Saat Kebijakan Bertemu Perilaku Nyata
Seorang kontraktor pemerintah sedang berada di bawah tekanan. Ia memiliki tumpukan permohonan bantuan banjir FEMA yang harus diproses. Ia menempelkan nama, alamat, dan rekam kesehatan ke ChatGPT agar bisa bergerak lebih cepat. Dalam pikirannya, ia tidak melanggar hukum. Ia hanya menggunakan alat terbaik yang ada.
Hasilnya: penyelidikan pemerintah dan pengungkapan publik.
Inilah kegagalan mendasar dari tata kelola AI yang hanya mengandalkan kebijakan. Kebijakan memberi tahu karyawan apa yang harus dilakukan. Kebijakan tidak menghentikan perilaku.
77% karyawan enterprise berbagi data kerja sensitif dengan alat AI setidaknya setiap minggu — bahkan ketika kebijakan melarangnya (eSecurity Planet/Cyberhaven 2025). Mereka bukan pekerja yang ceroboh. Mereka adalah orang-orang yang berada di bawah tekanan waktu dan memilih alat tercepat.
Mengapa Kebijakan Gagal Berlaku
Kebijakan penggunaan AI bergantung pada penilaian manusia pada saat input. Momen itu berlangsung cepat. Karyawan mungkin tidak ingat kebijakannya. Mereka mungkin tidak melihat konten tersebut sebagai "sensitif." Mereka mungkin menerima risiko karena penghematan waktu terasa sangat besar.
Analisis Cyberhaven Q4 2025 menemukan bahwa 34,8% dari semua input ChatGPT mengandung informasi bisnis rahasia. Banyak dari pengguna tersebut mengetahui kebijakannya. Mereka tetap menempelkan data.
Kebijakan akses berhasil karena sistem yang menegakkannya. DLP di lapisan email berhasil karena sistem menerapkannya. Kebijakan penggunaan AI tidak memiliki penegakan di titik tempel. Keputusan manusia mengisi kesenjangan itu. Dalam skala besar, manusia membuat kesalahan.
Kontraktor FEMA membuat salah satu kesalahan itu. Ia bukan pelaku jahat. Alat tersebut menang karena kebijakan memintanya untuk memilih kelambatan daripada kecepatan. Di bawah tekanan, ia memilih kecepatan.
Kontrol Teknis Menghentikan Apa yang Tidak Bisa Dilakukan Kebijakan
Satu-satunya solusi yang berhasil dalam skala besar beroperasi di lapisan teknis — bukan lapisan pelatihan.
Ekstensi browser dapat mencegat konten clipboard sebelum mencapai AI berbasis web apa pun. Saat kontraktor menyalin nama dan alamat pemohon lalu menempelkannya ke ChatGPT, ekstensi mendeteksi PII, menganonimkannya, dan mengirimkan versi yang bersih. AI melihat [NAME_1] dan [ADDRESS_1] alih-alih nilai nyata. AI tetap menyelesaikan tugasnya. Detail pribadi pemohon tidak pernah mencapai server ChatGPT.
Semua ini berjalan otomatis. Tidak meminta pengguna untuk mengingat apa pun.
Bagi pengembang yang menggunakan Cursor atau GitHub Copilot, MCP Server menyediakan lapisan yang sama. Kode yang ditempelkan ke konteks AI melewati mesin anonimisasi terlebih dahulu. Kredensial dan pengenal proprietary menjadi token. AI menerima input yang bersih dan tetap memberikan output yang berguna.
Lihat perbandingannya dengan pemblokiran: Pemblokiran vs. Anonimisasi — Perbandingan DLP Browser.
Apa yang Berubah dengan Kontrol Teknis
Dengan ekstensi browser yang aktif, skenario kontraktor FEMA berjalan secara berbeda:
- Kontraktor menyalin rekam pemohon dari sistem kasus
- Ekstensi mendeteksi PII di clipboard
- Modal pratinjau menampilkan apa yang akan diganti
- Versi yang dianonimkan dikirim ke ChatGPT
- ChatGPT memproses permintaan dan mengembalikan hasil
- Kontraktor mendapatkan bantuan yang dibutuhkan — tidak ada penyelidikan yang dipicu
Kebijakan tidak perlu diubah. Pelatihan tidak perlu dijalankan. Lapisan intersepsi menangani semuanya.
Pelatihan kebijakan mengurangi risiko di tingkat marginal. Kontrol teknis menghilangkan mode kegagalan itu sendiri. Insiden FEMA adalah kegagalan kebijakan. Itu akan menjadi peristiwa yang tidak perlu terjadi jika satu Chrome Extension saja dipasang di perangkat kontraktor tersebut.
Lihat juga:
- Tata Kelola AI Enterprise: Chrome Extension DLP
- Browser DLP untuk ChatGPT, Claude, dan Gemini
- Chrome Extension: Browser DLP untuk Alat AI