Khi huấn luyện hoặc tinh chỉnh (fine-tune) một mô hình AI, đội dữ liệu thường đưa vào hội thoại, lịch sử giao dịch và hành vi của người dùng. Nếu dữ liệu đầu vào còn số định danh cá nhân, họ tên, địa chỉ hoặc thông tin sức khỏe, mô hình có thể ghi nhớ và tái hiện những thông tin này trong câu trả lời cho người khác. Khử nhận dạng dữ liệu huấn luyện AI là cách giảm rủi ro này và giới hạn phạm vi dữ liệu cá nhân mà mô hình tiếp xúc. Bài này nêu các rủi ro pháp lý khi dùng dữ liệu cá nhân để huấn luyện AI, quy trình 4 bước khử nhận dạng và những việc cần chốt trước khi huấn luyện, dành cho CTO, trưởng nhóm AI.
1. Cạm bẫy pháp lý khi sử dụng dữ liệu cá nhân để huấn luyện mô hình AI#
Đưa dữ liệu khách hàng vào mô hình AI là một chuỗi hoạt động xử lý dữ liệu cá nhân: thu thập, phân tích, tổng hợp, lưu trữ (khoản 6 Điều 2 Luật 91/2025/QH15). Có ba rủi ro kỹ sư AI hay bỏ qua.
a) Vi phạm nguyên tắc 'Giới hạn mục đích' (Purpose Limitation)#
Dữ liệu cá nhân chỉ được thu thập, xử lý đúng phạm vi, mục đích cụ thể, rõ ràng (khoản 2 Điều 3 Luật). Khi khách hàng cung cấp họ tên, số điện thoại, lịch sử mua sắm hay nội dung khiếu nại, sự đồng ý ban đầu thường chỉ để cung cấp sản phẩm, dịch vụ. Sự đồng ý phải được thể hiện đối với từng mục đích (điểm a khoản 4 Điều 9 Luật). Vì vậy, dùng lại tập dữ liệu này để huấn luyện mô hình, hoặc cung cấp cho bên thứ ba huấn luyện, cần một căn cứ xử lý riêng cho mục đích đó.
Từ 01/03/2026, thiếu căn cứ này còn là vấn đề theo Luật Trí tuệ nhân tạo số 134/2025/QH15: thu thập, xử lý dữ liệu để huấn luyện hay vận hành AI trái pháp luật về bảo vệ dữ liệu cá nhân là hành vi bị nghiêm cấm (khoản 3 Điều 7). Đội AI tự tinh chỉnh mô hình bằng dữ liệu của công ty, kiểm soát trực tiếp dữ liệu huấn luyện, là nhà phát triển theo khoản 3 Điều 3 luật này; nếu đưa hệ thống ra thị trường dưới thương hiệu công ty thì còn là nhà cung cấp và phải tự phân loại rủi ro trước khi đưa vào sử dụng (khoản 4 Điều 3, khoản 1 Điều 10).
b) Rủi ro 'Học vẹt' và trích xuất dữ liệu nhạy cảm (Model Memorization & Data Extraction Attack)#
Mô hình học sâu có xu hướng ghi nhớ nguyên văn các chuỗi ký tự hiếm trong tập huấn luyện. Người dùng có thể dùng các câu lệnh được thiết kế riêng (prompt injection, adversarial prompting) để khiến chatbot tiết lộ số thẻ, số định danh hoặc bệnh án của khách hàng khác từng có trong dữ liệu huấn luyện. Dữ liệu suy luận từ AI, nếu có thể dùng để xác định một người, cũng phải được bảo vệ như dữ liệu cá nhân (khoản 2 Điều 10 Nghị định 356/2025/NĐ-CP). Vì vậy, khử nhận dạng dữ liệu huấn luyện AI phải làm trước khi huấn luyện; gỡ thông tin khỏi một mô hình đã huấn luyện khó hơn nhiều.
c) Nghĩa vụ lập Hồ sơ Đánh giá tác động (DPIA) đối với hệ thống AI theo Luật 91/2025/QH15#
Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) là nghĩa vụ chung của bên kiểm soát, bên kiểm soát và xử lý, không riêng cho AI (Điều 21 Luật; Điều 19 Nghị định 356). Hộ kinh doanh, doanh nghiệp siêu nhỏ được miễn, doanh nghiệp nhỏ và khởi nghiệp được lựa chọn không lập trong 05 năm (khoản 2, khoản 3 Điều 38 Luật). Ưu đãi này không áp dụng khi doanh nghiệp trực tiếp xử lý dữ liệu cá nhân nhạy cảm như dữ liệu sinh trắc học, xử lý dữ liệu từ 100 nghìn chủ thể trở lên, hoặc kinh doanh dịch vụ xử lý dữ liệu cá nhân (Điều 41 Nghị định 356). Không có cơ chế xét duyệt trước: doanh nghiệp tự lập hồ sơ và nộp trong 60 ngày kể từ ngày đầu tiên xử lý. Thủ tục nộp có tại bài mẫu báo cáo DPIA và cách nộp cho Cục A05.
Riêng với hệ thống AI, Nghị định 356 còn yêu cầu thông báo cho chủ thể dữ liệu về việc xử lý dữ liệu cá nhân tự động, giải thích nguyên tắc hoạt động của thuật toán và cho họ lựa chọn không tham gia (khoản 3 Điều 10), và đánh giá tuân thủ định kỳ 01 năm/lần (điểm đ khoản 5 Điều 10). Không đánh giá định kỳ bị phạt tổ chức từ 20 đến 50 triệu đồng (khoản 1 Điều 67 Nghị định 330/2026/NĐ-CP).
2. Bản chất của Khử nhận dạng dữ liệu huấn luyện AI#
Theo khoản 11 Điều 2 Luật 91/2025/QH15, khử nhận dạng là quá trình thay đổi hoặc xóa thông tin để tạo ra dữ liệu mới không thể xác định, hoặc không thể giúp xác định, một người cụ thể. Dữ liệu đã khử nhận dạng không còn là dữ liệu cá nhân (khoản 1 Điều 2 Luật).
Luật không bắt buộc riêng việc khử nhận dạng dữ liệu huấn luyện AI. Nhưng đây là biện pháp chính để xử lý đúng mục đích và trong phạm vi cần thiết khi dùng dữ liệu cá nhân cho trí tuệ nhân tạo (khoản 1 Điều 30 Luật; Điều 10 Nghị định 356). Cần lưu ý ba giới hạn:
- Bản thân việc khử nhận dạng là một hoạt động xử lý dữ liệu cá nhân (khoản 6 Điều 2 Luật), nên cũng cần căn cứ xử lý và phải được kiểm soát, giám sát chặt chẽ (điểm a khoản 6 Điều 14 Luật).
- Dữ liệu chỉ thay tên bằng mã (bí danh hóa) mà doanh nghiệp còn giữ bảng ánh xạ thì vẫn giúp xác định được người, tức vẫn là dữ liệu cá nhân.
- Khử nhận dạng làm giảm mạnh, chứ không loại bỏ hoàn toàn, nguy cơ mô hình làm lộ thông tin. Hiệu quả phụ thuộc vào tỷ lệ bỏ sót của bước lọc.
3. Quy trình 4 bước khử nhận dạng dữ liệu huấn luyện AI (Training Data Pipeline)#
Bước 1: Nhận diện thực thể có tên (Named Entity Recognition - NER) & Tách lọc PII#
Dùng mô hình NLP cho tiếng Việt (như PhoBERT, XLM-RoBERTa đã tinh chỉnh) kết hợp biểu thức chính quy (regex) để quét văn bản và gán nhãn thông tin định danh (PII): tên người ([PERSON]), số điện thoại ([PHONE]), số định danh ([ID_NUM]), địa chỉ ([ADDRESS]), email ([EMAIL]), số tài khoản ngân hàng ([BANK_ACC]). Regex bắt tốt các chuỗi có định dạng cố định; NER cần cho tên người và địa chỉ viết tự do. Bước này phải chạy trước khi fine-tune LLM trên dữ liệu hội thoại. Nên đo tỷ lệ bỏ sót (recall) của bước lọc trên dữ liệu tiếng Việt thực tế và đặt ngưỡng chấp nhận trước khi huấn luyện.
