Về việc AI Trung Quốc vẫn phải đi vòng qua Mỹ

Ghi chú trước khi đọc: bài này xuất phát từ báo cáo Threat Intelligence tháng 9/2026 của Anthropic và các tài liệu công khai liên quan. Những cáo buộc về từng doanh nghiệp trong báo cáo là quan sát và quy kết của Anthropic, chưa phải phán quyết của tòa án. Tôi giữ nguyên ranh giới đó, bởi một bài viết về tính trung thực mà lại tùy tiện nuốt luôn lời của một bên thì hơi kỳ.

1. Một bản báo cáo tuy không phải là bản án, nhưng nó vẫn đáng để cân nhắc

Sáng qua tôi đọc báo cáo mới của Anthropic, bên ngoài Sài Gòn trời không có gì đặc biệt. Vẫn thứ nắng ui ui soi vào màn hình, vẫn có vẻ sắp mưa, vẫn mấy tab công việc mở dang dở, vẫn cảm giác công nghệ đang chạy nhanh hơn tốc độ một người bình thường kịp hiểu nó đang làm cái gì. Đó là một bản báo cáo dày 154 trang, tên khá thẳng thắng: Detecting and countering misuse of AI. Phần làm tôi dừng lại lâu nhất chả phải chuyện malware, vũ khí hay các chiến dịch ảnh hưởng thông tin. Những chuyện đó, nói cho công bằng, đã nằm trong dự báo của bất kỳ ai làm công nghệ đủ lâu. Điều đáng ngẫm ở đây là phần Anthropic gọi là “illicit distillation”: tức là các đường vòng để đưa lời nhắn của người dùng, hoặc những chuỗi trao đổi với mô hình AI tại Mỹ rồi quay trở lại làm nguyên liệu cho mô hình khác.

Anthropic nói họ phát hiện nhiều phòng lab tại Trung Quốc dùng proxy, tài khoản gian lận và dịch vụ trung gian để khai thác năng lực từ các mô hình Mỹ. Báo cáo nêu đích danh DeepSeek, Zhipu/Z.ai, Xiaomi, SenseTime, MiniMax và Moonshot/Kimi trong những tình huống khác nhau. Với DeepSeek, Anthropic cho biết họ thấy hơn 12,1 triệu lượt trao đổi trong 14 ngày; với Zhipu là hơn 3,4 triệu lượt trong 17 ngày. Với Xiaomi, cáo buộc nặng nề hơn ở chỗ Anthropic nói các cuộc trò chuyện và phiên lập trình của người dùng MiMo đã bị lưu rồi phát lại qua Claude để tạo dữ liệu huấn luyện. Đây là những con số và mô tả một chiều từ phía Anthropic, nên phải gọi đúng tên chúng là cáo buộc kỹ thuật có chi tiết, chứ chưa thể thay chữ “bị cáo buộc” bằng chữ “đã bị kết án”. Báo cáo gốc của Anthropic cũng nói rõ những ca họ công bố là những trường hợp nổi bật và mới lạ, không phải mẫu đại diện cho toàn bộ người dùng hay toàn bộ ngành AI hiện tại.

Nhưng cũng không phải vì chưa có phán quyết mà chúng ta lại giả vờ như chẳng có gì để phải suy nghĩ tới. Trước khi Anthropic tung báo cáo hai ngày, NSA, FBI và CISA đã ra một cảnh báo chung về các chiến dịch distillation (hay còn gọi là chưng cất mô hình AI) ở quy mô công nghiệp nhắm vào các model AI tiên phong của Mỹ. Đây vẫn là cơ quan của Mỹ, không phải một cơ quan kiểm toán đứng giữa hai bờ Thái Bình Dương, nên nó không biến mọi chi tiết thành chân lý tuyệt đối. Dù vậy, nó làm bức tranh bớt giống một màn tố cáo đơn phương của một công ty đang bảo vệ tài sản trí tuệ. Cảnh báo này nhìn distillation như một cách hiệu quả nhằm rút ngắn chi phí về tính toán, điện năng, nghiên cứu nền tảng và thời gian cần để đuổi theo mô hình biên. Thông cáo của NSA dùng chính ngôn ngữ “industrial-scale”, và khuyến nghị các nhà cung cấp cloud, API, nền tảng trung gian phối hợp phát hiện thay vì để mỗi nơi tự bị lách một chút.

Ở chiều ngược lại, phía Trung Quốc đã phản bác. Bộ Thương mại Trung Quốc gọi các cáo buộc của Mỹ là vô căn cứ và xem chúng như một phần của nỗ lực độc quyền AI, và chúng ta đã quá quen thuộc với kiểu phản bác này từ Đại Lục. Và AP đưa tin về phản ứng này trong bối cảnh Washington và Bắc Kinh đang căng thẳng vì chip, cloud, mô hình và chuỗi cung ứng. Tôi nghĩ phải đặt phản ứng đó vào bài viết, không phải để làm mềm một kết luận đã có sẵn, mà vì đây vốn là một cuộc chiến có lợi ích thật ở cả hai phía. Mỹ muốn giữ lợi thế công nghệ; Trung Quốc muốn không bị khóa ở tầng hạ nguồn. Công ty Mỹ muốn bảo vệ mô hình và API; công ty Trung Quốc thì muốn có đường đi nhanh hơn trong một thị trường mà “nhanh” đồng nghĩa với sống còn. Khi cả chính sách quốc gia lẫn định giá doanh nghiệp đều chen chân vào, người đọc, người đứng giữa như chúng ta càng cần một cái đầu lạnh.

Điều tôi không muốn làm là biến bài này thành một bản tin kiểu “Trung Quốc ăn cắp AI của Mỹ”. Cách nói đó vừa lười biếng, thiển cận lại vừa che mất nhiều thứ quan trọng hơn đằng sau. Công nghệ ở hiện tại không chỉ là một món hàng để lấy hay không lấy. Nó là mạng lưới của chip, thiết bị làm chip, bộ nhớ băng thông cao, điện, cloud, thuật toán, dữ liệu, con người, vốn đầu tư, luật lệ và thị trường. Một mô hình có thể nói tiếng Việt rất hay, benchmark rất đẹp, phát hành mã nguồn rất rộng, mà vẫn phụ thuộc vào một tầng khác của thế giới. Cũng như một căn nhà ở Sài Gòn có thể tự sơn lại mặt tiền, tự đổi nội thất, nhưng nước, điện, đường vào nhà và quyền sở hữu mảnh đất thì lại khác, không thể xem như chuyện trang trí được.

Vì vậy, điều tôi đọc ra được từ báo cáo này không chỉ là một câu chuyện an ninh mạng. Nó là một lát cắt của câu hỏi khác: Trung Quốc đã tiến rất xa trong AI, nhưng liệu đã thật sự thoát khỏi hệ sinh thái công nghệ Mỹ chưa? Và nếu một công ty AI sẵn sàng hoặc bị cáo buộc đã sẵn sàng dùng chính cuộc trò chuyện của người dùng làm vật liệu cho đường tắt, thì chúng ta phải đánh giá lời hứa “bảo vệ dữ liệu” của họ bằng cái tiêu chuẩn nào bây giờ? Câu trả lời, theo tôi, không nằm ở quốc tịch của cái logo. Nó nằm ở kiến trúc quyền lực, thẩm quyền pháp lý, hợp đồng dữ liệu và mức độ một công ty chịu để cho người khác nhìn vào và có đáng tin cậy hay không.

2. “Không thoát khỏi Mỹ” hoàn toàn không có nghĩa là Trung Quốc bất lực

Câu “Trung Quốc vẫn không thể thoát Mỹ” nghe gọn và có chút khoái cảm của một câu kết quen thuộc của những người vốn thích Mỹ và không ưa gì Trung Quốc. Nhưng nó chỉ đúng nếu mình nói rõ chúng ta đang nói về tầng nào. Trung Quốc không hề là một quốc gia có nền công nghệ yếu kém. Họ có thị trường nội địa khổng lồ, đội ngũ kỹ sư đông đúc, năng lực triển khai sản phẩm rất nhanh, chuỗi phần cứng tiêu dùng thuộc loại đáng nể, và hơn nữa là một nhà nước có khả năng dồn vốn, dồn hạ tầng, dồn mục tiêu theo cách mà doanh nghiệp ở nhiều nước không thể bắt chước được. Suốt những năm qua, các mô hình Trung Quốc tiến bộ là sự thật, từ khả năng suy luận, code, đa phương thức đến giá thành tính toán. Nếu nhìn AI như một cuộc thi demo, một cuộc thi bảng điểm, hay một cuộc thi ai phát hành model nhiều hơn, họ không còn đứng ở hàng ghế sau đâu.

Nhưng AI biên không phải chỉ là một cuộc thi demo. Ở tầng thấp nhất là chip, và chip hiện đại không phải chỉ là miếng silicon. Nó cần thiết bị quang khắc, phần mềm thiết kế, vật liệu, cảm biến, đóng gói tiên tiến, HBM, firmware, hệ điều hành, mạng tốc độ cao, rồi một đội ngũ có kinh nghiệm vận hành hàng chục nghìn GPU mà không làm điện, nhiệt, mạng và tỷ lệ lỗi biến thành thảm họa. Nhiều mắt xích trong số đó mang dấu vết từ Mỹ, đồng minh của Mỹ, hoặc ít nhất là tiêu chuẩn do hệ sinh thái phương Tây định hình. Đó là lý do Washington không chỉ kiểm soát GPU hoàn chỉnh; họ còn mở rộng sang thiết bị sản xuất, phần mềm, bộ nhớ băng thông cao và các quy tắc áp dụng với hàng hóa làm ở nước thứ ba nhưng dùng công nghệ của Mỹ.

Đợt kiểm soát tháng 12/2024 của Bộ Thương mại Mỹ là một ví dụ khá rõ. BIS nói thẳng mục tiêu là làm suy giảm khả năng Trung Quốc sản xuất chip node tiên tiến phục vụ AI và quân sự; quy định bao trùm cả HBM, loại bộ nhớ rất quan trọng với huấn luyện lẫn suy luận AI ở quy mô lớn, cùng nhiều loại thiết bị làm chip và doanh nghiệp bị đưa vào Entity List. Thông cáo BIS có thể bị xem là văn bản theo lập trường an ninh quốc gia của Hoa Kỳ, và đúng là nó mang lập trường đó. Nhưng bản thân phạm vi của lệnh kiểm soát cho thấy Washington hiểu rõ điểm nghẽn không chỉ nằm ở một con chip đơn lẻ, mà hơn thế nữa nó nằm ở cả cái nhà máy vô hình làm ra khả năng tính toán đó.

Vậy báo cáo Anthropic có chứng minh cấm vận thành công không? Nó chứng minh một điều hẹp hơn, nhưng vẫn đáng kể: nếu các cáo buộc là đúng, ít nhất một số chủ thể Trung Quốc vẫn thấy năng lực của mô hình Mỹ đủ giá trị để tổ chức đường vòng, trả chi phí proxy, xoay tài khoản và chịu rủi ro bị cấm. Đó là một tín hiệu về nhu cầu. Nó không chứng minh được rằng Trung Quốc không thể tự làm mô hình AI, càng không chứng minh rằng mọi model Trung Quốc đều là bản sao chép. Có rất nhiều công việc nghiên cứu, tối ưu hóa, kỹ thuật hệ thống và sản phẩm do chính họ làm. Nhưng nhu cầu đi vòng cho thấy ở một vài năng lực, ở một vài thời điểm, khoảng cách đó vẫn có giá trị kinh tế.

Tôi hay nghĩ tới chuyện đi máy bay quá cảnh. Có những chuyến bay từ Sài Gòn đi rất xa, ngồi trên cái máy bay mới toanh, phi hành đoàn chuyên nghiệp, app đặt vé đẹp, hành lý ký gửi trơn tru. Nhưng nếu một cảng trung chuyển quyết định đóng cổng, giá vé, thời gian và rủi ro của cả hành trình đổi khác ngay. Đó là bởi vì bầu trời thương mại chưa bao giờ hoàn toàn thuộc về một hãng nào cả. Các frontier model Mỹ, các cloud lớn, các nhà thiết kế chip, các hãng thiết bị và các quy chuẩn xuất khẩu đang đóng vai một phần của cảng trung chuyển đó. Tự chủ không phải là chuyện có một chiếc máy bay. Tự chủ là có đủ đường bay, sân bay, bảo dưỡng, nhiên liệu, bảo hiểm và quyền hạ cánh mọi nơi khi thời tiết trở xấu.

Đây cũng là chỗ tôi không đồng ý với hai thái cực nhị phân thường thấy. Một bên tin rằng Mỹ chỉ cần cấm là Trung Quốc sẽ đứng yên. Bên kia tin rằng cứ có lệnh cấm là người Trung Quốc sẽ làm nhanh hơn và cuối cùng mọi rào cản đều vô nghĩa. Cả hai đều là cách biến một quá trình dài thành meme đơn giản. Cấm vận công nghệ hiếm khi bịt kín được hoàn toàn. Nó làm tăng chi phí, kéo dài thời gian, thay đổi hướng đầu tư, buộc người bị cấm phải ưu tiên những thứ trước đây không ưu tiên. Nó cũng tạo động lực cho buôn lậu, proxy, thiết kế lại sản phẩm, thay đổi route và phát minh. Hiệu quả của nó không nằm ở việc không còn một chiếc chip nào lọt qua Trung Quốc, mà ở việc khoảng cách công nghệ có bị kéo giãn, chi phí bắt kịp có bị đội lên, và các quyết định đầu tư có bị bẻ lái hay không.

Nếu nhìn như vậy, báo cáo Anthropic gợi ra một điều đầy thú vị. Càng siết các tầng chip, cloud và mô hình cao cấp, động lực lấy năng lực qua API càng mạnh. Nhưng càng đi qua API và proxy, dấu vết càng nhiều, dữ liệu càng phải chạy qua nhiều tay, và bài toán quyền riêng tư của người dùng càng xấu đi. Người dùng tưởng mình đang nói chuyện với một ứng dụng ở bản địa, có thể trong thực tế đang gửi prompt tới một tầng routing nào đó mà họ không hề hay biết. Từ cấm vận công nghệ, câu chuyện quay lại rất đời thường: ai đang đọc những gì mình gõ, dữ liệu đó nằm ở đâu, và người bán có nói thật với mình hay là không?

3. Cấm vận chắc chắn có hiệu lực, nhưng đừng thần thánh hóa nó

Tôi nghĩ lệnh cấm vận của Mỹ đang có hiệu lực, theo nghĩa họ vẫn giữ được quyền tạo ma sát cho cuộc đua AI ở tầng cao. Một lệnh hạn chế chip không làm mô hình Trung Quốc biến mất ngay sáng hôm sau. Nhưng nó có thể khiến một cụm huấn luyện phải dùng phần cứng kém thuận lợi hơn, tăng lượng điện cần cho cùng một thí nghiệm, làm lịch ra model mới bị trễ, làm nhà đầu tư phải bơm thêm vốn, và buộc đội kỹ thuật đổi cấu trúc mạng hay chiến lược huấn luyện. Trong ngành này, sáu tháng chậm không phải sáu tháng theo cuốn lịch. Nó có thể là một thế hệ model, một hợp đồng cloud đầy hứa hẹn, một lứa kỹ sư hoặc một cửa sổ thị trường bị người khác chiếm mất.

Lệnh cấm còn có tác dụng khác: nó buộc Trung Quốc tự nhìn rõ những phần mình chưa tự chủ. Đó có thể là điều khó chịu, nhưng không hoàn toàn tiêu cực với họ. Lịch sử phát triển công nghiệp cho thấy áp lực bên ngoài đôi khi biến thành chính sách thay thế nội địa, và chính sách đó tạo ra cả thị trường lẫn năng lực. Mỹ không nên tự huyễn rằng chỉ cần giữ chip là giữ được mãi năng lực AI. Mô hình có thể được làm thông minh hơn bằng thuật toán tiết kiệm dữ liệu, mô hình nhỏ hơn, lượng tử hóa, mixture-of-experts, kỹ thuật suy luận hiệu quả hơn, phần mềm hệ thống tốt hơn. Một đối thủ bị ép sẽ không chỉ ngồi chờ tới khi có đủ GPU; họ sẽ học cách dùng ít GPU hơn cho một số bài toán. Nói như vậy không phải để làm nhẹ tính hiệu lực của cấm vận, mà để tránh nhìn nó như cây đũa thần có hiệu quả tuyệt đối. BIS có thể kiểm soát xuất khẩu từ Mỹ và một phần hàng hóa nước ngoài chịu quy tắc công nghệ Mỹ. Nhưng thế giới còn có các reseller, thị trường xách tay, data center ở các nước thứ ba, các công ty vỏ bọc, thuê cloud qua trung gian, và những thiết bị cũ vẫn đủ hữu ích cho rất nhiều công việc. Chính báo cáo Anthropic mô tả một thị trường proxy phục vụ người dùng ở những khu vực không được hỗ trợ, đồng thời có thể lưu transcript để bán cho bên khác. Khi một bên đóng cửa chính, người ta tìm đến các cửa phụ. Vấn đề là cửa phụ thường không có người gác cổng nào đáng tin cậy.

Tôi không khoái cách nhiều người biến câu chuyện này thành cuộc thi đạo đức giữa hai quốc gia. Mỹ cấm vì lợi ích an ninh và lợi thế chiến lược của Mỹ; đồng thời họ cũng bảo vệ lợi ích kinh tế của hệ sinh thái Mỹ. Trung Quốc tìm tự chủ vì an ninh và lợi thế chiến lược của Trung Quốc; đồng thời các công ty ở đó cũng muốn tăng giá trị, gọi vốn và bán dịch vụ. Không bên nào hành động chỉ vì một lý tưởng sạch sẽ, tất nhiên là như vậy. Nhưng sự thật rằng các bên đều có lợi ích không làm cho mọi hành vi đều ngang bằng nhau. Đánh cắp bí mật thương mại, lừa người dùng về nơi dữ liệu đi qua đi lại, dùng account giả để lách điều khoản, hay bí mật bán transcript có tính nhạy cảm vẫn là những hành vi cần bị gọi tên, bất kể logo ở San Francisco, Hàng Châu hay Bắc Kinh.

Điều quan trọng là phân biệt giữa “distillation” như một kỹ thuật và “illicit distillation” như một cách hành xử. Distillation trong nghiên cứu máy học có thể là bình thường: một model lớn làm teacher, model nhỏ học từ output, trong phạm vi được cấp phép hoặc do chính một tổ chức sở hữu. Nếu gộp tất cả vào một chữ “ăn cắp”, chúng ta tự làm nghèo hiểu biết kỹ thuật của mình. Phần sai, nếu cáo buộc của Anthropic đúng, nằm ở việc né kiểm soát truy cập, dùng tài khoản gian lận, đưa dữ liệu người dùng qua một nhà cung cấp khác mà thiếu thông báo, hoặc mua lại transcript từ tầng trung gian. Đó không còn là tranh luận học thuật về phương pháp nén tri thức. Nó là câu chuyện về quyền sở hữu, sự đồng ý và trách nhiệm với dữ liệu của khách hàng.

Có một điểm tôi thấy đặc biệt đáng suy nghĩ cho Việt Nam. Chúng ta thường đứng ngoài, nhìn Mỹ và Trung Quốc giằng co rồi chọn công cụ nào rẻ, nhanh, nói tiếng Việt tốt. Lựa chọn đó dễ hiểu; doanh nghiệp nhỏ không có ngân sách để làm địa chính trị. Nhưng khi một công cụ AI được nhúng vào email, CRM, codebase, tài liệu pháp lý, hồ sơ khách hàng hay kế hoạch kinh doanh quan trọng, nó không còn là một app thú vị để thử. Nó là một mắt xích của hạ tầng thông tin. Lúc đó, giá token không phải toàn bộ cái giá phải trả. Chi phí thật còn là dữ liệu có bị dùng để train không, ai có quyền tiếp cận, dữ liệu ở jurisdiction nào, có log bao lâu, mình có xóa được không, và chuyện gì xảy ra nếu nhà cung cấp dùng thêm một lớp routing không nói rõ ràng với chúng ta.

Cấm vận của Mỹ, nếu nhìn xa hơn khẩu hiệu, đang làm chúng ta thấy bản đồ quyền lực của AI. Nó cho thấy compute không trung tính, cloud không vô hình, API không chỉ đơn giản là một đường ống. Một API là một cửa khẩu. Một điều khoản “supported regions” là một đường biên. Một chính sách retention là một tủ hồ sơ. Và mỗi khi chúng ta gửi một tài liệu qua đó, chúng ta đang ký một thỏa thuận về niềm tin, đôi khi chỉ bằng cú click vào nút “I agree” mà chẳng ai rảnh hơi mà đọc hết.

4. Từ chuyện “chưng cất” đến câu hỏi về quyền riêng tư

Tôi nghĩ phần đáng lo nhất trong báo cáo Anthropic không phải là việc đối thủ lấy được vài kỹ năng code hay khả năng suy luận. Công nghệ rồi sẽ học được, bắt chước được, cải tiến được. Phần đáng lo là mô tả về dữ liệu người dùng bị biến thành dòng nguyên liệu mà người dùng không hề biết mình đã đóng góp. Khi Anthropic nói một số proxy có thể lưu các cuộc trao đổi để bán lại cho lab khác, hoặc khi họ nói Xiaomi đã lưu rồi phát các session của người dùng MiMo qua Claude, vấn đề không chỉ là một doanh nghiệp bị mất lợi thế nữa, nó là mối quan hệ giữa người dùng với chiếc hộp đen mà họ đã tin để gõ vào đó những vấn đề cá nhân mỗi ngày. Hãy tưởng tượng bạn gửi cho AI một đoạn code lỗi, một hợp đồng chưa ký, thông tin liên hệ của khách hàng, hay một file chứa mấy con số tài chính. Bạn có thể nghĩ: thôi thì công ty AI sẽ xử lý nó để trả lời, rủi ro luôn tồn tại. Nhưng nếu nội dung đó bị gửi tiếp sang mô hình khác để tạo ra dữ liệu huấn luyện model, thì quan hệ đã đổi bản chất. Bạn không còn là khách hàng của một dịch vụ; bạn thành nhà cung cấp dữ liệu không được trả công, không biết tên, không có quyền kiểm tra. Càng có nhiều proxy và aggregator ở giữa, càng khó biết ai là controller, ai là processor, ai chỉ làm CDN, ai giữ log, ai bán log.

