Seberapa Aman Data Kamu Saat Pakai AI? Yang Perlu Dicek Sebelum Unggah Dokumen

Akhir Juli 2026, sejumlah pengguna Reddit menemukan hal yang membuat banyak orang buru-buru membuka riwayat chat mereka. Cukup mengetik operator pencarian tertentu di Google, deretan panjang percakapan Claude yang pernah dibagikan lewat tombol share ternyata bisa dibaca siapa saja. Isinya bukan obrolan iseng, melainkan laporan medis pasien, dokumen internal perusahaan, bahkan nama dan nomor telepon anak usia sekolah dasar.

Kasus yang dilaporkan TechCrunch pada 27 Juli 2026 itu bukan yang pertama. Setahun sebelumnya, percakapan ChatGPT yang dibagikan secara publik juga sempat muncul di mesin pencari. Padahal sebagian besar pemiliknya mengira tautan itu hanya dibuka teman atau rekan kerja. Kini pertanyaan yang lebih penting justru bukan "AI mana yang paling aman", tetapi apa yang perlu dicek sebelum dokumen apa pun diunggah ke chatbot.

Jawaban singkat: Data yang diunggah ke chatbot AI umum bisa disimpan berbulan-bulan, dibaca peninjau manusia, dan dipakai melatih model, tergantung layanan dan pengaturannya. Sebelum mengunggah dokumen, samarkan data pribadi seperti NIK, nama responden, dan data kesehatan, matikan pengaturan pelatihan, pakai mode chat sementara, dan jangan membagikan tautan percakapan ke ruang publik.

Daftar Isi

• Jalur dokumen setelah diunggah
• Tabel kebijakan lima layanan
• Kebocoran yang sudah terjadi
• Posisi UU PDP
• 8 langkah sebelum klik unggah
• Cara kakak.ai menangani dokumen
• Pertanyaan umum

Ke mana dokumen yang diunggah ke AI sebenarnya pergi?

Dokumen yang diunggah ke chatbot umum biasanya menempuh tiga jalur: disimpan di server penyedia, bisa dibaca peninjau manusia untuk menilai kualitas jawaban, dan bisa masuk ke data pelatihan model berikutnya. Ketiganya tidak selalu aktif bersamaan, namun pengguna jarang tahu mana yang sedang berlaku untuk akunnya.

Gambaran paling lengkap datang dari tim Stanford Institute for Human-Centered AI. Pada 15 Oktober 2025, mereka menelaah 28 dokumen kebijakan privasi milik 6 perusahaan AI Amerika Serikat, yaitu Amazon, Anthropic, Google, Meta, Microsoft, dan OpenAI. Hasilnya, keenamnya memakai data percakapan pengguna untuk melatih model secara default, dan sebagian menyimpan data itu tanpa batas waktu yang jelas.

Ketika ditanya apakah pengguna chatbot perlu khawatir soal privasi, ketua penelitian itu menjawab tanpa ragu.

"Tentu saja perlu. Kalau kamu membagikan informasi sensitif dalam percakapan dengan ChatGPT, Gemini, atau model terdepan lain, informasi itu bisa dikumpulkan dan dipakai untuk pelatihan, bahkan kalau letaknya di file terpisah yang kamu unggah selama percakapan," ujar Jennifer King, Privacy and Data Policy Fellow di Stanford Institute for Human-Centered AI, dalam tulisan resmi Stanford HAI (kutipan diterjemahkan dari bahasa Inggris).

Poin terakhir dalam kutipan itu sering terlewat. Banyak orang mengira yang berisiko hanya teks yang diketik di kolom chat, padahal file PDF skripsi, transkrip wawancara, atau foto KTP yang dilampirkan di tengah percakapan ternyata diperlakukan sama. Makanya pengaturan privasi perlu dicek sebelum lampiran pertama dikirim, bukan setelahnya.

Apa bedanya kebijakan ChatGPT, Gemini, Claude, Meta AI, dan DeepSeek?

Setiap layanan punya aturan sendiri soal pelatihan, cara menolak, mode sementara, dan lama penyimpanan. Tabel berikut merangkum halaman resmi masing-masing penyedia per Oktober 2026. Kebijakan ini bisa berubah sewaktu-waktu, jadi cek ulang halaman tautannya sebelum mengambil keputusan penting.

Perbedaan paling mencolok ada di Gemini. Google menyebut sebagian percakapan dibaca peninjau manusia, dan percakapan yang sudah ditinjau disimpan sampai 3 tahun tanpa ikut terhapus walaupun riwayat aktivitas dihapus. Sementara itu Anthropic sejak 28 Agustus 2025 meminta pengguna Claude Free, Pro, dan Max memilih paling lambat 8 Oktober 2025, dengan pengecualian untuk paket Work, Education, Government, dan API.

DeepSeek berada di posisi paling ketat bagi pengguna. Kebijakan privasinya per 10 Februari 2026 menyatakan data diproses dan disimpan di Republik Rakyat Tiongkok, dipakai melatih teknologinya, dan satu-satunya cara menolak adalah mengirim email. Bahkan data itu disimpan selama akun masih aktif, sehingga menghapus akun menjadi langkah yang lebih bermakna daripada sekadar menghapus satu chat.

Kasus nyata: dari Samsung sampai database DeepSeek

Salah satu kasus yang paling sering dikutip terjadi di Samsung pada April 2023. Karyawannya memasukkan data internal sensitif ke ChatGPT, dan perusahaan itu kemudian membatasi pemakaian AI generatif di perangkat kantor lewat memo internal awal Mei 2023. Pola serupa di lingkungan kerja Indonesia sudah saya bahas di artikel shadow AI di kantor.

Risiko lain justru datang dari sisi penyedia. Pada 29 Januari 2025, peneliti keamanan Wiz menemukan database DeepSeek yang terbuka berisi lebih dari 1 juta baris log, termasuk riwayat chat dalam teks polos dan kunci API. Artinya, pengguna yang sudah berhati-hati pun tetap bergantung pada seberapa rapi penyedia menjaga servernya.

Kebiasaan memasukkan data sensitif ternyata juga dilakukan orang yang paham risikonya. Studi Cisco Data Privacy Benchmark 2024 terhadap 2.600 profesional privasi dan keamanan di 12 wilayah mencatat 48% pernah memasukkan informasi nonpublik perusahaan ke AI generatif, dan 45% memasukkan informasi karyawan. Angka ini berasal dari responden global, bukan survei khusus Indonesia.

Survei National Cybersecurity Alliance (NCA) Amerika Serikat yang dirilis 30 September 2025 memperlihatkan sisi lain. Dari lebih dari 6.500 responden di 7 negara, 65% sudah memakai AI setiap hari, namun 58% mengaku tidak pernah mendapat pelatihan dari tempat kerja soal risiko keamanan dan privasinya. Alhasil, kebiasaan mengunggah dokumen tumbuh jauh lebih cepat daripada pemahaman soal ke mana dokumen itu pergi.

Bagaimana posisi hukum Indonesia soal data yang masuk ke AI?

Indonesia kini sudah punya payung hukum lewat Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi yang ditetapkan 17 Oktober 2022. Masa penyesuaiannya paling lama 2 tahun, sehingga kewajiban penuh berlaku sejak Oktober 2024. Pasal 4 ayat (2) menggolongkan data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan keuangan pribadi sebagai data spesifik yang perlu perlakuan khusus.

Sanksinya ternyata tidak ringan. Pasal 67 ayat (1) mengancam orang yang mengumpulkan data pribadi orang lain secara melawan hukum dengan pidana penjara paling lama 5 tahun dan/atau denda paling banyak Rp5 miliar. Bagi mahasiswa yang mengunggah transkrip wawancara lengkap dengan nama narasumber, atau pegawai yang menempelkan daftar pelanggan ke chatbot, pasal ini relevan untuk dipahami.

Aturan pelaksanaannya sudah terbit lewat Peraturan Pemerintah Nomor 33 Tahun 2026. Menurut ulasan firma hukum Frans Winarta & Partners, PP itu diundangkan pada 16 Juli 2026 dan baru mulai berlaku 6 bulan kemudian, yaitu Januari 2027. Namun lembaga pengawas yang diamanatkan Pasal 58 belum juga terbentuk per pertengahan Oktober 2026, seperti dicatat laporan khusus Majalah ICT pada 16 Oktober 2026.

Dalam sidang uji materi di Mahkamah Konstitusi pada 27 Juli 2026, pemerintah menyebut rancangan Peraturan Presiden tentang Badan PDP sudah diajukan ke Presiden sejak 20 Mei 2026 dan tinggal menunggu tanda tangan. Sementara itu, fungsi pengawasan dijalankan Direktorat Jenderal Pengawasan Ruang Digital Komdigi, seperti diberitakan Kompas. Padahal ELSAM sejak 2024 sudah mengingatkan bahwa tanpa lembaga ini, "sulit kiranya UU PDP akan dapat diimplementasikan secara efektif", seperti tertulis dalam siaran pers ELSAM.

Pengalaman Juni 2024 memberi gambaran betapa rapuhnya kepercayaan pada sistem. Serangan ransomware Brain Cipher ke Pusat Data Nasional Sementara 2 waktu itu berdampak pada 282 instansi. Kalau infrastruktur negara pun bisa tumbang, menyerahkan seluruh keamanan dokumen pribadi kepada layanan AI asing jelas bukan strategi yang bijak.

"Keamanan data tidak dapat hanya didasarkan pada asumsi bahwa data akan otomatis aman karena disimpan di platform perusahaan besar," kata Pratama Persadha, pengamat keamanan siber dari CISSReC, kepada Antara. Ia menyampaikannya dalam konteks UMKM dan platform digital, namun logikanya berlaku sama untuk chatbot AI.

8 langkah yang perlu dicek sebelum klik unggah

Selama lembaga pengawas belum bekerja, perlindungan pertama ada di tangan pengguna sendiri. Delapan langkah berikut bisa dikerjakan dalam 5 sampai 10 menit sebelum dokumen apa pun dilampirkan ke chatbot, dan berlaku untuk layanan mana pun, termasuk kakak.ai.

1. Samarkan identitas dulu. Ganti nama, NIK 16 digit, NIM, nomor telepon, dan alamat dengan kode seperti "Responden 1" atau "Informan A" sebelum dokumen diunggah, karena AI tetap bisa merangkum isi tanpa perlu tahu siapa orangnya.
2. Matikan pengaturan pelatihan. Buka menu privasi di setiap layanan yang dipakai, lalu matikan opsi seperti "Improve the model for everyone" di ChatGPT, Keep Activity di Gemini, atau Model Improvement di Claude, dan pastikan pengaturan itu tersimpan.
3. Pakai mode chat sementara untuk dokumen sensitif. Temporary chat di ChatGPT dan Gemini atau Incognito di Claude tidak dipakai melatih model, sehingga cocok untuk satu kali tanya jawab soal dokumen yang tidak perlu disimpan lama.
4. Jangan pakai tombol share untuk dokumen pribadi. Tautan percakapan yang pernah ditempel di forum atau media sosial bisa ikut terindeks mesin pencari, seperti kasus Claude pada Juli 2026, jadi cek daftar tautan publik di menu Settings, Privacy, Shared Chats.
5. Jangan unggah KTP, rekam medis, atau slip gaji. Semuanya masuk kategori data spesifik di Pasal 4 ayat (2) UU PDP, dan hampir tidak ada pertanyaan yang benar-benar membutuhkan dokumen aslinya dibaca oleh chatbot umum.
6. Data responden hanya sesuai informed consent. Peneliti yang mengolah kuesioner atau transkrip wawancara perlu memastikan pemakaian AI tercakup dalam persetujuan responden dan izin komisi etik, langkah yang juga dibahas di panduan uji coba kuesioner skripsi.
7. Dokumen rahasia instansi butuh izin tertulis. Notulen rapat direksi, kontrak, dan data pelanggan milik kantor atau kampus sebaiknya tidak diunggah tanpa persetujuan atasan, karena tanggung jawab hukumnya melekat pada institusi, bukan pada chatbot.
8. Hapus riwayat setelah selesai. Setelah jawaban didapat, hapus percakapan berisi dokumen sensitif dan cek masa simpan tiap layanan, karena di Gemini percakapan yang sudah ditinjau manusia tetap tersimpan sampai 3 tahun.

