Peran Manajemen Risiko dalam Menghadapi Shadow AI

Shadow AI, atau penggunaan alat kecerdasan buatan tanpa sepengetahuan tim TI dan keamanan, kini telah menjadi kenyataan di hampir setiap perusahaan. Sebuah survei Gartner menemukan bahwa 80% organisasi mengalami penggunaan Shadow AI di unit bisnis mereka, namun hanya 30% yang berhasil mendeteksi dan mengelolanya secara efektif . Karyawan beralasan menggunakannya karena alat resmi kantor dianggap ribet, proses persetujuan lama, dan AI publik jauh lebih praktis .

Di sinilah manajemen risiko memegang peran penting. Bukan untuk memadamkan inovasi, tetapi untuk mengarahkannya ke jalur yang aman.

Apa Saja Risiko Shadow AI yang Harus Dikelola?

Manajemen risiko harus mengidentifikasi dan memetakan berbagai jenis risiko yang ditimbulkan oleh Shadow AI :

Risiko Strategis
Organisasi dapat menjadi terlalu bergantung pada keluaran AI tanpa memahami keterbatasannya. Keputusan yang dipengaruhi oleh model AI yang cacat dapat membuat strategi bisnis meleset dari tujuan jangka panjang .

Risiko Operasional
Ini adalah risiko yang paling terlihat. Karyawan tanpa sengaja membagikan informasi rahasia kepada alat AI publik yang menyimpan dan menggunakan data tersebut untuk melatih model masa depan. Data pelanggan, dokumen finansial, kontrak legal, hingga kode sumber semuanya rentan bocor .

Risiko Kepatuhan (Compliance)
Regulasi seperti EU AI Act dan UU Perlindungan Data Pribadi (UU PDP) di Indonesia mengharuskan perusahaan memiliki tata kelola AI yang jelas. Ketika data pelanggan bocor melalui Shadow AI, regulator akan menilai apakah perusahaan telah memiliki perlindungan yang memadai—bukan apakah kebocoran terjadi sengaja atau tidak .

Risiko Reputasi
Satu kesalahan penggunaan AI yang melibatkan data pelanggan atau konten yang bias dapat dengan cepat berubah menjadi krisis hubungan masyarakat. Kepercayaan sulit diraih kembali setelah hilang .

Bagaimana Manajemen Risiko Bisa Bertindak?

1. Perbarui Risk Register dan Lakukan Penilaian Lintas Fungsi

Langkah pertama adalah secara formal memasukkan risiko terkait AI ke dalam risk register perusahaan—mulai dari keandalan konten yang dihasilkan AI, bias data, eksposur pihak ketiga, hingga ketidakpatuhan terhadap regulasi . Penilaian risiko ini harus melibatkan berbagai fungsi: IT, legal, kepatuhan, SDM, dan pemimpin unit bisnis .

Yang perlu diingat, risiko-risiko ini bersifat horizontal—melintasi seluruh aspek bisnis, bukan isolasi satu departemen . Karena itu, kolaborasi lintas fungsi adalah kunci.

2. Klasifikasikan Alat AI Berdasarkan Risiko

Tidak semua penggunaan AI sama berbahayanya. Manajemen risiko dapat membantu mengklasifikasikan alat AI ke dalam beberapa zona :

3. Sediakan Alternatif yang Aman dan Mudah Diakses

Karyawan menggunakan Shadow AI karena jalur resmi terasa lambat atau sulit . Manajemen risiko perlu bekerja sama dengan tim IT untuk menyediakan “AI AppStore” internal yang menampilkan daftar alat AI yang sudah disetujui, dengan kemampuan setara atau lebih baik dari alat publik .

Seperti yang disarankan Telkom Indonesia: “Kalau ingin bantuan, gunakan GPT internal yang sudah kita bangun. Hasilnya juga sama” .

4. Bangun Visibilitas dan Pemantauan Berkelanjutan

Anda tidak bisa melindungi apa yang tidak Anda lihat. Investasi dalam solusi tata kelola dan keamanan terintegrasi memungkinkan organisasi untuk mendapatkan visibilitas ke semua penggunaan AI, termasuk Shadow AI .

Pendekatan modern seperti XDR (Extended Detection and Response) dapat membantu perusahaan mendeteksi aktivitas mencurigakan, perpindahan data yang tidak wajar, dan penggunaan aplikasi tidak resmi yang sebelumnya mungkin tidak terlihat .

5. Pertahankan Manusia dalam Pengambilan Keputusan (Human-in-the-Loop)

Untuk keputusan berisiko tinggi—seperti rekrutmen, evaluasi kinerja, atau transaksi finansial—manajemen risiko harus memastikan bahwa AI hanya memberikan rekomendasi, tetapi manusia memegang persetujuan akhir . Sistem Human-in-the-Loop (HITL) menjaga penilaian manusia tetap berada di pusat keputusan yang bernuansa .

Memanfaatkan Kerangka Kerja yang Sudah Ada

Manajemen risiko tidak perlu memulai dari nol. Ada kerangka kerja yang sudah mapan yang dapat diadaptasi:

• COSO Internal Control Framework: COSO baru saja merilis panduan praktis yang menerjemahkan kerangka pengendalian internal mereka ke dalam pedoman spesifik untuk risiko Generative AI. Pendekatan ini ditujukan bagi manajemen, tim operasional, fungsi risiko dan kepatuhan, hingga auditor internal dan eksternal .

• NIST AI Risk Management Framework (AI RMF): Kerangka ini dibangun di atas empat fungsi utama: map (memahami konteks AI), measure (menilai keandalan dan keakuratan), manage (memprioritaskan risiko dan menerapkan mitigasi), dan govern (budaya dan akuntabilitas di seluruh perusahaan) .

KPMG merekomendasikan agar model tata kelola AI yang efektif mencakup kebijakan yang dipublikasikan secara luas, proses penerimaan AI yang dirombak, evaluasi ulang risiko pihak ketiga dan kontrak, serta keterlibatan pemangku kepentingan yang beragam .

Kesimpulan: Dari “Polisi” Menjadi “Mitra”

Seperti yang ditekankan oleh para pakar, Shadow AI adalah gejala, bukan penyakit. Penyakit sebenarnya adalah kegagalan organisasi untuk menyediakan alat yang pas, proses yang gesit, dan kepercayaan yang dibangun .

Peran manajemen risiko bukanlah menjadi “polisi” yang melarang segala sesuatu, tetapi menjadi mitra yang membantu organisasi menjembatani kesenjangan antara kebutuhan karyawan akan produktivitas dan tata kelola yang bertanggung jawab . Dengan pendekatan ini, Shadow AI bisa berubah dari ancaman menjadi sumber inovasi yang terkendali.