Bayangkan seorang karyawan di bagian hukum yang diam-diam memasukkan data klien ke ChatGPT untuk mempercepat analisis kontrak. Ia tidak berniat jahat—ia hanya ingin pekerjaan lebih cepat selesai. Namun, tindakan kecil ini bisa berakibat besar: data rahasia klien bisa bocor, rahasia profesi bisa hilang, dan perusahaan bisa terkena denda besar.

Di sinilah peran tim legal dan compliance menjadi sangat penting. Mereka adalah benteng terakhir yang melindungi perusahaan dari risiko hukum akibat penggunaan AI yang tidak terkendali.

Apa Itu Shadow AI dan Mengapa Ini Masalah Hukum?

Shadow AI adalah penggunaan alat kecerdasan buatan tanpa sepengetahuan, izin, atau pengawasan dari tim TI dan keamanan perusahaan .

Data menunjukkan bahwa ini bukan fenomena kecil. Sekitar 83% in-house counsel menggunakan alat AI yang tidak disediakan organisasi mereka . Survei lain menemukan bahwa 59% karyawan mengakui menggunakan alat AI yang tidak disetujui perusahaan, dan tiga perempat di antaranya telah membagikan informasi sensitif sebagai akibatnya .

Mengapa ini menjadi masalah bagi tim legal? Karena setiap penggunaan AI yang tidak diawasi membawa risiko hukum yang serius.

Tiga Risiko Hukum Utama Shadow AI

1. Pelanggaran Kerahasiaan dan Hilangnya Hak Istimewa (Privilege)

Ini adalah risiko paling besar, terutama di profesi hukum. Ketika seorang pengacara atau staf hukum memasukkan informasi klien ke AI publik:

  • Data tersebut bisa digunakan untuk melatih model AI dan muncul kembali dalam jawaban untuk pengguna lain .

  • Komunikasi yang dilindungi hak istimewa (legal professional privilege) bisa dianggap hangus (waiver) karena dibagikan dengan pihak ketiga .

  • Hal ini membuat materi yang sebelumnya dilindungi menjadi dapat ditemukan dalam litigasi (discoverable) .

American Bar Association menegaskan bahwa ketika fakta klien, strategi, atau informasi identitas pribadi masuk ke prompt AI publik, ini bisa mengakibatkan pelanggaran kerahasiaan .

2. Pelanggaran Regulasi Perlindungan Data

Di Indonesia, Undang-Undang Perlindungan Data Pribadi (UU PDP) mengharuskan perusahaan melindungi data pribadi yang diproses . Di tingkat global, GDPR di Eropa mengenakan denda hingga £17,5 juta atau 4% dari omzet global untuk pelanggaran .

Masalahnya: alat AI yang tidak disetujui tidak memiliki Perjanjian Pemrosesan Data (DPA). Artinya:

  • Tidak ada dasar hukum yang jelas untuk memproses data pribadi .

  • Tidak ada jaminan data tidak digunakan untuk pelatihan model.

  • Tidak ada kepastian di mana data disimpan dan berapa lama disimpan.

3. Risiko Kekayaan Intelektual dan Kontrak

Penggunaan AI yang tidak terkendali juga bisa melanggar:

  • Klausul kerahasiaan dalam kontrak dengan klien .

  • Perjanjian dengan vendor yang mensyaratkan data hanya diproses di lingkungan yang aman .

  • Hak kekayaan intelektual, karena konten yang dihasilkan sepenuhnya oleh AI tidak memiliki kepemilikan hak cipta .

Peran Tim Legal dan Compliance: Lebih dari Sekadar Membuat Aturan

Tim legal dan compliance bukan hanya pembuat kebijakan. Mereka harus menjadi mitra strategis yang membantu perusahaan menavigasi risiko AI sambil tetap membuka ruang inovasi . Berikut peran konkret mereka:

1. Membuat Kebijakan yang Jelas, Bukan Sekadar Larangan

Kebijakan AI tidak boleh hanya dokumen 10 halaman yang tidak dibaca siapa pun. Tim legal harus membuat kebijakan yang:

  • Mendefinisikan alat AI apa yang disetujui dan dilarang .

  • Menentukan data apa yang boleh dan tidak boleh diproses oleh AI publik .

  • Menyediakan jalur pelaporan bagi karyawan yang menemukan atau ingin menggunakan alat baru .

