Triển khai ChatGPT, Claude và Copilot an toàn trong công ty nhỏ

Rủi ro AI phổ biến nhất ở một công ty nhỏ không phải là một vụ xâm nhập gây chấn động. Đó là một người dán danh sách khách hàng, một hợp đồng hoặc mã nguồn vào tài khoản ChatGPT cá nhân, nơi công ty không nhìn thấy được, không kiểm soát được việc lưu giữ và không có cách nào xóa khi người đó nghỉ việc.

Rủi ro thứ hai khó thấy hơn. Các trợ lý tích hợp trong Microsoft 365 và Google Workspace có thể đọc bất cứ thứ gì mà người dùng vốn đã mở được. Nếu nhiều năm trước một thư mục nhân sự được chia sẻ với "mọi người", trợ lý sẽ tìm ra nó. AI không tạo ra vấn đề đó, nhưng khiến việc vô tình tìm thấy nó dễ hơn nhiều.

Bạn không nhất thiết phải chọn chỉ một. Nhiều công ty dùng hai, ví dụ Copilot trong Microsoft 365 cùng với ChatGPT hoặc Claude để viết và phân tích. Điều quan trọng là mỗi công cụ là một không gian làm việc của công ty và có người chịu trách nhiệm.

OpenAI, Anthropic, Microsoft và Google đều tuyên bố rằng dữ liệu doanh nghiệp trên các gói này theo mặc định không được dùng để huấn luyện mô hình của họ. Đó là lý do chính để rời khỏi tài khoản cá nhân. Hãy đọc điều khoản hiện hành của từng nhà cung cấp trước khi ký, vì các gói và tên gọi thay đổi thường xuyên.

Với mỗi công cụ:

• Tạo một không gian làm việc của công ty, có người chịu trách nhiệm trong công ty bạn
• Kết nối đăng nhập với Microsoft Entra ID hoặc Google Workspace, để quyền truy cập chấm dứt ngay trong ngày một người nghỉ việc
• Đặt quy tắc lưu giữ cho các cuộc trò chuyện và tệp đã tải lên
• Quyết định trình kết nối, plugin và tác tử nào được phép tiếp cận dữ liệu công ty, và tắt phần còn lại
• Đóng tài khoản cá nhân một cách có trật tự: chuyển những gì mọi người cần, xóa phần còn lại

Một chính sách không ai đọc thì không bảo vệ được ai. Hãy gói gọn trong một trang:

• Công cụ được phê duyệt. Danh sách ngắn, và cách đề xuất thêm công cụ mới.
• Không bao giờ dán vào. Mật khẩu, dữ liệu cá nhân của khách hàng ngoài các công cụ được phê duyệt, dữ liệu sức khỏe hoặc tiền lương, mọi thông tin thuộc NDA trừ khi công cụ đã được phê duyệt cho loại thông tin đó.
• Kiểm tra kết quả. AI mắc lỗi một cách rất tự tin. Người gửi kết quả đi là người chịu trách nhiệm.
• Nói rõ khi cần. Hãy cho khách hàng hoặc đồng nghiệp biết khi AI tạo ra thứ mà họ sẽ dựa vào.
• Hỏi ai khi cần. Một tên người hoặc một hộp thư cho mọi câu hỏi.

Sau đó đào tạo một nhóm thí điểm từ năm đến mười người thuộc các đội khác nhau. Ghi nhận điều gì hiệu quả và điều gì khiến họ bối rối, điều chỉnh cài đặt và chính sách, rồi mới mở rộng cho toàn công ty.

Với công việc pháp lý, tài chính, y tế và kỹ thuật không bao giờ được rời khỏi tầm kiểm soát của bạn, hãy cân nhắc các lựa chọn riêng tư: gói doanh nghiệp có kiểm soát dữ liệu chặt chẽ hơn, hoặc mô hình AI được lưu trữ trong chính môi trường của bạn. Các lựa chọn này tốn nhiều công sức vận hành hơn, nên hãy dành chúng cho những công việc thực sự cần.

Nếu bạn có nhân viên ở Liên minh châu Âu, Đạo luật AI của EU (EU AI Act) đã yêu cầu các công ty sử dụng AI bảo đảm nhân viên của mình có mức hiểu biết về AI đầy đủ. Một buổi đào tạo ngắn và chính sách một trang sẽ giúp ích rất nhiều để chứng minh điều đó.