Bộ điều khoản bảo mật và dữ liệu AI: NDA, phụ lục dữ liệu, phụ lục sử dụng AI và bằng chứng rút lui

Tên gọi 'Thỏa thuận bảo mật dữ liệu AI' rất dễ gây ra hiểu lầm tai hại. Một thỏa thuận bảo mật (NDA) thông thường chỉ tập trung vào bảo vệ thông tin mật và hạn chế tiết lộ hoặc sử dụng trái phép; nó không thể tự phân định vai trò của các bên trong việc xử lý dữ liệu cá nhân, căn cứ pháp lý hoặc sự đồng ý của chủ thể dữ liệu, quy trình giải quyết quyền của chủ thể dữ liệu, biện pháp an toàn thông tin, bên xử lý dữ liệu phụ, chuyển dữ liệu ra nước ngoài, cam kết chất lượng dịch vụ, quyền kiểm tra, sở hữu trí tuệ đối với kết quả đầu ra, ứng phó sự cố, xóa dữ liệu hay kế hoạch rút lui khi chấm dứt dịch vụ. Bộ công cụ này áp dụng cấu trúc hợp đồng đồng bộ gồm nhiều tầng: Thỏa thuận khung quản lý dịch vụ và quan hệ thương mại; NDA bảo vệ thông tin mật; Phụ lục dữ liệu quản lý hoạt động xử lý; Phụ lục AI kiểm soát mô hình, dữ liệu và giới hạn sử dụng; Phụ lục an ninh quy định các biện pháp kiểm soát; Cam kết mức dịch vụ (SLA) cùng Phiếu xác nhận tình huống sử dụng quản lý quy chuẩn vận hành thực tế. Luật sư hoặc bộ phận pháp chế sẽ lựa chọn và kết hợp các văn bản này phù hợp với từng giao dịch cụ thể.

Quá trình soạn thảo hợp đồng phải bắt đầu từ bảng dữ kiện thực tế và luồng luân chuyển dữ liệu chi tiết, chứ không thể sao chép máy móc từ các mẫu hợp đồng có sẵn. Bảng dữ kiện cần làm rõ: các bên tham gia cùng vai trò pháp lý, dịch vụ và tình huống ứng dụng, người dùng cùng chủ thể dữ liệu chịu tác động, hệ thống kỹ thuật, phân loại và mức độ nhạy cảm của dữ liệu, câu lệnh đầu vào, ngữ cảnh truy xuất, kết quả đầu ra, dữ liệu vector hóa, nhật ký hệ thống, phản hồi người dùng, hoạt động huấn luyện, tinh chỉnh hoặc đánh giá mô hình, các quyền thao tác, địa điểm máy chủ, các bên xử lý phụ, quy trình lưu giữ và sao lưu, quyền truy cập hỗ trợ kỹ thuật và toàn bộ vòng đời dữ liệu. Nếu không nắm vững các dữ kiện này, doanh nghiệp không thể cam kết không lưu trữ, không huấn luyện mô hình hay xóa sạch dữ liệu. Các phụ lục hợp đồng phải phản ánh đúng cấu hình và gói dịch vụ triển khai thực tế; mọi điểm mâu thuẫn giữa chính sách trên website, phiếu đặt hàng, thỏa thuận xử lý dữ liệu (DPA), tài liệu sản phẩm và điều khoản của bên xử lý phụ đều là những điểm trọng yếu cần đàm phán thống nhất.

Luật 91/2025/QH15 về bảo vệ dữ liệu cá nhân có hiệu lực từ 01/01/2026 theo Cơ sở dữ liệu quốc gia về văn bản pháp luật. Nghị định 13/2023/NĐ-CP được ban hành ngày 17/04/2023, có hiệu lực từ 01/07/2023 theo Cổng Thông tin điện tử Chính phủ. Tình trạng hiệu lực pháp lý, các văn bản hướng dẫn thi hành, quy định chuyển tiếp và quy chuẩn riêng của từng ngành nghề cần được người phụ trách pháp chế và bảo mật dữ liệu rà soát cẩn trọng tại thời điểm ký kết cũng như trong suốt vòng đời hợp đồng. Bộ công cụ này không đưa ra kết luận pháp lý mặc định cho mọi trường hợp. Hợp đồng không thể thay thế các nghĩa vụ luật định bắt buộc và doanh nghiệp không thể chuyển giao toàn bộ trách nhiệm giải trình sang đối tác chỉ bằng một điều khoản cam kết bồi thường thiệt hại.

Các định nghĩa chuyên biệt về AI trong hợp đồng cần được quy định hết sức cụ thể: Dữ liệu khách hàng, Dữ liệu cá nhân, Thông tin bảo mật, Câu lệnh và dữ liệu đầu vào, Dữ liệu ngữ cảnh và tài liệu truy xuất, Kết quả đầu ra, Dữ liệu đo lường vận hành, Nhật ký hệ thống, Phản hồi của người dùng, Dữ liệu vector hóa và dữ liệu phái sinh, Mô hình AI nền tảng, Mô hình tinh chỉnh riêng cho khách hàng, Hoạt động huấn luyện, tinh chỉnh và kiểm thử, Mục đích sử dụng được phép, cùng Thao tác có rủi ro cao. Tuy nhiên, việc định nghĩa quá rộng có thể vô tình kéo toàn bộ siêu dữ liệu hoặc tài sản trí tuệ của nhà cung cấp vào những nghĩa vụ bất khả thi. Mỗi thuật ngữ cần được ánh xạ chính xác với luồng dữ liệu thực tế, quyền sở hữu, phạm vi cấp phép, mục đích xử lý hợp pháp, thời hạn lưu giữ, quyền truy cập, cơ chế tiết lộ, biện pháp an toàn và lộ trình rút lui. Mọi điểm mập mờ trong cách hiểu cần được rà soát và thống nhất triệt để trước khi ký kết.

Điều khoản cấm sử dụng dữ liệu để huấn luyện cần phân biệt rạch ròi giữa các hoạt động kỹ thuật khác nhau: huấn luyện mô hình nền tảng chung, tinh chỉnh mô hình riêng cho khách hàng, đánh giá chất lượng câu trả lời, giám sát an toàn và ngăn chặn lạm dụng, hỗ trợ kỹ thuật, phân tích dữ liệu tổng hợp và quá trình con người kiểm duyệt. Việc cam kết 'không huấn luyện' nhưng lại cho phép thu thập phản hồi để cải thiện dịch vụ mà không có ranh giới rõ ràng sẽ dẫn đến mâu thuẫn trực tiếp. Hợp đồng cần quy định cụ thể cơ chế đồng ý hoặc từ chối mặc định, các nhóm dữ liệu áp dụng, tiêu chuẩn khử định danh nếu có, quyền tiếp cận của nhân sự vận hành, bên xử lý dữ liệu phụ, thời hạn lưu giữ và bằng chứng đối soát. Nếu gói dịch vụ của nhà cung cấp không hỗ trợ các cam kết này về mặt kỹ thuật, doanh nghiệp nên chuyển sang cấu hình bảo mật cao hơn, giảm thiểu dữ liệu đưa lên, tự triển khai trên máy chủ riêng (self-host / private deployment) hoặc không ký hợp đồng, chứ không đưa vào văn bản những cam kết viển vông không thể thực thi.

Điều khoản thời hạn lưu giữ và xóa dữ liệu cần bao quát toàn bộ vòng đời và quy định ngoại lệ rõ ràng. Cần phân định giữa dữ liệu đang xử lý, nhật ký hệ thống, bộ nhớ đệm, tệp tạm, bản sao lưu, hồ sơ an ninh sự cố, phiếu hỗ trợ kỹ thuật, chỉ mục vector và dữ liệu cần lưu giữ theo luật (legal hold). Hợp đồng phải nêu rõ thời điểm bắt đầu và kết thúc, phương pháp xóa an toàn, chu kỳ hết hạn sao lưu, quy trình xuất trả dữ liệu, biên bản xác nhận việc xóa và quyền kiểm tra độc lập. Cam kết 'xóa ngay' thường không đúng với kiến trúc sao lưu hoặc yêu cầu lưu vết điều tra sự cố. Các ngoại lệ phải được giới hạn chặt chẽ, ràng buộc mục đích và quyền truy cập tối thiểu, kèm lịch trình xóa cụ thể. Khách hàng cũng có trách nhiệm yêu cầu xóa đúng hạn, thu hồi khóa xác thực và kiểm tra việc xóa đồng bộ ở hệ thống hạ nguồn.

Mục tiêu cốt lõi của bộ công cụ này không phải là ký kết hợp đồng thật nhanh, mà là giúp doanh nghiệp đưa ra một trong bốn quyết định rõ ràng: CHẤP THUẬN, KHẮC PHỤC, TẠM DỪNG hoặc RÚT LUI, dựa trên bằng chứng pháp lý, kỹ thuật và vận hành thực tế. Doanh nghiệp CHẤP THUẬN khi nghĩa vụ hợp đồng khớp hoàn toàn với năng lực công nghệ và mức rủi ro còn lại đã được phê duyệt. Chọn KHẮC PHỤC khi còn khoảng trống cần xử lý bằng kế hoạch hành động và biện pháp kiểm soát bù. Thực hiện TẠM DỪNG khi phát sinh vi phạm nghiêm trọng hoặc rủi ro an ninh đòi hỏi phải ngắt ngay luồng dữ liệu hay thao tác. Kích hoạt RÚT LUI khi giải pháp không thể đáp ứng tiêu chuẩn, xảy ra sự cố lớn, có thay đổi trọng yếu hoặc theo quyết định chiến lược. Thẩm quyền quyết định, phương án chuyển giao, quy trình hoàn trả hay xóa dữ liệu và phương án duy trì vận hành liên tục phải được xây dựng bài bản ngay từ đầu.

Thỏa thuận bảo mật truyền thống thường định nghĩa thông tin mật là mọi dữ liệu được tiết lộ giữa hai bên, nhưng lại bỏ ngỏ việc các câu lệnh (prompt), kết quả đầu ra, nhật ký hệ thống và dữ liệu vector hóa thuộc quyền sở hữu của ai, nhà cung cấp được phép dùng vào mục đích gì và bên xử lý phụ nào được tiếp cận. Doanh nghiệp thường lầm tưởng dữ liệu đã được bảo vệ an toàn nên nhân viên vô tư tải lên các thông tin vượt quá phạm vi cho phép. Các điều khoản hợp đồng bắt buộc phải đi cùng quy định sử dụng nội bộ, cấu hình kỹ thuật an toàn và phân loại dữ liệu chặt chẽ. Yêu cầu đóng dấu bảo mật phải khả thi trong thực tế; các thông tin có bản chất bí mật kinh doanh, trao đổi bằng lời, tài liệu tóm tắt phái sinh và kết quả do AI tạo ra cần có cơ chế quản lý rõ ràng. Các trường hợp ngoại lệ như thông tin đã công khai, đã biết từ trước, tự nghiên cứu độc lập hoặc bắt buộc cung cấp theo yêu cầu pháp lý đều phải có quy trình xác minh bằng chứng minh bạch.

Điều khoản của nhà cung cấp AI luôn phân tầng theo từng gói dịch vụ. Các phiên bản miễn phí hoặc dành cho cá nhân có chính sách huấn luyện dữ liệu và thời hạn lưu trữ hoàn toàn khác với gói doanh nghiệp hoặc cổng kết nối API; các công cụ quản trị, xử lý dữ liệu theo khu vực, thời gian lưu nhật ký, đăng nhập một lần (SSO) và tính năng kiểm tra an ninh cũng có sự khác biệt lớn. Hợp đồng cần chỉ định chính xác tên dịch vụ, gói đăng ký, phiên bản và quy định rõ thứ tự ưu tiên giữa phụ lục thỏa thuận riêng với các điều khoản trực tuyến chung trên trang web. Nhà cung cấp không được tự ý thay đổi các thực hành xử lý dữ liệu trọng yếu qua đường dẫn URL nếu hợp đồng đã yêu cầu thông báo trước và cho phép phản đối. Phía doanh nghiệp cũng phải kích hoạt đúng không gian làm việc riêng (tenant); nếu trả tiền mua gói doanh nghiệp nhưng nhân viên vẫn dùng tài khoản cá nhân để xử lý công việc thì dữ liệu hoàn toàn không được hợp đồng bảo vệ.

Vai trò pháp lý của các bên thường bị áp đặt một cách máy móc. Tư cách bên kiểm soát dữ liệu hay bên xử lý dữ liệu theo pháp luật Việt Nam và các khu vực pháp lý khác phụ thuộc vào thực tế vận hành, mục đích xử lý và quyền quyết định đối với dữ liệu, chứ không phụ thuộc vào việc các bên tự xưng trong thỏa thuận xử lý dữ liệu (DPA). Nhà cung cấp có thể là bên xử lý đối với nội dung dữ liệu do khách hàng cung cấp, nhưng lại đóng vai trò độc lập khi thu thập dữ liệu đo lường phục vụ an ninh hoặc tính cước. Các trường hợp cùng kiểm soát hoặc chia sẻ cho bên thứ ba đều phải được phân tích cẩn trọng. Hợp đồng cần ghi nhận vai trò gắn liền với từng hoạt động xử lý và cơ chế phối hợp cụ thể, chứ không dùng một nhãn chung chung cho toàn bộ dữ liệu. Đội ngũ pháp lý cần thẩm định kỹ các định nghĩa và nghĩa vụ pháp lý theo các quy định hiện hành.

Cam kết không huấn luyện mô hình không thể ngăn chặn rò rỉ dữ liệu qua kênh hỗ trợ kỹ thuật, nhật ký hệ thống hoặc các công cụ tích hợp. Các câu lệnh đưa vào môi trường vận hành thực tế có thể bị ghi vào hệ thống giám sát quan sát, dữ liệu truy vết, phiếu hỗ trợ của nhân viên kỹ thuật, bộ lọc kiểm duyệt nội dung, bộ nhớ đệm hay các tiện ích mở rộng liên kết phía sau. Bản đồ luồng dữ liệu phải bao quát trọn vẹn toàn bộ các đường truyền này. Cần áp dụng các biện pháp kiểm soát kỹ thuật như giảm thiểu và che mờ dữ liệu nhạy cảm, tắt các nhật ký không cần thiết, giới hạn quyền truy cập và chạy thử nghiệm an toàn thường xuyên. Hợp đồng phải quy định chặt chẽ mục đích được phép xử lý, nghĩa vụ bảo mật, thời hạn lưu trữ, bên xử lý phụ và bằng chứng kiểm tra. Doanh nghiệp mua dịch vụ vẫn bắt buộc phải đào tạo nhân sự không dán thông tin bí mật vào hệ thống AI. Thỏa thuận bảo mật không thể khắc phục được một kiến trúc công nghệ vốn thu thập dữ liệu quá mức.

Danh sách bên xử lý dữ liệu phụ thường dài và liên tục thay đổi. Việc chấp thuận chung chung mà không có quyền được thông báo, quyền phản đối hay quyền chấm dứt sẽ làm suy yếu khả năng kiểm soát rủi ro; ngược lại, đòi hỏi phê duyệt trước từng bên lại khó khả thi với dịch vụ SaaS đại trà. Doanh nghiệp cần đàm phán cơ chế tương xứng: danh sách bên xử lý phụ được cập nhật, nêu rõ chức năng và vị trí địa lý, thông báo trước khi có thay đổi trọng yếu, chuyển tiếp nghĩa vụ thẩm định cho bên phụ, cùng quyền phản đối, biện pháp khắc phục hoặc rút lui an toàn. Nhà cung cấp vẫn chịu trách nhiệm đầy đủ theo thỏa thuận và pháp luật. Doanh nghiệp mua dịch vụ phải phân công nhân sự chuyên trách tiếp nhận thông báo; để thông báo rơi vào hòm thư không kiểm tra sẽ làm điều khoản mất tác dụng. Việc xử lý bên phụ khẩn cấp và dịch vụ cũ cũng cần được làm rõ.

Các điều khoản về chuyển dữ liệu qua biên giới và vị trí lưu trữ thường đánh đồng giữa lưu trữ tĩnh, xử lý tính toán, hỗ trợ kỹ thuật từ xa, suy luận mô hình AI, sao lưu dự phòng và hoạt động của bên xử lý phụ. Việc chọn vùng máy chủ không đồng nghĩa với việc ngăn chặn hoàn toàn hỗ trợ kỹ thuật toàn cầu hay luồng dữ liệu đo lường từ xa. Cần xây dựng sơ đồ chuyển dữ liệu và đánh giá đầy đủ hồ sơ pháp lý liên quan. Hợp đồng phải nêu rõ địa điểm, loại dữ liệu, mục đích xử lý và quy trình thay đổi vị trí phù hợp với quy định pháp luật. Doanh nghiệp cần yêu cầu bằng chứng cấu hình và định tuyến kỹ thuật thực tế. Tuyệt đối không cam kết 'dữ liệu không bao giờ rời khỏi Việt Nam' trừ khi tất cả các luồng xử lý đều chứng minh được điều đó. Bộ phận pháp chế cần đối chiếu cẩn trọng với Luật 91/2025/QH15, các văn bản hướng dẫn và quy định ngành hiện hành.

Điều khoản sự cố chỉ ghi 'thông báo ngay lập tức' thường thiếu điều kiện kích hoạt, người nhận, nội dung và quy trình phối hợp. Nhà cung cấp có thể nhận biết một sự kiện an ninh trước khi xác nhận có vi phạm dữ liệu cá nhân hay không; doanh nghiệp cần cảnh báo sớm về các biến cố trọng yếu nhưng báo động giả tràn lan sẽ gây nhiễu loạn vận hành. Hợp đồng cần phân biệt rõ Sự cố an ninh mạng, Sự cố dữ liệu cá nhân và Sự kiện gián đoạn dịch vụ; thống nhất tiêu chuẩn xác định nhận thức; quy định rõ thông báo ban đầu và thông báo bổ sung qua kênh bảo mật, các dữ kiện đã rõ, dữ liệu và hệ thống bị ảnh hưởng, biện pháp khoanh vùng, bằng chứng kỹ thuật, tiến độ cập nhật, nguyên nhân gốc rễ, phương án khắc phục và việc báo cáo cơ quan chức năng. Cần bảo toàn quyền bảo mật thông tin pháp lý khi cần thiết. Không điều khoản nào có thể cam kết đưa ra đầy đủ kết luận cuối cùng ngay trong thông báo đầu tiên.

Quyền kiểm tra thường rơi vào hai thái cực: hoàn toàn hình thức (chỉ ghi 'khi có yêu cầu') hoặc bất khả thi (đòi kiểm tra tại chỗ không giới hạn hoặc đòi xem mã nguồn của nền tảng đám mây lớn). Cách tiếp cận thực tế là phân tầng theo rủi ro: ưu tiên chứng chỉ tiêu chuẩn, báo cáo kiểm toán độc lập và bảng câu hỏi an ninh; kế đến là các buổi đối soát bằng chứng kỹ thuật có trọng điểm; chỉ kiểm tra tại chỗ khi xảy ra sự cố lớn hoặc lỗ hổng nghiêm trọng, bảo đảm an ninh trung tâm dữ liệu. Cần quy định rõ tần suất, thời gian báo trước, phạm vi, bên chịu chi phí, thời hạn khắc phục và phối hợp với cơ quan quản lý. Bằng chứng có thể được bảo vệ bằng cam kết bảo mật. Doanh nghiệp mua dịch vụ phải phân công nhân sự đánh giá báo cáo chứ không thu thập hình thức. Quyền kiểm tra không làm giảm trách nhiệm của nhà cung cấp và không bảo đảm sự tuân thủ tuyệt đối.

Điều khoản trách nhiệm bồi thường và bồi hoàn cần được đàm phán kỹ về mức trần trách nhiệm, các trường hợp loại trừ, quan hệ nhân quả, quy trình thông báo, quyền kiểm soát tranh chấp, bảo hiểm và biện pháp khắc phục; việc đưa vào mức phạt mẫu có thể bị vô hiệu theo pháp luật, thiếu tương xứng hoặc bị từ chối về mặt thương mại. Bộ công cụ cung cấp các vấn đề cần lưu ý khi đàm phán chứ không ấn định con số bồi thường cụ thể. Đội ngũ pháp lý cần điều chỉnh nghĩa vụ bảo mật, dữ liệu cá nhân, sở hữu trí tuệ, an ninh mạng, khoản giảm trừ cước dịch vụ và bồi hoàn tương thích với giới hạn trách nhiệm chung và quy định pháp luật bắt buộc. Các biện pháp khắc phục vận hành kỹ thuật—như ngắt quyền truy cập, thu hồi khóa đăng nhập, xuất dữ liệu, xóa an toàn và chuyển đổi dịch vụ—thường giúp giảm thiểu rủi ro nhanh hơn nhiều so với đòi bồi thường thiệt hại. Đừng ngộ nhận một mức phạt cố định trên giấy là đã có được sự bảo vệ thực chất.

Kế hoạch rút lui thường bị bỏ quên cho đến khi doanh nghiệp đã phụ thuộc hoàn toàn vào nhà cung cấp. Khi dừng hợp đồng, khách hàng có thể cần lấy lại quy trình, cấu hình, mẫu prompt, bộ câu hỏi đánh giá, mô hình tinh chỉnh riêng, chỉ mục vector, nhật ký vận hành và dữ liệu ở định dạng tái sử dụng; trong khi đối tác có thể viện dẫn sở hữu trí tuệ để từ chối bàn giao. Hợp đồng cần xác định rõ hỗ trợ chuyển đổi, định dạng bàn giao, thời hạn, chi phí, quy trình xóa dữ liệu, chu kỳ hủy bản sao lưu, thu hồi thông tin đăng nhập, đóng không gian riêng (tenant) và cơ chế xác minh. Quá trình chuyển đổi phải bảo vệ tính bảo mật và duy trì vận hành liên tục. Nếu dịch vụ không hỗ trợ di chuyển dữ liệu linh hoạt, doanh nghiệp cần biết trước khi đầu tư. Hợp đồng hết hạn không tự động xóa mọi bản sao dữ liệu trên hệ thống của đối tác.

Bốn điều NDA không thể tự giải quyết

• ⦿Không xác định rõ vai trò và mục đích xử lý dữ liệu hợp pháp.
• ⦿Không chứng minh được các cam kết không lưu giữ dữ liệu hay không huấn luyện mô hình có thực sự hoạt động.
• ⦿Không thể thay thế các biện pháp kiểm soát an ninh, diễn tập sự cố và bằng chứng kiểm tra thực tế.
• ⦿Không tạo ra khả năng di chuyển dữ liệu, cơ chế xác minh việc xóa sạch hay kế hoạch rút lui khi chấm dứt hợp đồng.

1. Phiếu tiếp nhận thông tin ban đầu cần xác định rõ các bên tham gia, tên pháp lý và tư cách pháp nhân, dịch vụ, sản phẩm và phiên bản cụ thể, thời hạn hợp đồng, các tình huống sử dụng, người phụ trách kinh doanh, người dùng và chủ thể dữ liệu liên quan, ngành nghề và khu vực pháp lý, phương thức triển khai, các hệ thống tích hợp, phân loại và độ nhạy cảm của dữ liệu, các thao tác được phép thực hiện, chuỗi cung ứng của đối tác, vị trí địa lý máy chủ, tiến độ thực hiện và thẩm quyền ra quyết định. Tuyệt đối không dùng mẫu hợp đồng có sẵn khi các dữ kiện thực tế còn để trống. Bộ phận mua sắm phải cấp mã định danh cố định cho nhà cung cấp, dịch vụ và tình huống sử dụng. Cần rà soát kỹ các thỏa thuận doanh nghiệp hiện có hoặc điều khoản trực tuyến trên trang web. Bộ phận pháp chế sẽ quyết định danh mục tài liệu, phụ lục bổ sung và ngôn ngữ pháp lý áp dụng. Toàn bộ thông tin đàm phán và bằng chứng đối soát phải được giữ bí mật. Các dự án chạy thử nghiệm khẩn cấp chỉ được dùng dữ liệu giả lập hoặc dữ liệu không nhạy cảm cho đến khi hoàn tất rà soát, chứ không được âm thầm tải dữ liệu thật lên môi trường vận hành chính thức.

2. Buổi hội thảo xác lập luồng luân chuyển dữ liệu cần có sự tham gia của đại diện nghiệp vụ, kiến trúc sư ứng dụng và dữ liệu, chuyên gia an ninh thông tin, pháp chế, mua sắm cùng đội ngũ kỹ thuật sản phẩm của nhà cung cấp. Sơ đồ phải mô tả rõ các điểm thu thập đầu vào, đường truyền tải, xử lý suy luận, truy xuất dữ liệu, lưu trữ và chỉ mục vector, ghi nhật ký và giám sát hệ thống, hỗ trợ kỹ thuật và kiểm duyệt của con người, huấn luyện và đánh giá mô hình, kết quả đầu ra cùng các thao tác thực thi, quy trình sao lưu và xóa dữ liệu, cũng như các hệ thống bên ngoài. Gắn nhãn giả định pháp lý về vai trò bên kiểm soát và bên xử lý theo từng hoạt động cụ thể, vị trí máy chủ và bên xử lý phụ. Đối chiếu sơ đồ với tài liệu sản phẩm, cấu hình thực tế và kết quả kiểm thử. Những điểm chưa rõ sẽ được ghi nhận thành vấn đề cần xử lý. Phụ lục hợp đồng ký kết có thể đính kèm sơ đồ luồng dữ liệu tổng thể đã phê duyệt cùng các điều kiện kích hoạt việc cập nhật.

3. Hệ thống phân loại thông tin cần ánh xạ các cấp độ: Công khai, Nội bộ, Bảo mật, Nghiêm ngặt (hoặc theo khung phân loại riêng của doanh nghiệp) với các gói dịch vụ và cấu hình được phép triển khai. Phân tách rạch ròi dữ liệu cá nhân nhạy cảm, thông tin đăng nhập và khóa bí mật, dữ liệu thuộc diện điều chỉnh theo luật định, bí mật kinh doanh, mã nguồn, tài liệu pháp lý đặc quyền, dữ liệu trẻ em, nhân viên hoặc khách hàng. Hợp đồng không thể hợp thức hóa việc tải lên dữ liệu vốn bị nội bộ nghiêm cấm. Bảng phân loại dữ liệu phải liệt kê rõ các trường thông tin được phép đưa lên, bị chặn hoặc phải làm mờ, gắn với mục đích cụ thể. Cần kết hợp chính sách chống thất thoát dữ liệu (DLP), quy định quản trị và đào tạo nhân viên. Nhà cung cấp chỉ nhận lượng dữ liệu tối thiểu. Mọi việc tái phân loại hay mở rộng phạm vi xử lý đều phải được phê duyệt. Nghĩa vụ đóng dấu bảo mật phải khả thi trong vận hành; việc bảo vệ thông tin dựa trên bản chất bí mật cần được luật sư thẩm định kỹ.

4. Thứ tự ưu tiên áp dụng giữa các văn bản pháp lý giúp giải quyết xung đột giữa hợp đồng dịch vụ chính, thỏa thuận bảo mật (NDA), phụ lục xử lý dữ liệu (DPA), phụ lục AI, cam kết an ninh, thỏa thuận mức dịch vụ (SLA), phiếu đặt hàng, chính sách sử dụng chấp nhận được, tài liệu sản phẩm và các điều khoản trực tuyến trên website. Cần quy định rõ văn bản nào có giá trị áp dụng khi đối tác thay đổi nội dung trên đường dẫn mạng, kèm theo quy trình thông báo và quyền phản đối. Các điều khoản riêng chặt chẽ hơn trong phiếu đặt hàng cần được ưu tiên so với điều khoản chung. Xác định rõ phiên bản ngôn ngữ có giá trị ràng buộc. Đồng bộ các điều khoản về tính toàn vẹn của hợp đồng và sửa đổi bổ sung. Không dẫn chiếu chung chung các tài liệu trực tuyến nếu không lưu trữ bản sao chụp cố định tại thời điểm ký. Bộ phận pháp chế cần rà soát các điều khoản về hiệu lực tồn tại sau chấm dứt, quyền hủy bỏ và giới hạn trách nhiệm xuyên suốt toàn bộ bộ hồ sơ hợp đồng. Bảng đối chiếu hợp đồng sẽ liên kết từng vấn đề với điều khoản có thẩm quyền chi phối.

5. Định nghĩa thông tin bảo mật có thể bao gồm tài liệu kinh doanh, dữ liệu, tài liệu mô hình dưới mọi hình thức, câu lệnh và ngữ cảnh đầu vào, kết quả đầu ra, thông tin đăng nhập và cấu hình hệ thống, báo cáo đánh giá, báo cáo an ninh và ghi chú phái sinh, tùy theo thỏa thuận do luật sư rà soát. Các trường hợp loại trừ thông thường gồm: thông tin đã công khai không do vi phạm hợp đồng, thông tin đã biết hợp pháp từ trước, thông tin tự nghiên cứu độc lập có bằng chứng và thông tin được chấp thuận tiết lộ bằng văn bản. Quy định về đóng dấu mật hoặc xác nhận bằng văn bản sau khi trao đổi bằng lời phải thực tế. Chỉ được sử dụng thông tin đúng mục đích đã thỏa thuận, giới hạn phạm vi tiếp cận theo nhu cầu công việc kèm cam kết bảo mật, tuân thủ tiêu chuẩn an toàn cẩn trọng, thông báo khi bị cơ quan có thẩm quyền yêu cầu cung cấp đúng luật, có quy trình hoàn trả hoặc tiêu hủy và duy trì hiệu lực sau khi hợp đồng kết thúc. Thời hạn bảo vệ bí mật kinh doanh và biện pháp khắc phục cần được xem xét riêng. Nghĩa vụ bảo vệ dữ liệu cá nhân phải được tách biệt và có thể duy trì hiệu lực lâu hơn nghĩa vụ bảo mật thông tin.

6. Giới hạn mục đích cần nêu rõ dịch vụ, tình huống ứng dụng cụ thể và nghiêm cấm việc tái sử dụng cho mục đích phụ không được phép. Cụm từ 'cung cấp và cải thiện dịch vụ' là quá rộng nếu việc cải thiện bao hàm cả hoạt động huấn luyện mô hình nền tảng chung. Cần bóc tách rạch ròi các mục đích: cung cấp dịch vụ kỹ thuật, giám sát an toàn và phòng chống lạm dụng, hỗ trợ kỹ thuật, tính cước và thống kê vận hành, cấu hình riêng cho khách hàng, nghiên cứu hoặc huấn luyện chung và tiếp thị. Quy định này phải được áp dụng cụ thể cho từng loại dữ liệu và từng chủ thể xử lý. Bất kỳ mục đích mới nào đều phải có phê duyệt trước, thông báo hợp lệ và căn cứ pháp lý tương ứng. Nhà cung cấp chỉ được phép lưu giữ các chỉ số tổng hợp hoặc đã khử định danh theo đúng tiêu chuẩn nghiêm ngặt và bị nghiêm cấm hoàn toàn việc tái định danh danh tính. Bên mua dịch vụ không được chỉ thị nhà cung cấp thực hiện các hoạt động xử lý dữ liệu trái pháp luật.

7. Phụ lục phân định vai trò dữ liệu phải liệt kê chi tiết từng hoạt động xử lý cùng trách nhiệm tương ứng của mỗi bên, chứ không áp dụng một nhãn chung chung. Quyền quyết định của bên kiểm soát, hướng dẫn xử lý của bên xử lý, các mục đích độc lập, bối cảnh đồng kiểm soát và sự tham gia của bên thứ ba đều do luật sư đánh giá và xác định. Hợp đồng cần chuẩn hóa thành văn bản các hướng dẫn xử lý, nghĩa vụ hỗ trợ, cam kết bảo mật của nhân sự, tiêu chuẩn an toàn, bên xử lý phụ, giải quyết yêu cầu của chủ thể dữ liệu, đánh giá tác động, xóa dữ liệu và kiểm tra định kỳ. Nhà cung cấp phải cảnh báo ngay nếu nhận được chỉ thị vi phạm quy định pháp luật. Bên mua chịu trách nhiệm về tính chính xác và tính hợp pháp của dữ liệu thu thập, nhưng nhà cung cấp vẫn phải chịu trách nhiệm đầy đủ về các nghĩa vụ xử lý của mình. Mọi sự thay đổi về vai trò pháp lý đều bị coi là thay đổi hợp đồng trọng yếu.

8. Điều khoản hỗ trợ thực thi quyền của chủ thể dữ liệu cần quy định cụ thể kênh tiếp nhận yêu cầu, cơ chế xác thực danh tính, phạm vi tìm kiếm dữ liệu, các thao tác trích xuất, chỉnh sửa, xóa bỏ, hạn chế xử lý, phản đối hoặc các quyền khác theo luật định, với mốc thời gian phù hợp quy định pháp luật và quy trình nội bộ của doanh nghiệp, phương thức truyền tải bảo mật, các trường hợp bất khả kháng hoặc ngoại lệ pháp lý, trách nhiệm đồng bộ của bên xử lý phụ và việc lưu vết kiểm tra. Nhà cung cấp không được trực tiếp trả lời chủ thể dữ liệu trừ khi pháp luật bắt buộc hoặc có ủy quyền bằng văn bản. Cần đánh giá tính khả thi kỹ thuật của việc tìm kiếm trong kết quả đầu ra AI, dữ liệu phái sinh, chỉ mục vector và nhật ký hệ thống. Biểu phí xử lý các yêu cầu vượt mức hoặc phải thao tác thủ công phức tạp cần được đàm phán trước. Cần chạy thử nghiệm xử lý một yêu cầu điển hình trước khi vận hành chính thức. Hợp đồng tránh đưa ra những cam kết kỹ thuật bất khả thi hoặc hẹp hơn các quyền bắt buộc theo luật.

9. Trách nhiệm xác lập căn cứ pháp lý, xin sự đồng ý và gửi thông báo xử lý dữ liệu phải dựa trên đánh giá pháp lý chuyên sâu của luật sư, chứ không thể dựa vào công cụ tạo điều khoản tự động. Khách hàng có thể cần gửi thông báo hoặc xin sự đồng ý của chủ thể dữ liệu, trong khi nhà cung cấp cần có căn cứ pháp lý riêng đối với dữ liệu đo lường kỹ thuật độc lập. Hợp đồng chỉ ghi nhận các cam đoan và nghĩa vụ sau khi đã làm rõ toàn bộ dữ kiện thực tế. Không được đẩy toàn bộ nghĩa vụ tuân thủ sang một bên bằng một điều khoản cam đoan chung chung trong khi tính năng kỹ thuật của sản phẩm lại mâu thuẫn. Mọi thay đổi về nguồn dữ liệu, mục đích xử lý hoặc phiên bản mô hình đều đòi hỏi phải đánh giá lại tác động. Các hoạt động xử lý có rủi ro cao hoặc trong lĩnh vực chuyên ngành có thể đòi hỏi phê duyệt bổ sung. Hồ sơ hợp đồng cần ghi nhận mã tham chiếu thay vì đính kèm nguyên văn các bản ghi nhớ pháp lý nội bộ nhạy cảm.

10. Các định nghĩa về dữ liệu AI cần phân biệt rạch ròi giữa: Câu lệnh đầu vào (prompt), Ngữ cảnh và dữ liệu truy xuất, Dữ liệu khách hàng, Kết quả đầu ra, Dữ liệu sử dụng và đo lường từ xa, Phản hồi của người dùng, Nhật ký hệ thống, Dữ liệu vector hóa và dữ liệu phái sinh, Bộ dữ liệu huấn luyện, tinh chỉnh hoặc kiểm thử, cùng Mô hình riêng của khách hàng. Cần làm rõ về mặt kỹ thuật và pháp lý xem dữ liệu vector hoặc trọng số mô hình có nguy cơ mã hóa hoặc làm lộ lọt dữ liệu gốc hay không để có cơ chế xử lý tương ứng. Khái niệm 'khử định danh' phải gắn với tiêu chuẩn, quy trình kỹ thuật cụ thể và điều khoản cấm tái định danh. Dữ liệu giả lập không mặc nhiên được coi là dữ liệu ẩn danh hoàn toàn. Mỗi định nghĩa phải gắn chặt với quyền sở hữu, phạm vi cấp phép, mục đích sử dụng, thời hạn lưu giữ, tiêu chuẩn bảo mật, vị trí địa lý, bên xử lý phụ, quy trình xóa và trích xuất dữ liệu. Cần bóc tách quyền sở hữu trí tuệ có từ trước của nhà cung cấp một cách cẩn trọng để không bao chiếm nhầm các sản phẩm phái sinh được tạo riêng cho khách hàng.

11. Điều khoản cấm sử dụng dữ liệu để huấn luyện phải liệt kê chi tiết các hành vi bị cấm và được phép: huấn luyện hoặc tinh chỉnh mô hình nền tảng dùng chung; cải thiện dịch vụ đại trà; tinh chỉnh mô hình riêng cho khách hàng; truy xuất dữ liệu và xây dựng chỉ mục; đánh giá chất lượng; giám sát an toàn và lạm dụng; hỗ trợ kỹ thuật; và xử lý phản hồi người dùng. Quy định rõ cơ chế cài đặt mặc định hoặc kích hoạt có phê duyệt của người phụ trách có thẩm quyền. Kiểm soát sự can thiệp của con người. Xác định rõ danh mục dữ liệu được phép sử dụng, mô hình, nhà cung cấp và bên xử lý phụ liên quan, thời hạn lưu giữ và cơ chế xóa bỏ, cũng như việc xử lý các trọng số phái sinh và kết quả đầu ra. Yêu cầu cung cấp bằng chứng bằng ảnh chụp màn hình trang quản trị hệ thống, tài liệu cấu hình cùng cam kết bằng văn bản hoặc báo cáo kiểm toán của đối tác. Nếu nút gửi phản hồi của người dùng có gửi kèm nội dung để cải thiện dịch vụ, tính năng này phải được công bố minh bạch và có quyền tắt từ trang quản trị. Tuyệt đối không dùng những khẩu hiệu tiếp thị mơ hồ như 'AI không bao giờ học từ dữ liệu của bạn'.

12. Điều khoản sở hữu trí tuệ đối với kết quả đầu ra cần xác định rõ quyền sở hữu hoặc phạm vi cấp phép sử dụng đối với: Dữ liệu đầu vào, Kết quả đầu ra, Cấu hình và mẫu câu lệnh (prompt), Mô hình tinh chỉnh riêng, Chỉ mục vector, Luồng quy trình tự động, Bộ tiêu chí đánh giá và Phản hồi người dùng, phù hợp với quy định pháp luật, quyền của bên thứ ba và các giới hạn kỹ thuật của mô hình. Nhà cung cấp không thể cam đoan tuyệt đối về tính độc nhất hoặc không xâm phạm bản quyền vượt quá phạm vi đã đàm phán. Khách hàng có nghĩa vụ rà soát kết quả trước khi sử dụng. Điều khoản bồi hoàn do vi phạm bản quyền, biện pháp khắc phục và trường hợp loại trừ cần được luật sư đàm phán chặt chẽ. Cần làm rõ nguồn gốc mã nguồn mở hoặc bản quyền nội dung nếu kết quả là mã lập trình hoặc tệp đa phương tiện. Giữ bí mật đối với kết quả đầu ra. Nhà cung cấp chỉ được cấp quyền sử dụng ở mức tối thiểu để phục vụ việc cung cấp dịch vụ. Cần bảo đảm quyền tiếp tục sử dụng và di chuyển dữ liệu sau khi chấm dứt hợp đồng. Quyền nhân thân và các quyền liên quan theo từng khu vực tài phán cần được chuyên gia pháp lý thẩm định riêng.

13. Tuyên bố miễn trừ và cam kết về độ chính xác cần được thiết kế tương thích với tình huống ứng dụng thực tế. Bản chất của các mô hình AI tạo sinh là tính toán xác suất; do đó hợp đồng không thể cam kết tính xác thực tuyệt đối trong mọi tình huống. Cần xác định rõ các tác vụ được hỗ trợ chính thức, tiêu chí đánh giá và nghiệm thu, cơ chế xử lý khi chất lượng mô hình suy giảm trọng yếu, quy trình người dùng rà soát và nghiêm cấm việc tự động hóa các quyết định có tác động lớn mà không có con người duyệt. Cam kết mức dịch vụ (SLA) chỉ bảo đảm tính sẵn sàng của hệ thống chứ không bảo đảm tính đúng đắn về mặt nghiệp vụ kinh doanh. Nếu nhà cung cấp bàn giao mô hình tùy chỉnh kèm chỉ số đo lường hiệu suất (KPI), hợp đồng phải quy định rõ bộ câu hỏi kiểm thử, phiên bản, dung sai cho phép, biện pháp khắc phục và quy trình cập nhật. Trách nhiệm kiểm tra của khách hàng không giải trừ nghĩa vụ của đối tác nếu cố tình che giấu các giới hạn kỹ thuật đã biết. Phải có tài liệu công bố rõ năng lực, giới hạn và thông báo cảnh báo. Ranh giới quyết định và thẩm quyền thao tác phải được ghi rõ trong phiếu đặt hàng.

14. Phụ lục an ninh phải dựa trên đánh giá rủi ro thực tế chứ không sao chép máy móc một danh sách kiểm soát mẫu. Nội dung cần bao quát: quản trị và nhân sự, kiểm soát truy cập, xác thực đa yếu tố (MFA), đăng nhập một lần (SSO), phân quyền theo vai trò (RBAC), quy trình phát triển phần mềm an toàn và quản lý thay đổi, vá lỗ hổng bảo mật, mã hóa dữ liệu và quản lý khóa, phân vùng mạng và môi trường, ghi nhật ký và giám sát, sao lưu và khôi phục, bảo mật thiết bị đầu cuối, cách ly môi trường riêng của khách hàng (tenant), quản lý thông tin bí mật, quy trình xóa dữ liệu, ứng phó sự cố, an ninh vật lý nếu có, kiểm thử, kiểm toán và duy trì hoạt động liên tục. Nêu rõ gói dịch vụ áp dụng cùng các trường hợp ngoại lệ. Cần xác định phạm vi và ngày cấp hiệu lực của các chứng chỉ an ninh. Thiết lập ma trận trách nhiệm chung giữa hai bên. Quy định nghĩa vụ thông báo trước khi có thay đổi trọng yếu về biện pháp kiểm soát. Các nghĩa vụ bảo mật phải đo lường được nhưng vẫn cho phép nhà cung cấp linh hoạt nâng cấp lên các biện pháp kiểm soát tương đương hoặc mạnh hơn sau khi được phê duyệt.

15. Các điều khoản về truy cập và hỗ trợ kỹ thuật phải giới hạn nhân sự của nhà cung cấp và bên xử lý phụ theo đúng vai trò công việc, nhu cầu xử lý thực tế, thẩm quyền phê duyệt, cơ chế xác thực danh tính, lưu nhật ký thao tác, vị trí địa lý và các cam kết bảo mật, đào tạo nghiệp vụ hoặc kiểm tra lý lịch phù hợp với quy định pháp luật. Áp dụng cơ chế cấp quyền tạm thời đúng lúc (just-in-time) hoặc quy trình khẩn cấp khi hỗ trợ kỹ thuật nếu hệ thống có hỗ trợ, bắt buộc có sự phê duyệt của khách hàng khi truy cập vào nội dung dữ liệu, ghi lại toàn bộ phiên làm việc và tự động hết hạn quyền truy cập. Cần đánh giá tác động chuyển dữ liệu qua biên giới khi hỗ trợ kỹ thuật từ xa. Tài khoản quản trị của khách hàng phải tuân thủ nguyên tắc quyền tối thiểu. Nghiêm cấm hoàn toàn việc dùng chung tài khoản. Cung cấp bằng chứng rà soát quyền truy cập định kỳ. Quy định ngoại lệ đối với truy cập khẩn cấp kèm theo quy trình báo cáo giải trình ngay sau đó. Các tệp đính kèm trong phiếu hỗ trợ kỹ thuật phải được phân loại và xóa an toàn. Hoạt động kiểm duyệt mô hình do con người thực hiện phải được công bố minh bạch thành mục riêng.

16. Điều khoản mã hóa phải phân biệt rạch ròi giữa mã hóa dữ liệu trên đường truyền, mã hóa dữ liệu tĩnh khi lưu trữ, mã hóa theo từng trường dữ liệu hoặc bản sao lưu và cơ chế quản lý khóa mã hóa. Tránh nêu đích danh các thuật toán hoặc phiên bản phần mềm cụ thể dễ bị lỗi thời theo thời gian trừ khi có cơ chế cập nhật phụ lục an ninh thường xuyên; việc này do chuyên gia an ninh và pháp chế thống nhất. Làm rõ tính khả dụng của giải pháp khóa do khách hàng tự quản lý hoặc khóa riêng cho từng không gian làm việc (tenant), quy trình xoay vòng, thu hồi, khôi phục khóa và các giới hạn kỹ thuật đi kèm. Mã hóa không giải quyết được triệt để vấn đề nhà cung cấp vẫn có thể đọc dữ liệu trong quá trình máy chủ xử lý thực thi. Tuyệt đối không đưa mật khẩu hay thông tin bí mật vào dữ liệu câu lệnh (prompt). Phải có quy trình ứng phó khi khóa mã hóa bị lộ. Thiết lập chứng chỉ số và các đầu cuối truyền tải an toàn qua giao thức TLS. Bằng chứng kiểm chứng bao gồm tài liệu kiến trúc, cấu hình, báo cáo an ninh và kết quả kiểm thử. Mã hóa bản sao lưu phải tách biệt chìa khóa với môi trường vận hành chính. Việc xuất trả dữ liệu phải thực hiện qua kênh truyền tải mã hóa bảo mật. Tuyệt đối không dùng những từ ngữ quảng cáo sáo rỗng như 'chuẩn quân sự'.

17. Điều khoản về cô lập không gian làm việc riêng (tenant) và phân tách môi trường cần bao quát việc tách biệt dữ liệu giữa các khách hàng, phân định rõ môi trường phát triển, thử nghiệm và vận hành chính thức, kiểm soát quyền truy cập của nhân viên kỹ thuật, việc tái sử dụng dữ liệu trong môi trường thử nghiệm và hoạt động hỗ trợ khách hàng. Tuyệt đối không sao chép dữ liệu thật từ môi trường vận hành sang môi trường phát triển hoặc kiểm thử nếu không có sự phê duyệt trước và các biện pháp bảo vệ tương ứng. Mô hình tinh chỉnh riêng và chỉ mục vector của khách hàng phải được cách ly tuyệt đối. Phải có ranh giới rõ ràng trong bộ nhớ đệm, bộ nhớ tạm và phiên làm việc. Cung cấp phạm vi bằng chứng quét lỗ hổng và kiểm thử xâm nhập định kỳ. Công bố mức độ chia sẻ tài nguyên trên hạ tầng dùng chung ở mức độ phù hợp. Xử lý kịp thời mọi sự cố rò rỉ cách ly. Môi trường thử nghiệm an toàn (sandbox) bắt buộc phải dùng dữ liệu giả lập hoặc đã làm mờ. Lệnh xóa dữ liệu phải được thực thi đồng bộ trên mọi môi trường. Xác minh rõ năng lực cô lập theo từng gói dịch vụ. Hợp đồng không đòi hỏi hạ tầng máy chủ vật lý riêng biệt trừ khi mức độ rủi ro, ngân sách và kiến trúc kỹ thuật thực sự cho phép.

18. Điều khoản về nhật ký hệ thống và dữ liệu đo lường vận hành cần quy định cụ thể các trường thông tin thu thập, mục đích sử dụng, quyền truy cập, vị trí lưu trữ, bên xử lý phụ liên quan, thời hạn lưu giữ và cơ chế từ chối thu thập. Nghiêm cấm ghi lại các khóa bí mật hoặc toàn văn nội dung dữ liệu trừ khi thật sự cần thiết và đã được phê duyệt. Nhật ký an ninh mạng có thể được áp dụng ngoại lệ về thời hạn lưu giữ lâu hơn, nhưng phải nghiêm cấm việc tái sử dụng cho mục đích khác. Cung cấp tính năng xuất nhật ký kiểm toán cho khách hàng theo định dạng tiêu chuẩn. Việc ghi nhật ký câu lệnh và kết quả đầu ra của mô hình phải được cấu hình tách biệt. Chế độ gỡ lỗi (debug) phải được kiểm soát chặt chẽ và tự động tắt sau thời gian định trước. Sử dụng mã đối soát giao dịch để liên kết các luồng xử lý. Cần lưu ý rằng dữ liệu giám sát vận hành vẫn có thể chứa thông tin cá nhân hoặc bí mật kinh doanh. Phải có cơ chế bảo toàn bằng chứng khi có sự cố hoặc lệnh lưu giữ theo pháp luật. Làm rõ mối quan hệ giữa yêu cầu xóa dữ liệu với việc lưu nhật ký. Đối chiếu tài liệu giám sát và cấu hình thực tế của nhà cung cấp. Việc không lưu nhật ký sẽ làm mất dấu vết trách nhiệm giải trình; vì vậy cần giảm thiểu dữ liệu một cách thông minh thay vì xóa bỏ hoàn toàn một cách mù quáng.

19. Bảng thời hạn lưu giữ dữ liệu cần được lập thành danh mục chi tiết theo từng loại dữ liệu và sản phẩm phái sinh: nội dung khách hàng đang xử lý, câu lệnh và kết quả đầu ra, tài liệu truy xuất và chỉ mục, dữ liệu vector hóa, dữ liệu đo lường kỹ thuật, nhật ký an ninh, phiếu hỗ trợ, bộ dữ liệu đánh giá, mô hình tinh chỉnh, bản sao lưu và hồ sơ pháp lý hợp đồng. Xác định rõ sự kiện kích hoạt: hoàn thành lượt xử lý, xóa tài khoản, chấm dứt hợp đồng hoặc phát sinh sự kiện pháp lý, an ninh. Quy định thời hạn lưu giữ cụ thể, mục đích, vị trí lưu trữ, quyền tiếp cận, phương pháp xóa dữ liệu an toàn, bằng chứng xác nhận và các trường hợp ngoại lệ. Khách hàng cũng có trách nhiệm tự thực hiện các thiết lập cấu hình tương ứng trên giao diện quản trị. Mọi nhu cầu kéo dài thời hạn lưu giữ đều phải có căn cứ pháp lý và phê duyệt bằng văn bản. Bản sao lưu sẽ hết hạn tự động theo chu kỳ xoay vòng và bị cô lập nghiêm ngặt, không được đưa vào sử dụng thực tế. Quy trình khôi phục hệ thống từ bản sao lưu bắt buộc phải áp dụng lại danh sách các lệnh xóa dữ liệu đã thực hiện để không phục hồi nhầm dữ liệu đã xóa.

20. Cam kết không lưu giữ dữ liệu (zero retention) bắt buộc phải xác định rõ ranh giới kỹ thuật. Nhà cung cấp có cam đoan không lưu giữ nội dung yêu cầu và phản hồi qua cổng kết nối API sau khi xử lý xong hay không? Các nhật ký phòng chống lạm dụng, siêu dữ liệu, bộ nhớ đệm, cơ chế gửi lại khi lỗi, phiếu hỗ trợ kỹ thuật, lịch sử trò chuyện do người dùng thiết lập, các hệ thống tích hợp và mô hình phía trên có nằm trong diện ngoại lệ hay không? Cam kết áp dụng cho những đầu cuối dịch vụ, khu vực địa lý hay gói phần mềm nào? Hợp đồng phải chỉ định rõ tên cấu hình kỹ thuật và trách nhiệm thực thi của mỗi bên. Cần đối soát bằng kiểm thử kỹ thuật, cài đặt trên trang quản trị và chứng thư cam kết của đối tác. Nếu việc xóa sạch hoàn toàn là bất khả thi về mặt kỹ thuật, hãy chuyển sang cam kết lưu giữ tối thiểu trong khoảng thời gian ngắn xác định và áp dụng triệt để nguyên tắc giảm thiểu dữ liệu. Bên mua dịch vụ không được quảng bá cam kết này rộng hơn phạm vi hợp đồng cho phép. Mọi thay đổi cấu hình phải được thông báo trước. Doanh nghiệp cần hiểu rằng cơ chế không lưu giữ dữ liệu có thể làm suy giảm khả năng điều tra truy vết sự cố hoặc hỗ trợ kỹ thuật; sự đánh đổi rủi ro này phải được ghi nhận rõ ràng vào hồ sơ quản trị.

21. Điều khoản xóa dữ liệu phải quy định rõ quy trình gửi yêu cầu có xác thực danh tính, phạm vi quét trên toàn bộ hệ thống và các bên xử lý phụ, dữ liệu đang xử lý trực tiếp, bộ nhớ đệm, chỉ mục vector và các mô hình tinh chỉnh, với khung thời gian tuân thủ quy định pháp luật áp dụng, vòng đời hủy bản sao lưu, các trường hợp ngoại lệ, tính không thể phục hồi của dữ liệu đã xóa, nhật ký thực thi và biên bản hoặc chứng thư xác nhận hoàn tất. Cụm từ 'nỗ lực hợp lý về mặt thương mại' cần được định lượng rõ ràng khi mức độ rủi ro đòi hỏi. Nhà cung cấp phải giải trình minh bạch nếu không thể loại bỏ thông tin đã vô tình nhúng sâu vào trọng số mô hình; trong trường hợp đó cần áp dụng biện pháp ngăn chặn dùng dữ liệu để huấn luyện hoặc thiết kế kiến trúc tinh chỉnh cô lập ngay từ đầu thay vì hứa hẹn xóa dữ liệu khỏi trọng số dùng chung. Khách hàng cũng có trách nhiệm tự xóa các bản sao lưu cục bộ và thu hồi thông tin xác thực truy cập. Cần chạy thử nghiệm quy trình xóa bằng các bản ghi giả lập được gắn mã định danh. Mức độ xác minh phải tương xứng với rủi ro.

22. Điều khoản hoàn trả và chuyển đổi dữ liệu cần liệt kê đầy đủ các định dạng tệp và cổng kết nối API để trích xuất dữ liệu khách hàng, câu lệnh, mẫu hướng dẫn, cấu hình hệ thống, luồng quy trình làm việc, kho tài liệu truy xuất và dữ liệu nạp chỉ mục, các sản phẩm mô hình tinh chỉnh theo thỏa thuận, bộ câu hỏi đánh giá, nhật ký kiểm toán và siêu dữ liệu. Cần quy định rõ thời hạn bàn giao trong quá trình thực hiện hợp đồng hoặc khi rút lui, tần suất trích xuất, mức phí phát sinh nếu có, nghĩa vụ hỗ trợ kỹ thuật, tiêu chuẩn mã hóa truyền tải, tính toàn vẹn dữ liệu và tài liệu hướng dẫn đi kèm. Quyền sở hữu trí tuệ độc quyền của nhà cung cấp chỉ được loại trừ trong phạm vi hẹp và hợp lý. Cần chạy thử nghiệm việc xuất dữ liệu trước khi doanh nghiệp rơi vào tình trạng bị lệ thuộc vào nhà cung cấp. Nếu các vector embedding không thể di chuyển sang nền tảng khác, nhà cung cấp phải bàn giao toàn bộ kho ngữ cảnh gốc kèm siêu dữ liệu phân đoạn. Cần kiểm tra tính toàn vẹn, tính đầy đủ của dữ liệu và đồng bộ phần dữ liệu thay đổi lần cuối. Việc hoàn trả dữ liệu không đồng nghĩa với việc cho phép đối tác tiếp tục lưu giữ bản sao. Hợp đồng phải có kế hoạch duy trì kinh doanh liên tục và nghĩa vụ hỗ trợ chuyển đổi nhà cung cấp.

23. Phụ lục bên xử lý dữ liệu phụ phải ghi rõ tên pháp nhân đầy đủ, chức năng xử lý nghiệp vụ, danh mục dữ liệu tiếp cận, vị trí địa lý của máy chủ và ngày bắt đầu áp dụng, chứ không chỉ hiển thị các biểu trưng thương hiệu (logo) đơn thuần. Nhà cung cấp phải thực hiện thẩm định an ninh, chuyển tiếp đầy đủ các nghĩa vụ hợp đồng xuống bên phụ và chịu trách nhiệm liên đới theo thỏa thuận và quy định pháp luật. Cơ chế ủy quyền có thể là phê duyệt riêng từng bên hoặc ủy quyền chung có thông báo trước; quy định rõ tiêu chí và thời hạn để khách hàng phản đối, cùng biện pháp giảm thiểu rủi ro, đề xuất đối tác thay thế hoặc quyền chấm dứt hợp đồng. Thỏa thuận cơ chế bổ sung bên xử lý phụ trong tình huống khẩn cấp. Toàn bộ các nhà cung cấp hạ tầng đám mây, mô hình AI, dịch vụ kiểm duyệt nội dung, hỗ trợ khách hàng và thu thập nhật ký phải được đưa vào danh sách theo đúng luồng dữ liệu thực tế. Cần lưu trữ bản chụp danh sách công bố trên website và theo dõi các thông báo cập nhật. Doanh nghiệp mua dịch vụ phải phân công nhân sự chuyên trách tiếp nhận thông báo. Việc loại bỏ một bên xử lý phụ phải kích hoạt quy trình xóa sạch hoặc hoàn trả dữ liệu. Các công ty con hoặc công ty liên kết của đối tác cũng phải được đối xử theo đúng thực tế xử lý và cam kết hợp đồng.

24. Điều khoản về vị trí dữ liệu và chuyển dữ liệu qua biên giới cần lập bản đồ chi tiết cho hoạt động lưu trữ tĩnh, xử lý suy luận, hỗ trợ kỹ thuật từ xa, đo lường hệ thống, sao lưu dự phòng và mạng lưới bên xử lý phụ. Thiết lập cơ chế kiểm soát và cấu hình lựa chọn vùng lưu trữ theo khu vực địa lý cùng các trường hợp ngoại lệ. Các căn cứ pháp lý và hồ sơ chuyển dữ liệu ra nước ngoài cần được bộ phận pháp chế thẩm định theo đúng quy định pháp luật hiện hành, chứ không thể sao chép máy móc mẫu hợp đồng nước ngoài. Các yêu cầu cung cấp dữ liệu từ phía chính phủ hoặc cơ quan hành pháp phải được xử lý đúng trình tự luật định, thông báo ngay cho khách hàng khi pháp luật cho phép, kèm theo quyền khiếu nại, hạn chế tối đa dữ liệu cung cấp và công bố báo cáo minh bạch như đã đàm phán. Cần có bằng chứng kỹ thuật chứng minh cho cam kết lưu trữ dữ liệu tại chỗ. Mọi thay đổi về vị trí địa lý hoặc bổ sung bên xử lý phụ qua biên giới đều phải được thông báo trước như một thay đổi hợp đồng trọng yếu. Hoạt động truy cập hỗ trợ kỹ thuật từ xa cũng có thể bị coi là chuyển dữ liệu qua biên giới và cần được đánh giá pháp lý cẩn trọng. Giải pháp mã hóa và quản lý khóa giúp giảm thiểu rủi ro nhưng không thể thay thế cho các thủ tục pháp lý bắt buộc.

25. Định nghĩa sự cố cần phân biệt rõ ràng giữa: Sự kiện an ninh diện nghi vấn, Sự cố an toàn thông tin tác động trực tiếp đến môi trường hoặc dữ liệu khách hàng, Sự cố vi phạm dữ liệu cá nhân, và Sự kiện gián đoạn tính sẵn sàng của dịch vụ; đồng bộ hóa quy trình thông báo và nghĩa vụ khắc phục mà không thu hẹp các nghĩa vụ bắt buộc theo luật định. Chỉ được loại trừ các lượt tấn công thăm dò không thành công nếu chúng không gây ra tác động nào và đã được ghi nhật ký an ninh cẩn thận. Nhà cung cấp phải gửi thông báo ngay tới các đầu mối bảo mật được chỉ định của khách hàng ngay sau khi đạt ngưỡng nhận thức sự cố được đội ngũ pháp lý chấp thuận; thực hiện thông báo ban đầu kịp thời kết hợp các bản cập nhật định kỳ liên tục. Khách hàng có quyền tạm dừng các luồng kết nối tích hợp. Phải bảo toàn toàn vẹn nhật ký và bằng chứng số phục vụ điều tra. Quy định luồng thông báo sự cố từ các bên xử lý phụ. Nghiêm cấm các bên đưa ra tuyên bố công khai nhắc tên bên kia mà không có sự phối hợp thống nhất trước, trừ trường hợp pháp luật có quy định bắt buộc.

26. Nội dung thông báo sự cố cần được cập nhật theo tiến trình xử lý: bản chất sự cố, thời điểm phát hiện, trạng thái hiện tại, hệ thống và nhóm dữ liệu bị ảnh hưởng, phạm vi thiệt hại ước tính nếu đã rõ, mức độ tác động, biện pháp khoanh vùng và khắc phục, các khuyến nghị hành động phía khách hàng cần triển khai ngay, đầu mối liên hệ và thời điểm gửi bản cập nhật tiếp theo. Không được trì hoãn thông báo ban đầu để chờ có đầy đủ báo cáo nguyên nhân gốc rễ. Thiết lập kênh liên lạc bảo mật và duy trì đầu mối trực 24/7. Hai bên phối hợp chặt chẽ trong việc đánh giá tác động, báo cáo cơ quan quản lý nhà nước, thông báo cho chủ thể dữ liệu, giám định kỹ thuật số và giải quyết khiếu nại bồi thường, phù hợp với vai trò pháp lý và luật định. Bảo toàn chuỗi bằng chứng kỹ thuật và duy trì quyền bí mật pháp lý. Sau sự cố, nhà cung cấp phải lập báo cáo nguyên nhân gốc rễ, kế hoạch khắc phục triệt để và có cơ chế kiểm tra xác minh. Phân bổ chi phí và trách nhiệm bồi thường được đàm phán thành điều khoản riêng. Cần tổ chức diễn tập ứng phó sự cố trên bàn trước khi đưa dữ liệu nhạy cảm vào vận hành chính thức.

27. Điều khoản duy trì hoạt động kinh doanh liên tục và khôi phục sau sự cố cần nêu rõ cấp độ dịch vụ, cơ chế sao lưu, mức độ dự phòng hạ tầng, các chỉ tiêu thời gian phục hồi tối đa (RTO) và điểm khôi phục dữ liệu tối đa (RPO) khi áp dụng, kế hoạch kiểm thử định kỳ, quy trình thông báo khẩn cấp và phương án dự phòng cho khách hàng. Không được đồng nhất việc đưa hệ thống lên đám mây là mặc nhiên có khả năng phục hồi an toàn. Cần tính đến mức độ phụ thuộc vào nhà cung cấp mô hình AI bên dưới và rủi ro gián đoạn dịch vụ diện rộng theo khu vực địa lý. Khách hàng phải có quyền tự xuất dữ liệu và sao lưu cấu hình để có thể tái tạo hệ thống khi cần. Yêu cầu nhà cung cấp cung cấp báo cáo và bằng chứng kiểm thử khôi phục hệ thống. Sự kiện bất khả kháng không mặc nhiên giải trừ nghĩa vụ bảo mật dữ liệu nếu không có ý kiến thẩm định của luật sư. Khoản giảm trừ cước dịch vụ theo cam kết SLA không phải là biện pháp khắc phục duy nhất đối với các sự cố dữ liệu nghiêm trọng trừ khi đã được thỏa thuận rõ ràng. Doanh nghiệp cần xây dựng quy trình thao tác thủ công dự phòng cho các luồng công việc trọng yếu. Khách hàng có quyền chấm dứt hợp đồng nếu sự cố gián đoạn kéo dài quá thời hạn cam kết. Phải kiểm tra định kỳ năng lực khôi phục và tính toàn vẹn của dữ liệu.

28. Các điều khoản về quản lý lỗ hổng bảo mật bao gồm quy trình phát triển phần mềm an toàn, kiểm soát phụ thuộc mã nguồn và chuỗi cung ứng, quét và kiểm thử lỗ hổng định kỳ, phân loại mức độ nghiêm trọng và ấn định thời hạn khắc phục dựa trên rủi ro, thiết lập kênh tiếp nhận công bố lỗ hổng, nghĩa vụ thông báo cho khách hàng khi phát hiện lỗ hổng trọng yếu bị khai thác, các biện pháp kiểm soát bù đắp tạm thời và cung cấp bằng chứng xác nhận. Khách hàng không được tự ý thực hiện các hành vi tấn công thử nghiệm vào hệ thống vận hành chính thức; mọi hoạt động kiểm thử xâm nhập hoặc kiểm toán an ninh phải tuân thủ quy chế kiểm thử đã thống nhất. Cần kiểm soát chặt chẽ các thành phần mã nguồn mở cộng đồng và các thành phần mô hình AI. Cần lưu ý rằng việc vá lỗi bảo mật có thể làm thay đổi hành vi hoặc làm suy giảm chất lượng của mô hình AI; do đó cần có quy trình kiểm thử hồi quy. Doanh nghiệp không thể đòi hỏi một hệ thống hoàn toàn không có lỗ hổng; điều quan trọng là phải có quy trình xử lý chuyên nghiệp và ưu tiên khắc phục triệt để các lỗ hổng nghiêm trọng. Công bố danh mục thành phần phần mềm (SBOM) và thành phần mô hình AI ở cấp độ phù hợp. Nghiêm cấm việc công bố lỗ hổng ra đại chúng trước khi hoàn tất quy trình phối hợp xử lý, trừ khi pháp luật có yêu cầu bắt buộc.

29. Thang bậc kiểm tra và đảm bảo an ninh mạng gồm các mức: cung cấp chứng chỉ tiêu chuẩn quốc tế và báo cáo kiểm toán độc lập còn hiệu lực với phạm vi phù hợp; hoàn thành bảng câu hỏi bảo mật và quyền riêng tư; tổ chức các buổi họp đối soát bằng chứng kỹ thuật; thực hiện kiểm tra và cung cấp báo cáo chuyên sâu có trọng điểm; tiến hành kiểm toán độc lập hoặc kiểm tra tại thực địa khi phát sinh sự cố lớn hoặc đối tác không cung cấp được bằng chứng hợp lệ. Hợp đồng cần xác định rõ tần suất và thời gian báo trước, nghĩa vụ bảo mật thông tin, bảo đảm không làm lộ dữ liệu của khách hàng khác, tiêu chuẩn lựa chọn đơn vị kiểm toán độc lập có đủ năng lực, bên chịu chi phí, lộ trình khắc phục các điểm không phù hợp và sự tham gia của cơ quan quản lý nhà nước. Báo cáo kiểm toán đã được che mờ thông tin nhạy cảm có thể được chấp nhận nếu không tồn tại khoảng trống an ninh lớn. Khách hàng phải có trách nhiệm rà soát các trường hợp ngoại lệ và phản hồi giải trình của ban điều hành đối tác. Theo dõi sát thời hạn hết hiệu lực của chứng chỉ và các điểm kiểm soát bị loại trừ. Quyền kiểm tra không cho phép khách hàng tiếp cận mã nguồn độc quyền hay dữ liệu của bên thứ ba. Lưu trữ toàn bộ bằng chứng kiểm tra. Kết quả kiểm tra là căn cứ trực tiếp để doanh nghiệp đưa ra quyết định: Chấp thuận, Khắc phục, Tạm dừng hoặc Rút lui.

30. Điều khoản tuân thủ pháp luật không được viết theo lối vòng vo luẩn quẩn hoặc dồn đẩy toàn bộ rủi ro sang một bên. Mỗi bên có nghĩa vụ tuân thủ các quy định pháp luật áp dụng cho đúng vai trò và phạm vi hoạt động của mình; các tính năng dịch vụ và năng lực kiểm soát của nhà cung cấp cũng như các chỉ thị xử lý và nghĩa vụ sử dụng của khách hàng phải được quy định hết sức cụ thể. Nhà cung cấp có trách nhiệm hỗ trợ cung cấp hồ sơ, giải quyết yêu cầu và phối hợp đánh giá tác động theo thỏa thuận đã đàm phán. Cần xác lập quy trình xử lý khi pháp luật có sự thay đổi: đánh giá tác động, điều chỉnh hợp đồng, tìm giải pháp thay thế, hoặc tạm dừng và chấm dứt dịch vụ nếu không thể đáp ứng. Tuyệt đối không đưa ra cam đoan mơ hồ rằng hệ thống tuân thủ mọi quy định pháp luật trong mọi ngành nghề và mọi quốc gia trên toàn cầu. Các yêu cầu pháp lý đặc thù của từng ngành phải được ghi nhận riêng trong phiếu đặt hàng hoặc phụ lục chuyên ngành. Mọi chỉ thị xử lý xung đột với quy định pháp luật phải được báo cáo và giải quyết ngay lập tức. Các quyền và nghĩa vụ luật định bắt buộc luôn có giá trị pháp lý cao nhất theo quyết định của luật sư.

31. Các điều khoản cam đoan và bảo đảm cần phân biệt rạch ròi giữa thẩm quyền giao kết, sự phù hợp của dịch vụ, cam kết không chứa mã độc và an toàn an ninh, không xâm phạm quyền của bên thứ ba và chất lượng dịch vụ chuyên nghiệp theo thỏa thuận. Kết quả đầu ra của AI không thể được bảo đảm là luôn chính xác tuyệt đối hoặc độc nhất vô nhị trên diện rộng. Cần xây dựng tiêu chí nghiệm thu rõ ràng cho các sản phẩm bàn giao theo yêu cầu riêng. Các tuyên bố miễn trừ trách nhiệm phải được diễn giải tương thích với các nghĩa vụ cốt lõi và các quy định pháp luật bắt buộc về bảo vệ người tiêu dùng khi có liên quan. Các tuyên bố tiếp thị quảng cáo không mặc nhiên trở thành nghĩa vụ hợp đồng trừ khi được đưa cụ thể vào văn bản ký kết. Khách hàng cần cam đoan cẩn trọng về quyền hạn và tính hợp pháp của các chỉ thị xử lý, tránh cam đoan quyền sở hữu tuyệt đối với toàn bộ dữ liệu nếu bản thân chỉ đóng vai trò bên xử lý phụ. Thẩm quyền hai bên mang tính tương hỗ. Bộ phận pháp chế chịu trách nhiệm soạn thảo văn bản cuối cùng, bộ công cụ đóng vai trò nhận diện các điểm trọng yếu cần lưu ý.

32. Điều khoản bồi hoàn phân bổ nghĩa vụ xử lý các khiếu nại và thiệt hại từ bên thứ ba liên quan đến quyền sở hữu trí tuệ, tính bảo mật, vi phạm dữ liệu hoặc các chỉ thị trái luật, đi kèm với các trường hợp loại trừ, thủ tục thông báo kịp thời, quyền chỉ đạo bào chữa, cơ chế phối hợp và điều kiện dàn xếp hòa giải. Trách nhiệm bồi hoàn không đồng nhất với trách nhiệm bồi thường thiệt hại trực tiếp. Mức trần trách nhiệm bồi thường, các ngoại lệ vượt trần, biện pháp khắc phục và mức bảo hiểm trách nhiệm cần được đàm phán tương xứng với giá trị hợp đồng, mức độ rủi ro, vị thế thương lượng và quy định pháp luật áp dụng. Tuyệt đối không áp dụng máy móc một mức phạt chung cho mọi tình huống. Việc xử lý các khoản phạt hành chính từ cơ quan quản lý hoặc khiếu nại bồi thường từ chủ thể dữ liệu bắt buộc phải có sự tham gia của luật sư. Doanh nghiệp cần ưu tiên các biện pháp giảm thiểu rủi ro vận hành ngay tại chỗ. Giấy chứng nhận bảo hiểm không đồng nghĩa với việc mọi rủi ro về AI và dữ liệu đều được chi trả; cần rà soát kỹ các điều khoản loại trừ. Cần bảo đảm tính nhất quán của điều khoản này xuyên suốt từ hợp đồng chính đến các phụ lục đính kèm.

33. Yêu cầu bảo hiểm có thể bao gồm bảo hiểm an ninh mạng, bảo hiểm trách nhiệm nghề nghiệp công nghệ, bảo hiểm trách nhiệm công cộng và các gói bảo hiểm khác dựa trên mức độ rủi ro thực tế. Hạn mức bảo hiểm chỉ nên được xác định sau khi đã phân tích kỹ quy mô giao dịch; hợp đồng cần quy định rõ uy tín và xếp hạng của công ty bảo hiểm, nghĩa vụ thông báo trước khi hủy hợp đồng bảo hiểm, bằng chứng chứng minh và trách nhiệm của các nhà thầu phụ. Cần kiểm tra cẩn thận các điều khoản loại trừ liên quan đến công nghệ AI và quyền riêng tư dữ liệu, mức tự miễn, phạm vi lãnh thổ và thời hạn khiếu nại. Hợp đồng bảo hiểm không thể thay thế cho các biện pháp kiểm soát kỹ thuật hay giải trừ nghĩa vụ pháp lý của đối tác. Cần đánh giá năng lực tài chính và mức độ tập trung rủi ro của nhà cung cấp. Khách hàng cũng cần duy trì các gói bảo hiểm phù hợp với vai trò của mình. Không ấn định máy móc các con số mẫu trong hợp đồng. Đội ngũ mua sắm, pháp chế và tài chính cần phê duyệt các điều kiện này. Việc báo cáo sự cố cho công ty bảo hiểm có thể ảnh hưởng đến quyền bảo mật thông tin pháp lý; quy trình ứng phó nội bộ cần được điều chỉnh đồng bộ.

34. Cam kết mức dịch vụ (SLA) cần xác định rõ công thức tính toán thời gian khả dụng của hệ thống, các khoảng thời gian bảo trì định kỳ được loại trừ, phân cấp mức độ nghiêm trọng và thời gian phản hồi hỗ trợ kỹ thuật, các chỉ số hiệu năng và độ trễ nếu có ý nghĩa thực tế, cùng kênh tiếp nhận sự cố và trích xuất dữ liệu khẩn cấp. Chất lượng câu trả lời của mô hình AI thường thuộc phạm vi nghiệm thu và đánh giá mô hình chứ không nằm trong cam kết SLA về thời gian hoạt động. Cần quy định rõ cơ chế giảm trừ cước phí, quyền đơn phương chấm dứt hợp đồng khi vi phạm cam kết kéo dài và nghĩa vụ báo cáo định kỳ. Thông báo trước khi có thay đổi hoặc ngừng hỗ trợ một phiên bản mô hình. Trang web trạng thái công khai không thể là kênh thông báo duy nhất đối với các sự cố trọng yếu của khách hàng. Phải công bố minh bạch các trường hợp loại trừ do phụ thuộc vào bên thứ ba. Khách hàng cũng phải tuân thủ nghĩa vụ duy trì đường truyền kết nối ổn định. Dữ liệu đo lường mức dịch vụ phải có bằng chứng đối soát và kiểm tra độc lập. Tuyệt đối không đưa ra cam kết thời gian hoạt động 99.9% trừ khi hợp đồng, kiến trúc kỹ thuật và báo cáo giám sát thực tế hoàn toàn đồng bộ với nhau.

35. Quy trình quản lý thay đổi phải bao quát toàn diện: dịch vụ, mô hình AI, nhà cung cấp hạ tầng, phiên bản phần mềm, thực hành huấn luyện và sử dụng dữ liệu, bên xử lý phụ, vị trí địa lý máy chủ, biện pháp kiểm soát an ninh, thời hạn lưu giữ dữ liệu, cổng kết nối API và các điều khoản trực tuyến trên website. Cần phân loại các thay đổi trọng yếu, quy định thời hạn gửi thông báo trước, trao quyền cho khách hàng đánh giá và kiểm thử, cơ chế phản đối, biện pháp khắc phục hoặc quyền rút lui an toàn, bên cạnh quy trình thay đổi khẩn cấp để xử lý sự cố an ninh. Cho phép khách hàng tùy chọn duy trì cố định phiên bản mô hình cũ nếu cần. Cung cấp nhật ký thay đổi và chỉ định đầu mối liên hệ rõ ràng. Quy định về việc im lặng đồng nghĩa với chấp thuận cần được luật sư rà soát cẩn trọng. Bên mua dịch vụ chịu trách nhiệm theo dõi thông báo và chạy thử nghiệm hồi quy. Bất kỳ sự xuất hiện của mô hình mới, nguồn dữ liệu mới hay thao tác mới nào đều bắt buộc phải kích hoạt lại quy trình phê duyệt an ninh, quyền riêng tư và tình huống sử dụng. Không phải bản vá lỗi nhỏ nào cũng cần xin ý kiến chấp thuận, nhưng những thay đổi tác động đến rủi ro tuyệt đối không được diễn ra âm thầm.

36. Phụ lục chính sách sử dụng chấp nhận được (AUP) cần phản ánh sự kết hợp giữa quy định của nhà cung cấp với chính sách nội bộ và pháp luật áp dụng cho khách hàng. Cần định nghĩa rõ các hành vi bị nghiêm cấm: tự động hóa các quyết định có tác động lớn mà không có thẩm quyền, giám sát trái phép, phân biệt đối xử bất hợp pháp, tạo hoặc phát tán nội dung độc hại, tự ý tải lên thông tin bí mật, chia sẻ thông tin đăng nhập, thu thập dữ liệu trái phép (scraping) và các hành vi cố tình vượt qua hàng rào an toàn của hệ thống. Nhà cung cấp phải có quy trình tạm ngừng dịch vụ minh bạch, có thông báo trước, cho phép giải trình khiếu nại và bảo đảm tính liên tục của hệ thống. Khách hàng phải đào tạo và kiểm soát nhân viên nội bộ tuân thủ chính sách. Xác định rõ phiên bản và mức độ ưu tiên pháp lý của đường dẫn chính sách AUP. Các điều khoản nghiêm cấm không được quy định quá rộng đến mức cho phép nhà cung cấp tùy tiện chấm dứt hợp đồng. Cần có quy định ngoại lệ dành cho hoạt động nghiên cứu bảo mật được ủy quyền. Nếu dịch vụ AI được tích hợp vào sản phẩm bán lại cho khách hàng cuối, cần chuyển tiếp các điều khoản sử dụng tương ứng. Mọi hoạt động giám sát sử dụng phải tôn trọng quyền riêng tư của người dùng.

37. Cơ chế kiểm soát của con người và ranh giới thao tác phải được quy định cụ thể trong phiếu đặt hàng và mô tả tình huống sử dụng: kết quả đầu ra của AI chỉ mang tính chất tư vấn hoặc dự thảo, quy định rõ vai trò, trình độ chuyên môn và bối cảnh của người kiểm duyệt, bắt buộc phải có sự phê duyệt của con người trước khi thực hiện các hành động ra bên ngoài hoặc có tác động lớn, quy định quy trình can thiệp ghi đè hoặc chuyển cấp xử lý, cùng cơ chế lưu vết kiểm toán và khắc phục sai sót. Thiết lập phân quyền và giới hạn thao tác chặt chẽ cho các tác tử AI và công cụ tự động. Nhà cung cấp phải lập tài liệu công bố rõ các giới hạn của hệ thống. Khách hàng luôn là chủ thể chịu trách nhiệm cuối cùng đối với các quyết định kinh doanh, nhưng nhà cung cấp tuyệt đối không được âm thầm kích hoạt các thao tác chưa được công bố. Giao diện người dùng và thiết kế tích hợp kỹ thuật phải kiểm soát được điều này. Hợp đồng có thể yêu cầu trang bị nút ngắt khẩn cấp (kill switch). Cần bảo đảm năng lực xử lý thực tế của đội ngũ kiểm duyệt. Mọi việc mở rộng phạm vi sử dụng đều phải lập phụ lục sửa đổi và được phê duyệt lại. Các tình huống sử dụng có tác động lớn đòi hỏi phải có đánh giá chuyên sâu về mặt pháp lý và đạo đức.

38. Phụ lục đánh giá và nghiệm thu cần nêu rõ các tác vụ cần thực hiện, quyền sử dụng bộ dữ liệu kiểm thử, mốc đo ban đầu, các chỉ số và thang chấm điểm chi tiết, danh mục các lỗi nghiêm trọng, các phân khúc người dùng, quy mô mẫu kiểm thử, người phụ trách rà soát, môi trường và phiên bản kiểm thử, cùng các ngưỡng đánh giá: Đạt, Đạt có điều kiện hoặc Không đạt. Kết quả đo lường tiêu chuẩn do nhà cung cấp tự công bố không thể thay thế cho quá trình nghiệm thu thực tế của doanh nghiệp. Phải chạy kiểm thử hồi quy sau mỗi thay đổi trọng yếu. Giữ bí mật đối với kết quả kiểm thử và kiểm soát chặt chẽ các tuyên bố quảng bá ra công chúng. Tính đến độ biến thiên và dung sai chấp nhận được của mô hình AI. Thực hiện kiểm thử tính công bằng và thiên vị khi bối cảnh đòi hỏi và phù hợp với quy định pháp luật. Việc kiểm thử an toàn hoặc tấn công thử nghiệm phải được ủy quyền rõ ràng bằng văn bản. Dữ liệu của khách hàng sử dụng trong quá trình kiểm thử phải được bảo vệ nghiêm ngặt. Hợp đồng phát triển theo yêu cầu riêng phải quy định rõ cơ chế khắc phục lỗi, kiểm thử lại hoặc quyền hủy hợp đồng nếu không đạt. Việc giám sát chất lượng trong môi trường vận hành chính thức cần được thực hiện thành quy trình tách biệt. Hồ sơ NIST GenAI Profile có thể dùng làm tài liệu tham khảo cho các câu hỏi quản trị rủi ro nhưng không phải là một chứng chỉ hợp đồng bắt buộc.

39. Điều khoản về truyền thông, dẫn chiếu thương hiệu và sử dụng tên tuổi hoặc kết quả dự án bắt buộc phải có sự đồng ý trước bằng văn bản của bên kia, thống nhất nội dung phát ngôn, xác định rõ phạm vi và thời hạn sử dụng, kèm quyền thu hồi sự đồng ý khi phát sinh thay đổi trọng yếu. Nghiêm cấm hoàn toàn việc chia sẻ câu lệnh, kết quả đầu ra, số liệu kinh doanh nội bộ hoặc các ví dụ huấn luyện của khách hàng ra đại chúng. Các số liệu thống kê tổng hợp hoặc đã khử định danh phải được định nghĩa tiêu chuẩn cụ thể. Nhà cung cấp không được đưa ra tuyên bố ám chỉ rằng khách hàng bảo chứng hoặc chứng nhận sự tuân thủ cho dịch vụ của mình. Phía khách hàng cũng không được tuyên bố phóng đại các cam kết của đối tác như khẳng định tuyệt đối không huấn luyện mô hình hay không lưu giữ dữ liệu. Mọi thông tin phát ngôn liên quan đến sự cố an ninh mạng phải được hai bên phối hợp chặt chẽ theo quy định pháp luật. Tuân thủ nghiêm ngặt hướng dẫn sử dụng nhãn hiệu thương mại. Mọi bài viết nghiên cứu điển hình (case study) phải dựa trên bằng chứng xác thực và kèm theo các lưu ý điều kiện thực tế. Điều khoản này giúp ngăn chặn việc biến các cam kết hợp đồng thành những chiêu trò tiếp thị gây hiểu lầm.

40. Quy định về nhân sự và nghĩa vụ bảo mật yêu cầu toàn bộ nhân viên và nhà thầu phụ phải ký cam kết bảo mật thông tin, được đào tạo định kỳ, tuân thủ nguyên tắc quyền tối thiểu, có quy trình bàn giao khi thôi việc và áp dụng chế tài kỷ luật nghiêm minh theo đúng quy định pháp luật lao động. Xác định danh sách nhân sự chủ chốt đối với các dự án tùy chỉnh chuyên sâu. Kiểm soát chặt chẽ các biện pháp an toàn khi làm việc từ xa. Việc kiểm tra lý lịch nhân sự chỉ được tiến hành khi phù hợp với quy định pháp luật và tương xứng với tính chất công việc. Tuyệt đối không áp dụng các biện pháp giám sát nhân viên diện rộng mang tính xâm phạm đời tư. Xây dựng kênh tiếp nhận báo cáo về các nguy cơ đe dọa an ninh nội bộ. Nhà cung cấp phải công bố minh bạch việc nhân viên hỗ trợ kỹ thuật có quyền tiếp cận nội dung dữ liệu hay không. Phía khách hàng cũng phải ban hành quy chế sử dụng chấp nhận được cho cán bộ nhân viên của mình. Nghĩa vụ bảo mật thông tin tiếp tục có hiệu lực lâu dài sau khi nhân sự chấm dứt hợp đồng lao động. Bằng chứng tuân thủ được cung cấp thông qua các quy trình chính sách và báo cáo kiểm toán nội bộ chứ không cung cấp hồ sơ cá nhân của nhân viên. Nghĩa vụ này phải được chuyển tiếp đầy đủ xuống các bên xử lý phụ. Mọi sự thay đổi về vai trò công việc phải thu hồi quyền truy cập cũ ngay lập tức. Áp dụng nguyên tắc phân tách trách nhiệm trong việc xuất dữ liệu, xóa dữ liệu và quản trị hệ thống.

41. Nghĩa vụ lưu trữ hồ sơ và tài liệu vận hành bao gồm các chỉ thị xử lý, danh mục dữ liệu, bên xử lý phụ và vị trí máy chủ, nhật ký an ninh và quyền truy cập, các thay đổi hệ thống, sự cố an toàn thông tin, biên bản xóa hoặc hoàn trả dữ liệu, kết quả kiểm toán và tiến độ khắc phục sai lệch, cùng các phiên bản mô hình AI và tình huống sử dụng áp dụng. Xác định rõ thời hạn lưu giữ, quyền tiếp cận và nghĩa vụ bảo mật đối với các hồ sơ này. Nhà cung cấp không bắt buộc phải cung cấp chi tiết các bí quyết công nghệ độc quyền vượt quá nhu cầu thực tế; nhưng phía khách hàng phải nhận được đầy đủ bằng chứng để bảo đảm trách nhiệm giải trình. Khung nguyên tắc của OECD về trách nhiệm giải trình và khả năng truy vết là cơ sở định hướng cho việc lưu trữ hồ sơ theo ngữ cảnh, chứ bản thân nó không cấu thành một điều khoản pháp lý độc lập. Cung cấp tính năng xuất hồ sơ dưới định dạng máy tính có thể đọc được khi có thỏa thuận. Phối hợp chặt chẽ khi có yêu cầu kiểm tra từ cơ quan quản lý nhà nước. Mọi điểm sai lệch trong hồ sơ phải được đối soát và xử lý kịp thời. Hai bên có nghĩa vụ liên tục cập nhật hồ sơ tài liệu theo đúng thực tế vận hành.

42. Nghĩa vụ của bên mua dịch vụ bao gồm: lựa chọn đúng gói dịch vụ và cấu hình phù hợp, quản lý danh sách người dùng được ủy quyền, áp dụng nguyên tắc giảm thiểu và phân loại dữ liệu, ban hành các chỉ thị xử lý hợp pháp và bảo đảm quyền hạn tương ứng, thiết lập cơ chế đăng nhập một lần (SSO) và kiểm soát truy cập, không tải lên dữ liệu bị cấm hoặc sử dụng trái phép, rà soát kết quả đầu ra trước khi thực hiện các hành động thực tế, thông báo kịp thời khi phát hiện sự cố, chỉ định đầu mối liên hệ, thanh toán chi phí đầy đủ và gửi yêu cầu xóa hoặc xuất dữ liệu đúng quy trình. Tuy nhiên, cần tránh các điều khoản dồn đẩy trách nhiệm nhằm giải trừ sự bất cẩn của nhà cung cấp về mặt an ninh và bảo mật thông tin. Thiết lập ma trận phân định trách nhiệm rõ ràng giữa hai bên. Tổ chức đào tạo nhân viên và áp dụng các công cụ quản trị kỹ thuật. Nghiêm cấm hoàn toàn việc tự ý mở các tài khoản không chính thống nằm ngoài tầm kiểm soát của doanh nghiệp. Khi khách hàng có hành vi vi phạm nghĩa vụ, nhà cung cấp cần dành một khoảng thời gian hợp lý để khắc phục trước khi tiến hành tạm dừng dịch vụ nếu khả thi. Bằng chứng tuân thủ được đối soát từ cấu hình kỹ thuật và nhật ký truy cập thực tế. Doanh nghiệp mua dịch vụ không thể chỉ trông cậy thụ động vào bản hợp đồng trên giấy.

43. Các đơn vị cung cấp công cụ tích hợp có thể tiếp nhận dữ liệu hoặc thực thi thao tác nằm ngoài hệ thống máy chủ của nhà cung cấp chính. Các tiện ích bổ trợ trên kho ứng dụng (marketplace), đầu nối dữ liệu, công cụ duyệt web, cơ sở dữ liệu vector, hệ thống giám sát khả năng quan sát hoặc các khóa API do khách hàng tự tích hợp có thể đóng vai trò là bên thứ ba của khách hàng, bên xử lý phụ của nhà cung cấp hoặc mô hình hỗn hợp. Hợp đồng cần làm rõ bản đồ luồng dữ liệu và tư cách pháp lý của từng bên. Rà soát kỹ các điều khoản loại trừ trách nhiệm của nhà cung cấp đối với các công cụ do khách hàng tự tích hợp. Lập danh sách công cụ được phép kết nối (allowlist) và tiến hành thẩm định an toàn trước khi dùng. Giới hạn chặt chẽ phạm vi ủy quyền qua giao thức OAuth. Việc gỡ bỏ một công cụ tích hợp bắt buộc phải thu hồi mã khóa xác thực và xóa sạch dữ liệu liên quan. Thiết lập hạn mức và ranh giới thao tác cho các công cụ do tác tử AI gọi lệnh. Các điều khoản trên kho ứng dụng trực tuyến không được phép âm thầm ghi đè lên hợp đồng chính. Phối hợp xử lý sự cố an ninh xuyên suốt toàn bộ chuỗi tích hợp. Đối soát dữ liệu xuất ra và liên kết nhật ký giữa các hệ thống.

44. Hoạt động tinh chỉnh mô hình và xây dựng mô hình riêng cho khách hàng đòi hỏi phải làm rõ: quyền sở hữu đối với bộ dữ liệu, nguồn gốc dữ liệu, quy trình tiền xử lý, mục đích sử dụng, môi trường tính toán, cơ chế cô lập hạ tầng, mô hình nền tảng bên dưới, quyền sở hữu hoặc cấp phép đối với trọng số và kết quả đầu ra, quyền truy cập, tiêu chí đánh giá, thời hạn lưu giữ và cơ chế xóa bỏ, khả năng di chuyển mô hình sang hạ tầng khác, việc ngăn chặn học hỏi phái sinh cho mô hình chung và các biện pháp an toàn bảo mật. Nhà cung cấp có quyền tái sử dụng các đạo hàm độ dốc (gradients) hoặc bộ điều hợp (adapters) hay không? Việc xóa dữ liệu sau này có thể loại bỏ hoàn toàn ảnh hưởng của dữ liệu đó khỏi mô hình hay không? Nếu việc loại bỏ là bất khả thi về mặt kỹ thuật, nhà cung cấp phải công bố minh bạch để hai bên lựa chọn kiến trúc thiết kế phù hợp. Xác định rõ năng lực tính toán phục vụ huấn luyện, các bên xử lý phụ và vị trí địa lý của máy chủ. Cung cấp tính năng quản lý phiên bản và cho phép quay về phiên bản trước khi cần. Có cơ chế ngăn chặn việc đưa dữ liệu độc hại vào huấn luyện. Phòng chống nguy cơ bị trích xuất hoặc đánh cắp mô hình qua các cuộc tấn công khai thác. Quy định rõ phương án xử lý khi chấm dứt hợp đồng. Tuyệt đối không mặc định rằng mô hình tạo riêng cho khách hàng đã tự động được cô lập an toàn nếu thiếu bằng chứng kỹ thuật. Toàn bộ nội dung này đòi hỏi phải có chuyên gia công nghệ và pháp chế thẩm định kỹ lưỡng.

45. Các điều khoản về truy xuất thông tin và biểu diễn vector (embeddings) cần bao quát thẩm quyền truy cập kho ngữ cảnh và danh sách kiểm soát quyền (ACL), quy trình phân đoạn văn bản và lập chỉ mục, phân loại mức độ bảo mật của dữ liệu vector và dữ liệu phái sinh, vị trí lưu trữ máy chủ, mô hình kiến trúc lưu trữ riêng của khách hàng (tenancy), việc ghi nhật ký hệ thống, cơ chế lọc quyền truy cập theo thời gian thực tại thời điểm gọi lệnh, quy trình đồng bộ việc xóa tài liệu nguồn sang chỉ mục, cơ chế sao lưu, trích xuất và tiêu hủy hoàn toàn. Nhà cung cấp có thể tự vận hành cơ sở dữ liệu vector hoặc ủy quyền cho một bên xử lý phụ đảm nhận. Tài liệu gốc đã bị xóa không được phép tiếp tục xuất hiện trong kết quả truy xuất vượt quá thời gian xử lý đồng bộ đã cam kết. Quản lý chặt chẽ bộ nhớ đệm. Bảo đảm tính năng trích dẫn nguồn gốc tài liệu rõ ràng. Chạy thử nghiệm kiểm tra nguy cơ rò rỉ dữ liệu chéo giữa các tài khoản người dùng khác nhau. Dữ liệu vector không mặc nhiên được coi là dữ liệu ẩn danh an toàn. Khách hàng chịu trách nhiệm cập nhật tính chính xác của kho tài liệu nguồn. Khi chấm dứt dịch vụ, nhà cung cấp phải bàn giao đầy đủ dữ liệu đầu vào và siêu dữ liệu cần thiết để khách hàng có thể tái lập chỉ mục trên hệ thống mới. Phạm vi ứng phó sự cố bắt buộc phải bao gồm cả cơ sở dữ liệu vector. Cần kết hợp chặt chẽ giữa cam kết hợp đồng với việc kiểm thử kỹ thuật thực tế.

46. Hoạt động thu thập phản hồi và dán nhãn dữ liệu: các thao tác bấm nút thích hoặc không thích, chỉnh sửa câu trả lời, ghi chú của người kiểm duyệt và nội dung phiếu hỗ trợ kỹ thuật đều có thể chứa thông tin mật của khách hàng và có nguy cơ bị nhà cung cấp thu thập để đánh giá hoặc huấn luyện mô hình. Hợp đồng phải xác định rõ mục đích sử dụng, cơ chế kích hoạt mặc định hoặc bắt buộc phải có sự đồng ý trước, quyền tiếp cận dữ liệu, thời hạn lưu giữ, quyền xuất hoặc xóa dữ liệu, tiêu chuẩn ẩn danh hóa và quyền sở hữu trí tuệ liên quan nếu có. Tuyệt đối không để tính năng thu thập phản hồi trở thành kẽ hở vô hiệu hóa cam kết cấm sử dụng dữ liệu để huấn luyện. Công bố minh bạch thông tin về đội ngũ nhân sự dán nhãn dữ liệu, các bên xử lý phụ liên quan, vị trí địa lý làm việc và cam kết bảo mật đi kèm. Kiểm soát chất lượng dán nhãn và phòng chống nội dung độc hại. Cán bộ nhân viên của khách hàng phải được phổ biến rõ về quy chế này. Thiết lập ranh giới rõ ràng cho việc phân tích số liệu tổng hợp. Cung cấp tính năng cho phép quản trị viên tắt hoàn toàn tính năng gửi phản hồi khi cần. Cung cấp bằng chứng bằng tài liệu cấu hình hệ thống. Mọi tuyên bố về việc sử dụng dữ liệu để cải thiện mô hình phải được quy định hết sức cụ thể.

47. Điều khoản về việc cung cấp dữ liệu theo yêu cầu của chính phủ hoặc cơ quan bảo vệ pháp luật đòi hỏi nhà cung cấp phải tuân thủ đúng quy trình tố tụng hợp pháp, áp dụng các biện pháp hạn chế tối đa dữ liệu cung cấp hoặc khiếu nại quyết định khi có cơ sở pháp lý hợp lý, thông báo ngay cho khách hàng trừ khi bị pháp luật nghiêm cấm, lưu trữ hồ sơ và công bố báo cáo minh bạch theo thỏa thuận, đồng thời thu hồi lại dữ liệu khi kết thúc vụ việc. Hợp đồng không thể hứa hẹn việc từ chối thi hành các phán quyết bắt buộc của pháp luật. Khách hàng tự chịu trách nhiệm xử lý các yêu cầu pháp lý hướng trực tiếp vào doanh nghiệp mình. Cần đánh giá các tác động pháp lý xuyên biên giới. Nghĩa vụ bảo mật tiếp tục có hiệu lực sau khi sự việc kết thúc. Cam kết không cài cắm cổng hậu (backdoor) bí mật cần dựa trên kết quả thẩm định kỹ thuật thực tế. Đội ngũ pháp lý cần điều chỉnh điều khoản này cho phù hợp với pháp luật sở tại. Việc minh bạch thông tin an ninh không được làm lộ các lỗ hổng kỹ thuật của hệ thống. Thỏa thuận về phân bổ chi phí phát sinh. Thiết lập quy trình xử lý các yêu cầu khẩn cấp liên quan đến an toàn tính mạng. Chính sách của nhà cung cấp chỉ là tài liệu trên giấy; lịch sử xử lý và báo cáo minh bạch thực tế mới là bằng chứng chứng minh năng lực vận hành.

48. Quyền tạm dừng dịch vụ áp dụng trong các trường hợp xuất hiện rủi ro an ninh mạng hoặc quyền riêng tư nghiêm trọng, hành vi sử dụng trái pháp luật hoặc vi phạm điều khoản cấm, chậm thanh toán chi phí, nhà cung cấp vi phạm hợp đồng hoặc phát sinh sự cố khẩn cấp, nhưng phải bảo đảm tính tương xứng. Cần xác định rõ phạm vi áp dụng: tạm dừng theo từng tài khoản người dùng, theo luồng quy trình công việc cụ thể hay trên toàn bộ không gian làm việc của khách hàng (tenant), kèm theo thời hạn thông báo trước và thời gian khắc phục nếu khả thi, quy trình xử lý khẩn cấp, bảo đảm quyền tiếp tục truy cập hoặc trích xuất dữ liệu của khách hàng, duy trì hoạt động kinh doanh liên tục và quy trình khôi phục dịch vụ sau khi nguy cơ đã được giải quyết. Khách hàng có quyền chủ động tạm ngắt luồng truyền dữ liệu hoặc thao tác tự động mà không cần phải chấm dứt toàn bộ hợp đồng. Ngăn chặn việc tiếp tục xử lý dữ liệu sau khi khách hàng đã gửi thông báo phản đối. Lưu nhật ký đầy đủ về các quyết định tạm dừng để rà soát đối soát sau đó. Tuyệt đối không được tự ý xóa dữ liệu của khách hàng trong thời gian phát sinh tranh chấp trái với quy định về thời hạn lưu giữ. Làm rõ ảnh hưởng của việc tạm dừng đối với cam kết mức dịch vụ (SLA). Kích hoạt quyền chấm dứt và rút lui nếu tình trạng gián đoạn kéo dài quá mức cho phép. Chạy thử nghiệm định kỳ cơ chế ngắt kết nối khẩn cấp (kill switch).

49. Điều khoản về thời hạn, chấm dứt hợp đồng và hiệu lực tồn tại cần phối hợp đồng bộ giữa các nghĩa vụ bảo mật thông tin, bảo vệ dữ liệu cá nhân, quyền sở hữu trí tuệ và cấp phép sử dụng, thanh toán chi phí, quyền kiểm toán, giới hạn trách nhiệm bồi thường, cơ chế giải quyết tranh chấp cùng quy trình hoàn trả hoặc tiêu hủy dữ liệu. Hợp đồng có thể được chấm dứt do vi phạm nghiêm trọng, phát sinh thay đổi trọng yếu về an ninh hoặc dữ liệu, khách hàng phản đối bên xử lý phụ mới, vi phạm cam kết mức dịch vụ (SLA) kéo dài, theo yêu cầu của pháp luật hoặc theo thỏa thuận tự nguyện của các bên. Quy định rõ thời gian chuyển tiếp và trách nhiệm hỗ trợ kỹ thuật của nhà cung cấp. Điều khoản tự động gia hạn hợp đồng và thời hạn gửi thông báo không gia hạn. Phân biệt rõ giữa việc chấm dứt một phiếu đặt hàng cụ thể với việc hủy bỏ toàn bộ thỏa thuận khung dịch vụ chính. Ngay sau khi chấm dứt hợp đồng, nhà cung cấp phải vô hiệu hóa quyền truy cập của người dùng, thu hồi các khóa xác thực và kết nối tích hợp, hỗ trợ xuất dữ liệu, thực hiện hoàn trả hoặc xóa sạch dữ liệu và cung cấp văn bản xác minh hoàn tất. Hiệu lực tồn tại của điều khoản bảo mật không được lợi dụng để lưu giữ dữ liệu cá nhân vô thời hạn. Tuân thủ lịch trình tiêu hủy bản sao lưu định kỳ. Giải quyết dứt điểm các sự cố hoặc khiếu nại bồi thường còn tồn đọng. Bộ phận pháp chế chịu trách nhiệm bảo đảm tính nhất quán xuyên suốt toàn bộ văn bản.

50. Điều khoản về giải quyết tranh chấp, luật áp dụng, cơ quan tài phán, ngôn ngữ hợp đồng và quy trình chuyển cấp giải quyết phải phù hợp với tư cách pháp nhân của các bên và tính khả thi trong thi hành án xuyên biên giới. Thiết lập quy trình thương lượng chuyển cấp nội bộ giữa ban điều hành hai bên trước khi khởi kiện ra tòa án hoặc trọng tài đối với các tranh chấp về chất lượng dịch vụ hay sự cố kỹ thuật, nhưng không làm cản trở quyền yêu cầu áp dụng biện pháp khẩn cấp tạm thời hoặc thực thi các nghĩa vụ luật định. Yêu cầu giữ bí mật thông tin và lệnh khẩn cấp của tòa án tuân theo quy định pháp luật. Việc lựa chọn phương thức trọng tài thương mại hay tòa án có thẩm quyền phải do luật sư quyết định. Có nghĩa vụ bảo toàn nguyên vẹn toàn bộ chứng cứ pháp lý và kỹ thuật. Quy định rõ phiên bản ngôn ngữ tiếng Việt hay tiếng Anh có giá trị pháp lý ưu tiên chi phối và bảo đảm chất lượng bản dịch tương đương. Xác định rõ các kênh gửi thông báo pháp lý hợp lệ và người đại diện theo pháp luật của các bên. Thừa nhận giá trị pháp lý của chữ ký điện tử và việc ký kết văn bản thành nhiều bản có giá trị như nhau. Tuyệt đối không sao chép máy móc các mẫu hợp đồng nước ngoài chung chung mà bỏ qua các quy định pháp luật bắt buộc của Việt Nam và quy chuẩn chuyên ngành sở tại. Toàn bộ các điều khoản thương mại và pháp lý trọng yếu này bắt buộc phải có sự tham gia soạn thảo và thẩm định của luật sư có chuyên môn.

51. Bảng theo dõi các vấn đề đàm phán hợp đồng cần bao gồm các trường thông tin: điều khoản hoặc vấn đề phát sinh, dữ kiện thực tế và rủi ro đi kèm, quan điểm yêu cầu của doanh nghiệp, phản hồi của nhà cung cấp, phương án dự phòng hoặc biện pháp kiểm soát bù đắp, người phụ trách chính, ý kiến chuyên môn từ đội ngũ pháp chế, an ninh mạng và bảo vệ dữ liệu, cấp có thẩm quyền phê duyệt quyết định, thời hạn hoàn thành, trạng thái xử lý và lý do giải trình. Phân loại rõ ràng giữa các điểm nghẽn mang tính bắt buộc (blockers) với các điểm ưu tiên thông thường. Tuyệt đối không chấp nhận các bản sửa đổi hợp đồng vào phút chót nếu chưa được thẩm định kỹ lưỡng. Áp dụng quy trình quản lý phiên bản và so sánh đối chiếu văn bản chặt chẽ. Mọi lời hứa hẹn bằng miệng của nhân viên kinh doanh đối tác bắt buộc phải được chuyển hóa thành văn bản hợp đồng chính thức, nếu không thì không được tin cậy làm căn cứ. Mỗi vấn đề đàm phán đã thống nhất phải được ánh xạ trực tiếp sang cấu hình kỹ thuật, quy trình thao tác và bằng chứng kiểm chứng cụ thể. Lập hồ sơ ghi nhận mức độ rủi ro còn lại đã được phê duyệt. Nếu các bất đồng nghiêm trọng không thể giải quyết, doanh nghiệp phải kích hoạt phương án khắc phục, tạm dừng dự án hoặc tìm kiếm nhà cung cấp thay thế. Bảng theo dõi này phải được quản lý bảo mật và tuân thủ nguyên tắc đặc quyền trao đổi thông tin pháp lý của luật sư.

52. Bộ hồ sơ bằng chứng thẩm định an toàn yêu cầu nhà cung cấp cung cấp: sơ đồ luồng luân chuyển dữ liệu theo đúng gói dịch vụ thực tế, tài liệu chính sách bảo mật và an toàn thông tin, danh sách bên xử lý phụ cùng vị trí máy chủ, chính sách huấn luyện mô hình và lưu giữ dữ liệu, phạm vi chứng chỉ an ninh và biện pháp kiểm soát, bản tóm tắt kết quả kiểm thử xâm nhập gần nhất, quy trình ứng phó sự cố và kế hoạch duy trì kinh doanh liên tục, quy trình xóa sạch và trích xuất dữ liệu, quy trình quản lý thay đổi mô hình, tài liệu đánh giá rủi ro AI, các điều khoản hợp đồng tiêu chuẩn và các khách hàng tham chiếu phù hợp với mức độ rủi ro. Tránh thu thập tràn lan các tài liệu quá nhạy cảm về an ninh kỹ thuật vượt quá nhu cầu thực tế. Kiểm tra kỹ thời hạn hiệu lực, phạm vi áp dụng và các trường hợp loại trừ trong báo cáo. Mọi điểm mâu thuẫn trong bảng trả lời khảo sát phải được làm rõ thông qua phỏng vấn trực tiếp hoặc kiểm thử thực địa. Phân cấp mức độ tin cậy của bằng chứng theo thang bậc: Tuyên bố bằng lời, Tài liệu quy định, Mẫu dữ liệu, Kiểm thử thực tế và Xác minh độc lập. Doanh nghiệp mua dịch vụ phải bảo đảm có đủ năng lực chuyên môn để rà soát các báo cáo này. Xử lý kịp thời khi phát hiện các chứng chỉ đã hết hạn. Đòi hỏi mức độ thẩm định tương xứng với quy mô và nguồn lực của đối tác, nhưng tuyệt đối không được nhân nhượng các biện pháp bảo vệ dữ liệu cốt lõi.

53. Quy trình xác thực cấu hình kỹ thuật sau khi ký hợp đồng bao gồm việc kiểm tra: tài khoản quản trị không gian riêng (tenant), lựa chọn vùng máy chủ lưu trữ, các nút bật tắt kiểm soát dữ liệu và từ chối tham gia huấn luyện mô hình, cài đặt thời hạn lưu giữ và lịch sử trò chuyện, chế độ ghi nhật ký hệ thống, thiết lập đăng nhập một lần (SSO), xác thực đa yếu tố (MFA) và phân quyền theo vai trò (RBAC), quyền chia sẻ dữ liệu ra ngoài, các đầu nối và tiện ích mở rộng, danh mục mô hình AI được phép sử dụng, giới hạn quyền truy cập của nhân viên hỗ trợ đối tác, tính năng trích xuất và xóa dữ liệu, cùng các cài đặt kiểm toán an ninh. Thực hiện quy tắc kiểm tra chéo hai người (four-eyes review); lưu trữ ảnh chụp màn hình hoặc tệp xuất cấu hình có ghi rõ ngày giờ và số hiệu phiên bản, sau khi đã che mờ các khóa bí mật. Cần lưu ý rằng một số cam kết hợp đồng bắt buộc phải kích hoạt tính năng trả phí trên gói doanh nghiệp mới có hiệu lực. Thiết lập cơ chế giám sát sự sai lệch cấu hình theo thời gian. Tổ chức hướng dẫn người dùng mới. Chạy thử nghiệm để bảo đảm các tính năng bị cấm thực sự bị khóa. Phân công người chịu trách nhiệm khắc phục ngay lập tức khi phát hiện cấu hình sai sót. Toàn bộ bằng chứng cấu hình phải được lưu trữ tập trung. Tuyệt đối không đưa dữ liệu nhạy cảm vào môi trường vận hành cho đến khi vượt qua điểm kiểm soát kỹ thuật này.

54. Ma trận liên kết nghĩa vụ, biện pháp kiểm soát và bằng chứng thực thi giúp đưa các cam kết hợp đồng vào vận hành thực tế. Cấu trúc bảng gồm các cột: điều khoản hoặc nghĩa vụ pháp lý, phạm vi dữ liệu và tình huống áp dụng, người phụ trách phía đối tác, phía khách hàng hoặc trách nhiệm chung, cấu hình kỹ thuật tương ứng, quy trình thao tác chuẩn, bằng chứng kiểm chứng và tần suất thu thập, các trường hợp ngoại lệ, điều kiện kích hoạt chuyển cấp xử lý và thời hạn rà soát định kỳ. Ví dụ: nghĩa vụ cấm dùng dữ liệu để huấn luyện phải liên kết với thiết lập trên trang quản trị gói doanh nghiệp, điều khoản hợp đồng và văn bản cam kết của đối tác; nghĩa vụ xóa dữ liệu phải gắn với quy trình tiếp nhận yêu cầu, nhật ký hệ thống, chu kỳ hủy bản sao lưu và kết quả kiểm thử thực tế. Các điều khoản hợp đồng thiếu biện pháp kiểm soát và bằng chứng đi kèm sẽ bị gắn cờ cảnh báo là mang tính kỳ vọng suông. Ngược lại, các biện pháp kiểm soát kỹ thuật đang áp dụng nhưng thiếu cơ sở hợp đồng bảo vệ sẽ được đưa vào danh mục cần đàm phán bổ sung. Ma trận này phải được người phụ trách quản lý nhà cung cấp phối hợp chặt chẽ với đội ngũ pháp chế, quyền riêng tư và an ninh mạng duy trì cập nhật liên tục, chứ không phải một tệp tài liệu PDF bị cất vào ngăn kéo của luật sư.

55. Buổi diễn tập trên bàn trước khi vận hành chính thức cần đi qua các kịch bản sự cố giả định: nhân viên tải lên dữ liệu thuộc diện nghiêm cấm, nhà cung cấp âm thầm bổ sung bên xử lý phụ cho mô hình, phiên bản mô hình AI bị thay đổi hoặc suy giảm chất lượng, nhân viên hỗ trợ của đối tác truy cập trái phép vào nội dung câu lệnh, tấn công chèn mã câu lệnh (prompt injection) làm rò rỉ kho tài liệu truy xuất nội bộ, phát sinh yêu cầu xóa dữ liệu của người dùng, xảy ra sự cố an toàn thông tin, nhận được yêu cầu thanh tra của cơ quan nhà nước hoặc khiếu nại của khách hàng, hệ thống bị sập diện rộng và tình huống chấm dứt hợp đồng đột xuất. Kịch bản phải làm rõ: Ai là người phát hiện, ai thực hiện thao tác ứng phó và ai chịu trách nhiệm gửi thông báo? Đối chiếu với các đầu mối liên lạc, thời hạn cam kết và yêu cầu về bằng chứng ghi trong hợp đồng. So sánh giữa các quy định trên giấy với cấu hình kỹ thuật và quy trình thực tế. Lập kế hoạch khắc phục các khoảng trống phát hiện được. Cần lưu ý rằng buổi diễn tập trên bàn không thể chứng minh được tính cách ly tuyệt đối về mặt công nghệ; do đó bắt buộc phải kết hợp với việc kiểm thử kỹ thuật thực tế. Biên bản diễn tập phải được lưu trữ bảo mật và theo dõi chặt chẽ tiến độ khắc phục. Nếu phát hiện khoảng trống an ninh nghiêm trọng, doanh nghiệp phải lập tức TẠM DỪNG kế hoạch bấm nút vận hành chính thức.

56. Chu kỳ rà soát định kỳ cần được thiết lập tương ứng với mức độ rủi ro của từng dịch vụ: theo dõi các thay đổi về bên xử lý phụ, điều khoản dịch vụ, phiên bản mô hình AI và vị trí địa lý máy chủ; kiểm tra thời hạn hết hiệu lực của các chứng chỉ an ninh và báo cáo kiểm toán; rà soát lại quyền truy cập và cấu hình kỹ thuật; đánh giá lại luồng luân chuyển dữ liệu và tình huống sử dụng; tổng kết các sự cố và phát hiện an ninh; chọn mẫu kiểm tra việc thực thi thời hạn lưu giữ và xóa dữ liệu; đối soát cam kết mức dịch vụ (SLA); kiểm tra chi phí và bản quyền; cùng mức độ sẵn sàng cho phương án rút lui. Tần suất rà soát có thể là hàng tháng, hàng quý hoặc hàng năm tùy thuộc vào tính chất rủi ro của từng giao dịch, chứ không áp dụng máy móc. Người phụ trách quản lý nhà cung cấp có trách nhiệm thu thập đầy đủ tài liệu bằng chứng; đội ngũ pháp chế, quyền riêng tư và an ninh mạng sẽ đánh giá các thay đổi trọng yếu. Nghiêm cấm hoàn toàn việc tự động gia hạn hợp đồng mà không qua rà soát đối với các dịch vụ có độ rủi ro cao. Bảng điều khiển quản trị phải theo dõi sát sao tiến độ thực thi nghĩa vụ và hành động cụ thể, chứ không dừng lại ở việc dán nhãn tuân thủ hình thức. Mỗi kỳ rà soát phải đưa ra một trong bốn quyết định dứt khoát: Chấp thuận, Khắc phục, Tạm dừng hoặc Rút lui, kèm theo việc lưu trữ phiên bản hồ sơ đánh giá đầy đủ.

57. Quá trình xử lý sự cố thực tế phải phối hợp nhịp nhàng giữa ma trận hợp đồng và quy trình thao tác chuẩn nội bộ. Cần xác nhận sự kiện ngay khi có dấu hiệu nghi vấn chứ không trì hoãn chờ có đầy đủ chứng cứ hoàn hảo; liên hệ ngay qua kênh bảo mật đã thiết lập, tạo mã định danh theo dõi sự cố, phong tỏa và bảo toàn nguyên vẹn bằng chứng số, ngắt ngay các luồng tích hợp, khóa mã xác thực truy cập và tạm dừng các thao tác dữ liệu liên quan để khoanh vùng cô lập, đánh giá nhanh phạm vi dữ liệu, số lượng người dùng bị ảnh hưởng và các nghĩa vụ pháp lý phát sinh, liên tục tiếp nhận thông tin cập nhật từ đối tác, tiến hành thông báo cho cơ quan quản lý có thẩm quyền và chủ thể dữ liệu theo đúng quy trình được phê duyệt, đối soát các hành động đã thực hiện, triển khai biện pháp khắc phục triệt để và kiểm tra xác minh lại toàn bộ hệ thống. Mốc thời gian quy định trong hợp đồng không thể thay thế cho thời hạn thông báo bắt buộc theo luật định. Tránh đưa ra các phát ngôn cáo buộc công khai ra bên ngoài. Điều tra nguyên nhân gốc rễ và kiểm thử lại các biện pháp kiểm soát an ninh. Phối hợp chặt chẽ với luật sư phụ trách bảo hiểm và khiếu nại bồi thường. Báo cáo đánh giá sau sự cố là cơ sở để cập nhật lại các phụ lục hợp đồng, nâng cấp biện pháp kiểm soát kỹ thuật và đưa ra quyết định tiếp tục hay chấm dứt hợp tác với đối tác.

58. Bài diễn tập kiểm tra việc xóa dữ liệu được thực hiện bằng cách chọn một nhóm bản ghi giả lập được gắn mã định danh theo dõi xuyên suốt toàn bộ các luồng xử lý: dữ liệu đầu vào, lịch sử trò chuyện, nhật ký hệ thống, chỉ mục vector, phiếu hỗ trợ kỹ thuật và các kênh chuyển tiếp sang bên xử lý phụ. Tiến hành tạo lập và xử lý dữ liệu thử nghiệm, gửi yêu cầu xóa qua kênh chính thức đã thỏa thuận, giám sát trực tiếp việc gỡ bỏ dữ liệu khỏi hệ thống vận hành, xác nhận dữ liệu không còn khả năng truy xuất, tiếp nhận báo cáo hoặc chứng thư xác nhận việc xóa từ đối tác, kiểm tra cam kết về chu kỳ hủy bản sao lưu và rà soát danh sách ngoại lệ. Doanh nghiệp không đòi hỏi các biện pháp kiểm toán mang tính phá hủy đối với môi trường vận hành thực tế của đối tác. Ghi chép chi tiết tên dịch vụ, phiên bản phần mềm, ngày giờ thực hiện, phạm vi kiểm tra và các hạn chế kỹ thuật phát hiện được. Nếu nhà cung cấp không thể định vị chính xác vị trí của dữ liệu cần xóa, điều đó chứng tỏ đang tồn tại một khoảng trống quản trị lớn. Vấn đề dữ liệu đã vô tình tác động vào mô hình tinh chỉnh hoặc mô hình dùng chung phải được giải quyết từ khâu thiết kế kiến trúc và cam kết cấm sử dụng dữ liệu để huấn luyện ngay từ đầu. Lặp lại bài diễn tập này sau mỗi lần hệ thống có thay đổi trọng yếu. Khách hàng cũng có trách nhiệm tự tiêu hủy toàn bộ các bản sao lưu cục bộ và tệp dữ liệu đã xuất ra khi hợp đồng yêu cầu.

59. Hoạt động diễn tập phương án rút lui bao gồm việc trích xuất mẫu dữ liệu và tệp cấu hình, kiểm tra định dạng tệp, tính đầy đủ, tính toàn vẹn của dữ liệu và tài liệu hướng dẫn đi kèm, tiến hành tái lập thử một luồng quy trình làm việc hoặc chỉ mục vector tối thiểu trên hệ thống dự phòng nếu có thể, thu hồi khóa xác thực và quyền truy cập của người dùng, chuyển hướng luồng dữ liệu sang nhà cung cấp phụ hoặc kích hoạt quy trình thao tác thủ công, đồng thời chạy thử nghiệm quy trình gửi yêu cầu xóa dữ liệu. Đo lường chính xác thời gian hoàn thành, chi phí phát sinh và các yếu tố phụ thuộc kỹ thuật. Hoạt động này phải được thực hiện trước khi doanh nghiệp bị phụ thuộc hoàn toàn vào đối tác và trước mỗi kỳ gia hạn hợp đồng đối với các hệ thống trọng yếu. Đối chiếu mức độ hỗ trợ kỹ thuật, cam kết mức dịch vụ (SLA) và biểu phí thực tế của nhà cung cấp với các điều khoản đã ký trong hợp đồng. Ghi nhận rõ ràng các hạn chế đối với các thành phần độc quyền không thể bàn giao. Diễn tập được thực hiện trong môi trường thử nghiệm an toàn bằng dữ liệu giả lập. Kết quả thu được là căn cứ trực tiếp để cải tiến kiến trúc kỹ thuật và đàm phán hợp đồng cho giai đoạn tiếp theo. Phải phân công người phụ trách kế hoạch rút lui và dự trù ngân sách chuyển đổi cụ thể. Doanh nghiệp cần hiểu rằng một quyền trích xuất dữ liệu ghi trong hợp đồng nhưng thiếu định dạng tệp khả thi trên thực tế chỉ là một bằng chứng pháp lý rất yếu ớt.

60. Quy chế quản trị mẫu điều khoản hợp đồng: mỗi điều khoản phải được thiết kế dưới dạng tùy chọn linh hoạt hoặc có các biến thể khác nhau, đi kèm hướng dẫn soạn thảo chi tiết, bối cảnh rủi ro, tình huống sử dụng, vị thế của các bên, phương án nhượng bộ dự phòng và dấu hiệu cảnh báo bắt buộc phải có luật sư rà soát. Duy trì nhật ký quản lý phiên bản, ghi rõ lịch sử thay đổi và ngày trích dẫn nguồn tài liệu. Tuyệt đối không công bố các điều khoản hoàn chỉnh như một văn bản pháp lý có giá trị áp dụng phổ quát cho mọi trường hợp. Các bản dịch bản địa hóa phải được đội ngũ chuyên gia pháp lý thẩm định nghiêm ngặt, dựa trên bảng thuật ngữ chuyển đổi chuẩn hóa. Khóa cố định các điều khoản miễn trừ trách nhiệm pháp lý và kiểm tra tự động các trường thông tin điền sẵn để tránh tình trạng bỏ trống dữ liệu khi ký. Thiết lập quy trình phê duyệt chặt chẽ đối với mọi đề xuất cập nhật mẫu hợp đồng. Người dùng nội bộ không được tự ý xóa bỏ các điều khoản cảnh báo và không được coi tài liệu của ATECH là ý kiến tư vấn pháp lý chính thức. Tiếp thu các phản hồi thực tế và bài học từ các sự cố an ninh để liên tục hoàn thiện bộ mẫu điều khoản. Thu hồi và ngừng sử dụng các phiên bản mẫu hợp đồng đã lỗi thời. Người phụ trách pháp chế có trách nhiệm rà soát định kỳ các thay đổi về mặt pháp luật và xu hướng thị trường để cập nhật kịp thời.

61. Danh sách kiểm tra nghiệm thu trước khi đặt bút ký hợp đồng bao gồm: toàn bộ dữ kiện thực tế và sơ đồ luồng luân chuyển dữ liệu đã được thẩm định chuẩn xác; tên pháp nhân các bên, vai trò pháp lý, mục đích xử lý, danh mục dữ liệu và phạm vi sử dụng được định nghĩa tường minh; xác lập rõ thứ tự ưu tiên áp dụng giữa các văn bản pháp lý; các cam kết về việc cấm huấn luyện mô hình, thời hạn lưu giữ và cơ chế xóa dữ liệu phải hoàn toàn tương thích với năng lực kỹ thuật thực tế của hệ thống; công bố đầy đủ danh sách bên xử lý phụ, vị trí máy chủ và quy trình quản lý thay đổi; quy định chặt chẽ về an toàn bảo mật, kiểm soát truy cập và chế độ ghi nhật ký hệ thống; thiết lập quy trình ứng phó sự cố và cơ chế phối hợp giữa hai bên; xác định rõ quyền kiểm tra và tiêu chuẩn bằng chứng đối soát; làm rõ quyền sở hữu trí tuệ đối với kết quả đầu ra; quy định tiêu chí đánh giá mô hình và ranh giới kiểm soát của con người; thống nhất cam kết mức dịch vụ (SLA) và kế hoạch duy trì kinh doanh liên tục; đàm phán hợp lý các điều khoản bảo đảm, mức trần trách nhiệm bồi thường và yêu cầu bảo hiểm; quy định rõ thời hạn hợp đồng, quyền tạm dừng dịch vụ và lộ trình rút lui an toàn; xác định luật áp dụng, cơ quan tài phán và kênh gửi thông báo pháp lý hợp lệ; toàn bộ các bất đồng đàm phán và mức độ rủi ro còn lại đều phải được cấp có thẩm quyền phê duyệt chính thức bằng văn bản. Người phụ trách pháp lý, kỹ thuật và vận hành ký xác nhận vào đúng phạm vi chuyên môn của mình. Việc ký kết hợp đồng không đồng nghĩa với việc cho phép đưa dữ liệu vào môi trường vận hành thực tế cho đến khi vượt qua điểm kiểm soát cấu hình và kiểm thử an toàn.

62. Danh sách kiểm tra nghiệm thu trước khi bấm nút đưa hệ thống vào vận hành chính thức bao gồm: hợp đồng và phiếu đặt hàng đã được ký kết đúng thẩm quyền bởi đúng pháp nhân và gói dịch vụ áp dụng; cấu hình kỹ thuật của không gian làm việc riêng (tenant) đã được kiểm tra đối soát chuẩn xác; danh sách người dùng được ủy quyền, nhóm dữ liệu được phép đưa lên và tình huống sử dụng đã được phê duyệt; các kết nối tích hợp và phạm vi cấp quyền đã được kiểm soát chặt chẽ; các thủ tục gửi thông báo, xin sự đồng ý của chủ thể dữ liệu và hồ sơ đánh giá tác động pháp lý đã hoàn tất; thiết lập đầy đủ hồ sơ theo dõi hoạt động xử lý dữ liệu và an toàn thông tin; cập nhật danh bạ đầu mối liên lạc khẩn cấp của đối tác và cơ chế giám sát bên xử lý phụ; hoàn thành diễn tập ứng phó sự cố trên bàn; hoàn thành kiểm thử đánh giá chất lượng mô hình và nghiệm thu người dùng (UAT); kích hoạt chế độ ghi nhật ký và chính sách lưu giữ dữ liệu an toàn; chạy thử nghiệm quy trình trích xuất, xóa dữ liệu và kịch bản rút lui ở mức độ tương xứng; thiết lập chốt duyệt của con người trong luồng quy trình công việc và phương án thao tác thủ công dự phòng; chỉ định rõ người phụ trách vận hành và lịch trình rà soát định kỳ. Lưu trữ toàn bộ mã định danh bằng chứng kiểm chứng. Xác định rõ các điều kiện ràng buộc và thời hạn hết hiệu lực. Bất kỳ sự sai lệch trọng yếu nào giữa cam kết hợp đồng với thực tế kỹ thuật đều phải kích hoạt quyết định KHẮC PHỤC hoặc TẠM DỪNG kế hoạch triển khai. Cổng nghiệm thu vận hành kỹ thuật bắt buộc phải được tách biệt độc lập với quá trình ký kết hợp đồng pháp lý.

63. Hoàn thành dự án đồng nghĩa với việc doanh nghiệp đã thiết lập được một năng lực quản trị nhà cung cấp sống động và thực chất trong vận hành hàng ngày, chứ không phải dừng lại ở việc tải về một tệp văn bản mẫu song ngữ trên máy tính. Tổ chức phải có khả năng giải trình minh bạch về sơ đồ luồng luân chuyển dữ liệu, căn cứ thẩm quyền pháp lý, các cam kết hợp đồng, cấu hình kỹ thuật thực tế, danh sách bên xử lý phụ, quy trình xử lý sự cố, tiêu hủy dữ liệu, kịch bản rút lui cùng danh tính những nhân sự phụ trách từng phần bằng chứng cụ thể. Doanh nghiệp phải chủ động phát hiện kịp thời các thay đổi trọng yếu của đối tác, kiểm thử định kỳ các nghĩa vụ cốt lõi và có đầy đủ công cụ kỹ thuật để tạm dừng dịch vụ hoặc rút lui an toàn khi cần thiết. Toàn bộ các tuyên bố công khai ra bên ngoài đều phải có bằng chứng chứng minh rõ ràng. Đội ngũ luật sư luôn đồng hành chặt chẽ trong suốt quá trình hoạt động để xử lý các thay đổi hợp đồng hoặc giải quyết tranh chấp phát sinh. Bản mẫu điều khoản chỉ là tấm bản đồ định hướng ban đầu; chính các điều khoản đã được đàm phán chặt chẽ kết hợp với các biện pháp kiểm soát kỹ thuật được triển khai nghiêm túc và quy trình vận hành kỷ luật mới tạo ra sự bảo vệ thực sự cho doanh nghiệp.

64. Việc sử dụng công cụ AI của cán bộ nhân viên và nhà thầu nội bộ đòi hỏi phải ban hành quy chế sử dụng, hợp đồng lao động và cam kết bảo mật thông tin đồng bộ, vượt ra ngoài phạm vi hợp đồng với nhà cung cấp. Quy chế nội bộ cần quy định rõ ràng danh mục các dịch vụ và loại tài khoản được phép sử dụng, các nhóm dữ liệu được phép đưa lên, các hành vi bị nghiêm cấm, nghĩa vụ rà soát kết quả đầu ra trước khi sử dụng, quyền sở hữu trí tuệ và nghĩa vụ bảo mật, ranh giới giám sát của doanh nghiệp, quy trình báo cáo sự cố và các hình thức xử lý kỷ luật phù hợp với pháp luật lao động và nội quy công ty. Việc nhân viên tự ý dùng tài khoản cá nhân hoặc các phiên bản AI miễn phí sẽ làm vô hiệu hóa toàn bộ các điều khoản bảo vệ của gói doanh nghiệp. Cần kết hợp các giải pháp kỹ thuật như đăng nhập một lần (SSO), hệ thống chống thất thoát dữ liệu (DLP) và các chính sách quản trị tập trung. Tổ chức đào tạo và yêu cầu nhân viên ký xác nhận đã hiểu rõ phiên bản chính sách áp dụng; tuy nhiên sự đồng ý của người lao động không mặc nhiên được coi là căn cứ pháp lý duy nhất cho mọi hoạt động xử lý dữ liệu nhân sự, việc này cần có sự thẩm định của bộ phận nhân sự, quyền riêng tư và pháp chế. Tuân thủ các quy định của tổ chức công đoàn hoặc các yêu cầu pháp lý đặc thù tại địa phương nếu có. Quy trình thôi việc phải thu hồi toàn bộ quyền truy cập hệ thống và tiêu hủy triệt để các bản sao dữ liệu trên thiết bị cá nhân. Quyền sở hữu đối với các sáng kiến, mã lập trình hoặc nội dung do người lao động tạo ra cùng quyền nhân thân cần được rà soát kỹ lưỡng theo quy định của pháp luật sở tại. Tuyệt đối không sử dụng lịch sử trò chuyện AI của nhân viên để theo dõi, đánh giá hiệu suất lao động nằm ngoài các mục đích quản trị hợp pháp đã được công bố minh bạch.

65. Các tác tử AI tự hành (AI agents) và tính năng gọi công cụ tự động làm gia tăng đáng kể các rủi ro vận hành trong thực tế. Phiếu đặt hàng và Phụ lục AI bắt buộc phải liệt kê chi tiết: các hệ thống được phép kết nối, phạm vi quyền hạn, danh mục thao tác được phép thực hiện, hạn mức giao dịch và khối lượng thao tác tối đa, quy trình phê duyệt của con người, mô hình quản lý thông tin xác thực, cơ chế chống xử lý trùng lặp (idempotency), nhật ký kiểm toán và nút ngắt khẩn cấp (kill switch). Rà soát kỹ các điều khoản của nhà cung cấp và bên xử lý phụ liên quan đến dữ liệu truyền qua các công cụ này. Mô hình AI tuyệt đối không được phép tự do gửi dữ liệu tới các địa chỉ người nhận, đường dẫn mạng, câu lệnh truy vấn dữ liệu SQL hay lệnh hệ điều hành tùy tiện mà không có kiểm soát. Các thao tác có tác động lớn bắt buộc phải có màn hình xem trước hoặc áp dụng cơ chế phê duyệt hai người trước khi thực thi. Quy định rõ trách nhiệm bồi thường và quy trình đối soát khắc phục khi tác tử AI thực hiện các hành động trái phép hoặc gây thiệt hại. Xác định rõ thời hạn lưu giữ và cơ chế xóa bỏ bộ nhớ dài hạn của tác tử. Khái niệm sự cố an ninh phải bao hàm cả các hành vi thực thi sai lệch hoặc lặp lệnh gây hại chứ không chỉ giới hạn ở việc lộ lọt dữ liệu. Quy trình kiểm thử đánh giá phải kiểm tra kỹ nguy cơ lạm dụng công cụ, tấn công chèn câu lệnh (prompt injection) và kịch bản hệ thống gặp sự cố kết nối. Việc nâng cấp từ một trợ lý AI chỉ có quyền đọc thông tin sang một tác tử AI có quyền ghi và thay đổi dữ liệu là một thay đổi hợp đồng trọng yếu đòi hỏi phải rà soát lại toàn diện về mặt pháp lý, an ninh mạng, quyền riêng tư và quy trình nghiệp vụ, chứ tuyệt đối không thể coi là một tính năng kỹ thuật do người dùng cuối tự ý bật tắt.

66. Các phụ lục chuyên ngành hoặc tình huống sử dụng đặc thù có thể bắt buộc phải áp dụng đối với các lĩnh vực như tài chính ngân hàng, y tế, giáo dục, quản lý lao động, dữ liệu trẻ em, khu vực công, hồ sơ lưu trữ theo luật định, cổng thanh toán hoặc an toàn kỹ thuật. Bộ công cụ này không liệt kê toàn bộ các điều khoản bắt buộc, thời hạn luật định hay chứng chỉ chuyên biệt của từng ngành. Đội ngũ luật sư và chuyên gia tuân thủ chuyên ngành cần lập bản đồ đối chiếu các cơ quan quản lý có thẩm quyền, quy định về lưu trữ dữ liệu tại chỗ và thời hạn lưu giữ hồ sơ, quy chế thuê ngoài dịch vụ công nghệ thông tin, quyền kiểm tra của cơ quan thanh tra nhà nước, quy trình thẩm định mô hình AI, cơ chế gửi thông báo và giải quyết khiếu nại của người tiêu dùng, cùng kế hoạch duy trì kinh doanh liên tục. Bản thỏa thuận xử lý dữ liệu (DPA) chung chung của nhà cung cấp thường không thể đáp ứng đầy đủ các tiêu chuẩn nghiêm ngặt này. Mọi xung đột pháp lý và thứ tự ưu tiên áp dụng văn bản phải được ghi nhận rõ ràng thành văn bản. Áp dụng triệt để nguyên tắc giảm thiểu dữ liệu và giới hạn phạm vi sử dụng đã được cấp phép. Nếu nhà cung cấp không thể cung cấp được các tài liệu bằng chứng phục vụ việc giải trình với cơ quan quản lý hoặc khách hàng, doanh nghiệp bắt buộc phải tìm kiếm giải pháp công nghệ thay thế hoặc thu hẹp tối đa phạm vi ứng dụng. Các tập đoàn kinh doanh đa ngành nên sử dụng các phụ lục riêng biệt gắn với từng phiếu đặt hàng cụ thể thay vì đưa ra một cam kết chung chung duy nhất cho toàn bộ tập đoàn.

67. Việc soạn thảo hợp đồng song ngữ đòi hỏi sự tương đương chuẩn xác về mặt khái niệm pháp lý và công nghệ, chứ không thể dùng công cụ dịch tự động thay thế từng từ máy móc. Hợp đồng phải xác định rõ ngôn ngữ có giá trị pháp lý ưu tiên chi phối, xây dựng bảng thuật ngữ chuẩn hóa cho các khái niệm cốt lõi: dữ liệu cá nhân, thông tin bảo mật, vai trò các bên trong xử lý dữ liệu, huấn luyện mô hình, khử định danh, sự cố an ninh, bên xử lý phụ, nghĩa vụ bồi hoàn và giới hạn trách nhiệm bồi thường. Bản dịch phải được các chuyên gia biên dịch pháp lý có chuyên môn rà soát đối chiếu; những thuật ngữ kỹ thuật tiếng Anh đa nghĩa cần được bổ sung định nghĩa giải thích rõ ràng ngay trong văn bản. Toàn bộ các con số, mốc thời gian, địa chỉ nhận thông báo và tên pháp nhân phải hoàn toàn thống nhất giữa hai bản ngữ. Khi đàm phán sửa đổi, phải thực hiện so sánh đối chiếu văn bản (redline) đồng thời trên cả hai phiên bản ngôn ngữ và kiểm tra mã kiểm tra (checksum) trước khi ký kết các phụ lục cuối cùng. Mọi điều khoản trực tuyến bằng tiếng Anh trên trang web của đối tác phải được dẫn chiếu minh bạch và có bản dịch tiếng Việt kèm theo. Cán bộ vận hành nội bộ cần được cung cấp một bản tóm tắt nghĩa vụ hợp đồng bằng tiếng Việt đại chúng, dễ hiểu, nhưng bản tóm tắt này không thể thay thế cho văn bản hợp đồng pháp lý chính thức. Mọi chỉnh sửa bản dịch đều phải được quản lý phiên bản nghiêm ngặt. Khi lựa chọn cơ quan tài phán giải quyết tranh chấp, cần tính đến yếu tố ngôn ngữ tố tụng. Tuyệt đối không tự nhận hợp đồng đạt chuẩn chất lượng song ngữ chỉ vì văn bản được trình bày thành hai cột song song.

68. Bảng thời hạn lưu giữ hồ sơ bằng chứng cần phân loại tách biệt giữa: các hợp đồng, phụ lục sửa đổi và phiếu đặt hàng đã ký kết chính thức; bản sao chụp điều khoản trực tuyến trên website tại thời điểm ký; hồ sơ thẩm định an toàn ban đầu; văn bản phê duyệt rủi ro còn lại; bằng chứng cấu hình kỹ thuật thực tế; các thông báo về quyền truy cập, thay đổi bên xử lý phụ hoặc cập nhật hệ thống; báo cáo kiểm thử và kiểm toán định kỳ; hồ sơ điều tra sự cố; biên bản xác nhận việc xóa dữ liệu hoặc lộ trình rút lui; và tài liệu giải quyết tranh chấp. Lệnh lưu giữ phục vụ tố tụng hoặc ý kiến của luật sư sẽ quyết định các trường hợp ngoại lệ. Các tài liệu bằng chứng nhạy cảm về an ninh mạng phải được phân quyền truy cập nghiêm ngặt hoặc che mờ thông tin; dữ liệu cá nhân phải được giảm thiểu tối đa. Thời hạn lưu giữ hồ sơ hợp đồng pháp lý có thể kéo dài hơn nhiều so với thời hạn cung cấp dịch vụ, trong khi các câu lệnh và kết quả đầu ra của mô hình AI thì tuyệt đối không được phép lưu giữ kéo dài như vậy. Các hồ sơ trọng yếu phải được lưu trữ dưới định dạng bất biến, có quản lý số hiệu phiên bản và phân công rõ người chịu trách nhiệm quản lý. Khi hết thời hạn lưu trữ, hồ sơ phải được tiêu hủy an toàn theo đúng quy chế nội bộ và quy định pháp luật, kèm theo biên bản ghi nhận việc tiêu hủy. Quyền bí mật trao đổi pháp lý của luật sư không được mặc nhiên suy diễn mà phải tuân thủ đúng trình tự tố tụng. Phải có phương án sao lưu dự phòng bằng chứng độc lập phòng trường hợp cổng thông tin của đối tác bị đóng đột ngột. Người phụ trách rà soát gia hạn hợp đồng phải được tiếp cận bộ hồ sơ bằng chứng mới nhất đang có hiệu lực, chứ không phải một thư mục tài liệu cũ kỹ đã lỗi thời.

69. Quy trình rà soát hợp đồng tối thiểu dành cho các dự án có mức độ rủi ro thấp vẫn bắt buộc phải bảo đảm các yêu cầu cốt lõi: xác định chuẩn xác tư cách pháp nhân các bên và gói dịch vụ áp dụng; làm rõ mục đích xử lý và nhóm dữ liệu đưa vào; cam kết bảo mật thông tin; nghiêm cấm việc âm thầm sử dụng dữ liệu để huấn luyện mô hình hoặc dùng cho các mục đích phụ khác; quy định các biện pháp an ninh và kiểm soát truy cập cơ bản; chỉ định đầu mối tiếp nhận thông báo sự cố khẩn cấp; minh bạch thông tin về bên xử lý phụ và cơ chế quản lý thay đổi; quy định thời hạn lưu giữ và cơ chế xóa bỏ dữ liệu an toàn; cấp phép rõ ràng về quyền sử dụng kết quả đầu ra; quy định điều kiện chấm dứt dịch vụ và lộ trình rút lui an toàn; cùng sự phê duyệt chính thức của bộ phận pháp chế. Mức độ thẩm định chi tiết có thể được rút gọn và các điều khoản dịch vụ tiêu chuẩn có thể được chấp nhận đi kèm với hồ sơ ghi nhận rủi ro được phê duyệt, nhưng tuyệt đối không được phép bỏ qua các bước xác minh dữ kiện pháp lý và kỹ thuật cốt lõi. Một dự án chạy thử nghiệm chỉ sử dụng dữ liệu công khai hoặc dữ liệu giả lập có thể đi qua một cổng kiểm soát gọn nhẹ hơn; tuy nhiên, ngay khi doanh nghiệp bắt đầu đưa dữ liệu mật, dữ liệu cá nhân hoặc cấp quyền cho AI thực hiện các thao tác ghi dữ liệu, quy trình thẩm định toàn diện bắt buộc phải được kích hoạt ngay lập tức. Nguyên tắc tương xứng chỉ cho phép giảm bớt công sức thực hiện dựa trên mức độ phơi nhiễm rủi ro, chứ tuyệt đối không làm suy giảm trách nhiệm giải trình của doanh nghiệp.

70. Biên bản phê duyệt ký kết cuối cùng cần ghi nhận rõ ràng toàn bộ các giả định kỹ thuật và các giới hạn chưa được giải quyết dứt điểm bên cạnh chữ ký chính thức của các bên. Nếu một giả định kỹ thuật sau này bị phát hiện là không đúng với thực tế—chẳng hạn như vị trí vùng máy chủ thực tế, thời hạn lưu giữ dữ liệu, danh tính nhà cung cấp mô hình bên dưới hoặc cài đặt mặc định về việc huấn luyện dữ liệu—người phụ trách quản lý hợp đồng có thể lập tức xác định chính xác các điều khoản pháp lý, biện pháp kiểm soát kỹ thuật và nhóm dữ liệu bị ảnh hưởng, tạm dừng phạm vi ứng dụng liên quan và kích hoạt quy trình quản lý thay đổi, ứng phó sự cố hoặc thủ tục rút lui khẩn cấp. Cách tiếp cận này giúp chuyển hóa bản hợp đồng từ một tập tài liệu lưu trữ tĩnh trong ngăn kéo thành một công cụ kiểm soát rủi ro sống động và đầy sức mạnh trong tay ban điều hành doanh nghiệp.