Membangun Tata Kelola AI yang Aman dan Fleksibel

Shadow AI—penggunaan alat AI tanpa sepengetahuan tim TI dan keamanan—adalah fenomena yang terjadi di hampir setiap organisasi . Banyak perusahaan bereaksi dengan kebijakan larangan total, tapi pendekatan ini justru kontraproduktif: karyawan tetap menggunakan AI, hanya lebih sembunyi-sembunyi .

Solusi yang lebih cerdas adalah membangun tata kelola AI yang aman sekaligus fleksibel—mengarahkan inovasi ke jalur yang terkendali, bukan mematikannya. Berikut panduan praktisnya.

1. Mulai dari Dasar: Pahami Apa yang Terjadi di Lapangan

Sebelum membuat aturan, Anda perlu tahu sebenarnya apa yang digunakan karyawan. Tidak ada gunanya membuat kebijakan jika Anda buta terhadap realitas di lapangan.

Langkah yang bisa dilakukan:

• Lakukan inventarisasi alat AI yang digunakan di berbagai departemen

• Pantau lalu lintas jaringan ke domain AI yang dikenal

• Lakukan survei anonim untuk memahami kebutuhan dan kebiasaan karyawan

Shadow AI sebenarnya adalah sinyal berharga—ia menunjukkan di mana karyawan merasakan nilai terbesar dari AI . Alih-alih menghukum, gunakan temuan ini untuk memahami kebutuhan nyata yang belum terpenuhi .

2. Buat Kebijakan yang Jelas, Bukan Dokumen Mati

Kebijakan AI yang baik bukanlah dokumen 10 halaman yang tidak dibaca siapa pun. Menurut para ahli, kebijakan yang efektif harus praktis, spesifik, dan ditulis untuk perilaku nyata, bukan perilaku ideal .

Elemen penting dalam kebijakan:

• Alat yang disetujui dan dilarang: Sebutkan secara spesifik alat AI apa yang boleh digunakan dan mana yang tidak 

• Aturan data yang tegas: Data apa yang tidak boleh dimasukkan ke AI publik—misalnya data pelanggan (PII), kode sumber, informasi keuangan 

• Kewajiban review manusia: Hasil AI harus diperiksa oleh manusia yang kompeten, terutama untuk keputusan penting 

• Jalur pelaporan: Ke mana karyawan harus bertanya jika ragu atau ingin menggunakan alat baru 

Ingat: “Jika tidak ada pedoman jelas tentang apa yang boleh dan tidak boleh, karyawan akan melakukan apa yang menurut mereka terbaik” .

3. Terapkan Pendekatan Berbasis Risiko (Risk-Proportionate Governance)

Tidak semua penggunaan AI sama berbahayanya. Pendekatan yang efektif adalah mengklasifikasikan penggunaan AI berdasarkan tingkat risiko .

Pendekatan proporsional ini memungkinkan karyawan tetap produktif untuk tugas berisiko rendah, sambil melindungi perusahaan di area yang benar-benar kritis.

4. Sediakan Jalur Aman yang Lebih Mudah

Shadow AI tidak muncul dari ketidakmauan, tapi dari kebutuhan akan kecepatan dan efisiensi. Ketika proses formal terlalu rumit atau lambat, karyawan mencari alternatif di luar pengawasan tata kelola .

Kuncinya: buat jalur yang patuh menjadi pilihan termudah .

Cara melakukannya:

• Sediakan alat AI enterprise yang aman dengan jaminan data tidak digunakan untuk pelatihan model 

• Buat “AI AppStore” internal dengan alat yang sudah divalidasi

• Gunakan AI gateway yang memeriksa prompt sebelum dikirim ke AI eksternal

• Sediakan lingkungan uji coba (sandbox) untuk eksperimen yang aman 

Salah satu contoh sukses: sebuah sistem kesehatan mengganti larangan dengan menyediakan alat AI yang disetujui dan mudah diakses—hasilnya, penggunaan AI tidak sah turun hingga 89% .

5. Bangun Budaya, Bukan Sekadar Aturan

Kebijakan saja tidak mengubah perilaku. Karyawan perlu memahami mengapa aturan itu ada, bukan hanya apa isinya .

Yang perlu dilakukan:

• Edukasi, jangan hukum: Banyak karyawan menggunakan AI tanpa menyadari risikonya. Beri mereka pemahaman, bukan sanksi di awal 

• Libatkan karyawan dalam menyusun aturan: Mereka yang akan menggunakan AI tahu kebutuhan sebenarnya. Keterlibatan mengubah mereka dari “pelanggar aturan” menjadi “pemilik solusi” 

• Bicaralah dengan pengguna Shadow AI—bukan untuk menghukum, tapi untuk memahami kebutuhan mereka 

• Komunikasikan contoh nyata: Tunjukkan bagaimana perusahaan lain terkena dampak kebocoran data atau pelanggaran kepatuhan 

Seperti yang diingatkan para ahli: “Shadow AI bersembunyi paling baik dalam ketakutan; ia muncul paling cepat dalam kepercayaan” .

6. Bentuk Tim Tata Kelola Lintas Fungsi

Pengelolaan AI bukan hanya tugas tim IT atau keamanan. Ini adalah tanggung jawab bersama . Menurut kerangka tiga lini pertahanan:

• Lini 1 (Bisnis/Operasional): Bertanggung jawab atas penggunaan AI dalam proses mereka

• Lini 2 (Risiko, Privasi, Kepatuhan): Memastikan aplikasi berisiko dinilai dan regulasi diterapkan

• Lini 3 (Audit Internal): Mengevaluasi secara independen apakah proses tata kelola berfungsi efektif 

Tim ini juga harus melibatkan perwakilan dari HR, hukum, dan unit bisnis agar kebijakan mencakup semua perspektif .

7. Pantau, Tinjau, dan Perbarui Secara Berkala

AI berkembang cepat. Kebijakan yang ditulis hari ini mungkin sudah usang dalam enam bulan. Tata kelola AI harus diperlakukan sebagai proses hidup, bukan proyek sekali jadi .

Jadwalkan:

• Tinjauan kebijakan secara rutin (misalnya triwulanan)

• Audit penggunaan AI untuk mendeteksi alat baru

• Pembaruan daftar alat yang disetujui dan dilarang

Setiap temuan Shadow AI adalah kesempatan untuk belajar, bukan sekadar pelanggaran. Gunakan untuk memperbarui kebijakan, melatih karyawan, dan memperkuat kontrol .

Kesimpulan: Tata Kelola yang Seimbang

Membangun tata kelola AI yang aman dan fleksibel bukanlah tentang memilih antara keamanan dan inovasi. Keduanya bisa berjalan beriringan.

Pendekatan yang efektif menggabungkan:

• Visibilitas—tahu apa yang digunakan karyawan

• Kebijakan yang jelas dan praktis—bukan dokumen mati

• Pendekatan berbasis risiko—perlakukan penggunaan yang berbeda secara berbeda

• Jalur aman yang lebih mudah—kurangi insentif untuk jalur gelap

• Budaya edukasi dan transparansi—bukan ketakutan dan penghukuman

• Pemantauan berkelanjutan—karena AI tidak berhenti berkembang

Dengan pendekatan ini, Shadow AI bisa berubah dari ancaman menjadi sumber inovasi yang terkendali. Seperti yang diingatkan para ahli: “AI Governance bukanlah penghalang inovasi, tapi prasyarat untuk adopsi AI yang berkelanjutan” .