ChatGPT cho doanh nghiệp: chọn gói nào, giá bao nhiêu, dữ liệu khách đi đâu

Trong nhiều công ty, ChatGPT đã vào văn phòng trước khi có ai quyết định cho nó vào. Một nhân viên marketing trả tiền Plus bằng thẻ cá nhân, một trưởng nhóm bán hàng dán danh sách khách để nhờ viết email, một người khác dùng bản miễn phí để tóm tắt hợp đồng. Đến lúc CEO hỏi “có nên mua ChatGPT cho cả công ty không”, thì công ty đã dùng nó được vài tháng, chỉ là không ai quản.

Câu hỏi đó gồm ba câu nhỏ: mua gói nào, tốn bao nhiêu, và dữ liệu đưa vào đi đâu. Hai câu đầu trả lời được bằng trang giá của OpenAI. Câu thứ ba mới là câu đáng tiền, vì nó quyết định công ty có đang làm đúng luật hay không — và chọn gói không trả lời hết được câu đó.

Doanh nghiệp nên mua gói ChatGPT nào

OpenAI chia ChatGPT thành hai nhóm. Nhóm cá nhân gồm Free, Go, Plus và Pro. Nhóm doanh nghiệp gồm Business và Enterprise. Ranh giới giữa hai nhóm không nằm ở mô hình mạnh hay yếu, mà ở chỗ ai sở hữu tài khoản và dữ liệu được dùng vào việc gì.

Bảng dưới lấy từ trang giá chatgpt.com/pricing, xem ngày 26/10/2026 từ Việt Nam. Trang hiển thị giá bằng đồng cho người xem ở Việt Nam; giá có thể đổi, và trang không ghi rõ đã gồm thuế hay chưa.

Ba điều nên thấy trong bảng. Thứ nhất, một chỗ ngồi Business trả theo năm rẻ hơn một tài khoản Plus: 519.000 so với 522.500 đồng. Lý do hay được viện ra để công ty để nhân viên tự mua Plus — “cho rẻ” — không đứng được. Thứ hai, Business cho trộn hai loại chỗ ngồi trong cùng một không gian làm việc, nên không phải ai cũng cần chỗ ngồi đắt. Thứ ba, trang giá ghi rõ gói Go có thể có quảng cáo; đây là gói cho cá nhân, không phải cho việc của công ty.

ChatGPT có bảo mật không: câu trả lời tuỳ gói

“ChatGPT có bảo mật không” thực ra là hai câu. Câu một: OpenAI có dùng nội dung để huấn luyện mô hình không. Câu hai: ai giữ và ai xem được hội thoại.

Với gói cá nhân, trang trợ giúp của OpenAI viết rõ: khi dùng Free, Plus, Pro, OpenAI có thể dùng nội dung để huấn luyện mô hình. Người dùng tắt được bằng mục “Improve the model for everyone” trong phần cài đặt dữ liệu, hoặc qua cổng quyền riêng tư của OpenAI. Có một chi tiết ít người để ý: kể cả khi đã tắt, nếu người dùng bấm thích hay không thích một câu trả lời, cả cuộc hội thoại đó vẫn có thể được dùng để huấn luyện. Cuộc trò chuyện tạm thời thì không dùng để huấn luyện chừng nào còn để tạm thời.

Với Business và Enterprise, trang cam kết riêng tư doanh nghiệp của OpenAI nêu bốn điều:

• Không huấn luyện trên dữ liệu doanh nghiệp theo mặc định. Bấm thích hay không thích cũng không mở quyền huấn luyện trên hội thoại đó; quản trị viên tắt được hẳn nút phản hồi.
• Doanh nghiệp sở hữu đầu vào và đầu ra, trong phạm vi luật cho phép.
• Quản trị viên đặt thời gian lưu. Hội thoại đã xoá hoặc không lưu được gỡ khỏi hệ thống của OpenAI trong 30 ngày, trừ khi luật buộc giữ lâu hơn hoặc cần giữ để bảo vệ dịch vụ khỏi bị lạm dụng.
• Mã hoá dữ liệu khi lưu (AES-256) và khi truyền (TLS 1.2 trở lên); gói Business và Enterprise đã qua kiểm toán SOC 2 Type 2.

Có một giới hạn cần biết: ở gói Business, nhân viên được uỷ quyền của OpenAI và nhà thầu bên thứ ba có cam kết bảo mật vẫn có thể truy cập hội thoại để hỗ trợ kỹ thuật, điều tra lạm dụng và tuân thủ pháp luật. Gói Enterprise thêm lựa chọn lưu dữ liệu tại một trong mười khu vực — Mỹ, EU, Anh, Nhật, Canada, Hàn Quốc, Singapore, Ấn Độ, Úc, UAE. Việt Nam không có trong danh sách đó.

Dữ liệu khách đi đâu khi dán vào khung chat

Đây là phần mà chọn gói không giải quyết được. Gói Business quyết định OpenAI được làm gì với dữ liệu của bạn. Nó không quyết định dữ liệu đó đã rời khỏi Việt Nam hay chưa.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ 01/01/2026, liệt kê ba trường hợp chuyển dữ liệu cá nhân xuyên biên giới. Trường hợp thứ ba, tại Điều 20 khoản 1 điểm c, là cơ quan, tổ chức, cá nhân “sử dụng nền tảng ở ngoài lãnh thổ” Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam. ChatGPT xử lý trên hạ tầng ở nước ngoài, và danh sách khu vực lưu dữ liệu của gói Enterprise không có Việt Nam. Nên dán tên, số điện thoại, lịch sử mua hay đoạn chat của khách vào ChatGPT — ở gói nào cũng vậy — là một lần chuyển dữ liệu cá nhân xuyên biên giới.

Không phải mọi thứ đưa vào ChatGPT đều là dữ liệu cá nhân. Cách chia đơn giản nhất cho một đội marketing, bán hàng:

Đa số việc marketing hằng ngày nằm ở hai dòng đầu. Viết bài, tóm tắt báo cáo, đọc số bán theo kênh, lên ý tưởng chiến dịch không cần tên khách nào. Vấn đề phát sinh ở dòng thứ ba, và thường do một thói quen nhỏ: dán nguyên một bảng xuất từ CRM để “nhờ AI phân nhóm khách”, trong khi xoá cột tên và số điện thoại trước khi dán là đủ để việc đó không còn là dữ liệu cá nhân.

Luật đòi doanh nghiệp làm gì trước khi dùng dữ liệu khách

Khi việc cần làm thật sự cần dữ liệu cá nhân của khách, luật đòi ba thứ:

• Căn cứ xử lý. Luật 91/2025 Điều 19 yêu cầu sự đồng ý của chủ thể dữ liệu, trừ các trường hợp luật liệt kê; Nghị định 356/2025 Điều 6 yêu cầu sự đồng ý phải kiểm chứng được và không đặt sẵn mặc định là đồng ý. Mục đích “đưa vào công cụ AI để phân tích” phải nằm trong phạm vi khách đã đồng ý.
• Hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới. Không lập hồ sơ khi phải lập, theo Nghị định 330/2026 Điều 56 khoản 1, tổ chức bị phạt 30–50 triệu đồng. Vi phạm quy định chuyển dữ liệu xuyên biên giới nói chung có mức phạt tối đa tới 5% doanh thu năm trước, theo Điều 8 của Luật.
• Thoả thuận xử lý dữ liệu với bên nhận. OpenAI nêu rằng họ ký phụ lục xử lý dữ liệu với khách dùng Business, Enterprise và API. Gói cá nhân không có.

Doanh nghiệp nhỏ có một quyền chọn. Theo Điều 38 của Luật, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được chọn không thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 trong 5 năm từ 01/01/2026, tức đến 01/01/2031; hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện các điều đó. Quyền này mất nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm, hoặc xử lý dữ liệu từ 100 nghìn người trở lên. Doanh nghiệp vừa không có quyền chọn này, và Điều 38 không nhắc tới Điều 20 về chuyển dữ liệu xuyên biên giới. Bảng đầy đủ các nghĩa vụ, kèm số điều, nằm ở bảng tra luật AI cho doanh nghiệp.

Một lưu ý về phạm vi: phần này là bảng tra để biết phải hỏi gì, không phải ý kiến pháp lý. Việc nào có dữ liệu nhạy cảm hoặc quy mô lớn thì hỏi luật sư.

Ví dụ minh hoạ: 10 người dùng, ba cách mua

Ví dụ dưới đây là một công ty giả định, số người và cách dùng đều là minh hoạ; giá lấy từ trang của OpenAI ngày 26/10/2026.

Công ty có 25 người, 10 người dùng ChatGPT hằng ngày: bốn người marketing, bốn người bán hàng, hai người chăm sóc khách. Hai người marketing chạy phân tích dài, cần mức dùng cao.

Cách A và B gần như bằng tiền, nhưng khác hẳn về quyền. Ở cách A, mười tài khoản là của mười cá nhân: dữ liệu có thể vào huấn luyện nếu ai đó quên tắt, công ty không xem được lịch sử, và người nghỉ việc mang theo cả lịch sử hội thoại có thông tin khách. Ở cách B, tài khoản thuộc không gian làm việc của công ty, quản trị viên khoá hoặc chuyển giao được ngay khi có người nghỉ.

