NIST AI Risk Management Framework untuk Mengelola Shadow AI

Shadow AI—penggunaan alat kecerdasan buatan tanpa sepengetahuan tim TI dan keamanan—kini menjadi salah satu risiko terbesar yang dihadapi perusahaan. Tanpa visibilitas yang memadai, data sensitif bisa mengalir ke platform yang tidak diawasi, menciptakan celah kepatuhan dan keamanan. NIST AI Risk Management Framework (AI RMF) hadir sebagai kerangka kerja yang dapat membantu organisasi mengidentifikasi, mengukur, dan mengelola risiko ini secara terstruktur .

Mengapa NIST AI RMF Penting untuk Shadow AI?

NIST AI RMF dikembangkan oleh lembaga standar Amerika Serikat dan kini diadopsi secara luas di berbagai organisasi global . Framework ini terdiri dari empat fungsi inti yang saling terkait: Govern, Map, Measure, dan Manage . Keempat fungsi ini membentuk siklus tata kelola AI yang berkelanjutan—bukan sekadar checklist kepatuhan .

Yang menarik, NIST AI RMF tidak menggunakan istilah “Shadow AI” secara eksplisit, tetapi kerangkanya dirancang untuk mengatasi masalah ini melalui pendekatan inventarisasi dan penilaian risiko yang sistematis . Seperti yang diingatkan para pakar: “Anda tidak bisa mengatur apa yang tidak Anda lihat” .

Empat Fungsi Inti NIST AI RMF

1. Govern: Membangun Fondasi Tata Kelola

Fungsi pertama adalah membangun fondasi tata kelola—menentukan siapa yang bertanggung jawab, apa kebijakannya, dan bagaimana risiko dikelola . Ini adalah “jantung” dari keseluruhan framework.

Apa yang perlu dilakukan:

• Tentukan toleransi risiko AI perusahaan—seberapa besar risiko yang bisa diterima?

• Tetapkan akuntabilitas yang jelas: siapa yang menyetujui penggunaan AI? Siapa yang memantau?

• Buat kebijakan yang membedakan alat yang disetujui dan tidak disetujui 

Praktisnya: Regulator akan menanyakan tata kelola terlebih dahulu. Organisasi yang tidak bisa menjawab dengan jelas sudah memiliki kelemahan sebelum auditor melihat kontrol teknis sekalipun .

2. Map: Menemukan dan Menginventarisasi

Fungsi kedua adalah menemukan dan memetakan semua sistem AI yang digunakan—termasuk yang tidak disetujui. Ini adalah langkah krusial karena Shadow AI sering tidak terlihat oleh inventarisasi tradisional .

Apa yang perlu dilakukan:

• Inventarisasi semua AI tools: model, aplikasi, plugin, dan agen otonom 

• Catat pemilik, akses data, dan tujuan penggunaan 

• Klasifikasikan setiap sistem berdasarkan tingkat risiko

Praktisnya: Sebagian besar organisasi yang melakukan inventarisasi AI untuk pertama kalinya menemukan dua hingga lima kali lebih banyak sistem dari yang mereka duga . Data menunjukkan 20-40% alat AI yang digunakan tidak pernah melalui proses persetujuan .

3. Measure: Mengukur dan Menilai Risiko

Setelah risiko teridentifikasi, fungsi ketiga adalah mengukur dampak dan kemungkinan terjadinya . Ini membantu memprioritaskan tindakan pada area yang paling berisiko.

Apa yang perlu dilakukan:

• Lakukan penilaian risiko kuantitatif dan kualitatif

• Uji model untuk bias, akurasi, dan kerentanan keamanan 

• Pantau kinerja model secara terus-menerus (model drift) 

Praktisnya: Banyak organisasi melewatkan langkah ini dan langsung fokus pada pertahanan runtime—menciptakan “perisai rapuh” yang hanya menangani serangan, bukan kerentanan yang mendasarinya .

4. Manage: Mengambil Tindakan

Fungsi keempat adalah mengambil tindakan untuk mengatasi risiko prioritas . Ini adalah tahap di mana kesadaran berubah menjadi tindakan nyata .

Apa yang perlu dilakukan:

• Terapkan kontrol akses dan enkripsi untuk melindungi data 

• Sediakan alternatif yang aman (AI enterprise) agar karyawan tidak perlu mencari jalur gelap 

• Bangun rencana respons insiden untuk kejadian terkait AI 

• Terapkan hak akses minimum untuk identitas non-manusia (token, API key) 

Praktisnya: Melarang total tidak efektif—karyawan akan tetap menggunakan AI, hanya lebih sembunyi-sembunyi. Sediakan “AI Marketplace” internal yang aman sebagai pilihan yang lebih mudah .

Menerapkan NIST AI RMF untuk Shadow AI: Panduan Langkah demi Langkah

Langkah 1: Temukan (Map)

Mulailah dengan inventarisasi menyeluruh—jangan hanya survei, karena karyawan mungkin tidak menyadari alat yang mereka gunakan . Gunakan pendekatan teknis:

• Pantau lalu lintas proxy dan DNS ke domain AI yang dikenal 

• Audit ekstensi browser dan aplikasi yang terinstal 

• Deteksi agen AI dan integrasi API (token OAuth) 

Langkah 2: Klasifikasikan Risiko (Measure)

Setelah menemukan, klasifikasikan berdasarkan tingkat risiko:

Langkah 3: Tata Kelola dan Kontrol (Govern & Manage)

• Buat kebijakan yang praktis, bukan dokumen 10 halaman. Sertakan contoh konkret .

• Perlakukan agen AI seperti karyawan—dengan identitas yang dikelola, akses terbatas, dan siklus hidup yang jelas .

• Sediakan jalur yang patuh menjadi pilihan termudah: alat AI enterprise yang aman, proses persetujuan cepat, dan “AI gateway” yang memeriksa prompt sebelum dikirim ke AI eksternal .

NIST AI RMF dan Regulasi Lain

NIST AI RMF sering digunakan bersama dengan regulasi lain:

• EU AI Act: NIST AI RMF membantu memenuhi persyaratan dokumentasi dan penilaian risiko yang diminta oleh regulasi ini .

• ISO/IEC 42001: Standar sistem manajemen AI yang dapat disertifikasi—NIST AI RMF memberikan panduan praktis untuk implementasinya .

Seperti yang diingatkan para pakar: “Map your controls to NIST AI RMF, the EU AI Act, and ISO 42001” untuk membangun program tata kelola yang komprehensif .

Kesimpulan: Dari Reaktif ke Proaktif

Data menunjukkan bahwa maturitas AI terendah ada pada fungsi Manage—di mana kesadaran berubah menjadi tindakan . Banyak organisasi memiliki kebijakan di atas kertas tetapi gagal menerapkannya secara praktis.

NIST AI RMF menawarkan jalan keluar: pendekatan sistematis yang mengubah Shadow AI dari ancaman menjadi inovasi yang terkendali. Dengan menemukan, mengukur, mengelola, dan mengatur penggunaan AI, organisasi bisa menikmati manfaat AI tanpa mengorbankan keamanan data dan kepatuhan regulasi .

Seperti yang diingatkan oleh para ahli: “Kecepatan tanpa inventarisasi bukanlah inovasi, melainkan risiko yang tidak dikelola” . Saatnya membawa Shadow AI ke dalam tata kelola yang terstruktur.