Bayangkan seorang auditor ISO 42001 datang ke perusahaan Anda dan mengajukan pertanyaan pertama: “Tunjukkan inventarisasi lengkap sistem AI Anda.” Banyak organisasi gagal dalam 60 detik pertama. Mereka menunjukkan 12 sistem yang disetujui IT, tapi tidak bisa menunjukkan 35 sistem lain yang karyawan beli sendiri dengan kartu kredit pribadi .

Inilah inti tantangan Shadow AI terhadap ISO 42001: Anda tidak bisa mengatur apa yang tidak Anda lihat .

Mengapa ISO 42001 Penting?

ISO/IEC 42001:2023 adalah standar internasional pertama untuk tata kelola sistem kecerdasan buatan yang bertanggung jawab. Ini adalah “adik” dari ISO 27001, tetapi fokusnya bukan pada keamanan data, melainkan pada bagaimana AI digunakan, bagaimana risiko dikelola, dan bagaimana keputusan AI dapat dipertanggungjawabkan .

ISO 42001 bukanlah standar teknis—ini adalah standar sistem manajemen. Fokusnya adalah tata kelola, pengambilan keputusan, dan pengendalian siklus hidup AI . Standar ini mengharuskan organisasi untuk:

  • Mengidentifikasi di mana dan bagaimana AI digunakan

  • Menilai risiko dan dampak nyata

  • Menetapkan akuntabilitas dan pengawasan

  • Membangun kompetensi dan kesadaran di seluruh peran yang relevan 

Shadow AI: “Titik Buta” dalam Implementasi ISO 42001

Shadow AI menciptakan masalah mendasar dalam penerapan ISO 42001: ketidakmampuan untuk memenuhi persyaratan inventarisasi sistem AI.

Klausul 6.2.2 ISO 42001 secara tegas mengharuskan organisasi memelihara inventarisasi lengkap sistem AI, mencakup :

  • Tujuan dan kemampuan sistem

  • Sumber data dan izin akses

  • Titik integrasi dengan sistem perusahaan

  • Klasifikasi risiko dan kontrol yang diterapkan

Ketika karyawan menggunakan alat AI pribadi—akun ChatGPT gratis, ekstensi browser AI, atau agen otonom—sistem ini tidak pernah masuk ke dalam inventarisasi resmi . Ini bukan sekadar “kesenjangan inventaris”—ini adalah kegagalan tata kelola (governance failure) yang membuat seluruh sistem manajemen AI tidak dapat dipertahankan dalam audit .

Dampak Shadow AI terhadap Klausul Kritis ISO 42001

1. Risiko Assessment Tidak Akurat (Klausul 6.1.2)

ISO 42001 mewajibkan organisasi melakukan penilaian risiko untuk setiap sistem AI. Risiko yang dinilai harus mencakup dampak terhadap organisasi, individu, dan masyarakat . Namun, jika 35 sistem AI tidak terlihat, risiko sistem itu tidak pernah dinilai.

2. Statement of Applicability (SoA) Tidak Lengkap (Klausul 6.1.3)

Statement of Applicability adalah dokumen inti yang mendaftar kontrol dari Annex A yang diterapkan dan justifikasi pengecualiannya . Tanpa visibilitas penuh atas sistem AI, SoA menjadi dokumen yang tidak akurat—dan auditor akan menemukan ketidaksesuaian ini .

3. Impact Assessment Terlewat (Klausul 6.1.4)

Klausul 6.1.4 mewajibkan penilaian dampak AI terhadap individu, kelompok, dan masyarakat . Ketika karyawan menggunakan AI untuk menyaring CV atau menganalisis data pelanggan tanpa sepengetahuan perusahaan, dampak terhadap individu tidak pernah dinilai—ini adalah pelanggaran langsung terhadap ISO 42001.

4. Kontrol dari Annex A Tidak Terpenuhi

Shadow AI secara langsung mengganggu kepatuhan terhadap beberapa kontrol Annex A:

Kontrol Annex A Masalah yang Ditimbulkan Shadow AI
A.8 (Use of AI Systems) Penggunaan alat AI tanpa kebijakan yang jelas dan pengawasan manusia 
A.9 (Third-Party Relationships) Vendor AI tidak melalui proses due diligence yang memadai—tidak ada penilaian keamanan atau kepatuhan vendor 
A.6 (Data Governance) Data perusahaan diproses oleh vendor pihak ketiga tanpa kontrol kualitas dan bias data yang memadai 

Mengapa Shadow AI Sulit Dideteksi?

