Checklist tuân thủ GDPR cho chatbot AI 2026: PDPL, LGPD và hơn nữa

Trước kia, một checklist tuân thủ GDPR cho chatbot AI chỉ có nghĩa là một liên kết chính sách riêng tư và một banner cookie. Sang năm 2026, checklist bảo vệ dữ liệu cá nhân chatbot AI còn phải bao gồm cả nghĩa vụ công bố dành cho chatbot trong EU AI Act, áp dụng từ ngày 2/8/2026, cộng thêm luật bảo vệ dữ liệu ở vùng Vịnh và khu vực MENA rộng hơn, Thổ Nhĩ Kỳ, Ấn Độ, Brazil và bức tranh theo từng tiểu bang ở Hoa Kỳ. Bài viết này đưa cho bạn 10 bước thực tế, một bảng hạn báo cáo sự cố theo từng nước và bức tranh rõ ràng về vị trí hiện nay của Iraq và Vùng Kurdistan.

Checklist này là thông tin chung, không phải tư vấn pháp lý; hãy hỏi luật sư có chuyên môn ở từng nơi bạn hoạt động.

Những điều cần nhớ

EU AI Act buộc chatbot phải nói rõ mình là AI, trừ khi điều đó đã quá hiển nhiên. Điều 50(1) đã áp dụng từ ngày 2/8/2026, và Digital Omnibus tháng 7/2026 không hoãn nghĩa vụ này.
Phần lớn cơ quan quản lý chạy đồng hồ 72 giờ cho sự cố rò rỉ dữ liệu, nhưng không phải tất cả. GDPR, các quy định PDPL của Ả Rập Xê Út, Hội đồng KVKK, Ai Cập, Bahrain, Oman và Jordan đều theo mốc 72 giờ, còn ADGM theo mốc "không chậm trễ quá mức và, nếu khả thi, không muộn hơn 72 giờ"; Kuwait cho các nhà cung cấp được cấp phép 24 giờ, DIFC chỉ yêu cầu "sớm nhất có thể trong thực tế", còn ANPD của Brazil yêu cầu 3 ngày làm việc. Ở Mỹ không có một mốc hạn duy nhất — nghĩa vụ báo sự cố đến từ luật riêng về rò rỉ dữ liệu của từng tiểu bang, và mốc của California là 30 ngày theo lịch kể từ khi phát hiện để báo cho cư dân bị ảnh hưởng.
Điều 28(3) GDPR yêu cầu một hợp đồng ràng buộc (DPA) với mọi bên xử lý dữ liệu, mà thường thì nền tảng hộp thư và nhà cung cấp mô hình AI của bạn đều nằm trong nhóm đó.
Iraq chưa có một luật bảo vệ dữ liệu toàn diện cho khu vực tư nhân đang có hiệu lực, Vùng Kurdistan cũng vậy, nên lấy chuẩn thực hành ngang GDPR là một mức nền hợp lý.
Một công cụ trả lời tự động bằng AI phải đọc tin nhắn mới trả lời được, nên kiểm soát truy cập, giới hạn thời gian lưu và mã hóa thông tin xác thực quan trọng ngang mã hóa khi truyền tải.

Ai cần checklist bảo vệ dữ liệu cá nhân chatbot AI trong năm 2026

Một chatbot tuân thủ GDPR xử lý dữ liệu cá nhân trên một căn cứ pháp lý, nói cho người ta biết dữ liệu của họ đi đâu về đâu, giữ dữ liệu an toàn và để họ thực hiện quyền của mình. Một doanh nghiệp bán hàng trên WhatsApp, Instagram hay Telegram thường còn phải trả lời cả luật địa phương:

EU: GDPR (áp dụng từ ngày 25/5/2018) và Điều 50 của AI Act. Phục vụ người ở EU nhưng ngồi ngoài EU? Hãy hỏi luật sư xem GDPR có áp dụng không.
Hoa Kỳ: không có một luật quyền riêng tư liên bang duy nhất. Nghĩa vụ chủ yếu nằm ở cấp tiểu bang, dẫn đầu là CCPA/CPRA của California, cộng thêm yêu cầu đồng ý theo TCPA cho cuộc gọi và tin nhắn tiếp thị tự động và các quy định công bố bot của từng tiểu bang, chẳng hạn của Maine.
Ả Rập Xê Út: PDPL của Ả Rập Xê Út, với thời gian ân hạn kết thúc ngày 14/9/2024. SDAIA là cơ quan quản lý, kể cả với việc xử lý ở nước ngoài dữ liệu về người đang ở Ả Rập Xê Út.
UAE (liên bang): Sắc lệnh Liên bang số 45 năm 2021, có hiệu lực từ tháng 1/2022, với các Quy định Thi hành vẫn chưa được ban hành.
DIFC: Luật số 5 năm 2020; phải khai báo hoạt động xử lý với Ủy viên (Commissioner) hằng năm, và các quy tắc tại Điều 10 về hệ thống tự hành có bao trùm cả chatbot.
ADGM: Quy định Bảo vệ Dữ liệu 2021; đăng ký với Văn phòng Bảo vệ Dữ liệu trước khi xử lý dữ liệu, và gia hạn hằng năm.
Qatar: Luật số 13 năm 2016, do NCSA giám sát; cần sự đồng ý rõ ràng, cộng thêm giấy phép đối với dữ liệu có tính chất đặc biệt.
Bahrain: Luật số 30 năm 2018; chuyển dữ liệu ra nước ngoài cần danh sách đã được PDPA phê duyệt, giấy phép của cơ quan này hoặc một căn cứ khác.
Kuwait: quy định của CITRA, được thu hẹp năm 2024 chỉ còn áp dụng cho các nhà cung cấp viễn thông và internet được cấp phép, nên phần lớn doanh nghiệp nằm ngoài phạm vi.
Oman: Sắc lệnh Hoàng gia số 6/2022, có hiệu lực thi hành từ ngày 5/2/2026; lấy sự đồng ý làm căn cứ chính, không có căn cứ lợi ích hợp pháp.
Jordan: Luật số 24 năm 2023, áp dụng từ tháng 3/2025; cần sự đồng ý trước, và lại cần sự đồng ý để chuyển dữ liệu ra nước ngoài.
Ma-rốc: Luật số 09-08; phải khai báo hoạt động xử lý với CNDP trước, và xin phép CNDP để chuyển dữ liệu ra nước ngoài.
Ai Cập: Luật 151/2020; các Quy định Thi hành của luật này (Nghị định số 816 năm 2025) cho phép tuân thủ tới khoảng đầu tháng 11/2026.
Thổ Nhĩ Kỳ: KVKK (Luật số 6698), được sửa đổi bởi Luật 7499 từ ngày 1/6/2024.
Ấn Độ: Đạo luật DPDP 2023; các Quy tắc được ban hành vào tháng 11/2025, phần lớn nghĩa vụ cốt lõi áp dụng từ khoảng tháng 5/2027.
Brazil: LGPD (Luật 13.709/2018), do ANPD thực thi.

Tuân thủ cho chatbot AI tại Hoa Kỳ: CCPA, TCPA và công bố bot

Thông tin chung, không phải tư vấn pháp lý. Việc một luật nào trong số này có áp dụng cho bạn hay không phụ thuộc vào doanh thu, số lượng hồ sơ, lĩnh vực và loại dữ liệu của bạn — hãy hỏi luật sư.

Các con số được công bố về luật quyền riêng tư cấp tiểu bang ở Mỹ khác nhau tùy cách đếm: khoảng 20 luật đang có hiệu lực và 24 luật đã được ban hành tính đến tháng 9/2026.

CCPA của California, được sửa đổi bởi CPRA, áp dụng cho doanh nghiệp vì lợi nhuận có hoạt động kinh doanh tại California, thu thập thông tin cá nhân của cư dân bang này và vượt một trong ba ngưỡng: tổng doanh thu hằng năm toàn cầu trên 26.625.000 USD (con số có hiệu lực từ ngày 1/1/2025); mua, bán hoặc chia sẻ thông tin cá nhân của từ 100.000 người tiêu dùng hoặc hộ gia đình California trở lên; hoặc từ 50% doanh thu trở lên đến từ việc bán hoặc chia sẻ thông tin cá nhân. California trao sáu quyền: được biết, được xóa, được sửa, được từ chối việc bán và chia sẻ, được giới hạn việc sử dụng thông tin cá nhân nhạy cảm, và không bị phân biệt đối xử. Các bang khác có chung một lõi — một thông báo quyền riêng tư và quyền từ chối đối với quảng cáo nhắm mục tiêu, việc bán dữ liệu và một số hoạt động lập hồ sơ — và phần lớn còn thêm yêu cầu đồng ý chủ động (opt-in) với dữ liệu nhạy cảm, thứ mà chat dạng văn bản tự do không thể phân loại trước.

Hợp đồng mới là cơ chế sắc bén nhất: theo quy định hướng dẫn CCPA (§7051(c)), một nhà cung cấp không có hợp đồng nhà cung cấp dịch vụ đạt chuẩn thì không phải là service provider, và việc tiết lộ thông tin cá nhân cho họ có thể bị coi là bán hoặc chia sẻ dữ liệu. Khoảng một chục bang còn yêu cầu tôn trọng tín hiệu từ chối phổ quát (universal opt-out) trên trang web đặt widget của bạn, chứ không phải trên WhatsApp, Instagram hay Telegram; Global Privacy Control được công nhận ở California, Colorado và Connecticut, và danh sách này còn thay đổi, nên hãy kiểm tra lại.

Các quy định theo lĩnh vực nằm chồng lên trên: HIPAA khi khách hàng của bạn là một covered entity (đơn vị thuộc phạm vi điều chỉnh) và cuộc trò chuyện có mang dữ liệu sức khỏe — Meta và Telegram không ký business associate agreement (thỏa thuận đối tác kinh doanh) cho nhắn tin doanh nghiệp thông thường, nên thông tin sức khỏe được bảo vệ không thể đi qua các kênh đó — cộng thêm GLBA Safeguards Rule cho các công ty tài chính phi ngân hàng và COPPA cho dữ liệu của trẻ dưới 13 tuổi. Theo Mục 5 của FTC Act, những tuyên bố về quyền riêng tư và bảo mật mà bạn công bố phải đúng sự thật.

Tiếp thị gửi đi lại là chuyện riêng. TCPA yêu cầu có sự đồng ý rõ ràng bằng văn bản trước khi gọi hoặc nhắn tin tiếp thị tới số di động ở Mỹ bằng thiết bị quay số tự động hoặc giọng nói ghi âm sẵn, và mức bồi thường theo luật là 500 USD cho mỗi cuộc gọi hoặc tin nhắn vi phạm, lên tới 1.500 USD với vi phạm cố ý hoặc biết rõ, thường tính trên từng tin nhắn. Việc rút lại đồng ý có thể đến bằng bất kỳ cách hợp lý nào và phải được tôn trọng trong vòng 10 ngày làm việc. Việc TCPA có vươn tới tin nhắn WhatsApp đi qua internet hay không vẫn chưa ngã ngũ, nên hãy coi opt-in bằng văn bản là mức nền thận trọng chứ không phải một quy tắc đã chốt; dù sao thì Chính sách Nhắn tin Doanh nghiệp WhatsApp của Meta cũng đã yêu cầu opt-in.

Công bố bot cũng là chuyện cấp tiểu bang. Luật về chatbot của Maine (10 M.R.S. §1500-DD), có hiệu lực từ ngày 24/9/2025, là luật rộng nhất và chạm tới cả bot bán hàng và hỗ trợ thông thường; Utah yêu cầu công bố khi người tiêu dùng hỏi, và chủ động công bố trong các tương tác rủi ro cao như khi thu thập dữ liệu sức khỏe hoặc tài chính. B.O.T. Act của California hẹp hơn: phải có ý định đánh lừa, áp dụng cho nền tảng công khai có từ 10 triệu khách truy cập Mỹ riêng biệt mỗi tháng trở lên, và công bố rõ ràng là điều kiện miễn trừ an toàn (safe harbour).

Bước 1: Lập bản đồ dữ liệu cá nhân chatbot thu thập và đường đi của chúng

Lập bản đồ dữ liệu nghĩa là liệt kê từng mẩu dữ liệu cá nhân mà bot chạm vào, nó được lưu ở đâu và ai nhận được nó. Với mỗi kênh, hãy ghi lại:

Khách gửi gì: tên, số điện thoại, email, địa chỉ, chi tiết đơn hàng, ảnh và tin nhắn thoại.
Bạn lưu gì: lịch sử hội thoại, hồ sơ liên hệ và log prompt của AI.
Cái gì nối các hệ thống lại: access token của kênh, API key của nhà cung cấp AI và webhook secret.
Dữ liệu đi đâu: nền tảng nhắn tin, nhà cung cấp hộp thư, nhà cung cấp mô hình AI và mọi công cụ CRM hay thanh toán.

Hãy ghi cả thời hạn lưu trữ của từng nhà cung cấp. Meta cho biết họ đóng vai trò bên xử lý dữ liệu với WhatsApp Cloud API và giữ tin nhắn Cloud API tối đa 30 ngày (tài liệu dành cho nhà phát triển của Meta). Xem thêm bài so sánh Cloud API và Business App của chúng tôi.

Bước 2: Chọn căn cứ pháp lý và thu thập sự đồng ý khi cần

Điều 6 GDPR liệt kê các căn cứ pháp lý để xử lý dữ liệu. Hãy chọn một căn cứ cho mỗi mục đích, không phải cho mỗi công cụ:

Trả lời câu hỏi về đơn hàng hoặc hỗ trợ là một mục đích.
Tin nhắn quảng bá và tin nhắn chăm sóc lại là một mục đích khác; hãy kiểm tra xem chúng có cần sự đồng ý riêng không.
Dùng lại hội thoại để cải thiện AI của bạn lại là một mục đích nữa; đừng lặng lẽ gộp nó vào.

Hãy viết căn cứ pháp lý ngay cạnh từng mục đích trong bản đồ dữ liệu và lưu bằng chứng cho mọi sự đồng ý.

Bước 3: Nói cho người dùng biết họ đang nói chuyện với AI (Điều 50 EU AI Act)

Theo Điều 50(1) của EU AI Act, một hệ thống AI tương tác với con người phải cho họ biết họ đang làm việc với AI, một cách rõ ràng và ngay từ lần tương tác đầu tiên, trừ khi điều đó đã quá hiển nhiên. Nghĩa vụ này áp dụng từ ngày 2/8/2026, với mức phạt lên tới 15 triệu EUR hoặc 3% doanh thu toàn cầu, theo phần FAQ về Điều 50 của Ủy ban châu Âu. Digital Omnibus về AI, có hiệu lực từ ngày 27/7/2026, không hoãn nghĩa vụ này. Hãy hỏi luật sư xem nghĩa vụ áp dụng thế nào với mô hình của bạn, và kiểm tra xem công cụ chatbot của bạn có hiển thị lời công bố đó không.

Đặt một dòng công bố trong câu trả lời đầu tiên của bot ở mọi cuộc trò chuyện, kiểu "Xin chào, tôi là trợ lý AI của [Thương hiệu]."
Gắn liên kết tới một thông báo về quyền riêng tư cung cấp đủ những thông tin mà Điều 13 GDPR yêu cầu khi bạn thu thập dữ liệu trực tiếp từ người dùng.
Một số tiểu bang ở Mỹ cũng đòi hỏi điều tương tự: Maine từ ngày 24/9/2025, và Utah khi người tiêu dùng hỏi hoặc trong một tương tác rủi ro cao.

Bước 4: Giảm tối đa dữ liệu mà bot thu thập, lưu trữ và gửi cho mô hình AI

Tối thiểu hóa dữ liệu nghĩa là chỉ thu thập đúng những gì công việc cần. Càng ít dữ liệu thì càng ít thứ phải bảo vệ, phải xóa và phải báo cáo.

Đừng hỏi số giấy tờ tùy thân hay ngày sinh chỉ để trả lời câu hỏi về giao hàng hay giờ mở cửa.
Dặn khách đừng bao giờ gửi số thẻ hay mật khẩu qua chat, và để bot từ chối nhận chúng.
Chỉ gửi cho mô hình AI đúng phần ngữ cảnh nó cần, không phải nguyên hồ sơ khách hàng.
Đọc kỹ điều khoản của nhà cung cấp AI về việc dữ liệu qua API có được dùng để huấn luyện hay không.
Luôn có phương án chuyển cho nhân viên thật cho khiếu nại, hoàn tiền hay bất kỳ quyết định nào ảnh hưởng thật sự tới khách hàng.

Bước 5: Mã hóa thông tin xác thực, token và PII của khách khi truyền tải và khi lưu trữ

Điều 32(1)(a) GDPR nêu tên biện pháp giả danh hóa (pseudonymisation) và mã hóa như các biện pháp bảo mật. Theo Điều 34(3)(a) GDPR, bạn không phải thông báo cho cá nhân nếu mã hóa đã khiến dữ liệu bị lộ trở nên không thể hiểu được. Bạn vẫn có thể phải thông báo cho cơ quan quản lý theo Điều 33.

Dùng HTTPS/TLS cho mọi lệnh gọi API và mọi webhook.
Mã hóa access token của kênh, API key của AI và webhook secret ở tầng ứng dụng, với khóa để tách khỏi cơ sở dữ liệu, sao cho một bản dump cơ sở dữ liệu bị rò rỉ không đồng nghĩa với việc trao luôn tài khoản WhatsApp hay Instagram của bạn.
Mã hóa các trường liên hệ rủi ro cao như số điện thoại và địa chỉ.

Hãy nhớ giới hạn của nó: một máy chủ viết câu trả lời bằng AI buộc phải đọc được nội dung tin nhắn, nên Bước 6 và Bước 7 quan trọng ngang chuyện mã hóa.

Bước 6: Phân quyền theo vai trò và giữ nhật ký kiểm toán

Kiểm soát truy cập theo vai trò (RBAC) chỉ cho mỗi người đúng những quyền mà công việc của họ cần:

Nhân viên tuyến đầu được xem hội thoại và danh bạ, chứ không phải thanh toán, cài đặt AI hay API key.
Người dùng chỉ đọc chỉ thấy đúng phần họ cần và không sửa được gì.
Thu hồi quyền ngay trong ngày một người nghỉ việc, và xoay vòng mọi khóa mà họ có thể đã nhìn thấy.
Ghi log ai đã thay đổi các thiết lập nhạy cảm.

Quy tắc 6 của DPDP Ấn Độ liệt kê việc giữ log trong một năm nằm trong nhóm biện pháp bảo mật. Hãy hỏi từng nhà cung cấp trong hệ thống của bạn xem họ áp dụng những cơ chế kiểm soát truy cập nào với nhân viên và việc truy cập được ghi nhận ra sao, rồi lưu các câu trả lời đó cùng bản đồ dữ liệu.

Bước 7: Đặt thời hạn lưu trữ và xử lý yêu cầu xóa, yêu cầu truy cập

Điều 17 GDPR trao cho con người quyền được xóa dữ liệu, nên bạn cần một cách để tìm và gỡ dữ liệu của một người ra khỏi mọi hệ thống.

Định nghĩa thời hạn lưu cho từng loại dữ liệu, chẳng hạn hội thoại đang mở, hội thoại đã đóng và danh bạ marketing.
Xóa hoặc ẩn danh dữ liệu khi hết thời hạn đó; tự động hóa việc này là một thực hành tốt.
Dựng một quy trình xử lý yêu cầu: xác minh danh tính, tìm trong hộp thư, CRM, log AI và các file xuất, rồi xử lý và ghi lại.
Theo dõi hạn phản hồi trong từng luật bạn phải tuân thủ. Ở Ấn Độ, Data Fiduciary (bên có nghĩa vụ ủy thác dữ liệu) phải trả lời yêu cầu về quyền trong vòng 90 ngày khi các Quy tắc cốt lõi của DPDP bắt đầu áp dụng (khoảng tháng 5/2027). Ở California, yêu cầu đã được xác minh có 45 ngày, được gia hạn thêm một lần.

Nếu bạn kết nối Facebook hoặc Instagram, hãy kiểm tra xem nhà cung cấp hộp thư của bạn xử lý yêu cầu xóa dữ liệu của Meta ra sao.

Bước 8: Ký DPA với mọi bên xử lý và kiểm soát việc chuyển dữ liệu qua biên giới

Thỏa thuận xử lý dữ liệu (DPA) là hợp đồng ràng buộc mà Điều 28(3) GDPR yêu cầu giữa bạn và từng bên xử lý dữ liệu cá nhân thay bạn. Với một chatbot AI, nhóm đó thường gồm nền tảng hộp thư, nhà cung cấp mô hình AI và nhà cung cấp API nhắn tin. Hãy rà soát kỹ các nhà xử lý phụ, việc dùng dữ liệu để huấn luyện AI, việc xóa dữ liệu khi hợp đồng kết thúc và tốc độ mà nhà cung cấp phải báo sự cố cho bạn. Ở Mỹ, cùng ý tưởng đó được biến thành một điều kiện — xem quy tắc về nhà cung cấp dịch vụ tại §7051(c) CCPA ở trên.

Việc chuyển dữ liệu cũng cần được lưu ý. Từ khi Thổ Nhĩ Kỳ có Luật 7499, việc chuyển dữ liệu ra nước ngoài cần một quyết định công nhận mức bảo vệ tương xứng, các biện pháp bảo đảm phù hợp như hợp đồng mẫu của Hội đồng, hoặc một ngoại lệ hẹp. Hội đồng chưa công bố danh sách công nhận tương xứng nào, còn các ngoại lệ chỉ bao trùm những lần chuyển dữ liệu lẻ tẻ, không lặp lại, nên chúng không gánh nổi một luồng chatbot chạy liên tục: hãy tính đến hợp đồng mẫu của Hội đồng, và kiểm tra các bước thông báo mà hợp đồng đó yêu cầu. Đặt hạ tầng bên ngoài Ả Rập Xê Út không đưa bạn ra khỏi phạm vi của PDPL Ả Rập Xê Út nếu bạn xử lý dữ liệu về người đang ở đó, và việc chuyển dữ liệu ra khỏi Ả Rập Xê Út cần một mục đích được phép cộng với mức bảo vệ tương xứng hoặc một biện pháp bảo đảm kèm đánh giá rủi ro được lập thành văn bản. Brazil yêu cầu dùng nguyên văn điều khoản mẫu của ANPD. Hãy hỏi nhà cung cấp mô hình AI của bạn xem khi chuyển dữ liệu họ dựa vào cơ chế bảo đảm nào, và xác nhận với luật sư rằng cơ chế đó đáp ứng từng luật bạn phải tuân thủ.

Bước 9: Chuẩn bị kế hoạch ứng phó sự cố theo hạn của từng nơi

Kế hoạch ứng phó sự cố là một cẩm nang ngắn nói rõ ai làm gì trong 72 giờ đầu, vì phần lớn thời hạn được tính từ thời điểm bạn biết về sự cố.

Chỉ định một người chịu trách nhiệm chính và một người dự phòng.
Liệt kê từng cơ quan quản lý và từng mốc hạn bạn phải đáp ứng (xem bảng bên dưới).
Soạn sẵn mẫu thông báo cho khách hàng bằng mọi ngôn ngữ bạn hỗ trợ, gồm cả tiếng Ả Rập và tiếng Kurd.
Ghi lại cách thu hồi và xoay vòng nhanh access token của kênh, API key của AI và webhook secret.

Bước 10: Rà soát checklist bảo vệ dữ liệu cá nhân chatbot AI theo lịch cố định

Ngay bây giờ: xác nhận bạn đã sẵn sàng cho hạn tuân thủ của Ai Cập vào khoảng đầu tháng 11/2026.
Hằng quý: rà lại quyền của đội, các kênh đã kết nối và các API key đang hoạt động.
Sáu tháng một lần: chạy thử một yêu cầu xóa dữ liệu và một buổi diễn tập sự cố.
Mỗi khi có thay đổi: cập nhật bản đồ dữ liệu và danh sách nhà cung cấp khi bạn thêm kênh, thêm mô hình AI hay thêm nhà cung cấp, và chạy một vòng sàng lọc rủi ro về quyền riêng tư cho mọi cách dùng AI mới.
Hằng năm: rà soát lại từng nước, đặc biệt là Quy định Thi hành của UAE, giai đoạn áp dụng từ khoảng tháng 5/2027 của Ấn Độ và dự luật của Iraq.

