Khi trò chuyện với các chủ doanh nghiệp nhỏ về việc đưa chatbot vào khâu chăm sóc khách hàng, chúng tôi nhận thấy câu hỏi về dữ liệu thường đến muộn hơn câu hỏi về tính năng. Phần lớn mọi người bàn xem nên chọn công cụ nào và cấu hình ra sao. Còn thông tin khách được giữ ở đâu, giữ bao lâu và ai được quyền xem thì ít ai nghĩ tới ngay từ đầu. Theo kinh nghiệm của đội ngũ bên mình, đây lại chính là chỗ dễ phát sinh rủi ro nhất. Vì vậy, bài viết này nhìn ứng dụng AI cho chăm sóc khách hàng từ góc độ pháp lý, giúp bạn nắm các nguyên tắc cơ bản trước khi triển khai.
Dữ liệu nào trong chăm sóc khách hàng được pháp luật bảo vệ?
Dữ liệu cá nhân, theo cách hiểu phổ biến trong pháp luật Việt Nam, là mọi thông tin có thể giúp nhận diện một cá nhân cụ thể. Định nghĩa nghe đơn giản, nhưng khi áp vào hoạt động chăm sóc khách hàng thì phạm vi khá rộng.
Một khách nhắn tin hỏi về đơn hàng có thể để lại họ tên, số điện thoại và địa chỉ giao nhận. Một cuộc gọi phản ánh sự cố có thể chứa thông tin về thiết bị đã mua, thời điểm xảy ra lỗi và cả giọng nói của người gọi. Khi khách tương tác với chatbot trên website, hệ thống còn ghi nhận thiết bị sử dụng, trang đã xem và thói quen mua sắm. Tất cả đều có thể là dữ liệu cá nhân cần xử lý cẩn thận.
Doanh nghiệp vì thế không nên coi lịch sử trò chuyện chỉ là “nhật ký hệ thống”. Đó là tập hợp thông tin về những con người thật. Bạn cần có căn cứ hợp pháp trước khi thu thập, sử dụng hoặc chia sẻ chúng.
Trách nhiệm thông báo trước khi thu thập dữ liệu
Nghĩa vụ đầu tiên, và cũng là nghĩa vụ hay bị bỏ sót nhất, là thông báo cho khách biết trước khi họ chia sẻ thông tin. Một thông báo tốt thường trả lời được vài câu hỏi cơ bản: hệ thống thu thập loại dữ liệu nào, dùng cho mục đích gì, lưu trong bao lâu, có chia sẻ cho bên thứ ba không và khách có quyền gì với dữ liệu đó.
Thực tế, chúng tôi từng gặp nhiều trường hợp doanh nghiệp gắn chatbot AI vào website nhưng chưa cập nhật chính sách quyền riêng tư, cũng không có bước xác nhận đồng ý trước khi cuộc trò chuyện bắt đầu. Khi phát sinh khiếu nại, họ mới nhận ra mình không có bằng chứng cho thấy khách đã được báo trước. Một dòng thông báo ngắn ở đầu khung chat, kèm liên kết tới chính sách đầy đủ, thường đủ để khép lại phần lớn lỗ hổng này.
Bạn cũng nên rà lại chính sách hiện có. Nếu chính sách chỉ ghi chung chung kiểu “chúng tôi có thể sử dụng dữ liệu để cải thiện dịch vụ” mà không nói cải thiện bằng cách nào, nó khó bảo vệ bạn khi có tranh chấp. Hãy viết cụ thể, đủ để một khách hàng bình thường đọc xong hiểu được chuyện gì sẽ xảy ra với thông tin của mình.
Thời hạn lưu trữ và quy trình xóa dữ liệu
Nhiều hệ thống mặc định lưu toàn bộ lịch sử tương tác vô thời hạn, với lý do dữ liệu càng nhiều càng tốt. Trên thực tế, giữ dữ liệu quá lâu mà không có lý do hợp pháp lại là một rủi ro, vì nó làm tăng thiệt hại nếu hệ thống bị lộ lọt.
Nguyên tắc tối giản dữ liệu khá đơn giản: chỉ giữ thông tin trong thời gian cần thiết cho mục đích đã thông báo. Khi mục đích kết thúc, dữ liệu nên được xóa hoặc ẩn danh. Ví dụ, lịch sử chat hỗ trợ một đơn hàng có thể xóa sau khi đơn hoàn tất và hết thời hạn xử lý khiếu nại liên quan. Bản ghi âm cuộc gọi dùng để đào tạo nhân viên cũng cần thời hạn cụ thể.
Bên cạnh việc xóa định kỳ, bạn cần một kênh rõ ràng để khách gửi yêu cầu xem, sửa hoặc xóa dữ liệu của họ. Kênh này không cần phức tạp: một địa chỉ email chuyên trách hoặc biểu mẫu trên website là đủ, miễn là có người chịu trách nhiệm xử lý và phản hồi trong thời hạn hợp lý. Khi xóa trên hệ thống chính, đừng quên các bản sao lưu cũng phải được xử lý theo. Hãy ghi lại nhật ký các yêu cầu đã thực hiện để có bằng chứng khi cần kiểm tra.