Alat keamanan tradisional tidak dirancang untuk melihat Shadow AI. Seorang karyawan yang menempelkan data pelanggan ke ChatGPT—lalu lintasnya terlihat seperti HTTPS biasa, tidak memicu peringatan DLP. Browser terlihat sebagai satu proses oleh endpoint tools—tidak bisa membedakan tab wiki internal dari tab tempat karyawan menempelkan kode ke AI .

Shadow AI bukan karena kontrol tidak ada, tetapi karena kontrol diterapkan tanpa struktur tata kelola yang memadai .

Apa yang Harus Dilakukan Perusahaan?

1. Bangun Visibilitas Penuh (Klausul 6.2.2)

Langkah pertama dan paling kritis adalah menemukan semua sistem AI yang digunakan. Ini membutuhkan pendekatan teknis, bukan survei :

  • Pantau lalu lintas jaringan ke domain AI yang dikenal

  • Audit ekstensi browser dan aplikasi yang terinstal

  • Deteksi agen AI dan integrasi API

  • Integrasikan data dari pengeluaran kartu kredit, log identitas, dan visibilitas jaringan 

2. Klasifikasikan Sistem AI berdasarkan Risiko

Tidak semua sistem AI sama berbahayanya. Klasifikasikan berdasarkan :

  • Risiko Tinggi: Menyentuh data pelanggan, keputusan keuangan, atau rekrutmen—butuh persetujuan formal

  • Risiko Sedang: Analisis internal non-sensitif—butuh registrasi

  • Risiko Rendah: Alat produktivitas pribadi—dengan panduan penggunaan yang jelas

3. Sediakan Alternatif yang Aman

Karyawan menggunakan Shadow AI karena jalur resmi terasa lambat. Buat jalur yang patuh menjadi pilihan termudah :

  • Sediakan alat AI enterprise yang aman (dengan data tidak digunakan untuk pelatihan model)

  • Buat katalog alat yang disetujui dengan proses cepat

  • Gunakan AI gateway yang memeriksa prompt sebelum dikirim ke AI eksternal

4. Penuhi Kewajiban Literasi AI

ISO 42001 membutuhkan organisasi untuk memastikan personel memiliki kompetensi yang memadai terkait AI. Berikan pelatihan yang bervariasi sesuai peran —jangan hanya dokumen kebijakan 10 halaman yang tidak dibaca siapa pun.

5. Terapkan Tata Kelola Vendor (Kontrol A.9/A.10)

ISO 42001 Annex A.10 mewajibkan organisasi mengelola hubungan pihak ketiga dalam siklus hidup AI. Untuk setiap vendor AI :

  • Lakukan due diligence keamanan dan kepatuhan

  • Tuntut jaminan data tidak digunakan untuk pelatihan model

  • Minta bukti sertifikasi keamanan dan kebijakan retensi data

  • Dokumentasikan dan komunikasikan tanggung jawab vendor dengan jelas

6. Bangun Budaya Pelaporan, Bukan Penghukuman

Shadow AI bersembunyi paling baik dalam ketakutan. Sebaliknya, bangun budaya di mana karyawan merasa aman melaporkan penggunaan AI . Saat menemukan Shadow AI, tanyakan “Apa yang ingin kamu capai?” daripada langsung menghukum .

Kesimpulan

Shadow AI adalah tantangan paling serius dalam penerapan ISO 42001. Standar ini mengharuskan visibilitas penuh, penilaian risiko yang akurat, dan tata kelola yang terdokumentasi—tapi Shadow AI bekerja di luar visibilitas itu.

Kuncinya bukan melarang AI, tetapi membawa penggunaan AI ke dalam tata kelola yang terstruktur . Seperti yang diingatkan para ahli: Anda tidak bisa mengatur apa yang tidak Anda lihat . Dengan visibilitas penuh, kontrol yang tepat, dan budaya yang mendukung, organisasi bisa menerapkan ISO 42001 dengan percaya diri—dan mengubah Shadow AI dari ancaman menjadi inovasi yang terkendali.

Related Posts: