Apakah Data di ChatGPT Aman? Panduan Memakai AI di Kantor Tanpa Membocorkan Data

Jawaban singkatnya: data yang Anda ketik ke ChatGPT disimpan di sistem OpenAI, dan pada akun pribadi (Free, Plus, Pro) percakapan baru secara bawaan boleh dipakai untuk melatih model sampai Anda mematikan pengaturannya. Pada paket bisnis seperti ChatGPT Business dan Enterprise, serta lewat API, OpenAI menyatakan tidak memakai data untuk pelatihan secara bawaan. Jadi aman atau tidaknya bergantung pada jenis akun yang dipakai karyawan Anda, pengaturannya, dan jenis data yang mereka tempelkan.

Contoh kasus di kantor biasanya sederhana: seorang staf admin menyalin daftar pelanggan ke akun ChatGPT gratis miliknya untuk dirapikan, dan perusahaan tidak tahu data itu sekarang tersimpan di mana dan dengan pengaturan apa.

Apa yang terjadi pada data yang Anda ketik ke ChatGPT

Akun pribadi: pelatihan model aktif secara bawaan

Menurut halaman bantuan OpenAI tentang data controls, pada ruang kerja pribadi ChatGPT Free, Plus, atau Pro, berbagi data untuk pelatihan aktif secara bawaan. Pengaturannya bernama Improve the model for everyone. Di versi web, buka menu akun, pilih Settings, lalu Data controls, dan matikan opsi tersebut. Di aplikasi iOS dan Android, jalurnya lewat ikon profil, Settings, lalu Data controls. Selama Anda masuk dengan akun yang sama, pengaturan ini berlaku di semua perangkat.

Dua catatan penting. Mematikan pelatihan tidak menghapus riwayat chat, jadi percakapan lama tetap tersimpan di akun. Lalu, kalau Anda memberi umpan balik jempol atas atau bawah pada sebuah jawaban, OpenAI menyebut seluruh percakapan yang terkait umpan balik itu bisa dipakai untuk pelatihan, meskipun Anda sudah mematikan pengaturan tadi.

Temporary Chat

Fitur percakapan sementara (Temporary Chat) tidak muncul di riwayat, tidak membuat atau memperbarui memori, dan tidak dipakai untuk melatih model. Namun OpenAI tetap bisa menyimpan salinannya sampai 30 hari untuk keperluan keamanan.

Berapa lama data disimpan

Chat biasa dan chat yang diarsipkan tetap tersimpan sampai Anda menghapusnya. Setelah dihapus, chat langsung hilang dari tampilan akun dan dijadwalkan dihapus permanen dari sistem OpenAI dalam 30 hari, kecuali sudah dipisahkan dari identitas akun atau OpenAI wajib menyimpannya lebih lama karena alasan keamanan atau kewajiban hukum.

Akun pribadi, paket bisnis, dan API: apa bedanya

Halaman privasi data bisnis OpenAI menyatakan bahwa secara bawaan mereka tidak memakai data dari ChatGPT Enterprise, ChatGPT Business, ChatGPT Edu, dan platform API, termasuk input dan output, untuk melatih atau menyempurnakan model. ChatGPT Business adalah nama baru paket yang sebelumnya disebut ChatGPT Team.

Untuk API, dokumentasi OpenAI menjelaskan bahwa data yang dikirim lewat API tidak dipakai untuk pelatihan kecuali Anda memilih ikut. Log pemantauan penyalahgunaan, yang bisa berisi prompt dan jawaban, disimpan sampai 30 hari. Pelanggan yang memenuhi syarat dan disetujui OpenAI bisa memakai Zero Data Retention, yaitu opsi yang mengecualikan isi permintaan dari log tersebut.

Risiko nyata yang perlu Anda waspadai di kantor

Risiko terbesar biasanya datang dari kebiasaan kerja sehari-hari:

• Data pelanggan: staf klinik menempelkan daftar pasien beserta diagnosisnya untuk dibuatkan jadwal kontrol, atau tim penjualan distributor menempelkan nama, nomor HP, dan riwayat pembelian pelanggan untuk disusun menjadi pesan promosi.
• Dokumen kontrak: draf perjanjian dengan nilai proyek dan klausul rahasia diunggah utuh untuk diringkas.
• Kode sumber: programmer menempelkan kode aplikasi internal, kadang lengkap dengan alamat server dan struktur database.
• Kredensial: kata sandi, kunci API, atau isi berkas konfigurasi ikut tersalin tanpa sadar saat seseorang meminta bantuan memperbaiki error.

Masalahnya ada pada kendali. Begitu data itu masuk ke akun pribadi karyawan, perusahaan tidak bisa menghapusnya, tidak tahu pengaturan pelatihannya, dan kehilangan akses ketika karyawan tersebut keluar. Kredensial yang pernah ditempel ke layanan mana pun sebaiknya langsung diganti.

Kaitannya dengan UU Pelindungan Data Pribadi

UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) diundangkan pada 17 Oktober 2022 dan memberi masa penyesuaian paling lama dua tahun (Pasal 74). Artinya, sejak Oktober 2024 perusahaan sudah wajib menyesuaikan diri.

