Memasukkan Data Klien ke Chatbot AI: Risiko Kerahasiaan

Apa risikonya

Chatbot AI adalah layanan yang menjawab pertanyaan atau mengolah teks memakai model kecerdasan artifisial. Saat Anda mengetik atau mengunggah sesuatu, data itu dikirim ke server penyedia layanan, sering di luar negeri. Tergantung kebijakan dan jenis akun, data tersebut mungkin disimpan, ditinjau manusia, atau dipakai untuk melatih model.

Risiko utama:

• Kebocoran kerahasiaan. Data klien yang seharusnya hanya diketahui Anda dan klien berada di sistem pihak ketiga.
• Pelanggaran pelindungan data pribadi. Mengirim data pribadi klien ke pihak ketiga tanpa dasar yang sah dapat melanggar UU Pelindungan Data Pribadi.
• Pelanggaran etik profesi. Profesi tertentu terikat kewajiban merahasiakan.
• Pelanggaran perjanjian kerahasiaan dengan klien atau mitra. Lihat perjanjian kerahasiaan (NDA).
• Hasil keliru. AI dapat menghasilkan jawaban yang tampak meyakinkan tetapi salah, termasuk mengarang rujukan hukum.
• Pencurian akun. Riwayat percakapan yang tersimpan bisa terbuka bila akun diretas.

Istilah yang perlu dipahami:

• Data pribadi adalah data tentang orang yang dapat dikenali.
• Rahasia jabatan atau profesi adalah informasi yang wajib dijaga karena pekerjaan seseorang, misalnya advokat terhadap kliennya.
• Pemroses data adalah pihak yang mengolah data atas nama pihak lain.

Kewajiban yang melekat

Pelindungan data pribadi. UU No. 27 Tahun 2022 mengatur bahwa pengolahan data pribadi memerlukan dasar yang sah, dan pengendali data bertanggung jawab atas keamanan data serta atas pihak yang diberi tugas mengolah. Mengunggah data klien ke layanan AI berarti menyerahkan pengolahan kepada pihak lain. Hal itu memerlukan dasar, perjanjian yang memadai, dan pengamanan. Lihat pelindungan data pribadi menurut UU PDP.

Rahasia profesi. Undang-Undang Advokat mewajibkan advokat merahasiakan segala sesuatu yang diketahuinya dari klien karena hubungan profesi. Kode etik advokat memuat kewajiban serupa. Profesi lain, seperti notaris, dokter, dan akuntan, juga memiliki kewajiban kerahasiaan menurut undang-undang dan kode etik masing-masing. Periksa teks resmi dan kode etik profesi Anda.

Perjanjian dengan klien atau mitra. Banyak kontrak memuat klausul kerahasiaan yang melarang membagikan informasi kepada pihak ketiga tanpa izin. Layanan AI dapat dianggap pihak ketiga. Baca juga NDA: kapan diperlukan dan isinya.

Etika penggunaan AI. Pemerintah pernah menerbitkan pedoman etika kecerdasan artifisial dalam bentuk surat edaran, dan pengaturan yang lebih tegas masih berkembang. Periksa perkembangan terbaru pada situs resmi pemerintah.

Sanksi atas pelanggaran kewajiban tersebut diatur dalam undang-undang dan kode etik masing-masing. Angka sanksi tidak disebut di sini karena dapat berubah mengikuti penyesuaian pidana yang berlaku sejak 2 Januari 2026.

Data apa yang sebaiknya tidak diunggah

Langkah menggunakan AI dengan lebih aman

1. Klasifikasikan data. Tentukan mana yang boleh dan tidak boleh diunggah. Mulailah dari yang paling sensitif.
2. Baca kebijakan penyedia. Cari tahu apakah data disimpan, dipakai melatih model, dan di mana diproses. Periksa pengaturan agar data tidak dipakai untuk pelatihan bila tersedia.
3. Samarkan atau anonimkan nama, angka, dan rincian yang dapat mengidentifikasi orang sebelum mengunggah. Ganti dengan sebutan netral seperti "Pihak A".
4. Gunakan akun resmi usaha, bukan akun pribadi, dan aktifkan verifikasi dua langkah.
5. Minta persetujuan klien bila data klien akan diproses lewat layanan pihak ketiga, terutama bila kontrak melarangnya.
6. Tinjau hasil. Jangan menyalin keluaran AI tanpa memeriksa kebenaran dan kesesuaiannya, apalagi rujukan hukum.
7. Catat penggunaan. Dokumentasikan untuk apa AI dipakai dan data apa yang diproses.

Contoh: Pak Reza (nama fiktif), advokat di kantor kecil, ingin meringkas sebuah kontrak klien memakai chatbot AI. Ia sadar dokumen itu memuat nama pihak, nilai transaksi, dan rincian rahasia. Ia mengganti nama pihak menjadi "Pihak A" dan "Pihak B", menghapus angka dan alamat, lalu hanya meminta bantuan menyusun daftar klausul umum. Ia memeriksa hasilnya secara manual dan tidak mengutip rujukan hukum dari AI tanpa mencocokkan teks resminya. Ia juga mencatat kebijakan kantornya agar semua staf melakukan hal serupa.

Kebijakan internal yang disarankan

Kantor atau usaha sebaiknya memiliki kebijakan tertulis singkat. Isi yang lazim:

1. Tujuan dan ruang lingkup. Siapa yang boleh memakai AI dan untuk keperluan apa.
2. Daftar layanan yang disetujui. Hanya layanan yang telah ditinjau keamanannya.
3. Aturan data. Data apa yang tidak boleh diunggah dan cara menyamarkan.
4. Kewajiban verifikasi. Semua hasil harus diperiksa manusia sebelum dipakai.
5. Persetujuan klien. Kapan perlu meminta izin atau memberi tahu klien.
6. Pelaporan insiden. Apa yang dilakukan bila data terlanjur terunggah.
7. Pelatihan. Sosialisasi berkala kepada seluruh staf.

