AI untuk Developer: Workflow Coding dengan Verifikasi Berlapis

AI coding assistant dapat menghasilkan usulan kode, tetapi usulan itu bukan otoritas. Perlakukan output sebagai perubahan yang belum dipercaya: definisikan tugas, batasi konteks, inspect diff, jalankan pemeriksaan, cocokkan dengan dokumentasi primer, lalu minta persetujuan manusia sebelum merge atau deployment.

Workflow ini sengaja agnostik terhadap produk. Nama produk hanya dipakai untuk menjelaskan bahwa kebijakan, tier, preview, retention, dan kontrol berbeda-beda. Tidak ada klaim bahwa AI selalu akurat, meningkatkan produktivitas, menghasilkan kode aman, atau menjaga data secara universal.

1. Definisikan tugas dan batas repository

Sebelum membuka assistant, tulis:

• perilaku yang ingin diubah;
• file atau direktori yang boleh disentuh;
• input, output, dan error yang diharapkan;
• test atau static check yang harus tetap lulus;
• dependency dan dokumentasi yang harus dijadikan rujukan;
• data yang dilarang masuk ke prompt atau konteks tool.

Untuk perubahan kecil, minta rencana dan daftar file terlebih dahulu. Jangan memberikan seluruh repository jika tugas hanya menyentuh satu modul. Batasi akses sesuai kemampuan tool dan kebijakan organisasi.

2. Gunakan prompt yang dapat diaudit

Minta assistant menghasilkan patch atau diff yang sempit, bukan menulis ulang banyak file. Sertakan acceptance criteria yang bisa diperiksa, misalnya:

Tambahkan validasi untuk input title pada handler ini. Jangan mengubah kontrak response. Tunjukkan file yang diubah, asumsi, dan test yang perlu dijalankan. Jika dokumentasi API tidak tersedia, tandai ketidakpastian.

Simpan permintaan, asumsi penting, dan hasilnya sesuai aturan repository. Jangan menganggap rencana AI sebagai analisis lengkap.

3. Inspect diff sebelum menjalankan apa pun

Baca perubahan baris demi baris. Cari:

• perubahan di luar scope;
• dependency baru atau versi yang berubah;
• API, method, dan konfigurasi yang tidak Anda kenal;
• fallback diam-diam, broad exception, atau penghapusan validasi;
• perubahan permission, auth, query, logging, dan serialisasi data;
• test yang dihapus, dilemahkan, atau hanya menguji happy path.

Jika assistant menyebut file, link, package, atau method, buka sumbernya sendiri. Dokumentasi responsible-AI untuk Gemini Code Assist di Google Cloud, diambil pada 2026-09-18 UTC, memperingatkan bahwa model dapat menghasilkan output faktual yang salah, tidak ter-grounding, dan bahkan link yang dibuat-buat. Peringatan itu bukan pengukuran semua tool coding AI, tetapi cukup untuk menetapkan disiplin verifikasi.

4. Jalankan test dan static/security checks yang sesuai

Pilih pemeriksaan dari risiko perubahan, bukan dari saran assistant saja:

1. formatter dan linter;
2. unit/feature/integration test yang relevan;
3. type check atau static analysis;
4. dependency dan secret scanning;
5. pemeriksaan security yang disetujui tim;
6. smoke test manual untuk alur utama dan kegagalan penting.

Catat command, environment, commit, output, dan pemeriksaan yang tidak dijalankan. Test yang lulus tidak membuktikan semua perilaku benar. Scanner hanya menghasilkan temuan atau bukti untuk triase; scanner dapat melewatkan kerentanan, salah mengklasifikasikan temuan, atau menghasilkan false positive. Hasil bersih maupun temuan yang tervalidasi bukan sertifikasi bahwa repository atau generated code aman. Draft ini tidak menjalankan command atau melaporkan test pass.

5. Cocokkan implementasi dengan dokumentasi primer

Jangan memvalidasi API hanya dari output model. Buka dokumentasi resmi versi yang sedang dipakai dan periksa nama method, signature, default, deprecation, error behavior, dan contoh konfigurasi. Jika dependency berubah cepat, rekam tanggal retrieval.

Untuk contoh API Laravel, assistant mungkin menyarankan method yang berasal dari versi berbeda. Verifikasi terhadap dokumentasi Laravel 13.x, lalu uji pada environment proyek sebelum merge. Artikel ini tidak mengulang tutorial API Laravel dan tidak menganggap snippet valid hanya karena terlihat masuk akal.

