“Mulai sekarang coba manfaatkan AI ya.”

Kalimatnya pendek.

Niatnya bagus.

Perusahaan ingin lebih produktif.

Tim ingin lebih cepat.

Karyawan juga sebenarnya penasaran.

Masalahnya, instruksi itu sering berhenti di sana.

Nggak ada yang menjelaskan data apa yang boleh dimasukkan.

Data apa yang harus disamarkan.

Dokumen apa yang dilarang.

Tool mana yang approved.

Akun pribadi boleh atau nggak.

Output AI boleh langsung dikirim ke client atau tetap harus direview.

Akhirnya yang terjadi bukan transformasi AI.

Yang terjadi adalah improvisasi massal.

Satu orang upload proposal client.

Orang lain paste daftar customer.

Ada yang masukin draft kontrak.

Ada yang cuma pakai data publik.

Ada yang sama sekali nggak berani pakai karena takut salah.

Semua orang menerima instruksi yang sama.

Praktiknya beda total.

Masalah terbesar bukan orang tidak mau pakai AI

Banyak perusahaan mengira tantangannya adalah adoption.

“Karyawan kita masih takut AI.”

Kadang benar.

Tapi di banyak kantor, orang justru sudah pakai.

Mereka cuma nggak tahu boundary-nya.

Ini lebih berbahaya.

Kalau perusahaan secara resmi bilang “ayo pakai AI” tapi tidak memberi data rule, employee akan menyimpulkan sendiri.

Dan employee bukan data governance officer.

Mereka sedang dikejar deadline.

Kalau harus bikin proposal jam empat sore, pertanyaan yang muncul bukan:

“Apakah file ini termasuk confidential information berdasarkan policy section 4.2?”

Pertanyaannya:

“Bisa beres nggak sebelum jam lima?”

Di titik itu, convenience menang.

Kalau tool bisa merangkum dokumen 60 halaman, orang akan tergoda upload.

Apalagi kalau nggak ada rule yang jelas.

Shadow AI sering lahir bukan karena niat buruk.

Ia lahir karena policy kosong.

Data classification yang terlalu rumit juga nggak menolong

Beberapa perusahaan sebenarnya sudah punya data classification.

Public.

Internal.

Confidential.

Restricted.

Highly restricted.

Personal data.

Sensitive personal data.

Customer proprietary.

Legal privileged.

Masalahnya, employee tidak selalu bisa menghubungkan kategori itu ke penggunaan AI sehari-hari.

Misalnya ada spreadsheet berisi nama client, revenue, dan status project.

Masuk kategori apa?

Kalau nama client sudah publik tapi revenue confidential, file ini boleh atau nggak?

Atau ada deck sales yang berisi informasi umum plus satu slide pricing khusus.

Boleh upload sebagian?

Kalau disamarkan dulu?

Pertanyaan seperti ini terlalu granular untuk dijawab lewat policy 30 halaman.

Perusahaan perlu menerjemahkan classification ke rule praktis.

Contoh:

Data publik boleh dipakai di approved AI.

Data internal boleh dipakai hanya di enterprise AI yang sudah disetujui.

Data client, personal data, financial detail, legal document, credential, atau source code sensitif punya restriction lebih ketat.

Kalau ragu, jangan upload file mentah.

Gunakan synthetic example atau potongan yang sudah disamarkan.

Bahasa seperti ini lebih usable.

Employee tidak perlu jadi lawyer.

Rule harus bisa dipakai saat kerja.

Akun pribadi adalah blind spot paling umum

Bayangin employee punya akun AI premium sendiri.

Sudah biasa.

Fast.

History lengkap.

Dia sedang bekerja dari coffee shop di Cikini.

Laptop kantor.

File kantor.

AI account pribadi.

Secara psikologis, semuanya terasa satu workflow.

Tapi secara governance, boundary-nya beda.

Perusahaan mungkin punya enterprise agreement dengan vendor tertentu.

Data di company account mungkin punya perlindungan berbeda.

Retention berbeda.

Training policy berbeda.

Admin control berbeda.

Akun pribadi belum tentu.

Employee sering tidak tahu perbedaan itu.

Makanya rule “boleh pakai AI” harus menyebut account context.

Bukan cuma nama tool.

Tool yang sama bisa punya risk profile berbeda antara consumer account dan enterprise environment.

Perusahaan harus menjelaskan.

Kalau tidak, employee merasa selama brand tool-nya approved, semua penggunaan aman.

Padahal belum tentu.

Data paling sensitif sering justru masuk karena task-nya terasa sepele

Ini yang tricky.

Orang jarang sengaja bilang:

“Gue mau upload rahasia perusahaan.”

Mereka melakukan task kecil.

“Bantu rapihin email ini.”

Email ternyata menyebut nilai kontrak.

“Bantu ringkas CV ini.”

CV punya data pribadi.

“Bantu cari bug dari log ini.”

Log berisi credential atau user data.

“Bantu bikin summary meeting.”

Meeting membahas merger.

Task-nya mundane.

Datanya tidak.

AI governance harus fokus pada content, bukan task name.

Karena “merapikan tulisan” bisa low risk atau high risk tergantung apa yang dirapikan.

Ini juga alasan training perlu menggunakan contoh nyata.

Bukan hanya definisi.

Employee belajar lebih cepat lewat scenario.

“Kalau dokumen seperti ini, boleh.”

“Kalau ada bagian ini, jangan.”

“Kalau sudah disamarkan, aman di environment ini.”

Semakin konkret, semakin sedikit improvisasi.

Bos juga perlu bertanggung jawab pada ambiguity

Sering kali employee disalahkan kalau ada misuse.

Padahal organisasi yang memberi instruksi kabur juga punya tanggung jawab.

Kalau manajemen berkata “semua tim harus memakai AI” lalu KPI adoption dimasukkan ke target, employee akan mencari cara memenuhi target.

Kalau guardrail belum siap, risiko naik.

Jadi leadership tidak boleh hanya mendorong penggunaan.

Mereka harus menyediakan operating condition.

Tool.

Policy.

Training.

Data boundary.

Approval process.

Support.

Kalau tidak, “gunakan AI” cuma jadi pressure.

Bukan capability.

Ini mirip menyuruh semua orang mengemudi lebih cepat tanpa menetapkan batas kecepatan.

Pasti ada yang akhirnya salah.

Approved tool list saja belum cukup

Perusahaan kadang merasa selesai setelah membuat daftar.

ChatGPT approved.

Gemini approved.

Tool lain tidak.

Masalahnya, penggunaan tetap bisa berisiko.

Employee bisa memasukkan data sensitif ke tool approved.

Atau memberi agent akses terlalu luas.

Atau mengirim output tanpa review.

Jadi governance tidak boleh hanya berbasis vendor.

Harus ada dua lapisan.

Tool mana yang boleh.

Data dan action apa yang boleh.

Misalnya approved AI boleh membaca dokumen internal tertentu.

Tapi tidak boleh menyimpan credential.

Boleh membuat draft.

Tidak boleh otomatis mengirim payment instruction.

Boleh merangkum customer call.

Tidak boleh membuat keputusan kredit tanpa human review.

Vendor approval adalah pintu masuk.

Bukan seluruh rumah.

Perusahaan perlu jalur bertanya yang cepat

Policy tidak akan pernah menjawab semua case.

Akan selalu ada area abu-abu.

Kalau employee menemukan use case baru, harus ada tempat bertanya.

Dan tempat itu harus cepat.

Kalau jawaban butuh dua minggu, orang akan jalan sendiri.

Bisa lewat Slack channel.

Form.

Internal helpdesk.

AI governance owner.

Security representative.

Yang penting response time masuk akal.

Misalnya:

“Gue mau upload 100 transcript interview customer ke tool ini untuk analisis tema. Aman nggak?”

Ini use case bagus.

Tapi ada data personal.

Perlu mungkin anonymization.

Environment tertentu.

Retention rule.

Kalau perusahaan bisa memberi jawaban dua hari, tim jalan aman.

Kalau tiga minggu, project sudah selesai pakai cara lain.

Governance yang terlalu lambat mengajarkan employee untuk bypass.

Data minimization jauh lebih praktis daripada paranoia

Kadang solution paling bagus bukan “boleh atau tidak”.

Tapi “berapa sedikit data yang sebenarnya dibutuhkan?”

Misalnya AI diminta membantu membuat email follow-up.

Tidak perlu seluruh thread lima tahun.

Cukup bagian relevan.

AI diminta merangkum complaint customer.

Mungkin nama customer tidak diperlukan.

Bisa diganti.

AI diminta analisis pola ticket.

Mungkin cukup category dan text yang sudah de-identified.

Data minimization membuat banyak use case jadi aman tanpa mengorbankan productivity.

Ini skill yang perlu diajarkan.

Jangan selalu upload file utuh.

Jangan selalu paste seluruh database.

Ambil context minimum.

Sama seperti kita tidak memberi seluruh lemari dokumen ke freelancer hanya untuk memperbaiki satu paragraf.

AI seharusnya diperlakukan dengan disiplin yang sama.

Output juga bisa membawa data keluar

Perusahaan sering fokus pada input.

Jangan upload ini.

Jangan paste itu.

Padahal output juga risk.

AI bisa menggabungkan informasi internal menjadi sesuatu yang tidak boleh dikirim keluar.

Misalnya employee meminta AI membuat proposal dari strategi internal.

Output terlihat bagus.

Lalu dikirim ke vendor.

Tanpa sadar ada detail pricing, margin, atau roadmap.

Jadi human review tetap penting.

AI bukan data loss prevention system.

Ia bisa membantu memproses informasi, tapi user tetap harus menilai audience.

Siapa yang akan menerima output?

Apa semua informasi pantas keluar?

Ini harus menjadi kebiasaan.

Bukan paranoia.

Sama seperti sebelum forward email.

Kita cek recipient.

Sebelum forward AI output, cek content.

Data policy terbaik terasa seperti traffic sign

Traffic sign bagus karena sederhana.

Merah berhenti.

Hijau jalan.

Kita tidak membaca peraturan lalu lintas 200 halaman setiap mau belok.

AI policy ideal juga begitu.

Ada green zone.

Yellow zone.

Red zone.

Green: data publik dan task low-risk.

Yellow: internal data, perlu approved environment dan review.

Red: credential, highly sensitive data, legal privilege, material non-public information, kategori tertentu yang tidak boleh masuk external AI.

Tentu detail tiap perusahaan beda.

Tapi format seperti ini lebih usable.

Employee bisa mengambil keputusan cepat.

Legal tetap punya policy lengkap di belakang.

Operasional punya rule sederhana di depan.

Perusahaan yang berhasil mengadopsi AI bukan yang policy-nya paling tebal.

Yang berhasil adalah yang employee-nya paling sedikit harus menebak.

Jangan paksa orang memilih antara cepat dan aman

Kalau workflow aman terlalu ribet, orang akan memilih cepat.

Ini hukum manusia.

Jadi enterprise AI harus didesain agar cara aman juga cara termudah.

SSO.

Approved connector.

No manual upload kalau bisa integration.

Access control otomatis.

Redaction.

Data classification integration.

Prompt warning.

Audit.

Semakin banyak safety embedded ke system, semakin sedikit reliance pada discipline individu.

Employee tetap perlu training.

Tapi jangan berharap semua orang selalu ingat.

System design harus membantu.

Kita nggak mengandalkan employee mengingat untuk mengenkripsi semua network traffic.

HTTPS otomatis.

AI governance juga perlu bergerak ke arah itu.

Automation safety lebih kuat daripada poster.

Manajer harus tahu data team mereka

Ada masalah lain.

Kadang manager mendorong AI tapi tidak memahami data yang dipakai tim.

Marketing punya customer data.

HR punya employee data.

Finance punya financial data.

Legal punya privileged document.

Developer punya source code dan logs.

Satu policy tidak cukup detail untuk semua.

Setiap function perlu map sederhana.

Data apa yang mereka punya.

Use case AI apa yang paling umum.

Risk apa.

Tool mana.

Approval apa.

Ini bisa dibuat satu jam workshop.

Tidak perlu consulting project raksasa.

Yang penting hasilnya usable.

“Tim sales boleh memasukkan transcript call yang sudah disetujui ke enterprise AI.”

“Customer list tidak boleh masuk consumer AI.”

“Proposal draft harus di-review sebelum dikirim.”

Rule function-level seperti ini jauh lebih dekat ke kerja nyata.

Bos yang bilang “pakai AI” sebenarnya membuka pintu

Begitu manajemen mendorong AI, organisasi secara moral juga harus siap menjawab konsekuensinya.

Bukan fair kalau company mengejar productivity gain tapi seluruh risk dibebankan ke employee.

Perusahaan menikmati output.

Maka perusahaan harus menyediakan governance.

Tool yang aman.

Clarity.

Support.

Training.

Monitoring.

Kalau tidak, employee berada di posisi absurd.

Disuruh pakai.

Tapi kalau salah, disalahkan.

Kondisi itu membuat orang akhirnya memilih dua ekstrem.

Terlalu berani.

Atau tidak pakai sama sekali.

Keduanya tidak optimal.

Adopsi AI yang sehat butuh rasa aman untuk bereksperimen

Employee harus tahu bahwa mereka boleh mencoba dalam boundary tertentu.

Tidak perlu takut setiap prompt melanggar policy.

Kalau boundary jelas, experimentation lebih cepat.

“Data publik? Gas.”

“Data internal? Pakai enterprise account.”

“Data sensitif? Stop, cek dulu.”

Ini membuat AI literacy tumbuh.

Orang belajar.

Organization belajar.

Use case baru muncul.

Kalau semua abu-abu, orang lebih sibuk takut daripada produktif.

Di 2026, banyak perusahaan mungkin masih menganggap AI policy sebagai dokumen legal.

Padahal fungsi utamanya jauh lebih sederhana.

Membantu orang bekerja tanpa harus menebak.

Bos boleh bilang:

“Pakai AI.”

Tapi kalimat itu harus diikuti kalimat lain:

“Ini tool yang kita izinkan, ini data yang boleh masuk, ini yang jangan, dan kalau lo ragu, tanya ke sini.”

Kalau empat hal itu belum ada, perusahaan belum benar-benar mengadopsi AI.

Mereka cuma memindahkan keputusan keamanan ke masing-masing karyawan.

Dan itu bukan strategi.

Itu lempar tanggung jawab.