Chatbot AI và dữ liệu khách hàng: Checklist bảo mật theo GDPR và KVKK cho đội ngũ nhắn tin

Để chatbot AI tuân thủ GDPR và KVKK, hãy lập sơ đồ mọi hệ thống mà tin nhắn của khách hàng đi qua, có cơ sở pháp lý và thông báo quyền riêng tư rõ ràng, ký thỏa thuận xử lý dữ liệu với từng nhà cung cấp, dùng cơ chế chuyển dữ liệu hợp lệ khi dữ liệu rời khỏi EU hoặc Thổ Nhĩ Kỳ, tránh đưa dữ liệu cá nhân vào prompt khi có thể, đặt thời hạn lưu trữ và cho mọi người biết họ đang trò chuyện với AI. Việc tuân thủ đến từ cách bạn triển khai chatbot, không phải từ bản thân chatbot.

Điểm phức tạp là một câu trả lời trên WhatsApp có thể đi qua bốn hoặc năm công ty: Meta, nền tảng nhắn tin của bạn, nhà cung cấp LLM, cơ sở dữ liệu vector và CRM mà trợ lý tra cứu thông tin. Checklist này đi qua từng mắt xích. Đây là hướng dẫn thực tế cho đội ngũ nhắn tin, không phải tư vấn pháp lý, vì vậy hãy xác nhận chi tiết với cán bộ bảo vệ dữ liệu hoặc cố vấn pháp lý của bạn.

Dữ liệu khách hàng đi đâu khi trợ lý AI trả lời

Hãy bắt đầu bằng việc vẽ đường đi của một tin nhắn. Một luồng điển hình trông như sau:

Bước	Hệ thống	Dữ liệu liên quan	Câu hỏi của bạn
1	Kênh nhắn tin (WhatsApp, Instagram, Messenger)	Số điện thoại hoặc tên người dùng, nội dung tin nhắn, tệp đa phương tiện	Áp dụng điều khoản và quy tắc lưu trữ nào?
2	Nền tảng nhắn tin	Lịch sử hội thoại, hồ sơ liên hệ, thẻ, ghi chú	Ai có quyền truy cập, lưu ở đâu, trong bao lâu?
3	Cơ sở tri thức và cơ sở dữ liệu vector	Nội dung của bạn; chỉ có dữ liệu cá nhân nếu bạn đã tải lên	Có dữ liệu cá nhân nào nằm trong chỉ mục không?
4	Nhà cung cấp LLM	Prompt: hướng dẫn, văn bản được truy xuất, lịch sử, tin nhắn mới nhất	Dữ liệu có được lưu giữ, dùng để huấn luyện, xử lý ở đâu?
5	Công cụ kết nối (CRM, đặt lịch, cửa hàng)	Dữ liệu đơn hàng, lịch hẹn, thông tin tài khoản	Trợ lý có thể đọc và ghi những gì?
6	Nhân viên hỗ trợ	Toàn bộ cuộc hội thoại sau khi chuyển giao	Ai xem được gì, và có được ghi nhật ký không?

Mỗi hàng là một nơi dữ liệu cá nhân được xử lý và là nơi bạn cần có hợp đồng, quy tắc lưu trữ và kiểm soát truy cập. Nếu không điền được một hàng nào, đó là việc đầu tiên bạn cần làm.

Checklist bảo mật dữ liệu cho chatbot AI

1. Chọn cơ sở pháp lý và ghi lại

Theo GDPR (Điều 6), mỗi mục đích xử lý đều cần một cơ sở pháp lý. Trả lời khách hàng đã nhắn cho bạn thường dựa trên hợp đồng hoặc lợi ích chính đáng. Tin nhắn tiếp thị thường dựa trên sự đồng ý. Dùng các cuộc hội thoại để cải thiện trợ lý của bạn là một mục đích riêng, và bạn nên đánh giá riêng thay vì cho rằng cơ sở ban đầu đã bao gồm nó.

KVKK có danh sách điều kiện xử lý riêng. Nếu bạn phục vụ cả khách hàng EU và Thổ Nhĩ Kỳ, hãy ghi lại cơ sở theo từng luật.

2. Thông báo cho mọi người về AI và dữ liệu của họ

Thông báo quyền riêng tư của bạn nên nêu rõ rằng các cuộc hội thoại có thể do hệ thống AI xử lý, những nhà cung cấp nào xử lý dữ liệu, ở đâu, trong bao lâu và cách liên hệ với nhân viên. Điều 13 và 14 của GDPR quy định nội dung cần có, và KVKK cũng có nghĩa vụ thông báo tương tự.

