Cara menyusun kebijakan AI untuk usaha kecil

Apa itu kebijakan AI?

Kebijakan AI adalah dokumen singkat perusahaan yang memberi tahu karyawan alat kecerdasan buatan mana yang boleh digunakan, untuk tugas apa, dengan informasi apa, dan apa yang harus dilakukan sebelum hasil kerja berbantuan AI digunakan. Di usaha kecil, dokumen ini biasanya terdiri dari beberapa halaman dan menjadi tanggung jawab pendiri, kepala operasional, atau orang yang sudah menangani data dan kontrak.

Istilah ini mencakup beberapa dokumen yang sering dianggap sama. Kebijakan penggunaan yang dapat diterima adalah pedoman yang diikuti karyawan sehari-hari. Kebijakan AI generatif mengatur alat yang menghasilkan teks, gambar, atau kode, serta risiko yang menyertai konten yang dihasilkan. Kerangka tata kelola adalah lapisan pengelolaan di balik keduanya: siapa yang menyetujui alat, siapa yang memelihara daftar pencatatan, dan seberapa sering keputusan ditinjau. Sebagian besar perusahaan dengan kurang dari 200 orang dapat menggabungkan ketiganya dalam satu dokumen, asalkan setiap bagian diberi label yang jelas.

Panduan ini mencakup keputusan yang diperlukan dalam setiap kebijakan kecerdasan buatan, dengan contoh klausul untuk perusahaan fiktif. Isinya merupakan informasi umum, bukan nasihat hukum. Hukum perlindungan data, ketenagakerjaan, dan perlindungan konsumen berbeda menurut negara dan sektor, jadi mintalah penasihat yang berkualifikasi untuk meninjau versi yang Anda terapkan.

Apa yang harus diatur dalam kebijakan AI untuk perusahaan kecil?

Kebijakan yang berguna membantu seseorang memutuskan apa yang harus dilakukan sebelum memasukkan informasi ke suatu alat atau menggunakan hasilnya. Kebijakan itu perlu menetapkan layanan yang disetujui, tugas yang sesuai, batasan informasi, tanggung jawab peninjauan, dan jalur eskalasi. Daftar peringatan tanpa keputusan praktis tersebut membuat karyawan harus menebak-nebak, dan orang yang menebak-nebak akan berhenti menggunakan alat atau menggunakannya secara diam-diam.

Mulailah dari alur kerja yang benar-benar dijalankan orang. Draf undangan yang dibuat dari fakta publik membutuhkan kontrol yang berbeda dari ringkasan materi rahasia klien. Untuk setiap alur kerja, tuliskan tujuan, bahan sumber, pembaca yang dituju, dan konsekuensi jika terjadi kesalahan. Konteks tersebut merupakan titik awal yang lebih baik daripada menganggap semua penggunaan AI sama.

Cara mengujinya adalah melihat apakah karyawan baru dapat menjawab tiga pertanyaan setelah membacanya: akun mana yang saya gunakan, apa yang sama sekali tidak boleh saya tempelkan, dan kepada siapa saya harus bertanya. Jika dokumen itu tidak dapat menjawabnya, dokumen tersebut belum menjalankan fungsinya, selengkap apa pun kelihatannya.

Apakah usaha kecil wajib memiliki kebijakan AI menurut hukum?

Di sebagian besar wilayah, tidak ada undang-undang umum yang menyatakan bahwa setiap usaha kecil harus memiliki dokumen bernama kebijakan AI, tetapi kewajiban yang sudah ada tetap berlaku terhadap cara staf menggunakan AI. Hukum perlindungan data, ketentuan kerahasiaan dalam kontrak klien, hukum ketenagakerjaan, dan aturan periklanan tetap berlaku meskipun draf dibuat oleh suatu alat. Kebijakan merupakan cara praktis untuk menunjukkan kepada staf bagaimana kewajiban yang sudah ada tersebut berlaku terhadap penggunaan AI mereka.

Di Britania Raya, Kantor Komisaris Informasi menerbitkan panduan tentang AI dan perlindungan data serta perangkat penilaian risiko untuk organisasi. Kedua halaman tersebut saat ini menyatakan bahwa panduannya sedang ditinjau setelah berlakunya Undang-Undang Data (Penggunaan dan Akses), jadi periksa status terkininya sebelum mengandalkan rincian apa pun. Di Uni Eropa, Pasal 4 EU AI Act tentang literasi AI telah berlaku sejak 2 February 2025 bagi penyedia dan pihak yang menerapkan sistem AI. Tanya jawab Komisi Eropa tentang literasi AI menyatakan bahwa tidak ada satu pendekatan yang cocok untuk semua, sertifikat tidak diwajibkan, dan catatan pelatihan internal sudah cukup. Dokumen tersebut juga memberikan contoh staf yang menggunakan asisten percakapan untuk teks iklan atau terjemahan, yang perlu diberi tahu tentang risiko tertentu seperti halusinasi.

Jika Anda menjual ke Uni Eropa, mempekerjakan orang di sana, atau menangani data pribadi penduduk Uni Eropa, mintalah nasihat tentang ketentuan yang berlaku bagi Anda. Pokok bahasan panduan ini lebih terbatas: kebijakan tertulis disertai pelatihan praktik merupakan cara yang wajar untuk menunjukkan bahwa orang telah diberi tahu tentang risiko yang ada dan cara menanganinya.

Siapa yang perlu bertanggung jawab atas keputusan-keputusan tersebut?

Tunjuk satu penanggung jawab kebijakan dan orang-orang yang dapat menyetujui alat serta alur kerja sensitif. Di perusahaan dengan 12 orang, pendiri mungkin menangani semuanya. Di perusahaan dengan 80 orang, pimpinan operasional mungkin menangani alat, penanggung jawab perlindungan data menangani informasi pribadi, dan kepala departemen menangani peninjauan keluaran di bidang masing-masing. Karyawan memerlukan satu tempat untuk mengajukan pertanyaan yang belum dicakup kebijakan.

Materi Tata Kelola dalam Panduan Praktis Kerangka Manajemen Risiko AI NIST membahas penetapan peran dan tanggung jawab, pelatihan risiko AI bagi personel, serta jalur komunikasi. Struktur di sini merupakan adaptasi operasional untuk tim kecil. Menggunakan judul-judul ini tidak membuat suatu kebijakan otomatis mematuhi hukum apa pun atau mendapat dukungan NIST.

Cantumkan nama penanggung jawab dan penggantinya di dalam kebijakan itu sendiri, bukan hanya jabatan. Di perusahaan kecil, jabatan berubah lebih cepat daripada dokumen, dan jalur eskalasi yang mengarah ke jabatan yang tidak diisi siapa pun sama saja dengan tidak adanya jalur eskalasi.

Bagaimana sebaiknya Anda mencatat alat yang disetujui?

Catat layanan, paket, dan penggunaan yang diizinkan secara spesifik, karena nama merek saja menyembunyikan perbedaan penting. Akun konsumen pribadi, ruang kerja bisnis perusahaan, dan integrasi API dari produk yang sama dapat memiliki ketentuan berbeda tentang penyimpanan data, pelatihan model, dan kendali administrator. Catat pengaturan dan ketentuan yang relevan, alih-alih menganggap satu pernyataan berlaku untuk setiap versi.

Tanyakan secara terpisah tentang pelatihan model, retensi, akses, lokasi pemrosesan, dan penghapusan. Pernyataan bahwa data tidak digunakan untuk pelatihan tidak berarti tidak ada penyimpanan atau bahwa Anda diizinkan mengunggah dokumen klien. Sebagai salah satu contoh cara penyedia menjelaskannya, dokumentasi Microsoft untuk Copilot Chat yang digunakan organisasi menyatakan bahwa instruksi dan respons tercakup dalam adendum perlindungan datanya dan tidak digunakan untuk melatih model fondasi, serta bahwa kontrol spesifiknya berbeda menurut paket langganan. Pernyataan khusus paket seperti itulah yang perlu dicatat, beserta tanggal Anda memeriksanya.

Tetapkan penanggung jawab dan tanggal peninjauan untuk setiap persetujuan agar daftar dapat diperbarui saat layanan atau alur kerja berubah. Panduan kerangka tata kelola menunjukkan format daftar pencatatan yang muat dalam satu halaman.

Apa yang boleh ditempelkan karyawan ke alat AI?

Tidak ada jawaban universal yang terlepas dari alat, data, dan kewajiban perusahaan, sehingga kebijakan harus memberikan jawaban yang sesuai dengan konteks Anda. Mulailah dengan mengelompokkan informasi ke dalam beberapa kategori sederhana: publik, internal, materi bisnis atau klien yang bersifat rahasia, dan informasi pribadi. Kemudian tentukan kategori yang diperbolehkan untuk setiap alat yang telah disetujui. Menghapus nama saja tidak otomatis membuat dokumen menjadi anonim atau boleh diunggah.

Panduan Pusat Keamanan Siber Nasional Inggris tentang model bahasa besar menyatakan pokok persoalannya secara tegas: kueri dapat dilihat oleh organisasi penyedia model. Panduan tersebut menyarankan agar informasi sensitif tidak disertakan dalam kueri ke model publik dan agar ketentuan penggunaan serta kebijakan privasi dibaca sebelum mengajukan pertanyaan sensitif. Kebijakan Anda dapat menerjemahkan hal itu menjadi instruksi khusus untuk akun yang telah Anda setujui.

Berikan contoh konkret kepada karyawan tentang materi yang diizinkan dan dibatasi untuk setiap alur kerja yang disetujui. Gunakan data rekaan atau data berisiko rendah yang telah disetujui secara tegas dalam pelatihan. Jika ketentuannya tidak jelas, staf harus berhenti sejenak dan menghubungi penanggung jawab yang ditunjuk, bukan mengambil keputusan sendiri tentang privasi di tengah tugas.

Apa yang harus dilakukan sebelum suatu hasil digunakan?

Setiap keluaran yang dibuat dengan bantuan AI perlu diperiksa sesuai dengan tujuan penggunaannya, dan kebijakan harus menyebutkan siapa yang melakukannya. Draf email mungkin perlu dibaca ulang dengan mencocokkannya terhadap fakta yang diberikan. Penjelasan numerik memerlukan perhitungan independen. Pernyataan tentang hukum, kesehatan, keuangan, atau keselamatan memerlukan peninjau yang berkualifikasi. Kebijakan harus mempertahankan persetujuan yang sudah diwajibkan, bukan menyiratkan bahwa bantuan AI membuatnya tidak lagi diperlukan.

Mintalah karyawan memisahkan draf yang dihasilkan AI dari versi yang disetujui untuk digunakan. Untuk pekerjaan penting, simpan catatan penelaahan yang cukup untuk menunjukkan sumber yang digunakan, perubahan yang dibuat, dan siapa yang mengambil keputusan akhir. Jawaban yang terdengar lancar, atau pernyataan model itu sendiri bahwa jawabannya benar, bukanlah verifikasi independen.

Nyatakan dengan tegas keputusan yang tetap menjadi tanggung jawab manusia. Contoh klausul yang umum: alat AI boleh membantu menyusun draf atau merangkum, tetapi tidak boleh menjadi dasar keputusan tentang perekrutan, gaji, kinerja, kredit, atau keluhan pelanggan tanpa peninjauan atas informasi yang mendasarinya oleh seseorang yang ditunjuk.

Seperti apa kebijakan yang sudah lengkap untuk tim dengan ukuran yang lazim di dunia kerja?

Berikut adalah contoh penerapan untuk agensi pemasaran fiktif dengan 25 orang, Harbour Lane Studio. Stafnya menggunakan ruang kerja bisnis perusahaan pada asisten percakapan dan fitur AI dalam paket aplikasi perkantorannya. Beberapa orang juga memiliki akun pribadi. Pendiri menjadi penanggung jawab kebijakan, dan kepala layanan klien menyetujui segala hal yang melibatkan materi klien.

Contoh klausul, alat yang disetujui: "Gunakan hanya ruang kerja bisnis Harbour Lane di [asisten] dan fitur AI dalam paket aplikasi perkantoran kami, dengan masuk menggunakan akun perusahaan Anda. Jangan gunakan akun pribadi untuk pekerjaan perusahaan atau klien apa pun."

Contoh klausul, informasi: "Anda boleh menggunakan informasi publik dan internal dalam alat yang disetujui. Jangan masukkan berkas klien, harga untuk klien, atau apa pun yang ditandai rahasia kecuali kepala layanan klien telah menyetujui klien dan tugas tersebut dalam daftar persetujuan. Jangan pernah memasukkan informasi pribadi tentang kandidat, staf, atau pelanggan."

Contoh klausul, peninjauan: "Sebelum hasil pekerjaan berbantuan AI dikirim kepada klien, penanggung jawab akun memeriksa setiap klaim faktual dengan mencocokkannya terhadap arahan atau sumber yang disebutkan, serta menghapus statistik, hasil, atau pernyataan dukungan apa pun yang tidak dapat ditelusuri sumbernya. Hasil pekerjaan berbantuan AI harus memenuhi standar yang sama dengan draf lainnya."

Contoh klausul, eskalasi: "Jika Anda tidak yakin, berhenti dan tanyakan kepada [nama pendiri], atau [nama pengganti] jika yang bersangkutan tidak ada. Jika Anda menduga informasi terbatas telah dimasukkan ke alat yang salah, beri tahu mereka pada hari yang sama. Anda tidak akan dikenai sanksi karena segera melapor."

Harbour Lane kemudian menguji kebijakan tersebut pada satu tugas nyata, yaitu ringkasan kampanye yang disusun dari arahan klien, sebelum meminta siapa pun menandatanganinya. Pengujian itu mengungkap satu kekurangan: tidak ada yang tahu apakah panduan merek klien termasuk informasi rahasia. Pendiri menambahkan satu ketentuan ke dalam daftar pencatatan, alih-alih menyerahkan keputusan kepada setiap penanggung jawab klien.

Bagaimana sebaiknya kebijakan mengatur ketidakpastian dan kesalahan?

Kebijakan harus menyediakan jalur yang jelas untuk melaporkan pengungkapan informasi yang tidak disengaja, keluaran yang tidak didukung bukti, atau alur kerja yang tidak lagi sesuai dengan persetujuannya, serta memastikan pelaporan aman dilakukan. Staf perlu mengetahui apa yang harus dihentikan, siapa yang harus dihubungi, dan bukti apa yang harus disimpan untuk penanggung jawab. Jangan membuat prosedur insiden umum yang bertentangan dengan prosedur yang sudah Anda miliki untuk masalah data atau keamanan; rujuklah prosedur tersebut.

Cobalah simulasi singkat berbasis diskusi sebelum menerapkan kebijakan: seseorang telah menempelkan dokumen terbatas ke akun pribadi yang tidak disetujui. Dapatkah karyawan menemukan jalur pelaporannya? Apakah penanggung jawab mengetahui layanan dan akun yang digunakan serta opsi penghapusan yang disediakan penyedia? Gunakan kekurangan yang ditemukan untuk memperbaiki prosedur yang sebenarnya bersama peninjau yang tepat.

Bagaimana Anda memastikan orang-orang benar-benar dapat mengikutinya?

Pernyataan penerimaan yang ditandatangani menunjukkan bahwa seseorang telah menerima kebijakan; itu tidak menunjukkan bahwa mereka mampu menerapkannya. Orang mempelajari batasan dengan mempraktikkannya pada tugas yang realistis: menentukan apa yang tidak boleh dimasukkan ke dalam instruksi AI, memeriksa klaim yang dihasilkan dengan membandingkannya terhadap sumber, dan menjelaskan perubahan yang mereka buat. Hal ini juga dijelaskan dalam tanya jawab Komisi Eropa saat membahas pemberian informasi kepada staf tentang risiko khusus dalam pekerjaan mereka.

Bahas bersama tim satu contoh yang diizinkan, satu contoh yang dibatasi, dan satu kasus yang belum jelas dari pekerjaan Anda sendiri. Minta setiap orang menjelaskan perbedaannya dan menemukan jalur eskalasinya. Setelah itu, tinjau kembali kebijakan dan tambahkan contoh yang membantu memperjelas keputusan.

Tosheo.ai sedang dirancang untuk tahap latihan tersebut. Saat peluncuran, manajer direncanakan dapat memilih peran dan alat AI yang digunakan tim, setiap peserta mengikuti asesmen awal singkat, dan pelajaran diakhiri dengan tugas praktik menggunakan alat sungguhan yang dinilai berdasarkan rubrik yang dapat dilihat. Manajer direncanakan dapat melihat perkembangan keterampilan dan penyelesaian pelajaran, bukan riwayat percakapan mentah. Produk ini tidak menyusun atau menegakkan kebijakan Anda; tujuannya adalah membantu orang melatih kebiasaan yang diwajibkan oleh kebijakan.

Bagaimana Anda menjaga agar kebijakan tetap berguna?

Tinjau kebijakan setiap kali alat, paket, kontrak, atau alur kerja berubah, serta pada tanggal yang telah ditetapkan setidaknya sekali setahun. Tanyakan kepada karyawan keputusan apa yang masih sulit diambil. Kebijakan yang tidak dapat diterapkan oleh siapa pun membutuhkan contoh yang lebih jelas atau jalur eskalasi yang lebih baik, bukan tambahan kotak centang untuk menyatakan sudah membaca.

Cantumkan tanggal versi dan catatan perubahan di bagian atas agar semua orang mengetahui aturan yang berlaku saat ini. Ketika penyedia mengubah ketentuannya atau klien menambahkan klausul AI ke dalam kontrak, perbarui entri dalam daftar dan beri tahu pihak yang terdampak, alih-alih menunggu peninjauan tahunan.

Kapan panduan ini bukan solusi yang tepat?

Pendekatan ini dirancang untuk tim beranggotakan sekitar 5 hingga 200 orang yang menggunakan asisten AI siap pakai untuk pekerjaan sehari-hari berbasis pengetahuan. Pendekatan ini saja tidak cukup jika Anda membangun atau menjual sistem AI, membuat keputusan otomatis tentang orang, bekerja di sektor yang diatur secara ketat seperti layanan kesehatan, nasihat keuangan, atau layanan hukum, atau memiliki kontrak klien dengan ketentuan AI tertentu. Dalam kasus tersebut, Anda memerlukan peninjauan hukum dan perlindungan data oleh pihak yang berkualifikasi, dan mungkin penilaian risiko formal, sebelum kebijakan difinalisasi.

Ini juga bukan pengganti program keamanan informasi. Jika perusahaan Anda belum memiliki aturan dasar untuk kata sandi, keamanan perangkat, atau klasifikasi data, benahi hal-hal tersebut terlebih dahulu; kebijakan AI tanpa landasan dasar tidak akan efektif.

Sumber dan cakupan

Panduan Praktis Kerangka Manajemen Risiko AI NIST: Tata Kelola, diperiksa 16 October 2026 ↗

ICO, Panduan tentang AI dan perlindungan data (sedang ditinjau), diperiksa 16 October 2026 ↗

ICO, Perangkat bantu penilaian risiko AI dan perlindungan data (sedang ditinjau), diperiksa pada 16 October 2026 ↗

Komisi Eropa, Literasi AI - Tanya Jawab, terakhir diperbarui 27 July 2026 ↗

NCSC, ChatGPT dan model bahasa besar: apa risikonya?, 14 Maret 2023 ↗

Microsoft Learn, Perlindungan data perusahaan di Microsoft Copilot dan Copilot Chat, diperiksa 16 October 2026 ↗