Di banyak kantor hari ini, ada satu kebiasaan baru yang tumbuh diam-diam. Tim marketing menggunakan ChatGPT untuk menyusun copywriting.
HR memanfaatkan Gemini untuk membuat job description lebih cepat. Divisi legal minta ringkasan kontrak otomatis. Bahkan beberapa manajer senior sudah terbiasa melempar laporan bisnis ke AI publik sebelum rapat, supaya analisisnya lebih tajam dan lebih cepat selesai.
Semua itu terlihat wajar. Praktis, bahkan.
Tapi masalahnya bukan pada penggunaan AI-nya. Masalahnya ada pada sesuatu yang jauh lebih senyap: ke mana data itu pergi.
Ribuan data sensitif perusahaan sedang mengalir keluar setiap harinya. Bukan karena serangan hacker. Bukan karena ada celah di firewall. Tapi karena karyawan sendiri yang memasukkannya ke platform AI publik demi mendapat jawaban instan. Dan tanpa disadari, praktik ini sedang menempatkan perusahaan di posisi yang sangat rentan — baik secara keamanan maupun hukum.
Di tahun 2026, situasinya menjadi jauh lebih serius dari sebelumnya.
Ketika UU PDP mulai ditegakkan lebih agresif, perusahaan tidak cukup lagi hanya mewaspadai serangan siber dari luar. Ancaman sesungguhnya sedang berjalan dari dalam, lewat layar laptop karyawan yang bahkan tidak merasa sedang melakukan kesalahan apa pun.
Roni Sulistyo Sutrisno, Co-Founder Proxsis sekaligus konsultan dan trainer senior bidang keamanan informasi, menyebut situasi ini sebagai “badai sempurna” — pertemuan antara ledakan data tak terstruktur yang tidak terkendali dengan penggunaan AI publik yang nyaris tanpa kontrol keamanan.
“Bayangkan ribuan rekaman Zoom, ribuan chat WhatsApp strategi bisnis, dan tumpukan dokumen rahasia di Dropbox mengalir ke mesin AI publik hanya karena tim Anda ingin jawaban cepat.”
Kalimat itu terdengar berat. Tapi justru itu yang sedang terjadi.
Pola Kerja Baru yang Membuka Pintu Risiko
Untuk memahami seberapa besar masalah ini, perlu dilihat dulu bagaimana AI publik benar-benar digunakan di lingkungan kerja modern.
Tim sales mengunggah proposal klien supaya bahasanya lebih persuasif. HR memasukkan CV kandidat untuk dianalisis secara otomatis. Finance menyalin laporan keuangan agar AI membantu membuat ringkasan eksekutif. Divisi legal meminta AI memeriksa draft kontrak sebelum naik ke meja direksi. Tim operasional mengunggah SOP internal agar bisa disederhanakan dan lebih mudah dipahami staf baru.
Setiap aktivitas itu tampak produktif. Tidak ada yang terasa seperti pelanggaran.
Tapi ada satu pertanyaan penting yang hampir tidak pernah diajukan, ke mana data itu pergi setelah diinput?
Banyak platform AI berbasis cloud memiliki kebijakan pemrosesan data yang kompleks dan panjang. Sebagian data bisa digunakan untuk training model. Sebagian lagi masuk ke sistem quality improvement atau logging. Ada yang tersimpan di infrastruktur global yang lokasinya bahkan tidak diketahui perusahaan. Bukan berarti semua platform berbuat curang — tapi perusahaan kehilangan kontrol, dan itu sendiri sudah menjadi masalah serius.
Ketika kontrol hilang, kepatuhan terhadap regulasi menjadi sangat sulit dibuktikan. Dan ketika UU PDP meminta pertanggungjawaban, “kami tidak tahu ke mana datanya pergi” bukanlah jawaban yang bisa melindungi siapa pun.
Baca juga : AI Publik Berisiko Tinggi bagi Data Perusahaan, Private AI Solusi Wajib
Dua Hal yang Bertabrakan di 2026
Tahun 2026 diprediksi menjadi titik paling kritis dalam tata kelola data perusahaan di Indonesia, bukan tanpa alasan. Ada dua tekanan besar yang terjadi hampir bersamaan.
Yang pertama adalah ledakan data tidak terstruktur.
Mayoritas data perusahaan saat ini sudah tidak lagi tersimpan rapi di database ERP atau server terpusat. Data modern tersebar di mana-mana — rekaman Zoom meeting, voice note WhatsApp, obrolan di platform internal, file di Dropbox, dokumen Google Drive, email dengan lampiran penting, screenshot keputusan rapat, presentasi internal yang tidak pernah diunggah ke sistem resmi.
Semua itu masuk kategori unstructured data. Dan lebih dari 80% data perusahaan saat ini berada dalam kategori tersebut. Ironisnya, justru di sanalah banyak informasi paling sensitif tersimpan — strategi bisnis jangka panjang, harga negosiasi dengan klien besar, roadmap produk yang belum diluncurkan, hingga data pelanggan VIP.
Data seperti ini sangat sulit dipantau dengan pendekatan keamanan konvensional. Tidak ada satu sistem pun yang tahu persis di mana dokumen-dokumen itu berada, apalagi mengontrol ke mana data tersebut dikirim.
Yang kedua, dan ini yang membuat situasinya semakin serius, adalah semakin ketatnya penegakan UU PDP.
Implementasi Undang-Undang Perlindungan Data Pribadi kini bergerak dari sekadar kerangka regulasi menjadi mekanisme pengawasan nyata dengan konsekuensi nyata. Perusahaan dituntut untuk mengelola data pribadi secara aman, memiliki kontrol yang jelas atas pemrosesan data, menjaga kerahasiaan informasi, memastikan data tidak bocor ke pihak ketiga tanpa izin, dan menunjukkan bukti governance serta compliance yang terstruktur.
Ketika karyawan mengunggah data pribadi pelanggan atau dokumen internal perusahaan ke AI publik tanpa ada kontrol apapun, potensi pelanggaran UU PDP menjadi sangat besar. Dan yang paling berbahaya dari semua ini — sering kali manajemen bahkan tidak tahu itu sedang terjadi.
Baca juga : Visi Bisnis 2040: Mengapa Implementasi ProxsisLLM Sekarang Menentukan Daya Saing di Masa Depan
Ini Bukan Isu IT Biasa
Selama bertahun-tahun, keamanan data dianggap urusan divisi IT. Firewall dipasang, antivirus diperbarui, akses server dibatasi, dan pelatihan keamanan diadakan setahun sekali. Itu sudah dianggap cukup.
Tapi ancaman yang datang dari penggunaan AI publik tidak bisa diselesaikan dengan pendekatan itu.
Kebocoran data melalui AI publik bukan insiden teknis — ini adalah risiko bisnis yang menyentuh hampir setiap lapisan organisasi. Dampaknya bisa sangat luas, dan sering kali tidak terasa sampai sudah terlambat.
| Jenis Risiko | Dampak Langsung | Dampak Jangka Panjang |
|---|---|---|
| Pelanggaran UU PDP | Denda dan sanksi hukum | Proses hukum berkepanjangan |
| Kebocoran intellectual property | Strategi bisnis terekspos | Kehilangan competitive advantage |
| Kebocoran data pelanggan | Gugatan hukum dari pelanggan | Krisis kepercayaan dan reputasi |
| Eksposur data keuangan | Risiko manipulasi informasi | Ketidakstabilan relasi investor |
| Bocornya rahasia dagang | Pihak lain memanfaatkan insight internal | Posisi tawar melemah di pasar |
Inilah kenapa AI governance sekarang bukan lagi sekadar agenda divisi IT. Ini sudah menjadi isu level direksi. Karena konsekuensinya bisa mengguncang keberlangsungan bisnis secara keseluruhan.
Perusahaan yang gagal mengontrol penggunaan AI publik berpotensi menghadapi ancaman yang jauh lebih destruktif dibanding serangan siber konvensional — karena ancaman ini datang dari dalam, berjalan setiap hari, dan tidak meninggalkan jejak yang mudah dideteksi.
Shadow AI: Fenomena yang Sudah Ada di Mana-Mana
Kalau risikonya sebesar itu, kenapa penggunaan AI publik terus meningkat?
Jawabannya tidak rumit: karena AI memang benar-benar membantu.
Karyawan menggunakan AI bukan karena ingin melanggar kebijakan perusahaan. Mereka menggunakannya karena produktivitas mereka meningkat secara nyata. Pekerjaan yang biasanya butuh tiga jam bisa selesai dalam 45 menit. Laporan yang biasanya membutuhkan riset panjang bisa dirangkum dalam hitungan detik. Tidak ada orang yang waras menolak efisiensi seperti itu.
Masalahnya adalah perusahaan sering tidak menyediakan alternatif yang aman. Tidak ada tools AI internal. Tidak ada panduan yang jelas tentang data apa yang boleh atau tidak boleh dimasukkan ke AI. Tidak ada sistem yang mengawasi.
Akibatnya, karyawan menggunakan tools publik — kadang diam-diam, kadang terang-terangan — dan praktik ini berkembang menjadi apa yang dikenal sebagai Shadow AI.
Shadow AI adalah penggunaan teknologi kecerdasan buatan tanpa pengawasan atau persetujuan resmi perusahaan. Ini mirip dengan fenomena Shadow IT yang sempat menjadi kekhawatiran besar beberapa tahun lalu, tapi dampaknya jauh lebih serius karena melibatkan data sensitif dan sistem machine learning yang terus belajar dari input yang diterimanya.
Dan fenomena ini sudah terjadi hampir di semua organisasi modern, terlepas dari skala atau industri.
Baca juga : Mentor AI untuk Upskilling IT Profesional di Perusahaan
Bagaimana Data Bisa “Menguap” Tanpa Terasa
Salah satu kesalahan paling umum yang dilakukan perusahaan adalah mengasumsikan bahwa kebocoran data hanya terjadi ketika ada penyerangan dari luar.
Di era AI, kebocoran bisa terjadi secara “legal”, tanpa peretasan, tanpa malware, dan tanpa jejak yang jelas.
Contohnya: seorang staf legal mengunggah draft perjanjian merger acquisition ke AI publik untuk meminta ringkasan. Atau tim marketing memasukkan database pelanggan agar AI membantu proses segmentasi pasar. Secara teknis, data itu memang dikirim ke platform eksternal. Prosesnya terasa wajar. Hasilnya bahkan berguna. Tapi kendali atas data itu sudah lepas dari tangan perusahaan.
Di sinilah intellectual property perusahaan mulai terancam secara sistematis. Strategi bisnis yang selama ini dijaga ketat bisa terekspos. Rahasia dagang yang membangun keunggulan kompetitif bisa dimanfaatkan pihak lain. Pola operasional yang unik bisa terbaca dari luar. Insight mendalam tentang perilaku pelanggan bisa hilang ke sistem yang tidak dikontrol siapapun di dalam organisasi.
Dan yang membuat situasi ini semakin sulit: sekali data keluar, hampir mustahil menariknya kembali sepenuhnya.
Compliance-by-Design: Cara Berpikir yang Berbeda
Menghadapi ancaman seperti ini, pendekatan compliance lama — SOP manual, pelatihan tahunan, kebijakan larangan penggunaan AI — jelas tidak cukup. Bukan karena pendekatan itu salah, tapi karena tidak dirancang untuk menghadapi kecepatan dan skala masalah yang ada sekarang.
Dalam praktiknya, manusia tetap bisa lalai. Sebaik apapun niatnya, sesibuk apapun deadline yang dihadapi, karyawan tetap akan mencari cara tercepat menyelesaikan pekerjaan. Itu bukan kelemahan moral — itu naluri manusia yang wajar.
Karena itu, solusinya bukan melarang AI. Solusinya adalah membangun sistem keamanan yang mengikuti cara kerja orang — bukan melawannya.
Di sinilah pendekatan Compliance-by-Design mulai relevan.
Compliance-by-Design adalah cara membangun sistem di mana keamanan dan kepatuhan sudah tertanam langsung dalam infrastruktur teknologi perusahaan, bukan ditempelkan sebagai lapisan tambahan setelahnya. Artinya, perlindungan data tidak bergantung pada kesadaran individu karyawan, tapi berjalan secara otomatis sebagai bagian dari sistem.
Dalam pendekatan ini, data sensitif otomatis terdeteksi sebelum keluar dari lingkungan perusahaan. Informasi pribadi dipindai secara real-time. Aktivitas penggunaan AI di seluruh organisasi termonitor. Risiko compliance langsung diidentifikasi ketika muncul. Data governance berjalan tanpa perlu intervensi manual setiap saat.
Ini jauh lebih efektif dibanding sekadar mengingatkan karyawan untuk “berhati-hati”.
Real-Time Data Scanning: Teknologi yang Mulai Jadi Standar
Salah satu komponen paling kritis dalam pendekatan modern adalah teknologi real-time personal data scanning.
