1. Perusahaan sebagai “Pengendali Data”

Di Indonesia, UU Perlindungan Data Pribadi (UU PDP) menegaskan bahwa tanggung jawab berada di pihak yang menentukan tujuan dan cara pemrosesan data—yaitu perusahaan sebagai pengendali data. Jika data pelanggan atau karyawan bocor melalui AI yang digunakan tanpa izin, regulator akan menilai apakah perusahaan telah memiliki perlindungan yang memadai, bukan apakah kebocoran terjadi sengaja atau tidak.

Telkom Indonesia dengan tegas menyatakan: dokumen internal perusahaan tidak boleh di-query di aplikasi AI yang terbuka untuk publik, karena data bisa tersimpan di server mereka dan diakses orang lain, termasuk kompetitor.

2. Prinsip “Respondeat Superior”: Majikan Bertanggung Jawab atas Bawahannya

Hukum perdata menganut prinsip tanggung gugat majikan: segala kerugian atau pelanggaran hukum akibat kelalaian karyawan menjadi beban perusahaan selaku pemberi kerja. International Bar Association (IBA) menekankan bahwa ketika karyawan memasukkan data klien atau informasi rahasia ke alat AI publik, secara praktis dan hukum mereka telah melakukan pengungkapan kepada pihak ketiga—dan perusahaanlah yang bertanggung jawab atas konsekuensinya.

3. Tanggung Jawab Jajaran Direksi

Bahkan jajaran direksi tidak bisa berlindung di balik “Business Judgment Rule” jika terjadi kerugian akibat kelalaian pengawasan penggunaan AI. Doktrin “Culpa in Vigilando” (kelalaian dalam pengawasan) dapat membatalkan perlindungan bagi direktur jika mereka terbukti pasif dan membiarkan penggunaan AI publik tanpa kebijakan internal yang memadai.

Peran Karyawan: Bertanggung Jawab, Tapi Bukan Utama

Karyawan memang memiliki tanggung jawab untuk:

  • Memahami dan mematuhi kebijakan AI perusahaan

  • Tidak memasukkan data sensitif ke AI publik yang tidak diawasi

  • Melaporkan jika secara tidak sengaja terjadi kebocoran atau jika ragu tentang penggunaan alat baru

Namun, jika terjadi pelanggaran, sanksi terhadap karyawan bersifat internal (teguran hingga pemutusan hubungan kerja, tergantung kebijakan perusahaan). Secara hukum, tanggung jawab terhadap regulator dan pihak yang dirugikan tetap berada di pundak perusahaan.

Penyedia AI: Tidak Bertanggung Jawab

Banyak yang keliru mengira bahwa penyedia AI seperti OpenAI atau Google harus bertanggung jawab jika data bocor. Faktanya, dalam perjanjian layanan mereka, hampir seluruh tanggung jawab operasional dan hukum dialihkan ke pengguna atau perusahaan yang mengintegrasikan model AI mereka.

Yang perlu diketahui:

  • Penyedia hanya memberikan kompensasi terbatas untuk akun Enterprise/API—itu pun hanya untuk pelanggaran hak kekayaan intelektual

  • Halusinasi AI, kebocoran data, dan kesalahan faktual tidak tercakup dalam perjanjian layanan

  • Perusahaan tidak bisa mengaudit model dasar AI atau menegosiasikan klausul tanggung jawab bersama

Apa yang Harus Dilakukan Perusahaan?

1. Buat Kebijakan AI yang Jelas

Kebijakan harus:

  • Mendefinisikan alat AI apa yang disetujui dan dilarang

  • Menentukan data apa yang boleh dan tidak boleh diproses oleh AI publik

  • Menyediakan proses persetujuan untuk alat baru

  • Mencantumkan sanksi bagi pelanggaran

2. Penuhi Kewajiban Literasi AI

Sejak 2 Februari 2025, EU AI Act mewajibkan perusahaan memastikan semua personel memiliki literasi AI yang memadai—pengetahuan tentang risiko dan kemampuan menggunakan AI secara bertanggung jawab. Meskipun Indonesia tidak terikat langsung oleh EU AI Act, prinsip ini menjadi standar global yang semakin diadopsi.

3. Sediakan Alternatif yang Aman

Karyawan menggunakan Shadow AI karena jalur resmi terasa lambat atau sulit. Solusinya: buat jalur yang patuh menjadi pilihan termudah:

  • Sediakan alat AI enterprise yang aman dengan jaminan data tidak digunakan untuk pelatihan model

  • Buat katalog alat yang disetujui dengan proses cepat

  • Gunakan AI internal perusahaan seperti yang dilakukan Telkom

4. Pantau dan Tegakkan

Kebijakan tanpa penegakan hanyalah dokumen. Perusahaan perlu:

  • Memantau penggunaan AI di jaringan dan perangkat perusahaan

  • Melakukan audit kepatuhan secara rutin

  • Menerapkan sanksi yang proporsional—dari teguran untuk pelanggaran pertama hingga pemutusan hubungan kerja untuk pelanggaran serius

Kesimpulan: Perusahaan Tidak Bisa Pura-Pura Tidak Tahu

Perusahaanlah yang bertanggung jawab utama atas penggunaan AI karyawan. Regulator tidak peduli apakah kebocoran terjadi karena karyawan “tidak sengaja” atau “tidak tahu”—yang mereka lihat adalah apakah perusahaan sudah memiliki perlindungan yang memadai.

Langkah-langkah yang harus segera diambil:

  1. Buat kebijakan AI yang tegas

  2. Sediakan alternatif AI internal yang aman

  3. Edukasi seluruh karyawan tentang risiko dan aturan mainnya

  4. Terapkan pemantauan dan penegakan kebijakan

Seperti yang diingatkan para pakar: “Larangan penggunaan AI sering kali menjadi bumerang. Hanya pengaktifan yang terkendali, transparansi, dan pelatihan yang menyediakan jalur yang dapat dipertahankan untuk penggunaan AI yang aman dan patuh”. Dengan tata kelola yang baik, perusahaan bisa menikmati kemudahan AI tanpa harus mengorbankan keamanan data.

Related Posts: