🇬🇧 Read this article in English
Executive Summary / TL;DR: Generative AI sudah beroperasi di dalam jaringan Anda, baik Anda menyetujuinya atau tidak. Membangun kerangka kebijakan AI perusahaan bukan lagi sekadar pilihan tata kelola; ini adalah kebutuhan mendesak. Kebijakan yang praktis harus melindungi kekayaan intelektual, memastikan privasi data, dan menetapkan akuntabilitas manusia, sambil tetap memungkinkan tim Anda untuk bereksperimen dengan aman dan tetap kompetitif.
Akhir tahun 2022 menandai perubahan permanen dalam cara organisasi berinteraksi dengan komputasi. Dengan dirilisnya ChatGPT dan gelombang perangkat generative artificial intelligence (AI) berikutnya, hambatan untuk mengakses machine learning tingkat lanjut turun menjadi nol. Karyawan Anda kini hanya membutuhkan web browser untuk mengakses kemampuan yang, beberapa bulan lalu, masih membutuhkan tim data science khusus. Aksesibilitas ini memunculkan risiko langsung yang belum terukur terhadap operasi Anda. Menyusun strategi kebijakan AI perusahaan secara formal bukanlah sesuatu yang bisa Anda tunda hingga kuartal fiskal berikutnya. Ini membutuhkan perhatian Anda hari ini.
Berdasarkan pengalaman saya memimpin strategi TI dan sistem keuangan selama lebih dari dua dekade, adopsi teknologi baru biasanya mengikuti kurva yang dapat diprediksi. TI menyediakan alatnya, mengujinya, melatih karyawan, dan memantau penggunaannya. Generative AI telah membalik model ini. Adopsi di tingkat konsumen melampaui tata kelola enterprise hanya dalam hitungan minggu. Kenyataannya adalah tim Anda sudah memasukkan data perusahaan ke dalam model publik untuk menyusun email, menulis kode, dan merangkum catatan rapat. Anda tidak bisa sekadar menginjak rem, tetapi Anda harus segera mengendalikan kemudinya.
Realitas Shadow AI
Selama bertahun-tahun, para Chief Information Officer telah berjuang melawan “shadow IT”—penggunaan perangkat lunak dan layanan oleh departemen tertentu yang mengabaikan jalur pengadaan resmi. Saat ini, shadow IT telah berevolusi menjadi shadow AI, dan risikonya jauh lebih tinggi.
Pertimbangkan skenario yang sangat mungkin terjadi ini: Seorang analis keuangan di organisasi Anda berada di bawah tekanan untuk merampungkan ringkasan dewan direksi kuartalan. Untuk menghemat waktu, mereka menyalin proyeksi keuangan Q4 yang bersifat rahasia dan menempelkannya ke large language model (LLM) publik, meminta alat tersebut untuk membuat ringkasan eksekutif. AI memberikan dokumen dengan format sempurna dalam hitungan detik. Analis tersebut dipuji karena kecepatannya.
Namun, dengan menempelkan data tersebut ke dalam model publik, karyawan Anda baru saja memasukkan proyeksi keuangan Anda yang belum dirilis ke dalam dataset pelatihan pihak ketiga. Kekayaan intelektual Anda telah keluar dari lingkungan yang terkendali, dan Anda sama sekali tidak memiliki visibilitas di mana data itu berada atau bagaimana vendor AI tersebut mungkin menggunakannya untuk melatih iterasi produk mereka di masa depan.
Larangan total tidak menyelesaikan masalah ini. Jika Anda memblokir ChatGPT atau alat serupa di jaringan perusahaan, karyawan akan menggunakan perangkat pribadi mereka untuk melakukan hal yang sama persis. Alih-alih melarang, Anda memerlukan parameter yang jelas. Anda memerlukan kebijakan AI perusahaan yang menetapkan batasan, mengedukasi tenaga kerja, dan melindungi organisasi.
Menyusun Kerangka Kebijakan AI Perusahaan
Kebijakan yang efektif bukanlah manual kepatuhan setebal seratus halaman yang tidak akan dibaca siapa pun. Kebijakan ini harus berupa dokumen yang jelas dan mudah diakses yang memandu pengambilan keputusan sehari-hari. Jika Anda ingin kebijakan Anda dapat diterapkan di dunia nyata, dokumen tersebut harus mencakup komponen-komponen inti berikut.
