Meta đình chỉ chương trình theo dõi nhân viên sau vụ rò rỉ dữ liệu làm lộ phạm vi và thất bại về quyền riêng tư của chương trình đào tạo AI

Vào ngày 22–23 tháng 6 năm 2026, Meta đã đình chỉ chương trình Model Capability Initiative (MCI) sau khi một lỗi cấu hình bảo mật làm lộ một lượng lớn dữ liệu nhân viên nhạy cảm ra toàn bộ công ty. Sự cố này được nội bộ phân loại là SEV 2 (mức nghiêm trọng thứ hai, chỉ sau SEV 0 và SEV 1) . Việc tạm dừng diễn ra sau nhiều tháng phản đối nội bộ về chương trình, vốn theo dõi hoạt động máy tính của nhân viên để đào tạo các tác nhân AI – nhưng chính vụ rò rỉ dữ liệu, chứ không phải các cuộc phản đối, mới là yếu tố buộc Meta phải hành động.

Nguyên nhân đình chỉ

Một nhân viên đã phát hiện rằng các cơ sở dữ liệu backend của MCI – trải dài trên hơn 45.000 bảng cơ sở dữ liệu – đã bị để lại ở chế độ truy cập cho tất cả nhân viên Meta mà không có kiểm soát truy cập phù hợp . Dữ liệu bị lộ bao gồm:

• Các cuộc trò chuyện riêng tư và bản ghi chat của nhân viên
• Lời nhắc và bản ghi âm từ các tương tác với công cụ AI nội bộ
• Thông tin quản lý hiệu suất
• Một số báo cáo chỉ ra rằng dữ liệu thuế và y tế chưa được mã hóa cũng có thể đã bị thu thập

Vụ rò rỉ được phát hiện trước khi các bên bên ngoài truy cập vào, và Meta tuyên bố không có hành vi truy cập trái phép nào xảy ra . Nhưng mức độ nghiêm trọng (SEV 2) đã thúc đẩy việc tạm dừng ngay lập tức .

Phạm vi chương trình: MCI thực sự đã thu thập những gì

• Ngày ra mắt: Tháng 4 năm 2026, trong khuôn khổ nỗ lực Agent Transformation Accelerator (ATA) rộng lớn hơn
• Nội dung thu thập: Chuyển động chuột, vị trí nhấp chuột, thao tác gõ phím và ảnh chụp màn hình định kỳ từ các ứng dụng và trang web công việc được chỉ định
• Đối tượng bị ảnh hưởng: Nhân viên cấp thấp và trung cấp tại Mỹ; việc tham gia là bắt buộc
• Mục đích: Đào tạo các tác nhân AI của Meta về cách thức công việc tri thức văn phòng thực sự được thực hiện, nắm bắt quy trình làm việc thực tế để cải thiện tự động hóa AI
• Kế hoạch mở rộng: Tài liệu nội bộ cho thấy Meta có ý định sau đó mở rộng việc thu thập sang các nhân viên không phải người Mỹ, làm dấy lên lo ngại về GDPR của EU

Phản đối nội bộ trước đó

Phản ứng dữ dội diễn ra ngay lập tức và kéo dài kể từ khi chương trình ra mắt vào tháng 4:

• Kiến nghị: Hơn 1.500 nhân viên đã ký một bản kiến nghị phản đối việc theo dõi bắt buộc
• Thông điệp từ CTO: CTO Andrew Bosworth được cho là đã gửi một thông điệp thẳng thừng tới nhân viên rằng chương trình là bắt buộc
• Nhượng bộ ban đầu (đầu tháng 6): Meta đã thu hẹp phạm vi MCI – nhân viên được cấp khả năng tạm dừng thu thập tối đa 30 phút mỗi lần và một số danh mục dữ liệu đã bị loại trừ
• Lo ngại về quyền riêng tư và pháp lý: Nhân viên đã đưa ra khiếu nại về khả năng vi phạm các quy định GDPR của châu Âu, vì các liên lạc liên quan đến đồng nghiệp tại EU có thể bị thu thập

Rủi ro về quyền riêng tư và quy định

Chương trình đã thu thập dữ liệu từ các ứng dụng và trang web công việc được chỉ định, nhưng Reuters đưa tin rằng Meta thừa nhận nó cũng có thể thu thập các liên lạc liên quan đến nhân viên không phải người Mỹ . Các cơ quan quản lý quyền riêng tư của EU bắt đầu xem xét liệu MCI có vi phạm các yêu cầu GDPR về sự đồng ý, giảm thiểu dữ liệu và giám sát nhân viên hay không .

Chính vụ rò rỉ dữ liệu – các cơ sở dữ liệu chưa được mã hóa chứa các cuộc trò chuyện riêng tư và hồ sơ hiệu suất – là sự kiện đỉnh điểm buộc Meta phải đình chỉ hoạt động . Nó đã biến nhiều tháng khiếu nại về quyền riêng tư nội bộ thành một vụ vi phạm dữ liệu cụ thể mà Meta không thể phớt lờ.

Kết luận

MCI bị đình chỉ không chỉ vì phản ứng dữ dội của nhân viên, mà bởi vì một lỗi cấu hình bảo mật đã phơi bày toàn bộ kho dữ liệu cực kỳ nhạy cảm của chương trình ra toàn bộ công ty. Sự cố này đã biến nhiều tháng khiếu nại về quyền riêng tư nội bộ thành một vụ vi phạm dữ liệu cụ thể, buộc Meta phải tạm dừng sáng kiến này trong khi điều tra.