Chúng ta phải cẩn thận với một lỗi suy luận phổ biến: vì báo cáo nhắc tên vài công ty Trung Quốc, nên mọi công ty Trung Quốc đều không đáng tin; hoặc vì Anthropic có chính sách privacy khá chi tiết, nên mọi dữ liệu giao cho Claude đều an toàn. Cả hai đều sai. Quyền riêng tư không phải là thẻ căn cước của công ty. Nó là tập hợp câu trả lời thực tế cho những câu rất cụ thể: dữ liệu nào bị thu thập, để làm gì, có dùng để huấn luyện không, có đi qua bên thứ ba không, nằm ở đâu, giữ bao lâu, bị xóa thế nào, có ngoại lệ nào khi bị gắn cờ, và ai có thể buộc công ty giao dữ liệu.

Ngay cả một chính sách đẹp cũng không phải bằng chứng duy nhất về hành vi. Nó là lời cam kết, là cơ sở để người dùng đánh giá rủi ro và có thể khiếu nại, nhưng chưa phải kiểm toán độc lập. Ngược lại, một chính sách viết theo pháp lý, dài và nhiều ngoại lệ không tự động chứng minh công ty đang làm điều xấu; nhưng nó bảo người dùng rằng phải tự tính thêm rủi ro. Người làm bảo mật lâu năm thường học được một bài học hơi khô khan: đừng tin vào danh từ, hãy xem cơ chế. “Privacy”, “security”, “enterprise-grade”, “responsible AI” là danh từ. Encryption at rest, access logging, data-residency, zero retention, contractual processor terms, audit trail và thông báo khi nhận yêu cầu chính phủ mới là cơ chế.

Trong vụ này, câu “trung thực” vì vậy không nên hiểu theo kiểu đạo đức chung chung. Nó phải được đo bằng khả năng đối chiếu. Một công ty nói không dùng prompt để train thì có cho khách hàng biết điều đó áp dụng cho sản phẩm nào không? Có ngoại lệ cho feedback, safety review, file upload, prompt caching hay model đặc biệt không? Có nói rõ khi nào nhân viên của họ có thể đọc không? Có ai ngoài công ty kiểm tra controls không? Nếu một ứng dụng là reseller hay router, họ có công khai họ gọi model nào và chuyển dữ liệu qua đâu không? Cái người dùng cần không phải lời hứa “hãy tin chúng tôi”. Cái họ cần là một bề mặt đủ minh bạch để chúng ta không phải tin mù quáng.

Nói như vậy không có nghĩa là chúng ta phải ngưng dùng AI. Cũng như dùng internet không có nghĩa là bỏ hết email, nhưng phải biết email của công ty khác với cái thẻ nhớ cất trong ngăn kéo. Với dữ liệu thấp nhạy cảm, một chatbot tiện, nhanh và rẻ có thể hoàn toàn phù hợp. Với source code độc quyền, hồ sơ bệnh án, dữ liệu định danh, hợp đồng M&A, tài liệu pháp lý, bí mật thương mại hay dữ liệu khách hàng, câu hỏi không còn là model nào trả lời hay hơn, chính xác hơn, mà đó là đường đi dữ liệu nào mình chấp nhận được và mình có thẩm quyền ký vào rủi ro đó hay không.

5. Claude: đáng tin hơn không có nghĩa là đáng tin tuyệt đối

Tôi từng thấy nhiều người dùng Claude có cảm giác yên tâm vì Anthropic nói nhiều về safety và privacy. Cảm giác đó có cơ sở nhất định. So với rất nhiều công ty AI chỉ đưa một trang terms chung chung, Anthropic công khai tương đối cụ thể về sự khác nhau giữa tài khoản cá nhân và khách hàng thương mại. Với API, Console, Team và Enterprise, họ nói mặc định không dùng input hay output để huấn luyện model, trừ khi khách hàng chủ động gửi feedback, báo lỗi hoặc opt-in vào chương trình phù hợp. Với API thông thường, Anthropic nói họ tự động xóa input và output ở backend trong vòng 30 ngày, trừ khi hợp đồng khác có quy định, cần giữ để thực thi Usage Policy hoặc phải tuân thủ luật. Chính sách cho khách hàng thương mại và trang retention nói khá rõ những điểm này.

Sự phân biệt đó rất quan trọng. “Claude” không phải một sản phẩm duy nhất. Claude.ai miễn phí, Pro hay Max là trải nghiệm consumer; API là đường dùng khác; Enterprise lại là một bộ điều kiện khác nữa. Với người dùng cá nhân, Anthropic nói chat và coding session có thể được dùng để cải thiện model khi người dùng cho phép, khi nội dung bị gắn cờ để safety review, khi người dùng gửi feedback, hoặc chủ động opt-in. Nếu cho phép cải thiện model, dữ liệu đã được tách liên kết với user ID có thể được giữ tới 5 năm trong pipeline huấn luyện. Trang giải thích cho consumer và chính sách retention consumer đều nói điều này. Nói gọn cho dễ hiểu: đừng lấy lời hứa cho API rồi áp thẳng cho tài khoản cá nhân, và cũng đừng lấy trải nghiệm dùng chat miễn phí để đánh giá một hợp đồng enterprise.

Anthropic có những điểm tôi đánh giá là tốt hơn mặt bằng chung. Họ cho người dùng xóa conversation; chat biến mất ngay khỏi history và theo tài liệu sẽ bị xóa khỏi backend trong 30 ngày. Họ nói không bán dữ liệu, không chạy quảng cáo trong Claude và để người dùng kiểm soát chuyện dùng conversation để cải thiện model. Họ công bố chính sách xử lý yêu cầu của chính phủ: chỉ tiết lộ theo thủ tục pháp lý hợp lệ, có thể từ chối yêu cầu quá rộng, và thường thông báo cho người dùng trừ khi bị cấm hoặc có tình huống khẩn cấp. Chính sách yêu cầu chính phủ không biến Anthropic thành một pháo đài bất khả xâm phạm, nhưng ít nhất nó nói cho ta biết họ hứa hẹn sẽ xử lý chuyện đó thế nào.

Tuy nhiên, chính phần “nhưng” mới là thứ người dùng nên đọc kỹ. Anthropic cũng nói nếu nội dung bị classifier đánh dấu là có khả năng vi phạm Usage Policy, họ có thể giữ input/output tối đa hai năm và điểm phân loại trust-and-safety tới bảy năm. Dữ liệu feedback có thể được giữ lâu hơn. Với một nhóm model mà họ gọi là covered models, kể cả tổ chức đã ký zero-data-retention vẫn có thể phải bật retention 30 ngày để hỗ trợ safety work; Anthropic mô tả việc truy cập của con người chỉ theo đường kiểm soát và có log, nhưng về mặt rủi ro, zero retention ở đây không còn là zero theo nghĩa thông thường. Chính sách cho covered models là ví dụ khá hay cho thấy tính riêng tư luôn phải đọc cùng tính năng, model, plan và ngoại lệ.

Tôi không xem những ngoại lệ đó là bằng chứng Anthropic giả dối. An toàn vận hành và chống lạm dụng cần dữ liệu ở một mức nào đó; vụ báo cáo threat intelligence này cũng cho thấy vì sao một công ty muốn nhìn thấy pattern xuyên nhiều request. Nhưng người dùng có quyền thấy cái giá ấy. Một model giỏi phát hiện hoạt động nguy hiểm sẽ khó làm điều đó nếu nó mù hoàn toàn với log. Vì vậy, câu hỏi trưởng thành không phải “có giữ dữ liệu hay không” theo kiểu nhị nguyên, mà là: giữ cái gì, bao lâu, ai được xem, trong tình huống nào, có thể giới hạn bằng hợp đồng không, và rủi ro còn lại có hợp với dữ liệu của mình không.

Điểm mạnh của Anthropic, theo tôi, nằm ở chỗ họ cho ta nhiều chi tiết để tranh luận và để buộc họ chịu trách nhiệm hơn. Điểm yếu cố hữu là họ vẫn là công ty nắm giữ toàn bộ hệ thống; ta không thể tự kiểm tra toàn bộ log, classifier, access path hay cách họ thực hiện lời hứa. Hơn nữa, họ cũng chịu luật pháp Mỹ, có thể nhận yêu cầu pháp lý hợp lệ, dùng hạ tầng nhiều vùng để xử lý dữ liệu khách hàng, và có những sản phẩm kết nối với dịch vụ bên thứ ba. Quyền riêng tư không phải chuyện “Mỹ tốt, Trung Quốc xấu”. Nó là chuyện quyền lực nào có thể chạm vào dữ liệu, những quyền lực đó bị kiềm chế tới đâu, và người dùng có công cụ nào khi muốn phản đối.

Nếu tôi là một doanh nghiệp Việt Nam đang dùng Claude cho việc nhạy cảm, tôi không dùng tài khoản consumer rồi tự trấn an. Tôi sẽ hỏi vendor hoặc đội kỹ thuật về API/commercial terms, data processing agreement, vùng xử lý và lưu trữ, zero retention có thật sự áp dụng cho model/tính năng đang dùng không, connector có đẩy dữ liệu sang nơi nào, và log nội bộ của chính mình giữ ra sao. Thêm một bước nữa: không đưa mọi thứ vào prompt chỉ vì có thể. Dữ liệu càng ít đi qua, privacy càng ít phải đặt cược vào lời hứa.

6. Công ty AI Trung Quốc: luật bảo vệ dữ liệu có, nhưng jurisdiction mới là phần khó nuốt nhất

Nói về AI Trung Quốc, nhiều người hay đi thẳng tới câu “dữ liệu sẽ về chính phủ Trung Quốc”. Câu đó có thể tạo cho người ta cảm giác phải cảnh giác, nhưng nó quá rộng để có ích. Nó không chỉ rõ dữ liệu gì, công ty nào, sản phẩm nào, luật nào, quy trình nào, và bằng chứng nào? Đúng là Trung Quốc có luật bảo vệ dữ liệu cá nhân khá đầy đủ trên giấy. PIPL yêu cầu xử lý có mục đích rõ ràng, tối thiểu cần thiết, công khai minh bạch; yêu cầu căn cứ pháp lý và, trong nhiều trường hợp, consent; cho cá nhân quyền tiếp cận, chỉnh sửa, xóa. Bản dịch PIPL trên trang cơ quan công tố Trung Quốc nêu cả nguyên tắc tối thiểu hóa lẫn nghĩa vụ thông báo của bên xử lý dữ liệu. Nếu chỉ đọc phần đó, người ta có thể nói khung pháp lý của họ không hề trống rỗng như mọi người hay .

Các quy định về generative AI cũng có điều khoản nói nhà cung cấp phải bảo vệ input và usage records, không được thu thập thông tin cá nhân không cần thiết, không được lưu hoặc cung cấp trái phép input có thể nhận diện người dùng. Bản dịch Interim Measures là một lời nhắc rằng ta không nên khẳng định ở Trung Quốc hoàn toàn không có khái niệm privacy. Nhưng cùng một hệ thống quy định đó đặt dịch vụ AI trong mục tiêu quản trị nội dung và an ninh quốc gia rất rõ. Các biện pháp áp dụng cho dịch vụ cung cấp cho công chúng ở Trung Quốc đi cùng yêu cầu tuân thủ nội dung, cơ chế quản lý thuật toán và một cấu trúc nhà nước có quyền lực can thiệp sâu hơn nhiều so với cái người dùng phương Tây thường mặc định.

