HARIANEXPRESS, JAKARTA – Pengguna perlu menghindari memasukkan kata sandi, dokumen identitas, data keuangan, informasi kesehatan, dan rahasia perusahaan ke chatbot AI publik.
Chatbot berbasis kecerdasan artifisial semakin sering digunakan untuk menyusun surat, meringkas dokumen, menerjemahkan teks, hingga memeriksa kode program.
Namun, kemudahan tersebut dapat mendorong pengguna membagikan informasi sensitif tanpa mempertimbangkan tempat penyimpanan, masa retensi, serta pihak yang mungkin mempunyai akses terhadap data.
Data yang dikirim ke chatbot tidak selalu langsung menjadi informasi publik. Perlakuannya bergantung pada layanan, jenis akun, pengaturan privasi, dan kebijakan penyedia. Meski demikian, pengguna sebaiknya memperlakukan chatbot publik seperti layanan pihak ketiga, bukan ruang penyimpanan pribadi.
Panduan Australian Cyber Security Centre menyebutkan bahwa sebagian penyedia AI dapat menggunakan data yang dikirim pengguna untuk pengembangan atau pelatihan sistem, bergantung pada pengaturan dan jenis langganannya. Pengguna karena itu perlu memeriksa konfigurasi, ketentuan layanan, dan kebijakan privasi sebelum mengunggah data.
Berikut jenis data yang sebaiknya tidak dimasukkan ke chatbot AI.
1. Kata Sandi, PIN, dan Kode OTP
Jangan pernah mengirimkan kata sandi, PIN kartu, kode OTP, kode pemulihan akun, maupun jawaban pertanyaan keamanan kepada chatbot.
Larangan tersebut juga berlaku ketika pengguna hanya meminta AI memeriksa keamanan kata sandi. Untuk menguji kekuatan kata sandi, gunakan contoh fiktif dengan pola serupa, bukan kredensial asli.
Jika telanjur memasukkannya, segera:
- Ganti kata sandi terkait.
- Keluar dari seluruh sesi perangkat.
- Aktifkan autentikasi dua faktor.
- Buat ulang kode pemulihan jika tersedia.
- Periksa aktivitas masuk yang tidak dikenali.
2. Dokumen Identitas Pribadi
Foto atau salinan KTP, kartu keluarga, paspor, SIM, NPWP, akta kelahiran, dan kartu identitas pegawai mengandung data yang dapat mengidentifikasi seseorang secara langsung.
Dokumen semacam ini tidak seharusnya diunggah hanya untuk meminta AI mengetik ulang, memperbaiki format, atau menjelaskan isinya.
Selain nama dan nomor identitas, pengguna perlu memperhatikan foto wajah, tanda tangan, alamat, tanggal lahir, kode batang, dan kode QR yang terdapat pada dokumen.
Jika membutuhkan bantuan AI untuk menyusun formulir, mintalah contoh format kosong. Isilah data sebenarnya secara lokal setelah hasilnya disalin dari chatbot.
3. Informasi Rekening dan Pembayaran
Nomor rekening lengkap, nomor kartu debit atau kredit, kode keamanan kartu, masa berlaku, bukti transfer, dan riwayat transaksi tidak boleh dimasukkan ke chatbot publik.
Tangkapan layar aplikasi perbankan juga dapat mengungkap nama, saldo, nomor rekening, penerima pembayaran, serta informasi transaksi lainnya.
Apabila ingin meminta AI mengelompokkan pengeluaran, ubah datanya menjadi kategori dan angka tanpa identitas. Contohnya, ganti nama toko, nomor rekening, dan keterangan transfer dengan istilah umum seperti “belanja”, “transportasi”, atau “tagihan”.
Jika data kartu atau rekening telanjur terkirim, hubungi bank untuk memperoleh penanganan yang sesuai. Jangan hanya menghapus percakapan lalu menganggap risikonya selesai.
