Bagaimana Shadow AI Memengaruhi Kepatuhan ISO 27001?

Shadow AI—penggunaan alat kecerdasan buatan tanpa sepengetahuan tim TI dan keamanan—bukan sekadar masalah teknis. Ini adalah ancaman langsung terhadap kepatuhan terhadap standar keamanan informasi, terutama ISO 27001. Standar ini mensyaratkan visibilitas penuh atas aset dan aliran data, dan di situlah Shadow AI menciptakan masalah terbesar: Anda tidak bisa mengaudit apa yang tidak Anda lihat .

Shadow AI “Membutakan” Sistem Manajemen Keamanan Informasi (ISMS)

ISO 27001 dibangun di atas prinsip bahwa perusahaan mengetahui dan mengelola semua aset informasinya. Shadow AI merusak fondasi ini dalam beberapa cara utama:

1. Aset Tidak Terdaftar dan Tidak Terkelola

Standar ISO 27001 (khususnya kontrol A.8 untuk Manajemen Aset) mengharuskan setiap aset informasi dicatat dan dikelola . Namun, ketika seorang karyawan menggunakan akun ChatGPT pribadi atau menginstal ekstensi AI tanpa izin, aset-aset ini tidak pernah masuk ke dalam daftar aset resmi perusahaan . Ini menciptakan “titik buta” di mana data perusahaan mengalir ke pihak ketiga tanpa sepengetahuan tim keamanan.

2. Data Keluar dari Kawasan Kontrol

Standar ISO 27001 juga mencakup kebijakan klasifikasi data (A.5.12–A.5.14) dan pencegahan kebocoran data (A.8.12). Namun, ketika data rahasia ditempelkan ke kolom input AI publik, data itu bergerak sebagai lalu lintas HTTPS biasa—seringkali tidak terdeteksi oleh alat keamanan tradisional .

Seperti yang diingatkan oleh para pakar, ini adalah masalah mendasar: dokumen rahasia yang dikirim melalui email akan memicu peringatan DLP (Data Loss Prevention), tetapi dokumen yang sama yang ditempelkan ke ChatGPT seringkali lolos dari deteksi .

3. Vendor AI Tidak Melewati Proses Vetting

ISO 27001 mensyaratkan penilaian keamanan vendor (A.15 untuk Hubungan dengan Pemasok). Alat AI yang digunakan karyawan tanpa izin tidak pernah melalui proses ini. Perusahaan tidak tahu apakah vendor AI memiliki sertifikasi keamanan seperti SOC 2 Type II atau ISO 27001, bagaimana mereka menangani data, atau apakah mereka menggunakan data pelanggan untuk pelatihan model .

4. Akses yang Tidak Terkendali

Kontrol akses (A.9) adalah pilar ISO 27001. Namun, AI Agent dan integrasi API sering beroperasi melalui token akses dan API key—identitas non-manusia yang tidak terlihat oleh alat keamanan tradisional yang hanya memantau login manusia . Seorang karyawan bisa memberikan API key Salesforce-nya ke alat AI, memberikan akses luas ke data pelanggan tanpa melalui proses persetujuan formal .

Mengapa Audit ISO 27001 Bisa “Lolos” Tapi Keamanan Gagal

Seorang lead auditor ISO 27001 bersertifikat, John Verry, menyebut fenomena ini sebagai “Compliance Theatre” (teater kepatuhan). Organisasi sering berfokus pada menghasilkan artefak yang ingin dilihat auditor, bukan benar-benar mencapai tujuan keamanan .

Verry menjelaskan bahwa Shadow AI memperlebar jurang antara apa yang terlihat di audit dan kenyataan di lapangan. Perusahaan mungkin memiliki kebijakan yang sempurna di atas kertas, tetapi di luar sana, karyawan menggunakan alat AI yang tidak pernah diaudit, dengan data yang tidak pernah diklasifikasikan, dan akses yang tidak pernah dikelola .

“Kami tidak pernah melakukan peninjauan manajemen akun pengguna. Tidak ada yang memperbarui penilaian risiko vendor pada vendor penting tertentu,” akui Verry tentang pengalamannya sendiri dalam mempersiapkan sertifikasi . Pengakuan dari seorang lead auditor ini menunjukkan betapa mudahnya kepatuhan berubah menjadi formalitas kosong.

Mengapa ISO 27001 Saja Tidak Cukup untuk AI

ISO 27001 adalah fondasi keamanan yang kuat. Namun, standar ini tidak secara spesifik dirancang untuk mengelola risiko AI. Kesenjangan muncul karena :

• Risiko AI berbeda: ISO 27001 membahas keamanan informasi (kerahasiaan, integritas, ketersediaan). AI memperkenalkan risiko tambahan seperti bias model, prompt injection (serangan melalui perintah tersembunyi), otonomi AI Agent, dan masalah kepatuhan terhadap regulasi seperti EU AI Act .

• Standar AI khusus: ISO 42001 adalah standar khusus untuk Sistem Manajemen AI (AIMS) yang membahas siklus hidup AI, dampak, dan tata kelola—hal-hal yang tidak tercakup secara mendalam dalam ISO 27001 .

Apa yang Harus Dilakukan Perusahaan?

Pakar-pakar menekankan bahwa pendekatan terbaik bukan melarang AI—karyawan akan tetap menggunakannya, hanya lebih sembunyi-sembunyi. Sebaliknya, perusahaan harus memperluas ISO 27001 yang sudah ada untuk mencakup AI .

1. Perluas Kontrol ISO 27001 yang Ada

2. Sediakan Alternatif yang Aman

Jalur resmi harus lebih mudah daripada jalur gelap. Sediakan lingkungan AI enterprise yang aman (seperti ChatGPT Enterprise atau AI internal) yang menjamin data tidak digunakan untuk pelatihan model .

3. Bangun Budaya Pelaporan, Bukan Penghukuman

Shadow AI bersembunyi paling baik dalam ketakutan. Sebaliknya, bangun budaya di mana karyawan merasa aman melaporkan penggunaan AI. Saat menemukan Shadow AI, tanyakan “Apa yang ingin kamu capai?” daripada langsung menghukum .

4. Pertimbangkan ISO 42001 sebagai Pelengkap

ISO 42001 adalah standar khusus untuk tata kelola AI. Banyak kontrol dari ISO 27001 dapat digunakan kembali, dan mengintegrasikan keduanya melalui struktur Annex SL yang sama akan menghemat biaya audit .

Kesimpulan

Shadow AI adalah ancaman nyata terhadap kepatuhan ISO 27001. Ia menciptakan titik buta di mana aset tidak terdaftar, data mengalir tanpa kendali, dan akses tidak dikelola. Namun, solusinya bukan melarang AI, tetapi memperluas sistem manajemen keamanan yang sudah ada untuk mencakup AI. Dengan visibilitas penuh, kontrol yang diperbarui, dan alternatif yang aman, perusahaan bisa tetap patuh terhadap ISO 27001 sambil tetap memanfaatkan kekuatan AI.