Bước 2: Áp dụng kỹ thuật Xáo trộn & Thay thế đại diện (Pseudonymization & Obfuscation)#
Thay vì xóa trắng (làm hỏng cấu trúc câu), thay PII bằng nhãn thực thể. Ví dụ: "Khách hàng Nguyễn Văn A, số điện thoại 0903123456 ở Quận 1" thành "Khách hàng [PERSON_1], số điện thoại [PHONE_1] ở [DISTRICT_1]". Mô hình vẫn học được ngữ cảnh và ý định câu hỏi mà không học danh tính. Không lưu bảng ánh xạ từ nhãn về giá trị thật cho tập dữ liệu huấn luyện; nếu còn bảng này, tập dữ liệu vẫn là dữ liệu cá nhân.
Bước 3: Ứng dụng Tính riêng tư vi phân (Differential Privacy in Model Training)#
Với mô hình phân loại hoặc hồi quy, dùng DP-SGD: cắt gradient theo từng mẫu và thêm nhiễu Gauss khi cập nhật trọng số, để sự có mặt hay vắng mặt của một bản ghi không làm thay đổi đáng kể đầu ra của mô hình. Nguyên lý và cách chọn tham số ε được giải thích trong bài 5 phương pháp khử nhận dạng dữ liệu.
Bước 4: Sử dụng Dữ liệu tổng hợp (Synthetic Data Generation)#
Với dữ liệu dạng bảng như chấm điểm tín dụng hay dự báo khách hàng rời bỏ, có thể dùng mô hình sinh (CTGAN, TVAE) để tạo tập dữ liệu nhân tạo giữ các tương quan chính của dữ liệu thật. Trước khi dùng, cần kiểm tra để bảo đảm mô hình sinh không sao chép lại bản ghi gốc.
Chốt gì trước khi khử nhận dạng dữ liệu huấn luyện AI#
Trước khi chạy pipeline, nên ban hành quy chế sử dụng AI nội bộ, thông báo cho người dùng về xử lý tự động và cho họ lựa chọn không tham gia (khoản 3 Điều 10 Nghị định 356), rồi lập hoặc cập nhật hồ sơ DPIA theo Mẫu số 10 để bao gồm hoạt động huấn luyện AI, kèm lịch đánh giá tuân thủ hằng năm. Nếu cần lập hoặc cập nhật hồ sơ có mô tả quy trình khử nhận dạng dữ liệu huấn luyện AI, xem dịch vụ lập hồ sơ đánh giá tác động DPIA của LexData.
Hai câu hỏi về khử nhận dạng dữ liệu huấn luyện AI#
Q1: Gửi dữ liệu khách hàng qua API của OpenAI ChatGPT để tóm tắt văn bản có vi phạm Luật PDPD không?
A1: Không đương nhiên vi phạm. Nếu dữ liệu gửi đi còn thông tin cá nhân, đây là hoạt động chuyển dữ liệu cá nhân xuyên biên giới: doanh nghiệp phải lập hồ sơ đánh giá tác động theo Mẫu số 09 và nộp trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu (Điều 20 Luật 91/2025/QH15; Điều 18 Nghị định 356), đồng thời bảo đảm mục đích xử lý nằm trong phạm vi chủ thể dữ liệu đã đồng ý. Nếu dữ liệu đã được khử nhận dạng trước khi gửi, dữ liệu gửi đi không còn là dữ liệu cá nhân. Nên cấu hình lệnh gọi API không lưu dữ liệu (zero data retention) hoặc không dùng dữ liệu để huấn luyện. Phân tích chi tiết có tại bài tích hợp GenAI chatbot qua Cloud API.
Q2: Dữ liệu do AI sinh ra (Synthetic Data) có cần xin phép chủ thể dữ liệu gốc không?
A2: Tập dữ liệu tổng hợp không xác định được người nào thì không phải là dữ liệu cá nhân. Nhưng bước huấn luyện mô hình sinh vẫn xử lý dữ liệu cá nhân thật, nên bước đó cần căn cứ xử lý. Nếu mô hình sinh sao chép lại bản ghi gốc, phần dữ liệu đó vẫn là dữ liệu cá nhân.
