Bolehkah Data Perusahaan atau Pelanggan Ditempel ke ChatGPT?

Jawaban singkat: data publik bisa dipertimbangkan, data berisiko jangan ditempel mentah-mentah

Kalau materinya sudah publik, tidak memuat data pribadi, tidak berisi data pelanggan, dan tidak membuka informasi bisnis yang belum diumumkan, AI umumnya lebih aman dipakai untuk membantu merangkum, menyusun ulang, mengklasifikasi, atau mencari ide. Meski begitu, penggunaannya tetap harus mengikuti kebijakan perusahaan.

Sebaliknya, jangan menempel teks asli bila isinya mencakup nama pelanggan, nomor telepon, email, alamat, nomor identitas, data pembayaran, isi kontrak, angka keuangan yang belum dipublikasikan, daftar pelanggan, strategi produk, atau rahasia perusahaan. Kebijakan privasi OpenAI menyatakan bahwa OpenAI mengumpulkan Personal Data yang diberikan pengguna dalam input ke layanannya, termasuk prompt serta konten yang diunggah seperti file, gambar, audio, dan video.

Paket enterprise dapat mengurangi sebagian risiko, tetapi bukan tiket bebas untuk memasukkan semua data. OpenAI menyatakan bahwa layanan seperti ChatGPT Business, ChatGPT Enterprise, dan API Platform memberikan ownership and control atas business data, termasuk input dan output, serta dapat disertai Data Processing Addendum atau DPA untuk mendukung kebutuhan kepatuhan seperti GDPR. OpenAI juga menyebut kebijakan retensi data, Enterprise Key Management atau EKM, serta praktik perlindungan data yang mendukung GDPR, CCPA, dan sejumlah kerangka keamanan/kepatuhan.

Kelompokkan dulu datanya sebelum memakai AI

Mengapa sekadar minta AI merapikan tulisan tetap perlu hati-hati

Prompt juga termasuk data input

Banyak orang merasa menempel satu paragraf berbeda dari mengunggah dokumen resmi. Dari sisi pemrosesan data, keduanya tetap merupakan input ke layanan. Kebijakan privasi OpenAI secara eksplisit menyebut bahwa OpenAI mengumpulkan Personal Data yang diberikan pengguna dalam input layanan, termasuk prompt dan konten yang diunggah.

Artinya, sebelum memakai AI, biasakan prinsip minimisasi data: jangan tempel teks asli jika ringkasan sudah cukup; jangan unggah dokumen penuh jika hanya perlu dua poin; dan hapus identitas sebelum mengirimkan konteks.

Versi enterprise punya kontrol, tetapi tetap harus tunduk pada kebijakan kantor

OpenAI menyatakan bahwa layanan seperti ChatGPT Business, ChatGPT Enterprise, dan API Platform memberi pelanggan ownership and control atas business data, termasuk input dan output, serta dapat didukung DPA untuk kebutuhan kepatuhan terhadap GDPR dan aturan privasi lain. Halaman business data OpenAI juga menyebut kebijakan retensi data, EKM, dan dukungan terhadap GDPR, CCPA, serta kerangka keamanan/kepatuhan tertentu.

Kontrol seperti ini berguna, tetapi perusahaan tetap harus menentukan batasnya: data apa yang boleh dimasukkan, data apa yang harus disamarkan dulu, data apa yang tidak boleh masuk sama sekali, siapa yang boleh memakai alat tersebut, dan bagaimana melaporkan insiden bila terjadi kesalahan.

Alatnya aman belum tentu datanya layak dimasukkan

Walaupun alat AI menyediakan kontrol enterprise, dokumen tertentu mungkin tetap dibatasi oleh kontrak pelanggan, aturan industri, atau kewajiban kerahasiaan internal. Fokusnya bukan hanya apakah AI bisa membantu, tetapi apakah data tersebut boleh keluar dari lingkungan kerja yang selama ini mengendalikannya.

Empat pertanyaan sebelum menempel data ke ChatGPT

1. Apakah ada data pribadi atau data pelanggan?

Jika informasi dapat mengidentifikasi seseorang atau pelanggan, baik langsung maupun tidak langsung, perlakukan sebagai data berisiko tinggi. Hapus nama, nomor telepon, email, alamat, nomor akun, nomor pesanan, nomor kasus, identitas, dan data pembayaran sebelum menilai apakah sisanya masih perlu dimasukkan. Ini penting karena prompt dan unggahan merupakan input yang diproses oleh layanan.

2. Apakah ini rahasia perusahaan?

Data tanpa nama pelanggan pun bisa tetap sensitif. Contohnya: harga penawaran, isi kontrak, pendapatan yang belum dipublikasikan, proses internal, strategi produk, atau daftar pelanggan. Jangan menempel dokumen seperti ini ke alat AI yang belum disetujui hanya karena tujuannya sekadar merapikan bahasa.

3. Apakah Anda memakai lingkungan AI yang disetujui perusahaan?

Akun pribadi, alat gratis, atau layanan AI eksternal yang belum melewati persetujuan internal sebaiknya tidak diperlakukan sebagai tempat memproses data perusahaan. Jika pekerjaan memang membutuhkan pemrosesan business data, gunakan solusi yang disetujui perusahaan dan pastikan kontrol seperti DPA, kebijakan retensi data, EKM, atau pengaturan administratif lain sesuai kebutuhan perusahaan.

4. Apakah tugasnya benar-benar butuh teks asli?

Banyak pekerjaan AI tidak perlu data lengkap. Untuk menyusun balasan ke pelanggan, misalnya, AI biasanya cukup diberi ringkasan masalah, nada komunikasi yang diinginkan, dan tindakan lanjutan yang boleh dijanjikan. Tidak selalu perlu memasukkan nama asli pelanggan, alamat, nomor pesanan, nomor telepon, atau isi kontrak lengkap.

Alur kerja yang lebih aman

Pertama, baca kebijakan perusahaan. Cek apakah ada aturan penggunaan AI, klasifikasi data, batasan kontrak pelanggan, atau persyaratan kepatuhan industri. Jika belum yakin, jangan mengambil keputusan sendiri dengan asumsi pasti aman.

Kedua, klasifikasikan data. Tanyakan: apakah ada data pribadi, data pelanggan, rahasia internal, kontrak, keuangan, pembayaran, identitas, atau informasi sensitif lain? Jika jawabannya ya atau tidak yakin, perlakukan sebagai data berisiko tinggi.

Ketiga, minimalkan dan de-identifikasi. Jangan tempel teks asli bila ringkasan cukup. Jangan unggah file penuh bila hanya perlu beberapa poin. Ganti nama, perusahaan, nomor telepon, email, alamat, nomor akun, nomor pesanan, dan nomor kasus dengan label netral seperti Pelanggan A, Vendor B, atau Pesanan 123.

Keempat, gunakan lingkungan yang disetujui untuk data berisiko. Bila data bisnis asli memang harus diproses, lakukan di solusi enterprise yang sudah disetujui perusahaan dan memiliki kontrol kontraktual serta administratif yang relevan, seperti DPA, kebijakan retensi data, atau EKM.

Kelima, eskalasikan bila ragu. Untuk data pelanggan, karyawan, identitas, pembayaran, kesehatan, kontrak, keuangan, atau strategi yang belum dipublikasikan, tanyakan dulu ke IT, legal, compliance, atau atasan.

Contoh mengubah prompt agar lebih aman

Tidak disarankan:

Berikut email keluhan pelanggan lengkap, nomor telepon, alamat, nomor pesanan, dan isi kontraknya. Tolong buatkan balasan.

Lebih aman:

Berikut ringkasan keluhan pelanggan yang sudah dide-identifikasi. Pelanggan A mengatakan produk terlambat sampai selama 10 hari dan meminta pengembalian dana. Tolong buatkan balasan yang sopan, mengakui masalah, dan menjelaskan langkah berikutnya. Jangan menambahkan fakta yang tidak saya berikan.

Cara ini tidak membuat risiko menjadi nol, tetapi mengurangi paparan data pribadi dan data perusahaan yang tidak diperlukan. Karena kebijakan privasi OpenAI menyebut bahwa Personal Data dalam input layanan dapat dikumpulkan, membatasi input adalah langkah keamanan dasar.

Apakah versi enterprise berarti semua data boleh dimasukkan?

Tidak. Versi enterprise atau API dapat menyediakan lebih banyak kontrol kontraktual, retensi data, dan administrasi. OpenAI menyatakan bahwa layanan enterprise tertentu memberi pelanggan ownership and control atas business data serta dapat didukung DPA untuk kebutuhan kepatuhan seperti GDPR. OpenAI juga menyebut EKM, kebijakan retensi data, dan praktik perlindungan data yang mendukung GDPR, CCPA, serta sejumlah kerangka keamanan/kepatuhan.

Namun kontrol enterprise hanyalah satu bagian dari manajemen risiko. Perusahaan tetap harus menetapkan data mana yang boleh diproses, mana yang harus disamarkan, mana yang dilarang, siapa yang berwenang memakai alat tersebut, dan bagaimana pelaporan bila terjadi salah unggah atau salah input.

Checklist cepat sebelum menempel data ke ChatGPT atau AI

Sebelum memasukkan data kerja, cek satu per satu:

• Kebijakan perusahaan mengizinkan penggunaan ini
• Konten tidak memuat data pribadi pelanggan, atau sudah dide-identifikasi
• Konten tidak memuat rahasia perusahaan, atau sudah mendapat persetujuan
• Yang ditempel hanya bagian minimum yang diperlukan, bukan dokumen mentah penuh
• Alat yang dipakai adalah alat yang disetujui perusahaan, bukan akun pribadi atau layanan yang belum ditinjau
• Jika memakai solusi enterprise, DPA, kebijakan retensi data, dan kontrol administratif terkait sudah diperiksa
• Jika ragu, tanyakan dulu ke IT, legal, compliance, atau atasan

Kalimat praktisnya: data publik dan rendah risiko bisa dipakai dengan mengikuti kebijakan kantor. Untuk data pelanggan, kontrak, keuangan, identitas, pembayaran, informasi bisnis belum publik, atau rahasia perusahaan, jangan tempel versi asli ke alat AI umum atau yang belum disetujui. Minimalkan, samarkan identitas, lalu proses hanya di lingkungan yang memang disetujui dan dikendalikan perusahaan.