Tra nhanh theo quốc gia: hiện trạng và hạn báo cáo sự cố (tháng 9/2026)

Nơi áp dụng	Luật chính	Hiện trạng (tháng 9/2026)	Hạn báo cho cơ quan quản lý
EU/EEA	GDPR + Điều 50 AI Act	Đang có hiệu lực	72 giờ (Điều 33 GDPR)
Hoa Kỳ (liên bang)	Không có luật quyền riêng tư chung; Mục 5 FTC Act, TCPA, quy định theo lĩnh vực	Không có luật chung; quy định theo lĩnh vực đang có hiệu lực	Không có nghĩa vụ liên bang chung; chỉ có quy định theo lĩnh vực (HIPAA: báo cho cá nhân trong vòng 60 ngày kể từ khi phát hiện, báo cho HHS trong vòng 60 ngày với sự cố ảnh hưởng từ 500 cá nhân trở lên và trong các trường hợp khác là trong vòng 60 ngày kể từ khi kết thúc năm dương lịch; GLBA Safeguards Rule: báo cho FTC trong vòng 30 ngày kể từ khi phát hiện sự việc liên quan tới thông tin khách hàng không được mã hóa của từ 500 người tiêu dùng trở lên)
California (CCPA/CPRA)	Cal. Civ. Code §1798.100 và các điều tiếp theo	Đang có hiệu lực; quy định của CPPA có hiệu lực từ ngày 1/1/2026	CCPA không quy định; đạo luật riêng §1798.82 (được sửa bởi SB 446, hiệu lực từ ngày 1/1/2026) cho 30 ngày theo lịch kể từ khi phát hiện để báo cho cư dân bị ảnh hưởng, cộng thêm báo cho Tổng chưởng lý California trong vòng 15 ngày kể từ khi báo cho người tiêu dùng nếu có hơn 500 cư dân California bị ảnh hưởng. Hạn khác nhau theo từng bang
Ả Rập Xê Út	PDPL (M/19, sửa đổi bởi M/148)	Thực thi từ ngày 14/9/2024	72 giờ tới SDAIA (Điều 24 Quy định Thi hành)
UAE (liên bang)	Sắc lệnh Liên bang số 45 năm 2021	Đang có hiệu lực; Quy định Thi hành chưa ban hành	"Ngay lập tức"; không nêu số giờ
DIFC	Luật DIFC số 5 năm 2020	Đang có hiệu lực; sửa đổi năm 2022 và 2025	Sớm nhất có thể trong thực tế (Điều 41); không có quy tắc 72 giờ
ADGM	Quy định Bảo vệ Dữ liệu 2021	Đang có hiệu lực và được thực thi	Không chậm trễ quá mức, nếu khả thi thì trong 72 giờ
Qatar	Luật số 13 năm 2016 (PDPPL)	Đang có hiệu lực; NCSA đã ban hành hướng dẫn	Luật không quy định; hướng dẫn của NCSA kỳ vọng 72 giờ
Bahrain	Luật số 30 năm 2018	Đang có hiệu lực; PDPA hoạt động từ năm 2022	72 giờ kể từ khi phát hiện, tới PDPA
Kuwait	Quy định của CITRA, sửa đổi năm 2024	Chỉ ràng buộc các nhà cung cấp được CITRA cấp phép	24 giờ, chỉ với bên được cấp phép
Oman	Sắc lệnh Hoàng gia số 6/2022	Có hiệu lực thi hành đầy đủ từ ngày 5/2/2026	72 giờ tới MTCIT
Jordan	Luật số 24 năm 2023	Thời gian ân hạn kết thúc ngày 17/3/2025	72 giờ; báo cho chủ thể dữ liệu trong vòng 24 giờ
Ai Cập	Luật 151/2020	Thời hạn tuân thủ kết thúc khoảng đầu tháng 11/2026	72 giờ tới PDPC
Ma-rốc	Luật số 09-08	Đang có hiệu lực; cơ chế khai báo	Không có: Luật số 09-08 không đặt nghĩa vụ báo sự cố chung
Thổ Nhĩ Kỳ	KVKK (Luật số 6698)	Đang có hiệu lực, sửa đổi tháng 6/2024	72 giờ tới Hội đồng KVKK
Ấn Độ	Đạo luật DPDP 2023	Phần lớn nghĩa vụ từ khoảng tháng 5/2027	Báo cáo chi tiết trong vòng 72 giờ (Quy tắc 7)
Brazil	LGPD	Đang có hiệu lực, chế tài từ tháng 8/2021	3 ngày làm việc tới ANPD, gấp đôi với bên xử lý quy mô nhỏ
Iraq	Chưa có luật toàn diện cho khu vực tư nhân	Đã có dự luật	Không có nghĩa vụ luật định; hãy xác nhận với luật sư địa phương
Vùng Kurdistan	Chưa có luật toàn diện; Luật số 6 năm 2008	—	Không có nghĩa vụ luật định; hãy xác nhận với luật sư địa phương

Iraq và Vùng Kurdistan: theo DataGuidance, quyền riêng tư ở Iraq dựa trên Hiến pháp năm 2005 chứ không phải một đạo luật riêng. Văn bản gần nhất của Vùng Kurdistan là Luật số 6 năm 2008 về việc lạm dụng thiết bị viễn thông.

Raabt hỗ trợ công việc tuân thủ của bạn ở Ả Rập Xê Út, vùng Vịnh và xa hơn nữa

Đây là bản đối chiếu tính năng, không phải một chứng nhận tuân thủ. Không công cụ nào tự nó khiến bạn tuân thủ: căn cứ pháp lý, các thông báo, thời hạn lưu trữ và hợp đồng của bạn mới quyết định điều đó. Việc mà một nền tảng làm được là trao cho bạn những cơ chế kiểm soát mà từng luật kỳ vọng bạn phải có.

Luật đòi hỏi điều gì	Raabt cho bạn những gì hôm nay	Phần vẫn là việc của bạn
Biện pháp bảo mật (Điều 32 GDPR, PDPL Ả Rập Xê Út, Bahrain, Oman, Jordan, KVKK)	Access token của kênh, API key của nhà cung cấp AI, webhook secret và số điện thoại, email, địa chỉ giao hàng của khách được mã hóa bằng AES-256-GCM; mật khẩu băm bằng Argon2id; mã dùng một lần chỉ lưu dưới dạng băm HMAC-SHA256	Thời hạn lưu trữ, mã hóa thiết bị, và độ an toàn của mọi thứ bạn xuất ra ngoài
Kiểm soát truy cập và nguyên tắc quyền tối thiểu	Bốn vai trò (owner, admin, agent, viewer) với quyền theo từng mục, quyền thanh toán chỉ dành cho owner, một mã email dùng một lần khi đăng nhập bằng mật khẩu, và thu hồi phiên khi đăng xuất	Rà lại ai đang có quyền và gỡ quyền của người nghỉ việc ngay trong ngày
Nói cho người dùng biết họ đang nói chuyện với AI (Điều 50 EU AI Act, Maine, Utah)	Cài đặt AI là một mục có phân quyền, nên chỉ những vai trò bạn chọn mới thay đổi được cách bot trả lời	Viết dòng công bố đó, đưa nó vào tin nhắn đầu tiên của bot, và kiểm tra nó hiện ra trên mọi kênh
Giữ dữ liệu của từng khách hàng tách biệt	Các endpoint của doanh nghiệp xác nhận người gọi là thành viên đang hoạt động của doanh nghiệp đó trước khi trả về bất cứ thứ gì	Chọn ai được mời vào workspace của bạn
Yêu cầu xóa dữ liệu (Điều 17 GDPR và các quy định tương đương)	Callback xóa dữ liệu của Meta kèm mã xác nhận và liên kết tra trạng thái trên trang xóa dữ liệu; xóa tài khoản cần mật khẩu cộng một mã gửi qua email, sau đó tài khoản bị vô hiệu hóa và email bị ẩn danh	Yêu cầu xóa dữ liệu của từng khách hàng cụ thể, cùng chính sách lưu trữ và xóa dữ liệu của chính bạn
Tích hợp đã xác minh, có kiểm tra giả mạo	Webhook của Meta bị từ chối nếu thiếu chữ ký X-Hub-Signature-256 hợp lệ, webhook Telegram bắt buộc có secret token, và tệp đính kèm chỉ được phục vụ qua liên kết ký HMAC có hạn sử dụng	Xoay vòng access token của kênh và API key khi nhân viên nghỉ việc
Ứng phó sự cố (72 giờ ở EU, Ả Rập Xê Út, Bahrain, Oman, Jordan và Thổ Nhĩ Kỳ; 24 giờ với bên được cấp phép ở Kuwait; quy định theo từng bang ở Mỹ)	Thao tác của chính nhân sự vận hành nền tảng Raabt được ghi vào nhật ký chỉ-thêm (ai, làm gì, khi nào, IP) với thông tin bí mật đã được che	Cẩm nang ứng phó, thông báo cho cơ quan quản lý và thông báo cho khách hàng của bạn
Gửi dữ liệu ra nước ngoài	API key của nhà cung cấp AI và file JSON tài khoản dịch vụ được mã hóa ở tầng ứng dụng (AES-256-GCM)	Chọn nhà cung cấp AI nào xử lý văn bản của bạn, đánh giá việc chuyển dữ liệu, hợp đồng mẫu và mọi thủ tục khai báo tại địa phương

Raabt hiện làm gì để bảo vệ dữ liệu doanh nghiệp

Không công cụ nào khiến bạn tuân thủ; kết quả phụ thuộc vào cách bạn cấu hình và sử dụng nó. Nếu bạn chạy chatbot AI của mình trên Raabt, những biện pháp sau đang có sẵn hôm nay:

Thông tin xác thực và một số thông tin liên hệ được mã hóa: access token của kênh (Facebook, Instagram, WhatsApp, Telegram), API key của nhà cung cấp AI, webhook secret và số điện thoại, email, địa chỉ giao hàng của khách được mã hóa ở tầng ứng dụng bằng AES-256-GCM.
Mật khẩu và mã đăng nhập: mật khẩu được băm bằng Argon2id. Đăng nhập bằng email và mật khẩu đòi thêm một mã dùng một lần gửi qua email trước khi phiên bắt đầu; đăng nhập bằng Google không dùng mã này.
Phân quyền đội theo vai trò: bốn vai trò (owner, admin, agent, viewer) với quyền theo từng mục; quyền thanh toán không ủy nhiệm được cho người không phải owner.
Cô lập giữa các doanh nghiệp: các endpoint của doanh nghiệp xác nhận người gọi là thành viên đang hoạt động của doanh nghiệp đó, nếu không thì trả về "not found".
Webhook đã xác minh: webhook của Meta thiếu chữ ký X-Hub-Signature-256 hợp lệ sẽ bị từ chối, còn webhook Telegram bắt buộc có secret token.
Thu hồi phiên đăng nhập: đăng xuất sẽ thu hồi phiên qua một danh sách chặn được kiểm tra ở mọi yêu cầu đã xác thực.
Yêu cầu xóa dữ liệu từ Meta: Raabt hỗ trợ callback xóa dữ liệu của Meta, kèm liên kết tra trạng thái trên trang xóa dữ liệu.
Xóa tài khoản: cần mật khẩu cộng một mã dùng một lần gửi qua email. Tài khoản bị vô hiệu hóa ngay lập tức và email bị ẩn danh, nhưng việc này không xóa dữ liệu hội thoại hay dữ liệu liên hệ.

Một giới hạn cần tính trước: hội thoại không được mã hóa đầu cuối, vì máy chủ của Raabt phải đọc tin nhắn mới tạo được câu trả lời bằng AI. Máy chủ đã soạn câu trả lời thì buộc phải đọc tin nhắn trước.

Hãy tính chuyện thời hạn lưu, phân quyền và thông báo cho khách hàng dựa trên thực tế đó, và xem chính sách quyền riêng tư của chúng tôi.

Câu hỏi thường gặp

Thông tin chung, không phải tư vấn pháp lý.

Chatbot AI của tôi có tuân thủ GDPR không?

Chỉ một cuộc rà soát chính hệ thống của bạn mới trả lời được. Hãy kiểm tra căn cứ pháp lý cho từng mục đích, một thông báo quyền riêng tư rõ ràng, một DPA với mọi bên xử lý, các biện pháp bảo mật phù hợp như mã hóa, và quy trình xóa dữ liệu chạy được thật.

Chatbot AI có phải báo cho khách hàng biết họ đang nói chuyện với AI không?

Ở EU thì nhìn chung là có. Từ ngày 2/8/2026, Điều 50(1) của AI Act yêu cầu các hệ thống AI tương tác với con người phải nói rõ điều đó ngay từ lần tương tác đầu tiên, trừ khi nó đã quá hiển nhiên. Ở Mỹ, Maine yêu cầu thông báo khi một chatbot thương mại có thể khiến người tiêu dùng lầm tưởng họ đang nói chuyện với người thật; Utah yêu cầu công bố khi người tiêu dùng hỏi, và chủ động công bố trong các tương tác rủi ro cao như khi thu thập dữ liệu sức khỏe hoặc tài chính.

EU AI Act có áp dụng cho chatbot chăm sóc khách hàng không?

Có, qua các nghĩa vụ minh bạch tại Điều 50 dành cho hệ thống AI tương tác với con người. Digital Omnibus đã dời hạn cho nhóm rủi ro cao độc lập (Phụ lục III) sang ngày 2/12/2027 và hạn của Phụ lục I sang ngày 2/8/2028. Hãy hỏi luật sư xem trường hợp của bạn có thuộc nhóm rủi ro cao không.

Luật quyền riêng tư của Mỹ có áp dụng cho chatbot WhatsApp hay Instagram của tôi không?

Thường là có — theo từng bang chứ không qua một luật liên bang duy nhất. Nội dung hội thoại gắn với một số điện thoại hay một tài khoản Instagram là thông tin cá nhân theo các luật đó, và nghĩa vụ công bố bot cộng với yêu cầu đồng ý theo TCPA cho tiếp thị gửi đi nằm chồng lên trên. Xem phần về Hoa Kỳ ở trên để biết các ngưỡng và câu hỏi còn bỏ ngỏ về TCPA.

Tôi có cần DPA với nhà cung cấp chatbot không?

Theo GDPR thì có, nếu nhà cung cấp xử lý dữ liệu cá nhân thay bạn, vì Điều 28(3) yêu cầu một hợp đồng ràng buộc với từng bên xử lý. Hãy soi các nhà xử lý phụ, điều khoản huấn luyện AI và việc xóa dữ liệu khi hợp đồng kết thúc.

Theo GDPR, hội thoại với chatbot được lưu bao lâu?

Không có một con số duy nhất để chép lại. Cách làm phổ biến là chỉ giữ hội thoại đúng khoảng thời gian mà mục đích bạn đã công bố cần tới, nói rõ khoảng đó cho khách trong thông báo quyền riêng tư, rồi xóa hoặc ẩn danh dữ liệu sau đó. Hãy xác nhận khoảng thời gian này với luật sư.

Iraq có luật bảo vệ dữ liệu không?

Chưa có luật toàn diện cho khu vực tư nhân, dù đã có dự luật. Điều 17 của Hiến pháp năm 2005 bảo vệ đời tư cá nhân và Điều 40 bảo vệ thông tin liên lạc. Vùng Kurdistan cũng chưa có luật toàn diện, nên lấy chuẩn thực hành ngang GDPR là mức nền hợp lý cho lúc này.

Sẵn sàng chạy trả lời tự động bằng AI với thông tin xác thực kênh được mã hóa và phân quyền đội theo vai trò? Bắt đầu miễn phí.