Sebelum menempel data perusahaan atau pelanggan ke ChatGPT, pertanyaan utamanya bukan sekadar: apakah ChatGPT aman? Pertanyaan yang lebih tepat adalah: seberapa sensitif datanya, apakah perusahaan sudah mengizinkan, apakah alat AI yang dipakai punya kontrak dan kontrol pengelolaan data, dan apakah tugasnya benar-benar membutuhkan teks asli.

Artikel ini berangkat dari kebijakan privasi OpenAI dan halaman OpenAI tentang data bisnis/enterprise. Jika kantor Anda memakai penyedia AI lain, tetap periksa syarat layanan, kebijakan internal, dan kontrak yang berlaku untuk penyedia tersebut.^[5][6][7]

Jawaban singkat: data publik bisa dipertimbangkan, data berisiko jangan ditempel mentah-mentah

Kalau materinya sudah publik, tidak memuat data pribadi, tidak berisi data pelanggan, dan tidak membuka informasi bisnis yang belum diumumkan, AI umumnya lebih aman dipakai untuk membantu merangkum, menyusun ulang, mengklasifikasi, atau mencari ide. Meski begitu, penggunaannya tetap harus mengikuti kebijakan perusahaan.

Sebaliknya, jangan menempel teks asli bila isinya mencakup nama pelanggan, nomor telepon, email, alamat, nomor identitas, data pembayaran, isi kontrak, angka keuangan yang belum dipublikasikan, daftar pelanggan, strategi produk, atau rahasia perusahaan. Kebijakan privasi OpenAI menyatakan bahwa OpenAI mengumpulkan Personal Data yang diberikan pengguna dalam input ke layanannya, termasuk prompt serta konten yang diunggah seperti file, gambar, audio, dan video.^[5]

Paket enterprise dapat mengurangi sebagian risiko, tetapi bukan tiket bebas untuk memasukkan semua data. OpenAI menyatakan bahwa layanan seperti ChatGPT Business, ChatGPT Enterprise, dan API Platform memberikan ownership and control atas business data, termasuk input dan output, serta dapat disertai Data Processing Addendum atau DPA untuk mendukung kebutuhan kepatuhan seperti GDPR.^[7] OpenAI juga menyebut kebijakan retensi data, Enterprise Key Management atau EKM, serta praktik perlindungan data yang mendukung GDPR, CCPA, dan sejumlah kerangka keamanan/kepatuhan.^[6]

Kelompokkan dulu datanya sebelum memakai AI

Jenis data	Contoh	Pendekatan yang lebih aman
Konten publik atau rendah risiko	Teks situs yang sudah tayang, materi pemasaran umum, draf tanpa angka internal	Bisa dipakai sesuai kebijakan kantor. Jangan menambahkan catatan internal yang tidak perlu.
Data pribadi pelanggan	Nama, telepon, email, alamat, identitas, rekening, data pembayaran	Jangan tempel versi asli. Hapus atau ganti informasi yang bisa mengidentifikasi orang sebelum dipakai.[5]
Rahasia perusahaan	Angka keuangan belum publik, harga penawaran, isi kontrak, roadmap produk, strategi internal	Gunakan ringkasan, data contoh, atau versi yang sudah dide-identifikasi. Jika harus memproses data asli, lakukan hanya di lingkungan enterprise yang disetujui perusahaan.
Daftar pelanggan dan data penjualan	Ekspor CRM, daftar prospek, status transaksi, keluhan pelanggan lengkap	Jangan unggah satu file penuh. Ambil bagian minimum yang diperlukan dan samarkan identitasnya.
Data dengan batasan tambahan	Data kesehatan, identitas, pembayaran, berkas karyawan atau pelanggan	Jangan masukkan tanpa persetujuan. Tanyakan dulu ke IT, legal, compliance, atau atasan.

Mengapa sekadar minta AI merapikan tulisan tetap perlu hati-hati

Prompt juga termasuk data input

Banyak orang merasa menempel satu paragraf berbeda dari mengunggah dokumen resmi. Dari sisi pemrosesan data, keduanya tetap merupakan input ke layanan. Kebijakan privasi OpenAI secara eksplisit menyebut bahwa OpenAI mengumpulkan Personal Data yang diberikan pengguna dalam input layanan, termasuk prompt dan konten yang diunggah.^[5]

Artinya, sebelum memakai AI, biasakan prinsip minimisasi data: jangan tempel teks asli jika ringkasan sudah cukup; jangan unggah dokumen penuh jika hanya perlu dua poin; dan hapus identitas sebelum mengirimkan konteks.

Versi enterprise punya kontrol, tetapi tetap harus tunduk pada kebijakan kantor

OpenAI menyatakan bahwa layanan seperti ChatGPT Business, ChatGPT Enterprise, dan API Platform memberi pelanggan ownership and control atas business data, termasuk input dan output, serta dapat didukung DPA untuk kebutuhan kepatuhan terhadap GDPR dan aturan privasi lain.^[7] Halaman business data OpenAI juga menyebut kebijakan retensi data, EKM, dan dukungan terhadap GDPR, CCPA, serta kerangka keamanan/kepatuhan tertentu.^[6]

Kontrol seperti ini berguna, tetapi perusahaan tetap harus menentukan batasnya: data apa yang boleh dimasukkan, data apa yang harus disamarkan dulu, data apa yang tidak boleh masuk sama sekali, siapa yang boleh memakai alat tersebut, dan bagaimana melaporkan insiden bila terjadi kesalahan.

Alatnya aman belum tentu datanya layak dimasukkan

Walaupun alat AI menyediakan kontrol enterprise, dokumen tertentu mungkin tetap dibatasi oleh kontrak pelanggan, aturan industri, atau kewajiban kerahasiaan internal. Fokusnya bukan hanya apakah AI bisa membantu, tetapi apakah data tersebut boleh keluar dari lingkungan kerja yang selama ini mengendalikannya.

Empat pertanyaan sebelum menempel data ke ChatGPT

1. Apakah ada data pribadi atau data pelanggan?

Jika informasi dapat mengidentifikasi seseorang atau pelanggan, baik langsung maupun tidak langsung, perlakukan sebagai data berisiko tinggi. Hapus nama, nomor telepon, email, alamat, nomor akun, nomor pesanan, nomor kasus, identitas, dan data pembayaran sebelum menilai apakah sisanya masih perlu dimasukkan. Ini penting karena prompt dan unggahan merupakan input yang diproses oleh layanan.^[5]

2. Apakah ini rahasia perusahaan?

Data tanpa nama pelanggan pun bisa tetap sensitif. Contohnya: harga penawaran, isi kontrak, pendapatan yang belum dipublikasikan, proses internal, strategi produk, atau daftar pelanggan. Jangan menempel dokumen seperti ini ke alat AI yang belum disetujui hanya karena tujuannya sekadar merapikan bahasa.

3. Apakah Anda memakai lingkungan AI yang disetujui perusahaan?

Akun pribadi, alat gratis, atau layanan AI eksternal yang belum melewati persetujuan internal sebaiknya tidak diperlakukan sebagai tempat memproses data perusahaan. Jika pekerjaan memang membutuhkan pemrosesan business data, gunakan solusi yang disetujui perusahaan dan pastikan kontrol seperti DPA, kebijakan retensi data, EKM, atau pengaturan administratif lain sesuai kebutuhan perusahaan.^[6][7]

4. Apakah tugasnya benar-benar butuh teks asli?

Banyak pekerjaan AI tidak perlu data lengkap. Untuk menyusun balasan ke pelanggan, misalnya, AI biasanya cukup diberi ringkasan masalah, nada komunikasi yang diinginkan, dan tindakan lanjutan yang boleh dijanjikan. Tidak selalu perlu memasukkan nama asli pelanggan, alamat, nomor pesanan, nomor telepon, atau isi kontrak lengkap.

Alur kerja yang lebih aman

Pertama, baca kebijakan perusahaan. Cek apakah ada aturan penggunaan AI, klasifikasi data, batasan kontrak pelanggan, atau persyaratan kepatuhan industri. Jika belum yakin, jangan mengambil keputusan sendiri dengan asumsi pasti aman.

Kedua, klasifikasikan data. Tanyakan: apakah ada data pribadi, data pelanggan, rahasia internal, kontrak, keuangan, pembayaran, identitas, atau informasi sensitif lain? Jika jawabannya ya atau tidak yakin, perlakukan sebagai data berisiko tinggi.

