Chatbot AI dùng dịch vụ đám mây nước ngoài sẽ gửi hội thoại có tên, số điện thoại của khách ra máy chủ ngoài Việt Nam. Theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, đó là chuyển dữ liệu ra nước ngoài. Doanh nghiệp vẫn dùng được chatbot, nhưng cần lập hồ sơ, ký hợp đồng và báo cho khách.
Vì sao gửi hội thoại qua dịch vụ AI nước ngoài bị coi là chuyển dữ liệu ra nước ngoài?
Khách gõ vào khung chat trên website hoặc ứng dụng. Máy chủ của doanh nghiệp chuyển nội dung đó qua HTTPS tới máy chủ của nhà cung cấp mô hình, thường đặt ở Mỹ, Singapore hoặc châu Âu. Mô hình sinh câu trả lời rồi gửi lại.
Luật 91 coi việc dùng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân thu thập tại Việt Nam là một trường hợp chuyển dữ liệu cá nhân ra nước ngoài (điểm c khoản 1 Điều 20 Luật; điểm c khoản 1 Điều 17 Nghị định 356/2025/NĐ-CP). Dữ liệu chỉ nằm ở máy chủ nước ngoài vài giây để sinh câu trả lời cũng không làm thay đổi kết luận này. Các nghĩa vụ phát sinh ngay từ khi hệ thống bắt đầu chạy với dữ liệu thật (khoản 1, khoản 2 Điều 20 Luật).
Ba nghĩa vụ chính khi gắn chatbot vào dịch vụ AI đám mây
1. Lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài
Doanh nghiệp phải lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài theo Mẫu số 09. Hồ sơ gửi Cục A05 (Bộ Công an) trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu (khoản 2 Điều 20 Luật; khoản 4 Điều 18 Nghị định 356).
Với chatbot, hồ sơ cần nêu rõ:
Nhà cung cấp mô hình là bên nhận.
Vị trí máy chủ.
Loại dữ liệu có thể xuất hiện trong hội thoại.
Thời gian nhà cung cấp lưu dữ liệu.
Biện pháp bảo vệ của nhà cung cấp.
2. Ký hợp đồng xử lý dữ liệu với nhà cung cấp AI
Doanh nghiệp cần có thỏa thuận xử lý dữ liệu (Data Processing Addendum, DPA) với nhà cung cấp. Bản sao hợp đồng hoặc văn bản chuyển giao ràng buộc trách nhiệm giữa bên chuyển và bên nhận là thành phần bắt buộc của hồ sơ (điểm b khoản 2 Điều 18 Nghị định 356). Không có hợp đồng này thì tổ chức bị phạt tiền (điểm a khoản 2 Điều 56 Nghị định 330/2026/NĐ-CP).
Khi ký, nên yêu cầu nhà cung cấp cam kết không dùng dữ liệu gửi qua API để huấn luyện mô hình, và nêu rõ thời gian lưu dữ liệu.
3. Thông báo cho khách và lấy sự đồng ý
Ngay tại khung chat, cần cho khách biết ba điều trước khi bắt đầu:
Hội thoại được xử lý bởi hệ thống AI của nhà cung cấp ở nước ngoài.
Tên nhà cung cấp.
Mục đích xử lý.
Sau đó lấy sự đồng ý của khách. Không bảo đảm sự đồng ý cho mục đích chuyển dữ liệu xuyên biên giới, hoặc không thông báo về việc chuyển, bên nhận và mục đích xử lý, thì tổ chức bị phạt tiền (điểm b khoản 2 Điều 56 Nghị định 330).
Nếu chatbot xử lý dữ liệu cá nhân một cách tự động, doanh nghiệp còn phải giải thích nguyên tắc hoạt động của thuật toán, ảnh hưởng đối với quyền lợi của người dùng, và cho họ lựa chọn không tham gia. Ví dụ là cho khách chuyển sang nhân viên chăm sóc khách hàng (khoản 3 Điều 10 Nghị định 356). Không thông báo, giải thích hoặc không có cơ chế từ chối thì bị phạt tiền (điểm a, điểm b khoản 2 Điều 67 Nghị định 330).
Che thông tin định danh trước khi gửi đi
Cách giảm lượng dữ liệu cá nhân rời khỏi Việt Nam là đặt một lớp trung gian che thông tin định danh (PII masking) trước khi gọi API.
Ví dụ, khách gõ: "Tôi tên Nguyễn Văn A, SĐT 0912345678 cần hỗ trợ đơn hàng #123". Lớp trung gian đổi thành: "Tôi tên [NAME_1], SĐT [PHONE_1] cần hỗ trợ đơn hàng [ORDER_1]" rồi mới gửi đi. Khi nhận câu trả lời, lớp trung gian thay nhãn bằng giá trị thật trước khi hiển thị cho khách.
Kỹ thuật này giảm đáng kể dữ liệu cá nhân gửi ra ngoài, nhưng không loại bỏ hoàn toàn. Khách có thể gõ thông tin định danh ở dạng bộ lọc không nhận ra: tên viết không dấu, địa chỉ mô tả, chi tiết về bệnh tình. Vì vậy, không nên coi việc che thông tin là căn cứ để bỏ qua hồ sơ chuyển dữ liệu xuyên biên giới, trừ khi đã đánh giá kỹ rằng nội dung gửi đi không còn xác định được người.
An toàn kết nối và nhật ký truy cập
Kết nối giữa chatbot và API cần mã hóa bằng TLS 1.3.
Khóa API lưu trong hệ thống quản lý bí mật và xoay vòng định kỳ.
Lưu nhật ký truy cập của hệ thống chatbot, khuyến nghị tối thiểu 02 năm, để rà soát và làm bằng chứng khi cơ quan nhà nước kiểm tra hoặc khi điều tra sự cố.
Nhật ký hội thoại cũng chứa dữ liệu cá nhân, nên cần phân quyền truy cập và đặt thời hạn xóa rõ ràng.
Danh sách kiểm tra trước khi bật chatbot
Xác nhận gói dịch vụ API đang dùng có chính sách không dùng dữ liệu để huấn luyện và thời gian lưu dữ liệu phù hợp. Ký DPA với nhà cung cấp.
Triển khai lớp che thông tin định danh (số điện thoại, số định danh, email, địa chỉ) trước khi gửi câu lệnh, và đo tỷ lệ bỏ sót trên hội thoại thật.
Hiển thị thông báo và lấy sự đồng ý tại khung chat. Có lựa chọn chuyển sang nhân viên.
Lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới theo Mẫu số 09, gửi Cục A05 trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu. Cập nhật hồ sơ khi đổi nhà cung cấp mô hình.
Cập nhật hồ sơ đánh giá tác động xử lý dữ liệu (DPIA) để bao gồm hoạt động chatbot, trừ khi doanh nghiệp thuộc diện miễn tại Điều 38 Luật.
Lưu nhật ký truy cập có phân quyền và thời hạn xóa. Ban hành quy chế sử dụng AI nội bộ cho nhân viên vận hành chatbot.
Áp dụng khi chăm sóc khách trên Zalo
Nhiều cửa hàng trả lời khách trên Zalo cá nhân thay vì khung chat website. Câu hỏi về dữ liệu vẫn vậy: hội thoại đi qua những hệ thống nào, và khách đã được báo chưa. Trước khi dùng bất kỳ công cụ chatbot nào, hãy hỏi nhà cung cấp dữ liệu hội thoại được xử lý ở đâu và lưu bao lâu, rồi đối chiếu với danh sách kiểm tra ở trên.
Với Zame, phần mềm chạy trên tài khoản Zalo cá nhân, ba việc chăm sóc khách hằng ngày nằm trong tay bạn:
Câu trả lời do bạn soạn: AI Chatbot của Zame tự trả lời tin nhắn và bình luận theo kịch bản bạn soạn, chạy 24/7. Bạn quyết định chatbot nói gì. Với câu hỏi nằm ngoài kịch bản, câu trả lời có thể là mời khách chờ nhân viên phản hồi.
Lời chào đầu tiên rõ ràng: Zame tự gửi tin chào ngay khi khách đồng ý kết bạn. Bạn tự soạn mẫu tin chào, nên có thể nói rõ ai đang trả lời và khách liên hệ nhân viên bằng cách nào.
Tin sau bán đúng nhóm: bạn hẹn giờ gửi cho từng nhóm khách, chẳng hạn nhóm vừa nhận hàng, thay vì gửi chung cho cả danh sách.
Hai điều nên giữ: chỉ đưa vào kịch bản những gì khách cần để được hỗ trợ, và đừng yêu cầu khách gửi giấy tờ hay số tài khoản qua chat.
Câu hỏi thường gặp
Dữ liệu chỉ ở máy chủ nước ngoài vài giây thì có tính là chuyển ra nước ngoài không?
Có. Theo điểm c khoản 1 Điều 20 Luật 91 và điểm c khoản 1 Điều 17 Nghị định 356, dùng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân thu thập tại Việt Nam là chuyển dữ liệu ra nước ngoài. Thời gian dữ liệu nằm ở đó không làm thay đổi kết luận.
Hồ sơ đánh giá tác động phải nộp khi nào?
Gửi Cục A05 (Bộ Công an) trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu, theo Mẫu số 09 (khoản 2 Điều 20 Luật; khoản 4 Điều 18 Nghị định 356).
Đã che thông tin định danh thì có cần hồ sơ nữa không?
Không nên coi che thông tin là căn cứ để bỏ qua hồ sơ. Khách vẫn có thể gõ thông tin định danh ở dạng bộ lọc không nhận ra. Chỉ khi đã đánh giá kỹ rằng nội dung gửi đi không còn xác định được người thì mới xem xét khác.
Khách không muốn nói chuyện với chatbot thì sao?
Khi chatbot xử lý dữ liệu cá nhân tự động, doanh nghiệp phải cho khách lựa chọn không tham gia, ví dụ chuyển sang nhân viên chăm sóc khách hàng (khoản 3 Điều 10 Nghị định 356).
Khách hỏi chatbot là ai đang trả lời mình? Hãy để câu trả lời có sẵn trong kịch bản. Viết kịch bản minh bạch cho chatbot Zalo trên Zame, rồi để nhân viên nhận những ca cần người thật.