Penggunaan Generative AI oleh karyawan kini menjadi krisis tata kelola yang senyap di banyak organisasi. Data Verizon 2026 DBIR mengungkapkan bahwa 45% karyawan rutin menggunakan tools AI di tempat kerja, dengan 67% di antaranya melalui akun non-korporat yang tidak diawasi.
Fenomena ini menciptakan risiko kebocoran data yang nyata, di mana source code, data pelanggan, dan dokumen rahasia rentan terekspos ke platform publik demi efisiensi kerja.
Pertanyaannya bukan lagi apakah perusahaan memerlukan kebijakan penggunaan Generative AI, melainkan seberapa cepat kebijakan tersebut harus diterapkan untuk memitigasi risiko.
Pembahasan kali ini menyajikan kerangka kerja komprehensif, contoh klausul yang dapat diadaptasi, serta panduan praktis untuk menghindari jebakan umum dalam penyusunan kebijakan penggunaan AI agar tetap produktif namun aman.
Mengapa Perusahaan Wajib Memiliki Kebijakan AI Sekarang?
Banyak organisasi masih menganggap kebijakan penggunaan AI sebagai sesuatu yang bisa ditunda.
Alasannya klasik: “Kami masih dalam tahap eksplorasi”, “Belum banyak karyawan yang menggunakan AI”, atau “Nanti saja kalau sudah ada regulasinya.”
Sayangnya, data menunjukkan bahwa penundaan justru memperbesar risiko.
Laporan Verizon 2026 DBIR menganalisis lebih dari 22.000 pelanggaran data yang terkonfirmasi, dataset terbesar sepanjang sejarah laporan ini. Salah satu temuan paling signifikan adalah bahwa Shadow AI kini menempati posisi ketiga sebagai aksi insider non-malicious yang paling sering terdeteksi dalam dataset DLP, dengan peningkatan empat kali lipat dibandingkan tahun sebelumnya.
Dari 858.440 kejadian DLP yang melibatkan unggahan ke tools Generative AI, jenis data yang paling sering dikirimkan karyawan ke platform AI yang tidak disetujui adalah source code — diikuti oleh gambar, data terstruktur, dan dokumentasi teknis serta riset. Bahkan Verizon sendiri memberikan komentar langsung dalam laporannya: data kekayaan intelektual perusahaan sedang berjalan keluar pintu.
Selain itu, survei PagerDuty terhadap 1.250 profesional kantor di perusahaan berskala besar menemukan bahwa 66% karyawan menggunakan tools AI meskipun mereka sendiri percaya bahwa hal tersebut melanggar kebijakan perusahaan. Lebih dari sepertiga di antaranya memasukkan data pelanggan ke model AI publik.
Artinya, masalahnya bukan karyawan tidak tahu bahwa ada risiko. Masalahnya adalah tidak adanya kebijakan yang jelas, mudah dipahami, dan bisa diterapkan.
Baca juga: Shadow AI di Kantor, Waspada Data Bisa Bocor!
Komponen Utama dalam Kebijakan Penggunaan AI yang Efektif
Menyusun kebijakan penggunaan Generative AI bukan berarti melarang seluruh aktivitas AI. Pendekatan “ban total” justru kontraproduktif — karyawan akan tetap menggunakan AI, hanya saja secara tersembunyi dan tanpa pengawasan.
Kebijakan yang efektif harus mampu menyeimbangkan antara memberdayakan produktivitas dan melindungi aset informasi perusahaan. Untuk mencapai keseimbangan tersebut, berikut adalah area utama yang perlu diatur.
1. Ruang Lingkup dan Cakupan
Kebijakan harus secara eksplisit menyebutkan siapa yang terikat dan dalam konteks apa. Cakupan ini sebaiknya mencakup seluruh karyawan tetap, karyawan kontrak, magang, hingga pihak ketiga yang bekerja menggunakan sistem atau data perusahaan.
Kebijakan juga perlu mendefinisikan apa yang dimaksud dengan “Generative AI” secara spesifik, agar tidak menimbulkan ambiguitas. Definisi ini mencakup tools seperti ChatGPT, Google Gemini, Claude, Microsoft Copilot, GitHub Copilot, Midjourney, dan layanan AI serupa yang dapat menghasilkan teks, kode, gambar, atau konten lain berdasarkan input pengguna.
