Seorang staf penjualan menyalin draf kontrak ke asisten AI agar bisa meringkas klausul. Rekannya mengunggah lampiran yang sama dari perangkat lain. Bagi tim keamanan, keduanya tampak seperti satu risiko. Dalam praktiknya, tempel teks dan unggah berkas bisa berada pada jalur kontrol yang berbeda. Di sinilah data loss prevention atau DLP untuk AI generatif perlu diuji per kanal.
DLP membantu mengenali data sensitif dan menerapkan aturan ketika data digunakan atau dibagikan. Cakupannya bergantung pada aplikasi, perangkat, setelan, dan lisensi yang digunakan. Sebagai contoh, dokumentasi Microsoft Purview untuk aplikasi AI menjelaskan bahwa endpoint Windows yang sudah dikelola dapat dikonfigurasi untuk memperingatkan atau memblokir aktivitas tertentu di situs AI pihak ketiga yang diakses melalui browser. Periksa matriks aktivitas dan platform sebelum menjanjikan perlindungan kepada pengguna.
Petakan Jalur Data yang Benar-Benar Dipakai
Buat inventaris singkat bersama admin perangkat, pemilik data, dan satu tim pengguna AI. Catat aplikasi yang disetujui, jenis akun, browser atau klien, perangkat, dan cara informasi dikirim. Pisahkan tempel prompt, unggah berkas, serta akses yang terjadi lewat konektor organisasi. Buat satu baris untuk setiap kombinasi yang berbeda, termasuk jalur yang saat ini di luar cakupan.
- Prompt. Uji potongan teks sensitif yang disalin dari dokumen dan teks yang diketik langsung jika produk menyatakan keduanya tercakup.
- Unggahan. Uji berkas berlabel, berkas tanpa label dengan isi yang bisa dideteksi, dan format yang memang dipakai tim.
- Konektor. Periksa sumber yang bisa dibaca asisten dengan peran pengguna yang berbeda. Penegakan izin repositori perlu dibuktikan pada jalurnya sendiri.
Untuk setiap jalur, tulis data yang hendak dilindungi dan tindakan yang diharapkan. Kontrol terhadap data rekening berbeda dari aturan untuk draf presentasi publik. Artikel penyamaran data untuk RAG membahas kontrol tambahan bila dokumen masuk ke indeks internal.
Pilih Respons yang Sesuai dengan Dampaknya
Untuk data yang jelas dilarang keluar, kebijakan dapat memblokir aktivitas pada kanal yang didukung. Untuk kasus yang sering ambigu, jalankan audit atau peringatan lebih dulu bila tersedia. Pesan bagi pengguna perlu menyebut tindakan yang bisa diambil, misalnya memakai asisten yang disetujui atau menggunakan salinan yang sudah disamarkan. Tetapkan siapa yang menilai pengecualian dan kapan pengecualian berakhir.
Contoh Matriks Uji Sederhana
Gunakan data sintetis dan akun uji yang disetujui. Coba tempel deret angka berformat rekening fiktif ke aplikasi pihak ketiga dari browser terkelola. Ulangi dengan kode produk yang punya pola angka mirip untuk melihat salah blokir. Untuk unggahan, bandingkan berkas dengan label kerahasiaan dan brosur publik. Untuk konektor, uji bahwa pengguna tanpa hak dokumen tidak bisa mendapatkan isi yang setara melalui pertanyaan.
Simpan hasil tiap percobaan sebagai kombinasi jalur, hasil yang diharapkan, hasil aktual, dan lokasi bukti. Jika kasus tidak terdeteksi, tentukan apakah kebijakan salah, platform di luar cakupan, atau pengenal data tidak mengenali bentuknya. Simpan identitas dan waktu kejadian seperlunya tanpa menyalin isi rahasia ke catatan insiden.
Ukur Perlindungan Bersama Dampak ke Pekerjaan
Laporkan proporsi skenario terlarang yang dihentikan, jumlah penggunaan sah yang salah diblokir, cakupan perangkat, serta waktu menyelesaikan pengecualian. Pisahkan angka per kanal. Hasil yang baik pada unggahan tidak cukup untuk menyatakan prompt juga terlindungi. Bila tim belum bisa menguji perangkat pribadi, nyatakan bahwa jalur itu belum tercakup dan tetapkan penanganannya dengan pemilik kebijakan.
Sebelum perluasan, minta admin dan pemilik data meninjau kesenjangan serta menetapkan siapa yang menerima eskalasi. Ulangi tes setelah perubahan browser, konektor, atau kebijakan. Jika perusahaan juga menjalankan asisten yang mengeksekusi tindakan, tinjau kontrol terpisah untuk prompt injection pada AI agent.
Siapkan daftar aplikasi AI, kategori data, dan perangkat yang perlu masuk pilot. Gunakan bahan itu untuk membahas batas akses dan jalur data AI dengan Layana.ID bersama tim AI dan machine learning perusahaan.