Seorang analis keuangan di sebuah perusahaan investasi secara tidak sengaja memasukkan informasi material yang belum dipublikasikan (material nonpublic information) ke ChatGPT untuk membantu analisisnya. Tanpa disadari, data sensitif itu berpindah ke server pihak ketiga dan keluar dari kendali perusahaan. Perusahaan itu kini menghadapi potensi tuntutan insider trading, pelanggaran kewajiban fiduciary, dan sanksi regulator .

Cerita ini bukan fiksi. Ini adalah gambaran nyata dari risiko yang mengintai ketika organisasi tidak memiliki kebijakan penggunaan AI yang jelas . Kebijakan ini bukan sekadar dokumen formalitas, melainkan fondasi tata kelola yang melindungi perusahaan dari berbagai risiko hukum, keamanan, dan reputasi.

1. Menghindari “Titik Buta” Penggunaan AI

AI sudah digunakan di hampir semua organisasi—dengan atau tanpa sepengetahuan manajemen . Karyawan mengakses alat AI secara mandiri karena kemudahannya, menciptakan celah kepatuhan dan keamanan yang disebut Shadow AI .

Tanpa kebijakan yang jelas:

  • Perusahaan kehilangan visibilitas atas alat AI apa yang digunakan

  • Data mengalir ke platform yang tidak diawasi

  • Risiko kebocoran data meningkat secara signifikan

Intinya: Anda tidak bisa mengelola apa yang tidak Anda lihat. Kebijakan AI menciptakan kerangka untuk menemukan dan mengelola penggunaan AI di seluruh organisasi .

2. Melindungi Data Sensitif dari Kebocoran

Kebocoran data adalah risiko paling nyata dari penggunaan AI yang tidak terkendali. Ketika karyawan memasukkan informasi rahasia ke alat AI publik tanpa perlindungan yang memadai, data itu bisa:

  • Digunakan untuk melatih model AI

  • Muncul kembali dalam jawaban untuk pengguna lain

  • Bocor melalui celah keamanan platform 

Kebijakan yang baik menetapkan data apa yang boleh dan tidak boleh dimasukkan ke AI, serta membedakan antara alat AI publik yang berisiko dengan versi Enterprise yang lebih aman .

3. Memenuhi Kewajiban Hukum dan Regulasi

Lanskap regulasi AI berkembang sangat cepat:

  • Anti-diskriminasi: Di AS, New York City mewajibkan audit bias untuk alat keputusan kerja otomatis, sementara Illinois mengatur penggunaan AI dalam wawancara video . Di Indonesia, pemerintah menekankan pentingnya AI yang adil dan tidak diskriminatif .

  • Perlindungan Data Pribadi: GDPR di Eropa dan UU PDP di Indonesia mewajibkan perusahaan melindungi data pribadi. Tanpa kebijakan, perusahaan berisiko melanggar aturan ini .

  • EU AI Act: Regulasi ini mengklasifikasikan AI berdasarkan tingkat risiko dan mengenakan sanksi berat bagi pelanggaran .

Perusahaan tidak bisa mengklaim tidak tahu. Kebijakan yang jelas menunjukkan bahwa perusahaan telah mengambil langkah-langkah yang wajar untuk mematuhi regulasi .

4. Melindungi Kekayaan Intelektual

Jika informasi yang dapat dipatenkan atau rahasia dagang dimasukkan ke AI publik, perusahaan bisa kehilangan perlindungan hukum atas kekayaan intelektualnya . Selain itu, konten yang dihasilkan sepenuhnya oleh AI tidak memiliki hak cipta jika tanpa campur tangan manusia yang berarti . Kebijakan mencegah hal ini terjadi.

5. Mengelola Risiko Bias dan Diskriminasi

AI dapat memperkuat bias dari data pelatihannya. Tanpa pengawasan, alat AI bisa menghasilkan keputusan diskriminatif dalam rekrutmen, promosi, atau evaluasi kinerja—yang menjadi tanggung jawab perusahaan, bukan AI-nya .

Kebijakan yang baik mensyaratkan pengawasan manusia dan verifikasi atas keluaran AI, terutama untuk keputusan yang berdampak pada orang lain .

6. Menetapkan Akuntabilitas yang Jelas

Kebijakan AI harus menunjuk penanggung jawab (misalnya, komite AI atau tim legal dan IT) untuk mengelola penggunaan AI . Tanpa ini, keputusan tercecer di antara berbagai departemen tanpa ada yang benar-benar bertanggung jawab .

7. Mendukung Inovasi yang Aman

Kebijakan bukan untuk melarang inovasi, tetapi untuk mengarahkannya ke jalur yang aman . Dengan menyediakan alat yang disetujui dan jalur yang jelas, karyawan tetap bisa memanfaatkan AI tanpa membahayakan perusahaan . Contohnya, Telkom Indonesia mengembangkan TELIS 2.0, AI internal yang aman untuk mengelola dokumen legal, sehingga karyawan tetap produktif tanpa risiko kebocoran data .

Elemen Penting dalam Kebijakan AI

Kebijakan yang efektif setidaknya mencakup :

  1. Tujuan dan Ruang Lingkup: Mengapa kebijakan ini dibuat dan siapa yang terikat.

  2. Definisi AI yang Jelas: Membedakan AI tradisional dan AI generatif, serta alat publik vs Enterprise.

  3. Data yang Dilindungi: Menentukan informasi apa yang tidak boleh dimasukkan ke AI publik.

  4. Penggunaan yang Dilarang: Menetapkan area di mana AI tidak boleh digunakan (misalnya, keputusan rekrutmen atau disiplin tanpa pengawasan manusia).

  5. Proses Persetujuan Alat Baru: Menetapkan mekanisme untuk mengevaluasi dan menyetujui alat AI.

  6. Pelatihan dan Kesadaran: Karyawan harus dilatih tentang kebijakan ini secara rutin .

  7. Pemantauan dan Penegakan: Mekanisme untuk mendeteksi pelanggaran dan sanksi yang jelas.

Kesimpulan

Kebijakan penggunaan AI bukan lagi pilihan, melainkan keharusan bagi setiap organisasi yang ingin memanfaatkan AI secara bertanggung jawab. Kebijakan ini melindungi dari kebocoran data, pelanggaran regulasi, risiko diskriminasi, dan kehilangan kekayaan intelektual—sambil tetap membuka ruang bagi inovasi.

Seperti yang diingatkan oleh European Data Protection Supervisor: “Mengamankan data kita tidak berarti menghambat kemajuan. Dengan tata kelola yang jelas, alternatif yang aman, pemantauan teknis, dan kesadaran staf, institusi dapat mengurangi risiko kebocoran data pribadi sambil mendorong inovasi AI yang aman” .

Related Posts: