Văn phòng Chính phủ Thụy Điển chặn ChatGPT và Claude, vẫn cho dùng Copilot

Văn phòng Chính phủ Thụy Điển chặn ChatGPT và Claude trên máy tính làm việc của nhân viên từ ngày 26/10/2026, trong khi vẫn cho phép sử dụng Microsoft Copilot. Quyết định nhắm vào các dịch vụ chưa được phê duyệt, sau khi cơ quan phát hiện những cách sử dụng AI gây rủi ro cho thông tin nội bộ.

Chi tiết đáng chú ý là ChatGPT và Claude không bị loại khỏi mọi công việc: một số nhân viên vẫn được truy cập qua nền tảng trợ lý AI riêng của cơ quan. Vì vậy, hiểu quyết định này thành việc Thụy Điển cấm toàn bộ AI, hoặc cấm hai chatbot đối với người dân, sẽ làm sai phạm vi áp dụng.

Rủi ro nằm ở đường đi của dữ liệu, không chỉ tên chatbot

Chặn một trang chatbot có thể giảm việc gửi dữ liệu tùy tiện, nhưng tên dịch vụ chưa đủ để đánh giá độ an toàn của cả quy trình. Điểm khác biệt trong trường hợp này là Copilot đã được rà soát và điều chỉnh cấu hình bảo mật, còn ChatGPT và Claude chưa trải qua cùng quy trình phê duyệt.

Giám đốc số hóa Mikael Wettercrantz thông báo quyết định qua mạng nội bộ, đồng thời cảnh báo việc sử dụng dịch vụ AI thiếu thỏa thuận phù hợp có thể ảnh hưởng đến an toàn thông tin. Những trường hợp bị phát hiện liên quan cả đến mức độ nhạy cảm của nội dung nhập vào lẫn cách nhân viên xử lý câu trả lời do AI tạo ra.

Đây là vấn đề thường được gọi là Shadow IT: nhân viên tự dùng công cụ ngoài phạm vi quản lý của bộ phận công nghệ. Với chatbot, dữ liệu có thể rời hệ thống của tổ chức ngay khi người dùng gửi câu hỏi hoặc tải tài liệu lên, trước cả lúc nhận được câu trả lời hữu ích.

Hợp đồng và cấu hình dịch vụ vì thế cần được xem cùng nhau. Cơ quan phải biết nhà cung cấp được phép xử lý nội dung theo điều kiện nào, thay vì mặc định mọi tài khoản cùng một thương hiệu đều có cách bảo vệ dữ liệu giống nhau. Cũng không thể suy ngược rằng mọi nội dung nhập vào ChatGPT hay Claude đều được dùng để huấn luyện: điều đó phụ thuộc dịch vụ, điều khoản và cài đặt cụ thể.

Việc vẫn cho một nhóm nhân viên truy cập qua nền tảng nội bộ cho thấy cơ quan giữ lại một lối sử dụng có kiểm soát thay vì loại bỏ hoàn toàn hai công cụ. Số người được truy cập và những giới hạn áp dụng cho nền tảng này chưa được công bố rõ, nên chưa thể kết luận nó bảo vệ dữ liệu bằng cơ chế kỹ thuật nào.

Doanh nghiệp Việt cần phân biệt tài khoản cá nhân với công cụ được duyệt

Bài học hữu ích cho nơi làm việc tại Việt Nam là quy định nên bám vào loại dữ liệu được phép đưa lên AI, thay vì chỉ lập danh sách tên chatbot. Nếu nhân viên chuyển từ công cụ bị chặn sang một dịch vụ khác chưa được kiểm tra, rủi ro gửi tài liệu ra ngoài vẫn còn nguyên.

Một chính sách dễ áp dụng cần chỉ rõ tài khoản nào được dùng cho công việc và nội dung nào phải giữ trong hệ thống của tổ chức. Chẳng hạn, yêu cầu soạn một mẫu email chung khác về mức độ nhạy cảm so với tải lên danh sách khách hàng hoặc một hợp đồng chưa công bố; đánh đồng các tác vụ này sẽ khiến hướng dẫn vừa khó tuân thủ vừa khó kiểm tra.

Câu trả lời của AI cũng cần một bước kiểm tra riêng. Ngay cả khi dữ liệu đã đi qua dịch vụ được phê duyệt, điều đó không tự chứng minh nội dung tạo ra là chính xác hoặc phù hợp để đưa vào tài liệu chính thức. Kiểm soát nơi gửi dữ liệu và kiểm tra kết quả là hai trách nhiệm khác nhau.

Copilot được giữ lại trong quyết định này vì đã qua quy trình rà soát của cơ quan, không phải bằng chứng rằng sản phẩm ấy an toàn hơn mọi cấu hình ChatGPT hay Claude. Với doanh nghiệp, tiêu chí lựa chọn hợp lý là một dịch vụ có điều kiện xử lý dữ liệu rõ ràng, được cấu hình đúng và có người chịu trách nhiệm quản lý; một tài khoản cá nhân trả phí chưa đủ để thay thế những yêu cầu đó.

Nguồn tham khảo: TechRadar; Digit; CoinCentral.