Quán ăn, quán cà phê dùng AI an toàn khi có ba quy tắc rõ ràng: không đưa dữ liệu cá nhân của khách và nhân viên, thông tin tài khoản, mật khẩu vào công cụ AI; dùng tài khoản đăng ký bằng thư điện tử của quán, có người giữ và có danh sách ai được dùng; và mọi nội dung gửi ra ngoài do AI soạn phải có người duyệt chịu trách nhiệm. Ba quy tắc này viết vừa một trang giấy và giải quyết phần lớn rủi ro thực tế ở quán nhỏ.
Rủi ro khi dùng AI ở quán nhỏ hiếm khi đến từ những kịch bản phức tạp. Nó đến từ những việc rất đời thường: nhân viên dán danh sách khách đặt bàn vào một ứng dụng để nhờ soạn tin nhắn, thu ngân chụp màn hình phần mềm có số tài khoản để hỏi lỗi, con của chủ quán dùng tài khoản cá nhân làm ảnh và bài đăng cho quán. Bài này dựng bộ quy tắc từ những tình huống đó.
Vì sao quán nhỏ cũng cần quy tắc
Quán nhỏ thường nghĩ quy tắc dữ liệu là chuyện của doanh nghiệp lớn. Thực tế quán nhỏ nắm khá nhiều dữ liệu nhạy cảm: số điện thoại khách tích điểm, địa chỉ giao hàng, tên và lịch sử đặt bàn, thông tin chuyển khoản, giấy tờ và lương của nhân viên. Khi những dữ liệu đó đi vào công cụ AI mà không ai để ý, quán mất kiểm soát việc chúng được lưu ở đâu, bao lâu, ai đọc được.
Về pháp lý, Việt Nam đã có quy định về bảo vệ dữ liệu cá nhân, và Luật Bảo vệ dữ liệu cá nhân được Quốc hội thông qua năm 2025 đặt ra các nguyên tắc như thu thập phải có mục đích rõ ràng, chủ thể dữ liệu phải được biết và đồng ý, dữ liệu chỉ dùng đúng mục đích. Bài này không thay tư vấn pháp lý; chi tiết nghĩa vụ của từng loại cơ sở kinh doanh cần kiểm văn bản hiện hành và hướng dẫn của cơ quan quản lý. Nhưng tinh thần chung đủ rõ để quán tự đặt quy tắc cho mình.
Về uy tín, một sự cố lộ danh sách khách, dù nhỏ, ảnh hưởng tới quán nhiều hơn tới một công ty lớn, vì khách của quán nhỏ thường là người quen trong khu phố. Quy tắc không cần dài; nó cần rõ để nhân viên mới đọc một lần là hiểu.
Phân loại dữ liệu: được đưa vào, đưa vào có điều kiện, không bao giờ
Bảng dưới là khung phân loại cho quán ăn và cà phê. Có thể in ra dán ở chỗ nhân viên hay dùng máy tính.
| Loại dữ liệu | Mức | Ghi chú |
|---|---|---|
| Thực đơn, mô tả món, công thức chung | Được đưa vào | Công thức riêng quán muốn giữ bí mật thì cân nhắc |
| Giờ mở cửa, chính sách đặt bàn, thông tin công khai | Được đưa vào | Thông tin vốn đã đăng công khai |
| Số lượng bán theo món, theo giờ | Có điều kiện | Chỉ đưa vào công cụ có điều khoản rõ, bỏ cột nhận dạng |
| Đánh giá của khách đã bỏ tên | Có điều kiện | Xoá tên, ảnh, số điện thoại nếu khách lỡ ghi |
| Doanh thu chi tiết, giá vốn, công nợ mối hàng | Có điều kiện | Thông tin kinh doanh nhạy cảm, hạn chế tối đa |
| Tên, số điện thoại, địa chỉ khách | Không bao giờ | Dữ liệu cá nhân, không cần cho việc soạn nội dung |
| Thông tin nhân viên: giấy tờ, lương, đánh giá | Không bao giờ | Dữ liệu cá nhân và nhạy cảm |
| Số tài khoản, mật khẩu, mã xác thực | Không bao giờ | Rủi ro bị lợi dụng trực tiếp |
| Ảnh chụp màn hình phần mềm có thông tin trên | Không bao giờ chưa che | Che hết thông tin khách, tài khoản trước khi gửi |
Dòng cuối hay bị quên nhất. Khi gặp lỗi phần mềm, phản xạ tự nhiên là chụp màn hình rồi hỏi trợ lý AI. Màn hình đó có thể chứa tên khách, số tiền, số tài khoản. Che trước rồi mới gửi, hoặc mô tả lỗi bằng chữ.
Tài khoản: của quán, có người giữ, có danh sách
Phần lớn sự cố mất kiểm soát dữ liệu ở quán nhỏ bắt nguồn từ tài khoản. Một vài nguyên tắc đơn giản:
- Đăng ký bằng thư điện tử của quán, không bằng thư cá nhân của nhân viên hay người nhà. Khi người đó rời đi, tài khoản và toàn bộ lịch sử vẫn thuộc về quán.
- Bật xác thực hai lớp cho mọi tài khoản công cụ AI, mạng xã hội, ứng dụng giao đồ ăn, phần mềm bán hàng. Mã xác thực gửi về số điện thoại hay thư của quán.
- Ghi danh sách công cụ đang dùng: tên loại công cụ, dùng vào việc gì, ai có quyền, đăng ký bằng thư nào. Danh sách này thường chỉ vài dòng nhưng nhiều quán không có.
- Không dùng chung một mật khẩu cho nhiều công cụ, và không ghi mật khẩu lên giấy dán ở quầy.
- Thu hồi quyền ngay khi nhân viên nghỉ: đổi mật khẩu, gỡ quyền quản trị trang, đăng xuất khỏi các thiết bị.
Nếu quán dùng các tính năng AI có sẵn trong phần mềm bán hàng, phần mềm đặt bàn, quyền truy cập đi theo tài khoản của phần mềm đó. Phân quyền trên phần mềm, như thu ngân không xem được báo cáo doanh thu, là lớp bảo vệ đầu tiên.
Đọc điều khoản công cụ AI: chỉ cần tìm năm điều
Không ai đọc hết điều khoản sử dụng, nhưng chủ quán nên tìm năm điều trước khi cho nhân viên dùng một công cụ AI vào việc của quán. Thứ nhất, dữ liệu đưa vào có được dùng để huấn luyện mô hình không, và có tuỳ chọn tắt không. Thứ hai, dữ liệu được lưu bao lâu và có xoá được không. Thứ ba, ai có thể xem nội dung, ví dụ nhân viên của nhà cung cấp trong trường hợp kiểm tra vi phạm.
Thứ tư, quyền với nội dung tạo ra: ảnh, bài viết do công cụ tạo có được dùng cho mục đích kinh doanh không. Thứ năm, gói miễn phí và gói trả phí khác nhau thế nào về dữ liệu; nhiều công cụ có điều khoản dữ liệu chặt hơn cho gói dành cho tổ chức.
Điều khoản thay đổi theo thời gian, nên mỗi năm xem lại một lần cho các công cụ quán dùng thường xuyên. Nếu không tìm thấy câu trả lời rõ cho điều thứ nhất và thứ hai, coi công cụ đó là chỉ được dùng với dữ liệu ở mức "được đưa vào" trong bảng phân loại.
Người duyệt: ai chịu trách nhiệm cho nội dung AI soạn
Mọi thứ quán gửi ra ngoài, dù do người hay máy soạn, đều mang tên quán. Quy tắc cần ghi rõ: bài đăng, mô tả món, tin nhắn trả lời khách, câu trả lời đánh giá, thực đơn dịch, ảnh món đã chỉnh, tất cả phải có một người đọc và đồng ý trước khi đăng. Người bấm gửi chịu trách nhiệm như tự mình viết.
Ở quán nhỏ, người duyệt thường là chủ quán hoặc quản lý. Để việc duyệt không thành gánh nặng, chia theo mức: tin nhắn trả lời câu hỏi cố định thì nhân viên trực tự duyệt theo tờ thông tin; bài đăng, thực đơn, ảnh món thì quản lý duyệt; câu trả lời đánh giá xấu và mọi thứ liên quan tới tiền, sức khoẻ khách thì chủ quán duyệt.
Một số nội dung không được giao cho máy soạn kể cả khi có người duyệt: thông tin về dị ứng, ăn kiêng phải lấy từ công thức thật của bếp; thông tin về thuế, hoá đơn, an toàn thực phẩm phải đối chiếu văn bản hiện hành; quyết định về nhân sự như tuyển, cho nghỉ, đánh giá không dựa vào kết luận của máy.
Khi lỡ đưa dữ liệu nhạy cảm vào công cụ AI
Sự cố có thể xảy ra dù đã có quy tắc. Điều quan trọng là xử lý nhanh và rút kinh nghiệm, không phải tìm người để trách.
- Dừng và ghi lại: dữ liệu gì, đưa vào công cụ nào, lúc nào, bằng tài khoản nào.
- Xoá cuộc hội thoại hoặc tệp trong công cụ nếu có chức năng xoá; kiểm cài đặt lưu lịch sử.
- Đổi mật khẩu ngay nếu thứ bị lộ là mật khẩu, mã xác thực, thông tin đăng nhập phần mềm hay tài khoản ngân hàng; báo ngân hàng nếu lộ thông tin tài khoản.
- Đánh giá mức ảnh hưởng nếu là dữ liệu khách: bao nhiêu người, loại dữ liệu gì. Với sự cố lớn liên quan dữ liệu cá nhân, kiểm nghĩa vụ thông báo theo quy định hiện hành hoặc hỏi người có chuyên môn pháp lý.
- Sửa quy trình: vì sao dữ liệu đó đến được tay người dùng công cụ, có cần bớt quyền xem trên phần mềm không, có cần nhắc lại quy tắc cho cả quán không.
Nhân viên báo ngay khi lỡ tay giúp quán xử lý kịp; nhân viên sợ bị phạt thì sẽ im lặng. Quy tắc nên nói rõ việc báo sớm được khuyến khích.
Đưa quy tắc vào việc hằng ngày
Bộ quy tắc gồm bảng phân loại dữ liệu, nguyên tắc tài khoản và phân công người duyệt nên viết gọn trên một trang, đưa cho nhân viên đọc khi bắt đầu làm và nhắc lại khi có công cụ mới. Với nhân viên lớn tuổi hay không quen công nghệ, giải thích bằng ví dụ cụ thể của quán hiệu quả hơn đọc quy định: "đừng dán danh sách khách đặt bàn vào ứng dụng để nhờ viết tin nhắn; dùng mẫu tin có sẵn".
Mỗi vài tháng, chủ quán dành một buổi ngắn rà lại danh sách công cụ, xem có công cụ nào không còn dùng để huỷ tài khoản, có ai đã nghỉ mà còn quyền, có tờ dữ kiện nào đã cũ. Đây cũng là lúc xem sổ lỗi của máy để quyết định tiếp tục, mở rộng hay dừng dùng AI cho từng việc.
Một cách nhắc hiệu quả ở quán nhỏ là gắn quy tắc vào đúng chỗ việc xảy ra: một dòng nhắc dán cạnh máy tính ở quầy, một tin ghim trong nhóm nhắn tin của nhân viên, một mục trong danh sách việc khi mở ca. Quy tắc nằm trong tệp ở máy chủ quán thì không ai nhớ; quy tắc nằm ngay chỗ thao tác thì được làm theo.
Quy tắc không nhằm làm việc dùng AI trở nên khó khăn. Ngược lại, khi ai cũng biết dữ liệu nào được dùng và ai duyệt cái gì, nhân viên tự tin dùng công cụ hơn, và chủ quán yên tâm giao bớt việc chữ nghĩa cho máy.
Câu hỏi thường gặp
Quán chỉ dùng trợ lý AI miễn phí để viết bài đăng thì có cần quy tắc không?
Vẫn nên có, dù rất ngắn: không đưa dữ liệu khách, nhân viên, tài khoản vào; dùng tài khoản của quán; người có trách nhiệm đọc trước khi đăng. Ba dòng này đủ cho phần lớn quán chỉ dùng AI để viết.
Dán số điện thoại khách vào AI để soạn tin chúc mừng sinh nhật có sao không?
Không nên. Việc soạn nội dung tin không cần số điện thoại hay tên khách. Soạn một mẫu tin chung bằng AI, rồi gửi qua công cụ nhắn tin của quán cho những khách đã đồng ý nhận tin.
Tính năng AI trong phần mềm bán hàng có an toàn hơn trợ lý AI bên ngoài không?
Thường dữ liệu đã nằm trong phần mềm đó nên không phải đưa ra ngoài thêm. Dù vậy vẫn nên đọc điều khoản của nhà cung cấp phần mềm về việc dữ liệu có được chuyển sang bên thứ ba để xử lý AI hay không.
Nhân viên dùng điện thoại cá nhân để dịch câu cho khách nước ngoài có vi phạm quy tắc không?
Dịch một câu giao tiếp không chứa dữ liệu cá nhân thì không có vấn đề. Quy tắc chỉ cần nhắc không chụp hoá đơn, giấy tờ, màn hình phần mềm có thông tin khách để dịch bằng ứng dụng cá nhân.
Có cần thông báo cho khách là quán dùng AI không?
Với chatbot hay trả lời tự động, nên nói rõ ngay đầu cuộc trò chuyện. Với việc dùng AI để soạn nội dung nội bộ, chính sách dữ liệu của quán có thể nêu chung việc dùng công cụ hỗ trợ. Khi cần chắc về nghĩa vụ thông báo, kiểm văn bản hiện hành.
Quy tắc này có cần ký với nhân viên không?
Quán nhỏ không nhất thiết làm văn bản ký kết, nhưng đưa nội dung quy tắc vào nội quy và cho nhân viên đọc khi nhận việc giúp mọi người hiểu như nhau. Phần cam kết bảo mật thông tin nên có trong hợp đồng lao động theo tư vấn của người có chuyên môn.