Mau Rekap Data Keuangan Perusahaan ke ChatGPT? Bahaya Nggak Sih?

Makin banyak yang mulai nempelin data keuangan ke ChatGPT biar langsung direkap: laporan penjualan, mutasi rekening, daftar piutang, kadang sampai slip gaji. Cepat dan praktis. Tapi di kepala pasti ada pertanyaan yang sama: ini aman nggak sih?

Jawaban jujurnya, tergantung tiga hal: paket ChatGPT yang dipakai, jenis datanya, dan kebiasaan tim. Aku bahas satu per satu, dan di akhir ada cara yang menurutku masuk akal buat mulai.

Pertama, apa yang terjadi sama data yang kamu tempel

Paket personal (Free, Plus, Pro)

Di Terms of Use OpenAI yang berlaku sejak 1 Januari 2026, OpenAI menyebut mereka boleh memakai konten kamu untuk menyediakan, merawat, mengembangkan, dan meningkatkan layanan, dan kamu bisa memilih supaya kontenmu nggak dipakai melatih model. Pilihannya ada di Data controls, tepatnya pengaturan Improve the model for everyone.

Beberapa detail dari halaman bantuan itu yang sering luput:

• Mematikan pengaturan tadi tidak menghapus chat yang sudah tersimpan. Chat-nya tetap ada di riwayat.
• Temporary Chat nggak muncul di riwayat dan nggak dipakai melatih model, tapi bisa disimpan sampai 30 hari untuk keperluan keamanan.
• Kalau kamu menekan jempol atas atau bawah pada sebuah jawaban, seluruh percakapan yang terkait umpan balik itu bisa dipakai melatih model, meskipun kamu sudah opt-out.

Paket bisnis (ChatGPT Business, Enterprise, dan API)

Halaman Enterprise privacy OpenAI (diperbarui 8 Januari 2026) menyebut data bisnis nggak dipakai melatih model secara default, kecuali kamu ikut secara sukarela lewat mekanisme umpan balik. Datanya dienkripsi (AES-256 saat disimpan, TLS 1.2 ke atas saat dikirim), layanannya sudah lolos audit SOC 2 Type 2, dan perusahaan bisa menandatangani Data Processing Addendum. Admin workspace bisa mengatur berapa lama data disimpan.

Tapi bukan berarti nggak ada pihak lain yang pernah melihatnya. Untuk ChatGPT Business, OpenAI menyebut akses ke percakapan dibatasi untuk karyawan berwenang dan kontraktor pihak ketiga yang terikat kerahasiaan, khusus untuk memeriksa penyalahgunaan. Untuk API, input dan output bisa disimpan sampai 30 hari buat deteksi penyalahgunaan, dengan opsi zero data retention untuk endpoint tertentu kalau memenuhi syarat.

Perbedaan terbesarnya bukan "ChatGPT atau bukan", tapi akun personal atau workspace yang dikelola perusahaan. Ini juga baru cerita OpenAI. Layanan AI lain punya aturannya sendiri, jadi cek per layanan dan per paket.

Bahayanya bukan cuma soal dipakai buat melatih model

1. Akun pribadi di luar kendali perusahaan

LayerX, perusahaan keamanan browser, melaporkan dari telemetri browser pelanggan enterprise-nya bahwa 77% karyawan menempelkan data ke prompt GenAI, dan 82% tempelan itu datang dari akun pribadi. Anggap angka ini gambaran, bukan angka umum: sumbernya vendor keamanan, dan ukuran sampelnya nggak dijelaskan di blognya.

Karyawan yang menempelkan data ke prompt GenAI, menurut LayerX

77%

Dari tempelan itu datang lewat akun pribadi

82%

Rata-rata tempelan ke akun non-korporat, dan minimal 3 di antaranya berisi data sensitif

14/hari

Akun pribadi juga artinya datanya ikut pergi kalau karyawannya resign, persis masalah yang aku bahas di Waktu AI Perusahaan Ikut Resign Bareng Karyawannya.

2. Data yang seharusnya nggak keluar

Pada April 2023, insinyur Samsung dilaporkan nggak sengaja membocorkan kode sumber internal dengan mengunggahnya ke ChatGPT. Lewat memo 1 Mei 2023, Samsung melarang ChatGPT, Google Bard, dan Bing di perangkat dan jaringan perusahaan. Alasannya, menurut laporan Bloomberg, data yang dikirim ke platform AI eksternal "is stored on external servers, making it difficult to retrieve and delete, and could end up being disclosed to other users." Itu bukan data keuangan, tapi polanya sama: sekali data keluar, kendalinya ada di orang lain.

