Thành viên dán tài liệu mật của khách hàng vào chatbot AI công cộng để tóm tắt: xử lý sự việc và đặt quy định thế nào?

Mức độ phụ thuộc vào điều khoản của dịch vụ đã dùng (dữ liệu có được lưu, dùng để huấn luyện, ai có quyền truy cập) và độ nhạy cảm của tài liệu. Nhưng về nguyên tắc, đưa tài liệu thuộc thoả thuận bảo mật (NDA) lên một dịch vụ bên ngoài chưa được tổ chức phê duyệt là chia sẻ thông tin cho bên thứ ba — tương tự "CNTT bóng tối" (shadow IT).

Xử lý sự việc

1. Không quy lỗi nặng nề: công ty chưa có quy định nên đây trước hết là lỗ hổng quản trị. Ghi nhận thiện chí của người tự nói ra (nếu họ tự báo).
2. Thu thập thông tin: dịch vụ nào, loại tài khoản, nội dung gì, có thể xoá lịch sử không.
3. Báo bộ phận bảo mật và pháp chế; họ đánh giá theo điều khoản dịch vụ và hợp đồng với khách hàng.
4. Quyết định thông báo khách hàng do tổ chức đưa ra dựa trên nghĩa vụ hợp đồng; PM nêu rõ quan điểm minh bạch. Che giấu một vi phạm bảo mật thường là sai lầm lớn hơn chính vi phạm.

Cấm hẳn hay dùng có kiểm soát? Cấm hoàn toàn thường đẩy việc dùng vào bóng tối. Cách bền vững hơn:

• Cung cấp công cụ AI được tổ chức phê duyệt với cam kết không dùng dữ liệu để huấn luyện, có kiểm soát truy cập.
• Phân loại dữ liệu: loại nào được đưa vào công cụ nào; dữ liệu khách hàng, dữ liệu cá nhân, bí mật kinh doanh cần quy định riêng.
• Hướng dẫn ngắn, ví dụ cụ thể, đào tạo; đưa vào quy ước làm việc của đội và kế hoạch quản lý dự án.
• Trao đổi với khách hàng về chính sách dùng AI ngay từ đầu dự án.

Nguồn:

• Wikipedia — Non-disclosure agreement
• Wikipedia — Shadow IT
• PMI — Code of Ethics and Professional Conduct (PDF)