Cách Sử Dụng Công Cụ AI An Toàn: Hướng Dẫn Thực Tế Bảo Vệ Dữ Liệu

Các công cụ AI như ChatGPT, Claude và GitHub Copilot đã trở nên thiết yếu cho năng suất công việc. Nhưng mỗi lần bạn tương tác với các công cụ này, bạn có thể đang chia sẻ dữ liệu với máy chủ của họ — dữ liệu có thể được lưu trữ, sử dụng để đào tạo, hoặc thậm chí bị lộ trong một vụ vi phạm.

Hướng dẫn này cung cấp các bước thực tế, có thể hành động để sử dụng công cụ AI trong khi bảo vệ thông tin nhạy cảm của bạn.

Quy Tắc Vàng: Giả Định Mọi Thứ Đều Công Khai

Trước khi đi vào các cài đặt và công cụ cụ thể, hãy ghi nhớ nguyên tắc này:

Coi mọi prompt bạn gửi đến công cụ AI như thể nó có thể trở thành công khai.

Điều này có nghĩa:

• Nhân viên của công ty AI có thể đọc được
• Có thể xuất hiện trong một vụ rò rỉ dữ liệu
• Có thể ảnh hưởng đến phản hồi cho người dùng khác
• Có thể bị trích xuất trong các thủ tục pháp lý

Nếu bạn không muốn đăng công khai, đừng dán vào chatbot.

Bước 1: Cấu Hình Cài Đặt Quyền Riêng Tư

ChatGPT (OpenAI)

Tắt đào tạo trên dữ liệu của bạn:

1. Vào Cài đặt → Kiểm soát Dữ liệu
2. TẮT "Cải thiện mô hình cho mọi người"
3. Cuộc hội thoại của bạn sẽ không còn được sử dụng để đào tạo các mô hình tương lai

Sử dụng Chat Tạm thời:

• Nhấp vào nút "Chat Tạm thời" trước các cuộc trò chuyện nhạy cảm
• Các cuộc chat này không được lưu vào lịch sử và không được sử dụng để đào tạo

API vs. Người tiêu dùng:

• OpenAI không đào tạo trên việc sử dụng API theo mặc định
• Cân nhắc sử dụng API trực tiếp cho các ứng dụng nhạy cảm

Claude (Anthropic)

Gói trả phí:

• Cuộc hội thoại Claude Pro/Team/Enterprise KHÔNG được sử dụng để đào tạo theo mặc định
• Xem lại chính sách sử dụng dữ liệu của Anthropic cho gói cụ thể của bạn

Gói miễn phí:

• Cuộc hội thoại có thể được sử dụng để đào tạo
• Sử dụng các tính năng tạm thời của Claude khi có sẵn

Google Gemini

Tắt lưu hoạt động:

1. Vào Hoạt động Ứng dụng Gemini
2. TẮT lưu hoạt động
3. Đặt tự động xóa ở khoảng thời gian ngắn nhất

Microsoft Copilot

Người dùng doanh nghiệp:

• Copilot cho Microsoft 365 có bảo vệ dữ liệu mạnh hơn
• Copilot người tiêu dùng có chính sách dữ liệu lỏng hơn
• Sử dụng phiên bản Copilot của tổ chức cho dữ liệu công việc

Bước 2: Hiểu Những Gì KHÔNG Nên Chia Sẻ

Tuyệt đối không dán vào chatbot AI:

Danh mục	Ví dụ	Rủi ro
Thông tin xác thực	Mật khẩu, khóa API, token	Xâm phạm tài khoản trực tiếp
Thông tin cá nhân	CMND, thẻ tín dụng, hồ sơ y tế	Trộm danh tính, vi phạm PDPA
Bí mật công ty	Mã nguồn, dữ liệu khách hàng, tài chính	Mất bí mật thương mại, vi phạm tuân thủ
Giao tiếp riêng tư	Email, tin nhắn bạn đang nhờ viết	Vi phạm quyền riêng tư

Dấu hiệu cảnh báo trong prompt:

• Bất kỳ chuỗi nào bắt đầu bằng sk-, AKIA, ghp_, v.v. (có thể là khóa API)
• Bất cứ thứ gì có miền email @congty.com
• Chuỗi kết nối cơ sở dữ liệu
• Tên thật với chi tiết cá nhân
• Ảnh chụp màn hình chưa che giấu

Bước 3: Che Giấu Trước Khi Chia Sẻ

Khi bạn cần AI giúp với code hoặc tài liệu chứa thông tin nhạy cảm:

