ChatGPT dan Claude Tak Lagi Aman, Percakapan Bisa Jadi Barang Bukti di Pengadilan

Telset.id – Percakapan pengguna dengan ChatGPT dan Claude tidak lagi bisa dianggap sebagai catatan pribadi yang aman. Sejumlah kasus hukum di Amerika Serikat menunjukkan bahwa log obrolan dengan AI chatbot dapat diminta pengadilan, diserahkan ke pihak berwenang, bahkan dipakai sebagai alat bukti. Situasi ini mengubah posisi chatbot dari sekadar asisten digital menjadi rekaman yang disimpan perusahaan teknologi, tanpa perlindungan privasi setara komunikasi dengan pengacara atau dokter.

Kasus paling menonjol terjadi pada Mei 2025. Pengadilan di Amerika Serikat memerintahkan OpenAI menyerahkan lebih dari 20 juta log ChatGPT yang sebelumnya sudah dihapus pengguna, terkait gugatan pelanggaran hak cipta dari The New York Times. Dua bulan lalu, investigasi The Washington Post menemukan setidaknya selusin perkara pengadilan yang mengutip log dari AI chatbot sebagai bukti. Log itu memuat pengakuan paling pribadi pengguna, dan kini berpotensi dipakai untuk kepentingan hukum.

Dalam perkara US v. Heppner, Hakim Jed Rakoff memutuskan bahwa percakapan pengguna Claude tidak dilindungi hak istimewa antara pengacara dan klien maupun perlindungan work-product. Alasannya, tidak ada hubungan pengacara-klien yang terbentuk, atau yang mungkin terbentuk, antara pengguna AI dan platform seperti Claude. Keputusan ini menegaskan bahwa apa yang diketik ke chatbot tidak memiliki status hukum yang sama dengan konsultasi ke penasihat hukum.

Anggapan “Buku Harian” yang Keliru

Eamonn Maguire, Director of Engineering and Machine Learning di Proton, menyebut banyak orang memperlakukan AI seperti buku harian pribadi. Padahal secara hukum, catatan itu adalah rekaman yang dipegang sebuah perusahaan, tanpa hak istimewa apa pun yang melindungi apa yang disampaikan ke pengacara atau dokter. Proton sendiri mengembangkan asisten AI yang berfokus pada privasi.

Survei DuckDuckGo menemukan sebanyak 75 persen responden tidak menyadari bahwa percakapan dengan AI chatbot mereka dapat dipanggil pengadilan melalui subpoena oleh aparat penegak hukum. Zac Pappis, SVP of Insights DuckDuckGo, menyebut pola serupa terjadi pada mesin pencari konvensional. Google, misalnya, menerima puluhan ribu surat perintah penggeledahan, subpoena, dan permintaan data pengguna lain, dan pada sebagian besar kasus menyerahkannya.

Seberapa jauh obrolan AI dipakai di depan hakim bergantung pada perkara, sementara regulasi privasi di berbagai negara masih berupa tambal sulam hukum nasional, kerangka internasional, dan kebiasaan hukum. Di Inggris, belum ada undang-undang khusus yang mengatur cara perusahaan AI menyerahkan data mereka. Melissa Hall, Legal Director dan AI Specialist di firma hukum Skotlandia Morton Fraser MacRoberts, menyatakan Inggris belum mengembangkan rezim regulasi khusus yang mengatur AI atau percakapan AI.

Perusahaan AI Ikut Memindai dan Melapor ke Polisi

Penyedia AI juga aktif memindai obrolan dan melaporkan pengguna ke polisi atas inisiatif sendiri. Bulan ini, seorang perempuan di Florida dikenai tuduhan setelah sistem Anthropic menandai percakapan Claude miliknya untuk ditinjau manusia, yang kemudian mendorong perusahaan menghubungi polisi. Menurut Maguire, perempuan itu dilaporkan memakai Claude seperti buku harian, tanpa sadar staf bisa membacanya.

Sistem semacam ini juga bisa menghasilkan penilaian hukum yang keliru. Anthropic baru-baru ini mengungkap bahwa salah satu agen AI miliknya mengirim laporan saksi palsu ke portal tip pembunuhan milik polisi saat pengujian. Maguire menambahkan, seiring agen AI bertindak makin banyak atas nama pengguna, mudah membayangkan satu agen salah membaca percakapan lalu mengirim laporan sendiri, atau diarahkan secara sengaja untuk membuat laporan palsu tentang seseorang dalam skala besar. Persoalan tanggung jawab agen AI ini juga dibahas dalam isu soal label Rogue AI yang dinilai hanya mengalihkan tanggung jawab.

Menyamarkan detail pun tidak otomatis membuat pengguna aman. Phil James, Partner dan Head of Data, Privacy and Cybersecurity di firma hukum Browne Jacobson, memperingatkan bahwa menyensor nama seseorang tidak berarti orang itu tidak bisa diidentifikasi. Memperlakukan chatbot seperti buku harian juga sering berarti mengeluh tentang orang lain. James menegaskan informasi pribadi pihak ketiga tetap dapat dilindungi hukum perlindungan data, dan pengguna berbagi informasi pihak ketiga tanpa persetujuan yang sah.

Menghapus obrolan juga bukan solusi. Venetia Argyropoulou, General Counsel di ExpressVPN, menyebut sebagian besar orang menganggap obrolan yang dihapus langsung hilang, padahal kenyataannya data bisa disimpan untuk sementara waktu. Kebijakan privasi umumnya menyatakan data dapat disimpan lebih lama bila diwajibkan hukum. Berdasarkan Article 17 UK GDPR, pengguna dapat meminta penghapusan data pribadi, tetapi ada pengecualian. Hall menjelaskan, bila organisasi diwajibkan hukum menyimpan informasi tertentu, termasuk untuk mengamankan bukti terkait proses hukum, kewajiban itu umumnya lebih diutamakan daripada permintaan penghapusan.

Kritik pun muncul soal kejelasan kebijakan privasi. Maguire menilai pengguna berhak mendapat peringatan jelas sebelum mulai mengetik, bukan peringatan yang terkubur dalam dokumen kebijakan. Di Inggris, panduan Information Commissioner’s Office mewajibkan informasi privasi mudah diakses dan ditulis dengan bahasa yang jelas dan sederhana, sehingga sekadar menyediakan kebijakan privasi yang tersembunyi di situs web bisa jadi tidak lagi memadai. Hall menambahkan, bila penggunaan data obrolan menjadi area berisiko lebih tinggi dari sisi regulasi, ekspektasi soal penonjolan pengungkapan semacam itu bisa berkembang.

Isu ini bersinggungan dengan cara perusahaan memanfaatkan data percakapan untuk membangun sistem AI. Pendekatan yang menempatkan data percakapan sebagai fondasi, bukan sekadar dokumen statis, dibahas dalam artikel soal Enterprise Brain. Di sisi lain, penyalahgunaan kapabilitas AI untuk tujuan di luar kendali pengguna juga pernah terungkap dalam kasus GPT5.6-Sol yang mencuri kripto demi menyelesaikan tugas.

Perusahaan yang mengembangkan model AI berbasis privasi menilai arsitektur sistemnya sendiri yang harus berubah. Proton menegaskan satu-satunya perlindungan nyata adalah penyedia yang tidak pernah menyimpan percakapan dalam bentuk yang bisa dibaca, karena sesuatu yang tidak bisa dibaca tidak bisa diserahkan. ExpressVPN sepakat. Argyropoulou menyatakan perusahaan dapat menantang permintaan semacam itu, tetapi bila pengadilan memerintahkan penyimpanan atau penyerahan data, mereka harus patuh, sementara pengguna punya sedikit kendali dan pada sebagian besar kasus tidak mengetahuinya.

Argyropoulou menyarankan pengguna mempertimbangkan alat AI yang percakapannya terenkripsi end-to-end hingga ke browser pengguna dan terlindungi dalam secure enclave, tempat transkrip dan log tidak dapat dilihat. Dengan begitu, perusahaan tidak bisa menyerahkan data meski ingin. Ia menutup dengan catatan bahwa seiring orang mempercayakan makin banyak sisi hidupnya ke AI, privasi harus dibangun ke dalam cara kerja alat tersebut, bukan sekadar ditulis dalam kebijakan.

Bagi pengguna, implikasinya praktis: bila ada hal yang tidak nyaman jika ikut terseret ke sengketa hukum, ada baiknya mempertimbangkan ulang alat AI yang dipakai. Peringatan serupa juga relevan bagi pelaku pemasaran yang memakai AI untuk mengolah data pelanggan, seperti tergambar dari kondisi adopsi AI di Marketing yang baru terpakai 7 persen.