Beberapa ketentuan yang relevan dengan pemakaian AI:

• Pasal 4 membedakan data pribadi umum, seperti nama lengkap atau gabungan data yang bisa mengidentifikasi seseorang, dan data pribadi spesifik, termasuk data kesehatan, data biometrik, data anak, dan data keuangan pribadi. Data pasien klinik masuk kategori spesifik.
• Pasal 35 sampai 39 mewajibkan pengendali data pribadi, yaitu perusahaan Anda, melindungi keamanan data, menjaga kerahasiaannya, mengawasi setiap pihak yang ikut memproses data, dan mencegah akses yang tidak sah.
• Pasal 56 mengatur transfer data pribadi ke luar wilayah hukum Indonesia. Pengendali wajib memastikan negara penerima punya tingkat pelindungan yang setara atau lebih tinggi; kalau tidak, harus ada pelindungan yang memadai dan mengikat; kalau keduanya tidak terpenuhi, harus ada persetujuan subjek data.
• Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga bila terjadi kegagalan pelindungan data pribadi.
• Pasal 57 mengatur sanksi administratif, mulai dari peringatan tertulis sampai denda administratif paling tinggi 2 persen dari pendapatan atau penerimaan tahunan.

Menempelkan data pelanggan ke layanan AI yang servernya di luar negeri berpotensi tersentuh ketentuan transfer data tersebut. Penilaian akhirnya perlu dibicarakan dengan penasihat hukum perusahaan, tetapi langkah aman yang jelas adalah tidak memasukkan data pribadi pelanggan ke akun AI pribadi karyawan.

Aturan pemakaian AI yang bisa Anda buat untuk karyawan

Larangan total sulit ditegakkan karena karyawan tetap bisa memakai AI dari ponsel. Aturan tertulis yang singkat lebih mudah dijalankan.

Mulailah dengan membagi data ke dalam kelompok. Materi publik seperti deskripsi produk yang sudah tayang, draf artikel, atau email umum boleh diproses dengan AI. Data pribadi pelanggan, dokumen kontrak, laporan keuangan internal, kode sumber, dan kredensial tidak boleh dimasukkan ke akun pribadi. Kalau memang perlu diproses, pakai akun resmi kantor, dan hapus atau samarkan identitas lebih dulu, misalnya mengganti nama pasien dengan kode.

Tetapkan juga akun yang boleh dipakai. Kalau perusahaan berlangganan paket bisnis, wajibkan karyawan memakai akun kantor untuk pekerjaan, bukan akun pribadi. Terakhir, adakan pelatihan singkat dengan contoh nyata dari pekerjaan mereka sendiri, termasuk cara mengecek pengaturan Data controls dan kapan memakai Temporary Chat.

Pilihan teknis yang lebih aman

Paket bisnis

ChatGPT Business atau Enterprise memberi Anda pengaturan terpusat: data tidak dipakai melatih model secara bawaan, admin bisa mengelola anggota, dan akun tetap milik perusahaan saat karyawan berganti.

API dengan kontrol data

Kalau AI dipakai di dalam proses bisnis, misalnya menjawab chat pelanggan atau merangkum laporan harian, lebih rapi memanggil model lewat API dari sistem Anda sendiri. Anda menentukan data apa yang dikirim, bisa menyaring nomor HP atau NIK sebelum dikirim, dan mencatat setiap permintaan. Contoh penerapannya ada di artikel chatbot WhatsApp AI untuk bisnis dan Model Context Protocol, yang membahas cara memberi AI akses terbatas ke data perusahaan.

AI yang dipasang di sistem sendiri

Untuk data yang sangat sensitif, model bahasa terbuka bisa dijalankan di server milik perusahaan sehingga data tidak keluar dari infrastruktur Anda. Konsekuensinya ada biaya server dan pemeliharaan, dan kemampuan model yang bisa dijalankan sendiri perlu diuji dulu untuk pekerjaan Anda. Alat alur kerja seperti n8n juga bisa dipasang sendiri untuk menghubungkan model tersebut ke sistem kantor. Kalau Anda ingin menimbang mana yang cocok, tim otomatisasi AI IZZLab bisa membantu merancang alurnya.

Langkah yang bisa Anda ambil minggu ini

Cek dulu akun apa yang sebenarnya dipakai tim Anda. Kalau sebagian besar memakai akun pribadi, minta mereka mematikan Improve the model for everyone sekarang, lalu tulis aturan satu halaman tentang data yang boleh dan tidak boleh dimasukkan. Untuk pekerjaan yang menyentuh data pelanggan, pindahkan ke paket bisnis atau ke integrasi API yang datanya Anda kendalikan, dan libatkan penasihat hukum untuk aspek UU PDP.

Kalau Anda ingin memakai AI di proses kerja tanpa melepas kendali atas data, IZZLab bisa diajak konsultasi lewat WhatsApp. Pilihan layanannya ada di halaman jasa otomatisasi AI.