2. Klasifikasi Tools AI yang Disetujui
Organisasi perlu membedakan antara tools AI yang disetujui secara resmi (approved) dan yang tidak diizinkan (unapproved). Idealnya, perusahaan menyediakan daftar tools yang telah melewati proses review keamanan, privasi, dan kepatuhan.
| Kategori | Contoh | Status |
| AI Enterprise (Disetujui) | Microsoft Copilot untuk M365 (lisensi enterprise), GitHub Copilot Business | Boleh digunakan untuk data internal sesuai ketentuan |
| AI Publik (Disetujui Terbatas) | ChatGPT versi enterprise, Claude Teams | Boleh untuk data publik/umum saja |
| AI Publik (Tidak Disetujui) | ChatGPT free, Gemini free, tools AI gratis tanpa kontrak enterprise | Dilarang untuk keperluan kerja |
| AI Browser Extension | Extension AI di Chrome/Edge yang tidak diaudit | Dilarang pada perangkat kerja |
Temuan Verizon DBIR 2026 menunjukkan bahwa lebih dari 15% pengguna di perusahaan memiliki AI browser extension yang tidak diotorisasi terpasang di perangkat mereka. Extension ini mengumpulkan dan menyimpan konteks browsing dari situs internal perusahaan, menciptakan jalur eksfiltrasi data yang beroperasi di luar jangkauan sistem keamanan konvensional.
3. Klasifikasi Data dan Larangan Input
Ini adalah bagian paling kritis dari kebijakan. Karyawan harus memahami dengan jelas jenis data apa yang boleh dan tidak boleh dimasukkan ke platform AI.
| Tingkat Klasifikasi | Contoh Data | Boleh ke AI Enterprise? | Boleh ke AI Publik? |
| Publik | Informasi yang sudah tersedia secara umum | Ya | Ya |
| Internal | Kebijakan internal, materi training | Ya (dengan batasan) | Tidak |
| Rahasia | Laporan keuangan, data pelanggan, strategi bisnis | Dengan persetujuan atasan | Tidak |
| Sangat Rahasia | Source code inti, rahasia dagang, data PII sensitif, dokumen hukum | Tidak | Tidak |
Tanpa pemisahan yang tegas ini, kebijakan AI hanya akan menjadi dokumen yang indah tetapi tidak bisa dijalankan. Karyawan akan terus menggunakan AI karena “tidak ada yang bilang tidak boleh”.
4. Kewajiban Verifikasi Output (Human-in-the-Loop)
Generative AI tidak sempurna. Fenomena hallucination — ketika AI menghasilkan informasi yang terdengar meyakinkan namun sepenuhnya salah — adalah risiko nyata yang sering diabaikan.
Kebijakan harus menegaskan bahwa semua output AI wajib melalui verifikasi manusia sebelum digunakan dalam konteks pekerjaan, terutama untuk:
- komunikasi dengan pelanggan atau pihak eksternal
- dokumen legal, kontrak, atau regulasi
- keputusan keuangan dan analisis risiko
- keputusan SDM, termasuk rekrutmen dan evaluasi kinerja
- konten yang dipublikasikan atas nama perusahaan
Prinsipnya sederhana: AI menghasilkan draft, manusia memutuskan.
5. Hak Kekayaan Intelektual dan Kepemilikan Output
Siapa yang memiliki output yang dihasilkan AI menggunakan data perusahaan? Pertanyaan ini seringkali belum terjawab dalam kebijakan.
Kebijakan perlu menegaskan bahwa seluruh output yang dihasilkan menggunakan resources perusahaan (data, perangkat, atau akun enterprise) merupakan milik perusahaan. Karyawan tidak diperkenankan mengklaim output AI sebagai karya pribadi, dan juga tidak diperkenankan menggunakan output tersebut di luar kepentingan perusahaan tanpa persetujuan.
6. Mekanisme Persetujuan untuk Penggunaan AI Baru
Organisasi harus memiliki proses formal ketika divisi atau individu ingin mengadopsi tools AI baru. Proses ini minimal mencakup:
- pengajuan ke tim IT atau AI Governance Committee
- review keamanan data dan privasi
- evaluasi vendor (jika berbasis cloud atau SaaS)
- persetujuan dari risk management atau compliance
- pencatatan dalam inventaris AI perusahaan
Tanpa mekanisme ini, perusahaan akan terus menghadapi fenomena Shadow AI yang semakin sulit dikontrol.
7. Pelatihan dan Awareness
Sebagus apa pun kebijakan yang disusun, efektivitasnya akan sangat bergantung pada pemahaman dan kepatuhan karyawan. Program pelatihan wajib mencakup:
- apa itu Generative AI dan bagaimana cara kerjanya
- risiko keamanan dan privasi yang terkait
- cara menggunakan AI secara aman dan sesuai kebijakan
- skenario dan contoh kasus yang relevan dengan pekerjaan sehari-hari
- konsekuensi pelanggaran kebijakan
Pelatihan ini bukan kegiatan satu kali. Mengingat AI berkembang sangat cepat, program awareness perlu dilakukan secara berkala — minimal setiap enam bulan.
Baca juga: AI Governance untuk Perusahaan: Cara Hindari Temuan Audit
Contoh Draft Klausul Kebijakan AI untuk Perusahaan
Berikut adalah contoh klausul kebijakan yang disusun berdasarkan best practice dan dapat diadaptasi sesuai kebutuhan organisasi Anda. Klausul-klausul ini bersifat ilustratif dan perlu disesuaikan dengan konteks regulasi, industri, dan skala perusahaan.
Klausul 1 — Definisi dan Ruang Lingkup
“Kebijakan ini berlaku untuk seluruh karyawan tetap, kontrak, magang, serta pihak ketiga yang menggunakan sistem, jaringan, atau data milik [Nama Perusahaan]. Generative AI dalam kebijakan ini mencakup seluruh layanan, platform, aplikasi, dan ekstensi yang menggunakan model bahasa besar (Large Language Model), model pembangkit gambar, model pembangkit kode, atau teknologi AI generatif serupa, baik yang bersifat enterprise maupun publik.”
Klausul 2 — Larangan Input Data
“Karyawan dilarang memasukkan data dengan klasifikasi Rahasia dan Sangat Rahasia ke dalam platform Generative AI manapun, baik yang disetujui maupun tidak disetujui, kecuali mendapat persetujuan tertulis dari [AI Governance Committee/CISO/Atasan Langsung dan Tim IT]. Data yang termasuk dalam kategori ini mencakup namun tidak terbatas pada: data pribadi pelanggan, data keuangan yang belum dipublikasikan, source code proprietary, rahasia dagang, dokumen hukum, strategi bisnis, dan data yang dilindungi oleh regulasi (termasuk UU PDP No. 27 Tahun 2022).”
Klausul 3 — Kewajiban Verifikasi
“Seluruh output yang dihasilkan oleh Generative AI wajib melalui proses verifikasi oleh manusia sebelum digunakan dalam komunikasi eksternal, dokumen resmi, pengambilan keputusan bisnis, atau konten yang dipublikasikan atas nama [Nama Perusahaan]. Karyawan bertanggung jawab penuh atas akurasi, kesesuaian, dan kepatuhan seluruh output AI yang digunakan dalam pekerjaan mereka.”
Klausul 4 — Tools yang Disetujui
“Penggunaan Generative AI untuk keperluan kerja hanya diperbolehkan melalui tools yang telah terdaftar dalam Daftar Tools AI yang Disetujui (Lampiran A). Penggunaan tools di luar daftar tersebut, termasuk pemasangan AI browser extension pada perangkat kerja, memerlukan persetujuan tertulis dari [IT Department/AI Governance Committee]. Daftar ini ditinjau dan diperbarui secara [triwulanan/semesteran].”
Klausul 5 — Pelaporan Insiden
“Apabila karyawan mengetahui atau menduga telah terjadi kebocoran data melalui penggunaan Generative AI — baik yang dilakukan sendiri maupun oleh rekan kerja — karyawan wajib melaporkan kejadian tersebut kepada [Tim Keamanan Informasi/DPO/AI Governance Committee] dalam waktu [24/48] jam. Pelaporan yang dilakukan dengan itikad baik tidak akan dikenakan sanksi disipliner.”
