Pada April 2023, sejumlah karyawan Samsung diketahui mengunggah informasi sensitif perusahaan, termasuk kode sumber, ke ChatGPT untuk membantu pekerjaan. Setelah kejadian tersebut, Samsung membatasi penggunaan layanan generative AI pada perangkat dan jaringan perusahaan karena khawatir data yang dikirim ke layanan eksternal tersimpan di server pihak ketiga dan sulit dikendalikan oleh perusahaan.
Kasus tersebut menunjukkan persoalan yang relevan bagi perusahaan: ketika karyawan menggunakan AI publik untuk memproses dokumen internal, data perusahaan keluar dari lingkungan yang sepenuhnya dikendalikan organisasi.
Risikonya bukan berarti setiap dokumen yang diunggah ke AI publik pasti menjadi konsumsi publik. Risiko bergantung pada penyedia, jenis layanan, pengaturan akun, kebijakan retensi, lokasi pemrosesan data, serta siapa yang dapat mengakses data tersebut.
Karena itu, bagi direksi, pimpinan IT, tim keamanan informasi, dan compliance, persoalannya bukan sekadar apakah karyawan boleh menggunakan AI. Yang lebih penting adalah bagaimana perusahaan menyediakan AI yang dapat digunakan secara produktif dengan kontrol keamanan dan tata kelola yang sesuai.
Mengapa Karyawan Mengunggah Dokumen Internal ke AI Publik?
AI publik merupakan layanan AI yang dapat digunakan melalui internet dan dioperasikan oleh penyedia pihak ketiga. Karyawan dapat menggunakannya untuk merangkum dokumen, membuat laporan, menganalisis data, menulis kode, atau mencari informasi.
Ketika penggunaan tersebut dilakukan tanpa kebijakan, akun perusahaan, atau pengawasan IT yang memadai, praktik ini sering disebut sebagai shadow AI.
Biasanya, masalah muncul bukan karena karyawan berniat membocorkan informasi. Misalnya, seorang analis keuangan yang dikejar tenggat waktu dapat mengunggah draf kontrak untuk meminta ringkasan klausul. Staf HR dapat memasukkan data tertentu untuk membantu menyusun deskripsi pekerjaan atau merapikan dokumen. Developer dapat menempelkan potongan kode untuk mencari penyebab error.
Dari sisi produktivitas, tindakan tersebut terlihat sederhana. Namun dari sisi keamanan informasi, perusahaan perlu mengetahui bagaimana data diproses, disimpan, dilindungi, dan siapa yang memiliki akses terhadapnya.
Tiga Risiko Utama Penggunaan AI Publik untuk Dokumen Internal
- Kebocoran Informasi Rahasia dan Kekayaan Intelektual
Dokumen perusahaan dapat mengandung informasi yang memiliki nilai bisnis tinggi, seperti source code, desain sistem, strategi harga, dokumen tender, rencana bisnis, kontrak, laporan internal, hingga informasi mengenai produk yang belum dipublikasikan. Ketika informasi tersebut diunggah ke layanan pihak ketiga, perusahaan perlu memperhitungkan bagaimana penyedia layanan memproses, menyimpan, dan melindungi data tersebut.
Risiko ini juga berkaitan dengan kewajiban kontraktual. Misalnya, dokumen yang diterima perusahaan berdasarkan Non-Disclosure Agreement (NDA) mungkin memiliki pembatasan mengenai pihak yang boleh menerima atau memproses informasi tersebut. Karena itu, kebijakan penggunaan AI perlu mempertimbangkan klasifikasi informasi dan kewajiban kontraktual perusahaan. - Risiko Pelindungan Data Pribadi Berdasarkan UU PDP
Risiko semakin kompleks ketika dokumen internal mengandung Data Pribadi, seperti data pelanggan, karyawan, pasien, atau pengguna layanan. Di Indonesia, pemrosesan Data Pribadi diatur dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP). Ketika Data Pribadi dimasukkan ke layanan AI pihak ketiga, perusahaan perlu memperhatikan dasar dan tujuan pemrosesan, pihak yang menerima data, serta keamanan pengelolaannya.
Jika data diproses atau disimpan di luar Indonesia, Pasal 56 UU PDP juga mengatur transfer Data Pribadi ke luar wilayah hukum Indonesia, termasuk kewajiban memastikan tingkat pelindungan yang sesuai. Karena itu, perusahaan perlu memahami bagaimana dan di mana layanan AI memproses Data Pribadi yang digunakan dalam dokumen internal. - Penggunaan Data untuk Peningkatan Model dan Retensi Data
Risiko lain berkaitan dengan kebijakan penyedia layanan mengenai penggunaan dan penyimpanan data. Hal ini tidak dapat digeneralisasi untuk seluruh layanan AI karena kebijakan berbeda berdasarkan penyedia, produk, jenis akun, dan pengaturan.
Sebagai contoh, OpenAI menyatakan bahwa pada layanan untuk individu, konten dapat digunakan untuk meningkatkan model tergantung pengaturan pengguna. Sementara itu, OpenAI menyatakan bahwa secara default konten dari produk bisnis seperti ChatGPT Business, Enterprise, dan API tidak digunakan untuk meningkatkan model.
Karena itu, perusahaan perlu memahami kebijakan data dari layanan AI sebelum menggunakannya untuk memproses dokumen internal. Aspek yang perlu diperhatikan mencakup retensi data, penggunaan data untuk peningkatan model, lokasi pemrosesan, kontrol akses, serta mekanisme penghapusan data.
Mengapa Larangan Saja Tidak Menyelesaikan Masalah?
Ketika perusahaan menemukan penggunaan AI tanpa izin, respons yang sering dilakukan adalah menerbitkan larangan.
Kebijakan tersebut penting, tetapi larangan saja belum tentu menghilangkan kebutuhan karyawan terhadap AI. Jika karyawan tetap membutuhkan AI untuk menyelesaikan pekerjaan, penggunaan dapat berpindah ke akun pribadi atau perangkat lain yang lebih sulit dipantau perusahaan.
Karena itu, perusahaan perlu menggabungkan kebijakan penggunaan AI dengan alternatif teknologi yang telah disetujui dan dikelola oleh organisasi.
AI Private sebagai Pendekatan untuk Enterprise
Salah satu pendekatan yang dapat dipertimbangkan perusahaan adalah membangun AI private atau enterprise AI environment yang memberikan kontrol lebih besar terhadap data dan akses. Implementasinya dapat menggunakan infrastruktur on-premise, private cloud, atau arsitektur cloud tertentu sesuai kebutuhan keamanan, regulasi, dan desain teknis perusahaan.
Beberapa kemampuan penting dalam lingkungan AI enterprise meliputi:
- Role-Based Access Control
Pengguna hanya dapat mengakses dokumen dan informasi sesuai dengan peran serta kewenangannya. Staf HR, misalnya, tidak otomatis dapat mengakses dokumen keuangan, sementara tim proyek hanya dapat mengakses knowledge base yang relevan dengan proyeknya. - Data Residency dan Data Processing
Perusahaan perlu mengetahui di mana data disimpan dan diproses, siapa penyedia infrastrukturnya, serta apakah terdapat pemrosesan atau transfer data lintas negara. Hal ini penting terutama ketika sistem memproses Data Pribadi yang tunduk pada UU PDP. - Verifiable Sources
AI sebaiknya memberikan sumber atau referensi dari dokumen internal yang digunakan untuk menghasilkan jawaban. Dengan demikian, pengguna dapat memeriksa kembali informasi yang diberikan dan mengurangi risiko keputusan berdasarkan jawaban AI yang tidak memiliki dasar yang jelas. - Audit Trail
Aktivitas pengguna perlu dapat dicatat sesuai kebutuhan organisasi. Audit trail membantu tim IT dan keamanan informasi mengetahui aktivitas seperti pengguna yang mengakses sistem, dokumen yang digunakan, serta aktivitas yang berkaitan dengan kebijakan keamanan.
AI Private dan Enterprise Knowledge Search
Implementasi AI untuk perusahaan tidak harus berhenti pada chatbot. Salah satu penggunaannya adalah enterprise AI search, yaitu kemampuan mencari informasi dari berbagai dokumen internal menggunakan bahasa natural.
Karyawan dapat mengajukan pertanyaan berdasarkan kebutuhan pekerjaan, kemudian sistem mencari informasi dari SOP, manual, dokumentasi proyek, dan knowledge base yang memang boleh diakses oleh pengguna tersebut.
Pendekatan ini menghubungkan AI dengan knowledge management perusahaan. Pengetahuan yang sebelumnya tersebar di berbagai dokumen dapat dibuat lebih mudah ditemukan tanpa memberikan akses yang melampaui kewenangan pengguna.
FAQ
AI Private adalah solusi AI yang dirancang untuk lingkungan organisasi dengan kontrol lebih besar atas akses, data, pemrosesan, dan penggunaannya.
Tidak. Perusahaan perlu memiliki kebijakan penggunaan AI, klasifikasi data, kontrol akses, serta solusi AI yang sesuai untuk kebutuhan dan tingkat sensitivitas informasi organisasi.
Tidak selalu. Tingkat keamanan bergantung pada layanan, pengaturan akun, kebijakan penyedia, serta jenis data yang dimasukkan. Dokumen yang mengandung informasi rahasia, kekayaan intelektual, atau Data Pribadi perlu diproses dengan kontrol keamanan dan tata kelola yang sesuai.
Tidak otomatis. Namun, perusahaan tetap perlu memastikan pemrosesan Data Pribadi memiliki dasar yang sesuai, tujuan yang jelas, serta memenuhi kewajiban pelindungan data berdasarkan UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP).
Risikonya dapat mencakup paparan informasi rahasia, kebocoran kekayaan intelektual, masalah pelindungan Data Pribadi, serta hilangnya kontrol perusahaan atas bagaimana data diproses atau disimpan.
Butuh Solusi AI Enterprise yang Lebih Terkelola?
Badr Interactive membantu perusahaan merancang solusi Data & AI Enterprise untuk kebutuhan pencarian dokumen, pengelolaan pengetahuan, dan pemanfaatan AI dengan mempertimbangkan kebutuhan keamanan serta tata kelola organisasi.
Hubungi Badr Interactive melalui WhatsApp atau isi formulir di bawah ini untuk mendiskusikan kebutuhan AI dan data perusahaan Anda.
Need the Right Digital Solution for Your Business?
We’re here to help you design the best digital solutions tailored to your business needs.
