Karyawan Pakai AI, Siapa Menanggung Risiko Rahasia Perusahaan Bocor?

JAKARTA — Penggunaan kecerdasan buatan atau artificial intelligence (AI) di lingkungan kerja membantu karyawan menyelesaikan tugas lebih cepat. Namun, ketika dokumen internal, data klien, atau informasi bisnis dimasukkan ke platform AI tanpa pengendalian yang memadai, perusahaan menghadapi risiko kebocoran informasi dan persoalan tanggung jawab hukum.

Risiko itu bukan sekadar kekhawatiran belaka. Laporan PixelLeak yang dirilis Glow Security pada September 2026 mengungkap lebih dari 13.000 screenshot internal dari lebih dari 300 organisasi yang ditemukan di repositori publik.

Gambar-gambar tersebut berpotensi mengekspos informasi korporasi, data klien, informasi keuangan, hingga tampilan produk perangkat lunak yang belum dirilis.

Menurut laporan tersebut, kebocoran terjadi ketika AI agent yang digunakan dalam pengembangan perangkat lunak mengunggah gambar ke repositori publik untuk mengatasi kendala teknis saat menampilkan screenshot dalam proses peninjauan kode.

Tindakan yang dimaksudkan untuk menyelesaikan pekerjaan justru membuka akses terhadap informasi internal.

Dalam sekitar 93 persen kasus yang dilaporkan, gambar ditemukan pada repositori di bawah akun pribadi pengembang, bukan akun perusahaan. Temuan ini memperlihatkan bagaimana penggunaan perangkat dan akun di luar tata kelola organisasi dapat memperluas risiko keamanan data.

Karyawan Sudah Menggunakan AI, Perusahaan Belum Siap

Penggunaan AI oleh pekerja berkembang lebih cepat daripada kebijakan perusahaan dalam mengaturnya. Survei Microsoft dan LinkedIn melalui Work Trend Index 2024 menunjukkan 92 persen pekerja berbasis pengetahuan di Indonesia yang disurvei telah menggunakan AI generatif di tempat kerja.

Laporan yang dirilis pada Juni 2024 itu juga menemukan 76 persen pekerja di Indonesia berinisiatif membawa perangkat atau solusi AI sendiri ke tempat kerja, praktik yang dikenal sebagai Bring Your Own AI (BYOAI).

Kondisi tersebut menciptakan tantangan bagi perusahaan. Karyawan bisa menggunakan layanan AI untuk merangkum dokumen, menyusun laporan, menganalisis data, atau membantu pekerjaan teknis tanpa selalu melalui sistem yang disetujui bagian teknologi informasi.

Risikonya muncul ketika informasi yang dimasukkan mengandung data pribadi, kontrak, strategi bisnis, informasi keuangan, atau rahasia milik klien. Penggunaan akun pribadi juga dapat membuat perusahaan kesulitan memastikan bagaimana data diproses, disimpan, dan dikelola oleh penyedia layanan.

Temuan tersebut sejalan dengan penelitian yang diterbitkan dalam Journal of Information Security and Applications pada Maret 2025. Artikel berjudul Workplace security and privacy implications in the GenAI age: A survey membahas implikasi penggunaan AI generatif terhadap keamanan informasi dan privasi di lingkungan kerja, termasuk kerentanan sistem dan ancaman terhadap integritas data.

Penelitian tersebut menempatkan penggunaan AI di tempat kerja sebagai persoalan keamanan organisasi, bukan hanya persoalan produktivitas individu.

Risiko Tidak Hanya Berasal dari Karyawan

Penggunaan AI dapat menimbulkan risiko melalui beberapa jalur. Karyawan dapat memasukkan informasi rahasia ke layanan yang tidak disetujui perusahaan. AI agent juga dapat melakukan tindakan terhadap file atau sistem yang dapat diaksesnya, bergantung pada izin dan konfigurasi yang diberikan.

Laporan AI Threat Landscape periode Juli–Agustus 2026 dari perusahaan keamanan siber Check Point mencatat bahwa pada Juli, satu dari setiap 36 prompt AI generatif yang terpantau melalui jaringan perusahaan memiliki risiko tinggi terkait kebocoran data sensitif.

Laporan tersebut menyebut paparan semacam itu ditemukan pada 88 persen organisasi yang secara rutin menggunakan perangkat tersebut.

Angka itu berasal dari pemantauan jaringan perusahaan oleh Check Point sehingga tidak dapat dianggap sebagai persentase seluruh prompt AI di dunia. Meski demikian, temuan tersebut memberikan gambaran mengenai risiko yang muncul dari penggunaan AI sehari-hari di lingkungan korporasi.

Di sisi lain, risiko tidak selalu berasal dari tindakan karyawan. Desain sistem, pengaturan akses, konfigurasi keamanan, dan kewenangan yang diberikan kepada AI turut menentukan apakah informasi dapat terekspos.

Kerangka manajemen risiko AI dari National Institute of Standards and Technology (NIST) di Amerika Serikat menekankan perlunya pendekatan sistematis untuk mengidentifikasi dan mengelola risiko AI.

Pengelolaan tersebut perlu disesuaikan dengan tujuan penggunaan, karakteristik sistem, dan potensi dampaknya.

Karena itu, kebocoran data tidak dapat otomatis dibebankan kepada karyawan hanya karena ia menggunakan AI. Penelusuran perlu mencakup tindakan pengguna, aturan perusahaan, pengamanan teknis, izin akses, dan cara penyedia layanan memproses data.

Regulasi Indonesia dan Tanggung Jawab Hukum

Di Indonesia, penggunaan AI yang melibatkan informasi sensitif dapat bersinggungan dengan sejumlah ketentuan hukum. Namun, tidak semua persoalan penggunaan AI oleh karyawan diatur secara khusus dalam satu undang-undang.

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) menjadi salah satu dasar hukum utama apabila informasi yang diproses mencakup data pribadi. Pasal 35 mewajibkan pengendali data pribadi melindungi dan memastikan keamanan data yang diprosesnya, sedangkan Pasal 36 mengatur kewajiban menjaga kerahasiaan data pribadi.

Pasal 46 juga mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam apabila terjadi kegagalan pelindungan data pribadi, sesuai dengan ketentuan yang berlaku. Penerapan kewajiban tersebut perlu dinilai berdasarkan jenis insiden, peran para pihak, serta kedudukan pengendali data pribadi.

Sementara itu, informasi bisnis yang memenuhi kriteria rahasia dagang dapat memperoleh perlindungan berdasarkan Undang-Undang Nomor 30 Tahun 2000 tentang Rahasia Dagang. Informasi tersebut harus tidak diketahui umum, memiliki nilai ekonomi, dan dijaga kerahasiaannya.

Perlindungan ini relevan untuk informasi tertentu seperti formula produk, metode produksi, strategi bisnis, atau informasi komersial yang memenuhi persyaratan hukum. Tidak setiap dokumen internal otomatis merupakan rahasia dagang.

Dari sisi tata kelola perusahaan, Pasal 97 Undang-Undang Nomor 40 Tahun 2007 tentang Perseroan Terbatas mengatur kewajiban direksi menjalankan pengurusan perseroan dengan itikad baik dan penuh tanggung jawab.

Ketentuan ini dapat relevan apabila kebocoran berkaitan dengan pengelolaan risiko atau pengawasan perusahaan. Namun, insiden kebocoran tidak otomatis membuat direksi bertanggung jawab secara pribadi. Unsur kesalahan atau kelalaian dan persyaratan hukum lainnya tetap harus diperiksa.

Undang-Undang Informasi dan Transaksi Elektronik, yang terakhir diubah melalui Undang-Undang Nomor 1 Tahun 2024, juga menjadi bagian dari kerangka hukum aktivitas elektronik di Indonesia.

Namun, keberadaan UU ITE tidak berarti semua tindakan AI telah diatur secara khusus atau bahwa AI dapat diperlakukan sebagai subjek hukum yang bertanggung jawab secara mandiri.

Pengaturan penggunaan kecerdasan artifisial di Indonesia juga mendapat perhatian melalui pembahasan Undang-Undang Satu Data Indonesia yang diberitakan DPR pada Oktober 2026.

Ruang lingkup dan penerapannya terhadap perusahaan swasta perlu dilihat berdasarkan naskah final yang telah diundangkan.

Regulasi tersebut tidak dapat langsung dianggap sebagai aturan khusus untuk seluruh aktivitas AI karyawan tanpa memeriksa ketentuan yang berlaku.

Dengan demikian, tanggung jawab atas kebocoran informasi tidak hanya bergantung pada siapa yang memasukkan data ke platform AI.

Penilaiannya juga mencakup jenis informasi yang terekspos, kebijakan internal perusahaan, pengendalian akses, serta kewajiban hukum masing-masing pihak.

Perusahaan Perlu Mengatur Penggunaan AI

Karyawan dapat menghadapi konsekuensi apabila terbukti melanggar kebijakan atau kewajiban kerahasiaan yang berlaku. Namun, perusahaan juga perlu menilai apakah telah menetapkan aturan penggunaan AI, menyediakan sarana yang aman, membatasi akses, serta memberikan pelatihan dan pengawasan yang memadai.

Di tingkat operasional, langkah pencegahan dapat dimulai dengan menetapkan jenis informasi yang dilarang dimasukkan ke layanan AI publik, menyediakan perangkat AI yang telah dievaluasi keamanannya, membatasi izin akses AI agent, dan mengaudit penggunaan akun serta repositori pribadi yang terhubung dengan pekerjaan perusahaan.

Perusahaan juga perlu memeriksa ketentuan penyedia AI mengenai penyimpanan data, penggunaan input untuk pelatihan model, retensi informasi, dan penghapusan data. Kebijakan tersebut harus dipahami sebelum layanan digunakan untuk memproses informasi sensitif.

Kasus PixelLeak memperlihatkan bahwa sistem AI dapat membuka celah keamanan ketika diberi tugas tanpa pembatasan dan pengawasan yang memadai.

Sementara itu, data penggunaan AI di Indonesia menunjukkan bahwa adopsi teknologi tersebut telah berlangsung luas di lingkungan kerja.

Tantangan perusahaan bukan semata-mata melarang karyawan menggunakan AI, melainkan memastikan bahwa pemanfaatannya berjalan dengan batas akses, standar keamanan, dan pertanggungjawaban yang jelas.