Keamanan Data di Era AI: Risiko Baru dan Cara Perusahaan Mengatasinya

Adopsi AI generatif berkembang pesat di kantor-kantor Indonesia. Karyawan memakainya untuk menulis email, merangkum rapat, sampai menganalisis data pelanggan. Namun di balik manfaat itu, keamanan data AI menjadi tantangan baru yang sering luput dari radar tim IT. Karyawan menempelkan data sensitif ke chatbot publik tanpa izin, akun AI pribadi dipakai untuk pekerjaan kantor, dan penjahat siber memanfaatkan AI untuk membuat phishing yang makin sulit dibedakan dari email asli.

Bagi perusahaan yang tunduk pada UU Pelindungan Data Pribadi (PDP), risiko ini bukan sekadar urusan teknis. Kebocoran data lewat AI bisa berujung sanksi administratif maupun pidana. Artikel ini membahas risiko utama keamanan data AI yang perlu Anda waspadai, kaitannya dengan UU PDP, dan langkah konkret yang bisa diterapkan mulai minggu ini.

Kenapa Keamanan Data AI Berbeda dari Keamanan Data Konvensional

Keamanan data konvensional berfokus melindungi data di dalam sistem yang dikelola perusahaan, seperti server, database, dan email korporat. Ancaman AI generatif berbeda karena data justru keluar dari sistem itu secara sukarela. Karyawan sendiri yang mengetik atau mengunggah data ke layanan pihak ketiga, biasanya dengan niat baik untuk mempercepat pekerjaan.

Begitu data masuk ke prompt sebuah model AI publik, perusahaan kehilangan kendali atasnya. Anda tidak selalu tahu apakah data itu disimpan atau dipakai untuk melatih ulang model. Inilah yang membuat keamanan data AI perlu pendekatan lebih dari sekadar firewall dan antivirus.

Shadow AI: Ketika Karyawan Memakai AI Tanpa Sepengetahuan Tim IT

Shadow AI adalah penggunaan aplikasi atau layanan AI oleh karyawan tanpa persetujuan atau pengawasan tim IT. Istilahnya mirip "shadow IT" yang sudah lama jadi masalah, tetapi risikonya lebih besar. AI generatif bisa memproses dan berpotensi menyimpan data dalam jumlah besar hanya dari satu percakapan singkat.

Beberapa bentuk shadow AI yang umum ditemukan di kantor:

• Karyawan memakai akun ChatGPT, Gemini, atau Claude versi gratis dengan email pribadi untuk menganalisis dokumen kerja.

• Tim marketing mengunggah daftar kontak pelanggan ke alat AI pihak ketiga untuk membuat draf kampanye.

• Developer menempelkan potongan kode atau kredensial ke asisten coding berbasis AI tanpa memeriksa kebijakan datanya.

• Staf keuangan meminta chatbot AI merangkum laporan yang berisi data transaksi sensitif.

Riset LayerX Enterprise AI and SaaS Data Security Report 2025 mencatat sekitar 45 persen karyawan di perusahaan sudah memakai alat AI generatif untuk pekerjaan. Sebagian besar aktivitas itu berjalan lewat akun pribadi yang tidak dikelola perusahaan. Artinya, tim IT sering tidak tahu data apa saja yang sudah keluar dari sistem resmi.

Data Bocor Lewat Prompt: Risiko yang Sering Tak Disadari

Setiap kali seseorang mengetik prompt ke chatbot AI publik, teks itu berpindah ke server pihak ketiga. Jika prompt berisi data pelanggan, rahasia dagang, atau rencana bisnis, data tersebut sempat keluar dari kendali perusahaan meski hanya sebentar. Berikut gambaran skala masalah ini berdasarkan riset yang sama.

Temuan	Angka	Implikasi bagi Perusahaan
Pengguna AI yang menyalin-tempel data ke chatbot	77%	Kebiasaan ini nyaris jadi rutinitas kerja, bukan kasus jarang
Aktivitas salin-tempel yang mengandung data pribadi/kartu pembayaran	22%	Hampir seperlima interaksi berisiko menyentuh data sensitif
Salin-tempel yang berasal dari akun pribadi tak terkelola	82%	Sebagian besar aktivitas ini terjadi di luar jangkauan kontrol IT
File unggahan ke situs AI yang mengandung data pribadi/kartu pembayaran	40%	Risiko tidak hanya dari teks, tapi juga dokumen yang diunggah utuh

Sumber: LayerX Enterprise AI and SaaS Data Security Report 2025.

Angka-angka ini menunjukkan bahwa kebocoran data lewat prompt bukan skenario hipotetis. Ini pola yang sudah berjalan setiap hari di banyak organisasi, termasuk yang sudah punya kebijakan keamanan data namun belum menyentuh soal penggunaan AI secara spesifik.

Phishing dan Rekayasa Sosial Berbasis AI

AI generatif juga mengubah cara penjahat siber menyerang. Dulu, email phishing sering mudah dikenali dari tata bahasa yang kaku atau terjemahan yang janggal. Sekarang, AI bisa menulis email berbahasa Indonesia yang natural, meniru gaya komunikasi atasan, bahkan menyesuaikan konteks berdasarkan informasi publik tentang targetnya.

