AI biết gì về bạn sau một lần tải ảnh lên?

Một bức ảnh có thể chứa nhiều dữ liệu hơn những gì mắt thường nhìn thấy

Chỉ trong vài giây, một ứng dụng trí tuệ nhân tạo có thể biến ảnh chân dung thành ảnh nghệ thuật, phục chế ảnh cũ, dự đoán khuôn mặt khi về già, thay đổi trang phục hoặc tạo ảnh đại diện chuyên nghiệp. Những tiện ích này đang ngày càng phổ biến và mang lại nhiều trải nghiệm thú vị cho người dùng.

Để nhận kết quả, người dùng thường phải tải lên một hoặc nhiều ảnh khuôn mặt, đôi khi kèm theo họ tên, ngày sinh, số điện thoại hoặc quyền truy cập thư viện ảnh. Không ít người thực hiện thao tác này rất nhanh mà chưa kiểm tra ứng dụng do ai cung cấp, ảnh sẽ được lưu trong bao lâu, có được dùng cho mục đích khác hay chia sẻ với bên thứ ba hay không.

Không phải mọi công cụ AI đều thu thập hoặc sử dụng dữ liệu trái phép. Rủi ro phụ thuộc vào đơn vị cung cấp, chính sách bảo mật, loại dữ liệu được tải lên và cách người dùng thiết lập tài khoản. Tuy nhiên, khi đã đưa dữ liệu lên một hệ thống trực tuyến, người dùng không còn kiểm soát hoàn toàn dữ liệu đó như khi ảnh chỉ được lưu trên thiết bị cá nhân.

Vì vậy, trước khi tải ảnh lên AI, cần hiểu rõ mình đang cung cấp những gì và dữ liệu có thể được sử dụng như thế nào.

AI có thể nhìn thấy gì trong một bức ảnh?

AI không “nhìn” bức ảnh giống con người. Hệ thống phân tích nhiều đặc điểm, điểm ảnh và mối liên hệ trong ảnh để nhận diện đối tượng, khuôn mặt, chữ viết, địa điểm hoặc bối cảnh.

1. Đặc điểm khuôn mặt

Một ảnh chân dung rõ nét có thể thể hiện hình dáng khuôn mặt, khoảng cách giữa các bộ phận, màu da, kiểu tóc, dấu hiệu nhận dạng và nhiều đặc điểm hình học khác.

Tùy chức năng của ứng dụng, các đặc điểm này có thể được xử lý để nhận diện, so sánh, chỉnh sửa hoặc tạo ra một khuôn mặt mới. Dữ liệu khuôn mặt có tính đặc thù cao bởi mật khẩu có thể thay đổi nhưng khuôn mặt tự nhiên của một người rất khó thay đổi.

Ảnh chân dung đơn lẻ thường chưa đủ để vượt qua các hệ thống xác thực sinh trắc học có cơ chế kiểm tra vật thể sống. Tuy nhiên, nếu được kết hợp với video, giọng nói, ảnh giấy tờ và thông tin định danh, dữ liệu khuôn mặt có thể hỗ trợ hành vi giả mạo, tạo Deepfake hoặc xây dựng hồ sơ lừa đảo thuyết phục hơn.

2. Bối cảnh xung quanh

Người dùng có thể chỉ chú ý đến khuôn mặt nhưng AI hoặc người nhận ảnh còn có thể nhìn thấy:

- Biển tên cơ quan, trường học hoặc doanh nghiệp;

- Thẻ nhân viên, phù hiệu và bảng tên;

- Số nhà, biển số xe và địa điểm thường xuyên xuất hiện;

- Giấy tờ, hóa đơn hoặc màn hình máy tính ở phía sau;

- Khuôn mặt của trẻ em, người thân và đồng nghiệp;

- Nội thất trong nhà, tài sản có giá trị hoặc hệ thống camera;

- Mã QR, mã vạch và thông tin trên bưu kiện;

- Hình ảnh phản chiếu qua gương, kính hoặc màn hình.

Một chi tiết nhỏ trong ảnh có thể tiết lộ nơi ở, nơi làm việc, lịch trình hoặc mối quan hệ của người đăng.

3. Chữ viết và thông tin trên tài liệu

Các công cụ AI có khả năng nhận dạng chữ trong ảnh. Vì vậy, ảnh chụp giấy tờ, hợp đồng, bệnh án, vé máy bay, hồ sơ học sinh hoặc màn hình làm việc có thể bị trích xuất thành dữ liệu văn bản.

Ngay cả khi chữ nhỏ và người dùng khó đọc trên màn hình điện thoại, hệ thống vẫn có thể phóng to, tăng độ nét hoặc nhận dạng một phần nội dung.

4. Thông tin kỹ thuật đi kèm tệp ảnh

Tệp ảnh có thể chứa siêu dữ liệu như thời gian chụp, loại thiết bị, thông số camera và trong một số trường hợp có cả tọa độ vị trí. Việc những thông tin này có được giữ lại hay không phụ thuộc vào thiết bị, định dạng tệp và nền tảng tiếp nhận.

Ngoài nội dung bức ảnh, dịch vụ trực tuyến còn có thể ghi nhận địa chỉ IP, thời gian truy cập, loại thiết bị, tài khoản đăng nhập và hoạt động sử dụng theo chính sách của từng nền tảng.

Cơ quan chuyên môn của Bộ Công an từng cảnh báo ảnh được tải lên ứng dụng AI có thể đi kèm thông tin về thời gian, thiết bị và vị trí chụp; người dùng cần thận trọng khi cung cấp dữ liệu cá nhân cho các ứng dụng trực tuyến.

Điều gì có thể xảy ra sau khi ảnh được tải lên?

Không có một quy trình chung cho tất cả công cụ AI. Tùy từng dịch vụ, dữ liệu người dùng có thể được:

- Xử lý tức thời rồi xóa sau một khoảng thời gian;

- Lưu trên máy chủ để người dùng tiếp tục chỉnh sửa hoặc tải lại;

- Lưu trong lịch sử tài khoản;

- Sử dụng để kiểm tra an toàn, khắc phục lỗi hoặc hỗ trợ khách hàng;

- Chia sẻ với nhà cung cấp hạ tầng, đơn vị xử lý dữ liệu hoặc đối tác theo chính sách công bố;

- Sử dụng để cải thiện sản phẩm hoặc huấn luyện hệ thống nếu điều khoản và thiết lập tài khoản cho phép;

- Chuyển và xử lý tại hệ thống đặt ở quốc gia khác;

- Bị truy cập trái phép nếu tài khoản, hệ thống hoặc đơn vị cung cấp xảy ra sự cố bảo mật.

Vấn đề là nhiều người thường bấm “đồng ý” mà không đọc điều khoản, hoặc cài ứng dụng từ quảng cáo, đường link lan truyền trên mạng xã hội mà chưa xác minh nhà phát triển.

Ứng dụng tạo ảnh chỉ tồn tại trong thời gian ngắn, không có địa chỉ liên hệ, không công bố chính sách bảo mật hoặc yêu cầu quá nhiều quyền truy cập là những dấu hiệu cần đặc biệt thận trọng.

Những rủi ro có thể phát sinh từ một lần tải ảnh

1. Tạo hình ảnh hoặc video giả mạo

Ảnh khuôn mặt rõ nét từ nhiều góc độ có thể được sử dụng làm dữ liệu đầu vào để tạo ảnh ghép, video Deepfake hoặc tài khoản giả mạo.

Đối tượng có thể ghép khuôn mặt vào nội dung quảng cáo, video nhạy cảm hoặc cuộc gọi giả danh để lừa người thân, đồng nghiệp và đối tác.

2. Xây dựng kịch bản lừa đảo cá nhân hóa

Từ khuôn mặt, bối cảnh, tài khoản đăng nhập và những dữ liệu công khai khác, đối tượng có thể xác định nơi làm việc, người thân, sở thích hoặc hoàn cảnh của nạn nhân.

Khi thực hiện cuộc gọi lừa đảo, chúng sử dụng đúng tên, đúng mối quan hệ và đúng vấn đề mà nạn nhân đang quan tâm. Đây là lý do nhiều người tin rằng người gọi phải là “người trong ngân hàng”, “cán bộ cơ quan nhà nước” hoặc người quen.

3. Xâm phạm dữ liệu sinh trắc học

Khuôn mặt là một loại dữ liệu sinh trắc học. Khi dữ liệu này bị sao chép hoặc phát tán, người dùng không thể xử lý đơn giản như đổi một mật khẩu.

Luật Bảo vệ dữ liệu cá nhân quy định tổ chức, cá nhân thu thập và xử lý dữ liệu sinh trắc học phải có biện pháp bảo mật, giới hạn quyền truy cập và phòng ngừa hành vi xâm phạm.

4. Làm lộ vị trí và lịch trình

Một bức ảnh có thể cho biết người dùng đang ở đâu, đi cùng ai và vào thời điểm nào. Nếu thường xuyên đăng hoặc tải ảnh theo thời gian thực, người khác có thể suy đoán lịch sinh hoạt, nơi ở hoặc thời điểm vắng nhà.

Rủi ro tăng lên khi ảnh có biển tên địa điểm, vé máy bay, thông tin đặt phòng hoặc dữ liệu vị trí.

5. Xâm phạm quyền riêng tư của người khác

Một bức ảnh gia đình có thể chứa khuôn mặt của nhiều người, trong đó có trẻ em. Người tải ảnh lên có thể đã đồng ý sử dụng dịch vụ, nhưng những người xuất hiện trong ảnh chưa chắc biết hoặc đồng ý việc dữ liệu của mình được xử lý.

Không nên tự ý đưa ảnh riêng tư, ảnh trẻ em, ảnh đồng nghiệp hoặc tài liệu chứa dữ liệu của người khác lên công cụ AI khi chưa có căn cứ và sự đồng ý phù hợp.

6. Làm lộ thông tin công tác

Ảnh chụp tại nơi làm việc có thể vô tình để lộ tài liệu trên bàn, nội dung màn hình, sơ đồ cơ quan, danh sách cán bộ, lịch công tác hoặc thông tin về hệ thống nội bộ.

Đối với cán bộ, công chức, lực lượng vũ trang và người làm việc trong ngành nghề có yêu cầu bảo mật, việc tải ảnh hoặc tài liệu công tác lên công cụ AI công cộng có thể làm phát sinh nguy cơ mất an toàn thông tin, kể cả khi mục đích ban đầu chỉ là chỉnh sửa hình ảnh hoặc tóm tắt nội dung.

Những loại dữ liệu không nên tùy tiện đưa lên công cụ AI

Cần thận trọng cao nhất đối với:

- Ảnh đầy đủ hai mặt căn cước, hộ chiếu, giấy phép lái xe;

- Ảnh thẻ ngân hàng, mã QR thanh toán, số tài khoản và sao kê;

- Ảnh khuôn mặt rõ nét kèm giấy tờ định danh;

- Video khuôn mặt nhiều góc độ và đoạn ghi âm giọng nói;

- Hồ sơ sức khỏe, bệnh án, đơn thuốc và kết quả xét nghiệm;

- Ảnh, video riêng tư hoặc nhạy cảm;

- Ảnh trẻ em kèm tên, trường học và địa chỉ;

- Vé máy bay, thông tin đặt phòng và lịch trình chưa diễn ra;

- Hợp đồng, danh sách khách hàng, hồ sơ nhân sự;

- Ảnh chụp màn hình email, tin nhắn hoặc hệ thống nội bộ;

- Tài liệu thuộc phạm vi bí mật nhà nước, bí mật công tác, bí mật kinh doanh;

- Dữ liệu của người khác mà mình không có quyền cung cấp.

Ngay cả khi công cụ AI có vẻ uy tín, nguyên tắc cần thiết vẫn là chỉ cung cấp lượng dữ liệu tối thiểu để thực hiện đúng mục đích.

Bảy câu hỏi cần đặt ra trước khi tải ảnh

1. Đây có phải ứng dụng chính thức không?

Kiểm tra tên nhà phát triển, địa chỉ website và nguồn tải ứng dụng. Không truy cập công cụ AI qua đường link được gửi từ tài khoản lạ hoặc quảng cáo không rõ nguồn gốc.

2. Ứng dụng có thật sự cần ảnh này không?

Một công cụ chỉnh màu không cần ảnh căn cước. Một ứng dụng tạo ảnh đại diện không cần quyền đọc danh bạ, tin nhắn hoặc vị trí liên tục.

