Meta vừa phải tạm dừng Model Capability Initiative (MCI) — chương trình theo dõi hoạt động nhân viên để train AI agents — sau khi dữ liệu nhạy cảm bị rò rỉ toàn nội bộ. Đây là câu chuyện về việc công ty công nghệ lớn hành tinh dùng chính nhân viên làm dữ liệu train AI, rồi mất kiểm soát chính dữ liệu đó.
Meta Đã Thu Thập Gì Ở Nhân Viên?
Tháng 4/2026, Meta công bố Model Capability Initiative (MCI) — cài đặt công cụ theo dõi lên máy tính nhân viên Mỹ. Công cụ này ghi lại chuột di chuyển thế nào, click vào đâu, gõ phím gì, và thỉnh thoảng chụp màn hình. Tất cả trong các app và website liên quan công việc.
Mục đích chính thức: train AI agents làm việc trên máy tính giống con người hơn. Trong nội bộ, CTO Andrew Bosworth gọi đây là bước đầu tiên trong “Agent Transformation Accelerator” — tầm nhìn agent làm phần lớn công việc, con người chỉ cần hướng dẫn, review, và giúp agent cải thiện.
Một nhân viên hỏi “Làm sao opt out?” Bosworth trả lời thẳng: không có lựa chọn opt out trên laptop công ty. MCI là bắt buộc.
Rò Rỉ Dữ Liệu Xảy Ra Như Thế Nào?
Theo Business Insider, ảnh chụp màn hình nội bộ cho thấy dữ liệu MCI bị accessible trên toàn bộ công ty Meta. Không phải một phòng ban, không phải một team — toàn bộ.
Dữ liệu bị lộ bao gồm: cuộc trò chuyện riêng tư của nhân viên, dữ liệu hiệu suất công việc, và bản transcription. Sự cố được xếp loại SEV 2 trên thang 0-5 (0 nặng nhất).
Một nhân viên viết trên group nội bộ: “Tôi rất tức giận. Tôi không thấy bằng chứng truy cập ác ý, nhưng việc dữ liệu này không được khóa ngay từ đầu là cực kỳ thất vọng.”
Meta phát biểu: “Chúng tôi đã thiết kế chương trình này cẩn thận với các biện pháp bảo vệ quyền riêng tư. Dù hiện không có dấu hiệu dữ liệu bị truy cập sai, chúng tôi đang tạm dừng để điều tra.”
Tại Sao Đây Là Vấn Đề Lớn Hơn Nghĩa Đen Của Nó?
MCI không chỉ là story về một công cụ theo dõi. Nó là bản xem trước của tương lai AI agent — khi công ty dùng con người làm training data theo nghĩa đen.
Meta muốn xây AI agents có thể tự động hóa công việc văn phòng: điều hướng phần mềm, click nút, điền form, quản lý workflow. Để train agent đó, cần dữ liệu thật về cách con người tương tác với máy tính. Không có dataset nào trên Internet đủ chi tiết — nên Meta dùng nhân viên mình.
Vấn đề: dữ liệu chuột-phím-màn hình là dữ liệu sinh trắc học hành vi. Nó tiết lộ không chỉ bạn làm gì, mà cả cách bạn làm — tốc độ gõ, thói quen click, khoảng thời gian dừng lại trước một quyết định. Đây là metadata mức độ sâu chưa từng được thu thập ở quy mô công ty lớn.
So Sánh MCI Với Các Chương Trình Theo Dõi Khác?
Công ty theo dõi nhân viên không phải chuyện mới. Hubstaff, Time Doctor, ActivTrak — cả mảng productivity monitoring đã tồn tại năm trước pandemic. Nhưng MCI khác ở 3 điểm:
Mục đích khác: Phần mềm tracking truyền thống đo hiệu suất. MCI thu thập dữ liệu để train AI — dữ liệu sẽ tồn tại mãi trong model, không xóa được.
