Hong Kong punya aturan AI? Ini status 2025 soal GenAI, PDPO, dan kewajiban perusahaan

Di sisi privasi, Office of the Privacy Commissioner for Personal Data atau PCPD menerbitkan Checklist on Guidelines for the Use of Generative AI by Employees pada Maret 2025. Tujuannya adalah membantu organisasi menyusun kebijakan atau panduan internal bagi karyawan yang menggunakan GenAI di tempat kerja, sambil mematuhi Personal Data (Privacy) Ordinance atau PDPO, yaitu aturan privasi data pribadi Hong Kong.

Peta dokumen utama AI dan GenAI di Hong Kong

Mengapa perusahaan tetap harus bergerak sekarang?

Jika pertanyaannya adalah “apakah Hong Kong sudah punya satu undang-undang khusus AI?”, jawabannya: menurut ikhtisar hukum publik 2025, belum ada kerangka hukum tunggal yang secara khusus mengatur AI, big data, atau machine learning.

Tetapi jika pertanyaannya adalah “apakah sudah ada kewajiban dan ekspektasi kepatuhan terkait AI?”, jawabannya: ya. Pedoman GenAI dari DPO sudah membahas batasan penggunaan, risiko potensial, dan prinsip tata kelola dalam satu kerangka operasional. Informasi pemerintah juga menyebut risiko teknis seperti kebocoran data, bias model, dan kesalahan yang perlu ditangani.

Begitu penggunaan AI menyentuh data pribadi, risiko PDPO tidak bisa diabaikan. Checklist PCPD secara eksplisit menghubungkan penggunaan GenAI oleh karyawan di tempat kerja, kebutuhan kebijakan internal organisasi, dan kepatuhan terhadap PDPO.

Kebijakan internal GenAI: minimal harus mengatur apa?

Pedoman DPO menyebut bahwa organisasi yang mengadopsi layanan GenAI sebaiknya menyusun kebijakan atau panduan internal. Isinya dapat mencakup alat yang diizinkan, tujuan penggunaan, cakupan kebijakan, jenis dan jumlah informasi yang boleh dimasukkan, penggunaan output, serta penyimpanan output.

Sebagai titik awal, organisasi dapat menyusun kebijakan GenAI dengan delapan bagian berikut:

1. Alat yang boleh digunakan: sebutkan secara jelas alat GenAI publik maupun aplikasi internal yang diizinkan.
2. Tujuan penggunaan yang diperbolehkan: misalnya untuk membuat draf, meringkas informasi, atau membuat konten teks, audio, maupun visual.
3. Cakupan kebijakan: jelaskan apakah kebijakan berlaku untuk semua departemen, proses kerja tertentu, atau skenario penggunaan tertentu.
4. Jenis dan jumlah data input: tentukan data apa yang boleh dan tidak boleh dimasukkan ke alat GenAI, termasuk pembatasan jumlah informasi yang dimasukkan.
5. Penggunaan output: atur apakah hasil AI boleh dipakai untuk dokumen eksternal, perlu ditinjau manusia, atau hanya boleh digunakan untuk pekerjaan internal tertentu.
6. Penyimpanan output: tetapkan bagaimana hasil AI disimpan, apakah boleh disalin ke sistem lain, dan bagaimana masa penyimpanannya diatur.
7. Akses karyawan dan perangkat: menurut PCPD, kebijakan AI perlu menyebut jenis perangkat yang boleh dipakai karyawan untuk mengakses alat GenAI serta kategori karyawan yang diizinkan menggunakannya.
8. Manajemen risiko: masukkan risiko kebocoran data, bias model, dan kesalahan ke dalam proses evaluasi dan peninjauan, karena risiko teknis ini disebut dalam pedoman GenAI pemerintah.

Data pribadi dan PDPO: area yang paling sensitif

Dalam konteks Hong Kong, penggunaan AI atau GenAI menjadi lebih sensitif ketika melibatkan data pribadi. PCPD menyatakan bahwa checklist penggunaan GenAI oleh karyawan diterbitkan untuk membantu organisasi membuat kebijakan internal atau panduan penggunaan GenAI di tempat kerja, sambil mematuhi PDPO.