Cara kerjanya cukup lugas: sistem mendeteksi secara otomatis ketika data sensitif hendak dikirim keluar dari lingkungan perusahaan — termasuk ketika seseorang mencoba mengunggahnya ke platform AI publik. Begitu terdeteksi, proses bisa langsung diblokir atau setidaknya diberikan alert otomatis yang meminta konfirmasi.
Jenis data yang masuk dalam radar sistem seperti ini mencakup banyak hal:
| Kategori Data | Contoh Informasi |
|---|---|
| Identitas pribadi | Nomor KTP, paspor, nomor NPWP |
| Data pelanggan | Nama, kontak, riwayat transaksi |
| Informasi finansial | Laporan keuangan, data payroll, proyeksi anggaran |
| Dokumen hukum | Draft kontrak, perjanjian NDA, hasil negosiasi |
| Rekam medis | Data kesehatan karyawan atau nasabah |
| Rahasia dagang | SOP internal, roadmap produk, strategi bisnis |
Tanpa sistem scanning semacam ini, perusahaan pada dasarnya berjalan buta. Tidak ada visibilitas terhadap apa yang mengalir keluar, tidak ada cara mendeteksi pelanggaran sebelum terjadi, dan tidak ada jejak audit jika suatu hari regulasi meminta pertanggungjawaban.
Kontrol terhadap aliran data menuju AI bukan lagi pilihan tambahan — ini sudah menjadi kebutuhan dasar infrastruktur keamanan modern.
Private AI On-Premise
Di luar pendekatan scanning dan monitoring, ada satu solusi yang semakin banyak direkomendasikan untuk organisasi yang benar-benar serius mengelola risiko ini: Private AI On-Premise.
Konsepnya sederhana — sistem AI dijalankan di infrastruktur internal perusahaan sendiri, bukan di cloud publik yang terbuka. Artinya, semua pemrosesan data, semua analisis, semua hasil kerja AI terjadi dalam batas kendali organisasi.
Manfaatnya sangat konkret.
| Aspek | AI Publik | Private AI On-Premise |
|---|---|---|
| Lokasi penyimpanan data | Server eksternal, lokasi tidak diketahui | Infrastruktur internal perusahaan |
| Kontrol atas data | Terbatas, tergantung kebijakan vendor | Penuh, dikelola organisasi sendiri |
| Risiko pelanggaran UU PDP | Tinggi jika data pribadi diproses | Jauh lebih rendah dan terukur |
| Keamanan IP perusahaan | Rentan terekspos | Terlindungi dalam sistem internal |
| Kemampuan audit dan compliance | Sulit dilacak | Terstruktur dan dapat diverifikasi |
| Produktivitas tim | Tinggi | Tetap tinggi, dengan keamanan |
Poin terakhir itu penting untuk digaris bawahi. Private AI bukan berarti mengorbankan produktivitas demi keamanan. Karyawan tetap bisa mendapatkan manfaat penuh dari teknologi AI — kecepatan, efisiensi, kemampuan analisis — tanpa harus melemparkan data perusahaan ke platform yang tidak dikontrol.
Ini bukan soal anti-AI. Ini soal AI dengan governance yang benar.
Dan perbedaan antara keduanya bisa sangat menentukan nasib perusahaan dalam beberapa tahun ke depan.
Perbandingan Risiko: Sebelum dan Sesudah Implementasi Kontrol AI
Untuk memberi gambaran yang lebih konkret, berikut adalah perbedaan postur risiko organisasi yang belum dan sudah menerapkan kontrol AI yang memadai:
| Kondisi | Tanpa Kontrol AI | Dengan Kontrol AI |
|---|---|---|
| Penggunaan AI publik oleh karyawan | Tidak terdeteksi, tidak terkendali | Terpantau, dengan batas yang jelas |
| Eksposur data sensitif | Tinggi, berlangsung setiap hari | Sangat berkurang, terblokir otomatis |
| Kepatuhan UU PDP | Rentan, sulit dibuktikan | Terstruktur, dapat diaudit |
| Risiko kehilangan IP | Sistemik dan berkelanjutan | Terkontrol dan terukur |
| Respons saat insiden terjadi | Reaktif, setelah kerusakan terjadi | Proaktif, sebelum data keluar |
| Posisi hukum jika terjadi gugatan | Lemah, tanpa jejak perlindungan | Lebih kuat, ada dokumentasi compliance |
Perbedaan ini bukan sekadar soal teknologi. Ini soal kesiapan organisasi menghadapi risiko yang sudah berubah bentuk.
Masa Depan Bukan Soal Siapa Paling Cepat Adopsi AI
Banyak perusahaan saat ini berlomba mengadopsi AI secepat mungkin. Ada tekanan dari pasar, tekanan dari kompetitor, tekanan dari dewan direksi yang ingin melihat efisiensi meningkat.
Tapi ada pertanyaan yang jarang diajukan: apakah kecepatan adopsi itu dibangun di atas fondasi yang aman?
Beberapa tahun ke depan, pertanyaan yang relevan bukan lagi “apakah perusahaan sudah pakai AI?” Pertanyaan yang akan datang dari regulator, dari auditor, dari investor, dari pelanggan adalah: “apakah AI yang kalian pakai aman, patuh regulasi, dan terlindungi dengan baik?”
Cepat tanpa governance justru bisa menjadi bom waktu.
Organisasi yang sejak awal membangun kontrol AI, data governance yang terstruktur, dan compliance automation yang berjalan otomatis akan jauh lebih siap menghadapi regulasi masa depan dan tuntutan pasar yang semakin kritis terhadap isu privasi data.
Sementara perusahaan yang membiarkan Shadow AI berkembang tanpa penanganan — yang membiarkan data sensitif mengalir bebas ke platform publik — sedang membangun risiko yang bisa meledak kapan saja. Dan ketika kebocoran data sudah terjadi, ketika sanksi UU PDP sudah dijatuhkan, ketika reputasi sudah tercoreng di mata pelanggan, tidak banyak yang bisa dilakukan selain menanggung konsekuensinya.
Penutup
AI membuka peluang nyata untuk meningkatkan produktivitas dan daya saing bisnis. Tidak ada yang meragukan itu. Tapi di balik efisiensi yang ditawarkan, ada ancaman yang bergerak diam-diam dan sering tidak terlihat sampai dampaknya sudah terlalu besar untuk diabaikan.
Di tengah penegakan UU PDP yang semakin serius dan ledakan data tak terstruktur yang terus tumbuh, perusahaan tidak bisa lagi mengandalkan pendekatan keamanan yang dibangun untuk era sebelumnya. Diperlukan cara berpikir baru — yang menempatkan governance, compliance, dan kontrol data sebagai bagian integral dari strategi adopsi AI, bukan sebagai tambahan yang dipasang belakangan.
Real-time data scanning, Compliance-by-Design, dan Private AI On-Premise bukan sekadar istilah teknis. Ketiganya adalah komponen dari arsitektur keamanan yang relevan untuk menghadapi realitas bisnis modern.
Karena aset paling berharga perusahaan bukan hanya teknologi yang digunakan. Melainkan data, knowledge, dan intellectual property yang ada di dalamnya.
Dan di era AI, semua itu bisa hilang hanya dalam satu prompt.
FAQ
1. Apa risiko terbesar menggunakan AI publik di perusahaan?
Risiko terbesar adalah kebocoran data sensitif, pelanggaran UU PDP, dan hilangnya intellectual property perusahaan akibat data diproses di platform eksternal yang tidak berada dalam kendali organisasi.
2. Apa itu Shadow AI?
Shadow AI adalah penggunaan tools AI tanpa pengawasan atau persetujuan resmi perusahaan, biasanya dilakukan karyawan demi efisiensi kerja dan karena tidak ada alternatif aman yang disediakan.
3. Kenapa UU PDP relevan dengan penggunaan AI?
Karena AI sering memproses data pribadi. Ketika data tersebut dikirim ke platform publik tanpa kontrol, perusahaan berpotensi melanggar regulasi perlindungan data pribadi yang kini semakin aktif ditegakkan.
4. Apa itu Private AI On-Premise?
Private AI On-Premise adalah sistem AI yang dijalankan di server atau infrastruktur internal perusahaan, sehingga seluruh pemrosesan data tetap berada dalam kendali organisasi tanpa perlu bergantung pada cloud publik eksternal.
5. Apa manfaat Compliance-by-Design?
Pendekatan ini membantu perusahaan membangun keamanan dan kepatuhan yang berjalan secara otomatis sejak awal sistem dirancang — termasuk deteksi data sensitif secara real-time dan monitoring aktivitas AI di seluruh organisasi.