Thay thế giá trị thật bằng placeholder:

# Thay vì:
api_key = "sk-proj-abc123xyz789"
db_password = "MyR3alP@ssword!"

# Sử dụng:
api_key = "KHOA_API_OPENAI_CUA_BAN"
db_password = "MAT_KHAU_DATABASE_CUA_BAN"

Ẩn danh thông tin cá nhân:

# Thay vì:
"Nguyễn Văn A từ Công ty FPT ([email protected]) yêu cầu..."

# Sử dụng:
"Người dùng A từ Công ty X ([email protected]) yêu cầu..."

Tổng quát hóa trước khi hỏi:

Thay vì: "Tại sao khóa AWS AKIAIOSFODNN7EXAMPLE của tôi không hoạt động?"

Hỏi: "Nguyên nhân phổ biến khiến khóa truy cập AWS có thể ngừng hoạt động là gì?"

Bước 4: Chọn Công Cụ Phù Hợp Theo Mức Độ Nhạy Cảm

Độ nhạy cảm thấp (thông tin công khai, câu hỏi chung):

• Công cụ AI tiêu dùng là ổn
• Gói miễn phí ChatGPT, Claude, Gemini
• Không cần biện pháp phòng ngừa đặc biệt

Độ nhạy cảm trung bình (quy trình nội bộ, code không bí mật):

• Bật cài đặt quyền riêng tư
• Sử dụng chế độ tạm thời/ẩn danh
• Che giấu chi tiết cụ thể

Độ nhạy cảm cao (thông tin xác thực, PII, bí mật thương mại):

• Sử dụng gói doanh nghiệp với DPA
• Cân nhắc mô hình cục bộ/tự host
• Hoặc không sử dụng AI cho dữ liệu này

Tùy Chọn AI Doanh Nghiệp:

Dịch vụ	Bảo vệ Chính	Tuân thủ
ChatGPT Enterprise	Không đào tạo trên dữ liệu, SOC 2	GDPR, sẵn sàng HIPAA
Claude Enterprise	DPA có sẵn, không đào tạo	SOC 2, GDPR
Azure OpenAI	Dữ liệu ở trong Azure của bạn	Tuân thủ doanh nghiệp đầy đủ
AWS Bedrock	VPC của bạn, dữ liệu của bạn	Tuân thủ doanh nghiệp đầy đủ

Bước 5: Xử Lý Thông Tin Xác Thực Đúng Cách

Không bao giờ chia sẻ thông tin xác thực qua công cụ AI hoặc tin nhắn thông thường

Khi bạn cần chia sẻ thông tin xác thực nhạy cảm với đồng nghiệp:

Thực hành xấu:

• Dán vào Zalo/Slack/email (tin nhắn được lưu trữ)
• Đặt trong tài liệu chia sẻ (truy cập liên tục)
• Gửi qua email (thường không mã hóa, có thể tìm kiếm)
• Dán vào chatbot AI (có thể được sử dụng để đào tạo)

Thực hành tốt hơn:

• Sử dụng tính năng chia sẻ của trình quản lý mật khẩu
• Sử dụng công cụ quản lý bí mật của tổ chức
• Chia sẻ qua các kênh mã hóa, tự hủy

Sử Dụng Liên Kết An Toàn Có Hạn

Các dịch vụ như LOCK.PUB cho phép bạn:

1. Tạo ghi chú được bảo vệ bằng mật khẩu
2. Đặt thời gian hết hạn (1 giờ, 24 giờ, v.v.)
3. Làm cho nó tự hủy sau khi được xem một lần
4. Chia sẻ liên kết qua một kênh và mật khẩu qua kênh khác

Quy trình ví dụ:

• Bạn cần chia sẻ mật khẩu database với thành viên mới
• Tạo ghi chú an toàn với mật khẩu
• Đặt hết hạn sau 1 giờ và xóa sau khi xem
• Gửi liên kết qua email, mật khẩu qua kênh khác
• Thông tin xác thực không thể truy xuất lại sau khi họ xem

Điều này an toàn hơn vô cùng so với đặt thông tin xác thực trong email, tin nhắn chat, hoặc prompt AI.