Klausul 6 — Kepemilikan Output
“Seluruh output yang dihasilkan menggunakan Generative AI dalam konteks pekerjaan, menggunakan data, perangkat, atau akun milik [Nama Perusahaan], merupakan kekayaan intelektual [Nama Perusahaan]. Karyawan tidak diperkenankan mengklaim output tersebut sebagai karya pribadi atau menggunakannya untuk kepentingan di luar perusahaan tanpa persetujuan tertulis.”
Klausul 7 — Konsekuensi Pelanggaran
“Pelanggaran terhadap kebijakan ini dapat mengakibatkan tindakan disipliner sesuai dengan peraturan perusahaan yang berlaku, termasuk namun tidak terbatas pada teguran tertulis, pencabutan hak akses, hingga pemutusan hubungan kerja. Pelanggaran yang mengakibatkan kebocoran data pribadi juga dapat menimbulkan konsekuensi hukum sesuai ketentuan UU PDP.”
Langkah Praktis Menyusun Kebijakan AI di Perusahaan
Menyusun kebijakan tidak cukup dilakukan hanya oleh satu departemen. Berikut adalah tahapan sistematis yang direkomendasikan.
Tahap 1 — Inventarisasi Penggunaan AI Saat Ini
Sebelum menulis satu baris pun kebijakan, perusahaan harus mengetahui kondisi lapangan terlebih dahulu. Lakukan audit terhadap seluruh penggunaan AI di organisasi, baik yang resmi maupun tidak.
Pertanyaan kunci yang perlu dijawab:
- Tools AI apa saja yang sudah digunakan karyawan?
- Berapa banyak karyawan yang menggunakannya?
- Jenis data apa yang pernah dimasukkan?
- Apakah ada AI browser extension yang terpasang di perangkat kerja?
- Apakah ada integrasi AI dalam sistem enterprise (ERP, CRM, HRIS)?
Tanpa data ini, kebijakan yang dihasilkan akan bersifat asumtif dan sulit ditegakkan.
Tahap 2 — Bentuk Tim Penyusun Lintas Fungsi
Kebijakan Generative AI bukan hanya domain IT. Tim penyusun idealnya melibatkan:
- IT/Cyber Security — aspek teknis, tools, dan infrastruktur
- Legal/Compliance — kepatuhan regulasi, termasuk UU PDP dan ISO 27001
- Risk Management — identifikasi dan penilaian risiko
- Human Resources — dampak pada proses SDM dan pelatihan karyawan
- Internal Audit — mekanisme monitoring dan enforcement
- Business Unit — kebutuhan dan use case nyata di lapangan
Pendekatan lintas fungsi ini memastikan kebijakan tidak terlalu ketat sehingga menghambat produktivitas, namun juga tidak terlalu longgar sehingga membiarkan risiko berkembang.
Tahap 3 — Tentukan Risk Appetite dan Klasifikasi
Setiap perusahaan memiliki tingkat toleransi risiko yang berbeda. Perusahaan di sektor keuangan atau kesehatan tentu memiliki standar yang lebih ketat dibandingkan perusahaan di sektor kreatif atau startup teknologi.
Pada tahap ini, organisasi perlu menetapkan:
- klasifikasi data yang berlaku
- tingkat risiko untuk setiap use case AI
- batasan yang tidak boleh dilanggar (red lines)
- area yang dapat difleksibilitaskan dengan persetujuan
Tahap 4 — Drafting Kebijakan
Berdasarkan hasil inventarisasi, pemetaan risiko, dan masukan dari tim lintas fungsi, susun kebijakan dengan struktur yang jelas. Gunakan bahasa yang mudah dipahami oleh seluruh karyawan, bukan hanya oleh tim teknis.
Kebijakan yang terlalu panjang dan dipenuhi jargon teknis biasanya tidak dibaca. Kebijakan yang terlalu singkat biasanya tidak cukup memadai. Temukan keseimbangan yang tepat — ringkas namun komprehensif.
