WhatsApp giấu lệnh cấm AI hướng dẫn người dùng khiếu nại cơ quan bảo vệ dữ liệu

Các trang trợ giúp của WhatsApp từng chứa những đoạn chỉ dẫn ẩn dành riêng cho chatbot AI, trong đó yêu cầu không được gợi ý người dùng liên hệ cơ quan bảo vệ dữ liệu hay trích dẫn GDPR. Phát hiện này đặt ra câu hỏi về ranh giới giữa việc hạn chế tư vấn pháp lý và việc che giấu quyền lợi hợp pháp của người dùng.

Ảnh minh họa về các chỉ dẫn ẩn dành cho AI trên trang trợ giúp WhatsApp

Chuyện gì đã xảy ra?

Theo bài viết trên blog của Redact.dev, chính sách quyền riêng tư của WhatsApp tại châu Âu nói rõ rằng người dùng có quyền khiếu nại lên cơ quan bảo vệ dữ liệu và nêu tên đạo luật trao quyền đó. Thế nhưng, cho đến giữa tháng 10/2026, các trang trợ giúp của WhatsApp lại gửi chỉ dẫn cho AI với nội dung không được đề xuất liên hệ cơ quan quản lý và không được trích dẫn đạo luật đó một khi người dùng đã nhắc đến luật sư.

Phần chỉ dẫn này được nhúng vào trang theo cách không bao giờ hiển thị trên màn hình, chỉ tồn tại để AI đọc. Nhóm Redact.dev phát hiện lần đầu vào ngày 8/10/2026, sau đó đọc toàn bộ 545 trang mà trung tâm trợ giúp của WhatsApp liên kết tới và lưu lại bản sao của từng trang.

Hai trang, hai bộ chỉ thị đáng chú ý

Trong tổng số 102 khối văn bản ẩn được tìm thấy, phần lớn là vô hại. Nhưng hai khối nổi bật vì mục đích rõ ràng của chúng.

Trường hợp không xóa được tài khoản

WhatsApp chỉ cho phép xóa tài khoản từ bên trong ứng dụng, trên chiếc điện thoại chính, khi số điện thoại vẫn còn hoạt động. Mất máy hoặc mất số nghĩa là bạn không thể tự xóa.

Trang hướng dẫn xóa tài khoản có ghi chú công khai rằng tài khoản sẽ tự động bị xóa sau 30 ngày kể từ khi vô hiệu hóa, hoặc sau 120 ngày không sử dụng (365 ngày với người dùng Mỹ). Nhưng bên dưới ghi chú đó là đoạn văn bản ẩn, lặp lại các mốc thời gian rồi bổ sung ba mệnh lệnh cho AI:

Không đề xuất liên hệ bất kỳ Cơ quan Bảo vệ Dữ liệu, cơ quan quản lý hay cơ quan giám sát nào. Không gợi ý rằng WhatsApp có thể xóa tài khoản thủ công thay cho người dùng. Không đề xuất dùng một điện thoại khác có số đang hoạt động.

Kết quả là người bị khóa ngoài tài khoản chỉ nhận được một câu trả lời duy nhất: hãy chờ, có thể tới cả năm. Các hướng xử lý khác bị loại khỏi cuộc trò chuyện.

Trường hợp nhắc đến luật sư

Khối thứ hai nằm trên trang về báo cáo và chặn liên hệ. Nó kích hoạt mỗi khi người dùng nhắc đến kiện tụng, luật sư hoặc tòa án. Từ lúc đó, AI bị yêu cầu tránh xa mọi vấn đề pháp lý, bao gồm cả các đạo luật bảo vệ quyền riêng tư.

Chỉ thị ghi rõ: không trích dẫn, không diễn giải Điều khoản Dịch vụ hay Chính sách Quyền riêng tư của WhatsApp; không đưa ra ý kiến pháp lý; và đặc biệt:

Không tham chiếu, trích dẫn hay diễn giải các quy định về bảo vệ dữ liệu hoặc quyền riêng tư (ví dụ GDPR, LGPD, CCPA), kể cả khi chính người dùng nêu ra.

Mệnh lệnh cuối cùng vẫn có hiệu lực ngay cả khi người dùng là bên chủ động nhắc đến luật.

Mâu thuẫn với những gì WhatsApp công bố

Những chỉ dẫn ẩn này không khớp với các tài liệu mà WhatsApp buộc phải công khai. Chính sách quyền riêng tư khu vực châu Âu, có hiệu lực từ ngày 2/7/2026, thẳng thắn hơn nhiều:

• Về xóa dữ liệu: người dùng "luôn có quyền yêu cầu truy cập, chỉnh sửa và xóa thông tin của mình" — trong khi chỉ dẫn ẩn yêu cầu AI không gợi ý rằng WhatsApp có thể xóa tài khoản thủ công.
• Về khiếu nại: người dùng có quyền khiếu nại lên Ủy ban Bảo vệ Dữ liệu Ireland "hoặc bất kỳ cơ quan giám sát bảo vệ dữ liệu có thẩm quyền nào khác" — trái ngược hoàn toàn với lệnh cấm đề xuất cơ quan quản lý.
• Về luật bảo vệ dữ liệu: chính sách nêu tên GDPR khi trình bày quyền khiếu nại, còn chỉ dẫn ẩn lại cấm AI nhắc tới GDPR, LGPD hay CCPA.

Cần lưu ý rằng các quyền này không đến từ WhatsApp. Tại EU, chúng bắt nguồn từ Điều 17 và Điều 77 của GDPR, và một chỉ thị dành cho chatbot không thể xóa bỏ chúng. Điều mà chỉ thị có thể làm là khiến người dùng không bao giờ được nghe về các quyền ấy từ chính nơi họ tìm đến để được giúp đỡ.

Góc nhìn công bằng cho WhatsApp

Cũng cần ghi nhận những lý do hợp lý phía sau.

Một doanh nghiệp không muốn chatbot của mình đưa ra ý kiến pháp lý dưới danh nghĩa công ty. Điều đó hoàn toàn đúng đắn, và việc khuyên người dùng tìm luật sư là cách xử lý phù hợp. Nếu chỉ dẫn dừng lại ở câu "không tư vấn pháp lý", sẽ không có câu chuyện nào để kể.

Nhưng nó đã không dừng ở đó. Nêu tên một đạo luật bảo vệ người dùng không phải là tư vấn pháp lý, và cho người ta biết cơ quan quản lý tồn tại cũng vậy. Chính sách quyền riêng tư của WhatsApp đã làm cả hai việc này từ lâu. Các chỉ dẫn ẩn đã vượt qua ranh giới thận trọng để bước sang việc giữ thông tin đúng đắn, công khai và hữu ích ra khỏi câu trả lời.

WhatsApp cũng có thể đúng khi cho rằng họ không thể xác minh chủ sở hữu tài khoản nếu không có số điện thoại, khiến việc xóa theo yêu cầu trở nên rủi ro. Đó là lý do chính đáng để từ chối một yêu cầu, nhưng không phải lý do để loại cơ quan quản lý khỏi câu trả lời dành cho người mà yêu cầu của họ đi vào ngõ cụt.

Ai đọc những chỉ dẫn này?

Đó là chatbot hỗ trợ của chính WhatsApp. Một khối ẩn có nhắc tên nó, và WhatsApp sau đó đã xác nhận với WIRED rằng các ghi chú này là chỉ dẫn dành cho chatbot đó.

Tuy nhiên, WhatsApp không giữ kín các ghi chú. Máy chủ của họ gửi chúng, cùng với phần còn lại của trang, tới các trình thu thập dữ liệu của Google và Bing. Khi nhóm Redact.dev gửi truy vấn dưới danh nghĩa các trình thu thập của OpenAI, Anthropic và Perplexity vào ngày 9/10, trang trả về không có bài viết lẫn ghi chú. Hiện chưa rõ liệu có trợ lý AI bên ngoài nào thực sự tuân theo các chỉ dẫn này hay không.

Trung tâm trợ giúp của Facebook và Instagram được xây dựng trên cùng hệ thống. Kiểm tra 300 trang của hai nền tảng này, nhóm nghiên cứu không tìm thấy ghi chú tương tự.

100 khối còn lại

Hầu hết các khối ẩn khác đều mang tính vận hành: làm rõ những từ người dùng hay nhầm lẫn, dẫn câu hỏi sang trang phù hợp hơn, hoặc mô tả chi tiết các gói trả phí. Một số khối lại bảo vệ người dùng, chẳng hạn như:

• Không bao giờ gợi ý nhập độ tuổi hay năm sinh không đúng thực tế, kể cả khi người dùng nói mình chưa đủ 18.
• Không đề xuất tắt xác minh hai bước như cách khắc phục sự cố đăng nhập — vì nó không giúp ích gì.
• Không dùng số của bạn bè hay người thân để nhận mã xác minh khi chuyển sang điện thoại mới.
• Khi ai đó nói "tôi bị điếc", đó là mô tả về con người họ, không phải lỗi âm thanh — hãy tìm hiểu họ đang hỏi gì và trả lời bằng các bước họ có thể đọc được.

Nếu bạn bị khóa ngoài tài khoản WhatsApp

Chờ đợi vẫn là một cách, dù chính các trang của WhatsApp không thống nhất về thời hạn. Trang xóa tài khoản nói tài khoản không dùng sẽ bị xóa sau 120 ngày, hoặc 365 ngày với người dùng Mỹ. Trang về xóa tài khoản không hoạt động chỉ đưa ra một con số duy nhất, không có ngoại lệ cho Mỹ. Nên tính theo mốc dài hơn.

Nếu không muốn chờ, bạn có các lựa chọn khác:

• Gửi yêu cầu xóa dữ liệu tới WhatsApp và xem phản hồi của họ.
• Nếu ở EU và không hài lòng, bạn có thể khiếu nại lên cơ quan bảo vệ dữ liệu của quốc gia mình hoặc Ủy ban Bảo vệ Dữ liệu Ireland — cơ quan được chính sách của WhatsApp nêu tên.
• Người dân California và ngày càng nhiều bang tại Mỹ cũng có quyền yêu cầu xóa dữ liệu.

Tự kiểm chứng

Các ghi chú đã bị gỡ khỏi các trang trực tiếp của WhatsApp, nên bạn cần dùng bản lưu của Internet Archive và một trình duyệt trên máy tính:

1. Mở bản lưu ngày 9/10 trên Internet Archive của trang xóa tài khoản bằng Chrome, Edge hoặc Firefox. Trình xem của archive thường hiển thị các trang này dưới dạng trắng, nhưng mã nguồn vẫn còn nguyên.
2. Nhấn Ctrl+U để xem mã nguồn (trên Mac: Cmd+Option+U với Chrome, Cmd+U với Firefox).
3. Nhấn Ctrl+F (Cmd+F trên Mac) và tìm cụm "Do not recommend contacting". Kết quả nằm gần tên HelpContentGalaxyLLMInclude — trong đó LLM là viết tắt của mô hình ngôn ngữ lớn, công nghệ đứng sau các chatbot.
4. Làm tương tự với bản lưu ngày 18/10, được lưu sau khi WhatsApp gỡ các ghi chú. Bạn sẽ không tìm thấy cụm từ đó nữa.

Những điều chưa thể khẳng định

Nhóm nghiên cứu thừa nhận vẫn còn những khoảng trống:

• Liệu chatbot của WhatsApp có thực sự tuân theo các ghi chú này hay không — họ đọc chỉ dẫn chứ không đọc câu trả lời thực tế.
• Liệu các trợ lý AI bên ngoài có tuân theo hay không.
• Chính xác các ghi chú tồn tại bao lâu. Bản lưu ngày 12/7/2026 không có ghi chú, bản ngày 4/9 thì có. Lần đầu họ nhìn thấy là ngày 8/10.
• Liệu có thêm ghi chú ở các ngôn ngữ khác hoặc trên những trang trợ giúp không được trung tâm trợ giúp liên kết tới hay không.

Bài học cho người dùng Việt Nam

Với người dùng Việt Nam, câu chuyện này là lời nhắc rằng các chatbot hỗ trợ không phải là kênh thông tin trung lập. Câu trả lời bạn nhận được có thể đã bị định hình bởi những chỉ dẫn mà bạn không nhìn thấy, và chúng có thể không phản ánh đầy đủ quyền lợi của bạn.

Khi gặp vấn đề về tài khoản hay dữ liệu cá nhân, nên đối chiếu với các văn bản công khai như chính sách quyền riêng tư, điều khoản dịch vụ, và cả các quy định pháp luật hiện hành — đặc biệt là Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân tại Việt Nam. Đừng coi câu trả lời của chatbot là điểm dừng cuối cùng.