Cara Membuat Kebijakan Shadow AI untuk Perusahaan

Shadow AI—penggunaan alat AI oleh karyawan tanpa sepengetahuan tim TI—telah menjadi kenyataan di hampir setiap perusahaan. Karyawan menggunakan ChatGPT atau Gemini untuk mempercepat pekerjaan, seringkali tanpa menyadari risiko kebocoran data atau pelanggaran kepatuhan.

Pendekatan “larang total” justru kontraproduktif: karyawan akan tetap menggunakan AI, hanya lebih sembunyi-sembunyi. Solusi yang lebih efektif adalah membuat kebijakan yang jelas dan praktis—mengarahkan inovasi ke jalur yang aman, bukan mematikannya.

Berikut panduan langkah demi langkah untuk membuat kebijakan Shadow AI di perusahaan Anda.

1. Pahami Tujuan dan Lingkup Kebijakan

Kebijakan AI harus menjawab pertanyaan dasar: mengapa kebijakan ini dibuat, untuk siapa, dan apa yang diatur. Bagian ini biasanya mencakup:

• Tujuan: Melindungi data perusahaan, memastikan kepatuhan regulasi, dan memungkinkan inovasi yang aman.

• Ruang lingkup: Kebijakan ini berlaku untuk semua karyawan, kontraktor, dan pihak ketiga yang menggunakan AI untuk pekerjaan terkait perusahaan.

• Definisi AI: Jelaskan apa yang dimaksud dengan “alat AI” dalam konteks kebijakan—misalnya, generative AI seperti ChatGPT, Claude, Gemini, serta fitur AI yang tertanam dalam aplikasi yang sudah disetujui (seperti Microsoft 365 Copilot atau Salesforce Einstein).

2. Tetapkan Aturan Penggunaan yang Jelas (Acceptable Use Policy)

Bagian inti kebijakan adalah aturan tentang apa yang boleh dan tidak boleh dilakukan karyawan dengan AI. Buatlah aturan yang sederhana dan mudah dipahami, bukan dokumen hukum yang panjang.

Penggunaan yang Diizinkan

Jelaskan skenario di mana karyawan boleh menggunakan AI, misalnya:

• Menyusun draf email, laporan, atau konten pemasaran

• Meringkas dokumen internal yang tidak bersifat rahasia

• Mencari ide atau melakukan riset awal

• Membantu debugging kode untuk komponen non-proprietary (dengan pengawasan)

Penggunaan yang Dilarang

Sebutkan secara tegas apa yang tidak boleh dilakukan:

Sistem “Lampu Lalu Lintas”

Untuk memudahkan pemahaman, banyak perusahaan menggunakan sistem tiga warna:

• Hijau (Disetujui): Alat AI enterprise yang sudah divalidasi keamanannya—boleh digunakan untuk sebagian besar data (kecuali data terlarang).

• Kuning (Ditoleransi): Alat publik yang berguna tapi belum diaudit—hanya boleh untuk tugas non-sensitif, tanpa memasukkan data internal.

• Merah (Diblokir): Alat yang berisiko tinggi—diblokir di tingkat jaringan atau browser.

3. Klasifikasikan Data dan Izinkan Akses Berdasarkan Risiko

Salah satu keputusan terpenting dalam kebijakan AI adalah data apa yang boleh dimasukkan ke alat AI dan data apa yang tidak.

Gunakan klasifikasi data sederhana, misalnya:

Kebijakan juga harus menyebutkan bahwa data yang masuk ke AI publik akan dianggap sebagai informasi yang potensial menjadi publik—karena bisa disimpan, dipelajari, dan muncul kembali ke pengguna lain.

4. Tentukan Tanggung Jawab dan Struktur Tata Kelola

Kebijakan yang baik menunjuk siapa yang bertanggung jawab atas apa.

Peran Kunci

• Tim Keamanan dan TI: Mengelola daftar alat yang disetujui, memantau penggunaan, dan menegakkan kebijakan.

• Tim Hukum dan Kepatuhan: Memastikan kebijakan sesuai regulasi (GDPR, EU AI Act, UU PDP Indonesia).

• Manajer dan Pemimpin Tim: Mengawasi penggunaan AI di tim masing-masing dan menjadi titik kontak untuk pertanyaan.

• Karyawan: Memahami dan mematuhi kebijakan, melaporkan jika ragu atau terjadi insiden.

Pertimbangkan membentuk komite tata kelola AI lintas fungsi yang terdiri dari perwakilan IT, legal, keamanan, HR, dan unit bisnis untuk meninjau dan memperbarui kebijakan secara berkala.

