Karyawan Anda Sudah Pakai ChatGPT: Saatnya Buat Kebijakannya

Saat ini juga, ada orang di tim Anda yang sedang menempelkan kontrak pelanggan ke ChatGPT untuk diringkas. Orang lain mungkin sedang meminta AI menulis ulang email penjualan yang berisi struktur harga Anda. Mereka bukan sedang ceroboh. Mereka sedang produktif, dan alatnya memang benar-benar berguna. Masalahnya, Anda belum punya kebijakan penggunaan AI perusahaan, jadi tidak ada yang tahu di mana batasnya.

Saya sudah melihat pola ini terjadi di beberapa UKM Indonesia dalam beberapa bulan terakhir. Insting manajemen biasanya adalah melarang tools tersebut sepenuhnya. Itu pilihan terburuk. Larangan tidak menghentikan penggunaannya, hanya memindahkannya ke ponsel pribadi dan akun pribadi yang sama sekali tidak bisa Anda pantau. Para insinyur Samsung yang membocorkan source code internal ke ChatGPT awal tahun ini tidak melakukannya karena tidak ada larangan. Mereka melakukannya karena tools tersebut menyelesaikan masalah mereka lebih cepat daripada proses internal manapun.

Jadi tugas sebenarnya bukan mencegah. Tugasnya adalah menggambar garis yang jelas, sederhana, satu halaman, yang benar-benar bisa diikuti orang. Berikut kerangka yang saya berikan ke klien.

Kenapa larangan AI malah jadi bumerang?

Larangan tools AI jadi bumerang karena larangan tidak menghentikan perilakunya, hanya menyembunyikannya dari pandangan Anda. Ketika Anda melarang alat yang berguna, tiga hal terjadi: penggunaannya jadi sembunyi-sembunyi sehingga Anda kehilangan kemampuan mengarahkannya, orang-orang terbaik Anda merasa diperlakukan seperti anak kecil, dan Anda tertinggal dari kompetitor yang justru belajar memakai tools yang sama dengan baik.

Kebijakan penggunaan AI perusahaan bukan soal kontrol demi kontrol. Ini soal membuat jalur yang aman menjadi jalur yang mudah. Kalau karyawan tahu persis apa yang boleh dan apa yang dilarang, mereka berhenti menebak-nebak, dan menebak-nebak itulah sumber kebocoran data.

Framing yang saya pakai ke pemilik bisnis sederhana. Anda bukan sedang mengawasi kecerdasan, Anda sedang melindungi data. Itu dua hal yang berbeda. Tidak ada yang berdebat bahwa gudang seharusnya tidak punya aturan soal apa yang boleh keluar dari gedung. Kebijakan AI adalah ide yang sama, diterapkan pada informasi.

Anda bukan sedang mengawasi kecerdasan, Anda sedang melindungi data.

Ervandra Halim, penasihat adopsi AI untuk UKM

Apa isi kebijakan AI satu halaman?

Kebijakan AI satu halaman berisi tiga kelompok: penggunaan yang diizinkan, yang dilarang, dan kasus abu-abu yang perlu ditanyakan dulu. Anda tidak perlu dokumen hukum, Anda hanya perlu satu halaman yang bisa dibaca karyawan baru dalam tiga menit.

Diizinkan tanpa perlu bertanya. Ini penggunaan berisiko rendah, bernilai tinggi. Menyusun dan mengedit teks umum. Brainstorming ide. Meringkas dokumen publik. Menulis kode yang tidak menyentuh logika bisnis rahasia. Menjelaskan konsep. Menerjemahkan copy marketing. Apa pun di mana inputnya tidak mengandung data rahasia dan hasilnya direview manusia sebelum dipakai.

Dilarang, tanpa pengecualian. Ini kelompok yang mencegah kejadian seperti kasus Samsung. Jangan pernah menempelkan hal-hal berikut:

Data pribadi pelanggan (nama, nomor identitas, nomor telepon, alamat)
Catatan keuangan, daftar harga, atau margin internal
Source code dari repository privat
Kontrak, dokumen hukum, atau apa pun yang terikat NDA
Data karyawan dan payroll
Password, API key, atau kredensial akses

Area abu-abu, tanya dulu. Beberapa kasus berada di antara dua kelompok di atas. Draf marketing yang menyebut produk yang belum dirilis. Dokumen proses yang mengungkap cara kerja operasional Anda. Untuk kasus-kasus ini, aturannya satu kalimat: kalau ragu, tanya atasan dulu sebelum menempelkan apa pun. Tunjuk satu orang spesifik yang memegang keputusan ini, supaya "tanya dulu" tidak berubah jadi "tidak tanya siapa-siapa."

Buat jalur yang aman jadi jalur yang mudah

Kebijakan di atas kertas tidak mengubah apa pun. Yang mengubah perilaku adalah memberi orang cara resmi untuk melakukan hal yang memang ingin mereka lakukan.

Kalau tim Anda perlu meringkas kontrak pelanggan, itu sinyal, bukan pelanggaran. Artinya ada nilai nyata di situ. Respons yang tepat adalah mencari tools dengan penanganan data yang layak, atau mengajari orang cara menganonimkan input terlebih dahulu. Hilangkan nama, ganti angka dengan placeholder, baru tempelkan. AI tetap mengerjakan tugasnya dan tidak ada yang sensitif keluar dari gedung.

Di sinilah sedikit pelatihan langsung membuahkan hasil. Sesi tiga puluh menit yang menunjukkan ke tim cara mendapatkan hasil lebih baik, dan cara mengenali saat mereka hampir menempelkan sesuatu yang seharusnya tidak, lebih efektif daripada dokumen yang ditandatangani sekalipun. Orang mengikuti aturan yang mereka pahami dan mengabaikan aturan yang terasa sembarangan.

Kedisiplinan yang sama yang melindungi data Anda juga membangun kapabilitas Anda. Memperlakukan informasi dengan hati-hati adalah fondasi untuk memanfaatkannya dengan baik, dan itu persis pola pikir di balik Data Bisnis Anda Adalah Aset. Mulai Kumpulkan Sekarang.

Seberapa sering kebijakan AI perlu direview?

Kebijakan AI perlu direview sekali per kuartal untuk kebanyakan UKM, karena tools ini berubah setiap bulan dan kebijakan yang ditulis hari ini akan terasa usang di akhir tahun. Bangun jadwal review rutin dan tanyakan tiga hal setiap kali:

Tools baru apa yang mulai dipakai tim sejak kuartal lalu?
Apakah ada yang menemui kasus area abu-abu yang sekarang perlu dijelaskan secara eksplisit?
Apakah ada tools yang disetujui yang menangani data cukup aman untuk memindahkan satu penggunaan dari kelompok terlarang ke kelompok diizinkan?

Simpan kebijakan ini di tempat yang benar-benar dilihat orang, bukan terkubur di shared drive yang tidak pernah dibuka siapa pun. Pin di grup chat tim. Jadikan bagian dari onboarding. Bahas ulang secara lisan dalam rapat sesekali supaya tetap hidup.

Kalau Anda ingin AI benar-benar membantu bisnis Anda, bukan sekadar karyawan secara individu, langkah berikutnya adalah memberinya informasi bisnis Anda sendiri untuk diolah dengan aman, yang saya bahas di RAG Dijelaskan: AI yang Benar-Benar Mengenal Bisnis Anda.

Yang perlu dilakukan

Karyawan Anda sudah memakai tools ini. Keputusan itu sudah dibuat, tanpa Anda. Satu-satunya pertanyaan yang masih terbuka adalah apakah mereka melakukannya di dalam batasan yang jelas atau diam-diam.

Tulis satu halaman ini minggu ini. Tiga kelompok: diizinkan, dilarang, tanya dulu. Tunjuk orang yang memegang keputusan untuk area abu-abu. Lakukan pelatihan tiga puluh menit supaya orang paham alasannya. Review setiap kuartal. Itulah kebijakan penggunaan AI perusahaan yang benar-benar melindungi Anda, dan itu hanya butuh waktu satu sore, bukan firma hukum.

Kalau Anda lebih suka ada yang memetakan risiko data Anda dan menyiapkan ini bersamaan dengan keputusan teknologi yang lebih luas, itu jenis pekerjaan yang saya ambil bersama mitra terpilih. Mulai dengan satu halaman ini terlebih dahulu, apa pun keadaannya. Penggunaan yang sembunyi-sembunyi adalah risiko yang tidak bisa Anda lihat, dan itu sudah terjadi sekarang.

Pertanyaan yang sering diajukan

Bagaimana kalau tim memang perlu memproses data sensitif, misalnya meringkas kontrak pelanggan?

Perlakukan kebutuhan itu sebagai sinyal, bukan pelanggaran, karena artinya ada nilai nyata di baliknya. Solusinya adalah mencari tools dengan penanganan data yang layak, atau mengajari tim menganonimkan data lebih dulu, menghilangkan nama dan mengganti angka dengan placeholder sebelum ditempelkan. AI tetap bisa membantu dan tidak ada data sensitif yang keluar dari perusahaan.

Apakah larangan tegas akan mencegah kebocoran source code seperti kasus Samsung?

Tidak dengan sendirinya. Insinyur Samsung menempelkan source code ke ChatGPT karena tools itu menyelesaikan masalah mereka lebih cepat daripada proses internal, bukan karena tidak ada larangan. Aturan saja tidak bisa mengalahkan tools yang memang lebih cepat, jadi solusinya adalah menyediakan cara resmi yang sama cepatnya tapi aman, bukan sekadar melarang.

Siapa yang seharusnya memutuskan kasus area abu-abu antara diizinkan dan dilarang?

Satu orang yang ditunjuk secara spesifik, bukan instruksi 'tanya dulu' yang mengambang. Kebijakan harus menyebut nama atasan yang memegang keputusan ini, supaya kasus abu-abu, misalnya draf marketing yang menyebut produk belum rilis, benar-benar terjawab dan tidak berakhir jadi 'tidak tanya siapa-siapa.'

Apakah menulis kebijakan ini sudah cukup tanpa pelatihan tambahan untuk tim?

Tidak, keduanya harus berjalan bersama. Kebijakan satu halaman yang ditandatangani saja tidak banyak mengubah perilaku; sesi tiga puluh menit yang menunjukkan cara mendapat hasil lebih baik dan cara mengenali saat hampir menempelkan sesuatu yang berisiko justru lebih efektif, karena orang mengikuti aturan yang mereka pahami dan mengabaikan yang terasa sembarangan.