3. Data pribadi dan UU PDP

Laporan keuangan perusahaan yang berisi omzet, laba, dan biaya itu bukan data pribadi. Tapi begitu isinya memuat orang, misalnya slip gaji, nomor rekening karyawan, atau tagihan pelanggan lengkap dengan nama dan NIK, UU Pelindungan Data Pribadi ikut berlaku. UU No. 27 Tahun 2022 menggolongkan "data keuangan pribadi" sebagai data pribadi yang bersifat spesifik (Pasal 4 ayat 2 huruf f). Pemrosesan data spesifik masuk daftar pemrosesan berisiko tinggi yang mewajibkan penilaian dampak pelindungan data pribadi (Pasal 34 ayat 2 huruf b).

Kalau datanya dikirim ke pihak di luar wilayah Indonesia, Pasal 56 mensyaratkan negara penerima punya tingkat pelindungan yang setara atau lebih tinggi. Kalau itu tidak terpenuhi, harus ada pelindungan yang memadai dan mengikat, dan kalau itu pun tidak ada, perlu persetujuan dari subjek datanya. Ini ringkasan buat orientasi, bukan nasihat hukum.

4. Angkanya bisa salah

Terlepas dari soal aman, AI bisa salah menjumlah atau salah mengambil angka dari tabel yang besar. Jangan jadikan AI kalkulatornya: hitung total di spreadsheet, lalu minta AI menjelaskan atau merangkum angka yang sudah pasti. Kebiasaan mencocokkan hasil itu penting, dan alasannya aku bahas di Tiap Akhir Bulan Tim Begadang Rekap Laporan.

Jadi, boleh nggak? Bagi datamu jadi tiga lapis

Cara memakainya dengan lebih aman

1. Pakai akun yang dikelola perusahaan, yaitu paket bisnis atau API, bukan akun pribadi karyawan. Aturan sederhananya ada di SOP Sederhana Biar AI Perusahaan Tetap Jadi Aset.
2. Olah dulu di spreadsheet, kasih AI ringkasannya saja. Hitung total dan subtotal pakai rumus, lalu tempel tabel ringkas, bukan ribuan baris mentah.
3. Samarkan. Ganti nama pelanggan dan vendor jadi kode (misalnya P-001), buang NIK, nomor rekening, dan alamat. Simpan tabel kodenya di tempat terpisah.
4. Kalau terpaksa pakai akun personal untuk data non-sensitif, matikan Improve the model for everyone dan pakai Temporary Chat. Ini mengurangi risiko, bukan menghilangkannya.
5. Cocokkan angkanya. Total dari AI harus sama dengan spreadsheet. Minta AI menunjukkan langkah atau rumusnya, dan baca sendiri sebelum dipakai.
6. Tulis aturannya. Data apa yang boleh, siapa yang boleh memakai, dan lewat akun yang mana. Aturan yang cuma ada di kepala nggak akan dipatuhi.
7. Untuk data yang paling sensitif tapi tetap butuh bantuan AI, pertimbangkan model yang dijalankan di server sendiri. Itu punya biaya dan keterbatasannya sendiri, yang aku bahas di VPS untuk AI Itu Gimana dan Bisa Apa Aja.

Kalau sudah terlanjur menempel

Tenang dulu, tapi jangan didiamkan. Cek paket dan pengaturan akunnya, matikan training kalau itu akun personal, hapus chat-nya, ganti kredensial kalau ada yang ikut tertempel, dan catat apa saja yang tertempel buat evaluasi. Menghapus chat nggak selalu berarti semua jejak langsung hilang, karena retensi dan kewajiban hukum bisa membuat data tersimpan lebih lama. Kalau yang tertempel data pribadi orang lain dalam jumlah besar, bicarakan dengan konsultan hukum soal kewajibanmu.

Penutup

Jadi, bahaya nggak? Bahaya kalau asal: akun pribadi, data mentah, tanpa aturan. Jauh lebih aman kalau akunnya dikelola perusahaan, datanya diringkas dan disamarkan, dan ada aturan tertulis. Dan kalau data yang mau direkap itu nggak boleh keluar sama sekali, itu sinyal bahwa yang kamu butuhkan mungkin bukan ChatGPT, tapi sistem yang jalan di infrastruktur kamu sendiri. Risiko AI di perusahaan secara lebih luas ada di Bahaya Penggunaan AI di Perusahaan.

Kalau kamu lagi mikirin cara aman buat memakai AI di data keuangan atau data internal lain, cerita aja dulu kondisinya, nanti dibantu mikirin dari sisi risiko dan biayanya.