Đây là chỗ phải nhìn cả luật an ninh mạng, không chỉ nhìn luật bảo vệ dữ liệu. Điều 28 của Cybersecurity Law yêu cầu network operators cung cấp technical support và assistance cho cơ quan công an, an ninh quốc gia trong hoạt động bảo vệ an ninh quốc gia và điều tra tội phạm theo luật. Bản gốc tiếng Trung từ MIIT có điều khoản này; bản dịch tiếng Anh chỉ giúp người ngoài đọc dễ dàng hơn hơn nhưng không thay đổi bản chất rằng các công ty internet có nghĩa vụ phải hỗ trợ. Một luật có thể vừa nói phải bảo vệ dữ liệu cá nhân, vừa tạo ra trường hợp công ty phải hợp tác với cơ quan nhà nước. Hai điều đó không mâu thuẫn về mặt pháp lý trong chính hệ thống ấy, nhưng chúng làm mức bảo đảm thực tế của người dùng khác đi.

Tôi không nói vậy để giả vờ Mỹ không có subpoena, warrant hay đạo luật an ninh của riêng họ. Khác biệt cần xem là phạm vi, thủ tục, khả năng kiểm soát độc lập, cơ hội thông báo cho người dùng, khả năng khiếu nại và độ minh bạch công khai. Anthropic, như đã nói, công bố một chính sách cam kết kiểm tra tính hợp lệ của yêu cầu và thường thông báo rộng rãi. Một công ty Trung Quốc có thể cũng có policy nói tuân thủ luật và bảo vệ dữ liệu, nhưng những người dùng quốc tế cần đặt câu hỏi: khi luật yêu cầu hợp tác, ai giám sát sự cần thiết của yêu cầu đó? Có transparency report định kỳ không? Có cơ chế phản đối hiệu quả không? Và dữ liệu của một người Việt Nam, nếu nó nằm trong hạ tầng ở Trung Quốc, có được hưởng một lớp bảo vệ thực tế nào ngoài chữ trong chính sách không?

Lấy DeepSeek làm ví dụ, vì họ là tên được nhiều người Việt dùng và cũng được nhắc trong báo cáo Anthropic. Chính sách privacy tiếng Anh cập nhật tháng 2/2026 của DeepSeek nói họ thu thập thông tin tài khoản, input dạng text/voice/file/photo, chat history, thông tin thiết bị, IP, định danh thiết bị, log và location gần đúng từ IP. Họ nói dữ liệu cá nhân được trực tiếp thu thập, xử lý và lưu trữ tại Cộng hòa Nhân dân Trung Hoa; dữ liệu có thể được giữ trong thời gian tài khoản tồn tại và lâu hơn khi cần cho nghĩa vụ pháp lý, an toàn, ổn định hoặc quyền lợi hợp pháp. Chính sách DeepSeek không che giấu phần data residency này. Sự thẳng thắn đó tốt hơn việc viết lập lờ. Nhưng nó không tự biến rủi ro jurisdiction thành nhỏ đi. Tôi cũng không muốn dùng DeepSeek để kết luận cho Alibaba, Zhipu, Kimi, MiniMax hay mọi công ty Trung Quốc khác. Mỗi công ty có sản phẩm nội địa, sản phẩm quốc tế, API, reseller, nhà cung cấp cloud và chính sách riêng. Có nơi host ở nước ngoài, có nơi cho tổ chức self-host model mã nguồn mở, có nơi buộc người dùng dùng SaaS của họ. Rủi ro của một model tải về chạy trong VPC do doanh nghiệp mình kiểm soát khác hoàn toàn rủi ro của một chatbot miễn phí chạy trên server của một công ty khác. Chúng ta cần bỏ thói quen gom mọi thứ vào nhãn “AI Trung Quốc” hay “AI Mỹ”, rồi phán xét ở đó.

Và báo cáo Anthropic làm một việc không thể bỏ qua: nó đặt ra nghi ngờ về khoảng cách giữa lời hứa privacy và cách vận hành thực tế của một số chuỗi cung ứng AI. Nếu một công ty bị cáo buộc đã replay session người dùng qua mô hình khác mà không thông báo, đó là chuyện rất nghiêm trọng, không phải vì nó là công ty Trung Quốc mà vì nó phá vỡ nguyên tắc consent. Nếu một proxy thu transcript để bán, đó cũng là vấn đề nghiêm trọng, dù proxy đặt ở đâu. Trong thế giới AI, “data sovereignty” không dừng ở quốc gia đặt server; nó còn là biết data có bị sao chép sang model khác, log khác, vendor khác, hoặc một tập dữ liệu huấn luyện khác hay không.

7. Sự trung thực không nằm trong slogan, mà ở khả năng bị kiểm tra

Sau cùng, tôi không thấy bài học của vụ này là “đừng dùng AI Trung Quốc” hay “hãy tin AI Mỹ”. Bài học tuyệt đối là đừng giao dữ liệu cho bất kỳ AI nào chỉ dựa trên cảm tình chính trị, giá rẻ, benchmark hay một đoạn marketing nói họ coi trọng privacy. Công nghệ lớn lên trong quyền lực, và quyền lực thì phe nào cũng thích có nhiều dữ liệu hơn, ít ràng buộc hơn, nhiều quyền giải thích hơn. Công ty Mỹ có thể nói đúng về đối thủ và vẫn có lợi ích trong việc công bố điều đó. Công ty Trung Quốc có thể có kỹ sư giỏi, sản phẩm tốt và vẫn vận hành trong một jurisdiction khiến người dùng quốc tế phải dè chừng. Cả hai mệnh đề đều có thể đúng cùng lúc.

Tôi đọc báo cáo Anthropic như đọc một bản đồ hơn là một bản án. Nó chỉ cho thấy một thực tế: Mỹ vẫn có những tầng công nghệ mà đối thủ muốn tiếp cận, và cấm vận không vô dụng vì nó tạo ra cái giá của đường vòng. Nhưng nó cũng chỉ ra mặt trái của đường vòng: dữ liệu của người dùng có thể trở thành thứ đầu tiên bị hy sinh. Trong cuộc đua model, người dùng thường được kể như con số active users, tokens hay market share. Ít ai hỏi họ đã được thông báo đầy đủ chưa, có hiểu prompt của mình đi đâu không, có cách nào biết nó bị dùng lại hay không. Tôi muốn nhấn mạnh một tiêu chuẩn nhỏ nhưng rất thực dụng. Một công ty đáng tin hơn không phải là công ty chưa từng có rủi ro. Công ty đó là công ty mô tả rủi ro đủ rõ, cho người dùng công cụ giảm rủi ro, công bố ngoại lệ thay vì giấu ngoại lệ, chấp nhận kiểm toán, có log để truy vết, có cơ chế thông báo khi quyền lực nhà nước chạm vào dữ liệu, và chịu trách nhiệm khi lời hứa bị phá. Privacy không có nghĩa là không bao giờ xử lý dữ liệu. Privacy là người dùng không bị lừa về việc dữ liệu bị xử lý ra sao.

Với các bạn đang làm sản phẩm hay vận hành doanh nghiệp ở Việt Nam, tôi nghĩ có vài câu nên hỏi trước khi tích hợp AI vào quy trình. Dữ liệu có nhạy cảm đến mức nào? Mình đang dùng consumer chat hay API có hợp đồng? Prompt có thể được dùng để train, review safety hay giữ lâu hơn bình thường không? Data có đi qua aggregator, plugin, connector, web search hay model router không? Có thể tách PII ra khỏi prompt, thay bằng placeholder, hoặc chạy một model nhỏ trong hạ tầng của mình không? Có thể cấm nhân viên copy hợp đồng, token, source code hay database dump vào chatbot công cộng không? Những câu này không làm ta chậm chạp hơn nhiều. Nó giúp ta không mua một cái tiện lợi hôm nay bằng một khoản nợ dữ liệu mà vài năm sau mới thấy hậu quả.

Tôi cũng mong cộng đồng công nghệ Việt bớt ham kiểu tranh luận “phe nào thắng”. Với người dùng ở đây, chuyện quan trọng hơn là quyền lựa chọn có hiểu biết. Có thể dùng model Trung Quốc cho tác vụ công khai, dữ liệu đã được làm sạch, thử nghiệm hoặc chạy local. Có thể dùng model Mỹ qua API doanh nghiệp cho dữ liệu cần cam kết hợp đồng. Có thể không gửi dữ liệu nhạy cảm cho cloud model nào cả. Có thể phối hợp nhiều model tùy việc. Sự trưởng thành không phải là trung thành với một hãng riêng biệt nào; nó là biết bối cảnh nào cần cái gì và từ chối để lời hứa mơ hồ thay thế cho kiểm soát kỹ thuật.

Và về mặt chính trị, tôi nghĩ Trung Quốc sẽ tiếp tục tiến xa, thậm chí tiến rất nhanh. Không một bài báo cáo nào có thể chặn được một đất nước có thị trường, tiền, nhân lực và ý chí công nghiệp như vậy. Nhưng tiến nhanh khác với hoàn toàn tự chủ. Chừng nào compute tiên tiến, thiết bị bán dẫn, bộ nhớ, cloud toàn cầu, model frontier và chuẩn kỹ thuật vẫn còn những điểm nghẽn do Mỹ cùng đồng minh nắm, chừng đó Trung Quốc vẫn phải cần tới Mỹ, dù họ có muốn hay là không. Cấm vận có hiệu lực chính ở chỗ nó bắt đối thủ phải tính toán lại. Nhưng cấm vận không phải lời giải duy nhất, càng không phải cái cớ để Mỹ ngủ quên trên lợi thế của mình.

Có lẽ cảm giác đọng lại với tôi sau 154 trang báo cáo không phải hả hê, cũng không phải hoảng hốt. Nó giống cảm giác khi thấy một con hẻm quen ở Sài Gòn bị đào lên để làm cống. Mình biết cái đường vòng rồi sẽ xuất hiện, người ta sẽ lách, xe sẽ chen, quán xá vẫn sẽ mở. Nhưng sau một hồi, mình hiểu cấu trúc bên dưới mặt đường nó phức tạp hơn vẻ ngoài rất nhiều. AI cũng vậy. Đằng sau một ô chat lịch sự, một model trả lời mau, một gói miễn phí nghe quá hời, là chip, luật, proxy, log, nhân viên moderation, server, lợi ích quốc gia và những điều khoản ít ai đọc.

Tôi không muốn các bạn sợ công nghệ mới. Tôi chỉ muốn chúng ta đừng ngây thơ với nó. Cái đáng sợ nhất không phải là một mô hình nói hay, hay một quốc gia làm model giỏi. Cái đáng sợ là khi dữ liệu của mình bị chuyển đi mà mình không hay biết, và khi cả xã hội đã quen gọi sự mù mờ đó là đổi mới. Báo cáo của Anthropic, dù phải đọc với sự dè chừng dành cho mọi nguồn có lợi ích, vẫn buộc ta nhìn lại một điều giản dị: trong AI, niềm tin không phải món quà doanh nghiệp ban phát. Nó là thứ doanh nghiệp phải kiếm bằng thiết kế, bằng minh bạch, và bằng việc cho người dùng quyền nói “không” khi dữ liệu của họ bị đem đi quá xa.