> ## Content Index > Fetch the complete content index at: https://locdang.com/llms.txt > Use this file to discover other available public pages before exploring further. # Che dữ liệu trước khi đưa lên AI thì luật cho phép đến đâu - URL: https://locdang.com/che-du-lieu-truoc-khi-ua-len-ai-thi-luat-cho-phep-en-au/ - Published: 2026-11-14T02:00:00.000Z - Updated: 2026-11-14T15:16:08.000Z - Description: 10 văn bản pháp luật, 6 chuẩn quốc tế và 3 câu trả lời thẳng: che dữ liệu trước khi dùng AI có vi phạm không, khi nào được đưa văn bản đã che lên AI, khi nào phải dừng tay. - Author: Đặng Hải Lộc - Tags: research, ai, bao mat, redact kit, phap ly ![Ảnh feature](https://locdang.com/content/images/2026/11/feature-research-redact-4.png) Che, xóa, làm sạch dữ liệu nhạy cảm trước khi đưa lên AI là một nhiệm vụ tốn thời gian nếu làm thủ công. Tìm từng cái tên trong bản hợp đồng dài chục trang, xoá từng số tài khoản, rồi soát lại xem còn sót gì không. Nhiều người mất cả tiếng cho một văn bản, rồi ngại luôn việc dùng AI hỗ trợ. Khi làm bộ công cụ Redact GUI để tự động việc đó, mình phải trả lời được hai câu trước: những thông tin cần che thì luật chia ra làm sao, và che xong thì văn bản có đưa lên được AI chưa. Hai câu nghe đơn giản mà không tài liệu nào trả lời thẳng. Thế nên mình làm thứ mình làm tốt nhất: ngồi đọc luật. Ba buổi liền, mười văn bản pháp luật Việt Nam nguyên bản, đối chiếu sáu chuẩn quốc tế từ NIST, OWASP, cơ quan an ninh mạng Anh và Mỹ. Bài này là kết quả. Mọi con số, mọi điều khoản đều có footnote truy về nguồn gốc; anh chị không phải tin mình, chỉ cần bấm vào link kiểm tra. > **TL;DR** > > - Luật chia thông tin cần bảo vệ thành 5 loại, mỗi loại một quy tắc chơi khác nhau \[1\]\[2\]. Đọc một mảnh sẽ hiểu sai cả bài. > - Từ 01/01/2026, dữ liệu cá nhân "sau khi khử nhận dạng không còn là dữ liệu cá nhân" (khoản 1 Điều 2, Luật 91/2025/QH15) \[3\]. Đây là con đường pháp lý rõ nhất để che dữ liệu rồi dùng AI. > - Văn bản thuộc bí mật nhà nước thì dừng tuyệt đối: số hóa đã cần thẩm quyền (Nghị định 63/2026 gọi số hóa là "sao" \[4\]), đưa lên AI là lỗi ngay ở Điều 5 Luật 117/2025 \[2\]. > - Quy trình che bằng quy tắc cứng, chạy trên máy mình, không vi phạm, với điều kiện văn bản không thuộc bí mật nhà nước. > - Bên Mỹ và Anh có sẵn cả một bộ chuẩn làm đúng việc này, từ danh sách 18 loại thông tin phải xoá của HIPAA đến nguyên tắc "đừng gửi gì mà anh không chịu nổi nếu nó công khai" của cơ quan an ninh mạng Anh \[5\]\[6\]. ## Luật thật sự chia thông tin cần bảo vệ thành năm loại Đây là bảng anh chị nên chụp màn hình lại. Năm loại, năm cơ sở pháp lý, năm cách xử lý khác nhau khi muốn nhờ AI hỗ trợ. | Loại thông tin | Cơ sở pháp lý | Đưa được lên AI khi nào | | ----------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------- | | Bí mật nhà nước (Tuyệt mật, Tối mật, Mật) | Luật 117/2025/QH15 \[2\], thay Luật 29/2018 từ 01/3/2026 | Không bao giờ, trừ khi đã giải mật chính thức qua hội đồng | | Dữ liệu cốt lõi, quan trọng, dùng riêng | Luật Dữ liệu 60/2024/QH15 \[1\] | Theo danh mục hạn chế của cơ quan quản lý dữ liệu | | Dữ liệu cá nhân (cơ bản và nhạy cảm) | Luật 91/2025/QH15 \[3\] + Nghị định 13/2023 \[7\] | Được, khi đã khử nhận dạng hoặc có đồng ý của chủ thể dữ liệu | | Bí mật kinh doanh, bí mật công nghệ | Luật Sở hữu trí tuệ (Điều 84, 127) \[7\], Bộ luật Lao động (khoản 2 Điều 21) \[7\] | Theo chính sách nội bộ của doanh nghiệp | | Bí mật nghề nghiệp, bí mật đời tư | Luật Khám chữa bệnh (Điều 69) \[7\], Luật Kiểm toán độc lập (Điều 12) \[7\], Bộ luật Dân sự (Điều 38) \[7\], Hiến pháp (Điều 21) \[7\] | Khi có đồng ý bằng văn bản của người bệnh, khách hàng, người liên quan | Ba loại đầu là ràng buộc từ nhà nước. Hai loại sau phần lớn do chính tổ chức mình quyết định. Sự khác biệt ấy quyết định toàn bộ quy trình bên dưới. ## Văn bản bí mật nhà nước là ranh giới đỏ tuyệt đối Đây là phần mình muốn anh chị đọc kỹ nhất, vì rủi ro cao nhất nằm ở đây. Luật Bảo vệ bí mật nhà nước vừa được thay mới: Luật 29/2018 hết hiệu lực từ 01/3/2026, Luật 117/2025/QH15 thay vào \[2\]. Điều 5 của luật mới cấm thẳng ba hành vi liên quan trực tiếp đến chuyện dùng AI. Thứ nhất, soạn thảo, lưu giữ tài liệu bí mật nhà nước trên máy tính hoặc thiết bị đang kết nối Internet. Thứ hai, đăng tải, phát tán bí mật nhà nước trên mạng. Thứ ba, nguyên văn: "sử dụng trí tuệ nhân tạo hoặc công nghệ mới để xâm phạm bí mật nhà nước". Cái bẫy nằm ở khâu mà ít ai ngờ: số hóa. Nghị định 63/2026/NĐ-CP hướng dẫn thi hành luật mới định nghĩa rất rõ, sao tài liệu bí mật bao gồm cả "sao từ văn bản giấy sang văn bản điện tử". Tức là quét hay chụp tài liệu giấy lên máy tính cũng là "sao", phải được người có thẩm quyền cho phép, ghi vào sổ quản lý \[4\]. Thiết bị dùng để sao thì sao? "Không được kết nối với mạng máy tính (trừ mạng LAN độc lập), mạng Internet, mạng viễn thông". Một chiếc điện thoại nối mạng thông thường cũng không đủ chuẩn để số hóa tài liệu mật. Và đây là chỗ nhiều người hỏi mình: vậy tôi che hết thông tin nhạy cảm trong bản mật rồi đưa phần còn lại lên AI, được chưa? Chưa. Bản trích ấy vẫn chứa bí mật nhà nước chừng nào chưa được giải mật, mà giải mật (kể cả giải mật một phần) phải qua hội đồng giải mật theo Điều 22, không phải vì mình đã che bằng phần mềm mà hết mật \[2\]. Với loại văn bản này, câu trả lời không phải "redact cẩn thận rồi dùng" mà là "dừng tay". Một điều nữa: năm 2025 Việt Nam còn thông qua Luật Trí tuệ nhân tạo 134/2025/QH15, hiệu lực cùng ngày 01/3/2026 \[7\]. Luật này cấm thu thập, xử lý dữ liệu trái quy định để huấn luyện AI, và nói rõ AI trong quản lý nhà nước không được thay thế thẩm quyền quyết định của con người. Bối cảnh pháp lý quanh AI đang được viết lại nhanh, mình sẽ quay lại điểm này ở phần cuối. ## Che dữ liệu cá nhân xong thì còn là dữ liệu cá nhân không Nếu bí mật nhà nước là cánh cửa đóng, thì dữ liệu cá nhân là cánh cửa có chìa. Chìa nằm ở Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, hiệu lực từ 01/01/2026. Khoản 1 Điều 2 của luật này có một câu mà mình tin sẽ được trích nhiều nhất trong chủ đề redact: "Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân" \[3\]. Khoản 11 định nghĩa khử nhận dạng là quá trình thay đổi hoặc xoá thông tin để tạo ra dữ liệu mới không thể xác định, hoặc không thể giúp xác định, một con người cụ thể. Về mặt pháp lý, ông Nguyễn Văn A trở thành \[NGƯỜI\_1\] thì \[NGƯỜI\_1\] không còn là dữ liệu cá nhân của ông A nữa, và việc phân tích, tóm tắt trên nền tảng AI không rơi vào khung điều chỉnh chặt nhất của luật. Điều kiện kèm theo đáng nói. "Không thể giúp xác định" là chuẩn cao hơn "đã xoá tên". Nếu văn bản còn ghi "Giám đốc Sở X, 45 tuổi, quê huyện Y" thì dù không còn tên, người đọc vẫn suy ra được đó là ai. Bản đó chưa đạt chuẩn khử nhận dạng. Cách hiểu này trùng với hướng dẫn y tế bên Mỹ mà mình sẽ nói bên dưới. Còn nếu không che thì sao? Đưa tài liệu chứa dữ liệu cá nhân của công dân Việt Nam lên một AI của nhà cung cấp nước ngoài chính là chuyển dữ liệu cá nhân ra nước ngoài. Định nghĩa tại khoản 14 Điều 2 Nghị định 13/2023 bao gồm cả việc "xử lý dữ liệu cá nhân bằng các hệ thống tự động nằm ngoài lãnh thổ" \[7\], và Điều 20 Luật 91/2025 giữ nghĩa vụ: lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới, gửi cơ quan chuyên trách trong 60 ngày \[3\]. Luật 91/2025 còn có riêng Điều 30 về AI: xử lý dữ liệu cá nhân bằng trí tuệ nhân tạo phải đúng mục đích, giới hạn trong phạm vi cần thiết, và phân loại theo mức độ rủi ro. Có một ngoại lệ thú vị cho người dùng cá nhân. Điều 20 khoản 6 miễn trừ trường hợp "chủ thể dữ liệu tự chuyển dữ liệu cá nhân của mình". Anh chị tải hợp đồng của chính mình lên ChatGPT để hỏi, luật không bắt anh chị làm hồ sơ đánh giá tác động. Trách nhiệm nặng nhất đè lên tổ chức (công ty, bệnh viện, cơ quan) xử lý dữ liệu của người khác. ## Bí mật kinh doanh và bí mật nghề nghiệp thì ai quyết định Hai loại cuối của bảng, và đây là vùng mà doanh nghiệp có quyền tự thiết kế quy trình của mình. Bí mật kinh doanh theo Luật Sở hữu trí tuệ được bảo hộ khi thỏa ba điều kiện ở Điều 84: không phải hiểu biết thông thường, tạo lợi thế cho người nắm giữ, và (điều khoản then chốt) "được chủ sở hữu bảo mật bằng các biện pháp cần thiết" \[7\]. Điều 127 gọi hành vi "bộc lộ, sử dụng thông tin thuộc bí mật kinh doanh mà không được phép của chủ sở hữu" là xâm phạm quyền \[7\]. Ghép hai điều này ra một hệ quả thực tế: dán báo giá nội bộ lên AI công cộng có thể vừa làm mất điều kiện bảo hộ (vì không còn được bảo mật bằng biện pháp cần thiết) vừa là hành vi bộc lộ trái phép. Ngược lại, doanh nghiệp hoàn toàn có quyền cho phép nhân viên dùng AI với tài liệu nội bộ, kèm điều kiện. Bộ luật Lao động khoản 2 Điều 21 thiết kế đúng cơ chế ấy: bảo vệ bí mật kinh doanh bằng thỏa thuận văn bản giữa người lao động và người sử dụng lao động \[7\]. Luật giao việc quyết cho doanh nghiệp. Riêng bí mật nghề nghiệp thì chặt hơn. Luật Khám chữa bệnh 2023 yêu cầu hồ sơ bệnh án được lưu giữ và giữ bí mật; trường hợp thuộc bí mật nhà nước thì áp luật bảo vệ bí mật nhà nước \[7\]. Luật Kiểm toán độc lập cấm kiểm toán viên cung cấp thông tin khách hàng cho