4. Rekam Medis dan Informasi Kesehatan
Hasil pemeriksaan laboratorium, diagnosis, resep, rekam medis, kondisi kesehatan mental, serta informasi mengenai kehamilan atau penyakit tertentu tergolong data yang sangat sensitif.
Pengguna dapat bertanya mengenai informasi kesehatan secara umum, tetapi sebaiknya menghilangkan nama, nomor pasien, alamat, fasilitas kesehatan, tanggal pemeriksaan, dan identitas tenaga medis.
Otoritas privasi Australia memberikan contoh risiko ketika informasi kesehatan dan kondisi keluarga seseorang dimasukkan ke chatbot publik untuk membantu pengambilan keputusan. Setelah data pribadi dikirim, pengguna dapat kesulitan melacak, mengendalikan, atau menghapus penggunaannya.
Jawaban AI juga tidak boleh dijadikan satu-satunya dasar untuk diagnosis atau perubahan pengobatan. Chatbot dapat menghasilkan informasi yang terdengar meyakinkan tetapi tidak akurat.
5. Data Pelanggan, Pasien, Siswa, dan Pegawai
Data milik orang lain tidak otomatis boleh dimasukkan ke chatbot hanya karena pengguna memiliki akses terhadapnya dalam pekerjaan.
Daftar pelanggan, nomor telepon, alamat surel, data absensi, nilai siswa, berkas lamaran kerja, evaluasi pegawai, keluhan konsumen, serta informasi pasien perlu dilindungi.
Otoritas privasi merekomendasikan agar organisasi tidak memasukkan informasi pribadi, terutama informasi sensitif, ke layanan AI generatif yang tersedia untuk umum. Organisasi juga perlu memahami siapa yang dapat mengakses data serta bagaimana informasi tersebut diproses.
Mengganti nama saja belum tentu cukup. Usia, jabatan, lokasi, tanggal kejadian, kondisi kesehatan, dan rincian keluarga dapat digabungkan untuk mengenali seseorang.
6. Rahasia Perusahaan dan Dokumen Internal
Rencana bisnis, data penjualan, laporan keuangan yang belum dipublikasikan, strategi pemasaran, hasil rapat, daftar pemasok, rancangan produk, dan dokumen akuisisi tidak seharusnya dikirim ke chatbot publik.
Hal yang sama berlaku untuk kontrak dengan klausul kerahasiaan, laporan audit internal, hasil investigasi, dan materi yang hanya boleh diakses oleh orang tertentu.
Pegawai perlu mengikuti kebijakan penggunaan AI dari perusahaan. Jika belum ada kebijakan, mintalah keputusan dari atasan atau pengelola keamanan informasi sebelum memakai AI untuk menangani dokumen internal.
7. Kode Program yang Mengandung Kunci Rahasia
Pengembang sering menggunakan AI untuk mencari kesalahan dalam kode. Masalah muncul ketika potongan kode memuat kunci API, token akses, alamat server internal, kredensial basis data, atau informasi konfigurasi produksi.
Sebelum menempelkan kode ke chatbot, hapus seluruh rahasia dan ganti dengan penanda seperti:
API_KEY=[DIHAPUS]
DATABASE_PASSWORD=[DIHAPUS]
SERVER_ADDRESS=[INTERNAL]Jika kunci rahasia sudah telanjur terkirim, menghapus percakapan saja tidak cukup. Cabut atau rotasi kunci tersebut, kemudian periksa catatan penggunaan untuk mendeteksi akses yang mencurigakan.
8. Dokumen Hukum dan Informasi Perkara
Surat perjanjian, dokumen sengketa, komunikasi dengan penasihat hukum, laporan pemeriksaan, serta bukti perkara dapat memuat informasi pribadi dan rahasia.
Pengguna dapat meminta AI membuat struktur surat atau menjelaskan istilah hukum secara umum. Namun, nama pihak, nomor perkara, alamat, tanda tangan, nilai transaksi, dan kronologi sensitif harus dihapus terlebih dahulu.