Panduan AI yang lebih luas dari PCPD juga mencakup panduan praktis, prinsip etika, dan daftar penilaian mandiri untuk membantu organisasi mematuhi Personal Data (Privacy) Ordinance atau PDPO, Cap. 486, saat mengembangkan dan menggunakan AI.

Artinya, kebijakan AI perusahaan tidak cukup hanya menjawab “boleh atau tidak memakai alat AI tertentu”. Kebijakan juga perlu mengatur sumber data, jenis input, hak akses, penyimpanan output, serta kapan hasil AI harus diperiksa manusia.

Untuk karyawan dan pengguna: jangan asal unggah dokumen kerja

Pedoman GenAI DPO tidak hanya ditujukan untuk pengembang atau penyedia platform, tetapi juga untuk pengguna. Jadi, bila Anda memakai GenAI dalam pekerjaan, langkah paling aman adalah mengikuti kebijakan internal organisasi terlebih dahulu.

Hindari memasukkan dokumen perusahaan, data pelanggan, data internal, atau informasi pribadi ke alat AI publik tanpa izin dan tanpa dasar kebijakan yang jelas. Selain itu, jangan menganggap output AI selalu benar. Informasi pemerintah menyebut bias model dan kesalahan sebagai risiko teknis GenAI yang perlu ditangani.

Untuk dokumen penting, materi publik, komunikasi pelanggan, atau konten yang menyentuh isu hukum, medis, maupun data pribadi, tinjauan manusia tetap penting.

FAQ: pertanyaan umum soal aturan AI Hong Kong

Apakah Hong Kong sudah punya undang-undang AI?

Menurut ikhtisar hukum publik 2025, Hong Kong belum memiliki satu kerangka hukum tunggal yang secara khusus mengatur AI, big data, atau machine learning. Namun, Hong Kong sudah memiliki pedoman GenAI dari pemerintah, panduan privasi dari PCPD, dan kewajiban berdasarkan PDPO yang perlu dipertimbangkan bersama.

Apa isi pedoman GenAI dari DPO?

DPO merilis Hong Kong Generative Artificial Intelligence Technical and Application Guideline pada 15 April 2025. Menurut informasi pemerintah, pedoman ini mencakup ruang lingkup dan batasan aplikasi GenAI, risiko potensial, prinsip tata kelola, serta panduan operasional praktis untuk pengembang teknologi, penyedia layanan, dan pengguna.

Apakah perusahaan wajib punya kebijakan penggunaan AI?

PCPD menyatakan bahwa checklist GenAI untuk karyawan bertujuan membantu organisasi menyusun kebijakan atau panduan internal penggunaan GenAI di tempat kerja, sambil mematuhi PDPO. Pedoman DPO juga menyebut unsur yang dapat dicakup dalam kebijakan internal, termasuk alat, tujuan penggunaan, data input, penggunaan output, dan penyimpanan output.

Penutup

Gambaran paling akurat untuk 2025 adalah: Hong Kong belum memiliki satu UU khusus AI yang berdiri sendiri, tetapi sudah memiliki pedoman resmi GenAI, panduan privasi dari PCPD, dan kewajiban PDPO yang perlu dibaca bersama.

Bagi organisasi yang memakai atau berencana memakai GenAI, langkah pertama yang paling realistis adalah membuat kebijakan AI yang dapat dijalankan: tentukan alat yang boleh dipakai, tujuan penggunaan, batasan data input, penggunaan dan penyimpanan output, akses karyawan dan perangkat, serta proses pengelolaan risiko privasi, kebocoran data, bias, dan kesalahan.

Artikel ini adalah ringkasan informasi berdasarkan sumber publik yang disebutkan, bukan nasihat hukum. Untuk penerapan AI berisiko tinggi, pemrosesan data pribadi, atau sektor yang diatur ketat, organisasi sebaiknya meninjau dokumen resmi terkait dan meminta nasihat profesional.