Di banyak kantor, AI sudah dipakai jauh sebelum ada aturannya. Karyawan memakai akun pribadi untuk merangkum notulen, merapikan surat, atau menganalisis tabel — sering kali dengan data yang seharusnya tidak keluar dari perusahaan. Work Trend Index 2024 mencatat 76% karyawan di Indonesia membawa alat AI pilihan mereka sendiri ke tempat kerja. Kebijakan penggunaan AI di perusahaan bukan lagi soal mengizinkan atau melarang, melainkan soal memberi rambu yang jelas pada sesuatu yang sudah terjadi.
Artikel ini menguraikan cara menyusun kebijakan tersebut: acuan regulasi yang perlu diperhatikan, tujuh isi minimal, contoh klausul, dan kesalahan yang paling sering terjadi. Dalam program pelatihan artificial intelligence perusahaan yang kami jalankan, kebijakan ini selalu disepakati pimpinan lebih dulu — sebelum satu pun karyawan dilatih.
Artikel ini adalah panduan praktis, bukan nasihat hukum. Libatkan penasihat hukum atau tim kepatuhan Anda sebelum kebijakan diberlakukan.
Mengapa Kebijakan Harus Ada Sebelum Pelatihan
Pelatihan membuat karyawan lebih percaya diri memakai AI. Itu kabar baik, sekaligus risiko. Tanpa kebijakan, karyawan yang baru dilatih akan memakai AI lebih sering untuk lebih banyak jenis pekerjaan — termasuk pekerjaan yang menyentuh data pelanggan, gaji, atau kontrak. Pelatihan tanpa aturan justru mempercepat kebocoran data, bukan mencegahnya.
Sebaliknya, kebijakan tanpa pelatihan jarang dipatuhi karena karyawan tidak tahu cara memenuhinya. Keduanya perlu berjalan berurutan: aturan disepakati, lalu diajarkan lewat praktik.
Acuan Regulasi yang Perlu Diperhatikan di Indonesia
- UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Perusahaan yang mengelola data pelanggan atau karyawan berkedudukan sebagai pengendali data pribadi. Bila terjadi kegagalan pelindungan data pribadi, Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3 × 24 jam kepada subjek data dan lembaga pengawas. Memasukkan data pribadi ke layanan AI pihak ketiga tanpa dasar yang jelas adalah salah satu cara paling mudah memicu masalah ini.
- Surat Edaran Menteri Kominfo Nomor 9 Tahun 2023 tentang Etika Kecerdasan Artifisial. Berisi nilai-nilai etika pemanfaatan AI, antara lain transparansi, akuntabilitas, keamanan, dan pelindungan data pribadi. Nilai-nilai ini berguna sebagai kerangka kalimat pembuka kebijakan.
- Aturan sektor dan rencana regulasi baru. Sektor tertentu, misalnya jasa keuangan, punya pedoman tersendiri dari regulatornya. Pemerintah juga sedang menyiapkan regulasi setingkat Peraturan Presiden tentang peta jalan dan etika kecerdasan artifisial, jadi periksa status terbarunya saat Anda memfinalkan kebijakan.
- Standar ISO/IEC 42001:2023. Standar sistem manajemen untuk kecerdasan artifisial. Tidak wajib, tetapi strukturnya membantu organisasi yang ingin tata kelola AI-nya bisa diaudit — terutama bila sudah menjalankan sistem manajemen keamanan informasi. Organisasi seperti ini biasanya juga membutuhkan pelatihan ISO/IEC 27001 untuk tim yang mengelola sistemnya.
Tujuh Isi Minimal Kebijakan Penggunaan AI
- Tujuan dan ruang lingkup. Untuk siapa kebijakan berlaku (karyawan tetap, kontrak, magang, vendor) dan untuk alat apa saja (chatbot, asisten di aplikasi kantor, fitur AI di perangkat lunak lain).
- Alat dan akun yang disetujui. Sebutkan alat yang boleh dipakai dan wajibkan akun perusahaan untuk pekerjaan. Akun pribadi tidak memberi perusahaan kendali atas data yang dimasukkan.
- Klasifikasi data. Bagian terpenting. Tiga tingkat sudah cukup untuk kebanyakan organisasi (lihat tabel di bawah).
- Kewajiban verifikasi. AI bisa keliru dengan sangat meyakinkan. Angka, nama, kutipan, rujukan pasal, dan klaim faktual wajib diperiksa ke sumber aslinya sebelum dipakai.
- Transparansi. Kapan karyawan perlu menyebut bahwa sebuah dokumen dibantu AI — misalnya untuk dokumen yang dikirim ke pihak luar atau dipakai sebagai dasar keputusan.
- Keputusan tetap di tangan manusia. AI boleh membantu menyusun bahan, tetapi tidak menjadi pemutus untuk hal yang berdampak pada orang: rekrutmen, penilaian kinerja, persetujuan kredit, atau sanksi.
- Pelaporan dan penanggung jawab. Ke mana karyawan melapor bila data telanjur dimasukkan, siapa pemilik kebijakan, dan kapan kebijakan ditinjau ulang.
| Tingkat data | Contoh | Boleh dimasukkan ke AI? |
|---|---|---|
| Terbuka | Siaran pers, materi pemasaran yang sudah terbit, riset dari sumber publik, draf umum | Ya, di akun perusahaan |
| Terbatas | SOP internal, notulen rapat, laporan yang angkanya sudah disamarkan | Hanya di akun perusahaan yang disetujui |
| Rahasia | Data pribadi pelanggan dan karyawan, gaji, kontrak, rahasia dagang, kata sandi, kode akses | Tidak pernah |
Contoh Klausul yang Bisa Disesuaikan
Kebijakan yang dipatuhi biasanya pendek dan memakai bahasa sehari-hari. Berikut contoh klausul yang bisa menjadi titik awal.
Akun. "Pekerjaan kantor yang menggunakan AI hanya boleh dilakukan melalui akun yang disediakan perusahaan. Akun pribadi tidak boleh dipakai untuk dokumen atau data milik perusahaan."
Data rahasia. "Data yang tergolong Rahasia tidak boleh dimasukkan ke layanan AI mana pun, termasuk akun perusahaan, kecuali melalui sistem yang disetujui secara tertulis oleh [unit TI/keamanan informasi]."
Verifikasi. "Setiap angka, nama, kutipan, dan rujukan peraturan yang dihasilkan AI wajib diperiksa ke sumber aslinya oleh karyawan yang memakainya. Tanggung jawab atas isi dokumen tetap pada karyawan tersebut."
Pelaporan. "Karyawan yang tidak sengaja memasukkan data Terbatas atau Rahasia ke layanan AI wajib melapor ke [kontak] pada hari yang sama. Laporan yang disampaikan segera tidak dikenai sanksi."
Kalimat terakhir pada klausul pelaporan sengaja ditambahkan. Kalau karyawan takut dihukum, insiden akan disembunyikan — dan perusahaan kehilangan waktu berharga, terutama bila menyangkut data pribadi.
Siapa yang Menyusun dan Bagaimana Menyosialisasikannya
Kebijakan yang baik disusun lintas fungsi: pimpinan sebagai pemilik, TI untuk sisi akun dan keamanan, legal atau kepatuhan untuk sisi regulasi, dan SDM untuk sisi sosialisasi serta sanksi. Dalam program kami, draf kebijakan menjadi keluaran sesi pimpinan, lalu diajarkan di modul pertama kelas karyawan lewat latihan memilah dokumen: mana yang terbuka, terbatas, dan rahasia.
Tinjau ulang kebijakan setidaknya setiap enam bulan. Alat AI berubah cepat, dan fitur baru — misalnya AI yang tertanam di aplikasi surel atau penyimpanan dokumen — sering kali belum tercakup di versi pertama.
Kesalahan yang Paling Sering Terjadi
- Melarang total. Larangan menyeluruh hampir selalu berakhir dengan pemakaian diam-diam di ponsel pribadi, yang justru paling sulit dikendalikan.
- Terlalu panjang dan abstrak. Kebijakan lima belas halaman tanpa contoh tidak akan dibaca. Satu sampai dua halaman dengan tabel klasifikasi data jauh lebih efektif.
- Tanpa contoh dokumen. Karyawan sulit menilai sendiri apakah notulen rapat termasuk terbatas atau rahasia. Beri contoh per divisi.
- Tanpa pemilik. Kebijakan yang tidak punya penanggung jawab tidak pernah diperbarui dan cepat usang.
Pertanyaan yang Sering Diajukan
Apakah perusahaan boleh melarang AI sama sekali?
Boleh, tetapi jarang efektif. Pendekatan yang lebih aman adalah menyediakan akun resmi, membatasi jenis data, dan melatih karyawan memakainya dengan benar.
Apakah versi gratis alat AI aman untuk pekerjaan kantor?
Ketentuan penggunaan data berbeda-beda antara versi gratis, berbayar perorangan, dan versi bisnis. Baca ketentuan tiap layanan bersama tim TI. Untuk data terbatas, gunakan akun yang ketentuannya sudah disetujui perusahaan.
Apakah kami perlu sertifikasi ISO/IEC 42001?
Tidak wajib. Standar ini relevan bila organisasi mengembangkan atau mengoperasikan sistem AI dalam skala besar, atau bila klien meminta bukti tata kelola AI yang bisa diaudit. Untuk kebanyakan perusahaan, kebijakan yang jelas dan pelatihan yang konsisten adalah langkah pertama yang tepat.
Siapa yang bertanggung jawab bila hasil AI keliru?
Secara internal, karyawan yang memakai AI wajib memeriksa hasilnya sebelum dipakai. Terhadap pihak luar, perusahaan tetap bertanggung jawab atas dokumen yang dikeluarkannya. Karena itu kewajiban verifikasi perlu ditulis eksplisit di kebijakan.
Setelah kebijakan disepakati, langkah berikutnya adalah melatih karyawan menjalankannya pada pekerjaan nyata. Tahapannya kami uraikan di artikel cara merancang program pelatihan AI untuk karyawan, dan cara membuktikan hasilnya di cara mengukur hasil pelatihan AI karyawan. Bila Anda ingin kebijakan dan pelatihannya disusun bersama, lihat program pelatihan AI untuk perusahaan dan instansi dari Kursus Pintar.
