Nhân viên ngân hàng dùng AI an toàn khi giữ được một ranh giới đơn giản: thông tin của khách chỉ đi vào công cụ mà ngân hàng đã duyệt cho loại dữ liệu đó, còn chatbot công cộng chỉ nhận câu hỏi kiến thức chung và nội dung đã ẩn danh đúng cách. Phần khó không nằm ở việc hiểu ranh giới mà ở những đường rò ít ai để ý, như ảnh chụp màn hình, bàn phím thông minh, nhóm chat.
Bài này dành cho mọi vị trí trong ngân hàng có tiếp xúc với dữ liệu khách: giao dịch viên, tín dụng, quan hệ khách hàng, chăm sóc khách hàng, hỗ trợ nghiệp vụ. Phần chiêu lừa đảo và bảo mật cá nhân nói chung có ở AI Bảo Mật; ở đây chỉ bàn trách nhiệm của người làm nghề.
Vì sao ngân hàng nghiêm hơn hầu hết các ngành về chuyện này
Ngân hàng nắm những thông tin nhạy cảm nhất về một người: họ có bao nhiêu tiền, nợ ai, chi tiêu vào đâu, nhận lương từ đâu, tài sản nào đang thế chấp. Pháp luật về các tổ chức tín dụng đặt ra nghĩa vụ giữ bí mật thông tin khách hàng, và quy định về bảo vệ dữ liệu cá nhân xếp thông tin tài khoản, giao dịch, tín dụng vào nhóm dữ liệu cần bảo vệ chặt. Chi tiết điều khoản bạn tra theo văn bản hiện hành và hướng dẫn nội bộ; điều cần nhớ là trách nhiệm này gắn với cả ngân hàng lẫn từng người làm.
Hậu quả của việc lộ dữ liệu ở ngân hàng cũng khác. Một danh sách khách có số dư lớn rơi ra ngoài là mồi ngon cho kẻ lừa đảo. Một bộ hồ sơ vay bị lộ có thể khiến khách bị mạo danh vay tiền. Uy tín của ngân hàng phụ thuộc vào niềm tin rằng tiền và thông tin gửi vào là an toàn.
Với AI công cộng, rủi ro nằm ở chỗ dữ liệu bạn dán vào đi qua máy chủ của một bên thứ ba, theo điều khoản mà ngân hàng không kiểm soát. Tuỳ cài đặt và tuỳ hãng, nội dung có thể được lưu, được xem lại, hoặc dùng để cải thiện mô hình. Ngay cả khi điều khoản hứa không dùng, việc đưa dữ liệu khách ra ngoài hệ thống được phép đã là vi phạm quy định nội bộ ở hầu hết các ngân hàng.
Những con đường dữ liệu rò ra mà ít ai để ý
Hiếm ai cố ý dán cả danh sách khách vào chatbot. Rò rỉ thường đi qua những thao tác nhỏ, quen tay:
- Chụp màn hình hệ thống bằng điện thoại cá nhân rồi gửi chatbot để hỏi một lỗi hay một thuật ngữ.
- Dùng bàn phím thông minh có tính năng AI trên điện thoại khi nhắn tin công việc; một số bàn phím gửi nội dung gõ lên máy chủ để gợi ý.
- Cài tiện ích trình duyệt kiểu tóm tắt trang hay viết lại câu trên máy làm việc, tiện ích có quyền đọc mọi thứ trên màn hình.
- Dùng ứng dụng ghi âm tự chép lời cho cuộc gọi với khách, bản ghi lưu trên đám mây của bên khác.
- Gửi tệp hồ sơ vào nhóm chat cá nhân để đồng nghiệp xem giúp, nhóm đó có người đã nghỉ việc hoặc người ngoài.
- Đồng bộ thư mục làm việc lên tài khoản đám mây cá nhân để tiện làm ở nhà.
- Dán đoạn văn bản tưởng đã xoá tên nhưng còn số tài khoản, số điện thoại, địa chỉ cụ thể.
Điểm chung của các trường hợp trên là người làm không nghĩ mình đang chia sẻ dữ liệu. Vì vậy thói quen quan trọng nhất là dừng một nhịp trước mỗi lần chụp, dán, tải lên, và tự hỏi dữ liệu này sẽ đi đâu.
Ba nhóm dữ liệu: dùng thoải mái, che rồi dùng, không bao giờ
Phân loại dưới đây là gợi ý chung cho chatbot công cộng. Quy định của ngân hàng bạn luôn được ưu tiên, và nhiều nơi còn chặt hơn.
| Nhóm | Ví dụ | Với chatbot công cộng |
|---|---|---|
| Kiến thức chung, nội dung đã công bố | Cách tính lãi theo dư nợ giảm dần, biểu phí đã đăng công khai, khái niệm kế toán | Dùng được, vẫn kiểm lại kết quả |
| Tình huống đã ẩn danh hoàn toàn | Mô tả một tình huống giao dịch không có tên, số, địa chỉ, thời điểm cụ thể | Dùng được nếu quy định nội bộ cho phép, sau khi tự kiểm việc ẩn danh |
| Thông tin định danh và tài chính của khách | Họ tên, số căn cước, số tài khoản, số thẻ, số dư, lịch sử giao dịch, hồ sơ vay, ảnh giấy tờ | Không bao giờ |
| Thông tin nội bộ ngân hàng | Chính sách tín dụng chưa công bố, chỉ tiêu, phương pháp chấm điểm, báo cáo nội bộ | Không, trừ khi có công cụ được duyệt |
| Thông tin xác thực | Mật khẩu, mã OTP, mã truy cập hệ thống | Không bao giờ, kể cả với công cụ nội bộ |
Dòng thứ hai là chỗ dễ sai nhất. Một tình huống được mô tả đủ chi tiết, như khách là chủ tiệm vàng duy nhất ở một xã, vay vào tháng trước, số tiền cụ thể, thì dù không có tên vẫn đủ để người địa phương nhận ra. Ẩn danh đúng nghĩa là bỏ cả những chi tiết đó.
Cách che một đoạn thông tin trước khi hỏi AI
Khi quy định cho phép dùng AI với nội dung đã ẩn danh, bạn làm theo trình tự sau, đừng làm tắt:
- Chép đoạn cần hỏi sang một văn bản nháp trên máy làm việc, không làm trực tiếp trong ô nhập của chatbot.
- Thay họ tên bằng Khách A, Khách B; tên công ty bằng Công ty X.
- Xoá hẳn số căn cước, số tài khoản, số thẻ, số điện thoại, địa chỉ email.
- Thay địa chỉ cụ thể bằng mức chung như một tỉnh ở miền Trung, hoặc bỏ hẳn nếu không cần.
- Làm tròn hoặc thay số tiền bằng số giả định cùng cỡ nếu câu hỏi chỉ cần quy mô, không cần số đúng.
- Đọc lại toàn bộ đoạn đã che với câu hỏi: người ngoài có đoán ra đây là ai không. Nếu có, che thêm.
- Sau khi dùng xong, xoá văn bản nháp và xoá cuộc trò chuyện trong chatbot nếu công cụ cho phép.
Bảy bước nghe nhiều, nhưng làm vài lần sẽ quen tay và mất chưa tới hai phút. Nếu thấy việc che quá khó vì câu hỏi cần quá nhiều chi tiết thật, đó là tín hiệu câu hỏi này không nên đưa ra chatbot công cộng.
Công cụ AI nội bộ khác chatbot công cộng ở chỗ nào
Dữ liệu ở trong phạm vi ngân hàng kiểm soát. Công cụ nội bộ thường chạy trên hạ tầng hoặc theo hợp đồng mà ngân hàng đã thoả thuận về lưu trữ, không dùng dữ liệu để huấn luyện, có nhật ký truy cập.
Có phân quyền. Bạn chỉ thấy và đưa vào được dữ liệu thuộc phạm vi công việc của mình, giống như phân quyền trên hệ thống lõi.
Có hướng dẫn sử dụng đi kèm. Ngân hàng thường ghi rõ loại dữ liệu nào được đưa vào, việc gì được dùng. Đọc kỹ hướng dẫn, vì được cấp công cụ không có nghĩa là dùng cho mọi việc.
Vẫn phải kiểm kết quả. Công cụ nội bộ an toàn hơn về dữ liệu nhưng không chính xác hơn về nội dung. Mọi kết quả vẫn cần người đọc lại.
Không mang kết quả ra ngoài. Bản tóm tắt hồ sơ do công cụ nội bộ tạo ra vẫn là dữ liệu khách. Không chép sang chatbot công cộng để chỉnh sửa tiếp, không gửi qua kênh cá nhân.
Lỡ dán dữ liệu khách vào AI công cộng thì làm gì
Điều đầu tiên là đừng hoảng và đừng giấu. Xoá cuộc trò chuyện trong công cụ đó nếu được, chụp lại hoặc ghi lại bạn đã dán những gì, lúc nào, bằng tài khoản nào, vì thông tin này cần cho người xử lý sự cố. Rồi báo ngay người quản lý trực tiếp hoặc bộ phận an toàn thông tin theo quy trình của ngân hàng.
Nhiều người ngại báo vì sợ bị kỷ luật. Nhưng ở hầu hết các tổ chức, việc tự báo sớm được nhìn nhận khác hẳn với việc bị phát hiện sau. Báo sớm còn cho ngân hàng thời gian đánh giá mức độ, có thể cần liên hệ nhà cung cấp công cụ hoặc thực hiện các nghĩa vụ thông báo theo quy định về bảo vệ dữ liệu cá nhân.
Sau sự cố, hãy nhìn lại vì sao nó xảy ra. Thường là do một thao tác quen tay như chụp màn hình gửi đi, hoặc do áp lực thời gian khiến bạn bỏ qua bước che. Biết được nguyên nhân thì sửa được thói quen, và có khi góp ý để ngân hàng cấp công cụ phù hợp hơn cho đúng việc bạn cần.
Khi khách hỏi ngân hàng có đưa dữ liệu của họ vào AI không
Câu hỏi này ngày càng phổ biến, nhất là sau những lần khách đọc tin về rò rỉ dữ liệu. Bạn trả lời trung thực trong phạm vi hiểu biết: ngân hàng có quy định về bảo vệ dữ liệu khách hàng, dữ liệu chỉ được xử lý trên hệ thống và công cụ được phép, nhân viên không đưa thông tin khách ra ngoài. Nếu không chắc ngân hàng đang dùng AI cụ thể ra sao, đừng đoán; hãy hướng khách tới chính sách bảo vệ dữ liệu cá nhân mà ngân hàng đã công bố, và kênh tiếp nhận yêu cầu chính thức.
Khách cũng có những quyền đối với dữ liệu cá nhân của mình theo quy định hiện hành, như được biết dữ liệu được xử lý cho mục đích gì, yêu cầu chỉnh sửa khi sai. Phần quyền của khách trước các hệ thống AI của ngân hàng được bàn ở danh mục ngân hàng dùng AI ra sao trên AI Ngân Hàng.
Thái độ của bạn khi trả lời câu hỏi này quan trọng không kém nội dung. Khách hỏi vì lo, không phải để bắt lỗi. Một nhân viên trả lời bình tĩnh, rõ ràng, biết chỉ đúng chỗ để khách tìm hiểu thêm, làm khách yên tâm hơn nhiều so với một lời trấn an chung chung.
Câu hỏi thường gặp
Dán thông tin khách đã xoá tên vào ChatGPT có được không?
Chỉ khi quy định của ngân hàng cho phép dùng chatbot công cộng với nội dung ẩn danh, và bạn đã ẩn danh đúng cách, tức là bỏ cả số tài khoản, địa chỉ, số tiền cụ thể và mọi chi tiết giúp nhận ra khách. Nhiều ngân hàng cấm hẳn, nên đọc quy định trước.
Dùng tài khoản trả phí cá nhân thì có an toàn hơn không?
Tài khoản trả phí có thể có thêm tuỳ chọn về lưu trữ dữ liệu, nhưng đó vẫn là tài khoản cá nhân, ngoài sự kiểm soát của ngân hàng. Với dữ liệu khách, điều quyết định là công cụ có được ngân hàng duyệt hay không, không phải bạn trả phí hay không.
Bàn phím điện thoại có tính năng AI có rủi ro gì?
Một số bàn phím gửi nội dung bạn gõ lên máy chủ để gợi ý câu chữ. Nếu dùng điện thoại để nhắn tin công việc có thông tin khách, nội dung đó có thể đi ra ngoài. Dùng bàn phím mặc định, tắt tính năng gửi dữ liệu, hoặc theo hướng dẫn của bộ phận công nghệ.
Đồng nghiệp gửi hồ sơ khách vào nhóm chat cá nhân thì nên làm gì?
Nhắc nhẹ đồng nghiệp chuyển sang kênh nội bộ và xoá tệp khỏi nhóm. Nếu việc này lặp lại hoặc nhóm có người ngoài ngân hàng, báo người quản lý theo quy trình. Im lặng không giúp đồng nghiệp mà còn để rủi ro kéo dài.
Nghỉ việc rồi có được giữ lại ghi chú về khách không?
Không. Thông tin khách hàng thuộc về ngân hàng và nghĩa vụ giữ bí mật vẫn tiếp tục sau khi bạn nghỉ việc theo quy định và cam kết đã ký. Trước khi nghỉ, xoá mọi dữ liệu công việc còn sót trên thiết bị cá nhân.
Ngân hàng chưa cấp công cụ AI nào thì nhân viên có nên tự dùng không?
Bạn có thể dùng chatbot công cộng cho câu hỏi kiến thức chung, luyện kỹ năng, soạn mẫu trống, nếu quy định không cấm. Mọi việc có dữ liệu khách thì làm theo cách cũ trên hệ thống nội bộ, và có thể góp ý để ngân hàng cân nhắc cấp công cụ phù hợp.