Data kandidat dan karyawan yang tidak masuk ke model

Pekerjaan HR hampir selalu menyentuh data tentang orang. Lowongan menarik CV, CV memuat nama, alamat, riwayat kerja, dan kadang foto. Setelah orang itu diterima, datanya bertambah: gaji, rekening, nomor BPJS, NIK, catatan cuti sakit, hasil penilaian kinerja, catatan disiplin. Semua ini data pribadi (personal data) menurut UU PDP, dan sebagian termasuk data pribadi yang bersifat spesifik, misalnya data kesehatan, data keuangan pribadi, dan catatan kejahatan. Dasar undang-undangnya sudah dibahas di pelajaran dasar UU PDP; di sini kita menerapkannya ke meja HR.

Aturan yang kami pegang sederhana: gaji, data kesehatan, catatan disiplin, dan NIK karyawan tidak pernah masuk ke layanan AI umum. Layanan AI umum berarti layanan yang tidak dikontrak organisasimu untuk memproses data karyawan, termasuk akun pribadimu sendiri. Layanan itu belum tentu berniat buruk. Masalahnya, kamu tidak tahu di mana data itu disimpan, berapa lama, siapa yang bisa membacanya, dan apakah dipakai untuk melatih model. Karyawan yang datanya kamu tempel juga tidak pernah ditanya.

Data kandidat sedikit berbeda tetapi tetap sensitif. Kandidat mengirim CV untuk satu tujuan: dipertimbangkan untuk lowongan yang mereka lamar. Memakai CV itu di alat baru, apalagi alat yang memproses data di luar negeri, bisa membutuhkan dasar baru. Karena itu kami membagi data HR ke tiga kelompok: data yang tidak pernah masuk, data yang boleh masuk setelah disamarkan, dan data yang hanya boleh masuk lewat alat yang sudah disiapkan dasarnya.

Kabar baiknya, sebagian besar tugas HR yang ingin kamu bantu dengan AI tidak butuh data asli. Model butuh bentuk datanya, bukan isinya. Kalau kamu ingin rumus untuk menghitung sisa cuti, model cukup tahu nama kolom, aturan cutinya, dan dua baris data buatan (dummy data). Kalau kamu ingin pengumuman kenaikan gaji yang jelas, model cukup tahu struktur kenaikannya; daftar nama dan angka per orang tidak perlu. Kalau kamu ingin merapikan format laporan absensi, kirim tabel dengan kode buatan seperti K-01 dan K-02.

Cara kerjanya: tulis dulu apa yang ingin kamu hasilkan, lalu tanya apa yang minimal harus diketahui model untuk itu. Biasanya jawabannya adalah aturan, struktur, dan contoh. Data asli tetap di sistem HR, dan hasilnya kamu jalankan sendiri di sana. Cara menyamarkan data dengan benar, termasuk kenapa mengganti nama dengan kode belum membuat data anonim, ada di pelajaran menyamarkan data.

CV adalah kasus khusus karena fitur pembaca CV memang membutuhkan isi CV. Di sini pertanyaannya bergeser ke ke mana data pergi. Banyak model memproses data di server luar Indonesia, dan mengirim CV ke sana adalah transfer data lintas negara (cross-border data transfer). UU PDP Pasal 56 menyusun syaratnya, dan bila syarat lain tidak terpenuhi, persetujuan kandidat menjadi dasarnya. Sebelum CV dibaca model, pastikan organisasimu sudah menjawab: di mana data diproses, apa dasar transfernya, apakah kandidat diberi tahu dan diminta setuju, dan apakah ada jalan bagi kandidat yang menolak tanpa dirugikan.

Satu catatan tentang akun kerja. Organisasi yang sudah mengontrak layanan AI untuk HR biasanya punya kesepakatan tentang penyimpanan data, pelatihan model, dan lokasi server. Kesepakatan itu membuka sebagian pekerjaan, tetapi tidak membuat semua data boleh masuk. Data spesifik seperti catatan kesehatan dan disiplin tetap butuh alasan yang jelas dan sebaiknya diproses di sistem HR sendiri. Tanyakan ke petugas pelindungan data apa yang diizinkan untuk akun kerjamu, dan tulis jawabannya di catatan timmu supaya semua orang memakai aturan yang sama.