Bước 6: Cân Nhắc Mô Hình AI Cục Bộ

Cho công việc thực sự nhạy cảm, cân nhắc chạy mô hình AI cục bộ:

Tùy chọn AI cục bộ:

Ollama + Mô hình Open Source:

• Chạy Llama, Mistral, hoặc các mô hình khác cục bộ
• Không có dữ liệu nào rời khỏi máy của bạn
• Tốt cho code review, hỗ trợ viết lách

GPT4All:

• Ứng dụng desktop để chạy mô hình cục bộ
• Không cần internet
• Phù hợp cho môi trường offline

LocalAI:

• Server cục bộ tương thích API OpenAI
• Có thể tích hợp vào quy trình làm việc hiện có

Đánh đổi của mô hình cục bộ:

• Ít khả năng hơn GPT-4 hoặc Claude
• Yêu cầu phần cứng tốt (khuyến nghị GPU)
• Không có truy cập internet = không có kiến thức bên ngoài
• Nhưng: quyền riêng tư hoàn toàn

Bước 7: Triển Khai Chính Sách Đội Nhóm

Nếu bạn quản lý một đội, thiết lập hướng dẫn rõ ràng:

Công cụ và gói được phê duyệt:

• Dịch vụ AI nào có thể sử dụng
• Gói nào (miễn phí vs. doanh nghiệp) cho dữ liệu nào
• Cách xin phê duyệt ngoại lệ

Phân loại dữ liệu:

• Loại dữ liệu nào có thể thảo luận với AI
• Những gì cần che giấu
• Những gì hoàn toàn bị cấm

Yêu cầu đào tạo:

• Đào tạo nhận thức bảo mật AI hàng năm
• Cập nhật khi có rủi ro mới
• Quy trình ứng phó sự cố

Kiểm toán và giám sát:

• Ghi log việc sử dụng công cụ AI nếu có thể
• Xem xét tuân thủ chính sách
• Học từ các sự cố

Tham Khảo Nhanh: Checklist An Toàn AI

Trước khi gửi bất kỳ prompt nào đến công cụ AI, hãy tự hỏi:

• Tôi có thoải mái nếu prompt này trở thành công khai không?
• Tôi đã xóa tất cả mật khẩu, khóa API và token chưa?
• Tôi đã ẩn danh thông tin cá nhân (tên, email, ID) chưa?
• Tôi đã che giấu chi tiết cụ thể của công ty không cần thiết chưa?
• Tôi có đang sử dụng gói phù hợp với độ nhạy cảm của dữ liệu này không?
• Tôi đã bật cài đặt quyền riêng tư (từ chối đào tạo, chat tạm thời) chưa?

Nếu bạn không thể đánh dấu tất cả, hãy dừng lại và che giấu trước khi tiếp tục.

Tìm Hiểu Thêm Về Rủi Ro Cụ Thể

Hướng dẫn này đã đề cập các thực hành tốt nhất chung. Để tìm hiểu sâu hơn về các mối đe dọa cụ thể, xem các bài viết liên quan:

• Rò Rỉ Dữ Liệu Chatbot AI: Điều Gì Xảy Ra Khi Bạn Dán Thông Tin Nhạy Cảm — Rủi ro của việc chia sẻ dữ liệu với ChatGPT, Claude và các chatbot khác
• Rủi Ro Bảo Mật AI Agent: Tại Sao Cho AI Quá Nhiều Quyền Là Nguy Hiểm — Rủi ro đặc biệt khi AI có thể thực thi code và truy cập file
• Trợ Lý Code AI Đang Viết Code Không An Toàn — Lỗ hổng bảo mật trong code do AI tạo ra

Kết Luận

Công cụ AI cực kỳ mạnh mẽ, nhưng cần sử dụng có suy nghĩ. Sự tiện lợi của việc nhận trợ giúp ngay lập tức từ ChatGPT không đáng để đổi lấy rò rỉ dữ liệu, vi phạm tuân thủ, hoặc lộ thông tin xác thực.

Các mục hành động của bạn:

1. Cấu hình cài đặt quyền riêng tư trên tất cả công cụ AI bạn sử dụng hôm nay
2. Thiết lập quy tắc cá nhân: không thông tin xác thực, không PII, không bí mật trong prompt AI
3. Sử dụng kênh mã hóa có hạn để chia sẻ dữ liệu nhạy cảm
4. Đào tạo đội của bạn về thực hành tốt nhất bảo mật AI
5. Cân nhắc mô hình cục bộ cho công việc nhạy cảm nhất

30 giây thêm để che giấu có thể cứu bạn khỏi hàng tháng ứng phó sự cố.

Tạo ghi chú an toàn có hạn →