Thụy Điển chặn ChatGPT và Claude trên máy tính công vụ từ 26.10

VHO - Từ 26.10, Văn phòng Chính phủ Thụy Điển chặn ChatGPT và Claude trên máy tính công vụ, chỉ cho phép sử dụng các công cụ AI đã được kiểm soát về bảo mật.

Quyết định của Thụy Điển đang thu hút sự chú ý trong bối cảnh trí tuệ nhân tạo (AI) ngày càng được sử dụng rộng rãi tại các cơ quan nhà nước và doanh nghiệp. Thay vì cho nhân viên tự do lựa chọn những công cụ AI phổ biến, Văn phòng Chính phủ nước này chuyển sang mô hình sử dụng có kiểm soát, nhằm hạn chế nguy cơ thông tin nhạy cảm bị đưa ra ngoài hệ thống và bảo đảm trách nhiệm đối với những nội dung do AI tạo ra.

Theo thông tin được công bố ngày 26.10.2026, Văn phòng Chính phủ Thụy Điển (Regeringskansliet) chính thức triển khai biện pháp chặn truy cập trực tiếp ChatGPT của OpenAI và Claude của Anthropic trên máy tính công vụ. Nhân viên được hướng dẫn sử dụng Microsoft Copilot, công cụ đã trải qua quá trình đánh giá và tăng cường các biện pháp bảo mật theo yêu cầu của cơ quan này.

Vì sao Thụy Điển chặn ChatGPT và Claude?

Quyết định của Văn phòng Chính phủ Thụy Điển xuất phát từ những lo ngại về an toàn thông tin khi công chức sử dụng các dịch vụ AI bên ngoài mà chưa có thỏa thuận chính thức về quản lý và xử lý dữ liệu.

Ông Mikael Wettercrantz, quan chức phụ trách lĩnh vực số hóa của Văn phòng Chính phủ Thụy Điển, cho biết việc sử dụng những dịch vụ AI chưa được kiểm soát có thể gây ra hậu quả đối với an ninh thông tin của cơ quan.

Một trong những vấn đề đáng quan tâm là cách công chức đưa dữ liệu vào các công cụ AI để phục vụ công việc hằng ngày.

Chẳng hạn, khi cần tóm tắt một báo cáo, phân tích tài liệu hoặc soạn thảo văn bản, nhân viên có thể sao chép toàn bộ nội dung công việc và gửi vào một chatbot. Thao tác tưởng chừng đơn giản này có thể khiến dữ liệu được chuyển tới hệ thống của nhà cung cấp dịch vụ bên ngoài, nằm ngoài phạm vi quản trị trực tiếp của cơ quan.

Nếu tài liệu chứa thông tin chưa công bố, dữ liệu cá nhân, kế hoạch nội bộ hoặc nội dung thuộc diện hạn chế tiếp cận, nguy cơ mất kiểm soát thông tin sẽ phát sinh ngay từ thời điểm dữ liệu được gửi đi, dù người sử dụng không có ý định tiết lộ.

Rủi ro không chỉ nằm ở khả năng dữ liệu bị sử dụng sai mục đích mà còn liên quan đến thời gian lưu trữ, vị trí xử lý, quyền truy cập, chính sách bảo vệ thông tin và các nghĩa vụ pháp lý của nhà cung cấp dịch vụ.

Tại nhiều quốc gia, doanh nghiệp cung cấp dịch vụ công nghệ có thể phải đáp ứng những yêu cầu cung cấp thông tin từ cơ quan có thẩm quyền trong các trường hợp pháp luật cho phép. Vì vậy, những tổ chức xử lý dữ liệu nhạy cảm cần xác định rõ điều kiện hợp đồng và quyền kiểm soát trước khi cho phép nhân viên sử dụng nền tảng bên ngoài.

Theo thông tin từ Thụy Điển, một số cơ quan đã phát hiện những trường hợp sử dụng AI không phù hợp, bao gồm việc đưa thông tin nhạy cảm vào dịch vụ công khai và xử lý các câu trả lời do AI tạo ra mà chưa bảo đảm yêu cầu kiểm chứng.

Điều này cho thấy nguy cơ xuất hiện ở cả hai chiều: dữ liệu đầu vào có thể không được bảo vệ đúng mức, còn thông tin đầu ra có thể thiếu chính xác nhưng vẫn được sử dụng để phục vụ công việc chính thức.

