Biar Nggak Bocor! Ini 7 Poin Wajib Kebijakan Generative AI di Perusahaan
Generative AI seperti ChatGPT, Claude, hingga Midjourney kini sudah jadi "rekan kerja" harian bagi banyak karyawan. Namun, di balik lonjakan produktivitas ini, ada bahaya laten yang mengintai: Shadow AI alias penggunaan tools AI non-resmi yang tanpa pengawasan.
Data Verizon DBIR 2026 mengungkapkan hal yang cukup mengejutkan: sekitar 45% karyawan rutin memakai AI di tempat kerja, dan 67% di antaranya menggunakan akun pribadi. Akibatnya, source code, data keuangan, hingga dokumen rahasia pelanggan kerap terunggah ke platform publik tanpa disadari.
Masalahnya bukan lagi apakah perusahaan perlu aturan AI, melainkan secepat apa kebijakan AI tersebut diterapkan. Nah, agar penggunaan AI di kantor tetap aman tanpa memangkas efisiensi, berikut 7 komponen wajib yang harus ada dalam kebijakan Generative AI perusahaan Anda.
1. Kejelasan Ruang Lingkup & Definisi AI
Aturan AI yang baik tidak boleh ambigu. Kebijakan harus menegaskan siapa saja pihak yang terikat—mulai dari karyawan tetap, pekerja kontrak, pemagang, hingga mitra vendor.
Selain itu, definisikan secara mendalam apa saja yang tergolong Generative AI. Masukkan nama-nama platform populer seperti ChatGPT, Google Gemini, Claude, GitHub Copilot, hingga AI browser extension yang sering terpasang secara diam-diam di browser kerja.
2. Klasifikasi Tools AI: Mana yang Boleh, Mana yang Haram?
Jangan terapkan aturan "ban total" karena karyawan biasanya akan tetap menggunakannya secara sembunyi-sembunyi. Sebaiknya, buat kategori yang jelas:
AI Enterprise (Disetujui): Tools berbayar dengan lisensi bisnis (seperti Microsoft Copilot M365) yang menjamin kerahasiaan data. Boleh digunakan untuk data internal.
AI Publik (Dibatasi/Dilarang): Platform gratisan seperti ChatGPT free version. Hanya boleh dipakai untuk riset atau data umum, dan dilarang keras untuk data sensitif.
AI Browser Extension Unofficial: Dilarang total karena kerap menjadi celah kebocoran data di latar belakang (background process).
3. Matriks Klasifikasi Data & Input
Ini adalah benteng pertahanan paling krusial. Karyawan wajib tahu data mana saja yang diizinkan "diumpan" ke AI. Buat tingkatan yang mudah dipahami:
Publik: Boleh dimasukkan ke AI publik maupun enterprise.
Internal: Hanya boleh untuk AI enterprise.
Rahasia & Sangat Rahasia (Source code utama, data PII pelanggan, laporan keuangan rahasia): Dilarang keras dimasukkan ke platform AI mana pun tanpa izin khusus dari tim Cyber Security.
4. Prinsip Human-in-the-Loop (Verifikasi Manusia)
AI sering mengalami hallucination—menghasilkan informasi palsu yang terkesan sangat meyakinkan.
Oleh karena itu, kebijakan perusahaan harus mewajibkan intervensi manusia (Human-in-the-Loop). AI hanya bertugas membuat draf awal, sedangkan keputusan akhir, fact-checking, dan validasi hukum/keuangan tetap menjadi tanggung jawab penuh karyawan.
5. Kejelasan Hak Kekayaan Intelektual (HAKI)
Siapa pemegang hak cipta dari ide atau kode yang dibuat oleh AI saat jam kerja?
Tegaskan dalam dokumen aturan bahwa seluruh output yang dihasilkan dari fasilitas kantor, data perusahaan, atau akun AI enterprise adalah milik penuh perusahaan. Karyawan tidak berhak mengklaimnya sebagai karya pribadi atau menggunakannya di luar kepentingan kantor.
6. Jalur Persetujuan Tools AI Baru
Perkembangan teknologi AI sangat cepat, dan karyawan pasti ingin mencoba tools baru yang meluncur di pasaran.
Alih-alih melarang, sediakan mekanisme pengajuan resmi. Ketika ada divisi yang ingin mengadopsi platform AI baru, buatkan alur peninjauan singkat yang melibatkan tim IT, Risk Management, dan Legal untuk mengaudit tingkat keamanannya.
7. Program Pelatihan Berkelanjutan & Sanksi
Kebijakan sehebat apa pun akan sia-sia jika hanya tersimpan di folder PDF. Perusahaan perlu mengadakan sosialisasi berkala (minimal tiap 6 bulan sekali) mengenai cara penggunaan AI yang aman dan edukasi terkait UU Pelindungan Data Pribadi (UU PDP).
Selain edukasi, cantumkan pula konsekuensi logis jika terjadi pelanggaran mulai dari teguran tertulis hingga sanksi disipliner—guna menjaga kedisiplinan bersama.