Thiết lập hệ thống tuân thủ ngay từ khâu cấu hình
Cách an toàn nhất là đưa yêu cầu bảo mật vào thiết kế hệ thống ngay từ đầu, thay vì vá lại sau khi đã vận hành. Hướng tiếp cận này thường được gọi là bảo mật từ thiết kế, và nó đặc biệt quan trọng với các công cụ AI vốn xử lý khối lượng dữ liệu lớn.
Phân quyền truy cập là điểm đầu tiên nên kiểm tra. Nhân viên tư vấn bán hàng cần xem lịch sử đơn để hỗ trợ khách, nhưng thường không cần thấy thông tin thanh toán hay các bản ghi khiếu nại nhạy cảm. Khi đã phân vùng như vậy, bạn giảm nguy cơ rò rỉ do vô tình hoặc cố ý, và khi có sự cố sẽ biết rõ trách nhiệm thuộc về ai.
Thứ hai là mã hóa. Dữ liệu nên được mã hóa cả khi lưu trữ lẫn khi truyền giữa các hệ thống. Nếu để ở dạng văn bản thô, một lần bị xâm nhập có thể làm lộ toàn bộ nội dung trò chuyện của khách. Thứ ba là nhật ký truy cập: hệ thống nên ghi lại ai đã xem, chỉnh sửa dữ liệu nào và vào lúc nào. Không có nhật ký, bạn khó điều tra khi xảy ra rò rỉ và cũng khó chứng minh mình đã tuân thủ khi cơ quan quản lý yêu cầu kiểm tra.
Nếu doanh nghiệp không có đội kỹ thuật riêng, việc chọn một phần mềm chăm sóc khách hàng đã tích hợp sẵn phân quyền, mã hóa và ghi nhật ký có thể tiết kiệm đáng kể công sức. Bạn không phải tự xây từ đầu và có thể tập trung viết chính sách nội bộ phù hợp với đặc thù ngành. Dù chọn công cụ nào, hãy yêu cầu nhà cung cấp làm rõ dữ liệu được lưu ở đâu, ai được tiếp cận và quy trình xóa ra sao.
Lưu ý về trách nhiệm khi thuê ngoài
Nhiều doanh nghiệp không tự vận hành AI mà thuê đơn vị triển khai bên ngoài. Khi đó, trách nhiệm bảo vệ dữ liệu không tự động chuyển sang nhà cung cấp. Hợp đồng nên ghi rõ phạm vi xử lý dữ liệu, cam kết bảo mật, thời hạn lưu trữ và nghĩa vụ hỗ trợ khi khách hàng hoặc cơ quan chức năng có yêu cầu. Thiếu những điều khoản này, khi có sự cố bạn sẽ khó xác định ai phải chịu trách nhiệm.
Bạn cũng nên tìm hiểu thêm về những lưu ý pháp lý khi tự động hóa marketing và chăm sóc khách hàng, vì phần lớn rủi ro về thông báo và đồng ý cũng xuất hiện ở các kênh marketing tự động. Với các quy định liên quan đến cookie khi website thu thập dữ liệu người dùng, bạn có thể tham khảo thêm cách thông báo cookie để tuân thủ quy định.
Ví dụ thực tế: một cửa hàng nội thất nhỏ
Để dễ hình dung, hãy xem một trường hợp đội ngũ bên mình từng tư vấn. Một cửa hàng nội thất gắn chatbot để nhận câu hỏi về đơn hàng và lịch giao. Ban đầu, họ chỉ quan tâm đến việc bot trả lời nhanh. Sau khi rà lại, họ phát hiện lịch sử chat được giữ mãi, và nhân viên kho cũng xem được số điện thoại, địa chỉ của những khách không liên quan đến đơn của mình.
Họ xử lý theo ba bước: thêm thông báo đầu khung chat, đặt thời hạn xóa lịch sử sau sáu tháng kể từ khi đơn hoàn tất, và tách quyền xem thông tin liên hệ khỏi bộ phận kho. Chi phí không lớn, nhưng từ đó họ có câu trả lời rõ ràng khi khách hỏi về dữ liệu của mình.
Kết luận
Với doanh nghiệp, bảo mật và quản trị vòng đời dữ liệu không phải phần làm thêm cho đẹp, mà là yêu cầu thực sự khi ứng dụng AI vào chăm sóc khách hàng. Thu thập dữ liệu thiếu căn cứ, giữ dữ liệu quá thời hạn cần thiết hay không có kênh để khách thực thi quyền của mình đều có thể dẫn đến tranh chấp về sau.
Bạn không cần bắt đầu bằng một dự án lớn. Hãy rà lại chính sách quyền riêng tư hiện có, kiểm tra ai đang xem được dữ liệu khách hàng, đặt thời hạn lưu trữ cho từng loại thông tin và chuẩn bị một kênh tiếp nhận yêu cầu. Những bước nhỏ này thường giúp giảm rủi ro đáng kể và xây dựng niềm tin lâu dài với khách hàng.
