Công cụ AI ghi lại email và tin nhắn gửi tới nhân viên Mỹ, Meta sẽ gặp rắc rối ở EU

Dự kiến Meta, công ty mẹ Facebook, ​​sẽ thu thập dữ liệu từ ngoài Mỹ trong quá trình đó.

Các tài liệu trên làm nảy sinh thêm nhiều vấn đề mới cho dự án, vốn là một phần quan trọng trong kế hoạch lớn hơn của Giám đốc điều hành Mark Zuckerberg nhằm tái cấu trúc hoạt động Meta xoay quanh các tác tử AI. Theo các tổ chức bảo vệ quyền riêng tư, điều này có thể khiến Meta tiếp tục đối mặt với một cuộc chiến pháp lý mới tại châu Âu.

Hồi tháng 4, Meta đã thông báo với nhân viên rằng họ đang triển khai công cụ để ghi lại cách nhân viên sử dụng máy tính, bao gồm chuyển động chuột, các cú nhấp chuột và thao tác trong menu xổ xuống, để xây dựng tác tử AI có thể thực hiện các tác vụ phần mềm hàng ngày một cách tự động.

Công cụ này có tên Model Capability Initiative (MCI), đang thu thập dữ liệu từ hơn 200 ứng dụng và trang web, theo một danh sách mà Meta đã chia sẻ với nhân viên. Meta cho biết dự án chỉ ảnh hưởng đến nhân viên tại Mỹ và đã có các biện pháp bảo vệ thông tin nhạy cảm.

Song trong những tuần sau khi triển khai, nhiều nhân viên Meta phàn nàn rằng MCI ngốn lượng dữ liệu quá lớn, khiến mức sử dụng Internet tại nhà của họ tăng vọt. Trong một số trường hợp, MCI dùng hết hạn mức dữ liệu Internet cả tháng chỉ trong vài ngày, theo các bài đăng nội bộ mà Reuters xem được.

Meta thừa nhận trong một tài liệu hỏi đáp rằng MCI sẽ ghi lại nội dung bất kỳ email hoặc tin nhắn trực tiếp nào được gửi tới nhân viên Mỹ, bất kể người gửi đang ở quốc gia nào.

Trong tuyên bố gửi Reuters, ông Dave Arnold, phát ngôn viên Meta, cho biết MCI chỉ được cài trên thiết bị của nhân viên Mỹ và mục tiêu chính là theo dõi cách con người tương tác với máy tính, chứ không phải nội dung hiển thị trên màn hình.

“Để minh bạch, chúng tôi đã thông báo cho các nhân viên ngoài Mỹ rằng MCI được triển khai trên máy tính của các đồng nghiệp tại Mỹ mà họ có thể trao đổi qua email hoặc trò chuyện trong quá trình làm việc bình thường”, Dave Arnold nói.

Ông xác nhận con số khoảng hơn 200 ứng dụng và website mà MCI đang theo dõi, nhưng từ chối trả lời chi tiết về lượng dữ liệu mà công cụ này thu thập cũng như tính hợp pháp của dự án.

“Chúng tôi đã cân nhắc kỹ lưỡng và giảm thiểu các rủi ro quyền riêng tư tiềm ẩn trong cả quá trình phát triển lẫn triển khai công cụ này, đồng thời cam kết tuân thủ các luật và quy định hiện hành”, Dave Arnold nói.

Meta đối mặt rắc rối pháp lý ở EU nghiêm trọng hơn

Những thông tin mới có thể khiến rắc rối pháp lý của Meta tại Liên minh châu Âu (EU) nghiêm trọng hơn, trong bối cảnh các hãng công nghệ đang đối mặt nhiều cuộc chiến pháp lý gay gắt liên quan đến cách họ thu thập và sử dụng dữ liệu.

Trong khi nhân viên tại Mỹ có rất ít biện pháp bảo vệ trước việc bị công ty giám sát, các doanh nghiệp hoạt động theo Quy định Bảo vệ Dữ liệu Chung (GDPR) của EU phải có cơ sở pháp lý rõ ràng để xử lý dữ liệu cá nhân, phải công khai dữ liệu nào được thu thập và đáp ứng các điều kiện nghiêm ngặt với dữ liệu đặc biệt nhạy cảm, gồm cả thông tin sức khỏe.

Trong tài liệu FAQ (những câu hỏi thường gặp) về MCI, Meta có một mục dành cho nhân viên ngoài Mỹ: “Tôi ở ngoài nước Mỹ. Các cuộc trò chuyện hoặc dữ liệu của tôi có bị ghi lại nếu tôi trao đổi với đồng nghiệp ở Mỹ đang bật công cụ này không?”

Phản hồi của Meta: “Nếu một đồng nghiệp tại Mỹ bật công cụ trong lúc trò chuyện qua Google Chat hoặc email với ai đó ngoài nước Mỹ, hoạt động đó sẽ bị ghi lại”.

Trong tài liệu FAQ, Meta cũng cho biết dữ liệu do MCI thu thập sẽ được tách khỏi thông tin nhận dạng nhân viên, nên công ty sẽ không thể tra cứu hoặc xóa dữ liệu của từng cá nhân theo yêu cầu. Trong khi đó, đây lại là quyền mà người dùng được bảo đảm theo quy định tại châu Âu.

Bà Kleanthi Sardeli, chuyên gia pháp lý thuộc tổ chức bảo vệ quyền riêng tư NOYB, nói với Reuters rằng ngay cả việc thu thập dữ liệu nhân viên EU ở mức hạn chế hoặc gián tiếp cũng có thể khiến Meta vi phạm GDPR.

Theo bà, các điểm gây tranh cãi lớn bao gồm việc liệu hoạt động thu thập dữ liệu ở châu Âu này có được xem là ngẫu nhiên hay bị coi là hành vi giám sát theo GDPR, cũng như liệu dự án có vượt qua được nguyên tắc “giới hạn mục đích sử dụng dữ liệu” hay không.

“Dữ liệu này ban đầu được thu thập nhằm phục vụ liên lạc công việc và thực hiện hợp đồng lao động. Việc lấy các đoạn trò chuyện của nhân viên rồi đưa vào mô hình AI là không phù hợp với mục đích ban đầu đó”, Kleanthi Sardeli lý giải.

Người phát ngôn của Ủy ban Bảo vệ Dữ liệu Ireland (DPC), cơ quan quản lý quyền riêng tư chính của Meta tại EU theo GDPR, cho biết Meta nói với họ rằng dữ liệu của nhân viên EU cũng như việc ghi lại nội dung màn hình “không nằm trong mục đích chính của MCI”, nhưng không giải thích thêm.

Dave Arnold từ chối bình luận về các trao đổi của Meta với cơ quan quản lý.

Nhân viên Meta phản ứng dữ dội vì bị thu thập dữ liệu

MCI là một phần trong kế hoạch tái cấu trúc quy mô lớn của Meta nhằm giao nhiều công việc cho các tác tử AI, điều đã gây ra làn sóng phản ứng dữ dội trong nội bộ. Một số nhân viên ví Meta như “nhà máy khai thác dữ liệu nhân viên”.

Trong một bài đăng nội bộ, một nhân viên chia sẻ kết quả phân tích chi tiết các file nhật ký MCI với sự hỗ trợ từ mô hình Claude của Anthropic. Đây là loại công cụ AI mà Meta đang khuyến khích nhân viên tích hợp vào quy trình làm việc của họ.

Theo phân tích được nhiều nhân viên Meta khác đã kiểm chứng lại, MCI được tích hợp vào phần mềm bảo mật dữ liệu sẵn có của công ty, cho phép công cụ truy cập thêm nhiều thông tin như thay đổi trong mã lập trình của nhân viên, chu kỳ ngủ và thức của máy tính, các URL đã truy cập và cả nội dung clipboard mà họ sao chép rồi dán. Dữ liệu sau đó được lưu dưới dạng không mã hóa với mức độ bảo mật thấp hơn.

Nhân viên này cho rằng việc tổng hợp khối lượng dữ liệu lớn như vậy có thể giúp Meta xây dựng “một mô hình hành vi hoàn chỉnh về cách nhân viên tri thức thực hiện công việc”.

“Đây không phải kiểu AI chỉ giúp bạn bấm menu xổ xuống, mà là AI biết phải bấm menu nào, chọn gì, dán vào tài liệu nào và tiếp theo cần làm gì”, người đó viết.

Bài đăng sau đó đã biến mất, hai nhân viên Meta nói với Reuters.

Dave Arnold gọi các kết luận trong bài đăng là “sai lệch nghiêm trọng”, nhưng từ chối trả lời các câu hỏi liên quan hoặc xác nhận liệu công ty có gỡ bài đăng đó hay không.

Ông Johnny Ryan, Giám đốc đơn vị thực thi thuộc Hội đồng Quyền Tự do Dân sự Ireland, nói rằng các trao đổi nội bộ tại Meta càng cho thấy “điều thiết yếu” là DPC phải điều tra dự án này.

“Vấn đề này không chỉ giới hạn ở nhân viên Meta. Nó liên quan đến mọi nhân viên trong mọi lĩnh vực có thể bị AI thay thế. Nếu hiểu rõ bản chất sự việc, ai cũng sẽ quan tâm”, ông nói.