越南公安部近日提示企业，在把客户名单、员工档案、内部文件或合同信息输入人工智能工具时，若缺乏管控，可能同时触及个人数据保护、商业秘密与知识产权等法律义务。这一提示以2025年颁布的个人数据保护法第91/2025/QH15号为背景，该法对数据处理的同意条件、使用目的和保存期限作出规定。

该法第9条规定，数据主体的同意须出于自愿，且须让当事人明确知晓被处理的数据类型、处理目的以及数据控制方或控制与处理方；同意必须清晰、具体，并针对每一项处理目的分别取得。第7条第4款则将“违反法律规定处理个人数据”列为禁止行为。公安部据此指出，企业在招聘、用工管理中使用个人信息时，只能要求与合法招聘目的相适应的信息，并须依规处理。

公安部列举的常见违规情形包括：收集过多员工信息却未明确目的；继续保存未被录用者的档案；在未满足法律条件时使用客户电话号码做广告；把客户名单交给合作方用于不适格目的；或让员工擅自把客户数据复制出系统。该法对劳动者数据另有规定：数据须按法律或协议约定的期限保存，劳动合同终止时应予删除或销毁，除非法律或协议另有规定。

在人工智能方面，该法要求在大数据、人工智能、区块链、虚拟宇宙和云计算环境中处理个人数据必须守法，系统须内置保密、认证和访问权限控制措施。公安部提醒，员工把客户名单交给AI工具分析、用应聘者档案生成招聘内容、把含合作方信息的合同上传网络平台，或用客户图像和个人数据制作广告内容而未核查法律依据，都可能直接牵涉个人数据保护、商业秘密和知识产权义务。

公安部还援引人工智能法第29条第2款指出，高风险AI系统即使按规定管理、运行和使用，若仍造成损害，部署方须向受损者承担赔偿责任。该部门建议企业发布内部AI使用规定，明确哪些数据可进入AI系统、哪些数据绝对不得上传外部平台、哪些人员有权使用、数据用于何种目的，以及AI生成结果在使用前如何核查。

公安部强调，数据收集与使用须符合目的和范围，这已不只是信息技术部门的事务，而是企业的治理与守法责任。企业不应简单认为“数据存在本企业系统内就可全权使用”，而应梳理从收集、存储、使用、共享到删除销毁的全流程，编制所收集个人数据的类别清单，明确处理目的、可接触人员、保存期限，并管控共享行为、在符合条件时删除销毁。