: nguồn nào có, có cần cho mục đích của trợ lý không, nếu không cần thì loại hoặc khử nhận diện.
- Thiết kế phân quyền ở tầng truy xuất: mỗi đơn vị trong kho mang nhãn quyền, mỗi câu hỏi mang danh tính người hỏi.
- Rà nhà cung cấp: dữ liệu được xử lý và lưu ở đâu, có bị dùng để huấn luyện không, điều khoản rút và xoá dữ liệu khi thôi dùng.
- Viết quy tắc dùng trợ lý cho nhân viên: được hỏi gì, không dán gì vào ô hỏi, kết quả chỉ để tham khảo với việc nào.
- Ghi toàn bộ quyết định thành hồ sơ: danh mục, phân loại, lý do, người duyệt, ngày; rà lại khi thêm nguồn mới.
Hồ sơ ở bước cuối thường bị coi là thủ tục, nhưng khi có sự cố lộ dữ liệu hay có yêu cầu kiểm tra, đó là bằng chứng cho thấy doanh nghiệp đã quản trị kho có chủ đích.
Chia sẻ kho với bên ngoài: đối tác, công ty mẹ, nhà cung cấp
Doanh nghiệp thuộc tập đoàn hay muốn dùng chung kho pháp lý với công ty mẹ, công ty con. Doanh nghiệp làm việc với văn phòng luật bên ngoài muốn cho họ truy cập một phần kho. Nhà cung cấp phần mềm muốn dùng dữ liệu để cải thiện sản phẩm. Mỗi trường hợp là một luồng chia sẻ dữ liệu với nghĩa vụ riêng.
Với văn bản công khai, chia sẻ ít vướng. Với hợp đồng, hồ sơ, cần xem nghĩa vụ bảo mật trong chính các hợp đồng đó: nhiều hợp đồng cấm tiết lộ nội dung cho bên thứ ba, kể cả công ty trong cùng tập đoàn. Với dữ liệu cá nhân, việc chia sẻ cho bên khác là một hoạt động xử lý phải có cơ sở và phải được thông báo theo Luật Bảo vệ dữ liệu cá nhân 2025.
Riêng điều khoản "nhà cung cấp được dùng dữ liệu của khách hàng để cải thiện dịch vụ" cần đọc rất kỹ. Với kho pháp lý, đây gần như luôn là điều nên từ chối hoặc giới hạn chặt. Nếu không đàm phán được, đó là tín hiệu để cân nhắc nhà cung cấp khác hoặc giữ phần nhạy cảm ngoài hệ thống.
Nếu doanh nghiệp còn phân vân một luồng chia sẻ cụ thể có vướng nghĩa vụ nào không, có thể hỏi luật sư trên AI Cố Vấn hoặc nhờ người làm nghề về dữ liệu xem hồ sơ trước khi ký với đối tác.
Những hiểu lầm hay gặp
Một số niềm tin phổ biến khiến doanh nghiệp quản trị kho pháp lý lỏng hơn mức nên có:
- "Văn bản luật là công khai nên kho pháp lý không có gì nhạy cảm": kho thật luôn trộn văn bản công khai với hợp đồng, hồ sơ, câu hỏi nội bộ.
- "Trợ lý chỉ dùng nội bộ nên không cần phân quyền": nhân viên các phòng ban có quyền xem khác nhau với hồ sơ gốc, trợ lý phải tôn trọng đúng quyền đó.
- "Luật Dữ liệu 2024 chỉ dành cho cơ quan nhà nước": luật có phạm vi điều chỉnh rộng hơn, doanh nghiệp nên tự đối chiếu phạm vi với hoạt động của mình.
- "Đã dùng dịch vụ đám mây lớn thì nhà cung cấp lo bảo mật": nhà cung cấp lo hạ tầng; phân quyền, phân loại, quyết định đưa gì vào vẫn là trách nhiệm của doanh nghiệp.
- "Khử nhận diện một lần là xong": dữ liệu mới vào kho liên tục, nên khử nhận diện phải là một bước trong quy trình nhập dữ liệu chứ không phải một dự án một lần.
Luật Công nghiệp công nghệ số 2025 cũng có các quy định liên quan tới trí tuệ nhân tạo. Doanh nghiệp đưa trợ lý AI vào vận hành nên theo dõi văn bản hướng dẫn của luật này cùng với hai luật về dữ liệu, vì ba văn bản cùng chạm tới một hệ thống.
Câu hỏi thường gặp
Doanh nghiệp nhỏ có phải áp dụng Luật Dữ liệu 2024 cho kho pháp lý không?
Phạm vi điều chỉnh của luật không chỉ dành cho doanh nghiệp lớn, nhưng mức nghĩa vụ cụ thể phụ thuộc loại dữ liệu và hoạt động. Doanh nghiệp nhỏ nên đối chiếu phạm vi với hoạt động thực tế và văn bản hướng dẫn hiện hành; nếu kho có dữ liệu cá nhân thì Luật Bảo vệ dữ liệu cá nhân 2025 chắc chắn liên quan.
Hợp đồng với đối tác có được đưa vào trợ lý AI không?
Có thể, nếu hợp đồng không cấm, nhà cung cấp AI đáp ứng yêu cầu bảo mật, và trợ lý chỉ trả lời cho người có quyền xem hợp đồng đó. Cần đọc điều khoản bảo mật của từng hợp đồng, nhất là với đối tác nước ngoài hoặc hợp đồng có điều khoản riêng về tiết lộ thông tin.
Có cần bổ nhiệm người phụ trách kho dữ liệu pháp lý không?
Nên có một người chịu trách nhiệm chung về kho, thường thuộc pháp chế hoặc phối hợp giữa pháp chế và công nghệ thông tin. Người này giữ danh mục nguồn, duyệt việc thêm nguồn mới, theo dõi phân quyền và là đầu mối khi có sự cố.
Dữ liệu trong kho có bị nhà cung cấp AI dùng để huấn luyện không?
Tuỳ hợp đồng và cấu hình dịch vụ. Cần đọc điều khoản dữ liệu, chọn cấu hình không cho dùng dữ liệu để huấn luyện nếu có, và yêu cầu cam kết bằng văn bản. Với kho pháp lý, đây là điều khoản nên được kiểm trước khi đưa dữ liệu nhạy cảm lên.
Kho dữ liệu pháp lý có thể bán hoặc cho thuê không?
Phần văn bản quy phạm pháp luật không được bảo hộ quyền tác giả, nhưng phần biên tập, phân loại, chú giải có thể là tài sản của doanh nghiệp. Cung cấp kho hoặc dịch vụ dựa trên kho cho bên khác cần kiểm điều kiện về sản phẩm, dịch vụ dữ liệu theo Luật Dữ liệu 2024 và loại bỏ mọi dữ liệu nội bộ, dữ liệu cá nhân.
Khi xảy ra lộ dữ liệu từ trợ lý AI, doanh nghiệp làm gì trước?
Khoanh vùng: dữ liệu nào lộ, cho ai, qua câu hỏi nào; tạm ngắt nguồn liên quan khỏi trợ lý; ghi lại toàn bộ diễn biến. Nếu có dữ liệu cá nhân, cần thực hiện nghĩa vụ thông báo theo Luật Bảo vệ dữ liệu cá nhân 2025. Sự cố có quy mô lớn nên có người làm nghề hỗ trợ ngay từ đầu.