Untuk perkara yang berisiko menimbulkan konsekuensi hukum, konsultasikan dokumen kepada tenaga profesional yang berwenang. Chatbot tidak mengetahui seluruh fakta dan tidak menggantikan nasihat hukum.
9. Identitas Narasumber Rahasia
Bagi wartawan dan pengelola media, identitas narasumber rahasia, rekaman wawancara sensitif, dokumen embargo, serta naskah investigasi yang belum terbit tidak boleh dimasukkan ke chatbot publik.
Nama samaran belum tentu cukup jika isi percakapan mencantumkan jabatan, lokasi kerja, waktu pertemuan, atau detail kasus yang dapat mengarah kepada identitas narasumber.
Gunakan AI hanya setelah informasi yang dapat mengenali narasumber dihilangkan dan penggunaannya sesuai dengan kebijakan redaksi.
10. Foto yang Menampilkan Informasi Pribadi
Sebuah foto dapat mengandung lebih banyak informasi daripada yang terlihat sekilas. Latar belakangnya mungkin memperlihatkan kartu identitas, alamat rumah, layar komputer, plat kendaraan, wajah anak, atau dokumen pekerjaan.
Berkas foto juga dapat menyimpan metadata, seperti waktu pengambilan, jenis perangkat, dan dalam kondisi tertentu lokasi.
Sebelum mengunggah gambar, potong bagian yang tidak diperlukan, buramkan informasi sensitif, dan hapus metadata apabila memungkinkan.
Cara Aman Memanfaatkan Chatbot AI
Pengguna tidak harus berhenti memakai chatbot. Risiko dapat dikurangi dengan prinsip memasukkan data seminimal mungkin.
Beberapa langkah yang dapat diterapkan adalah:
- Gunakan nama, nomor, dan kasus fiktif.
- Hapus identitas langsung maupun tidak langsung.
- Kirim hanya bagian dokumen yang diperlukan.
- Jangan mengunggah seluruh berkas jika satu paragraf sudah cukup.
- Periksa pengaturan penyimpanan riwayat dan penggunaan data.
- Gunakan layanan yang disetujui organisasi untuk urusan pekerjaan.
- Mintalah AI membuat templat, lalu isi data sensitif secara lokal.
- Periksa kembali setiap jawaban sebelum digunakan.
Surat Edaran Menteri Komunikasi dan Informatika Nomor 9 Tahun 2023 menempatkan keamanan sebagai salah satu nilai etika AI. Penyelenggaraan AI perlu memperhatikan perlindungan privasi, data pribadi, dan hak pengguna agar tidak menimbulkan kerugian.
Jika Data Sensitif Sudah Telanjur Dikirim
Pertama, identifikasi informasi yang terungkap dan tingkat bahayanya. Kredensial akun harus segera diganti, sementara kunci API perlu dicabut atau dirotasi.
Setelah itu, pengguna dapat:
- Menghapus percakapan jika fitur tersebut tersedia.
- Mencabut tautan percakapan yang pernah dibagikan.
- Memeriksa prosedur penghapusan data milik penyedia.
- Menghubungi bank jika informasi pembayaran terungkap.
- Melapor kepada pengelola keamanan atau privasi organisasi.
- Memberi tahu pihak terdampak apabila data mereka ikut terkirim.
- Memantau akun dan transaksi untuk mendeteksi penyalahgunaan.
Penghapusan percakapan dari tampilan pengguna belum tentu berarti seluruh salinan langsung hilang dari semua sistem. Ketentuan mengenai retensi dan penghapusan perlu diperiksa pada kebijakan masing-masing layanan.
Pada akhirnya, aturan paling sederhana adalah: apabila suatu informasi tidak pantas dikirim kepada penyedia layanan eksternal, jangan memasukkannya ke chatbot publik.
