Pernahkah Anda melihat rekan kerja diam-diam membuka ChatGPT untuk menyusun laporan? Atau memasukkan data pelanggan ke AI untuk dianalisis? Ini adalah fenomena Shadow AI—penggunaan alat AI tanpa sepengetahuan tim TI dan keamanan.
Para ahli sepakat: melarang total bukan solusi. Kebijakan yang lebih cerdas adalah mengarahkan penggunaan AI ke jalur yang aman, bukan mematikannya . Kebijakan Acceptable Use Policy (AUP) untuk AI adalah fondasi dari pendekatan ini.
Mengapa Kebijakan AUP untuk AI Itu Penting?
Kebijakan AUP untuk AI adalah seperangkat aturan formal yang mendefinisikan bagaimana karyawan boleh menggunakan alat AI generatif . Tujuannya bukan untuk menghambat inovasi, melainkan menciptakan “pagar pengaman” yang melindungi data perusahaan, kekayaan intelektual, dan kepatuhan regulasi .
Tanpa kebijakan yang jelas:
-
Karyawan tidak tahu mana yang boleh dan tidak boleh dilakukan.
-
Data sensitif bisa mengalir ke platform AI publik tanpa kendali.
-
Perusahaan kehilangan visibilitas atas alat AI apa yang digunakan.
-
Risiko kebocoran data dan pelanggaran regulasi meningkat drastis.
Seperti yang diingatkan pakar hukum: kebijakan yang baik memberi perusahaan kerangka pembelaan yang dapat dipertanggungjawabkan jika terjadi insiden—entah itu kebocoran data, klaim diskriminasi, atau sengketa kekayaan intelektual .
5 Elemen Penting dalam Kebijakan AUP AI
Berdasarkan panduan dari berbagai pakar keamanan dan kepatuhan, berikut elemen yang harus ada dalam kebijakan AUP AI:
1. Ruang Lingkup dan Definisi yang Jelas
Kebijakan harus mendefinisikan:
-
Siapa yang terkena dampak: Karyawan, kontraktor, konsultan, dan staf sementara .
-
Apa yang termasuk “AI”: Bukan hanya ChatGPT, tetapi juga alat generatif lain (teks, gambar, kode), fitur AI tersembunyi dalam aplikasi yang sudah disetujui, serta agen AI otonom .
-
Perbedaan antara AI publik dan enterprise: Alat publik (akun pribadi) vs alat enterprise berlisensi dengan perlindungan kontraktual .
Definisi yang jelas membantu karyawan mengenali kapan mereka sedang menggunakan AI, termasuk fitur seperti transkripsi suara atau penyusunan email otomatis .
2. Daftar Alat yang Disetujui dan Dilarang
Kebijakan harus memuat daftar alat AI yang sudah divalidasi oleh tim keamanan dan legal, serta aturan tentang data yang boleh diproses .
Dartmouth memberikan contoh praktis:
-
Alat yang disetujui: Versi enterprise dari AI tools yang diakses dengan kredensial institusi.
-
Alat pribadi yang dilarang untuk pekerjaan: ChatGPT pribadi, Claude pribadi, Gemini pribadi, dan situs AI gratis lainnya karena tidak memiliki perlindungan kontraktual—prompt bisa disimpan, digunakan untuk pelatihan, atau terekspos .
3. Aturan Penanganan Data yang Tegas
Ini adalah elemen paling kritis. Kebijakan harus secara eksplisit menyatakan jenis data apa yang tidak boleh dimasukkan ke AI publik, termasuk:
-
Informasi pribadi pelanggan (PII)
-
Data karyawan (file personalia, evaluasi kinerja, informasi medis)
-
Data keuangan dan strategi bisnis
-
Kode sumber dan kekayaan intelektual
-
Informasi yang dilindungi NDA
Prinsip sederhana: Perlakukan AI publik seperti media sosial. Jika Anda tidak ingin informasi itu dipublikasikan, jangan masukkan ke AI . Telkom Indonesia menegaskan: dokumen internal perusahaan tidak boleh di-query di aplikasi AI yang terbuka untuk publik, karena data bisa tersimpan di server mereka dan diakses orang lain .