Nếu quyền truy cập vượt quá nhu cầu chức năng, nên từ chối.

3. Ảnh có chứa thông tin của người khác không?

Kiểm tra khuôn mặt người thân, trẻ em, đồng nghiệp và tài liệu xuất hiện trong ảnh. Cắt bỏ hoặc làm mờ những nội dung không cần thiết.

4. Ảnh có tiết lộ địa điểm hoặc thông tin công tác không?

Quan sát kỹ hậu cảnh, biển tên, thẻ nhân viên, màn hình máy tính, hồ sơ trên bàn, số nhà và biển số xe.

5. Đơn vị cung cấp lưu dữ liệu trong bao lâu?

Đọc chính sách về thời hạn lưu trữ, mục đích sử dụng, quyền xóa dữ liệu và việc chia sẻ với bên thứ ba. Nếu chính sách không rõ ràng hoặc khó tìm, không nên tải dữ liệu nhạy cảm.

6. Dữ liệu có được dùng để huấn luyện AI không?

Kiểm tra phần cài đặt quyền riêng tư. Nếu nền tảng cung cấp lựa chọn không sử dụng nội dung để cải thiện mô hình, người dùng có thể cân nhắc tắt chức năng này, nhất là khi xử lý dữ liệu cá nhân.

7. Nếu bức ảnh bị công khai, hậu quả sẽ như thế nào?

Đây là phép kiểm tra đơn giản nhưng hữu ích. Nếu việc ảnh bị lộ có thể ảnh hưởng đến tài sản, công việc, danh dự hoặc an toàn của một người, không nên tải ảnh lên dịch vụ công cộng.

Sử dụng AI an toàn hơn bằng cách nào?

Chọn nền tảng có thông tin rõ ràng

Ưu tiên dịch vụ có đơn vị cung cấp xác định, điều khoản sử dụng, chính sách bảo mật và cơ chế hỗ trợ người dùng. Tải ứng dụng từ kho chính thức, kiểm tra kỹ tên nhà phát triển để tránh ứng dụng giả mạo.

Giảm dữ liệu trước khi tải lên

- Cắt bỏ phần ảnh không cần thiết;

- Làm mờ khuôn mặt và thông tin của người khác;

- Che số giấy tờ, mã QR, biển số xe và địa chỉ;

- Xóa siêu dữ liệu vị trí nếu không cần thiết;

- Sử dụng ảnh có độ phân giải vừa đủ cho mục đích;

- Không tải cả thư mục ảnh khi chỉ cần xử lý một tệp.

Kiểm soát quyền truy cập

Chỉ cho phép ứng dụng truy cập những ảnh được lựa chọn, thay vì toàn bộ thư viện. Tắt quyền micro, camera, vị trí hoặc danh bạ nếu chức năng không cần sử dụng.

Sau khi hoàn thành, có thể thu hồi quyền hoặc gỡ ứng dụng nếu không tiếp tục dùng.

Bảo vệ tài khoản AI

Sử dụng mật khẩu riêng, kích hoạt xác thực hai lớp và không chia sẻ tài khoản. Nếu đăng nhập bằng tài khoản mạng xã hội hoặc email, cần kiểm tra ứng dụng đang được liên kết và thu hồi quyền đối với dịch vụ không còn sử dụng.

Tách dữ liệu cá nhân và dữ liệu công việc

Không sử dụng tài khoản cá nhân để xử lý tài liệu công vụ. Cơ quan, doanh nghiệp cần quy định rõ công cụ nào được phép sử dụng, loại dữ liệu nào không được đưa lên AI và ai chịu trách nhiệm kiểm tra kết quả.

Không xem AI là người ra quyết định

AI có thể hỗ trợ chỉnh sửa, gợi ý hoặc phân tích, nhưng kết quả có thể không chính xác. Đối với nội dung ảnh hưởng đến quyền, lợi ích của tổ chức và cá nhân, cán bộ hoặc người sử dụng phải kiểm tra và chịu trách nhiệm cuối cùng.