Thay vì cấm hoàn toàn AI, Văn phòng Chính phủ Thụy Điển lựa chọn giới hạn công cụ được phép sử dụng trực tiếp trong môi trường công vụ.

Microsoft Copilot được phê duyệt sau khi cơ quan này đánh giá lại các điều kiện an ninh và điều chỉnh thiết lập bảo mật. Tuy nhiên, việc một công cụ được phê duyệt không có nghĩa mọi dữ liệu đều có thể đưa vào hệ thống mà không cần phân loại và kiểm soát.

Đáng chú ý, một số nhân viên vẫn có thể tiếp cận ChatGPT hoặc Claude thông qua nền tảng AI nội bộ do Văn phòng Chính phủ Thụy Điển phát triển. Đây là phương thức cho phép tổ chức quản lý tập trung hoạt động sử dụng và áp dụng những cơ chế kiểm soát riêng.

Như vậy, biện pháp được triển khai không phải lệnh cấm ChatGPT và Claude trên toàn lãnh thổ Thụy Điển, cũng không đồng nghĩa hai sản phẩm bị xác định là không an toàn trong mọi trường hợp.

Thay đổi chủ yếu nằm ở cách quản trị: công chức không được tự ý sử dụng những dịch vụ AI chưa được cơ quan đánh giá, phê duyệt và kiểm soát trong môi trường làm việc.

Trước đó, Văn phòng Chính phủ Thụy Điển cũng đã hạn chế sử dụng DeepSeek. Các biện pháp tương tự được ghi nhận tại Cơ quan Thuế và một số cơ quan công quyền khác của nước này, trong khi các đơn vị còn lại đang xem xét chính sách phù hợp.

Rủi ro khi công chức, nhân viên đưa tài liệu nội bộ lên AI

Câu chuyện tại Thụy Điển phản ánh vấn đề đang xuất hiện ở nhiều tổ chức khi công cụ AI phát triển nhanh hơn các quy trình quản trị nội bộ.

Chỉ trong thời gian ngắn, ChatGPT, Claude, Copilot và những nền tảng tương tự đã trở thành công cụ quen thuộc để hỗ trợ viết báo cáo, xử lý bảng tính, dịch thuật, tóm tắt tài liệu, lập trình và phân tích dữ liệu.

Những công việc trước đây mất hàng giờ có thể được thực hiện nhanh hơn nhờ AI. Tuy nhiên, sự tiện lợi này cũng khiến người dùng dễ bỏ qua những ranh giới giữa dữ liệu được phép chia sẻ và thông tin cần được bảo vệ.

Ví dụ, một nhân viên cơ quan nhà nước có thể sử dụng AI để tóm tắt văn bản quy phạm pháp luật đã công khai. Đây là tình huống có mức rủi ro khác biệt so với việc đưa toàn bộ hồ sơ xử lý công việc, dữ liệu định danh công dân hoặc tài liệu chưa được phép công bố vào dịch vụ AI dành cho người dùng phổ thông.

Tương tự, một nhân viên doanh nghiệp có thể yêu cầu AI phân tích báo cáo tài chính đã công bố, nhưng cần được kiểm soát chặt chẽ nếu dữ liệu đầu vào là danh sách khách hàng, hợp đồng kinh doanh hoặc chiến lược đầu tư chưa công khai.

Điểm mấu chốt không đơn thuần là công cụ có tên gọi gì, mà là dữ liệu nào được gửi đi, nền tảng xử lý ra sao và đơn vị sử dụng có đủ khả năng giám sát hay không.

Các giải pháp AI dành cho doanh nghiệp thường cung cấp những cơ chế kiểm soát khác với phiên bản cá nhân, chẳng hạn quản trị tài khoản tập trung, phân quyền truy cập, kiểm soát lịch sử sử dụng và các điều khoản riêng về xử lý dữ liệu.

Tuy nhiên, mức độ bảo vệ thực tế phụ thuộc vào từng sản phẩm, gói dịch vụ, hợp đồng và cấu hình triển khai. Không thể mặc nhiên cho rằng một nền tảng sử dụng trong doanh nghiệp sẽ phù hợp với mọi cấp độ dữ liệu.

Bên cạnh nguy cơ lộ thông tin, AI còn có thể tạo ra nội dung không chính xác hoặc thiếu căn cứ.

Một hệ thống có thể diễn đạt trôi chảy, đưa ra số liệu và lập luận có vẻ hợp lý nhưng vẫn nhầm lẫn về nội dung văn bản, bối cảnh sự kiện hoặc quy định pháp luật.

Nếu nhân viên sao chép nguyên câu trả lời vào báo cáo mà không đối chiếu, sai sót có thể tiếp tục xuất hiện trong những tài liệu chính thức.

Rủi ro càng lớn khi AI được sử dụng để hỗ trợ các công việc liên quan đến quyền lợi của người dân, đánh giá hồ sơ, giải thích chính sách hoặc xử lý thông tin nhạy cảm.

Do đó, kiểm soát AI cần được thực hiện ở cả dữ liệu đầu vào, quá trình xử lý và kết quả đầu ra. Chặn một số website hoặc ứng dụng chỉ là một phần của giải pháp, không thể thay thế hoàn toàn các quy trình quản lý dữ liệu và trách nhiệm của người sử dụng.

Từ Thụy Điển, cơ quan nhà nước và tòa soạn Việt Nam cần làm gì?

Tại Việt Nam, việc sử dụng AI trong cơ quan nhà nước, doanh nghiệp và các tòa soạn đang mở rộng nhanh chóng, từ hỗ trợ công việc hành chính đến sản xuất, phân phối và phân tích nội dung.

Cùng với cơ hội nâng cao năng suất, yêu cầu bảo vệ dữ liệu cũng ngày càng rõ ràng trong hệ thống pháp luật.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01.01.2026, đặt ra trách nhiệm đối với các bên kiểm soát, xử lý dữ liệu cá nhân và những tổ chức, cá nhân liên quan.

Luật Bảo vệ bí mật nhà nước số 117/2025/QH15 và Luật Trí tuệ nhân tạo số 134/2025/QH15 cùng có hiệu lực từ ngày 01.03.2026, tạo thêm cơ sở pháp lý cho việc bảo vệ thông tin và phát triển, ứng dụng AI an toàn, có trách nhiệm.

Trong đó, Luật Trí tuệ nhân tạo quy định các nguyên tắc quản lý theo mức độ rủi ro, bảo đảm sự kiểm soát của con người và không cho phép thu thập, xử lý hoặc sử dụng dữ liệu phục vụ AI trái quy định về dữ liệu, bảo vệ dữ liệu cá nhân và các lĩnh vực pháp luật liên quan.

Những quy định này không đồng nghĩa Việt Nam đã áp dụng lệnh cấm chung đối với ChatGPT, Claude hoặc các nền tảng AI nước ngoài trong cơ quan nhà nước. Tuy nhiên, chúng đặt ra yêu cầu rõ ràng về trách nhiệm của đơn vị sử dụng khi triển khai công nghệ.

Từ kinh nghiệm Thụy Điển, các cơ quan và tổ chức tại Việt Nam có thể xây dựng quy chế sử dụng AI theo hướng phân loại dữ liệu trước khi lựa chọn công cụ.

Với những thông tin đã được công khai, nhân viên có thể sử dụng AI để hỗ trợ tra cứu, tóm tắt hoặc biên tập trong phạm vi được cho phép. Đối với tài liệu nội bộ, dữ liệu cá nhân hoặc những thông tin có yêu cầu bảo mật cao, cần có sự đánh giá của bộ phận phụ trách an toàn thông tin và phương án xử lý phù hợp.

Riêng tài liệu thuộc bí mật nhà nước phải được quản lý, sử dụng theo đúng chế độ bảo vệ bí mật nhà nước; không được tự ý chuyển vào các dịch vụ AI bên ngoài.

Đối với cơ quan báo chí, yêu cầu này càng đáng chú ý bởi dữ liệu của tòa soạn có những đặc thù riêng.

Trong quá trình tác nghiệp, phóng viên và biên tập viên có thể tiếp cận thông tin cá nhân của nhân vật, số điện thoại nguồn tin, tài liệu xác minh, bản thảo điều tra chưa công bố hoặc dữ liệu do độc giả cung cấp.

Nếu đưa toàn bộ nội dung này lên chatbot để nhờ tóm tắt, viết lại hoặc phân tích, tòa soạn có thể tạo ra rủi ro đối với việc bảo vệ nguồn tin và quyền riêng tư, kể cả khi mục đích sử dụng ban đầu chỉ là hỗ trợ nghiệp vụ.

Vì vậy, một quy chế AI dành cho tòa soạn cần xác định rõ những dữ liệu có thể sử dụng với công cụ công khai và những dữ liệu bắt buộc phải xử lý trong môi trường đã được phê duyệt.

Chẳng hạn, biên tập viên có thể dùng AI để gợi ý tiêu đề SEO từ nội dung đã được phép công bố, phân tích xu hướng tìm kiếm hoặc xây dựng cấu trúc một bài giải thích chính sách. Tuy nhiên, việc chuyển toàn bộ hồ sơ điều tra, thông tin người cung cấp tài liệu hoặc dữ liệu độc giả lên dịch vụ ngoài cần được kiểm soát theo mức độ nhạy cảm và quy định pháp luật.

Đối với hoạt động phân tích dữ liệu, tòa soạn cũng cần phân biệt giữa các báo cáo tổng hợp về lượt truy cập, số bài viết, tỷ lệ tăng trưởng với dữ liệu định danh cá nhân của người dùng hoặc thông tin kinh doanh chưa được công khai.

Một bảng tổng hợp kết quả hoạt động đã được phê duyệt để chia sẻ có thể phù hợp cho việc phân tích bằng AI. Ngược lại, các dữ liệu chi tiết chứa tài khoản đăng nhập, thông tin độc giả hoặc những thông tin hạn chế tiếp cận phải được loại bỏ, ẩn danh hoặc xử lý trong môi trường có cơ chế bảo vệ thích hợp.

Bên cạnh phân loại dữ liệu, cơ quan và tòa soạn nên xác định danh mục công cụ AI được phép sử dụng, người có quyền truy cập, phạm vi công việc và trách nhiệm kiểm tra kết quả.

Việc triển khai cần đi kèm những hướng dẫn dễ hiểu để nhân viên nhận biết trường hợp nào có thể sử dụng AI, trường hợp nào phải xin phép và khi phát hiện dữ liệu bị gửi nhầm thì cần thông báo cho bộ phận nào.

Đặc biệt, không nên xây dựng quy chế chỉ bằng những mệnh lệnh cấm chung chung. Nếu nhân viên có nhu cầu sử dụng AI chính đáng nhưng không được cung cấp công cụ phù hợp, họ có thể tìm cách thực hiện công việc qua tài khoản cá nhân hoặc những dịch vụ ngoài hệ thống, làm giảm hiệu quả kiểm soát.

Vì vậy, một phương án khả thi là kết hợp nền tảng AI được phê duyệt, công cụ nội bộ cho các nhu cầu đặc thù và cơ chế đánh giá bảo mật đối với nhà cung cấp mới.

Trong hoạt động báo chí, trách nhiệm kiểm chứng cũng phải được đặt lên hàng đầu. AI có thể hỗ trợ tìm ý tưởng, tổng hợp dữ liệu, xử lý văn bản và gợi ý cách trình bày, nhưng không thể thay thế việc xác minh sự kiện, đối chiếu nguồn tin hoặc quyết định xuất bản của phóng viên, biên tập viên.

Các nội dung do AI tạo ra, đặc biệt liên quan đến pháp luật, sức khỏe, tài chính và những vấn đề có ảnh hưởng lớn đến công chúng, cần được rà soát kỹ về tính chính xác, bối cảnh và khả năng gây hiểu nhầm.

Nhìn rộng hơn, quyết định của Thụy Điển cho thấy câu hỏi đối với các tổ chức hiện nay không còn đơn thuần là có nên sử dụng AI hay không. Vấn đề quan trọng hơn là lựa chọn công cụ nào, dữ liệu được phép sử dụng đến đâu và ai phải chịu trách nhiệm đối với kết quả.

Khi AI ngày càng trở thành một phần trong hoạt động công vụ và sản xuất nội dung, những tổ chức xây dựng được cơ chế sử dụng minh bạch, an toàn và có kiểm soát sẽ có điều kiện khai thác công nghệ hiệu quả hơn, đồng thời hạn chế nguy cơ rò rỉ thông tin hoặc đưa ra quyết định dựa trên nội dung thiếu chính xác.