Kebijakan AI Perusahaan: Diizinkan, Dibatasi, atau Dilarang?

Sinyal bukti utama

Masalahnya bukan sekadar ada atau tidaknya aplikasi yang disetujui. Penggunaan AI tanpa pengawasan dapat memperbesar paparan, sementara kerangka global dan regional sudah menuntut perusahaan memiliki aturan pakai, akuntabilitas, dan kontrol internal yang jelas.

Sinyal	Implikasi bagi pimpinan	Cakupan dan keterbatasan
1 dari 5	IBM melaporkan satu dari lima organisasi dalam risetnya mengalami kebocoran yang terkait dengan shadow AI.	Sampel berasal dari riset global mengenai organisasi yang mengalami kebocoran data. Angka ini bukan prevalensi seluruh perusahaan atau khusus Asia Tenggara. Sumber: IBM, 30 Juli 2025.
37 persen	Hanya 37 persen organisasi yang diteliti memiliki kebijakan untuk mengelola AI atau mendeteksi shadow AI.	Angka global ini bukan target baku bagi satu perusahaan. Sumber: IBM, 30 Juli 2025.
670.000 dolar AS	Organisasi dengan tingkat shadow AI tinggi menanggung biaya kebocoran rata rata 670.000 dolar AS lebih besar dibandingkan organisasi dengan penggunaan rendah atau tanpa shadow AI.	Temuan ini menunjukkan keterkaitan, bukan bukti bahwa shadow AI menjadi satu satunya penyebab selisih biaya. Sumber: IBM, 30 Juli 2025.
Kebijakan internal diperlukan	Surat Edaran Menteri Kominfo Nomor 9 Tahun 2023 menyebut pelaku usaha dan penyelenggara sistem elektronik terkait perlu membuat serta menerapkan kebijakan internal mengenai data dan etika AI.	Surat edaran ini merupakan pedoman etika dan konteks sektoral, bukan pengganti nasihat hukum atau program kepatuhan yang lengkap. Sumber: Komdigi, 19 Desember 2023.

Jawaban langsung

Izinkan penggunaan AI untuk pekerjaan berisiko rendah dengan data publik atau data yang sudah disetujui. Batasi penggunaan yang menyentuh data internal, pelanggan, proses teregulasi, rekomendasi material, atau akses sistem dengan izin, human review, logging, dan rollback. Larang penggunaan yang membuka rahasia, memicu tindakan yang sulit dipulihkan, menghasilkan manipulasi, atau menghilangkan pertanggungjawaban manusia.

Kebijakan AI perusahaan perlu mengikuti pekerjaan yang dilakukan, bukan semata merek aplikasinya. Aplikasi AI publik dan asisten enterprise memang mempunyai profil risiko berbeda. Namun, keduanya dapat menjadi berbahaya jika dipakai untuk memasukkan data terbatas atau mengambil keputusan tanpa pemeriksaan yang memadai.

Pertanyaan keputusan

Penggunaan AI seperti apa yang perlu diizinkan, dibatasi, atau dilarang oleh CEO?

Ini merupakan keputusan kepemimpinan karena jawabannya menentukan risk appetite, kecepatan adopsi, akuntabilitas, dan batas operasi perusahaan. Tim teknologi dapat memasang kontrol. Namun, mereka tidak semestinya memutuskan sendiri keputusan bisnis apa yang dapat didelegasikan atau risiko pelanggan seperti apa yang dapat diterima.

Sudut pandang

Tujuan kebijakan AI perusahaan adalah adopsi yang terkendali. Bukan larangan maksimal dan bukan pula akses seluas luasnya.

Kebijakan yang efektif membuat jalur aman lebih mudah digunakan daripada jalur tersembunyi. Karyawan membutuhkan ruang yang jelas untuk pekerjaan rutin, mekanisme peninjauan bagi penggunaan berisiko lebih tinggi, serta batas yang tegas bagi praktik yang tidak dapat diterima. Setiap pengecualian perlu memiliki penanggung jawab, alasan, masa berlaku, dan bukti yang dapat diaudit.

Alur berpikir

Kebijakan AI perusahaan harus dimulai dari data dan konsekuensi bisnis, baru kemudian menentukan aplikasi dan kontrol. Urutan ini menjaga nilai bisnis tanpa mengaburkan akuntabilitas.

1. Pahami pekerjaan yang ingin diperbaiki oleh karyawan.
2. Klasifikasikan data, identitas, akses sistem, dan dampak eksternalnya.
3. Nilai apakah hasilnya dapat diperiksa dan tindakannya dapat dipulihkan.
4. Tempatkan penggunaan tersebut ke dalam zona diizinkan, dibatasi, atau dilarang.
5. Tunjuk pemilik bisnis dan pemilik kontrol.
6. Pantau penggunaan resmi dan tinjau pengecualian secara berkala.

Pendekatan ini melihat penciptaan nilai, adopsi, kesiapan data, desain ulang workflow, governance, dan perilaku tenaga kerja sebagai satu sistem. Perusahaan tidak berhenti pada dokumen legal yang sulit diterapkan dalam pekerjaan sehari hari.

Asumsi lama yang perlu ditinggalkan

Kebijakan AI perusahaan yang konvensional mengandalkan IT untuk memblokir situs dan aplikasi yang belum disetujui. Pendekatan itu tidak lagi sejalan dengan cara AI masuk ke tempat kerja.

AI kini hadir di browser, aplikasi perkantoran, mesin pencari, platform pelanggan, alat bantu developer, produk rapat, penyimpanan file, dan aplikasi seluler. Karyawan juga dapat menghubungkan layanan melalui akun pribadi, browser extension, application programming interface, atau workflow otomatis.

Pemblokiran domain hanya menutup satu pintu. Langkah itu tidak menjawab apakah karyawan dapat merangkum keluhan pelanggan, menyusun memo untuk board, menilai kandidat, mengubah harga, atau memicu pembayaran. Semua itu menyangkut data, judgment, dan wewenang.

Apa yang berubah karena AI

AI mengubah kecepatan, skala, dan daya tindak perangkat lunak. Satu prompt dapat membawa konteks sensitif ke luar perusahaan, sementara AI agent dapat mengubah jawaban yang lemah menjadi tindakan bisnis.

Lima perubahan perlu diperhatikan:

1. Informasi keluar melalui jalur baru. Prompt, file yang diunggah, connector, riwayat browser, retrieval system, dan log dapat memuat data rahasia atau data pribadi.
2. Jawaban terlihat lebih pasti daripada buktinya. Bahasa yang lancar dapat menutupi konteks yang hilang, sumber yang lemah, atau detail yang direkayasa.
3. Pemakaian menyebar sebelum proses pengadaan selesai. Karyawan dapat memakai akun gratis atau pribadi sebelum ada kontrak, security review, atau perjanjian pemrosesan data.
4. Daya tindak memperbesar konsekuensi. Asisten memberi usulan. AI agent dapat mengirim, membeli, mengubah, menyetujui, atau memublikasikan.
5. Kontrol harus mengikuti workflow. Model yang aman tetap dapat dipakai dalam proses yang buruk. Sebaliknya, alat yang lebih berisiko dapat diterima bila ruang lingkupnya sempit dan terpantau.

AI dapat membantu mengklasifikasikan prompt, mendeteksi data terbatas, mencatat penggunaan, membandingkan output, dan menemukan akses yang tidak lazim. AI tidak dapat menentukan risk appetite, memutuskan dampak pelanggan yang dapat diterima, menyetujui pengecualian, atau menanggung akibat keputusan yang keliru. Tanggung jawab itu tetap berada pada manusia.

Mengapa larangan menyeluruh sering tidak efektif

Kebijakan AI perusahaan yang mengandalkan larangan menyeluruh dapat mengurangi pemakaian yang terlihat, tetapi justru mendorong penggunaan tersembunyi. Perusahaan juga kehilangan kesempatan untuk mempelajari workflow yang sebenarnya membutuhkan alternatif resmi.

Panduan keamanan Cisco mendefinisikan shadow AI sebagai penggunaan layanan AI pihak ketiga tanpa pengawasan tim keamanan. Panduan yang sama menilai pemblokiran seluruh AI semakin sulit dilakukan karena teknologi tersebut sudah tertanam dalam banyak aplikasi. Cisco adalah vendor teknologi, sehingga panduan itu tidak dipakai sebagai bukti prevalensi independen. Implikasi manajemennya tetap relevan: kebutuhan yang tidak dilayani akan mencari jalur lain.

Respons yang lebih kuat adalah memasangkan pembatasan dengan pilihan resmi. Jika karyawan membutuhkan AI untuk merangkum, menulis, membuat code, menganalisis, atau mencari informasi, perusahaan perlu menyediakan alat yang terkendali untuk pekerjaan berisiko rendah dan jalur eskalasi yang mudah bagi pekerjaan sensitif.

Tiga zona kebijakan

Kebijakan AI perusahaan perlu dibedakan berdasarkan konsekuensi. Daftar aplikasi akan cepat usang, sedangkan sensitivitas data, dampak keputusan, dan kemampuan pemulihan lebih tahan lama sebagai kriteria.

Zona 1: Diizinkan

Penggunaan dapat diizinkan ketika datanya bersifat publik atau telah disetujui, dampaknya rendah, dan seorang manusia tetap bertanggung jawab memeriksa hasilnya.

Contohnya adalah mencari gagasan dari informasi publik, merapikan teks yang tidak rahasia, merangkum materi internal yang telah disetujui di lingkungan enterprise, atau membuat draf awal yang tetap melewati proses review.

Syarat minimum:

1. Gunakan akun atau lingkungan yang telah disetujui.
2. Jangan memasukkan data terbatas.
3. Periksa fakta dan sumber.
4. Tetapkan pemilik hasil yang jelas.
5. Patuhi ketentuan hak cipta, privasi, dan pengelolaan arsip.

Zona 2: Dibatasi

Penggunaan perlu dibatasi jika melibatkan data internal, dampak pelanggan, proses teregulasi, rekomendasi material, akses sistem, atau otomasi berulang. Pembatasan berarti penggunaan tetap dimungkinkan, tetapi hanya dalam ruang lingkup, izin, dan kontrol yang telah ditetapkan.

Kasus seperti ini dapat menciptakan nilai, tetapi memerlukan bukti dan kontrol lebih kuat. Contohnya meliputi rekomendasi layanan pelanggan, analisis kontrak, keputusan tenaga kerja, dukungan penetapan harga, proyeksi keuangan, code yang masuk ke produksi, atau AI agent yang membaca sistem bisnis.

Syarat minimum:

1. Pemilik bisnis menjelaskan nilai yang ingin dicapai.
2. Data dan akses diklasifikasikan.
3. Model, vendor, dan ketentuan penyimpanan data ditinjau.
4. Human review ditentukan sebelum penggunaan.
5. Log, evaluasi, pelaporan insiden, dan rollback tersedia.
6. Penilaian diulang ketika model, workflow, atau konsekuensinya berubah.

Zona 3: Dilarang

Penggunaan perlu dilarang bila tindakannya menciptakan kerugian yang tidak dapat diterima, menghindari akuntabilitas, membuka rahasia tanpa izin, atau tidak dapat dipulihkan dengan aman.

Contohnya meliputi memasukkan kredensial atau informasi sangat terbatas ke layanan yang belum disetujui, membuat impersonation yang menyesatkan, mengambil keputusan akhir tentang pekerjaan atau kredit tanpa peninjauan yang bertanggung jawab, melewati kontrol keamanan, atau membiarkan AI agent tidak resmi menjalankan pembayaran dan publikasi.

Daftar larangan sebaiknya pendek, spesifik, dan terkait dengan konsekuensi. Kalimat seperti gunakan AI secara bertanggung jawab terlalu abstrak karena membiarkan karyawan menebak batas perusahaan.

Pilihan dan konsekuensi

CEO memiliki tiga pilihan besar. Kebijakan berbasis risiko memberi keseimbangan terbaik jika perusahaan mampu menyediakan alat resmi, pemilik yang jelas, dan pengawasan yang memadai.

Pilihan	Keunggulan strategis	Konsekuensi utama	Tepat digunakan ketika
Larangan menyeluruh	Aturannya cepat dibuat dan sederhana pada tahap awal	Penggunaan tersembunyi, hilangnya pembelajaran, dan tidak ada jalur adopsi	Penanganan sementara saat terjadi insiden tertentu atau ketika kontrol dasar belum tersedia
Eksperimen tanpa batas	Pembelajaran cepat dengan friksi rendah	Kebocoran data, kualitas tidak konsisten, akuntabilitas kabur, dan AI agent tidak terkendali	Sandbox terbatas dengan data sintetis atau publik
Kebijakan berbasis risiko	Penggunaan aman dapat berkembang, sedangkan aktivitas berisiko mendapat pengawasan	Membutuhkan klasifikasi, akses resmi, pelatihan, monitoring, dan pengelolaan pengecualian	Sikap dasar perusahaan

Hak keputusan

Kebijakan AI perusahaan yang dapat dijalankan menuntut CEO menentukan risk appetite dan hasil yang tidak dapat diterima. Pelaksanaannya menjadi tanggung jawab tim lintas fungsi dengan pembagian peran yang tegas.

1. CEO memutuskan: Risk appetite, hasil yang dilarang, model akuntabilitas, dan sponsor eksekutif.
2. Board atau komite risiko mengawasi: Paparan material terhadap pelanggan, hukum, keuangan, tenaga kerja, dan reputasi.
3. CIO dan CISO memasang kontrol: Akses resmi, identitas, perlindungan data, log, monitoring, dan respons insiden.
4. Tim legal dan privasi menafsirkan: Kewajiban, kontrak, persetujuan, arsip, serta persoalan data lintas batas.
5. CHRO mempersiapkan organisasi: Pelatihan, pedoman bagi karyawan, konsekuensi pelanggaran, dan desain ulang peran.
6. Pemilik bisnis membuktikan: Nilai use case, human review, kualitas output, dan dampak operasi.
7. Procurement memeriksa: Ketentuan vendor, penggunaan data, retensi, hak audit, subcontractor, dan dukungan saat keluar.
8. Karyawan menjalankan dan melapor: Penggunaan resmi, kesalahan, output tidak terduga, dan dugaan paparan.

CEO perlu menghentikan penggunaan bila kepemilikan tidak jelas, data terbatas dapat keluar, tindakan tidak dapat dipulihkan, atau tidak ada pihak yang mampu menjelaskan cara mendeteksi output yang salah.

Ambang keputusan

Dalam kebijakan AI perusahaan, sebuah use case baru layak masuk ke produksi ketika nilai, batas data, hak keputusan, bukti, monitoring, dan pemulihannya sudah jelas.

Gunakan enam pemeriksaan:

1. Hasil bisnis dan pemiliknya telah ditetapkan.
2. Data dan izin sistem telah diklasifikasikan.
3. Output atau tindakan memiliki human review yang bertanggung jawab.
4. Kualitas dan risiko telah diukur pada kasus yang representatif.
5. Log, pelaporan insiden, dan rollback berfungsi.
6. Otoritas pengecualian atau penghentian telah ditunjuk.

Jika satu pemeriksaan belum terpenuhi, pertahankan use case di sandbox, persempit izinnya, atau hentikan. Persetujuan harus mengikuti bukti, bukan antusiasme.

Uji 30 hari yang paling masuk akal

Uji kebijakan pada satu unit bisnis sebelum menerapkannya ke seluruh perusahaan. Tujuannya adalah mengurangi penggunaan tersembunyi tanpa mematikan adopsi yang bermanfaat.