Nếu đã tải nhầm dữ liệu nhạy cảm lên AI

Không nên hoảng loạn nhưng cần xử lý sớm:

1. Xóa ảnh, cuộc trò chuyện hoặc dự án khỏi tài khoản nếu nền tảng có chức năng này;

2. Kiểm tra chính sách lưu trữ và gửi yêu cầu xóa dữ liệu khi cần thiết;

3. Thu hồi quyền truy cập thư viện ảnh, camera, micro, vị trí và danh bạ;

4. Đổi mật khẩu nếu đã dùng chung với tài khoản khác;

5. Kích hoạt xác thực hai lớp và đăng xuất khỏi thiết bị lạ;

6. Nếu đã tải ảnh giấy tờ hoặc tài chính, theo dõi tài khoản và liên hệ đơn vị liên quan khi phát hiện bất thường;

7. Thông báo cho người có dữ liệu xuất hiện trong ảnh;

8. Lưu giữ chứng cứ nếu phát hiện tài khoản giả, ảnh ghép hoặc nội dung bị sử dụng trái phép;

9. Báo cáo nền tảng và trình báo cơ quan Công an gần nhất khi có dấu hiệu lừa đảo, tống tiền hoặc xâm phạm quyền lợi.

Việc xóa ảnh khỏi giao diện không phải lúc nào cũng đồng nghĩa mọi bản sao kỹ thuật được xóa ngay lập tức. Người dùng cần thực hiện theo cơ chế xóa dữ liệu và chính sách của từng dịch vụ.

Pháp luật bảo vệ dữ liệu của người dùng AI

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026, ghi nhận các quyền của công dân đối với dữ liệu cá nhân và quy định trách nhiệm của cơ quan, tổ chức, doanh nghiệp trong quá trình thu thập, xử lý, lưu trữ và chia sẻ dữ liệu. Luật nghiêm cấm mua bán, chiếm đoạt, cố ý làm lộ, làm mất hoặc sử dụng dữ liệu cá nhân để thực hiện hành vi trái pháp luật.

Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ ngày 01/3/2026, nghiêm cấm việc thu thập, xử lý hoặc sử dụng dữ liệu để phát triển, huấn luyện, kiểm thử, vận hành AI trái quy định về dữ liệu, bảo vệ dữ liệu cá nhân, sở hữu trí tuệ và an ninh mạng. Luật cũng đặt ra yêu cầu minh bạch, nhận diện tương tác với AI và gắn dấu hiệu nhận biết đối với nội dung do AI tạo ra.

Tuy nhiên, quy định pháp luật không thay thế được sự thận trọng của người sử dụng. Khi dữ liệu đã bị sao chép và phát tán trên không gian mạng, việc khắc phục có thể mất nhiều thời gian và không phải lúc nào cũng thu hồi được toàn bộ.

Khuyến cáo của Công an tỉnh Tây Ninh

Công an tỉnh Tây Ninh đề nghị người dân sử dụng AI một cách chủ động, có hiểu biết và đúng mục đích; không chạy theo trào lưu mà đánh đổi dữ liệu cá nhân.

Trước khi tải ảnh hoặc tài liệu lên AI, cần ghi nhớ:

- Không tải ảnh giấy tờ tùy thân, tài chính và hồ sơ sức khỏe lên công cụ không rõ nguồn gốc;

- Không cung cấp hình ảnh, giọng nói và dữ liệu sinh trắc học vượt quá nhu cầu;

- Không đưa dữ liệu của trẻ em hoặc người khác lên AI khi chưa có căn cứ phù hợp;

- Không cấp quyền truy cập toàn bộ ảnh, danh bạ, micro và vị trí nếu không cần thiết;

- Không đưa tài liệu nội bộ, dữ liệu công dân hoặc bí mật công tác lên công cụ AI công cộng;

- Luôn đọc chính sách bảo mật và kiểm tra thiết lập sử dụng dữ liệu;

- Khi phát hiện dữ liệu bị lợi dụng, cần lưu chứng cứ, báo cáo nền tảng và liên hệ cơ quan Công an gần nhất.

AI có thể tạo ra một bức ảnh mới chỉ trong vài giây, nhưng dữ liệu dùng để tạo ra bức ảnh ấy có thể gắn với một con người trong thời gian rất dài. Cân nhắc trước khi tải lên chính là bước đầu tiên để sử dụng trí tuệ nhân tạo an toàn và có trách nhiệm./.

Minh Long