4. Proses Persetujuan untuk Alat Baru
Karena lanskap AI berkembang cepat, kebijakan harus menyediakan jalur yang jelas bagi karyawan untuk mengajukan alat AI baru . Ini mengurangi insentif untuk menggunakan Shadow AI.
Prosesnya biasanya melibatkan:
-
Pengajuan melalui portal IT dengan kategori khusus
-
Penilaian oleh tim tata kelola AI (IT, legal, keamanan, unit bisnis)
-
Kriteria penilaian: protokol keamanan vendor, kebijakan privasi, stabilitas vendor, dan lokasi data
5. Panduan Penggunaan yang Aman (Safe Use)
Kebijakan harus memberikan contoh konkret untuk membantu karyawan memahami aturan dalam praktik sehari-hari .
Contoh: Skenario Pemasaran
-
❌ Tidak aman: “Analisis daftar 100 alamat email pelanggan teratas dan data penjualan Q3 ini untuk ide kampanye.”
-
✅ Aman: “Perusahaan kami menjual software keamanan siber ke manajer IT di industri finansial. Berdasarkan informasi publik, berikan 3 ide kampanye pemasaran untuk audiens ini” .
Contoh: Skenario HR
-
❌ Tidak aman: “Review resume Jane Doe dan data performanya untuk menulis deskripsi pekerjaan serupa.”
-
✅ Aman: “Tulis deskripsi pekerjaan untuk senior software engineer yang membutuhkan 5 tahun pengalaman Java, pengetahuan keamanan cloud, dan keterampilan komunikasi” .
Catatan penting: Untuk data sangat sensitif (kode sumber, data keuangan, PII), prompt safety saja tidak cukup. Solusinya adalah tidak pernah memasukkan data itu ke AI publik—gunakan alat enterprise yang sudah disetujui dengan jaminan data tidak digunakan untuk pelatihan .
4 Langkah Membuat Kebijakan AUP AI
Berdasarkan panduan Tenable dan praktisi lainnya, berikut langkah-langkahnya :
Langkah 1: Bentuk Tim Tata Kelola AI
Kumpulkan pemangku kepentingan dari:
-
IT/Keamanan untuk aspek teknis dan visibilitas
-
Legal untuk kepatuhan regulasi dan kontrak
-
HR untuk aspek ketenagakerjaan dan pelatihan
-
Unit bisnis untuk perspektif operasional
Langkah 2: Audit Penggunaan AI Saat Ini
Sebelum membuat kebijakan, pahami apa yang sebenarnya terjadi di lapangan:
-
Survei anonim karyawan tentang alat AI yang mereka gunakan
-
Pemantauan jaringan ke domain AI yang dikenal
-
Analisis pengeluaran untuk langganan AI
Langkah 3: Tulis Draf Kebijakan
Gunakan panduan di atas untuk menyusun draf. Tujuannya: jelas dan praktis, bukan dokumen hukum 10 halaman yang tidak dibaca siapa pun .
Langkah 4: Komunikasikan dan Edukasi
Kebijakan hanya efektif jika diketahui dan dipahami:
-
Adakan sesi pelatihan wajib
-
Publikasikan di tempat yang mudah diakses (bukan tersembunyi di intranet)
-
Minta karyawan menandatangani pengakuan kebijakan
-
Perbarui secara berkala—idealnya setiap beberapa bulan karena AI berkembang cepat
Kesimpulan
Kebijakan Acceptable Use untuk AI adalah pondasi bagi penggunaan AI yang aman dan bertanggung jawab di tempat kerja. Dengan ruang lingkup yang jelas, daftar alat yang disetujui, aturan data yang tegas, proses persetujuan yang mudah, dan contoh praktis, kebijakan ini mengubah Shadow AI dari ancaman menjadi inovasi yang terkendali .
Ingat: karyawan menggunakan AI karena mereka ingin bekerja lebih baik dan lebih cepat. Tugas kita adalah memberi mereka peta dan rambu-rambu agar mereka bisa melaju dengan cepat, namun tetap aman .
