Bayangin sebuah agency kecil di Jakarta.
Delapan orang.
Semua cepat.
Semua pakai AI.
Account executive upload brief client ke chatbot.
Designer upload foto produk ke tool lain.
Finance minta AI merangkum invoice.
HR copy CV kandidat ke assistant.
Sales memasukkan daftar prospek supaya dibuatkan follow-up.
Owner senang.
“Tim gue melek AI.”
Sampai satu hari muncul pertanyaan sederhana:
“Data client sebenarnya masuk ke mana aja?”
Ruangan mendadak hening.
Inilah versi 2026 dari shadow IT.
Bukan server gelap di basement.
Cuma browser tab.
Sign in with Google.
Upload.
Done.
Bisnis kecil perlu aturan data sebelum semua karyawan bebas memakai AI, karena masalahnya bukan niat buruk.
Masalahnya AI terlalu gampang dipakai.
Kalau friction masuk cuma satu klik, data bisa keluar sebelum bisnis sempat membuat keputusan.
Aturan pertama seharusnya tidak panjang
UMKM tidak perlu policy 40 halaman.
Mulai dengan tiga warna.
Hijau:
boleh masuk AI umum.
Contoh ide konten publik, text yang sudah public, copy generic.
Kuning:
boleh hanya di tool approved atau setelah disamarkan.
Contoh draft internal tertentu, data bisnis terbatas, report tanpa identifier.
Merah:
jangan masukkan ke tool umum tanpa approval.
Password.
OTP.
Data rekening.
KTP.
Data kesehatan.
Data finansial personal.
Database customer lengkap.
Kontrak confidential.
Secret API key.
Data client yang terikat NDA.
Selesai.
Tim sudah punya mental model.
Lebih baik satu rule yang diingat daripada dokumen legal yang tidak pernah dibuka.
UU PDP membuat ini bukan sekadar preference
Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mengatur kewajiban dalam pemrosesan data pribadi dan membedakan data pribadi umum serta spesifik.
Data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi termasuk kategori data pribadi spesifik.
UU tersebut juga mengatur kewajiban menjaga keamanan, kerahasiaan, mencegah akses tidak sah, serta menerapkan pemrosesan secara terbatas dan spesifik sesuai tujuan.
Untuk bisnis kecil, implikasinya tidak harus diterjemahkan menjadi jargon.
Cukup mulai dari habit:
jangan memproses lebih banyak data daripada yang dibutuhkan.
Jangan mengirim ke tool yang tidak jelas.
Tahu siapa yang punya akses.
Data customer bukan bahan latihan prompt.
“Kan cuma buat diringkas” tetap pemrosesan data
Ini miskonsepsi umum.
Karyawan merasa tidak sedang “membagikan data”.
Cuma upload.
Cuma summary.
Cuma minta rewrite.
Tapi data tetap masuk ke sistem lain untuk diproses.
Karena itu use case harus dilihat dari data flow.
Bukan niat.
Misalnya sales upload Excel 5.000 customer.
Tujuannya hanya:
“Kelompokkan berdasarkan kota.”
Task sederhana.
Tetap berarti dataset customer berpindah ke tool.
Padahal bisa jadi kolom nama, nomor telepon, email, alamat tidak semuanya diperlukan.
Ambil hanya kota dan ID anonim.
Itulah data minimization.
AI tidak membutuhkan semua hal hanya karena kita punya semua hal.
Tool approved harus spesifik, bukan sekadar nama brand
Satu perusahaan AI bisa punya:
produk consumer,
produk business,
API,
enterprise offering,
setting data berbeda.
Jadi rule:
“Boleh pakai Tool X”
terlalu broad.
Lebih baik:
“Untuk data internal, gunakan workspace perusahaan, bukan akun personal.”
Atau:
“Tool ini hanya untuk public content.”
Atau:
“Client data tidak boleh masuk tanpa approval.”
Operational.
Karyawan tidak perlu menerjemahkan privacy policy sendiri setiap kali bekerja.
Owner atau PIC membuat keputusan tool.
Tim mengikuti.
Ini juga mengurangi chaos account.
Shadow AI paling sering muncul karena bisnis tidak memberi alternatif
Kalau owner cuma bilang:
“Jangan pakai AI untuk data client.”
Tapi staf harus merangkum 200 halaman dokumen besok pagi, apa yang terjadi?
Mereka mungkin tetap pakai.
Diam-diam.
Karena kebutuhan kerja ada.
Governance yang sehat bukan hanya melarang.
Ia memberi jalur approved.
Tool resmi.
Cara redact.
Siapa yang bisa ditanya.
Workflow aman.
Kalau use case belum boleh, jelaskan kenapa.
Kalau perlu exception, ada process.
Policy yang terlalu keras tanpa solusi membuat shadow AI pindah dari layar terlihat ke tab incognito.
Bukan kemenangan.
Share minimum context
Salah satu skill AI literacy paling penting 2026 sebenarnya bukan prompting.
Redaction.
Customer complaint bisa dianalisis tanpa:
nama lengkap,
nomor telepon,
alamat,
nomor order lengkap.
Ganti:
Customer A.
Order 001.
Produk X.
Kalau task hanya memperbaiki tone email, bahkan data bisnis detail mungkin tidak perlu.
Kita terlalu sering copy seluruh thread karena malas memilih.
AI membuat copy-paste besar sangat mudah.
Data discipline harus menjadi counterbalance.
Sebelum paste, tanya:
“Model butuh tahu ini untuk menyelesaikan tugas?”
Kalau tidak, buang.
Akun personal adalah risk yang sering diremehkan
Karyawan memakai akun AI pribadi.
Upload file kantor.
Besok resign.
History masih di akun mereka.
Bisnis tidak punya control.
Tidak tahu apa yang tersimpan.
Tidak bisa revoke secara central.
Ini problem.
Untuk use case kerja yang menyentuh data internal, account perusahaan lebih masuk akal jika tersedia dan sesuai kebutuhan.
At least bisnis punya visibility.
Access bisa dicabut.
Billing jelas.
Policy bisa diterapkan.
Tidak semua UMKM harus membeli enterprise plan mahal.
Tapi jangan campur data sensitif bisnis dengan akun personal tanpa pertimbangan.
Convenience hari ini bisa menjadi headache saat offboarding.
Permission Google Drive sering terlalu mudah diberikan
Klik “Connect Drive”.
Selesai.
Assistant sekarang mungkin punya akses lebih luas daripada yang dibutuhkan.
User merasa hanya ingin membuka satu file.
Permission bisa menyentuh folder lebih besar.
Baca scope.
Kalau bisa pilih folder specific, pilih.
Least privilege.
Hal yang sama untuk Gmail.
Calendar.
Slack.
CRM.
Agentic AI makin powerful karena bisa connect ke system.
Semakin banyak connector, semakin besar blast radius.
Bisnis kecil tidak boleh menganggap integration sama dengan izin tanpa batas.
Setiap koneksi adalah pintu.
Pintu harus punya kunci.
AI agent membuat aturan data makin urgent
Chatbot hanya menjawab.
Agent bisa bertindak.
Membaca.
Mengirim.
Mengubah.
Membeli.
Menjadwalkan.
OpenAI dan Anthropic pada 2026 sama-sama menekankan pentingnya controls, guardrails, access boundary, approval, dan audit ketika agent mendapat kemampuan melakukan tindakan.
Ini bukan problem enterprise saja.
UMKM bisa lebih vulnerable karena satu account owner sering punya akses ke semuanya.
Email.
Drive.
Bank notification.
Marketplace.
CRM.
Kalau agent punya credential terlalu luas, satu mistake bisa punya impact besar.
Jadi aturan data harus berpasangan dengan aturan action.
Boleh baca apa?
Boleh mengubah apa?
Kapan harus minta approval?
Audit bisa sederhana
Setiap bulan, cek:
tool AI apa yang dipakai?
siapa yang punya account?
data apa yang pernah dimasukkan?
connector apa yang aktif?
staff yang sudah keluar sudah dicabut?
Ada subscription lupa?
Tidak perlu software governance khusus.
Spreadsheet pun cukup.
Tujuannya visibility.
Yang tidak terlihat tidak bisa dijaga.
Bisnis kecil justru punya advantage.
Tim sedikit.
Audit lebih gampang.
Jangan menunggu jadi 100 orang baru membuat daftar.
Saat baru delapan orang adalah momen paling murah untuk membangun habit.
Training jangan cuma “AI bisa hallucinate”
Karyawan sudah sering dengar.
Buat training berbasis scenario.
“Boleh upload CV kandidat?”
“Boleh paste complaint customer?”
“Boleh upload screenshot dashboard bank?”
“Boleh connect seluruh Drive?”
“Boleh minta AI balas kontrak client?”
Diskusikan.
Jawab.
Buat example.
Policy menjadi konkret.
Orang lebih mudah ingat situasi daripada definisi.
Dan beri safe alternative.
Kalau CV perlu diringkas, mungkin gunakan tool approved dan minimalkan data.
Kalau dashboard bank perlu dianalisis, export field yang relevan.
Kalau kontrak confidential, pakai environment yang memang disetujui atau jangan upload.
Risk-based, bukan fear-based.
Jakarta small business sering bergerak terlalu cepat untuk policy formal
Client minta revisi jam 5.
Jam 7 harus kirim.
Staf pakai apa pun yang paling cepat.
Itu real.
Makanya rule harus masuk workflow.
Bukan ada di folder “Legal”.
Misalnya sebelum upload muncul checklist internal:
public?
internal?
personal data?
client confidential?
approved tool?
Lima detik.
Ini cukup membantu.
Governance yang terlalu berat akan dilewati.
Governance yang terlalu ringan tidak melindungi.
Cari sweet spot.
Data incident juga butuh jalur report
Kalau staf salah upload file sensitif, jangan buat culture:
“Waduh, jangan bilang owner.”
Lebih cepat report, lebih cepat tindakan.
Cabut share.
Delete jika memungkinkan.
Hubungi vendor jika perlu.
Change credential.
Assess impact.
Kesalahan bisa terjadi.
Yang berbahaya adalah menyembunyikan.
Buat channel:
“Kalau salah masukin data, lapor sekarang. Kita bereskan.”
Accountability bukan berarti humiliation.
Bisnis yang belajar dari incident lebih aman daripada bisnis yang pura-pura tidak pernah salah.
Aturan data bukan musuh produktivitas
Sering ada false choice:
mau cepat atau aman?
Padahal rule yang jelas justru mempercepat.
Karyawan tidak perlu bertanya setiap saat.
Mereka tahu:
public content, gas.
Customer list, jangan.
Internal draft, gunakan workspace A.
Data sangat sensitif, minta approval.
Clarity mengurangi hesitation.
Security mature bukan membuat semua orang takut klik.
Ia membuat orang tahu klik mana yang aman.
Bisnis kecil tidak perlu menunggu punya DPO, CISO, atau tim legal besar untuk mulai bertanggung jawab.
Mulai dari hal paling praktis:
daftar tool,
klasifikasi data,
account kerja,
minimum access,
redaction,
approval untuk action sensitif,
offboarding,
incident reporting.
Tujuh hal.
Sudah jauh lebih baik daripada free-for-all.
AI akan terus makin gampang dipakai.
Karyawan tidak akan berhenti menemukan tool baru.
Jadi tujuan bisnis bukan mengawasi setiap tab browser.
Tujuannya membangun judgment bersama tentang data.
Sebelum tekan upload, orang tahu harus mikir satu detik.
Data siapa ini?
Kenapa perlu dikirim?
Ke mana?
Kalau tiga pertanyaan itu menjadi habit, bisnis sudah punya fondasi yang jauh lebih kuat daripada sekadar tulisan besar di kantor:
“DILARANG MEMBOCORKAN DATA.”
Aturan yang hidup selalu lebih berguna daripada poster.
Ada satu indikator policy sehat: staf berani bertanya sebelum upload tanpa merasa dianggap gaptek.
Kalau culture membuat pertanyaan security terasa merepotkan, orang akan diam-diam mengambil keputusan sendiri.
Owner perlu membuat ruang:
“Kalau ragu, tanya.”
Bukan:
“Kok ini aja nggak tahu?”
AI bergerak terlalu cepat untuk semua orang hafal semua aturan.
Judgment kolektif lebih realistis daripada mengharapkan setiap karyawan menjadi privacy lawyer.
Bacaan terkait
Artikel ini berada dalam UMKM & Entrepreneurship dan mengikuti metodologi editorial Undercover.id. Format terkait tersedia di Explainer teknologi dan kebijakan digital.