Cách C đắt hơn gần gấp đôi B, chỉ vì hai chỗ ngồi Premium. Trước khi trả khoản chênh đó, câu đáng hỏi là hai người kia có thật sự chạm trần mức dùng của Standard mỗi tuần không. Nếu chưa ai đo, bắt đầu bằng B rồi nâng từng chỗ ngồi khi có số dùng thật là cách rẻ hơn. Phần chi phí ngoài tiền bản quyền — giờ người, tích hợp, tuân thủ — nằm trong bài chi phí triển khai AI cho doanh nghiệp.

Năm quy định nội bộ nên có trước khi mua

Mua gói Business mà không có quy định dùng thì vẫn là mười người dùng ChatGPT theo mười cách. Năm quy định ngắn đủ cho phần lớn công ty:

• Việc của công ty chỉ làm trên tài khoản công ty. Không dùng tài khoản cá nhân cho tài liệu, số liệu hay dữ liệu khách của công ty.
• Xoá danh tính trước khi dán. Bảng từ CRM, đoạn chat với khách, hồ sơ ứng viên: bỏ tên, số điện thoại, email trước khi đưa vào.
• Danh sách dữ liệu không bao giờ đưa vào. Dữ liệu sức khoẻ, tài chính, dữ liệu trẻ em, hợp đồng chưa ký, giá vốn.
• Người duyệt đầu ra trước khi ra ngoài. Câu trả lời của ChatGPT gửi cho khách, đăng lên trang, đưa vào quảng cáo đều cần một người đọc lại. Ảnh hay video dựng bằng AI giả người thật dùng trong quảng cáo còn phải gắn nhãn — xem gắn nhãn nội dung AI trong quảng cáo.
• Một người giữ quyền quản trị. Người đó thêm, bớt chỗ ngồi, đặt thời gian lưu, và tắt nút phản hồi nếu công ty không muốn dữ liệu nào đi ra ngoài thoả thuận.

Đo xem gói đã mua có đáng tiền không

Trang quản trị của gói Business có số liệu dùng theo người. Ba tháng sau khi mua, ba câu hỏi cho biết khoản tiền đó đang làm gì:

• Bao nhiêu chỗ ngồi thật sự được dùng mỗi tuần. Chỗ ngồi không ai dùng là khoản cắt dễ nhất.
• Việc nào đã đổi cách làm, và đo bằng gì trước khi đổi. “Viết bài nhanh hơn” không phải con số; “thời gian từ lúc có đề bài tới lúc có bản duyệt, trước và sau” thì là.
• Có việc nào bị làm sai vì tin máy quá nhanh không. Một câu trả lời sai về công dụng sản phẩm gửi cho khách có thể đắt hơn tiền một năm bản quyền.

Cách đặt chỉ số trước khi thay đổi một quy trình cũng là cách MWY đặt khi rà một kênh quảng cáo; phần đó nằm ở cụm bài đo lường hiệu quả.

Nguồn số liệu và quy định trong bài

• Giá và tính năng từng gói: trang chatgpt.com/pricing, xem ngày 26/10/2026 từ Việt Nam, hiển thị bằng đồng; phần câu hỏi thường gặp trên cùng trang (Business từ 2 người dùng, thanh toán bằng thẻ, Enterprise qua đội bán hàng).
• Cam kết dữ liệu của Business và Enterprise: trang “Enterprise privacy at OpenAI”, cập nhật 8/1/2026.
• Dữ liệu ở gói cá nhân và nút phản hồi: trang trợ giúp “How your data is used to improve model performance” của OpenAI, đọc ngày 26/10/2026.
• Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (Điều 8, 19, 20, 38), Nghị định 356/2025/NĐ-CP (Điều 6, 41), Nghị định 330/2026/NĐ-CP (Điều 56): bản đăng trên cổng thông tin của Chính phủ.

MWY làm gì và không làm gì ở đây

MWY không bán tài khoản ChatGPT hay bất kỳ phần mềm AI nào, và không nhận hoa hồng từ OpenAI, đại lý hay nhà cung cấp nào. Khi doanh nghiệp hỏi “có nên mua ChatGPT cho cả công ty”, MWY trả lời bằng Lộ trình AI bốn tuần: chọn ba việc ở marketing, bán hàng, chăm sóc khách đáng đưa AI vào trước, xác định việc nào cần dữ liệu khách và việc nào không, so ba lựa chọn công cụ theo cùng một bộ tiêu chí, và rà các nghĩa vụ theo Luật Trí tuệ nhân tạo và Luật Bảo vệ dữ liệu cá nhân. MWY không phải công ty luật: hồ sơ chuyển dữ liệu xuyên biên giới do doanh nghiệp và luật sư của doanh nghiệp lập; MWY chỉ ra việc nào cần hồ sơ đó.