1. Klasifikasi Data dan Pembatasan Input
Fondasi dari kebijakan TI apa pun adalah tata kelola data. Karyawan Anda perlu mengetahui secara pasti tingkatan data apa yang diizinkan untuk dibagikan dengan alat AI eksternal.
Sebagian besar organisasi mengklasifikasikan data ke dalam beberapa tingkatan, seperti Publik, Internal, Rahasia (Confidential), dan Terbatas (Restricted). Kebijakan AI Anda harus secara eksplisit menyatakan bahwa hanya data Publik atau, dalam kasus yang dikontrol ketat, data Internal yang boleh diproses oleh alat AI tingkat konsumen. Data apa pun yang diklasifikasikan sebagai Rahasia (daftar klien, rahasia dagang, laporan keuangan yang belum dirilis) atau Terbatas (informasi identitas pribadi, informasi kesehatan yang dilindungi) harus sepenuhnya dilarang untuk dimasukkan ke model eksternal yang tidak disetujui.
Anda juga harus mengedukasi tenaga kerja Anda tentang perbedaan antara AI tingkat konsumen dan AI tingkat enterprise. Model konsumen sering kali menyerap input pengguna untuk pelatihan berkelanjutan. Perjanjian enterprise—yang biasanya diakses melalui API yang aman atau akun enterprise khusus—biasanya mencakup ketentuan hukum yang menjamin bahwa data Anda dipisahkan dan tidak digunakan untuk pelatihan model. Sampai tim pengadaan Anda mengamankan perjanjian enterprise tersebut, semua penggunaan harus diperlakukan sebagai pengungkapan publik.
2. Verifikasi Output dan Akuntabilitas Manusia
Generative AI sangat mahir dalam terdengar meyakinkan, bahkan ketika ia sepenuhnya salah. Industri menyebut ini sebagai “halusinasi” (hallucination). Model AI tidak mengambil data dari basis data fakta; ia memprediksi kata berikutnya yang paling mungkin dalam sebuah urutan. Ini berarti ia akan mengarang kutipan, memalsukan angka, dan menciptakan skenario yang sepenuhnya fiktif dengan tata bahasa yang presisi.
Kebijakan Anda harus menegakkan mandat “manusia-dalam-proses” (human-in-the-loop) yang ketat. Karyawan yang menggunakan AI bertanggung jawab 100% atas hasil akhirnya. Jika seorang developer menggunakan alat AI untuk menulis skrip yang memunculkan celah keamanan, developer tersebut yang bertanggung jawab. Jika seorang manajer pemasaran menerbitkan artikel blog yang dihasilkan AI berisi konten plagiat, manajer tersebut yang bertanggung jawab. AI adalah alat, bukan kambing hitam. Karyawan harus meninjau, memeriksa fakta, dan memverifikasi setiap bagian dari pekerjaan yang dihasilkan AI sebelum dilanjutkan ke proses berikutnya.
3. Transparansi dan Pengungkapan
Kapan penggunaan AI perlu dideklarasikan? Untuk brainstorming internal atau penyusunan draf awal, pengungkapan mungkin tidak diperlukan. Namun, jika AI digunakan untuk menulis kode, menyusun kontrak hukum, atau membuat komunikasi eksternal, transparansi menjadi sangat penting.
Tetapkan pedoman yang jelas mengenai pengungkapan. Misalnya, jika seorang software engineer mengandalkan AI untuk menghasilkan blok kode, hal tersebut harus dicatat dalam dokumentasi commit untuk membantu audit di masa mendatang. Jika agensi eksternal menyediakan konten untuk Anda, perjanjian vendor Anda harus mewajibkan mereka untuk mengungkapkan penggunaan generative AI mereka.
Manajemen Risiko Vendor di Era AI
Risiko AI Anda tidak hanya datang dari karyawan yang menggunakan chatbot yang berdiri sendiri. Risiko ini juga datang dari vendor Anda saat ini. Dalam dua belas bulan ke depan, hampir setiap penyedia SaaS dalam tumpukan teknologi Anda—mulai dari penyedia ERP hingga vendor CRM Anda—akan mengumumkan fitur generative AI baru.
Sebagai seorang eksekutif, Anda harus mengarahkan tim TI dan pengadaan untuk segera memperbarui daftar periksa penilaian vendor (vendor assessment checklists). Ketika sebuah vendor mengumumkan kemampuan AI baru, Anda memerlukan jawaban atas pertanyaan-pertanyaan spesifik:
- Model dasar (foundational model) apa yang menggerakkan fitur ini? Apakah ini milik mereka sendiri (proprietary), atau apakah mereka mengirimkan data kita ke pihak ketiga (seperti OpenAI atau Anthropic)?
- Apakah input kita digunakan untuk melatih model milik vendor atau model pihak ketiga?
- Bisakah kita menonaktifkan (opt-out) pemrosesan AI di tingkat tenant sambil mempertahankan fungsionalitas sistem inti?
- Jaminan residensi data apa yang berlaku pada lapisan pemrosesan AI?
Jangan biarkan vendor secara diam-diam meluncurkan fitur AI yang membahayakan postur tata kelola data Anda. Anda harus mengelola transisi ini secara aktif.
Persimpangan antara AI dan Sistem Keuangan
Mengingat latar belakang saya di bidang akuntansi dan implementasi sistem keuangan, saya memandang integrasi AI ke dalam ranah keuangan dengan tingkat kehati-hatian yang tinggi. Departemen keuangan secara alami sangat antusias menggunakan AI untuk mendeteksi anomali, mengategorikan pengeluaran, dan menyusun narasi untuk pelaporan keuangan.
Namun, sistem keuangan menuntut presisi mutlak. Model generative AI saat ini belum dapat memberikan keandalan deterministik yang diperlukan untuk pelaporan keuangan akhir. Jika AI salah membaca tren dalam data ERP Anda dan menghasilkan narasi yang salah untuk earnings call, kewajiban hukumnya sangat berat.
Dalam kebijakan AI perusahaan Anda, batasi secara eksplisit penggunaan generative AI untuk pelaporan keuangan akhir, pengajuan regulasi, dan persiapan pajak hingga solusi tingkat enterprise yang berwenang telah diaudit secara menyeluruh. AI dapat membantu dalam analisis varians awal, tetapi seorang financial controller yang berkualifikasi harus memvalidasi data yang mendasarinya dan menyusun kesimpulan akhir.
Membangun Satuan Tugas AI Lintas Fungsi
TI tidak dapat menyusun dan menegakkan kebijakan ini sendirian. AI menyentuh setiap aspek bisnis, yang berarti tata kelola harus bersifat lintas fungsi. Saya merekomendasikan untuk segera membentuk komite tata kelola AI yang ramping yang terdiri dari para pemimpin dari departemen berikut:
- Information Technology (TI): Untuk menilai risiko teknis, mengamankan akses API enterprise, dan memantau lalu lintas jaringan terkait shadow AI.
- Legal dan Kepatuhan: Untuk memantau implikasi hak cipta, perlindungan kekayaan intelektual, dan kerangka regulasi yang terus berkembang.
- Human Resources (SDM): Untuk memasukkan kebijakan AI ke dalam buku panduan karyawan dan mengelola tindakan disipliner atas pelanggaran berat.
- Operasional / Lini Bisnis: Untuk mengidentifikasi use case bernilai tinggi di mana AI benar-benar dapat meningkatkan efisiensi, memastikan kebijakan tersebut tidak menghambat inovasi yang sah.
Komite ini tidak boleh menjadi hambatan (bottleneck); ia harus menjadi pemungkin (enabler). Mandatnya adalah membuka jalur yang aman bagi karyawan untuk menggunakan alat AI, bukan sekadar mendirikan penghalang.
Langkah Konkret untuk Implementasi Segera
Jika Anda membaca ini dan menyadari bahwa organisasi Anda belum memiliki sikap formal terhadap generative AI, berikut adalah langkah-langkah yang harus Anda ambil minggu ini:
- Akui Penggunaannya: Kirimkan komunikasi eksekutif yang mengakui bahwa alat AI telah tersedia dan karyawan secara alami memiliki rasa ingin tahu. Tetapkan nada eksplorasi yang terarah alih-alih larangan yang bermusuhan.
- Terbitkan Kebijakan Sementara: Jangan menunggu berminggu-minggu untuk dokumen yang sempurna dan komprehensif. Buat draf kebijakan sementara satu halaman yang berfokus ketat pada klasifikasi data (apa yang tidak boleh dibagikan) dan akuntabilitas manusia (verifikasi semuanya). Distribusikan segera.
- Audit Jaringan Anda: Arahkan TI untuk meninjau pemfilteran web dan log DNS guna mengidentifikasi alat AI mana yang sudah dikunjungi karyawan Anda. Ini akan memberi Anda gambaran dasar tentang eksposur shadow AI Anda.
- Identifikasi Alat yang Diotorisasi: Pilih satu atau dua alat AI tingkat enterprise yang menawarkan perjanjian perlindungan data. Sediakan ini untuk kelompok percontohan (pilot group). Menyediakan alternatif yang aman adalah cara paling efektif untuk menghentikan karyawan menggunakan model konsumen yang berisiko.
Pertanyaan Umum Seputar Kebijakan AI Perusahaan
Haruskah kita memblokir saja situs generative AI di jaringan perusahaan?
Tidak. Memblokir situs-situs ini menciptakan rasa aman yang palsu. Karyawan akan mengabaikan jaringan tersebut dengan menggunakan paket data seluler di ponsel mereka. Selain itu, melarang AI mencegah organisasi Anda mempelajari cara beroperasi dengan lebih efisien. Tujuannya adalah adopsi yang terkelola, bukan pelarangan. Sediakan alternatif yang aman alih-alih hanya mengandalkan pemblokiran jaringan.
Bagaimana kita menangani masalah hak cipta dengan konten yang dihasilkan AI?
Lanskap hukum mengenai AI dan hak cipta saat ini belum terselesaikan. Di berbagai yurisdiksi, pedoman saat ini menunjukkan bahwa konten yang murni dihasilkan oleh AI tidak dapat diberi hak cipta. Oleh karena itu, kebijakan Anda harus membatasi penggunaan AI untuk menghasilkan aset merek inti, kode perangkat lunak eksklusif, atau desain produk definitif hingga yurisprudensi ditetapkan. Gunakan AI untuk ideasi, penyusunan draf, dan analisis, tetapi pastikan manusia secara aktif membentuk produk akhir yang akan dipublikasikan.
Siapa yang harus memiliki kepemilikan atas kebijakan AI di dalam organisasi?
Meskipun TI atau Keamanan Informasi (Information Security) biasanya menyusun kontrol teknisnya, CIO dan Penasihat Hukum (Legal Counsel) harus bertindak sebagai pemilik bersama. CIO memahami kapabilitas dan aliran data, sementara tim Legal memahami kewajiban dan eksposur kepatuhan. Ini harus menjadi upaya bersama yang didukung oleh CEO.
Seberapa sering kebijakan AI kita perlu diperbarui?
Pada kecepatan kemajuan teknologi saat ini, tinjauan tahunan tidaklah cukup. Satuan tugas AI lintas fungsi Anda harus meninjau kebijakan tersebut setiap kuartal. Rilis produk besar, fitur vendor baru, dan preseden hukum yang muncul akan mengharuskan Anda untuk terus menyesuaikan postur kebijakan Anda.
Langkah ke Depan
Kita saat ini beroperasi di lingkungan teknologi yang paling disruptif sejak adopsi internet secara luas. Organisasi yang berhasil bukanlah mereka yang mengabaikan AI, bukan pula mereka yang mengadopsinya secara sembrono. Pemenangnya adalah mereka yang menetapkan kerangka kerja yang jelas untuk eksperimen yang aman.
Strategi kebijakan AI perusahaan adalah peta navigasi organisasi Anda. Ini memberi karyawan Anda kepercayaan diri untuk berinovasi, karena mereka tahu di mana batas amannya. Luangkan waktu untuk membangun fondasi ini sekarang. Menunda keputusan hanya berarti Anda menerima risikonya tanpa memetik satupun imbalan strategisnya.