Quy mô khác: Meta có hơn 67.000 nhân viên. Nếu toàn bộ bị track, đó là dataset hành vi máy tính lớn nhất từ trước đến nay — lớn hơn bất kỳ nghiên cứu học thuật nào.
Không opt-out: Bosworth nói rõ — không có lựa chọn từ chối. Khác với các công ty khác thường cho phép nhân viên ở khu vực hoặc vai trò nhất định opt-in.
Meta Đang Gặp Rắc Rối Gì Thêm?
Rò rỉ MCI chỉ là phần nổi. Meta đang đối mặt chuỗi sự cố an ninh trong vài tháng gần đây:
Tháng 6/2026: Lỗ hổng AI chatbot cho phép hacker chiếm nhiều tài khoản Instagram cùng lúc. Tháng 3/2026: Một rogue AI agent gây sự cố nghiêm trọng, The Information đưa tin. Tháng 9/2025: Trưởng phòng bảo mật WhatsApp kiện Meta vì hệ thống review rủi ro quyền riêng tư.
Đồng thời, White House đang ép Meta submit AI models cho chính phủ review. OpenAI, Anthropic, Google, Microsoft, và xAI đều đã đồng ý đăng ký với Center for AI Standards and Innovation (CAISI). Meta là công ty duy nhất trong nhóm lớn chưa ký.
Phát ngôn viên Meta Francis Brennan nói: “Chúng tôi đang xem xét chi tiết và hy vọng ký thỏa thuận sớm.” Nhưng sự chậm trễ nói lên điều đó — Meta muốn giữ kiểm soát hoàn toàn over models của mình.
Bài Học Cho Doanh Nghiệp Việt Nam?
Nhiều công ty Việt Nam đang cân nhắc triển khai AI agent nội bộ. Rò rỉ MCI của Meta là case study giá trị về 3 điều cần tránh:
Thu thập dữ liệu không có ranh giới rõ: Nếu bạn track nhân viên để train AI, phải định nghĩa rõ dữ liệu nào thu thập, lưu ở đâu, ai truy cập được. Meta xây “safeguards” nhưng đến khi rò rỉ mới phát hiện safeguards không hoạt động.
Không có cơ chế opt-out: Bắt buộc toàn bộ tạo phản ứng tiêu cực ngay từ đầu. Tại Meta, nhân viên đã phản đối dữ dội. Công ty nhỏ hơn sẽ khó hơn trong việc giữ nhân tài nếu áp dụng cách tương tự.
Gộp dữ liệu nhạy cảm vào dataset chung: Lỗi lớn nhất của Meta là để MCI data accessible toàn công ty. Nguyên tắc cơ bản của data isolation — sensitive data phải tách biệt, access theo nguyên tắc need-to-know — bị bỏ qua.
AI Agent Training Data Sẽ Đi Về Đâu?
Xu hướng dùng nhân viên làm training data sẽ không dừng ở Meta. Google, Microsoft, Apple đều đang phát triển AI agents tương tự và đều cần dữ liệu hành vi máy tính thật.
Câu hỏi lớn: ai sở hữu dữ liệu hành vi của bạn trong giờ làm việc? Nếu công ty thu thập, công ty sở hữu? Nếu dữ liệu dùng để train model tạo ra sản phẩm thương mại, nhân viên có được chia phần?
EU AI Act bắt đầu áp dụng đầy đủ trong năm nay, có điều khoản về hệ thống giám sát tại nơi làm việc. Mỹ chưa có luật tương đương ở cấp liên bang, nhưng một số bang đang xem xét. Việt Nam có Nghị định 13/2023 về bảo vệ dữ liệu cá nhân — dữ liệu hành vi nhân viên cũng thuộc phạm vi điều chỉnh.
Nếu bạn đang làm việc ở công ty có AI initiative nội bộ, hãy hỏi: họ thu thập dữ liệu gì từ máy của bạn? Dữ liệu đó đi đâu? Bạn có quyền từ chối không? Câu trả lời cho những câu hỏi này sẽ quyết định tương lai quyền riêng tư tại nơi làm việc trong kỷ nguyên AI.