Tại EU, các nghĩa vụ minh bạch của AI Act có hiệu lực từ ngày 2 tháng 8 năm 2026. Chúng yêu cầu phải thông báo cho mọi người khi họ tương tác với một hệ thống AI, trừ khi điều đó đã hiển nhiên từ ngữ cảnh. Một tin nhắn đầu tiên ngắn gọn đáp ứng cả yêu cầu pháp lý lẫn kỳ vọng của khách hàng:

Xin chào, tôi là trợ lý ảo của Northwind Home, một trợ lý AI. Tôi có thể
hỗ trợ về đơn hàng, đổi trả và giao hàng. Nhắn "nhân viên" bất cứ lúc nào
để trò chuyện với đội ngũ của chúng tôi.
Thông báo quyền riêng tư: northwindhome.example/privacy

3. Ký thỏa thuận xử lý dữ liệu với mọi bên xử lý

Nền tảng nhắn tin, nhà cung cấp LLM, đơn vị lưu trữ cơ sở dữ liệu vector và mọi nhà cung cấp công cụ xử lý dữ liệu cá nhân thay mặt bạn đều là bên xử lý dữ liệu. Điều 28 của GDPR yêu cầu một hợp đồng bằng văn bản giới hạn việc xử lý theo chỉ dẫn của bạn, yêu cầu bảo mật và an toàn, đồng thời quy định về bên xử lý phụ, việc xóa dữ liệu và kiểm toán. Hãy giữ danh sách các bên xử lý phụ và kiểm tra lại khi nhà cung cấp thay đổi.

4. Kiểm tra việc chuyển dữ liệu ra ngoài EU hoặc Thổ Nhĩ Kỳ

Nhiều nhà cung cấp LLM xử lý dữ liệu ở các quốc gia khác. Theo Chương V của GDPR, việc chuyển dữ liệu ra ngoài EEA cần có quyết định về mức độ bảo vệ tương đương hoặc các biện pháp bảo vệ phù hợp, chẳng hạn các điều khoản hợp đồng tiêu chuẩn.

Quy định của KVKK về chuyển dữ liệu ra nước ngoài đã thay đổi vào tháng 6 năm 2024. Việc chuyển dữ liệu hiện dựa trên quyết định về mức độ bảo vệ tương đương, các biện pháp bảo vệ phù hợp như hợp đồng mẫu do Hội đồng Bảo vệ Dữ liệu Cá nhân công bố, hoặc một số ngoại lệ hạn chế. Hợp đồng mẫu phải được thông báo cho Cơ quan trong vòng năm ngày làm việc kể từ khi ký. Hãy kiểm tra từng nhà cung cấp xử lý dữ liệu ở đâu và chọn khu vực hoặc nhà cung cấp phù hợp với nghĩa vụ của bạn.

Trên WhatsApp, Cloud API của Meta cung cấp tính năng lưu trữ cục bộ: bạn có thể chọn nơi lưu trữ dữ liệu tin nhắn ở trạng thái nghỉ cho từng số điện thoại doanh nghiệp. Nội dung vẫn có thể được xử lý tại các trung tâm dữ liệu của Meta trên phạm vi quốc tế khi đang sử dụng, tối đa 60 phút trên Cloud API, trước khi chỉ được lưu giữ ở khu vực đã chọn.

5. Chọn nhà cung cấp LLM một cách có chủ đích

Nhà cung cấp mô hình nhìn thấy mọi thứ bạn đưa vào prompt. Trước khi kết nối một nhà cung cấp, hãy kiểm tra:

• Việc dùng để huấn luyện. Nhà cung cấp có dùng dữ liệu API để huấn luyện mô hình không, và bạn có thể từ chối không?
• Lưu trữ. Prompt và kết quả đầu ra được giữ trong bao lâu, kể cả để giám sát lạm dụng?
• Khu vực. Dữ liệu được xử lý và lưu trữ ở đâu, và bạn có thể chọn không?
• Hợp đồng. Có thỏa thuận xử lý dữ liệu cho gói của bạn không?
• Tự lưu trữ. Một mô hình mã nguồn mở chạy trên máy chủ của riêng bạn có phù hợp với các trường hợp nhạy cảm không?

Dùng tài khoản nhà cung cấp của riêng bạn (tự mang khóa API) nghĩa là hợp đồng, thiết lập khu vực và tùy chọn lưu trữ thuộc về bạn, thay vì thừa hưởng từ tài khoản của nhà cung cấp dịch vụ.