Beberapa pola serangan berbasis AI yang perlu diwaspadai:

1. Email phishing yang dipersonalisasi. AI menyusun pesan yang meniru gaya vendor, klien, atau pimpinan internal.

2. Deepfake suara dan video. Penipu meniru suara direktur untuk meminta transfer dana mendesak lewat telepon atau pesan suara.

3. Chatbot palsu. Situs tiruan memakai AI untuk berpura-pura jadi layanan pelanggan resmi dan memancing korban memasukkan kredensial.

4. Otomatisasi serangan massal. AI mempercepat penjahat siber membuat banyak varian pesan phishing sekaligus, menyasar banyak karyawan bersamaan.

Kombinasi shadow AI dan phishing berbasis AI membuat permukaan serangan perusahaan melebar. Karyawan yang terbiasa berinteraksi dengan chatbot AI setiap hari juga cenderung lebih mudah percaya pada pesan yang terlihat rapi dan meyakinkan.

Keamanan Data AI dan Relevansinya dengan UU PDP

Di Indonesia, Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) mewajibkan setiap pengendali data, termasuk perusahaan, untuk menjaga keamanan data pribadi yang mereka proses. UU ini disahkan pada 17 Oktober 2022 dengan masa transisi dua tahun yang berakhir 17 Oktober 2024. Sejak tanggal itu, seluruh ketentuannya berlaku penuh.

Ketika karyawan menempelkan data pelanggan ke chatbot AI publik tanpa kendali, perusahaan berpotensi melanggar prinsip dasar UU PDP soal pembatasan tujuan pemrosesan dan keamanan data. Berikut ringkasan sanksi yang diatur di dalamnya.

Jenis Sanksi	Bentuk	Catatan
Administratif (Pasal 57)	Peringatan tertulis, penghentian sementara pemrosesan data, penghapusan atau pemusnahan data, denda administratif hingga 2% dari pendapatan tahunan	Dijatuhkan oleh lembaga pengawas PDP
Pidana	Denda Rp4 miliar hingga Rp6 miliar, penjara maksimal 4 sampai 6 tahun tergantung jenis pelanggaran	Berlaku untuk pelanggaran seperti pengumpulan data ilegal atau pengungkapan data tanpa hak
Perdata	Gugatan ganti rugi oleh pemilik data	Diajukan lewat jalur pengadilan sesuai ketentuan yang berlaku

Perlu dicatat, lembaga pengawas resmi UU PDP masih dalam proses pembentukan hingga pertengahan 2026. Namun ini tidak menghapus kewajiban hukum yang sudah berlaku penuh, termasuk jalur sanksi pidana yang tetap berjalan lewat peradilan umum.

Cara Perusahaan Mengatasi Risiko Keamanan Data AI

Mengelola risiko ini tidak berarti melarang penggunaan AI sama sekali. Larangan total biasanya hanya mendorong karyawan memakai AI diam-diam, yang justru memperparah shadow AI. Pendekatan yang lebih realistis adalah mengatur penggunaan AI secara aman dan terkontrol.

1. Susun Kebijakan AI Internal yang Jelas

Buat panduan tertulis tentang alat AI apa saja yang boleh dipakai, data seperti apa yang tidak boleh dimasukkan ke chatbot publik, dan siapa yang berwenang menyetujui alat AI baru. Kebijakan ini sebaiknya singkat dan mudah dipahami, bukan dokumen hukum panjang yang jarang dibaca.

2. Terapkan Kontrol Akses Berbasis Identitas

Single sign-on (SSO) dan manajemen identitas memastikan hanya karyawan berwenang yang bisa mengakses sistem dan data tertentu. Dengan kontrol akses yang konsisten, tim IT juga bisa mencabut akses secara instan ketika karyawan resign atau berpindah peran.

3. Pasang Data Loss Prevention (DLP) di Titik Rawan

DLP membantu mendeteksi dan memblokir upaya menyalin data sensitif ke aplikasi yang tidak disetujui, termasuk chatbot AI publik. Kontrol ini bekerja di level jaringan atau perangkat, sehingga tidak sepenuhnya bergantung pada kepatuhan karyawan semata.

4. Rutinkan Edukasi dan Simulasi Phishing

Pelatihan keamanan siber perlu diperbarui agar mencakup skenario phishing berbasis AI, bukan hanya email mencurigakan bergaya lama. Simulasi berkala membantu karyawan mengenali pola serangan baru sebelum jadi korban sungguhan.

5. Audit dan Pantau Penggunaan AI Secara Berkelanjutan

Lakukan audit rutin untuk memetakan aplikasi AI apa saja yang dipakai tim, siapa penggunanya, dan data apa yang mengalir ke sana. Pemantauan berkelanjutan jauh lebih efektif dibanding kebijakan yang hanya disosialisasikan sekali lalu dilupakan.

Kelima langkah ini saling melengkapi. Kebijakan tanpa kontrol teknis mudah dilanggar, sementara kontrol teknis tanpa edukasi hanya akan dianggap penghalang oleh karyawan. Jika perusahaan Anda sedang menyusun strategi adopsi AI secara menyeluruh, panduan adopsi AI untuk bisnis bisa jadi titik awal yang baik sebelum masuk ke detail keamanan seperti ini.

Memilih Alat AI yang Lebih Aman untuk Kebutuhan Tim

Tidak semua platform AI punya standar keamanan data yang sama. Sebelum mengizinkan tim memakai alat tertentu, pastikan Anda memahami kebijakan penyimpanan data, opsi paket enterprise dengan kontrol akses, dan apakah data dipakai untuk melatih ulang model. Perbandingan seperti ChatGPT vs Gemini vs Claude untuk bisnis bisa membantu menilai mana yang paling sesuai kebutuhan keamanan perusahaan Anda.

Alternatif lain adalah memanfaatkan fitur AI yang sudah terintegrasi dalam platform kerja yang aksesnya sudah Anda kelola, misalnya lewat panduan cara menggunakan AI di Lark. Dengan begitu, data tetap berada dalam satu ekosistem yang kontrol aksesnya sudah diatur, bukan tersebar ke berbagai aplikasi pihak ketiga yang tidak terpantau.

FAQ

Apakah memakai ChatGPT untuk pekerjaan kantor otomatis melanggar UU PDP?

Tidak otomatis melanggar, tetapi berisiko jika data pribadi pelanggan atau karyawan dimasukkan ke chatbot publik tanpa dasar hukum pemrosesan yang jelas. Risiko ini meningkat kalau perusahaan belum punya kebijakan atau kontrol yang mengatur penggunaan tersebut.

Apa bedanya shadow AI dengan shadow IT?

Shadow IT mengacu pada penggunaan aplikasi atau perangkat apa pun tanpa persetujuan tim IT. Shadow AI adalah bagian dari shadow IT yang lebih spesifik pada alat AI generatif, dengan risiko tambahan karena AI bisa memproses dan berpotensi menyimpan data dalam skala besar hanya dari satu interaksi.

Bagaimana cara mengetahui apakah data perusahaan sudah bocor lewat prompt AI?

Cara paling efektif adalah memantau lalu lintas jaringan dan aplikasi yang diakses karyawan lewat solusi DLP atau manajemen akses terpusat. Tanpa alat pemantauan, perusahaan biasanya baru menyadari kebocoran setelah insiden terjadi.

Apakah perusahaan kecil juga perlu khawatir soal keamanan data AI?

Ya, ukuran perusahaan tidak mengurangi kewajiban terhadap UU PDP maupun risiko kebocoran data. Perusahaan kecil justru sering belum punya kebijakan AI sama sekali.

Apakah kontrol akses seperti SSO saja cukup untuk mengamankan penggunaan AI?

SSO dan manajemen identitas adalah fondasi penting, tapi bukan solusi tunggal. Idealnya dikombinasikan dengan kebijakan AI internal, DLP, dan edukasi karyawan agar kontrolnya menyeluruh, baik dari sisi teknis maupun perilaku.

Kesimpulan

Keamanan data AI bukan lagi isu masa depan, melainkan risiko yang sudah berjalan setiap hari di banyak perusahaan Indonesia. Shadow AI, kebocoran lewat prompt, dan phishing berbasis AI sama-sama mengincar celah yang sama, yaitu kurangnya kontrol dan kesadaran. Untungnya, risiko ini bisa dikelola dengan kombinasi kebijakan yang jelas, kontrol akses yang konsisten, DLP, dan edukasi berkelanjutan.

Langkah paling penting adalah mulai sekarang, bukan menunggu insiden kebocoran data terjadi lebih dulu. Perusahaan yang lebih siap adalah yang memperlakukan keamanan data AI sebagai bagian dari strategi keamanan siber secara keseluruhan.

Perkuat Kontrol Akses dan Keamanan Data AI dengan SealSuite

Mengelola risiko keamanan data AI membutuhkan kontrol akses yang konsisten di semua aplikasi yang dipakai tim, termasuk alat AI yang terus bertambah jumlahnya. SealSuite menghadirkan single sign-on, manajemen identitas, dan kontrol perangkat dalam satu pendekatan zero-trust, sehingga Anda tahu persis siapa mengakses apa dan dari perangkat mana. Dengan fondasi keamanan yang tepat, tim Anda tetap bisa memanfaatkan AI secara produktif tanpa mengorbankan kepatuhan terhadap UU PDP.

Hubungi tim Virtuenet via WhatsApp atau virtuenet.id/contact untuk konsultasi dan demo gratis.

Referensi

• LayerX Security - https://layerxsecurity.com/generative-ai/chatgpt-data-leak/

• The Register - https://www.theregister.com/2025/10/07/genaishadowitsecrets

• Logique - https://www.logique.co.id/blog/2024/11/13/sanksi-uu-pdp/

• YAPLegal.id - https://yaplegal.id/blog/kapan-uu-pdp-mulai-berlaku-efektif