Karyawan Pakai AI, Siapa Menanggung Risiko Rahasia Perusahaan Bocor?

Angka itu berasal dari pemantauan jaringan perusahaan oleh Check Point sehingga tidak dapat dianggap sebagai persentase seluruh prompt AI di dunia. Meski demikian, temuan tersebut memberikan gambaran mengenai risiko yang muncul dari penggunaan AI sehari-hari di lingkungan korporasi.

Di sisi lain, risiko tidak selalu berasal dari tindakan karyawan. Desain sistem, pengaturan akses, konfigurasi keamanan, dan kewenangan yang diberikan kepada AI turut menentukan apakah informasi dapat terekspos.

Kerangka manajemen risiko AI dari National Institute of Standards and Technology (NIST) di Amerika Serikat menekankan perlunya pendekatan sistematis untuk mengidentifikasi dan mengelola risiko AI.

Pengelolaan tersebut perlu disesuaikan dengan tujuan penggunaan, karakteristik sistem, dan potensi dampaknya.

Karena itu, kebocoran data tidak dapat otomatis dibebankan kepada karyawan hanya karena ia menggunakan AI. Penelusuran perlu mencakup tindakan pengguna, aturan perusahaan, pengamanan teknis, izin akses, dan cara penyedia layanan memproses data.

Regulasi Indonesia dan Tanggung Jawab Hukum

Di Indonesia, penggunaan AI yang melibatkan informasi sensitif dapat bersinggungan dengan sejumlah ketentuan hukum. Namun, tidak semua persoalan penggunaan AI oleh karyawan diatur secara khusus dalam satu undang-undang.

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) menjadi salah satu dasar hukum utama apabila informasi yang diproses mencakup data pribadi. Pasal 35 mewajibkan pengendali data pribadi melindungi dan memastikan keamanan data yang diprosesnya, sedangkan Pasal 36 mengatur kewajiban menjaga kerahasiaan data pribadi.

Pasal 46 juga mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam apabila terjadi kegagalan pelindungan data pribadi, sesuai dengan ketentuan yang berlaku. Penerapan kewajiban tersebut perlu dinilai berdasarkan jenis insiden, peran para pihak, serta kedudukan pengendali data pribadi.