Karyawan di banyak perusahaan sudah terbiasa memakai ChatGPT, Claude, atau Gemini untuk merangkum dokumen, membuat draf email, atau merapikan laporan. Masalahnya, sering kali tidak ada yang tahu data apa saja yang sudah ditempel ke alat-alat tersebut. Kontrak klien, data gaji, atau daftar pelanggan bisa berpindah ke layanan pihak ketiga hanya dengan satu kali salin dan tempel.
Perusahaan tetap bisa memakai AI dengan aman. Keamanan data saat menggunakan AI dimulai dari aturan yang jelas tentang data apa yang boleh dipakai, siapa yang boleh mengakses, bagaimana aktivitasnya dicatat, dan pengaturan apa yang perlu dicek di sisi vendor.
Risiko keamanan data saat menggunakan AI
Risiko pertama adalah kebocoran ke pihak ketiga. Setiap teks yang dimasukkan ke layanan AI dikirim ke server penyedia. Tergantung paket dan pengaturannya, teks itu bisa disimpan untuk jangka waktu tertentu dan, pada sebagian layanan versi konsumen, dipakai untuk melatih model.
Risiko kedua adalah akses yang terlalu luas. Ketika AI dihubungkan ke folder bersama atau database perusahaan, AI bisa menampilkan informasi kepada karyawan yang seharusnya tidak berhak melihatnya. Staf marketing, misalnya, tidak semestinya bisa menanyakan data gaji lewat asisten AI internal.
Risiko ketiga adalah tidak adanya jejak. Jika tidak ada catatan siapa menanyakan apa dan data mana yang dibuka, perusahaan akan kesulitan menelusuri sumber masalah ketika terjadi insiden.
Contoh yang sering terjadi, staf admin klinik menempel daftar pasien ke alat AI gratis agar jadwal kontrol lebih cepat disusun. Niatnya baik, tetapi nama, nomor telepon, dan keluhan pasien kini tersimpan di layanan yang tidak pernah dinilai oleh perusahaan. Kejadian seperti ini biasanya baru diketahui jauh setelahnya, atau tidak pernah diketahui sama sekali.
Data yang sebaiknya tidak ditempel ke AI
Untuk alat AI umum yang belum diatur perusahaan, gunakan daftar berikut sebagai pegangan:
- Data pribadi pelanggan atau karyawan, seperti NIK, NPWP, nomor rekening, alamat, dan nomor telepon.
- Data kesehatan, misalnya rekam medis pasien klinik.
- Data gaji, penilaian kinerja, dan dokumen HR lainnya.
- Kontrak, akta, dan dokumen rahasia milik klien.
- Password, API key, dan akses login sistem.
- Laporan keuangan yang belum dipublikasikan dan rencana bisnis internal.
Jika pekerjaan memang membutuhkan dokumen seperti ini, pakai alat AI yang sudah disetujui perusahaan, dengan pengaturan data dan kontrol akses yang jelas. Cara lain adalah menyamarkan data sensitif lebih dulu, misalnya mengganti NIK dan nama dengan kode, sebelum teks dikirim ke model.
Kontrol akses dan pencatatan aktivitas
Gunakan akun perusahaan, jangan akun pribadi karyawan. Dengan akun perusahaan, admin bisa mengatur siapa yang boleh memakai alat AI, mencabut akses saat karyawan keluar, dan melihat pemakaian secara keseluruhan. Banyak layanan AI untuk bisnis juga mendukung login lewat sistem identitas perusahaan (SSO).
Untuk AI yang terhubung ke data internal, hak akses harus mengikuti struktur organisasi. Asisten AI hanya boleh mengambil dokumen yang memang boleh dibuka oleh pengguna yang bertanya. Prinsip ini penting di kantor notaris, kantor konsultan pajak, atau firma hukum, karena satu staf biasanya hanya menangani sebagian klien.
Catat juga aktivitasnya dalam audit log. Minimal, log berisi siapa pengguna, kapan, data atau tool apa yang diakses, dan apa yang dilakukan. Simpan log di tempat yang tidak bisa diubah oleh pengguna biasa, lalu tunjuk orang yang memeriksanya secara berkala.
Pengaturan di sisi vendor
Sebelum memilih layanan AI, baca ketentuan penggunaan dan kebijakan datanya. Beberapa hal yang perlu dicek:
Pertama, cari tahu apakah data Anda dipakai untuk melatih model dan apakah pengaturan itu bisa dimatikan. Banyak layanan membedakan ketentuan untuk paket konsumen dengan paket bisnis dan API, jadi periksa ketentuan untuk paket yang benar-benar Anda pakai. Kedua, cek berapa lama data disimpan, di negara mana servernya berada, dan apakah masa penyimpanannya bisa diperpendek.
Ketiga, lihat fitur admin yang tersedia, seperti pengelolaan pengguna, laporan pemakaian, dan pengaturan integrasi. Jika alat AI akan dihubungkan ke Google Drive, OneDrive, atau sistem internal, pastikan Anda bisa membatasi folder atau data mana saja yang boleh dibaca.
Menyusun kebijakan internal
Semua pengaturan di atas perlu dituangkan dalam kebijakan penggunaan AI yang singkat dan mudah dipahami. Isinya mencakup alat AI yang disetujui, jenis data yang dilarang, kewajiban memeriksa hasil AI sebelum dipakai, dan cara melaporkan jika data terlanjur ditempel ke tempat yang salah.
Kebijakan ini sebaiknya sejalan dengan kebijakan privasi perusahaan dan prinsip UU PDP (UU No. 27 Tahun 2022), terutama jika AI memproses data pribadi pelanggan atau karyawan. Sosialisasikan kebijakan lewat contoh nyata dari pekerjaan sehari-hari, lalu tinjau ulang setiap kali ada alat AI baru yang dipakai. Sebutkan juga siapa pemilik kebijakan ini, misalnya kepala operasional atau penanggung jawab IT, agar ada orang yang memutuskan ketika muncul pertanyaan baru.
AI perusahaan dengan perlindungan data
AI bisa dipakai untuk dokumen dan data internal tanpa membuka akses berlebih. Averoa membangun AI di atas data perusahaan dengan akses per tim, jawaban yang menyertakan sumber, dan penyamaran data seperti NIK dan NPWP sebelum dikirim ke model melalui layanan AI untuk Perusahaan.
