Kebijakan Pemakaian Tool AI Pihak Ketiga di Kantor untuk Tim Data

Kebijakan pemakaian tool AI pihak ketiga adalah dokumen yang nyebutin data apa yang boleh masuk prompt, tool mana yang disetujui, dan gimana pemakaiannya dicatat.

Tanpa dokumen ini, aturannya tetap ada. Cuma nggak tertulis, dan tiap orang punya versinya masing-masing.

Aku pernah nemu satu analis di perusahaan logistik nempelin 800 baris data pelanggan lengkap dengan nomor HP ke chatbot, cuma buat minta bantuan bikin rumus. Dia nggak niat jahat. Nggak ada yang pernah bilang itu nggak boleh.

Artikel ini isinya kerangka kebijakan yang bisa kamu salin dan sesuaikan. Fokusnya tim data, bukan seluruh perusahaan.

Kenapa tim data butuh aturan sendiri soal AI?

Tim lain pakai AI buat nulis email atau bikin ringkasan rapat. Tim data pakai AI sambil megang data mentah pelanggan.

Perbedaan itu yang bikin aturan umum perusahaan biasanya nggak cukup. Kalimat "jangan bagikan informasi rahasia" terlalu kabur waktu kamu lagi debug query yang isinya kolom nomor_hp.

Tiga risiko yang khusus kena tim data:

Data pribadi bocor lewat prompt. Ini yang paling sering, dan paling gampang dicegah.

Skema database ke-ekspos. Nama tabel, nama kolom, dan relasi antar tabel itu peta sistem kamu. Nggak fatal, tapi nggak perlu dibagi juga.

Hasil AI dipakai tanpa dicek. Query yang keliatan bener tapi salah logika lebih berbahaya daripada query yang error. Error langsung ketahuan. Angka yang salah masuk laporan diam-diam.

Apa dasar hukumnya di Indonesia?

Aturan utamanya UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi. Undang-undang ini ngatur pemrosesan data pribadi, termasuk waktu data itu dikirim ke pihak lain atau ke luar negeri. Teks lengkapnya bisa kamu baca di JDIH BPK.

Dua hal yang paling relevan buat tim data.

Pertama, data pribadi mencakup hal yang bisa dipakai buat ngenalin seseorang, baik langsung maupun digabung dengan data lain. Nomor HP, alamat email, NIK, dan alamat rumah masuk kategori ini.

Kedua, pemrosesan data pribadi butuh dasar yang sah. Nempelin data pelanggan ke layanan pihak ketiga tanpa dasar itu bukan wilayah abu-abu.

Aku bukan ahli hukum, dan tulisan ini bukan nasihat hukum. Kalau kantor kamu punya bagian hukum, libatkan mereka waktu nyusun bagian klasifikasi datanya.

Langkah 1: Klasifikasi data pakai tiga warna

Ini bagian inti kebijakannya. Bikin sesederhana mungkin, soalnya yang harus inget bukan cuma kamu.

Warna	Isi	Boleh masuk prompt?
Hijau	Nama kolom generik, contoh data karangan, sintaks SQL, pesan error tanpa isi data	Boleh
Kuning	Skema tabel asli, angka agregat, nama produk internal, sampel data yang udah dianonimkan	Boleh setelah disamarkan, cuma di tool yang disetujui
Merah	Nama pelanggan, nomor HP, email, NIK, alamat, data gaji, harga beli dari supplier, kredensial	Nggak pernah boleh

Contoh nyata biar nggak ambigu. Ini merah:

Bantuin cari pola dari data ini:
Budi Santoso, 081234567890, Rp 4.200.000
Siti Rahayu, 081298765432, Rp 3.150.000

Ini hijau, dan hasilnya sama bergunanya:

Aku punya tabel transaksi dengan kolom:
id_pelanggan (teks), tanggal (date), total (angka).
Bikinin query buat nyari pelanggan yang belanjanya
turun lebih dari 40% dibanding kuartal lalu.

Perhatiin bedanya. Yang kedua nggak ngirim satu baris data pun, tapi bantuannya identik.

Ini pelajaran yang perlu ditulis di kebijakan: AI bantu kamu nyusun logika, bukan mroses data kamu. Buat mroses datanya, jalanin querynya sendiri.

Langkah 2: Tentuin tool yang disetujui dan pengaturannya

Daftar putih lebih gampang dijaga daripada daftar hitam. Tool baru muncul tiap minggu, dan kamu nggak bakal sempat ngelarang satu-satu.

Format tabelnya:

Tool	Dipakai buat	Kelas data maksimal	Syarat pengaturan
Asisten chat berbayar (akun kantor)	Nulis query, debug, jelasin konsep	Kuning	Pelatihan model dimatikan, akun tim, bukan akun pribadi
Asisten kode di editor	Autocomplete SQL dan Python	Kuning	Folder berisi kredensial dikecualikan
Layanan transkrip rapat	Catatan rapat internal	Kuning	Rapat yang bahas data pelanggan nggak direkam
Tool gratis tanpa akun kantor	Belajar mandiri	Hijau	Nggak boleh nempel apa pun dari sistem kantor

Kolom syarat pengaturan itu yang sering dilewat. Banyak layanan punya opsi buat matiin pemakaian masukan pengguna sebagai bahan pelatihan, tapi defaultnya beda-beda antara akun konsumen dan akun bisnis.

Cek langsung di halaman ketentuan resmi vendornya, bukan dari artikel blog. OpenAI misalnya punya halaman resmi soal pemakaian data pelanggan yang menjelaskan perbedaan API dengan produk konsumennya.

Simpan tangkapan layar halaman ketentuan itu dengan tanggal. Ketentuan berubah, dan kamu perlu tau kamu nyetujui versi yang mana.

Langkah 3: Bikin aturan anonimisasi yang praktis

Kalau anonimisasinya ribet, orang bakal skip. Jadi sediain caranya sekalian.

Buat data di spreadsheet, ganti kolom identitas pakai nomor urut:

="PLG-"&TEXT(ROW()-1;"0000")

Buat SQL, jangan salin hasilnya. Salin skemanya aja:

-- Aman dikirim ke asisten AI
CREATE TABLE transaksi (
  id_transaksi  TEXT,
  id_pelanggan  TEXT,
  tanggal       DATE,
  qty           INTEGER,
  total         NUMERIC
);

Buat pesan error, potong bagian yang isinya nilai data. Baris error yang nyebut "gagal insert nilai 081234567890" itu tetap kebocoran walaupun bentuknya error.

Bikin juga daftar kata yang harus dicari sebelum kirim prompt panjang: nama kolom yang mengandung nama, hp, telp, email, nik, alamat, password, token. Lima detik ngecek, jauh lebih murah daripada laporan insiden.

Langkah 4: Aturan verifikasi hasil

Bagian ini sering ketinggalan karena orang fokus ke risiko kebocoran doang. Padahal hasil yang salah juga risiko.

Tiga aturan yang aku pakai:

Query dari AI wajib dicek di data contoh dulu. Jalanin di subset kecil yang kamu tau jawabannya. Kalau totalnya cocok, baru jalanin ke tabel penuh.

Angka statistik dari AI nggak boleh masuk laporan tanpa sumber. Model bahasa bisa ngasih angka yang terdengar meyakinkan tapi nggak ada sumbernya. Kalau kamu nggak nemu sumber aslinya, angkanya nggak dipakai.

Kode yang nyentuh data produksi wajib direview manusia. Terutama perintah UPDATE dan DELETE. Ini standar yang sama dengan kode buatan manusia, cuma perlu ditulis ulang biar nggak ada yang mikir AI dikecualikan.

Aturan verifikasi ini nyambung sama pekerjaan data quality yang udah kamu jalanin. Perlakukan keluaran AI sebagai sumber data baru yang perlu dicek, bukan sebagai jawaban.

Langkah 5: Catat pemakaiannya

Nggak perlu sistem pemantauan. Satu spreadsheet cukup.

Kolom yang aku pakai: tanggal, siapa, tool apa, buat apa, kelas data yang dipakai. Diisi sendiri oleh yang pakai, bukan hasil pengintaian.

Dua manfaatnya. Kamu jadi tau tool mana yang beneran kepakai, jadi anggaran langganannya nggak ngawur. Dan kalau ada insiden, kamu punya titik awal buat nelusuri.

Hitung ringkasan bulanannya pakai COUNTIFS:

=COUNTIFS($C$2:$C;"Asisten chat";$A$2:$A;">="&DATE(2025;12;1))

Satu hal yang bikin catatan begini beneran diisi: jangan pernah pakai isinya buat nyalahin orang. Sekali dipakai buat menghukum, catatannya bakal kosong bulan depan.

Contoh kasus: startup logistik 34 karyawan

Perusahaan ini nyusun kebijakan AI-nya bulan Oktober 2025 setelah satu insiden. Seorang staf nempelin daftar 800 pelanggan ke chatbot gratis buat minta bantuan bikin format alamat.

Langkah pertama mereka bukan bikin aturan. Mereka bikin pendataan dua minggu tanpa konsekuensi: semua orang diminta nyebut tool AI apa yang mereka pakai.

Hasilnya 14 tool berbeda. Manajemen nyangka cuma ada 3.

Dari 14, cuma 5 yang beneran dipakai lebih dari sekali seminggu. Sembilan sisanya dicoba sekali lalu ditinggal.

Mereka setujuin 4 tool, sediain akun bersama dengan pelatihan model dimatikan, lalu jalanin sesi 45 menit buat ngajarin cara anonimisasi. Tiga bulan berikutnya, catatan pemakaian nunjukin 89% pemakaian pindah ke akun resmi.

Yang bikin berhasil bukan aturannya. Akun resminya lebih cepat dan nggak ada batas pemakaian harian, jadi orang pindah sendiri.

Aturan yang ngelawan kebiasaan bakal kalah. Aturan yang nyediain jalan yang lebih enak bakal diikutin.

Kesalahan umum waktu nyusun kebijakan AI

Larangan total. Pemakaiannya pindah ke HP pribadi, dan kamu kehilangan semua kemampuan buat lihat apa yang terjadi.

Dokumennya 15 halaman. Nggak ada yang baca. Bikin satu halaman aturan main, sisanya jadi lampiran.

Cuma ngatur data, lupa ngatur hasil. Query salah yang masuk laporan bulanan bisa lebih mahal daripada skema tabel yang bocor.

Nggak ada contoh konkret. Kalimat "jangan bagikan data sensitif" ditafsirkan beda oleh 10 orang. Tempel contoh prompt yang boleh dan yang nggak boleh, persis kayak dua blok kode di atas.

Ditulis sekali lalu ditinggal. Ketentuan vendor berubah, tool baru masuk. Jadwalin review tiap kuartal, dan tulis tanggal versinya di judul dokumen.

FAQ

Boleh nggak nempel data pelanggan ke ChatGPT?

Jangan. Nama, nomor HP, email, alamat, dan NIK itu data pribadi yang diatur UU No. 27 Tahun 2022. Ngirim data itu ke layanan pihak ketiga tanpa dasar pemrosesan yang sah bisa jadi masalah hukum buat perusahaan. Kalau kamu butuh bantuan analisis, ganti dulu nilainya jadi kode acak atau kirim skema tabelnya aja tanpa isi.

Versi berbayar lebih aman daripada versi gratis?

Untuk sebagian besar layanan, akun bisnis dan API punya ketentuan bahwa masukan pengguna nggak dipakai buat melatih model, sementara akun konsumen kadang dipakai kecuali kamu matikan sendiri. Tapi jangan percaya ringkasan orang, termasuk ringkasan aku. Buka halaman ketentuan resmi vendor yang kamu pakai dan simpan tangkapan layarnya sebagai lampiran kebijakan.

Gimana kalau tim udah terlanjur pakai tanpa aturan?

Jangan mulai dari hukuman. Kasih tenggat dua minggu buat semua orang mendaftarkan tool yang mereka pakai, tanpa konsekuensi. Kamu bakal dapet daftar yang jauh lebih lengkap daripada hasil audit diam-diam. Setelah daftarnya ada, baru tentukan mana yang lanjut, mana yang diganti, mana yang dihentikan.

Perlu larang AI sepenuhnya biar aman?

Larangan total hampir selalu gagal dan malah bikin pemakaiannya pindah ke laptop pribadi, di mana kamu nggak bisa lihat apa pun. Yang lebih ampuh adalah nyediain satu jalur resmi yang gampang dipakai, misalnya akun bisnis bersama dengan pelatihan model dimatikan. Orang milih jalur yang gampang, jadi bikin jalur amannya jadi yang paling gampang.

Siapa yang harus tanda tangan kebijakan ini?

Minimal kepala tim data sebagai penyusun, dan pimpinan yang bertanggung jawab atas data perusahaan sebagai pengesah. Kalau kantor kamu punya bagian hukum atau kepatuhan, mereka wajib ikut baca bagian klasifikasi data. Simpan versi bertanggal, soalnya ketentuan vendor AI berubah cukup sering dan kebijakan kamu perlu ikut diperbarui.

Mulai minggu ini

Tiga hal yang paling penting. Klasifikasi tiga warna dengan contoh prompt nyata, daftar tool yang disetujui beserta pengaturan wajibnya, dan aturan verifikasi hasil sebelum dipakai.

Mulai dari pendataan, bukan dari larangan. Kirim satu pertanyaan ke tim: tool AI apa yang kamu pakai bulan ini, dan buat apa. Jawabannya bakal nentuin isi kebijakan kamu jauh lebih baik daripada template mana pun.

Kalau kamu lagi bereskan cara kerja tim data secara keseluruhan, bikin SLA tim data satu orang bisa jadi dokumen berikutnya yang kamu susun.