Ketiga, minimalkan dan de-identifikasi. Jangan tempel teks asli bila ringkasan cukup. Jangan unggah file penuh bila hanya perlu beberapa poin. Ganti nama, perusahaan, nomor telepon, email, alamat, nomor akun, nomor pesanan, dan nomor kasus dengan label netral seperti Pelanggan A, Vendor B, atau Pesanan 123.

Keempat, gunakan lingkungan yang disetujui untuk data berisiko. Bila data bisnis asli memang harus diproses, lakukan di solusi enterprise yang sudah disetujui perusahaan dan memiliki kontrol kontraktual serta administratif yang relevan, seperti DPA, kebijakan retensi data, atau EKM.^[6][7]

Kelima, eskalasikan bila ragu. Untuk data pelanggan, karyawan, identitas, pembayaran, kesehatan, kontrak, keuangan, atau strategi yang belum dipublikasikan, tanyakan dulu ke IT, legal, compliance, atau atasan.

Contoh mengubah prompt agar lebih aman

Tidak disarankan:

Berikut email keluhan pelanggan lengkap, nomor telepon, alamat, nomor pesanan, dan isi kontraknya. Tolong buatkan balasan.

Lebih aman:

Berikut ringkasan keluhan pelanggan yang sudah dide-identifikasi. Pelanggan A mengatakan produk terlambat sampai selama 10 hari dan meminta pengembalian dana. Tolong buatkan balasan yang sopan, mengakui masalah, dan menjelaskan langkah berikutnya. Jangan menambahkan fakta yang tidak saya berikan.

Cara ini tidak membuat risiko menjadi nol, tetapi mengurangi paparan data pribadi dan data perusahaan yang tidak diperlukan. Karena kebijakan privasi OpenAI menyebut bahwa Personal Data dalam input layanan dapat dikumpulkan, membatasi input adalah langkah keamanan dasar.^[5]

Apakah versi enterprise berarti semua data boleh dimasukkan?

Tidak. Versi enterprise atau API dapat menyediakan lebih banyak kontrol kontraktual, retensi data, dan administrasi. OpenAI menyatakan bahwa layanan enterprise tertentu memberi pelanggan ownership and control atas business data serta dapat didukung DPA untuk kebutuhan kepatuhan seperti GDPR.^[7] OpenAI juga menyebut EKM, kebijakan retensi data, dan praktik perlindungan data yang mendukung GDPR, CCPA, serta sejumlah kerangka keamanan/kepatuhan.^[6]

Namun kontrol enterprise hanyalah satu bagian dari manajemen risiko. Perusahaan tetap harus menetapkan data mana yang boleh diproses, mana yang harus disamarkan, mana yang dilarang, siapa yang berwenang memakai alat tersebut, dan bagaimana pelaporan bila terjadi salah unggah atau salah input.

Checklist cepat sebelum menempel data ke ChatGPT atau AI

Sebelum memasukkan data kerja, cek satu per satu:

• Kebijakan perusahaan mengizinkan penggunaan ini
• Konten tidak memuat data pribadi pelanggan, atau sudah dide-identifikasi
• Konten tidak memuat rahasia perusahaan, atau sudah mendapat persetujuan
• Yang ditempel hanya bagian minimum yang diperlukan, bukan dokumen mentah penuh
• Alat yang dipakai adalah alat yang disetujui perusahaan, bukan akun pribadi atau layanan yang belum ditinjau
• Jika memakai solusi enterprise, DPA, kebijakan retensi data, dan kontrol administratif terkait sudah diperiksa^[6][7]
• Jika ragu, tanyakan dulu ke IT, legal, compliance, atau atasan

Kalimat praktisnya: data publik dan rendah risiko bisa dipakai dengan mengikuti kebijakan kantor. Untuk data pelanggan, kontrak, keuangan, identitas, pembayaran, informasi bisnis belum publik, atau rahasia perusahaan, jangan tempel versi asli ke alat AI umum atau yang belum disetujui. Minimalkan, samarkan identitas, lalu proses hanya di lingkungan yang memang disetujui dan dikendalikan perusahaan.^[5][6][7]