Membuat Kebijakan Penggunaan AI untuk Karyawan

Tim marketing memakai satu aplikasi AI untuk caption, tim sales memakai aplikasi lain untuk membalas email klien, dan staf admin diam-diam menempelkan rekap gaji ke chatbot agar dirangkum. Tidak ada yang berniat buruk. Masalahnya, tidak ada yang tahu batasnya, karena memang belum pernah ditulis.

Kebijakan penggunaan AI mengisi kekosongan itu. Bentuknya tidak perlu rumit. Dokumen tiga sampai lima halaman yang jelas lebih berguna daripada dokumen tebal yang tidak dibaca siapa pun. Kerangka di bawah bisa kamu salin, lalu sesuaikan dengan ukuran dan bidang usahamu.

Mulai dari tujuan dan cakupan

Bagian pembuka kebijakan cukup menjawab dua hal: kenapa aturan ini ada, dan untuk siapa. Tujuannya biasanya gabungan dari tiga hal: membantu karyawan memakai AI dengan produktif, melindungi data perusahaan dan pelanggan, serta menjaga kualitas pekerjaan yang keluar atas nama perusahaan.

Cakupannya sebaiknya luas: semua karyawan tetap, kontrak, magang, dan pihak ketiga yang bekerja dengan data perusahaan. Definisikan juga apa yang dimaksud "alat AI", misalnya chatbot umum, fitur AI di dalam aplikasi kantor, pembuat gambar dan suara, asisten coding, serta ekstensi browser berbasis AI. Banyak kebocoran justru terjadi lewat fitur AI yang tertanam di aplikasi lain dan tidak disadari pemakainya.

Tulis juga sikap dasarnya dengan nada positif. Kebijakan yang terdengar seperti larangan total mendorong orang memakai AI diam-diam lewat akun pribadi. Kebijakan yang jelas dan masuk akal mendorong orang bertanya dulu.

Alat yang disetujui dan cara mengaksesnya

Buat daftar alat yang boleh dipakai beserta jenis akunnya. Bedakan akun bisnis yang dikelola perusahaan dengan akun pribadi, karena perlakuan data keduanya bisa sangat berbeda. Penjelasan soal ini ada di data perusahaan di ChatGPT.

Tetapkan juga proses untuk mengusulkan alat baru: siapa yang menilai, apa yang dicek (syarat layanan, lokasi data, pengaturan pelatihan model), dan berapa lama prosesnya. Kalau prosesnya terlalu lambat, orang akan mencari jalan pintas.

Satu aturan yang sering terlupa: akses ke alat AI adalah akses ke data. Akun bersama yang password-nya dioper lewat chat adalah celah. Simpan kredensial alat AI, termasuk kunci API, di pengelola password tim dengan hak akses per orang, seperti dijelaskan di password manager untuk tim. Saat karyawan keluar, cabut aksesnya di hari yang sama.

Data apa yang boleh dimasukkan ke AI?

Ini inti kebijakan. Cara paling mudah dipahami adalah membagi data ke beberapa kelas, lalu menentukan alat mana yang boleh menerima kelas tersebut.

Sesuaikan kolomnya dengan kondisi perusahaanmu. Kalau belum ada akun bisnis atau server sendiri, cukup dua kolom: boleh atau tidak. Yang penting setiap karyawan bisa melihat satu tabel dan langsung tahu jawabannya.

Tambahkan contoh konkret anonimisasi: mengganti nama pelanggan dengan label, menghapus nomor identitas, dan memotong bagian dokumen yang tidak dibutuhkan. Contoh lebih mudah diingat daripada definisi.

Tinjauan manusia dan pengungkapan

AI bisa salah dengan sangat meyakinkan. Karena itu tentukan jenis hasil yang wajib ditinjau manusia sebelum dipakai. Biasanya ini mencakup semua yang keluar ke pihak luar (email ke klien, konten publik, penawaran harga), semua angka dan fakta, kode yang akan masuk ke sistem produksi, serta apa pun yang menyangkut keputusan tentang orang, seperti penilaian kinerja atau seleksi kandidat.

Aturan tinjauan sebaiknya menyebut siapa peninjaunya. "Ditinjau" tanpa nama peran biasanya berarti tidak ditinjau.

Soal pengungkapan, tentukan kapan karyawan harus memberi tahu bahwa AI dipakai. Contoh yang umum: wajib diungkapkan bila klien memintanya di kontrak, bila konten sebagian besar dihasilkan AI, atau bila gambar dan suara sintetis dipakai di materi publik. Untuk konten website, panduan mesin pencari tentang pengungkapan dibahas di konten buatan AI dan SEO. Untuk karya kreatif seperti logo dan ilustrasi, tambahkan juga aturan soal hak cipta dan larangan meniru karya pihak lain.

Larang dengan tegas pemakaian AI untuk meniru suara atau wajah orang lain tanpa izin, termasuk rekan kerja dan pimpinan, bahkan untuk bercanda. Bila semua orang tahu tidak ada pesan suara sintetis yang sah dari internal, telepon "atasan" yang janggal lebih cepat dicurigai.

Siapa yang bertanggung jawab?

Prinsip paling penting ditulis di satu kalimat: orang yang memakai AI tetap bertanggung jawab atas hasil kerjanya. "Itu jawaban AI" bukan alasan untuk email yang salah atau angka yang keliru.

Selain itu, tunjuk pemilik kebijakan, misalnya kepala operasional atau tim IT, yang bertugas memperbarui daftar alat, menjawab pertanyaan, dan meninjau kebijakan secara berkala. Tetapkan saluran untuk melaporkan insiden, misalnya bila seseorang tidak sengaja menempelkan data rahasia. Tekankan bahwa melapor cepat lebih dihargai daripada menutupi, karena kebocoran yang diketahui lebih awal lebih mudah ditangani.

Sebutkan juga konsekuensi pelanggaran secara proporsional, merujuk pada peraturan perusahaan yang sudah ada.

Pelatihan dan peninjauan berkala

Kebijakan yang hanya dikirim lewat email jarang dibaca. Adakan sesi singkat saat kebijakan diluncurkan dan untuk setiap karyawan baru. Isinya praktis: cara memakai alat yang disetujui, contoh data yang boleh dan tidak, cara menulis instruksi yang baik (lihat cara menulis prompt AI), serta cara mengenali risiko seperti prompt injection dan penipuan deepfake suara.

Jadwalkan peninjauan ulang kebijakan secara berkala, misalnya setiap enam bulan, karena fitur dan syarat layanan alat AI berubah cepat. Catat versi dan tanggal setiap perubahan, lalu beri tahu karyawan apa yang berubah.

Kebijakan AI yang efektif itu pendek, konkret, dan dijalankan. Mulailah dari daftar alat yang disetujui dan tabel kelas data, tetapkan siapa yang meninjau dan siapa yang bertanggung jawab, lalu latih karyawan dengan contoh nyata. Sisanya bisa disempurnakan sambil jalan.