Kebijakan ini sejalan dengan kewajiban menjaga rahasia dan data pribadi. Untuk karyawan yang membawa data pelanggan, lihat karyawan membawa data pelanggan.

Bila data terlanjur terunggah

Langkah yang dapat dipertimbangkan:

• Hapus percakapan dan unggahan melalui fitur yang tersedia, serta nonaktifkan pengumpulan data bila ada.
• Catat apa yang terunggah, kapan, dan oleh siapa.
• Nilai apakah ada data pribadi atau rahasia klien yang terdampak.
• Beritahu atasan, pengelola data, dan, bila perlu, klien yang terdampak.
• Pelajari kewajiban pemberitahuan menurut UU PDP bila terjadi kegagalan pelindungan data. Lihat keamanan siber dan kebocoran data perusahaan.
• Perbaiki kebijakan agar kejadian serupa tidak terulang.

Penghapusan percakapan belum tentu menghapus semua salinan di sistem penyedia. Karena itu, pencegahan jauh lebih penting daripada pemulihan.

Mengapa anonimisasi tidak selalu cukup

Mengganti nama dengan "Pihak A" membantu, tetapi tidak selalu menghilangkan risiko. Kombinasi rincian lain, seperti nilai transaksi yang khas, lokasi tertentu, tanggal, atau peristiwa yang unik, kadang tetap memungkinkan orang mengenali pihak yang dimaksud. Data yang masih dapat dikaitkan dengan seseorang tetap tergolong data pribadi.

Karena itu, setelah menyamarkan, baca ulang teks seperti orang luar. Tanyakan: apakah orang yang mengenal klien ini bisa menebak siapa dia? Bila ya, kurangi lagi rinciannya atau jangan gunakan AI untuk bagian itu. Pendekatan yang lebih aman adalah memakai AI untuk tugas yang tidak bergantung pada fakta klien, seperti memperbaiki struktur kalimat pada kerangka umum, menyusun daftar periksa, atau menjelaskan istilah.

Pilihan teknis untuk mengurangi risiko

Selain kebijakan, ada pilihan teknis yang dapat dipertimbangkan.

• Layanan versi usaha yang memberi perjanjian pengolahan data dan jaminan bahwa data tidak dipakai melatih model. Baca perjanjiannya, jangan hanya mengandalkan iklan.
• Model yang dijalankan di server sendiri untuk dokumen yang sangat sensitif, bila anggaran dan keahlian teknis ada.
• Pengaturan retensi agar riwayat percakapan terhapus otomatis.
• Pembatasan akses sehingga hanya staf tertentu yang boleh memakai layanan.
• Pencatatan penggunaan untuk keperluan audit internal.

Tidak ada pilihan yang bebas risiko. Pilihan teknis hanya mengurangi risiko dan tidak menggantikan kewajiban hukum untuk menjaga rahasia dan data pribadi. Saat memilih layanan, minta penyedia menjelaskan lokasi penyimpanan data, siapa yang dapat mengaksesnya, dan berapa lama data disimpan.

Kesalahan umum

• Mengunggah dokumen asli lengkap dengan identitas karena terburu-buru.
• Memakai akun pribadi gratis untuk pekerjaan klien.
• Menganggap hasil AI pasti benar, termasuk kutipan pasal.
• Tidak memberi tahu klien bahwa datanya diproses lewat layanan pihak ketiga.
• Tidak memiliki kebijakan tertulis sehingga staf bertindak sendiri-sendiri.
• Mencampur data beberapa klien dalam satu percakapan.

Pertanyaan yang sering diajukan

Apakah memakai AI untuk pekerjaan hukum dilarang? Tidak ada larangan umum, tetapi kewajiban menjaga rahasia klien dan melindungi data pribadi tetap berlaku. AI dapat dipakai untuk hal-hal yang tidak memuat data klien atau setelah data disamarkan, dengan pemeriksaan manual atas hasilnya.

Apakah meminta persetujuan klien cukup? Persetujuan membantu, tetapi tidak menggantikan kewajiban pengamanan dan pembatasan data. Pilih layanan yang jaminan datanya jelas, dan kumpulkan hanya data yang diperlukan.

Bagaimana jika klien yang mengunggah dokumennya sendiri ke AI? Itu keputusan klien terhadap datanya sendiri. Namun bila dokumen itu memuat data pihak lain atau terikat perjanjian kerahasiaan, klien perlu berhati-hati. Sampaikan risiko ini kepadanya.

Ringkasan

Mengunggah data klien ke chatbot AI mengirim data ke pihak ketiga dan dapat melanggar kewajiban pelindungan data pribadi, rahasia profesi, dan perjanjian kerahasiaan. Pilah data, baca kebijakan penyedia, samarkan identitas, jangan unggah dokumen asli yang sensitif, dan tinjau semua hasil AI. Susun kebijakan internal tertulis, latih staf, dan siapkan langkah bila data terlanjur terunggah.

Dasar hukum

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi.
• UU No. 18 Tahun 2003 tentang Advokat.
• UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik, sebagaimana telah diubah.

Baca juga

• Perlindungan Data Pribadi: Hak Anda Berdasarkan UU PDP
• Perjanjian Kerahasiaan (NDA): Isi, Ruang Lingkup, dan Akibat Pelanggaran
• NDA (Perjanjian Kerahasiaan): Kapan Diperlukan dan Isinya
• Karyawan Membawa Data Pelanggan Saat Pindah Kerja: Batas Hukumnya
• Hak Cipta Konten Buatan AI dan Karya Turunan: Kepemilikan dan Risiko

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.