6. Review privacy dan security sebelum mengirim konteks

Jangan memasukkan secrets, credentials, personal data, regulated data, proprietary code, atau source code pelanggan ke tool kecuali terms produk yang berlaku dan kontrol organisasi memang mengizinkannya. Ini bukan nasihat hukum; periksa kebijakan organisasi, kontrak, dan pengaturan tool yang relevan.

Pisahkan tiga hal:

• Google Gemini Code Assist — consumer/personal tier: notice Google untuk produk dan tier consumer yang diambil pada 2026-09-18 UTC menyatakan extension IDE dan CLI untuk akun consumer tertentu berhenti melayani request mulai 2026-06-18. Retention, training, dan penggunaan data tetap harus dibaca dari terms/privacy notice akun yang dipakai; jangan memindahkan aturan ini ke Standard/Enterprise atau provider lain.
• Google Gemini Code Assist — Standard/Enterprise: dokumentasi Google Cloud untuk produk pada scope Standard/Enterprise yang diambil pada 2026-09-18 UTC menjelaskan kontrol seperti access management, koneksi TLS, dan opsi VPC Service Controls serta shared responsibility. Kontrolnya bergantung pada konfigurasi; ia tidak otomatis berlaku bagi consumer. Periksa terms, retention, dan training settings untuk plan organisasi yang sebenarnya.
• GitHub Copilot — integrasi OpenAI Codex: halaman GitHub untuk integrasi OpenAI Codex, diambil pada 2026-09-18 UTC, menyebut integrasi pada GitHub tersebut berada dalam public preview dan tunduk pada rate limit serta billing GitHub. Status, model, dan ketersediaan dapat berubah; ini bukan kebijakan semua akun OpenAI atau semua tool.
• OpenAI Codex Security cloud: halaman OpenAI untuk produk cloud Codex Security, diambil pada 2026-09-18 UTC, menyebut produk tersebut sedang dalam research preview dan memindai repository GitHub yang terhubung. Pernyataan ini hanya untuk Codex Security cloud, bukan otomatis untuk plugin, CLI, SDK, atau produk OpenAI lain.

Sebelum mengirim source code, prompt, atau data repository, buka terms/privacy documentation untuk provider, produk, plan atau tier, region, dan jenis akun yang tepat. Verifikasi secara langsung aturan retention, apakah data dipakai untuk training/improvement, akses operator, koneksi repository, izin, dan opsi penghapusan/opt-out yang berlaku saat itu. Catat account/plan/region yang diperiksa, URL kebijakan, tanggal berlaku atau retrieval, retention setting/period, training/improvement setting, serta hasil pencocokan dengan kebijakan atau kontrak organisasi sebelum mengirim konten repository. Jika organisasi memiliki kebijakan atau kontrak sendiri, cocokkan keduanya; artikel ini bukan nasihat hukum.

7. Minta persetujuan manusia sebelum merge atau deploy

Reviewer manusia harus memahami perubahan dan bukti pemeriksaannya. Ia bukan sekadar menyetujui karena test hijau. Untuk perubahan sensitif, minta reviewer yang memahami domain, auth/authorization, data flow, dan threat model.

Checklist singkat:

• Scope diff sesuai task.
• Behavior sukses dan gagal diperiksa.
• Input, output, permission, dan error contract ditinjau.
• Dependency serta konfigurasi tidak memperluas risiko tanpa alasan.
• Secrets dan data sensitif tidak bocor ke prompt, diff, log, atau artifact.
• Dokumentasi primer cocok dengan versi yang dipakai.
• Test/static/security checks dan keterbatasannya dicatat.
• Manusia menyetujui merge/deployment berdasarkan bukti.

Apa yang tidak boleh disimpulkan

Workflow ini tidak menjamin kode benar, aman, privat, bebas bias, atau bebas kerentanan. Tidak ada tool yang dapat menggantikan ownership teknis dan review. Security scanner—termasuk produk yang memvalidasi temuan—menyediakan sinyal untuk triase manusia, bukan jaminan coverage atau sertifikasi keamanan repository. Dokumentasi OpenAI untuk produk cloud Codex Security, diambil pada 2026-09-18 UTC, menyebut Codex Security cloud sedang dalam research preview untuk repository GitHub yang terhubung; status dan cakupan ini dapat berubah, dan tidak berarti output generated code otomatis terverifikasi.

Kesimpulan

Gunakan AI coding assistant sebagai sumber usulan yang dibatasi, bukan sumber kebenaran. Definisikan konteks, minta patch sempit, inspect diff, jalankan pemeriksaan yang relevan, verifikasi API terhadap dokumentasi primer, review privacy/security, lalu minta persetujuan manusia. Catatan versi, tier, scope, dan hasil pemeriksaan membuat keputusan dapat diaudit tanpa menjanjikan hasil universal.