bất kỳ ai, trừ sáu trường hợp, mà trường hợp đầu tiên là "khách hàng đồng ý bằng văn bản" \[7\]. Với các nghề này, muốn đưa hồ sơ đã che lên AI, cách an toàn nhất là có đồng ý bằng văn bản của chính người liên quan. Còn bí mật đời tư được Hiến pháp 2013 Điều 21 và Bộ luật Dân sự Điều 38 bảo vệ: công khai thông tin đời tư của người khác phải được người đó đồng ý \[7\]\[7\]. ## Vậy quy trình che bằng quy tắc cứng chạy trên máy mình có vi phạm không Đến ba câu hỏi mình nhận được nhiều nhất. Giờ trả lời được thẳng. Trước tiên: quy trình redact kiểu Redact GUI, tức quy tắc nhận diện cứng viết sẵn trong code, chạy hoàn toàn trên máy người dùng, không nối mạng, không dùng AI để che, có vi phạm quy định nào không? Không, với điều kiện văn bản không thuộc diện bí mật nhà nước. Toàn bộ quá trình che diễn ra nội bộ máy tính, không tạo ra hành vi chuyển dữ liệu đi đâu. Với văn bản chứa dữ liệu cá nhân, che xong đạt chuẩn khử nhận dạng thì rơi ra ngoài khung chặt nhất của Luật 91/2025 \[3\]. Với bí mật kinh doanh, đây chính là "biện pháp bảo mật cần thiết" mà Điều 84 Luật Sở hữu trí tuệ yêu cầu để giữ quyền bảo hộ \[7\]. Một chi tiết mình muốn nhấn: đừng dùng AI để che dữ liệu. Bước che mà gửi dữ liệu gốc qua một AI nữa thì chính bước đó đã là chuyển dữ liệu, với dữ liệu cá nhân là chuyển xuyên biên giới. Đây là lý do Redact GUI chọn cách chạy quy tắc cứng thuần, không qua AI. Tiếp theo: khi nào được đưa văn bản đã che lên AI? Khi hội đủ các cửa sau. Văn bản không thuộc bí mật nhà nước và không thuộc danh mục dữ liệu cốt lõi, quan trọng đang bị hạn chế chia sẻ. Dữ liệu cá nhân đã khử nhận dạng đạt chuẩn hoặc có đồng ý của chủ thể. Bí mật kinh doanh nằm trong phạm vi chính sách nội bộ cho phép; nếu doanh nghiệp cho phép thì nên dùng bản doanh nghiệp của công cụ AI, vì các nhà cung cấp lớn như OpenAI, Microsoft, Google đều cam kết bằng hợp đồng không dùng dữ liệu khách hàng doanh nghiệp để huấn luyện mô hình ở các gói này \[7\]. Bí mật nghề nghiệp có đồng ý văn bản của khách hàng hoặc người bệnh. Và một bước bắt buộc trước khi bấm gửi: đọc lại bản đã che bằng mắt thường. Quy tắc máy không bao giờ phủ hết tên riêng và ngữ cảnh, chỗ không chắc phải tự duyệt. Và cuối cùng: khi nào thì không được? Văn bản thuộc bí mật nhà nước ở bất kỳ độ mật nào, kể cả đã che, trừ khi đã giải mật chính thức. Dữ liệu cá nhân chưa khử nhận dạng và chưa có đồng ý, đưa lên AI nước ngoài. Bí mật kinh doanh khi doanh nghiệp chưa cho phép bằng chính sách nội bộ. Bí mật nghề nghiệp thiếu đồng ý văn bản. Và một trường hợp dễ bỏ qua: dùng bản miễn phí, bản cá nhân của các công cụ AI với dữ liệu nhạy cảm. Các cuộc hội thoại ở bản này thường được dùng để cải tiến mô hình, điều mà bản doanh nghiệp cam kết không làm \[7\]. Mô tả bằng flow thì nó trông thế này, flowchart đầy đủ kèm bài viết: ![Flowchart quy trình quyết định](https://locdang.com/content/images/2026/11/flowchart-redact-ai-4.png) Gặp văn bản, hỏi lần lượt sáu câu. Thuộc bí mật nhà nước? Dừng. Thuộc dữ liệu cốt lõi, quan trọng bị hạn chế? Hỏi đơn vị quản lý. Có dữ liệu cá nhân? Che đạt chuẩn khử nhận dạng rồi mới qua cửa. Có bí mật kinh doanh? Theo chính sách nội bộ. Có bí mật nghề nghiệp? Cần đồng ý văn bản. Còn lại mới là vùng dùng được thoải mái. ## Sáu chuẩn quốc tế đã đi trước việc này cả chục năm Phần này là thứ mình thấy thú vị nhất khi research: chuyện che dữ liệu trước khi đưa cho bên thứ ba không phải bài toán Việt Nam tự nghĩ ra. Thế giới đã có cả một hệ chuẩn, và thiết kế của Redact GUI vô tình đi trúng nhiều điểm. Cơ quan an ninh mạng Anh (NCSC) tóm tắt nguyên tắc số một trong một câu đáng dán cạnh màn hình: đừng gửi lên AI công cộng bất cứ thứ gì mà anh không chịu nổi nếu nó bị công khai, vì câu hỏi của anh "sẽ hiển thị với tổ chức cung cấp mô hình", được lưu trữ và "gần như chắc chắn" dùng để phát triển dịch vụ \[5\]. Nền y tế Mỹ có danh sách chuẩn hóa dài nhất. Hướng dẫn khử danh tính của HIPAA (bộ luật bảo mật thông tin y tế) liệt kê 18 nhóm thông tin phải xoá theo phương pháp Safe Harbor: tên, địa chỉ chi tiết hơn cấp bang, mọi ngày tháng trừ năm, số điện thoại, email, số an sinh xã hội, số hồ sơ y tế, số tài khoản, chứng chỉ, biển số xe, thiết bị, địa chỉ web, địa chỉ IP, sinh trắc học, ảnh toàn mặt, và mọi mã định danh duy nhất khác \[6\]. Hai chi tiết đắt giá: viết tắt tên hoặc giữ bốn số cuối không tính là đã che; và chữ trong phần mô tả tự do cũng phải quét sạch như trường dữ liệu có cấu trúc, vì bệnh án ghi "bệnh nhân là phó giám đốc đại học bang" cũng đủ định danh người ta. Ngay cả làm đúng hết, hướng dẫn vẫn ghi thẳng: rủi ro còn lại rất nhỏ, dù không bằng không. Cơ quan an ninh mạng Mỹ (CISA) cùng NSA và bốn cơ quan đồng minh đã ban hành bản hướng dẫn chung về dữ liệu cho AI năm 2025, trong đó có hai câu đáng nhớ. Một là khuyến nghị dùng "data masking", thay dữ liệu nhạy cảm bằng thông tin giả mà chân thực, đúng kiểu \[NGƯỜI\_1\] thay cho tên \[7\]. Hai là: "đầu ra của hệ thống AI nên được phân loại cùng mức với dữ liệu đầu vào". Câu sau nghĩa là đưa gì mức ấy vào thì kết quả nhận về cũng phải đối xử mức ấy, đừng tưởng AI tóm tắt xong là dữ liệu "sạch hơn". Bên kỹ thuật, OWASP (tổ chức đứng sau các tiêu chuẩn bảo mật ứng dụng) xếp "rò rỉ thông tin nhạy cảm" vào top rủi ro của ứng dụng mô hình ngôn ngữ lớn năm 2025, với giải pháp đúng cái Redact GUI đang làm: dùng khớp mẫu để nhận diện và che nội dung nhạy cảm trước khi xử lý \[7\]. NIST, khung quản trị rủi ro AI của chính phủ Mỹ, cũng liệt kê "loại bỏ thông tin định danh cá nhân" là một hành động khuyến nghị, và yêu cầu quy trình giám sát của con người được xác lập, ghi chép rõ ràng \[7\]. Còn NSA thì từ 2005 đã có tài liệu dạy một bài học không bao giờ cũ: tô đen đè lên chữ không phải là che, dữ liệu vẫn nằm bên dưới, phải xoá thật, xoá cả metadata, và kiểm tra lại file cuối bằng cách tìm kiếm \[7\]. Gom lại thành playbook sáu bước cho anh chị. Coi mỗi câu hỏi gửi AI như một bài đăng công khai. Che theo danh sách kiểu 18 mục của HIPAA. Tự động hóa việc che bằng quy tắc để đỡ sót. Che cho thật, xoá chứ không tô đen. Để người duyệt trước khi gửi và trước khi dùng kết quả. Dữ liệu thật nhạy cảm thì dùng gói doanh nghiệp có cam kết hợp đồng. ## Gotchas, những chỗ mình phải lần sờ và chưa chắc chắn 100% Bài research mà chỉ có kết luận suôn sẽ thì vô nghĩa. Đây là phần mình thấy đáng tiền nhất: những chỗ gập ghềnh trong lúc đọc. Luật đang đổi nhanh đến mức đọc bài cũ trên mạng là tự sai. Trong vòng một năm, ít nhất bốn đạo luật liên quan trực tiếp đến dữ liệu và AI đã thay hoặc mới: Luật Bảo vệ bí mật nhà nước 117/2025 (01/3/2026), Luật Trí tuệ nhân tạo 134/2025 (01/3/2026), Luật An ninh mạng 116/2025 (01/7/2026), Luật Bảo vệ dữ liệu cá nhân 91/2025 (01/01/2026). Một bài tư vấn viết đầu năm 2026 mà dẫn Luật bảo vệ bí mật nhà nước 29/2018 là đã trễ một đời luật. Anh chị gặp tư vấn pháp lý về chủ đề này, câu hỏi đầu tiên nên là: văn bản nào, số hiệu nào, còn hiệu lực không. Vài chỗ mình phải đánh dấu độ tin cậy trung bình và muốn khai rõ. Điều 337, 338 Bộ luật Hình sự về tội làm lộ bí mật nhà nước: mình xác minh qua nguồn thứ cấp, chưa đối chiếu trực tiếp bản hợp nhất mới nhất, nên chỉ nêu tên điều luật, không trích nguyên văn. Luật An ninh mạng 116/2025 đã có hiệu lực, riêng nội dung chi tiết về lưu trữ dữ liệu mình chưa đọc toàn văn, nên phần liên quan luật cũ 2018 mình viết thận trọng. Danh mục dữ liệu cá nhân nhạy cảm mới theo Luật 91/2025 sẽ do Chính phủ ban hành; khi anh chị đọc bài này, hãy kiểm tra danh mục đó đã có chưa. Cách đọc luật an toàn nhất là biết rõ chỗ nào mình chưa biết. Một quan sát về thiết kế chính sách: Việt Nam chọn cách bảo vệ theo từng loại thông tin (bí mật nhà nước, dữ liệu cá nhân, bí mật kinh doanh) thay vì gộp mọi thứ vào một khái niệm chung chung cho AI. Cách này chặt hơn về pháp lý, song người dùng dễ hiểu nhầm rằng động đến AI là lỗi, trong khi luật thực ra mở đường rõ ràng cho việc che rồi dùng. Khoảng trống giữa ngôn ngữ truyền thông và ngôn ngữ luật chính là lý do bài này tồn tại. Cuối cùng, về công cụ: cam kết "không huấn luyện trên dữ liệu doanh nghiệp" của các nhà cung cấp AI là cam kết hợp đồng, có giá trị, chỉ là phụ thuộc điều khoản cụ thể từng gói và từng thời điểm. Đọc lại điều khoản trước khi gia hạn là thói quen nên có. ## Áp dụng ngay được gì từ hôm nay Nếu anh chị quản lý một tổ chức, ba việc đáng làm ngay. Phân loại tài liệu nội bộ theo ba nhóm đơn giản để ai cũng nhớ: nhóm không bao giờ đụng AI (bất cứ gì dính bí mật nhà nước), nhóm che rồi được dùng (có dữ liệu cá nhân, đã che đạt chuẩn khử nhận dạng), nhóm thoải mái. Ban hành một đoạn chính sách nội bộ về nhóm thứ hai và nhóm thứ ba, vì luật giao quyền này cho doanh nghiệp, không dùng là bỏ phí. Và chuyển đội ngũ hay đụng dữ liệu nhạy cảm sang gói doanh nghiệp của công cụ AI họ đang dùng. Còn với người dùng cá nhân, quy tắc nhỏ nhất để nhớ: prompt là bản đăng công khai. Trước khi dán bất cứ gì vào hộp thoại AI, tự hỏi nếu nó lộ ra ngoài thì mình chịu thế nào. Không chịu nổi thì che. Không che được thì đừng gửi. ## Nguồn Phạm vi research: 14/11/2026, mười văn bản pháp luật Việt Nam đọc nguyên bản (PDF ký chính thức trên cổng văn bản Chính phủ), sáu bộ chuẩn quốc tế. Số trong ngoặc vuông khớp danh mục dưới. \[1\] Luật Dữ liệu 60/2024/QH15, toàn văn, xaydungchinhsach.chinhphu.vn/toan-van-luat-du-lieu-119250226145839949.htm \[2\] Luật Bảo vệ bí mật nhà nước 2025 số 117/2025/QH15, thuvienphapluat.vn/van-ban/Bo-may-hanh-chinh/Luat-Bao-ve-bi-mat-nha-nuoc-2025-so-117-2025-QH15-685866.aspx \[3\] Luật Bảo vệ dữ liệu cá nhân 2025 số 91/2025/QH15, PDF ký chính thức: datafiles.chinhphu.vn/cpp/files/vbpq/2025/7/91qh.signed.pdf \[4\] Nghị định 63/2026/NĐ-CP hướng dẫn Luật Bảo vệ bí mật nhà nước, thuvienphapluat.vn/van-ban/Bo-may-hanh-chinh/Nghi-dinh-63-2026-ND-CP-huong-dan-Luat-Bao-ve-bi-mat-nha-nuoc-696287.aspx \[5\] UK NCSC, "ChatGPT and large language models: what's the risk?", ncsc.gov.uk/blog-post/chatgpt-and-large-language-models-whats-the-risk \[6\] HHS OCR, "Guidance Regarding Methods for De-identification of PHI" (45 CFR §164.514(b)), hhs.gov/hipaa/for-professionals/special-topics/de-identification/index.html \[7\] Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, PDF ký chính thức: datafiles.chinhphu.vn/cpp/files/vbpq/2023/4/13nd.signed.pdf \[7\] Luật Sở hữu trí tuệ 2005 (sửa đổi 2022), Điều 84, 85, 127, văn bản hợp nhất 155/VBHN-VPQH 2025, luatvietnam.vn \[7\] Bộ luật Lao động 2019, khoản 2 Điều 21, PDF ký chính thức: datafiles.chinhphu.vn/cpp/files/vbpq/2019/12/45.signed.pdf \[7\] Luật Khám bệnh, chữa bệnh 2023 số 15/2023/QH15, Điều 10, 69, PDF ký chính thức: datafiles.chinhphu.vn/cpp/files/vbpq/2023/02/15luat.signed.pdf \[7\] Luật Kiểm toán độc lập 2011 số 67/2011/QH12, Điều 12, vanban.chinhphu.vn \[7\] Bộ luật Dân sự 2015, Điều 38 \[7\] Hiến pháp 2013, Điều 21, vanban.chinhphu.vn/hien-phap-nam-2013 \[7\] Luật Trí tuệ nhân tạo 2025 số 134/2025/QH15, luatvietnam.vn/khoa-hoc/luat-tri-tue-nhan-tao-2025-so-134-2025-qh15-422299-d1.html \[7\] OpenAI business-data (openai.com/business-data); Microsoft Copilot enterprise data protection (learn.microsoft.com); Google Workspace privacy hub (knowledge.workspace.google.com) \[7\] CISA + NSA + FBI + ASD/ACSC + NCSC-NZ + NCSC-UK, "AI Data Security: Best Practices for Securing Data Used to Train & Operate AI Systems" (CSI, 22/5/2025), media.defense.gov/2025/May/22/2003720601/-1/-1/0/CSI\_AI\_DATA\_SECURITY.PDF \[7\] OWASP Top 10 for LLM Applications 2025, LLM02 Sensitive Information Disclosure, genai.owasp.org/llmrisk/llm022025-sensitive-information-disclosure \[7\] NIST AI Risk Management Framework 1.0 (NIST AI 100-1) và Generative AI Profile (NIST AI 600-1), nvlpubs.nist.gov \[7\] NSA, "Redacting with Confidence" (I333-TR-015R-2005), bản lưu FAS, fas.org/publication/nsa\_redacting\_with\_confidence --- *Bài này chia sẻ kiến thức mình tổng hợp khi làm bộ công cụ Redact GUI (github.com/hailoc12/redact-gui, miễn phí, mã nguồn mở, chạy hoàn toàn trên máy anh chị, che bằng quy tắc cứng không qua AI). Đây là nội dung chia sẻ kiến thức, không thay thế tư vấn pháp lý cho trường hợp cụ thể của anh chị.* *Lộc Đặng · locdang.com*