Sự phát triển bùng nổ của các công cụ Trí tuệ nhân tạo (AI) công cộng như ChatGPT, Claude, Gemini đã mang lại hiệu quả vượt trội trong xử lý văn bản và tự động hóa công việc. Tuy nhiên, việc lạm dụng hoặc đưa dữ liệu nội bộ lên các nền tảng này lại tiềm ẩn rủi ro khổng lồ về an toàn thông tin, nguy cơ làm lộ rò rỉ bí mật nhà nước và thông tin tài chính cá nhân, doanh nghiệp.

Để siết chặt kỷ luật phát ngôn, quản lý dữ liệu số và ngăn chặn lỗ hổng an ninh mạng, Cục Thuế đã chính thức ban hành Quy chế An toàn thông tin kèm theo Quyết định 1225/QĐ-CT (ban hành ngày 26/08/2026). Trong đó, quy định nghiêm cấm cán bộ, công chức đưa thông tin người nộp thuế và dữ liệu cá nhân lên các dịch vụ AI bên thứ ba đang nhận được sự quan tâm đặc biệt từ dư luận và toàn ngành Tài chính.

"Lằn ranh đỏ" trong sử dụng Trí tuệ nhân tạo tại ngành Thuế

Theo quy định tại khoản 1 Điều 13 Quy chế ban hành kèm Quyết định 1225/QĐ-CT, việc đưa các ứng dụng AI vào quá trình hỗ trợ xử lý công việc chuyên môn phải tuân thủ nghiêm ngặt hệ thống pháp luật hiện hành về bảo vệ bí mật nhà nước, bảo vệ dữ liệu cá nhân cũng như các quy định về giữ bí mật thông tin của người nộp thuế theo Luật Quản lý thuế 2019.

Đặc biệt, khoản 2 Điều 13 Quy chế đã thiết lập "vùng cấm" khi nêu rõ: Nghiêm cấm hành vi nhập, tải lên (upload) hoặc chia sẻ với các công cụ AI công cộng hoặc dịch vụ AI của bên thứ ba đối với các nhóm dữ liệu quan trọng, ngoại trừ trường hợp đã được cấp có thẩm quyền phê duyệt bằng văn bản hoặc hệ thống AI đó được thiết lập, vận hành hoàn toàn trong môi trường máy chủ nội bộ do cơ quan thuế quản lý và đáp ứng đầy đủ tiêu chuẩn an toàn thông tin cấp độ cao.

5 nhóm thông tin tuyệt đối không được đưa lên các nền tảng AI công cộng

Quy chế an toàn thông tin ban hành kèm theo Quyết định 1225/QĐ-CT quy định rõ 05 nhóm thông tin quan trọng bị nghiêm cấm phát tán hoặc nạp dữ liệu vào công cụ AI bên ngoài, bao gồm:

• Bí mật nhà nước: Các tài liệu, thông tin thuộc danh mục bí mật nhà nước thuộc ngành Tài chính - Thuế theo quy định của pháp luật bảo vệ bí mật nhà nước;
• Thông tin người nộp thuế: Mã số thuế, doanh thu, kê khai chi phí, lịch sử thanh tra kiểm tra, nợ thuế và toàn bộ dữ liệu hồ sơ thuế của cá nhân, doanh nghiệp;
• Dữ liệu trao đổi quốc tế: Dữ liệu thông tin thuế được chia sẻ, trao đổi theo các điều ước quốc tế, thỏa thuận đa phương hoặc song phương mà Việt Nam tham gia;
• Dữ liệu cá nhân: Thông tin định danh, căn cước công dân, tài khoản ngân hàng, thông tin liên lạc của công dân theo quy định tại Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân;
• Dữ liệu hạ tầng kỹ thuật: Mã nguồn phần mềm (source code), khóa mật mã, chứng thư số, khóa API, mật khẩu đăng nhập, thông tin cấu hình mạng hoặc bất kỳ dữ liệu nào có khả năng gây ảnh hưởng đến an toàn, an ninh hệ thống công nghệ thông tin ngành Thuế.

Vì sao AI công cộng lại là "cái bẫy" lộ bí mật dữ liệu nguy hiểm?

Cơ chế vận hành của hầu hết các mô hình ngôn ngữ lớn (LLM) công cộng hiện nay là thu thập dữ liệu đầu vào (input prompt) của người dùng để liên tục tái huấn luyện (re-train) thuật toán. Khi một công chức nạp vào ChatGPT một file hồ sơ quyết toán thuế của doanh nghiệp để nhờ tóm tắt hoặc phát hiện sai sót, toàn bộ dữ liệu nhạy cảm đó sẽ lưu giữ trên máy chủ của bên thứ ba ở nước ngoài.

Hành vi này đồng nghĩa với việc thông tin doanh thu, chiến lược tài chính, thậm chí thông tin cá nhân của người nộp thuế đã bị "tuột khỏi tay" cơ quan quản lý. Việc dữ liệu bị trích xuất ngược lại cho các người dùng khác hoặc bị tấn công mạng xâm nhập máy chủ AI bên thứ ba có thể gây tổn hại nghiêm trọng đến quyền lợi người nộp thuế, uy tín cơ quan nhà nước và an ninh tài chính quốc gia.

Trách nhiệm cá nhân và chế tài xử lý vi phạm đối với cán bộ ngành Thuế

Không dừng lại ở việc đưa ra quy định cấm, Quy chế còn gắn chặt trách nhiệm cá nhân của từng cán bộ trong toàn hệ thống. Theo Điều 31 Quy chế ban hành kèm Quyết định 1225/QĐ-CT, toàn thể công chức, viên chức và người lao động thuộc cơ quan thuế có nghĩa vụ tuyệt đối tuân thủ các quy tắc an toàn thông tin, bảo vệ dữ liệu cá nhân và bảo vệ bí mật nhà nước trên không gian mạng.

Trường hợp cá nhân thiếu trách nhiệm, cố tình hoặc vô ý đưa dữ liệu lên AI công cộng gây rò rỉ, thất thoát thông tin mật của ngành Tài chính sẽ phải chịu trách nhiệm trước pháp luật và lãnh đạo đơn vị. Tùy thuộc vào tính chất và mức độ vi phạm, cán bộ vi phạm có thể bị xử lý kỷ luật từ khiển trách, cảnh cáo, hạ bậc lương cho đến buộc thôi việc, xử phạt vi phạm hành chính hoặc truy cứu trách nhiệm hình sự nếu làm lộ bí mật nhà nước.

Việc ban hành Quyết định 1225/QĐ-CT thể hiện bước đi chủ động, quyết liệt của ngành Thuế trong việc đón đầu công nghệ đi đôi với quản trị rủi ro. Việc khai thác Trí tuệ nhân tạo là xu thế tất yếu, nhưng phải được đặt trong khuôn khổ pháp luật, bảo đảm an toàn hệ thống và giữ vững niềm tin của người nộp thuế.