Menggunakan AI di Pekerjaan Tanpa Membocorkan Data Perusahaan

Kebanyakan perusahaan sekarang memiliki karyawan yang menempel dokumen internal, kode, dan data pelanggan ke ChatGPT, Claude, atau Copilot setiap hari, sering tanpa siapa pun memberikan persetujuan. Masalahnya bukan AI itu sendiri. Ini tentang kebiasaan default yang orang bawa ke tools ini memperlakukan mereka seperti notepad pribadi, padahal kenyataannya Anda mengirim data ke server pihak ketiga dengan terms of service yang sebagian besar orang tidak pernah baca.

Ketahui apa yang benar-benar terjadi pada input Anda

Baca terms penggunaan data untuk tools apapun yang Anda gunakan sebelum Anda menganggap apa pun. ChatGPT tier konsumen (free dan Plus plans) mungkin menggunakan percakapan untuk melatih model di masa depan kecuali Anda opt out di settings. ChatGPT Enterprise dan Team plans, bersama dengan API, umumnya tidak melatih pada data Anda secara default dan menawarkan jaminan kontrak yang lebih kuat. Pembagian yang sama berlaku untuk Claude (konsumen vs. Claude for Work/API) dan Gemini. Perbedaan antara "akun personal gratis" dan "akun bisnis dengan data processing agreement" adalah faktor tunggal terbesar dalam risiko aktual Anda, dan ini adalah yang paling sering dilewatkan orang.

Jika perusahaan Anda tidak membeli tier enterprise untuk AI tool apapun, asumsikan setiap prompt yang Anda ketik ke chatbot tier gratis bisa berakhir ditinjau oleh human trainer atau tertanam dalam model di masa depan. Itu bukan paranoia, itu pembacaan langsung dari sebagian besar consumer terms of service.

Hapus data sebelum Anda menempel

Sebelum menempel apa pun ke prompt, tanyakan apa yang akan terjadi jika teks persis ini muncul di headline data breach besok. Jika jawabannya buruk, redaksi terlebih dahulu. Secara konkret:

• Ganti nama pelanggan nyata, email, dan account ID dengan placeholder (CUSTOMER_A, user@example.com) sebelum meminta bantuan draft respons.
• Hapus API keys, tokens, dan internal hostnames dari code snippets. grep -riE "(api[_-]?key|secret|token|password)" cepat di file yang akan Anda tempel menangkap sebagian besar leak yang jelas.
• Ringkas bentuk masalah alih-alih menempel file proprietary utuh. "Saya memiliki fungsi yang rate-limits requests per user menggunakan sliding window, dan itu menghilangkan request yang legitimate di bawah traffic bursty" memberi Anda bantuan berguna tanpa menyerahkan algorithm aktual Anda.
• Untuk contracts, financials, atau apa pun di bawah NDA, jangan gunakan general-purpose chat tools sama sekali kecuali tim legal Anda telah secara eksplisit memberikan izin tool itu untuk data class itu.

Siapkan guardrails yang benar-benar akan diikuti tim Anda

Kebijakan yang tidak dibaca siapa pun diabaikan. Kebijakan yang pas ke workflow yang ada diikuti. Beberapa hal yang bekerja dalam praktik:

• Minta IT menyediakan akun AI business-tier (ChatGPT Team, Claude for Work, Microsoft Copilot dengan M365 tenant Anda) sehingga opsi default untuk karyawan adalah yang lebih aman, bukan public gratis.
• Gunakan browser extensions atau DLP (data loss prevention) tools seperti Microsoft Purview atau Nightfall untuk flagging ketika seseorang tentang untuk menempel sesuatu yang terlihat seperti secret atau PII ke web form. Banyak perusahaan sudah memiliki DLP untuk email; perpanjangan rules yang sama ke browser input ke AI sites adalah langkah natural berikutnya.
• Tulis one-page policy yang mengatakan, dalam bahasa polos, tools mana yang approved untuk data classes mana. "Public documentation dan open-source code: any tool. Customer PII, financials, source code untuk proprietary systems: enterprise-tier tools hanya, atau tidak sama sekali." Spesifik dan singkat lebih baik daripada panjang dan vague.
• Untuk code khususnya, tentukan apakah GitHub Copilot atau alternatif self-hosted (seperti local Code Llama atau StarCoder deployment) lebih masuk akal untuk repos paling sensitif Anda. Copilot Business memungkinkan Anda mengecualikan repos spesifik dari suggestions dan memiliki code-matching filters untuk mengurangi kemungkinan mengulang snippets berlisensi.

Perhatikan leak paths yang licik

Direct copy-paste bukan satu-satunya risiko. Browser extensions yang meringkas pages bisa diam-diam mengirim apapun di screen Anda, termasuk internal dashboards, ke remote API. AI-powered note-taking bots yang bergabung dengan video calls Anda (Otter.ai, Fireflies, dll.) merekam dan mentranskrip segalanya yang dikatakan, termasuk apa pun yang confidential disebutkan secara kebetulan. Sebelum menambahkan ini ke meeting, tanyakan apakah semua orang di ruangan baik-baik saja dengan third-party service memegang transcript percakapan itu, dan apakah retention policy vendor cocok dengan data handling rules perusahaan Anda.

Periksa plugin atau connectors apa yang enabled di AI chat client Anda juga. Beberapa membiarkan model browse web atau akses connected apps seperti Google Drive, yang bisa pull lebih banyak context daripada yang Anda maksudkan untuk share.

Bangun kebiasaan, bukan hanya policy

Tujuannya bukan zero AI use, ini tentang AI use di mana semua orang memperlakukan input box seperti external email ke vendor, karena itu secara fungsional apa itu. Setelah mental model itu melekat, sebagian besar perilaku risky berhenti dengan sendirinya.

Untuk lebih banyak tentang ini, lihat segments Korra Studio pada data security fundamentals dan practical AI tooling untuk engineering teams.