Seperti yang disarankan pakar IBA: “Kebijakan AI harus mengakui bahwa karyawan akan bereksperimen dengan alat baru dan karena itu harus fokus pada dorongan, transparansi, dan kontrol, bukan larangan” .

2. Menyediakan “Jalur Aman” yang Lebih Mudah

Karyawan menggunakan Shadow AI karena jalur resmi terasa lambat atau sulit . Tim legal dan compliance perlu bekerja sama dengan IT untuk:

  • Menyediakan alat AI enterprise yang aman dengan jaminan data tidak digunakan untuk pelatihan model .

  • Membuat katalog alat yang disetujui dengan proses cepat .

  • Menyediakan lingkungan uji coba (sandbox) untuk eksperimen yang aman .

3. Mengelola Risiko dari Pihak Ketiga

Vendor dan kontraktor juga bisa menggunakan Shadow AI untuk mengolah data perusahaan . Tim legal harus memastikan:

  • Kontrak dengan vendor secara eksplisit melarang pelatihan model pada data perusahaan .

  • Ada hak audit atas penggunaan AI pihak ketiga .

  • Vendor wajib memberikan sertifikasi penghapusan data setelah kontrak berakhir .

4. Memberikan Pelatihan dan Edukasi Berkelanjutan

Tim legal tidak bisa bekerja sendirian. Mereka perlu mengedukasi seluruh karyawan tentang:

  • Risiko kerahasiaan dan perlindungan data dari penggunaan AI publik .

  • Praktik aman: anonimkan data, jangan tempel kredensial, verifikasi hasil AI .

  • Cara melaporkan jika terjadi kesalahan atau insiden .

Seperti yang dikatakan seorang pakar: “AI tidak menggantikan profesi hukum, tapi akan menggantikan profesional hukum yang tidak bisa menggunakan AI secara bijak” .

5. Menjaga Visibilitas dan Pemantauan

Tim legal perlu memastikan perusahaan memiliki visibilitas atas penggunaan AI . Ini bisa dilakukan melalui:

  • Audit rutin terhadap alat AI yang digunakan karyawan .

  • Pemantauan jaringan ke domain AI yang dikenal .

  • Mekanisme pelaporan insiden yang jelas dan tanpa rasa takut .

Praktik Baik untuk Pengacara dan Staf Hukum

American Bar Association memberikan panduan praktis tentang apa yang tidak boleh dimasukkan ke AI publik :

  • Identitas klien: Nama, email, nomor telepon, alamat, nomor akun.

  • Identitas kasus: Nama/nomor perkara, nomor docket, materi yang dilindungi perintah pengadilan.

  • Strategi dan konten istimewa: Komunikasi klien, produk hukum, teori hukum, draf awal.

  • Informasi kontrak rahasia: Harga, syarat, data PII, rahasia dagang.

  • File yang belum dibersihkan: PDF, Word, Excel dengan metadata tersembunyi.

Jika terpaksa menggunakan AI publik (dalam situasi terbatas yang diizinkan), praktikkan :

  1. Samakan data: Ganti nama spesifik dengan [KLIEN], [LAWAN], [JUMLAH], [TANGGAL].

  2. Generalisasi fakta: Gunakan “class action konsumen atas tagihan berlangganan” bukan nama perusahaan.

  3. Tempel secukupnya: Hanya teks minimum yang dibutuhkan, bukan seluruh dokumen.

  4. Verifikasi semua hasil: Periksa nama, angka, kutipan, tanggal—jangan pernah mengirim tanpa konfirmasi independen.

Kesimpulan: Dari “Polisi” Menjadi “Mitra”

Peran legal dan compliance dalam mengendalikan Shadow AI bukanlah menjadi “polisi” yang melarang segala sesuatu. Mereka adalah mitra yang membantu perusahaan menjembatani kesenjangan antara kebutuhan karyawan akan produktivitas dan tata kelola yang bertanggung jawab .

Seperti yang diingatkan oleh pakar: “Larangan penggunaan AI sering kali menjadi bumerang. Hanya pengaktifan yang terkendali, transparansi, dan pelatihan yang menyediakan jalur yang dapat dipertahankan untuk penggunaan AI yang aman dan patuh” .

Dengan kebijakan yang jelas, alternatif yang aman, dan budaya pelaporan yang terbuka, tim legal dan compliance bisa melindungi perusahaan dari risiko Shadow AI tanpa harus memadamkan semangat inovasi karyawan.

Related Posts: