Sebuah kontrak hendak diringkas menjadi beberapa poin. Bagian yang dibutuhkan hanya jadwal penyerahan, tetapi berkas lengkapnya juga memuat nama, tanda tangan, nomor rekening, dan rincian harga yang belum diumumkan. Dalam situasi hipotetis ini, kebutuhan merangkum satu bagian perlu dipisahkan dari keputusan mengirim seluruh dokumen.
Memasukkan dokumen ke AI generatif memerlukan pemahaman tentang isi yang dikirim, kewenangan pengirim, dan perlakuan penyedia terhadap informasi tersebut. Kemampuan alat membaca berkas belum menjawab ketiga persoalan itu.
Pembahasan ini menggunakan kerangka Indonesia dan berfokus pada dokumen masukan. Peta isu yang lebih luas tersedia dalam AI generatif dan hukum di Indonesia.
Mulai dari isi dokumen dan kebutuhan penggunaannya
Nama berkas sering memberikan gambaran yang terlalu sempit. Dokumen berjudul “jadwal proyek”, misalnya, mungkin juga memuat kontak pekerja, komentar internal, atau lampiran pembayaran. Pemeriksaan yang berguna mencakup isi berkas, bukan hanya judul dan halaman pertamanya.
Dalam UU Pelindungan Data Pribadi, keterkaitan informasi dengan individu yang dapat dikenali menjadi penentu; nama bukan satu-satunya pengenal. Pengumpulan, analisis, penyimpanan, dan pengungkapan termasuk dalam cakupan pemrosesan. Rujuk Pasal 1 dan 16 UU Nomor 27 Tahun 2022.
Karena itu, menghapus nama belum tentu menghilangkan keterkaitan dengan seseorang. Dalam contoh hipotetis laporan pegawai, gabungan jabatan yang unik, lokasi kerja, dan uraian kejadian dapat tetap menunjukkan siapa yang dimaksud. Pengenalan jenis informasinya dibahas dalam data pribadi yang sering dibagikan saat memakai aplikasi.
Pertanyaan berikutnya adalah seberapa banyak isi yang benar-benar diperlukan. Jika tugasnya menjelaskan struktur suatu klausul, contoh rekaan atau kutipan terbatas mungkin sudah mencukupi. Jika tugas membutuhkan hubungan antarlampiran, pemotongan sembarangan justru dapat menghilangkan konteks. Pengurangan data perlu mengikuti tujuan, bukan dilakukan sekadar agar berkas tampak sudah disamarkan.
Memegang salinan tidak selalu menjawab kewenangan mengirim
Ada beberapa pertanyaan berbeda di balik kalimat “dokumen ini ada pada saya”. Apakah berkas boleh dibaca untuk pekerjaan tertentu? Apakah boleh dibagikan kepada penyedia eksternal? Apakah isinya boleh digunakan untuk tujuan tambahan? Jawaban atas satu pertanyaan belum menyelesaikan yang lain.
Pasal 20 UU PDP mewajibkan dasar pemrosesan dan mengenal beberapa dasar selain persetujuan. Karena itu, menerima syarat layanan AI tidak dengan sendirinya menjawab dasar pemrosesan data orang lain dalam dokumen. Penilaiannya perlu mengikuti tujuan dan hubungan para pihak, sebagaimana kerangka UU PDP.
Sebagai ilustrasi hipotetis, staf menerima daftar pelanggan untuk menyiapkan pengiriman. Keinginan memakai AI guna mengelompokkan keluhan menimbulkan pertanyaan tambahan: apakah tujuan tersebut tercakup, siapa yang berwenang memutuskan, dan layanan mana yang diizinkan organisasi? Contoh ini tidak menetapkan bahwa penggunaan tersebut pasti boleh atau pasti dilarang.
Dalam lingkungan organisasi, jalur yang berguna adalah mencari kebijakan penggunaan alat, klasifikasi dokumen, serta pihak yang berwenang memberikan keputusan. Ketiadaan larangan tertulis belum memberikan informasi yang cukup tentang izin berbagi kepada penyedia tertentu.
Kerahasiaan lebih luas daripada data pribadi
Sebuah berkas dapat tidak memuat identitas orang tetapi tetap berisi informasi yang perlu dirahasiakan. Contohnya adalah rancangan strategi penjualan, formula produksi, atau penawaran harga yang belum dibuka. Sebaliknya, dokumen yang tersedia untuk umum dapat tetap memuat data pribadi. Kedua lapisan ini perlu dibaca secara terpisah.
UU Nomor 30 Tahun 2000 mengaitkan pelindungan rahasia dagang dengan informasi teknologi atau bisnis yang rahasia, bernilai ekonomi, dan dijaga melalui upaya yang semestinya. Pasal 13 juga mengatur pengungkapan sengaja serta pengingkaran kesepakatan atau kewajiban menjaga rahasia dagang. Rujuk teks UU Rahasia Dagang.
Tidak setiap dokumen berlabel “rahasia” otomatis memenuhi unsur rahasia dagang. Namun, label tersebut merupakan alasan praktis untuk menelusuri ketentuan akses dan pembagiannya. Kewajiban dalam perjanjian kerahasiaan perlu dibaca menurut cakupannya: informasi apa yang dicakup, penerima mana yang diperbolehkan, dan penggunaan apa yang dibatasi.
Pernyataan penyedia bahwa data diamankan juga perlu dibedakan dari kewenangan mengirim. Pengamanan menjawab cara informasi dilindungi; kewenangan menjawab alasan informasi boleh diserahkan kepada pihak tersebut. Keduanya diperlukan untuk memahami keputusan penggunaan dokumen.
Baca perlakuan data pada layanan yang benar-benar digunakan
Jangan berhenti pada nama merek atau keterangan singkat “privasi terlindungi”. Identifikasi produk, jenis akun, pengaturan, dan perjanjian yang berlaku untuk penggunaan tersebut. Ketentuan satu layanan tidak sebaiknya dipindahkan begitu saja ke layanan lain.
Alih-alih mengasumsikan kebijakan tertentu, penelusuran dapat diarahkan pada pertanyaan berikut:
| Bagian yang dibaca | Pertanyaan yang perlu dijawab |
|---|---|
| Tujuan penggunaan | Apakah dokumen hanya diproses untuk menjawab permintaan, atau ada penggunaan tambahan? |
| Pelatihan dan peningkatan layanan | Apa yang dinyatakan tentang penggunaan masukan dan keluaran, serta cakupan pilihan pengguna? |
| Akses | Siapa yang dapat mengakses konten, dalam keadaan apa, dan untuk fungsi apa? |
| Penyimpanan | Berapa lama berkas, percakapan, dan catatan terkait dipertahankan? |
| Penghapusan | Apa yang dihapus, bagaimana permintaannya dilakukan, dan adakah pengecualian yang dijelaskan? |
| Penerima dan lokasi | Entitas atau penyedia lain mana yang terlibat, dan di mana pemrosesan dilakukan? |
Pernyataan “tidak digunakan untuk pelatihan” menjawab satu tujuan penggunaan. Pernyataan itu belum menjelaskan masa penyimpanan, akses untuk penanganan gangguan, atau cakupan penghapusan. Begitu pula, hilangnya percakapan dari layar tidak cukup untuk mengetahui keadaan seluruh salinan; pembedaan ini dibahas dalam penghapusan akun dan nasib data pribadi.
Untuk hubungan antarpihak, Pasal 51 UU PDP mengatur pemrosesan oleh prosesor berdasarkan perintah pengendali. Jika terjadi transfer ke luar Indonesia, Pasal 56 mengatur urutan persyaratan pelindungannya. Sebutan “vendor AI” saja belum menentukan peran atau pemenuhan ketentuan tersebut. Rujuk UU PDP.
Artikel ini tidak menetapkan kebijakan maupun status kepatuhan penyedia tertentu. Jawaban tentang suatu produk harus berasal dari dokumen layanan yang berlaku untuk produk dan akun terkait.
Mengurangi isi tanpa menciptakan rasa aman semu
Cara praktis untuk memulai adalah memisahkan pertanyaan dari berkas sumber. Jika kebutuhan sebenarnya memahami cara menyusun ringkasan, instruksi umum dan contoh rekaan dapat digunakan tanpa membawa dokumen nyata. Jika analisis membutuhkan teks asli, tentukan bagian yang relevan sebelum menyiapkan salinannya.
Pemeriksaan salinan juga sebaiknya mencakup komentar, riwayat perubahan, lampiran, nama berkas, dan properti dokumen. Jika digunakan penyamaran, pastikan informasi yang hendak disembunyikan memang tidak lagi tersedia dalam salinan yang dikirim. Kotak penutup yang terlihat pada layar belum menjelaskan keadaan teks di baliknya.
Pengurangan informasi bukan sertifikat kepatuhan. Kutipan singkat masih dapat mengandung rahasia utama, sementara penggantian nama dengan kode masih dapat menyisakan pengenal lain. Ukurannya adalah apakah isi yang tersisa sesuai kebutuhan dan boleh diterima oleh pihak tujuan.
Hasil AI juga perlu diperlakukan menurut isi yang dibawanya. Jika ringkasan masih menyebut identitas, rincian sengketa, atau strategi internal, format keluaran yang lebih pendek tidak membuatnya otomatis layak dibagikan lebih luas.
Ketika dokumen sudah terlanjur dikirim
Langkah awal yang berguna adalah mencatat fakta: dokumen atau bagian yang dikirim, waktu, akun, layanan, pengaturan yang diketahui, serta tindakan lanjutan yang sudah dilakukan. Hindari menyebarkan ulang berkas lengkap hanya untuk menjelaskan kejadian kepada banyak pihak.
Dalam organisasi, informasi tersebut dapat diteruskan melalui jalur penanganan insiden atau penanggung jawab yang relevan. Gunakan fasilitas pembatasan akses atau penghapusan yang tersedia sesuai prosedur, dan simpan penjelasan penyedia tentang cakupannya. Permintaan yang diterima berbeda dari tindakan yang sudah selesai.
Pengiriman yang keliru tidak otomatis membuktikan bahwa dokumen telah dipublikasikan atau dipakai melatih model. Sebaliknya, ketiadaan tanda penyebaran tidak menjawab seluruh persoalan. Penanganan perlu bertumpu pada isi yang terlibat, penerima, dan informasi layanan yang dapat ditelusuri.
Keputusan memasukkan dokumen ke AI generatif menjadi lebih jelas ketika kebutuhan kerja dirumuskan terlebih dahulu: bagian mana yang diperlukan, mengapa pengirim berwenang membagikannya, dan apa yang akan dilakukan penerima terhadap isi tersebut. Jika salah satu jawaban masih kosong, kemampuan teknis mengunggah berkas belum menyelesaikan pertanyaan penggunaannya.
Artikel ini merupakan informasi umum dalam kerangka hukum Indonesia, bukan nasihat hukum untuk keadaan pribadi atau penetapan kepatuhan layanan tertentu.