Templat kebijakan AI untuk karyawan

Bagaimana sebaiknya Anda menggunakan templat ini?

Salin klausul di bawah ini ke dokumen Anda sendiri, ganti semua isian dalam tanda kurung siku, dan bahas setiap klausul dengan penanggung jawab alur kerja terkait. Jangan menetapkannya sebagai kebijakan perusahaan tanpa memeriksa alat, informasi, dan kewajiban yang benar-benar terkait. Klausul ini sengaja tidak memberikan izin menyeluruh untuk mengunggah data bisnis.

Gunakan tugas yang sudah dikenal untuk menguji apakah karyawan dapat menerapkan dokumen yang sudah selesai. Misalnya, dapatkah mereka menentukan akun mana yang disetujui untuk menyusun draf email berdasarkan fakta publik, dan siapa yang harus dimintai persetujuan sebelum membagikan laporan klien? Jika jawabannya belum jelas, perbaiki kebijakan sebelum meminta staf menyatakan bahwa mereka telah membacanya.

Templat ini berisi informasi umum, bukan nasihat hukum. Aturan perlindungan data, ketenagakerjaan, dan sektoral berbeda di setiap negara, dan penasihat yang berkualifikasi perlu meninjau versi yang Anda terapkan.

Apa yang perlu dicantumkan dalam klausul tujuan, cakupan, dan penanggung jawab?

Tiga klausul pertama menjelaskan alasan kebijakan dibuat, siapa yang tercakup, dan siapa yang mengambil keputusan ketika ada ketidakjelasan. Buat singkat; fungsinya memberi arahan, bukan menimbulkan akibat hukum.

Pasal 1, tujuan: "[Perusahaan] menggunakan alat AI untuk membantu staf menyusun draf, merangkum, melakukan riset, dan menganalisis. Kebijakan ini menjelaskan alat yang disetujui, informasi yang boleh digunakan dengan alat tersebut, cara memeriksa keluaran, dan pihak yang dapat dihubungi untuk bertanya. Kebijakan ini mendukung, bukan menggantikan, kebijakan [keamanan informasi / perlindungan data / kerahasiaan] kami."

Pasal 2, cakupan: "Kebijakan ini berlaku bagi semua karyawan, kontraktor, dan [pekerja lepas / peserta magang] yang bekerja untuk [Perusahaan], di perangkat apa pun, termasuk fitur AI bawaan dalam perangkat lunak yang sudah kami gunakan, seperti [paket aplikasi perkantoran, alat desain, CRM]."

Pasal 3, tanggung jawab: "[Nama, jabatan] bertanggung jawab atas kebijakan ini dan daftar alat yang disetujui. [Nama pengganti] mengambil alih saat penanggung jawab tidak tersedia. Pertanyaan ditujukan ke [surel atau kanal]. [Nama, jabatan] menyetujui setiap alur kerja yang melibatkan informasi pribadi."

Bagaimana cara mengisi ketentuan tentang alat dan informasi?

Pasal 4 dan 5 memuat sebagian besar risiko, sehingga membutuhkan jawaban yang paling spesifik. Pasal 4 menyebutkan akun secara tepat; pasal 5 menjelaskan kategori informasi yang boleh dimasukkan ke masing-masing akun.

Pasal 4, alat yang disetujui: "Gunakan hanya alat yang tercantum dalam daftar alat yang disetujui, dengan masuk menggunakan akun [Perusahaan] Anda. Akun pribadi, paket gratis, dan pengaya peramban yang tidak tercantum dalam daftar tidak boleh digunakan untuk pekerjaan [Perusahaan] atau klien. Untuk mengajukan alat baru, kirim surel kepada [penanggung jawab] dengan menyebutkan alat, paket, tugas, dan informasi yang akan digunakan."

Pasal 5, informasi: "Anda boleh menggunakan informasi publik dan [informasi internal] dalam alat yang disetujui. Anda tidak boleh memasukkan [materi rahasia klien / harga / informasi keuangan yang belum dirilis / kode sumber / kredensial] kecuali daftar alat menyatakan bahwa alat tersebut disetujui untuk tugas itu. Jangan memasukkan informasi pribadi tentang staf, kandidat, atau pelanggan kecuali [nama] telah menyetujui alur kerja tersebut secara khusus. Menghapus nama saja tidak membuat informasi aman untuk dibagikan."

Setiap persetujuan dalam daftar perlu mencantumkan layanan dan paket, tugas yang diizinkan, informasi yang boleh digunakan, peninjau, serta tanggal peninjauan. Tanyakan secara terpisah kepada penyedia tentang penggunaan data Anda untuk pelatihan, penyimpanan data, akses administrator, dan penghapusan. Catat isi ketentuan mereka yang berlaku beserta tanggal pemeriksaannya. Pernyataan bahwa data tidak digunakan untuk pelatihan bukan berarti data tidak disimpan.

Apa yang perlu dinyatakan dalam klausul peninjauan hasil dan pengambilan keputusan terkait karyawan?

Pasal 6 menetapkan bahwa orang yang menggunakan keluaran bertanggung jawab untuk memeriksanya; pasal 7 memastikan keputusan tentang orang tetap dibuat oleh manusia. Keduanya harus selaras dengan persetujuan yang sudah Anda miliki, bukan menggantikannya.

Pasal 6, peninjauan keluaran: "Anda bertanggung jawab atas setiap hasil pekerjaan berbantuan AI yang Anda gunakan atau kirimkan. Sebelum digunakan, periksa fakta, angka, kutipan, dan rujukan dengan membandingkannya terhadap materi sumber atau sumber yang disebutkan dengan jelas. Hapus statistik, hasil, pernyataan dukungan, atau rujukan yang tidak dapat Anda telusuri. Pekerjaan yang biasanya ditinjau oleh [bagian hukum / bagian keuangan / manajer] tetap harus ditinjau oleh pihak tersebut."

Pasal 7, keputusan tentang orang: "Alat AI tidak boleh digunakan sebagai dasar keputusan tentang perekrutan, gaji, kinerja, tindakan disipliner, kredit, atau keluhan pelanggan. Alat tersebut boleh membantu menyusun draf atau menata materi, tetapi seseorang yang ditunjuk harus meninjau informasi yang mendasarinya dan mengambil keputusan."

Jika tim Anda menangani pekerjaan bervolume tinggi seperti membalas pertanyaan dukungan, tambahkan satu kalimat tentang pemeriksaan sampel: siapa yang memeriksa sampel balasan berbantuan AI, seberapa sering, dan apa yang dilakukan ketika muncul pola kesalahan.

Bagaimana ketentuan pengungkapan, pelaporan, dan peninjauan diterapkan?

Tiga klausul terakhir menjelaskan kapan harus memberi tahu orang lain bahwa AI digunakan, apa yang harus dilakukan ketika terjadi masalah, dan bagaimana kebijakan tetap mutakhir.

Pasal 8, pengungkapan: "Beri tahu peninjau Anda jika sebagian besar draf dibuat dengan AI. Patuhi kontrak klien serta aturan platform atau publikasi tentang konten yang dihasilkan AI. [Opsional: Gambar atau teks yang dihasilkan AI untuk pelanggan diberi label [redaksi label].]"

Pasal 9, pelaporan: "Jika informasi terbatas mungkin telah dimasukkan ke alat yang tidak disetujui, atau keluaran berbantuan AI menyebabkan atau hampir menyebabkan masalah, beri tahu [penanggung jawab] pada hari yang sama dengan menyebutkan alat, akun, dan informasi yang dibagikan. Ikuti [prosedur insiden yang berlaku] jika relevan. Pelaporan segera tidak akan dianggap sebagai pelanggaran."

Pasal 10, peninjauan: "[Penanggung jawab] meninjau kebijakan ini dan daftar alat setidaknya setiap [enam / dua belas] bulan, serta setiap kali ada perubahan pada alat, paket, kontrak, atau alur kerja. Versi [nomor], disetujui oleh [nama] pada [tanggal]."

Bagian isian mana yang memerlukan keputusan nyata?

Setiap bagian dalam tanda kurung siku adalah keputusan yang belum ditetapkan, bukan pilihan bawaan yang aman. Jadi, tandai hal yang belum diketahui untuk ditinjau, alih-alih mengisinya dengan aturan yang terdengar masuk akal. Perusahaan harus menentukan penanggung jawab kebijakan, layanan dan paket yang disetujui, tugas yang diizinkan, informasi yang dibatasi, tanggung jawab peninjauan, jalur pelaporan, dan tanggal peninjauan.

Catat alasan suatu alat disetujui untuk tugas tertentu. Pengaturan pelatihan model, penyimpanan data, kontrol akses, dan izin berdasarkan kontrak merupakan hal-hal yang terpisah. Suatu alat dapat memiliki satu penggunaan yang dapat diterima dan penggunaan lain yang memerlukan persetujuan tambahan. Pastikan perbedaan tersebut terlihat jelas dalam daftar pencatatan.

Contoh kasus yang dikerjakan: sebuah kantor jasa pembukuan fiktif dengan 18 orang mengisi klausul 5 terlebih dahulu dan mendapati bahwa mereka tidak dapat menjawabnya, karena surat perikatan dengan klien tidak menyebutkan apa pun tentang AI. Alih-alih menebak, pemilik menetapkan bahwa bahan milik klien tidak boleh digunakan hingga peninjauan selesai, langsung menyetujui penggunaan bahan publik dan internal, serta menjadwalkan pembicaraan dengan penasihatnya untuk memperbarui surat perikatan.

Apa yang perlu diperiksa oleh peninjau?

Peninjau harus memeriksa bahwa kebijakan tersebut selaras dengan proses keamanan informasi, privasi, ketenagakerjaan, dan publikasi yang sudah ada, serta tidak mengesampingkannya secara terselubung. Dokumen singkat tentang AI tidak boleh melonggarkan aturan yang sudah mengatur data rahasia atau keputusan yang berdampak penting. Peninjau yang tepat bergantung pada organisasi, alur kerja, dan yurisdiksi.

Materi Tata Kelola dalam Panduan Praktis Kerangka Manajemen Risiko AI NIST membahas peran, tanggung jawab, pelatihan, dan risiko pihak ketiga; templat ini adalah adaptasi praktis kami untuk tim kecil. Panduan ICO tentang AI dan perlindungan data adalah sumber resmi Inggris untuk pertanyaan terkait data pribadi. Halaman panduan tersebut saat ini menyatakan bahwa isinya sedang ditinjau setelah berlakunya Undang-Undang Data (Penggunaan dan Akses), jadi periksa versi terkininya. Templat ini bukan sertifikat kepatuhan atau pernyataan bahwa perusahaan Anda telah menerapkan langkah-langkah pengendalian tersebut.

Bagaimana cara memperkenalkan kebijakan kepada tim?

Perkenalkan hal ini dengan contoh dari pekerjaan Anda sendiri, bukan dengan tugas membaca. Bahas satu contoh yang diizinkan, satu contoh yang dibatasi, dan satu kasus yang belum jelas. Minta peserta menjelaskan perbedaannya dan mencari jalur eskalasi. Beri mereka waktu untuk bertanya tentang alat dan akun yang benar-benar mereka gunakan. Pernyataan telah memahami saja tidak menunjukkan bahwa seseorang mampu menerapkan batasan.

Tinjau kembali kebijakan setelah sesi praktik pertama. Tambahkan contoh yang membantu memperjelas keputusan dan perbaiki instruksi yang tidak sesuai dengan alur kerja. Cantumkan nomor versi dan penanggung jawab agar staf tahu di mana menemukan aturan terkini.

Jika Anda menginginkan latihan terstruktur, Tosheo.ai sedang dikembangkan untuk menyediakan pelajaran singkat bagi setiap peran yang diakhiri dengan tugas praktik menggunakan alat AI nyata, dinilai berdasarkan panduan penilaian yang dapat dilihat. Tosheo.ai tidak menyusun atau menyetujui kebijakan Anda.

Kapan templat umum bukan titik awal yang tepat?

Templat umum bukan titik awal yang tepat jika Anda mengintegrasikan AI ke dalam produk yang dijual, memproses data pribadi kategori khusus, menjalankan profesi yang diatur regulasi, atau memiliki kontrak yang sudah menetapkan ketentuan AI. Mulailah dari kewajiban tersebut bersama penasihat yang berkualifikasi dan gunakan struktur ini hanya sebagai daftar periksa topik.

Ini juga tidak tepat jika tidak ada yang akan bertanggung jawab atasnya. Templat yang diisi sekali dan tidak pernah ditinjau akan menjadi daftar aturan tentang alat yang sudah tidak digunakan tim. Tetapkan penanggung jawab sebelum Anda mengisi klausul 4.

Sumber dan cakupan

Panduan Praktis Kerangka Manajemen Risiko AI NIST: Tata Kelola, diperiksa 16 October 2026 ↗

ICO, Panduan tentang AI dan perlindungan data (sedang ditinjau), diperiksa 16 October 2026 ↗

ICO, Perangkat bantu penilaian risiko AI dan perlindungan data (sedang ditinjau), diperiksa pada 16 October 2026 ↗