Kebiasaan ini sejalan dengan kemampuan yang saya bahas di artikel apa itu literasi AI: tahu kapan AI layak dipakai, dan kapan sebuah dokumen sebaiknya tetap tinggal di laptop. Untuk konteks akademik, pedoman di artikel etika penggunaan AI dalam penelitian juga bisa jadi rujukan tambahan.

Bagaimana kakak.ai memperlakukan dokumen pengguna?

Menurut halaman Keamanan dan Privasi kakak.ai, data dan percakapan pengguna tidak pernah dipakai untuk melatih model AI mana pun. Koneksi dienkripsi dengan HTTPS/TLS, data tersimpan dalam keadaan terenkripsi, dan pengguna bisa menghapus datanya kapan saja sampai terhapus permanen dari sistem.

Dokumen yang diunggah ke Pustaka Pengetahuan juga bersifat privat untuk akun pemiliknya, sehingga pengguna lain tidak bisa melihat atau mencari isinya. Namun kakak.ai menyatakan terus terang bahwa dokumen tidak dienkripsi end-to-end, sebab sistem perlu membaca isinya agar AI bisa merangkum dan menjawab pertanyaan. Karena itu, checklist di atas tetap berlaku saat memakai kakak.ai.

FAQ: Pertanyaan Umum soal Keamanan Data di AI

Apakah dokumen yang saya unggah ke ChatGPT dipakai untuk melatih AI?

Bisa, kecuali pengaturan "Improve the model for everyone" di menu Data controls dimatikan. Setelah dimatikan, percakapan baru tidak dipakai melatih model OpenAI. Mode Temporary chat juga tidak dipakai melatih dan disimpan sampai 30 hari.

Mana yang lebih aman, Gemini, Claude, atau DeepSeek?

Tidak ada yang sepenuhnya aman, bahkan untuk paket berbayar. Gemini dan Claude menyediakan pengaturan untuk menolak pelatihan serta mode sementara, sedangkan DeepSeek menyimpan data di Tiongkok dan hanya menerima penolakan lewat email. Pilihan paling aman tetap menyamarkan data pribadi sebelum mengunggah.

Apakah UU PDP melindungi data yang saya ketik ke chatbot AI?

UU Nomor 27 Tahun 2022 berlaku dan mengatur data spesifik seperti kesehatan dan data anak. Namun per Oktober 2026 lembaga pengawasnya belum terbentuk dan fungsi pengawasan sementara dijalankan Komdigi, sehingga penegakan bagi pengguna masih terbatas dan pencegahan dari sisi pengguna jauh lebih penting.

Bolehkah data responden skripsi diunggah ke AI?

Boleh selama sesuai informed consent dan izin komisi etik, dan identitas responden sudah disamarkan. Ganti nama dengan kode, hapus NIK dan nomor telepon, lalu unggah hanya bagian yang perlu dianalisis.

Apakah kakak.ai gratis dan apakah datanya dipakai melatih AI?

kakak.ai bisa dicoba gratis dengan kredit harian. Menurut halaman Keamanan dan Privasi, data dan percakapan pengguna tidak pernah dipakai melatih model AI mana pun, dan dokumen di Pustaka bersifat privat untuk akun pemiliknya.

Sementara regulasi masih mengejar, keputusan paling menentukan terjadi di beberapa detik sebelum tombol unggah ditekan. Kalau butuh asisten AI untuk merangkum jurnal, menyusun laporan, atau bertanya ke dokumen sendiri tanpa percakapannya dipakai melatih model, kakak.ai bisa dicoba dengan kredit harian gratis.

Coba Sekarang, Gratis