Hari 1 sampai 7: Temukan penggunaan nyata

Lakukan survei singkat, tinjau sinyal akses yang tersedia, dan wawancarai karyawan mengenai pekerjaan yang ingin mereka perbaiki. Catat alat, data, workflow, frekuensi, pemilik, dampak eksternal, dan alasan penggunaan. Jangan memulai dengan hukuman. Perilaku tersembunyi akan tetap tersembunyi jika proses pemetaan terasa seperti investigasi.

Hari 8 sampai 14: Klasifikasikan dan sediakan alternatif

Tempatkan setiap penggunaan ke dalam zona diizinkan, dibatasi, atau dilarang. Sediakan jalur resmi untuk kebutuhan berisiko rendah yang sering muncul. Untuk aktivitas berisiko lebih tinggi, tetapkan batas data, akses, tindakan, pemilik bisnis, pemilik kontrol, dan syarat review.

Hari 15 sampai 23: Pasang kontrol

Aktifkan kontrol akses, perlindungan data, log, evaluasi, pelatihan, pelaporan insiden, dan proses pengecualian yang sederhana. Uji apakah seorang karyawan dapat memahami aturannya tanpa harus selalu menghubungi tim legal atau keamanan.

Hari 24 sampai 30: Tinjau bukti

Bandingkan penggunaan yang ditemukan, perpindahan ke alat resmi, aktivitas berisiko yang dihentikan, insiden, waktu yang dihemat, kualitas output, pemahaman karyawan, dan pengecualian yang belum terselesaikan.

Kondisi keberhasilan:

1. Sedikitnya 90 persen penggunaan rutin yang ditemukan telah diklasifikasikan.
2. Pekerjaan berisiko rendah yang umum sudah memiliki jalur resmi.
3. Akses dan aliran data berisiko tinggi mempunyai pemilik yang jelas.
4. Karyawan mampu mengklasifikasikan skenario yang representatif.
5. Tidak terjadi insiden kritis atau tindakan tidak terkendali yang sulit dipulihkan.

Kondisi kegagalan:

1. Karyawan memindahkan pekerjaan ke akun pribadi atau saluran yang tidak terlihat.
2. Alat resmi tidak mampu menyelesaikan pekerjaan yang memicu kebutuhan.
3. Pengecualian terus bertambah tanpa pemilik atau masa berlaku.
4. Monitoring mengumpulkan lebih banyak data pribadi daripada yang dibutuhkan.

Kondisi penghentian:

1. Data terbatas terpapar ke layanan yang belum disetujui.
2. Sistem AI mengambil tindakan yang sulit dipulihkan di luar wewenangnya.
3. Uji coba menimbulkan dampak material terhadap pelanggan, hukum, keselamatan, atau tenaga kerja.

Hipotesis yang dapat diuji

Kebijakan perlu dinilai dari perubahan perilaku dan penurunan risiko, bukan dari tebal dokumennya.

1. Jalur resmi untuk pekerjaan berisiko rendah akan mengurangi penggunaan akun AI pribadi secara berulang.
2. Pedoman berbasis skenario akan meningkatkan ketepatan klasifikasi karyawan dibandingkan daftar aplikasi.
3. Pemilik pengecualian dan masa berlaku akan mengurangi pengecualian permanen.
4. Monitoring pada workflow berisiko tinggi akan menghasilkan bukti kontrol yang lebih berguna dibandingkan pemantauan setiap prompt.

Implikasi bagi pengambil keputusan

Kebijakan AI perusahaan merupakan pilihan operating model. Kebijakan itu menentukan seberapa cepat penggunaan yang bermanfaat dapat berkembang dan siapa yang bertanggung jawab ketika AI gagal.

Bagi CEO, prioritasnya adalah risk appetite dan hak keputusan. Bagi board, fokusnya adalah paparan material. Bagi tim teknologi dan keamanan, tugasnya adalah visibilitas dan kontrol. Bagi pimpinan bisnis, ukurannya adalah nilai dan kualitas review. Bagi karyawan, kebijakan harus dapat diterapkan tanpa menebak.

Kebijakan perlu ditinjau ketika model memperoleh kemampuan baru, aplikasi menambah connector atau agent, regulasi baru berlaku, insiden terjadi, atau workflow berubah dari memberi saran menjadi mengambil tindakan. Peninjauan tahunan saja terlalu lambat untuk lingkungan yang terus berubah.

Pertanyaan yang sering diajukan

Catatan bukti

Klaim	Bukti	Tanggal	Keterbatasan
Shadow AI terkait dengan satu dari lima kebocoran pada organisasi yang diteliti, sementara hanya 37 persen memiliki kebijakan terkait.	Rilis Cost of a Data Breach IBM 2025	30 Juli 2025	Sampel riset kebocoran global, bukan estimasi bagi seluruh perusahaan atau Asia Tenggara.
Penggunaan shadow AI tinggi terkait dengan tambahan biaya kebocoran rata rata 670.000 dolar AS.	Rilis Cost of a Data Breach IBM 2025	30 Juli 2025	Keterkaitan tidak membuktikan satu penyebab tunggal.
Organisasi perlu memiliki aturan pakai yang transparan dan monitoring berkelanjutan untuk AI generatif.	NIST AI 600 1, Generative AI Profile	26 Juli 2024	Kerangka sukarela Amerika Serikat yang dirancang lintas sektor.
Pelaku usaha dan penyelenggara sistem elektronik terkait di Indonesia perlu membuat dan menerapkan kebijakan internal tentang data dan etika AI.	Surat Edaran Menteri Kominfo Nomor 9 Tahun 2023	19 Desember 2023	Pedoman etika, bukan nasihat hukum atau rezim kepatuhan lengkap.
ASEAN memiliki panduan governance AI, Responsible AI Roadmap, dan AI Safety Network.	ASEAN Digital Outlook 2026	5 Agustus 2026	Konteks kebijakan regional. Implementasi berbeda di tiap negara dan sektor.
Penggunaan AI enterprise semakin masuk ke workflow inti.	Laporan enterprise OpenAI berdasarkan data penggunaan yang telah dianonimkan dan riset pekerja	12 Agustus 2026	Data vendor dan pelanggan dapat berbeda dari populasi perusahaan secara umum.

Catatan sumber

Bukti ditinjau pada 1 September 2026. Klaim kuantitatif dipertahankan dalam cakupan aslinya. Bukti dari perusahaan dan vendor diberi konteks, serta tidak ada benchmark global yang disajikan sebagai prevalensi Indonesia.

1. IBM, rilis Cost of a Data Breach 2025
2. NIST, Generative Artificial Intelligence Profile
3. NIST AI 600 1 PDF
4. Komdigi, Surat Edaran Menteri Nomor 9 Tahun 2023
5. ASEAN Digital Outlook 2026
6. OpenAI, From assistance to execution
7. Cisco, Securing AI with Cisco AI Defense

Bacaan lanjutan

Lanjutkan dengan Decision Brief yang menerjemahkan kebijakan menjadi kontrol, desain tenaga kerja, dan keputusan yang dapat dipertanggungjawabkan.

1. Keamanan AI Agent: Tiga Hal yang Perlu Dipastikan CEO Sebelum Memberi Wewenang
2. Strategi SDM di Era AI: Desain Ulang Tugas Sebelum PHK
3. Kerangka Pengambilan Keputusan CEO
4. Bekerja Bersama Saya

Tentang penulis

Antovany Reza adalah pendiri CEO Decision Lab. Ia menulis tentang AI, transformasi digital, market building, governance, dan pengambilan keputusan eksekutif di Asia Tenggara.

Diskusikan keputusan

Jika perusahaan Anda sedang menentukan batas penggunaan AI oleh karyawan, pertanyaan yang lebih penting bukan aplikasi mana yang perlu diblokir. Pertanyaannya adalah data, keputusan, dan tindakan apa yang membutuhkan batas lebih tegas.

Diskusikan kebijakan atau governance AI

Versi bahasa

Read in English: AI Policy: What CEOs Should Permit, Monitor, Prohibit

Bagikan Decision Brief ini