5. Sediakan Alternatif yang Aman

Kebijakan yang hanya melarang tanpa memberi alternatif tidak akan efektif. Karyawan menggunakan AI karena ingin bekerja lebih cepat—beri mereka jalan aman untuk melakukannya.

Cara Menyediakan Jalur Aman

• Sediakan alat AI enterprise yang sudah disetujui (misalnya ChatGPT Enterprise, Microsoft 365 Copilot) dengan jaminan data tidak digunakan untuk pelatihan model dan log audit.

• Buat “AI Playground” atau taman bermain yang aman di mana karyawan bisa bereksperimen dengan alat yang sudah disetujui dalam lingkungan terkendali.

• Bangun AI gateway yang memeriksa prompt dan data sebelum dikirim ke AI eksternal, menerapkan redaksi otomatis dan kebijakan keamanan.

6. Terapkan Pemantauan dan Penegakan

Kebijakan tanpa penegakan hanyalah dokumen. Perlu mekanisme teknis untuk memastikan kepatuhan.

Alat yang Bisa Digunakan

• Data Loss Prevention (DLP): Mendeteksi dan memblokir upaya memasukkan data sensitif ke AI publik.

• AI Gateway: Mencatat semua prompt dan interaksi AI untuk audit dan investigasi.

  

• Browser Security: Memantau konten yang diketik ke kolom input browser dan mencegah kebocoran data secara real-time.

• Inventarisasi AI Otomatis: Mendeteksi alat AI apa yang digunakan karyawan—Anda tidak bisa melindungi apa yang tidak Anda lihat.

Mekanisme Pelaporan Insiden

Buat prosedur yang jelas untuk melaporkan pelanggaran atau insiden AI:

• Siapa yang harus dilapor?

• Dalam waktu berapa?

• Bagaimana investigasi dilakukan?

7. Latih Karyawan secara Berkelanjutan

Pelatihan adalah komponen kunci dari kebijakan yang efektif. Karyawan perlu memahami mengapa kebijakan itu ada, bukan hanya apa isinya.

Elemen Pelatihan

• Apa itu Shadow AI dan risikonya (kebocoran data, pelanggaran regulasi, reputasi).

• Aturan main yang jelas (data apa yang boleh dan tidak boleh).

• Praktik aman (anonimkan data, gunakan contoh generik, jangan tempel kredensial).

• Cara melaporkan jika ragu atau terjadi insiden.

Seperti yang disarankan para ahli: jadikan pelatihan sebagai program berkelanjutan, bukan sekali jadi.

8. Tinjau dan Perbarui Secara Berkala

AI berkembang cepat—kebijakan yang ditulis hari ini mungkin sudah usang dalam enam bulan.

Pemicu Tinjauan

• Rilis model AI baru dari vendor besar

• Insiden keamanan atau kepatuhan terkait AI

• Regulasi baru (misalnya EU AI Act yang mulai berlaku)

• Penemuan alat Shadow AI baru yang banyak digunakan

Microsoft merekomendasikan tinjauan triwulanan terhadap kebijakan AI untuk menjaga keselarasan dengan lanskap regulasi yang terus berubah.

Template Singkat: Kerangka Kebijakan AI

Berikut struktur ringkas yang bisa diadaptasi:

1. Tujuan dan Ruang Lingkup – Mengapa kebijakan ini dibuat, untuk siapa.

2. Definisi – Apa yang dimaksud dengan “AI” dan “alat AI”.

3. Penggunaan yang Diizinkan – Skenario di mana AI boleh digunakan.

4. Penggunaan yang Dilarang – Skenario di mana AI tidak boleh digunakan, termasuk contoh konkret.

5. Data yang Dilindungi – Klasifikasi data dan aturan aksesnya.

6. Alat yang Disetujui – Daftar (atau proses persetujuan) alat AI yang boleh digunakan.

7. Tanggung Jawab – Siapa bertanggung jawab atas apa.

8. Pemantauan dan Penegakan – Bagaimana kebijakan diawasi dan ditegakkan.

9. Pelatihan – Program pelatihan karyawan.

10. Tinjauan dan Pembaruan – Jadwal dan pemicu tinjauan kebijakan.

Kesimpulan: Kebijakan yang Hidup, Bukan Mati

Kebijakan Shadow AI yang efektif bukanlah dokumen 10 halaman yang hanya dibaca saat onboarding, lalu dilupakan. Ini adalah kerangka yang hidup: jelas, praktis, ditegakkan dengan alat teknis, dan diperbarui secara berkala.

Kuncinya: buat jalur yang patuh menjadi pilihan termudah. Dengan kebijakan yang jelas, alternatif yang aman, dan edukasi yang baik, Shadow AI bisa berubah dari ancaman menjadi sumber inovasi yang terkendali.