Microsoft đưa xử lý Copilot về trong biên giới 15 nước — vì sao "chủ quyền dữ liệu" đang đẩy doanh nghiệp về phía AI nội bộ

Trả lời nhanh: Microsoft đang mang phần xử lý AI của Microsoft 365 Copilot về bên trong biên giới từng quốc gia — 15 nước tính đến 2026. Động thái này xác nhận "chủ quyền dữ liệu" không còn là chuyện riêng của ngân hàng hay chính phủ. Nhưng "xử lý trong nước" mới chỉ trả lời câu hỏi dữ liệu được xử lý ở đâu; nó không trả lời ai nắm quyền kiểm soát. Với dữ liệu thật sự nhạy cảm — và với các nghĩa vụ lưu trữ dữ liệu tại Việt Nam theo Luật An ninh mạng 2018 + Nghị định 53/2022 — phương án kiểm soát cao nhất vẫn là AI nội bộ / on-premise: mô hình chạy trong hạ tầng của chính doanh nghiệp, dữ liệu không rời khỏi vòng kiểm soát.

1. Microsoft vừa công bố gì?

Ngày 04/11/2025, Microsoft công bố mở rộng in-country data processing cho Microsoft 365 Copilot. Theo mô tả của Microsoft, các tương tác với Copilot "được xử lý, trong điều kiện vận hành bình thường, tại các trung tâm dữ liệu đặt trong biên giới của một quốc gia, giúp khách hàng kiểm soát dữ liệu nhiều hơn". Nói cách khác: prompt bạn gửi lên và phản hồi từ mô hình ngôn ngữ lớn được giữ và xử lý ngay trong nước.

Lộ trình được Microsoft nêu rõ theo hai giai đoạn:

Nguồn số liệu Bảng 1: Microsoft 365 Blog, "Microsoft offers in-country data processing to 15 countries…", 04/11/2025.

2. "In-country processing" khác gì "data residency"?

Hai khái niệm dễ nhầm:

• Data residency (lưu trú dữ liệu): dữ liệu được lưu ở trong nước. Microsoft cho biết đang có ở 27 quốc gia.
• In-country processing (xử lý trong nước): cả bước xử lý/suy luận (prompt → mô hình → phản hồi) cũng diễn ra trong biên giới, không chỉ khâu lưu trữ. Đây là bước mở rộng mới cho Copilot, hướng tới 15 nước.

Điểm mấu chốt: cả hai đều là dịch vụ do Microsoft vận hành. Chúng thu hẹp khoảng cách địa lý của dữ liệu, nhưng bản chất vẫn là hạ tầng của nhà cung cấp — không phải hạ tầng của bạn.

3. Bức tranh lớn: chủ quyền dữ liệu đã thành xu hướng chủ đạo

Việc một hyperscaler như Microsoft phải "đưa AI về nước" phản ánh áp lực toàn ngành. Gartner dự báo đến 2030, hơn 75% doanh nghiệp châu Âu và Trung Đông sẽ "geopatriate" — đưa workload ảo về các giải pháp giảm rủi ro địa chính trị (sovereign cloud, nhà cung cấp khu vực, hoặc chính data center của mình) — so với dưới 5% năm 2025.

Nguồn: Gartner (Top Strategic Technology Trends 2026, dẫn qua Help Net Security), Microsoft 365 Blog, lawlinkvn, Báo Lâm Đồng.

4. Đối chiếu pháp lý Việt Nam

Việt Nam đã có khung nội địa hoá dữ liệu trước cả làn sóng AI:

• Luật An ninh mạng 2018 (Điều 26) đặt yêu cầu chung về lưu trữ dữ liệu; Nghị định 53/2022/NĐ-CP hướng dẫn chi tiết, hiệu lực 01/10/2022.
• Các loại dữ liệu phải lưu tại Việt Nam gồm: thông tin cá nhân của người dùng tại VN; dữ liệu do người dùng tạo ra (tên tài khoản, thời gian sử dụng, thông tin thẻ, email, IP, số điện thoại); và dữ liệu về quan hệ của người dùng.
• Thời gian lưu trữ tối thiểu 24 tháng; doanh nghiệp nước ngoài thuộc diện điều chỉnh phải lập chi nhánh/văn phòng đại diện và hoàn tất lưu trữ trong 12 tháng kể từ khi có yêu cầu bằng văn bản của Bộ Công an.

Lưu ý ranh giới bài viết: bài này KHÔNG hướng dẫn né tránh nghĩa vụ pháp lý, KHÔNG bàn cách lách Luật An ninh mạng 2018 hay Nghị định 147/2024/NĐ-CP về quản lý, cung cấp, sử dụng dịch vụ Internet và thông tin trên mạng. Mục tiêu là giúp doanh nghiệp tuân thủ tốt hơn bằng kiến trúc dữ liệu phù hợp.

5. Khi nào "in-country" chưa đủ — vai trò của AI nội bộ / on-premise

"Xử lý trong nước" giải quyết vị trí địa lý, nhưng ba câu hỏi vẫn còn:

1. Ai kiểm soát khoá và quyền truy cập? Trên dịch vụ của nhà cung cấp, quyền vận hành cuối cùng thuộc về nhà cung cấp, dù data center đặt ở đâu.
2. Dữ liệu có rời hạ tầng của bạn không? Với API công cộng, payload nhạy cảm vẫn phải gửi ra ngoài để được xử lý.
3. Bạn có phụ thuộc một nhà cung cấp không? Rủi ro khoá nhà cung cấp (vendor lock-in) là một lý do Gartner đưa "geopatriation" vào Top Strategic Technology Trends 2026 — trend thứ 10.

Với dữ liệu đặc biệt nhạy cảm (hồ sơ khách hàng, tài sản trí tuệ, dữ liệu thuộc diện lưu trú bắt buộc), phương án kiểm soát triệt để là AI nội bộ / on-premise: triển khai mô hình mở trong data center hoặc cụm máy chủ của chính doanh nghiệp, để dữ liệu không rời vòng kiểm soát. Đây là mức "chủ quyền dữ liệu" cao nhất — và cũng là mức mà "in-country" của bên thứ ba, theo định nghĩa, không đạt tới.

6. Doanh nghiệp Việt nên làm gì

• Phân loại dữ liệu trước. Không phải mọi thứ đều cần on-premise. Tách rõ dữ liệu thuộc diện lưu trú bắt buộc / nhạy cảm với phần còn lại.
• Bản đồ nghĩa vụ pháp lý. Đối chiếu Luật An ninh mạng 2018 + Nghị định 53/2022 để biết loại dữ liệu nào bắt buộc lưu tại VN, tối thiểu 24 tháng.
• Chọn đúng lớp kiến trúc. Public cloud cho tác vụ ít nhạy cảm; in-country cho tuân thủ vị trí; on-premise/AI nội bộ cho dữ liệu lõi.
• Chuẩn bị tuân thủ nhãn AI. Từ 01/3/2026, nội dung do AI tạo/chỉnh (mô phỏng người/sự kiện thật) phải gắn nhãn dễ nhận biết theo Luật Trí tuệ nhân tạo 2025.

Câu hỏi thường gặp

Bài viết mang tính thông tin, không phải tư vấn pháp lý. Doanh nghiệp nên tham vấn chuyên gia trước khi ra quyết định tuân thủ. Tổng hợp từ nguồn công khai tại 15/07/2026, có thể thay đổi.