Pernahkah Anda melihat rekan kerja menempelkan daftar pelanggan ke ChatGPT untuk diringkas? Atau seorang insinyur yang memasukkan kode sumber rahasia ke AI untuk mencari bug? Kebiasaan kecil ini bisa berubah menjadi bencana besar bagi perusahaan.

Kabar baiknya: ada langkah-langkah konkret yang bisa dilakukan untuk mencegah hal ini terjadi. Berikut panduan praktisnya.

Aturan Dasar: Apa yang Tidak Boleh Masuk ke AI Publik?

Langkah pertama adalah membuat aturan yang jelas tentang data apa yang tidak boleh dimasukkan ke platform AI publik. Ini mencakup:

  • Informasi pribadi yang dapat diidentifikasi (PII): nama, alamat, nomor telepon, NIK pelanggan atau karyawan

  • Dokumen yang diatur regulasi: data kesehatan (HIPAA), data keuangan (PCI DSS), atau data yang dilindungi UU PDP

  • Kode sumber rahasia: algoritma, kredensial, atau logika keamanan aplikasi

  • Kekayaan intelektual: paten, peta jalan produk, strategi bisnis

  • Dokumen strategis: model harga, rencana merger & akuisisi, notulen rapat sensitif

  • Kredensial akses: API key, token keamanan, password

Seperti yang diingatkan Executive General Manager Telkom Indonesia: “Dokumen-dokumen internal, kebutuhan-kebutuhan internal perusahaan tidak boleh di-query di aplikasi ChatGPT yang terbuka. Pada saat kita meng-upload dokumen itu, dokumen itu tersimpan di server mereka. Pada saat ada orang lain yang mem-prompt hal yang sama, itu bisa di-deliver ke orang lain, bisa jadi kompetitor kita”.

Langkah Perlindungan: Dari Kebijakan hingga Teknologi

1. Buat Kebijakan AI yang Jelas

Banyak karyawan tidak tahu aturan mainnya karena perusahaan belum punya kebijakan yang jelas. Survei Salesforce menemukan bahwa 69% pekerja belum pernah menerima pelatihan tentang penggunaan AI di tempat kerja.

Perusahaan perlu membuat AI Acceptable Use Policy yang menjelaskan:

  • Siapa yang boleh menggunakan AI

  • Dalam kondisi apa AI boleh digunakan

  • Data apa yang boleh dan tidak boleh diproses oleh AI

Kebijakan yang baik tidak hanya melarang, tetapi juga memberikan pedoman positif—misalnya, “jika ragu, perlakukan AI seperti situs web publik: apakah Anda akan menempelkan konten yang sama di sana?”

2. Larangan Total Jarang Berhasil—Sediakan Alternatif

Melarang total penggunaan AI justru mendorong karyawan menggunakannya secara sembunyi-sembunyi, sehingga risiko malah lebih sulit dikendalikan.

Pendekatan yang lebih efektif: sediakan alat AI internal yang aman yang menjamin data tidak digunakan untuk pelatihan model. Seperti yang disarankan Telkom: “Kalau ingin bantuan, gunakan GPT internal yang sudah kita bangun. Hasilnya juga sama”.

Banyak penyedia AI menawarkan versi Enterprise yang memberikan jaminan kontraktual bahwa data pelanggan tidak digunakan untuk pelatihan.

3. Latih Karyawan dengan Praktik Aman

Kebijakan tanpa edukasi tidak akan efektif. Ajarkan karyawan kebiasaan sederhana ini:

  • Anonimkan data sebelum dimasukkan: hilangkan nama, nomor identitas, dan detail pelanggan

  • Gunakan contoh umum, bukan data nyata: deskripsikan masalah secara abstrak

  • Periksa pengaturan privasi: nonaktifkan riwayat chat dan kontribusi pelatihan pada alat yang digunakan

  • Jangan tempel kredensial: API key, password, atau token keamanan tidak boleh masuk ke prompt AI

4. Gunakan Alat Keamanan Teknis

Selain kebijakan dan pelatihan, perusahaan perlu memasang “pagar pengaman” teknis. Microsoft Purvey menganjurkan pendekatan empat langkah:

  1. Temukan (Discover): identifikasi aplikasi AI yang digunakan di seluruh organisasi

  2. Blokir (Block): batasi akses ke alat AI yang tidak disetujui

  3. Cegah (Prevent): gunakan Data Loss Prevention (DLP) untuk mencegah data sensitif dikirim ke AI, bahkan ke alat yang disetujui sekalipun

  4. Audit (Govern): simpan log prompt dan interaksi AI untuk investigasi jika terjadi insiden

Selain itu, gunakan hanya versi enterprise dari alat AI yang sudah disetujui, bukan akun pribadi. Akun pribadi ChatGPT, misalnya, tidak memiliki perlindungan kontraktual—prompt Anda bisa disimpan dan digunakan untuk pelatihan.

5. Bangun Budaya Pelaporan, Bukan Penghukuman

Karyawan harus merasa aman untuk melapor jika secara tidak sengaja memasukkan data sensitif ke AI, atau jika menemukan sesuatu yang mencurigakan. Dartmouth secara eksplisit mengimbau staf untuk “laporkan masalah dengan cepat” jika ada kecurigaan data institusi masuk ke alat yang tidak disetujui—karena pelaporan dini hampir selalu menghasilkan hasil yang lebih baik daripada ditemukan belakangan.

Kasus Nyata: Pelajaran dari Samsung

Pada 2023, Samsung mengizinkan insinyurnya menggunakan ChatGPT. Dalam waktu hanya 20 hari, terjadi tiga insiden di mana kode sumber rahasia dan transkrip rapat internal ditempelkan ke ChatGPT. Perusahaan terpaksa melarang penggunaan alat AI generatif dan harus membangun solusi internal sendiri.

Namun, Samsung tidak berhenti pada larangan. Pada Juni 2026, mereka justru mengambil langkah berbeda: secara resmi mengizinkan tiga platform AI (ChatGPT, Gemini Enterprise, dan Claude) dalam sistem internal, dengan pengaturan keamanan yang ketat dan strategi terbuka agar karyawan bisa memilih alat yang paling sesuai dengan tugas mereka.

Pelajaran dari Samsung: larangan total bukan solusi jangka panjang—yang lebih efektif adalah mengelola dengan tata kelola yang jelas dan alat yang aman.

Kesimpulan

Mencegah karyawan membagikan data sensitif ke AI publik membutuhkan pendekatan berlapis:

  1. Aturan yang jelas tentang apa yang boleh dan tidak boleh

  2. Edukasi tentang risiko dan praktik aman

  3. Alternatif yang aman (alat AI internal/enterprise)

  4. Pengamanan teknis (DLP, blokir akses, log audit)

  5. Budaya pelaporan yang terbuka

Kuncinya bukan melarang inovasi, tapi mengarahkannya ke jalur yang aman. Dengan langkah-langkah ini, perusahaan bisa menikmati kemudahan AI tanpa harus mengorbankan keamanan data.

Related Posts: