Mengelola Shadow AI dengan Pendekatan Berbasis Risiko

Shadow AI bukan masalah kecil. Menurut data, rata-rata perusahaan memiliki 67 alat AI generatif yang berjalan di sistem mereka, dan 90% di antaranya tidak memiliki lisensi atau persetujuan yang tepat. Bahkan, 65% karyawan menggunakan ChatGPT versi gratis, di mana data mereka bisa digunakan untuk melatih model AI dan berpotensi bocor ke publik.

Pendekatan “larang total” sudah terbukti tidak efektif. Karyawan akan tetap menggunakan AI, hanya lebih sembunyi-sembunyi—dan itu justru membuat risiko lebih sulit dikendalikan. Solusi yang lebih cerdas adalah pendekatan berbasis risiko: tidak semua penggunaan AI sama berbahayanya, jadi perlakukanlah secara berbeda.

Mengapa Pendekatan Berbasis Risiko?

Shadow AI bukanlah entitas tunggal. Ia muncul dalam berbagai bentuk, dengan tingkat risiko yang berbeda-beda:

Seperti yang diingatkan oleh para ahli: Shadow AI sebaiknya tidak menjadi “titik buta” organisasi. Tapi juga tidak semua Shadow AI harus dipadamkan—beberapa justru bisa menjadi sumber inovasi yang berharga jika dikelola dengan baik.

5 Langkah Mengelola Shadow AI Berbasis Risiko

Berdasarkan berbagai panduan dari pakar keamanan dan tata kelola, berikut langkah-langkah praktis yang bisa dilakukan:

1. Temukan (Discover)—Ketahui Apa yang Digunakan

Langkah pertama adalah melihat gambaran utuhnya. Anda tidak bisa melindungi apa yang tidak Anda lihat.

Apa yang harus dilakukan:

• Pantau lalu lintas jaringan ke domain AI yang dikenal (ChatGPT, Claude, Gemini, dll.)

• Audit ekstensi browser dan aplikasi yang terinstal di perangkat karyawan

• Deteksi agen AI otonom dan integrasi API yang berjalan tanpa izin

• Lakukan survei anonim untuk memahami alat apa yang benar-benar digunakan karyawan

Mengapa ini penting: Banyak organisasi baru menyadari betapa banyaknya alat AI yang digunakan setelah melakukan audit pertama. Temuan ini akan menjadi fondasi bagi langkah-langkah selanjutnya.

2. Nilai (Assess)—Klasifikasikan Berdasarkan Risiko

Setelah menemukan alat-alat yang digunakan, langkah selanjutnya adalah menilai tingkat risiko masing-masing.

Pertanyaan yang perlu dijawab:

• Data apa yang bisa diakses oleh alat ini?

• Apakah data itu sensitif (pelanggan, keuangan, kode sumber)?

• Apa yang dilakukan vendor AI dengan data yang dimasukkan? Apakah digunakan untuk pelatihan model?

• Di mana data disimpan? Apakah sesuai dengan regulasi perlindungan data?

Berdasarkan penilaian ini, klasifikasikan alat ke dalam beberapa kategori:

• Risiko Rendah: Alat produktivitas pribadi untuk tugas non-sensitif

• Risiko Sedang: Alat yang mengakses data internal tapi tidak rahasia

• Risiko Tinggi: Alat yang mengakses data pelanggan, kode sumber, atau informasi strategis

3. Tata Kelola (Govern)—Buat Aturan yang Jelas

Formalkan temuan dan penilaian Anda ke dalam kebijakan yang jelas dan praktis.

Elemen kebijakan:

• Alat yang disetujui: Daftar AI enterprise yang sudah divalidasi keamanannya

• Alat yang dilarang: Alat AI publik versi gratis yang tidak memiliki perlindungan data

• Data yang tidak boleh dimasukkan: Data pelanggan (PII), kode sumber, informasi keuangan

  

• Proses persetujuan: Jalur cepat bagi karyawan yang ingin mengajukan alat AI baru

Ingat: Kebijakan yang baik bukan dokumen 10 halaman yang tidak dibaca siapa pun. Buatlah aturan yang praktis dan mudah dipahami oleh karyawan sehari-hari.

4. Sediakan Alternatif Aman (Enable)—Buat Jalur Patuh Lebih Mudah

Karyawan menggunakan Shadow AI karena jalur resmi terasa lambat atau sulit—bukan karena niat jahat. Solusinya: buat jalur yang aman menjadi pilihan yang lebih mudah.

Langkah yang bisa dilakukan:

• Sediakan alat AI enterprise yang aman (seperti ChatGPT Enterprise atau Microsoft Copilot) dengan jaminan data tidak digunakan untuk pelatihan model

• Buat katalog alat yang disetujui dengan proses persetujuan yang cepat

• Sediakan AI gateway yang memeriksa prompt sebelum dikirim ke AI eksternal

Dengan menyediakan alternatif yang aman dan mudah diakses, insentif untuk menggunakan alat yang tidak diawasi akan berkurang secara alami.

5. Pantau dan Edukasi (Monitor & Educate)—Proses Berkelanjutan

Pengelolaan Shadow AI bukan proyek sekali jadi. AI berkembang cepat, dan kebijakan perlu diperbarui secara berkala.

Pemantauan:

• Terus pantau alat AI baru yang muncul dan digunakan karyawan

• Audit kepatuhan terhadap kebijakan secara rutin

• Tinjau kembali klasifikasi risiko saat alat AI memperbarui fiturnya

Edukasi:

• Latih karyawan tentang risiko penggunaan AI publik untuk data sensitif

• Jelaskan mengapa kebijakan itu ada, bukan hanya apa isinya

• Ciptakan budaya di mana karyawan merasa aman melapor jika ragu atau jika terjadi kesalahan

Contoh Praktis: Pendekatan “Lampu Lalu Lintas”

Untuk memudahkan pemahaman, banyak perusahaan menggunakan sistem lampu lalu lintas dalam kebijakan AI mereka:

• Hijau (Disetujui): Alat AI enterprise yang sudah divalidasi—boleh digunakan untuk sebagian besar tugas

• Kuning (Terbatas): Alat publik yang berguna tapi belum diaudit—hanya untuk tugas non-sensitif, tanpa data internal

• Merah (Dilarang): Alat berisiko tinggi atau versi gratis tanpa perlindungan data—diblokir di tingkat jaringan

Kesimpulan

Shadow AI adalah fenomena yang tidak bisa dihilangkan dengan larangan. Tapi dengan pendekatan berbasis risiko, perusahaan bisa mengelolanya secara cerdas: melindungi data sensitif dari kebocoran, memastikan kepatuhan terhadap regulasi, dan tetap membuka ruang bagi inovasi karyawan.

Kuncinya adalah membedakan—tidak semua penggunaan AI sama berbahayanya. Temukan apa yang digunakan, nilai risikonya, buat aturan yang jelas, sediakan alternatif yang aman, dan pantau secara berkelanjutan. Dengan cara ini, Shadow AI bisa berubah dari ancaman menjadi sumber inovasi yang terkendali.

Seperti yang diingatkan para ahli: “Shadow AI seharusnya tidak menjadi titik buta organisasi”. Saatnya membawanya ke dalam cahaya—dan mengelolanya dengan pendekatan yang cerdas dan proporsional.