6. Giảm thiểu dữ liệu đưa vào prompt và công cụ

Tối thiểu hóa dữ liệu (Điều 5 của GDPR) là biện pháp bảo vệ quyền riêng tư hiệu quả nhất cho trợ lý AI.

• Không tải hồ sơ khách hàng, giấy tờ tùy thân hay ghi chú nội bộ lên cơ sở tri thức.
• Chỉ gửi cho mô hình phần lịch sử cần thiết, không gửi toàn bộ hồ sơ liên hệ.
• Cấp cho công cụ quyền truy cập hẹp nhất có thể: công cụ tra cứu trạng thái đơn hàng chỉ cần mã đơn hàng, không cần toàn bộ cơ sở dữ liệu khách hàng.
• Che hoặc tránh các trường như số căn cước, số thẻ và mật khẩu.
• Hướng dẫn trợ lý không bao giờ hỏi dữ liệu nhạy cảm mà nó không cần.

Quy tắc cho trợ lý: Không bao giờ hỏi số thẻ, mật khẩu hoặc số giấy tờ tùy
thân trong cuộc trò chuyện. Nếu khách hàng gửi những thông tin này, không
lặp lại chúng, và hãy đề nghị liên kết thanh toán an toàn hoặc một cuộc gọi
với đội ngũ của chúng tôi.

Nếu trợ lý của bạn kết nối với các hệ thống kinh doanh qua các giao thức như MCP, quy tắc tương tự áp dụng cho mọi hệ thống được kết nối. Xem MCP cho nhắn tin với khách hàng để biết các rủi ro.

7. Xử lý dữ liệu sức khỏe và dữ liệu đặc biệt khác với sự thận trọng cao hơn

Sức khỏe, tôn giáo, dữ liệu sinh trắc học và các nhóm tương tự được bảo vệ thêm theo Điều 9 của GDPR và KVKK. Phòng khám, nhà thuốc và công ty bảo hiểm nên giới hạn những gì AI xử lý, tránh để AI đưa ra lời khuyên y tế và chuyển các câu hỏi lâm sàng cho nhân viên có chuyên môn. Hãy cân nhắc đánh giá tác động bảo vệ dữ liệu (Điều 35 của GDPR) trước khi triển khai trợ lý AI xử lý loại dữ liệu này ở quy mô lớn.

8. Đặt thời hạn lưu trữ cho mọi kho dữ liệu

Giới hạn lưu trữ (Điều 5 của GDPR) nghĩa là bạn chỉ giữ dữ liệu cá nhân trong thời gian cần thiết. Hãy đặt và ghi lại thời hạn cho:

• lịch sử hội thoại trong nền tảng nhắn tin của bạn,
• nhật ký tại nhà cung cấp LLM,
• bản ghi hội thoại và dữ liệu phân tích đã xuất,
• mọi dữ liệu cá nhân trong cơ sở dữ liệu vector hoặc cơ sở tri thức.

Sau đó hãy đảm bảo việc xóa thực sự diễn ra, kể cả trong các bản sao lưu khi có thể.

9. Sẵn sàng cho các yêu cầu truy cập và xóa dữ liệu

Khách hàng có thể hỏi bạn đang giữ những gì về họ và yêu cầu bạn xóa (Điều 15 và 17 của GDPR, với các quyền tương tự theo KVKK). Hãy biết cách tìm các cuộc hội thoại của một người trên mọi hệ thống trong sơ đồ dữ liệu của bạn, và cách xóa chúng ở từng hệ thống.

10. Tránh các quyết định chỉ do AI đưa ra

Điều 22 của GDPR hạn chế các quyết định chỉ dựa trên xử lý tự động mà ảnh hưởng đáng kể đến con người. Hãy để AI trả lời, thu thập thông tin và phân luồng, còn việc phê duyệt, từ chối, quyết định tín dụng và các ngoại lệ thì do con người đảm nhiệm. Một cơ chế chuyển từ AI sang nhân viên đáng tin cậy vừa là tính năng dịch vụ vừa là tính năng tuân thủ.

11. Bảo mật quyền truy cập và lưu nhật ký

Hãy giới hạn người được đọc các cuộc hội thoại, dùng phân quyền theo vai trò, yêu cầu xác thực đa yếu tố và lưu nhật ký kiểm tra về ai đã làm gì. Điều 32 của GDPR yêu cầu mức bảo mật phù hợp với rủi ro, và Điều 33 đặt thời hạn 72 giờ để thông báo cho cơ quan giám sát về vi phạm dữ liệu cá nhân, khi vi phạm gây rủi ro cho con người.

12. Tuân theo quy tắc riêng của từng kênh

Chính sách nhắn tin WhatsApp Business của Meta có các yêu cầu riêng về opt-in, sử dụng dữ liệu và AI. Hướng dẫn của chúng tôi về chính sách chatbot AI trên WhatsApp năm 2026 nêu những gì Meta cho phép, còn opt-in WhatsApp nói về sự đồng ý đối với tin nhắn chủ động.

Tham khảo nhanh: GDPR và KVKK so sánh song song

Chủ đề	GDPR	KVKK (Luật số 6698)
Thông báo cho người dùng	Điều 13 và 14	Nghĩa vụ thông báo
Hợp đồng với bên xử lý	Điều 28	Bên kiểm soát cùng chịu trách nhiệm về bảo mật của bên xử lý (Điều 12)
Chuyển dữ liệu ra nước ngoài	Chương V: quyết định về mức độ bảo vệ tương đương, điều khoản hợp đồng tiêu chuẩn	Mức độ bảo vệ tương đương, hợp đồng mẫu thông báo cho Cơ quan, các ngoại lệ hạn chế
Nhóm dữ liệu đặc biệt	Điều 9	Các nhóm dữ liệu cá nhân đặc biệt
Lưu trữ	Giới hạn lưu trữ, Điều 5	Xóa, hủy hoặc ẩn danh khi mục đích chấm dứt
Quyền của chủ thể dữ liệu	Truy cập, xóa và các quyền khác	Các quyền tương tự, gồm truy cập và xóa

MonoChat giúp bạn kiểm soát AI và dữ liệu như thế nào

MonoChat được xây dựng để những phần nhạy cảm của hệ thống vẫn nằm trong tầm kiểm soát của bạn. Dưới đây là những gì sản phẩm cung cấp, như mô tả trên trang bảo mật và tuân thủ của chúng tôi:

• Khóa LLM của riêng bạn. Với LLM tùy chỉnh, bạn kết nối tài khoản OpenAI, Anthropic, Google, Azure, AWS hoặc nhà cung cấp khác của riêng mình, nhờ đó giữ được mức giá và thỏa thuận dữ liệu của bạn, và bạn quyết định trợ lý nào dùng mô hình nào.
• Mô hình tự lưu trữ. Bạn có thể kết nối các mô hình chạy trên máy chủ của riêng mình qua Ollama, hoặc API mô hình của riêng bạn, khi prompt cần được giữ trên hạ tầng của bạn.
• Cơ sở dữ liệu vector của riêng bạn. Tích hợp VectorDB giữ các vector của cơ sở tri thức trong cơ sở dữ liệu vector do bạn chọn, với chính sách lưu trữ và thời hạn lưu giữ của riêng bạn, tại khu vực hoặc đám mây bạn chọn.
• Tri thức theo phạm vi. Cơ sở tri thức AI chia nội dung thành các phạm vi với kiểm soát truy cập riêng, để mỗi trợ lý chỉ truy xuất những gì nó nên truy xuất.
• Hành động AI được kiểm soát. Công cụ hàm AI chạy với xác thực, phân quyền, các endpoint nằm trong danh sách cho phép và nhật ký, nên trợ lý chỉ có thể làm những gì bạn cho phép.
• Kiểm soát truy cập và nhật ký. Phân quyền theo vai trò, cô lập không gian làm việc, nhật ký kiểm tra và thông tin xác thực nhà cung cấp được mã hóa, gắn với từng không gian làm việc.
• API kênh chính thức. WhatsApp kết nối qua WhatsApp Business Platform (Cloud API) chính thức, và MonoChat là Đối tác Doanh nghiệp chính thức của Meta (Meta Business Partner).
• Chứng nhận và chính sách. MonoChat có chứng nhận ISO 27001 và ISO 9001, và chính sách quyền riêng tư của MonoChat được xây dựng theo KVKK (Luật số 6698). Các yêu cầu truy cập, chỉnh sửa hoặc xóa dữ liệu cá nhân được trả lời trong vòng 30 ngày.
• Tùy chọn triển khai tại chỗ. Gói Enterprise cung cấp triển khai on-prem cho các yêu cầu khắt khe hơn.

Bạn có thể dùng thử sản phẩm trên gói Basic miễn phí (một trợ lý, một kênh) tại app.monochat.ai, và đọc toàn bộ chính sách quyền riêng tư trước khi đánh giá.

Nguồn

• Regulation (EU) 2016/679 (GDPR), EUR-Lex
• Regulation (EU) 2024/1689 (AI Act), EUR-Lex
• KVKK: Personal Data Protection Law No. 6698
• Meta for Developers: Cloud API local storage
• WhatsApp Business Messaging Policy