Tahap 5 — Sosialisasi dan Pelatihan
Kebijakan yang sudah disusun perlu dikomunikasikan secara aktif kepada seluruh organisasi. Sosialisasi dapat dilakukan melalui:
- town hall atau sesi presentasi
- modul e-learning
- simulasi dan studi kasus
- poster atau infografis di area kerja
- integrasi dalam onboarding karyawan baru
Tahap 6 — Monitoring, Review, dan Pembaruan
AI berkembang sangat cepat. Tools baru bermunculan setiap bulan. Regulasi berubah. Pola penggunaan karyawan bergeser. Oleh karena itu, kebijakan harus ditinjau secara berkala — minimal setiap enam bulan atau setiap kali terjadi perubahan signifikan dalam lanskap AI.
7 Kesalahan Umum dalam Penyusunan Kebijakan AI yang Harus Dihindari
Berdasarkan pengalaman berbagai organisasi dalam menyusun kebijakan AI, terdapat sejumlah jebakan yang terus berulang. Mengenali jebakan ini sejak awal akan menghemat waktu, biaya, dan potensi kerugian yang jauh lebih besar.
Jebakan 1: Melarang Total Penggunaan AI
Pendekatan “ban total” hampir selalu gagal. Data menunjukkan bahwa karyawan akan tetap menggunakan AI meskipun dilarang — hanya saja secara tersembunyi. Survei PagerDuty menemukan bahwa 66% karyawan menggunakan AI meskipun mereka percaya bahwa hal tersebut melanggar kebijakan perusahaan. Larangan total hanya memindahkan risiko dari yang terlihat menjadi tidak terlihat, dan justru memperbesar bahaya.
Jebakan 2: Menyerahkan Sepenuhnya ke Departemen IT
AI digunakan di hampir seluruh fungsi bisnis. Keputusan mengenai kebijakan AI seharusnya melibatkan legal, compliance, risk management, HR, internal audit, dan unit bisnis. Membebani IT sebagai satu-satunya penanggung jawab akan menghasilkan kebijakan yang terlalu teknis dan tidak relevan dengan kebutuhan pengguna di lapangan.
Jebakan 3: Tidak Memiliki Klasifikasi Data yang Jelas
Tanpa klasifikasi data, karyawan tidak memiliki pedoman untuk menentukan informasi mana yang boleh dan tidak boleh dimasukkan ke AI. Semua data terlihat sama — tinggal copy, paste, dan prompt. Inilah akar masalah dari sebagian besar insiden Shadow AI.
Jebakan 4: Kebijakan yang Terlalu Panjang dan Tidak Dibaca
Kebijakan setebal 30 halaman yang dipenuhi jargon hukum dan teknis mungkin terlihat komprehensif, tetapi jika tidak ada karyawan yang membacanya, kebijakan tersebut sama saja dengan tidak ada. Fokus pada poin-poin utama, gunakan bahasa yang jelas, dan sediakan ringkasan eksekutif serta panduan cepat (quick reference guide) yang mudah diakses.
Jebakan 5: Tidak Ada Mekanisme Pelaporan Insiden yang Aman
Jika karyawan takut dilaporkan atau dikenakan sanksi karena kejujurannya, mereka akan menyembunyikan kesalahan. Kebijakan harus menyediakan mekanisme pelaporan yang aman (safe harbor) — di mana pelaporan yang dilakukan dengan itikad baik tidak akan mengakibatkan sanksi. Transparansi harus didorong, bukan dihukum.
Jebakan 6: Tidak Memperbarui Kebijakan Secara Berkala
Kebijakan yang disusun hari ini bisa menjadi usang dalam enam bulan. Tools baru muncul, fitur berubah, regulasi diperbarui, dan pola penggunaan bergeser. Kebijakan yang tidak ditinjau secara berkala akan semakin jauh dari kenyataan di lapangan.
Jebakan 7: Mengabaikan AI Browser Extension
Ini adalah titik buta yang sering terlewat. Temuan Verizon DBIR 2026 menunjukkan bahwa lebih dari 15% pengguna perusahaan memiliki AI browser extension yang tidak diotorisasi. Extension ini diam-diam mengumpulkan konteks browsing dari situs internal, menciptakan jalur kebocoran data yang beroperasi di luar jangkauan sistem DLP konvensional. Kebijakan yang hanya mengatur penggunaan platform AI tanpa menyentuh extension adalah kebijakan yang memiliki lubang besar.
Integrasi Kebijakan AI dengan Standar Keamanan & Regulasi
Kebijakan penggunaan Generative AI tidak berdiri sendiri. Ia harus terintegrasi dengan kerangka tata kelola dan regulasi yang sudah ada di perusahaan.
UU Perlindungan Data Pribadi (UU PDP No. 27 Tahun 2022)
Ketika karyawan memasukkan data pribadi pelanggan atau karyawan ke platform AI publik, perusahaan berpotensi melanggar prinsip pemrosesan data pribadi sebagaimana diatur dalam UU PDP. Sanksi administratif yang diancamkan mencakup denda hingga 2% dari pendapatan tahunan perusahaan.
ISO/IEC 27001:2022
Standar keamanan informasi ini mengatur bagaimana organisasi melindungi aset informasi. Penggunaan AI yang tidak terkontrol merupakan risiko keamanan informasi yang perlu dimasukkan dalam risk register dan dikendalikan melalui kontrol yang sesuai.
ISO/IEC 42001
Standar internasional pertama yang secara khusus membahas Artificial Intelligence Management System (AIMS). Standar ini memberikan kerangka kerja untuk membangun sistem manajemen AI yang terstruktur, termasuk kebijakan penggunaan.
NIST AI Risk Management Framework
Framework ini membantu organisasi mengidentifikasi, mengukur, dan mengelola risiko yang muncul dari penggunaan AI, termasuk aspek tata kelola, transparansi, dan akuntabilitas.
Integrasi kebijakan Generative AI dengan standar-standar di atas akan memperkuat postur keamanan informasi perusahaan secara keseluruhan dan mempermudah proses audit.
Baca juga: Keamanan AI Agent: Jangan Kasih Akses Berlebihan
Checklist: Evaluasi Kesiapan Kebijakan AI di Perusahaan Anda
Gunakan checklist berikut sebagai evaluasi cepat terhadap kesiapan organisasi Anda.
| Aspek | Ya | Tidak |
| Perusahaan memiliki kebijakan tertulis tentang penggunaan Generative AI | ☐ | ☐ |
| Terdapat daftar tools AI yang disetujui dan tidak disetujui | ☐ | ☐ |
| Klasifikasi data sudah diterapkan dan dikomunikasikan ke karyawan | ☐ | ☐ |
| Ada larangan eksplisit memasukkan data rahasia ke AI publik | ☐ | ☐ |
| Output AI wajib diverifikasi manusia sebelum digunakan | ☐ | ☐ |
| Terdapat mekanisme persetujuan untuk adopsi tools AI baru | ☐ | ☐ |
| AI browser extension diatur dalam kebijakan | ☐ | ☐ |
| Karyawan telah mendapat pelatihan penggunaan AI yang aman | ☐ | ☐ |
| Ada mekanisme pelaporan insiden AI yang aman (safe harbor) | ☐ | ☐ |
| Kebijakan ditinjau dan diperbarui secara berkala (minimal 6 bulan) | ☐ | ☐ |
| Kepemilikan output AI sudah diatur secara jelas | ☐ | ☐ |
| Kebijakan sudah terintegrasi dengan standar keamanan informasi (ISO 27001/UU PDP) | ☐ | ☐ |
Jika sebagian besar jawaban masih “Tidak”, maka organisasi Anda perlu segera memprioritaskan penyusunan atau penyempurnaan kebijakan penggunaan Generative AI.
Kesimpulan: Mengamankan Data Perusahaan dengan Kebijakan AI yang Tepat
Generative AI telah menjadi bagian dari realitas kerja sehari-hari di hampir setiap perusahaan. Data Verizon 2026 DBIR membuktikan bahwa penggunaannya oleh karyawan berkembang jauh lebih cepat dari kemampuan organisasi untuk mengendalikannya. Ketika 45% karyawan sudah rutin menggunakan AI — dan mayoritas melalui akun non-korporat — maka setiap hari tanpa kebijakan adalah hari di mana data perusahaan berpotensi keluar tanpa terkontrol.
Namun, solusinya bukan melarang. Solusinya adalah menata.
Kebijakan penggunaan Generative AI yang efektif bukan sekadar dokumen larangan. Ia adalah instrumen tata kelola yang memungkinkan organisasi memanfaatkan AI secara produktif, aman, dan bertanggung jawab — sambil tetap mematuhi regulasi seperti UU PDP dan standar internasional seperti ISO 27001 serta ISO/IEC 42001.
Perusahaan yang bergerak lebih dulu dalam menyusun kebijakan ini akan memiliki keunggulan: lebih siap menghadapi audit, lebih mudah memenuhi persyaratan regulasi baru, lebih terlindungi dari kebocoran data, dan lebih mampu membangun kepercayaan pelanggan serta mitra bisnis.
Yang paling penting, kebijakan ini bukan proyek sekali jadi. Ia harus hidup — ditinjau, diperbarui, dan diselaraskan dengan perkembangan teknologi serta regulasi secara berkelanjutan.
Butuh Bantuan Menyusun Kebijakan AI? Konsultasi dengan Proxsis IT
Menyusun kebijakan penggunaan Generative AI membutuhkan kombinasi keahlian di bidang tata kelola TI, keamanan informasi, manajemen risiko, dan kepatuhan regulasi.
Tidak semua organisasi memiliki sumber daya internal yang cukup untuk menyusun kerangka tersebut dari awal — dan di situlah Anda tidak perlu berjalan sendiri.
Sebagai pionir dalam solusi tata kelola teknologi informasi di Indonesia, Proxsis IT hadir untuk membantu organisasi Anda:
- melakukan AI Governance Assessment untuk mengetahui tingkat kesiapan perusahaan
- menyusun kebijakan penggunaan Generative AI yang selaras dengan kebutuhan bisnis dan regulasi
- mengintegrasikan kebijakan AI dengan standar yang sudah diterapkan, seperti ISO 27001, ISO/IEC 42001, dan NIST AI RMF
- merancang program awareness dan pelatihan agar kebijakan dipahami dan dipatuhi oleh seluruh karyawan
- membangun roadmap AI Governance yang realistis sesuai tingkat kematangan organisasi
Jangan tunggu sampai insiden terjadi. Lindungi data dan reputasi perusahaan Anda mulai dari sekarang.
Konsultasikan Kebutuhan AI Governance Perusahaan Anda Bersama Proxsis IT →
FAQ Seputar Kebijakan Penggunaan AI
Apakah kebijakan penggunaan Generative AI sama dengan AI Governance?
Tidak. Kebijakan penggunaan Generative AI adalah salah satu komponen dari AI Governance yang lebih luas. AI Governance mencakup seluruh kerangka tata kelola — mulai dari kebijakan, proses, struktur organisasi, manajemen risiko, hingga mekanisme pengawasan. Kebijakan penggunaan AI berfokus pada aturan operasional bagi karyawan.
Apakah melarang total penggunaan AI lebih aman?
Justru sebaliknya. Data menunjukkan bahwa larangan total tidak efektif — karyawan tetap menggunakan AI secara tersembunyi (Shadow AI), yang justru meningkatkan risiko karena penggunaannya tidak termonitor dan tidak terkontrol. Pendekatan yang lebih efektif adalah menyediakan tools AI yang aman dan mengatur penggunaannya melalui kebijakan yang jelas.
Berapa sering kebijakan ini harus diperbarui?
Minimal setiap enam bulan, atau lebih cepat apabila terjadi perubahan signifikan seperti munculnya tools AI baru yang banyak digunakan karyawan, perubahan regulasi, atau insiden keamanan yang terkait dengan penggunaan AI.
Departemen mana yang bertanggung jawab menyusun kebijakan ini?
Idealnya, penyusunan kebijakan melibatkan kolaborasi lintas fungsi: IT/Cyber Security, Legal/Compliance, Risk Management, HR, Internal Audit, dan unit bisnis. Kepemilikan kebijakan dapat ditempatkan di bawah AI Governance Committee atau CISO, tergantung pada struktur organisasi.
Apakah perusahaan kecil juga perlu kebijakan ini?
Ya. Skala kebijakan dapat disesuaikan dengan ukuran dan kompleksitas organisasi, namun prinsip dasarnya tetap sama: lindungi data sensitif, atur tools yang boleh digunakan, dan pastikan karyawan memahami batasan penggunaan AI. Risiko kebocoran data tidak mengenal ukuran perusahaan.
