Shadow AI dalam Perspektif Governance dan Compliance

Shadow AI, atau penggunaan alat kecerdasan buatan tanpa sepengetahuan tim TI dan keamanan, bukan sekadar masalah teknis. Ini adalah tantangan tata kelola dan kepatuhan yang serius bagi setiap organisasi. Ketika karyawan menggunakan AI tanpa izin, perusahaan kehilangan kendali atas data, proses, dan kepatuhan terhadap regulasi. Mari kita bahas dari sisi governance dan compliance.

Mengapa Ini Masalah Governance?

Governance adalah sistem aturan, praktik, dan proses yang digunakan perusahaan untuk mengarahkan dan mengendalikan operasinya. Dalam konteks AI, governance berarti perusahaan harus tahu:

• Alat AI apa yang digunakan

• Oleh siapa

• Untuk tujuan apa

• Dengan data apa

Shadow AI merusak semua ini. Seperti yang diungkapkan seorang pakar: “Jika perusahaan tidak tahu alat AI mana yang digunakan oleh tim mana untuk tugas apa, maka setiap keputusan governance lainnya hanyalah tebakan” .

Tata Kelola yang Hilang

Shadow AI menciptakan “titik buta” di mana data perusahaan mengalir tanpa diketahui. Data yang dimasukkan ke AI publik sering disimpan di server pihak ketiga dan digunakan untuk pelatihan model—tanpa sepengetahuan atau persetujuan perusahaan .

Dampaknya pada governance:

• Tidak ada inventarisasi alat AI yang digunakan

• Tidak ada pemetaan aliran data

• Tidak ada audit trail untuk interaksi AI

• Tidak ada kontrol atas bagaimana data diproses 

Risiko Kepatuhan yang Mengancam

Pelanggaran Perlindungan Data

Ketika karyawan memasukkan data pelanggan atau karyawan ke AI publik, perusahaan sebagai pengendali data tetap bertanggung jawab secara hukum. Di bawah GDPR (Eropa) dan UU Perlindungan Data Pribadi (Indonesia), perusahaan wajib:

• Memiliki dasar hukum yang sah untuk memproses data pribadi

• Memberi tahu subjek data bagaimana data mereka digunakan

• Memenuhi permintaan penghapusan data

Shadow AI membuat semua ini mustahil. Data yang sudah masuk ke model AI sulit, bahkan tidak mungkin, untuk dihapus . Seperti yang diingatkan pengawas data Eropa: “Sekali data dimasukkan ke sistem yang tidak disetujui, hampir mustahil untuk melacak atau memantau ke mana informasi itu pergi” .

EU AI Act: Ancaman Baru

EU AI Act, regulasi AI pertama di dunia, mulai berlaku dan membawa konsekuensi berat. Beberapa poin penting :

Yang mengkhawatirkan: jika seorang karyawan HR menggunakan alat AI untuk menyaring CV tanpa persetujuan, perusahaan secara tidak sadar telah men-deploy sistem AI berisiko tinggi tanpa dokumentasi atau pengawasan yang diperlukan .

Kehilangan Perlindungan Rahasia Dagang

Di banyak negara, termasuk Indonesia, informasi yang dilindungi sebagai rahasia dagang memerlukan langkah-langkah yang wajar untuk menjaga kerahasiaannya. Jika karyawan dengan mudah menempelkan kode sumber atau strategi bisnis ke AI publik, perusahaan mungkin kesulitan membuktikan di pengadilan bahwa mereka telah mengambil langkah-langkah tersebut .

Mengapa Perusahaan Kesulitan Mengelola?

1. Skala yang Tak Terlihat

Rata-rata organisasi menggunakan lebih dari 320 aplikasi AI berbasis cloud, banyak di antaranya tidak dirancang dengan keamanan atau kepatuhan yang memadai . Sebuah studi menemukan bahwa 98% perusahaan memiliki karyawan yang menggunakan aplikasi tidak resmi, dengan rata-rata 1.200 aplikasi per organisasi .

2. Alat Keamanan Tradisional Gagal

Alat keamanan yang ada tidak dirancang untuk mendeteksi Shadow AI :

• Data Loss Prevention (DLP) tidak bisa memeriksa apa yang diketik ke kolom input browser

• CASB hanya memantau aplikasi SaaS yang disetujui—Shadow AI bukan aplikasi yang disetujui

• Endpoint tools melihat browser sebagai satu proses, tidak bisa membedakan tab mana yang digunakan untuk AI 

3. Inventarisasi Manual Tidak Cukup

Banyak perusahaan mengandalkan survei dan spreadsheet untuk inventarisasi AI. Ini bermasalah karena :

• Hanya menangkap satu titik waktu, sementara AI diadopsi setiap hari

• Bergantung pada laporan diri dari orang yang mungkin tidak paham

  

• Menciptakan ilusi kendali yang palsu—jika 60% penggunaan AI terlewat, inventarisasi tidak berguna

Solusi: Membangun Tata Kelola yang Efektif

1. Visibilitas: Temukan Dulu, Baru Bertindak

Langkah pertama adalah mengetahui apa yang digunakan. Ini membutuhkan pendekatan teknis, bukan sekadar survei :

• Pantau lalu lintas jaringan ke domain AI yang dikenal

• Audit ekstensi browser dan aplikasi yang terinstal

• Gunakan AI Gateway untuk visibilitas prompt dan data

2. Klasifikasi Risiko

Tidak semua penggunaan AI sama berbahayanya. Perusahaan perlu mengklasifikasikan berdasarkan :

• Risiko Rendah: Alat produktivitas pribadi—bisa digunakan dengan panduan jelas

• Risiko Sedang: Analisis internal, otomatisasi proses—butuh registrasi dan penilaian dasar

• Risiko Tinggi: Rekrutmen, kredit skor, keputusan hukum—butuh persetujuan formal dan pemantauan berkelanjutan

3. Sediakan Alternatif yang Aman

Karyawan menggunakan Shadow AI karena jalur resmi terasa lambat atau sulit. Solusinya: buat jalur yang aman menjadi pilihan termudah .

• Sediakan alat AI enterprise dengan perlindungan bawaan

• Buat katalog alat yang disetujui dengan proses cepat

• Berikan pelatihan praktis tentang risiko dan penggunaan aman

4. Kebijakan yang Jelas dan Praktis

Kebijakan AI tidak boleh hanya dokumen 10 halaman. Harus :

• Mendefinisikan alat apa yang boleh digunakan

• Menentukan data apa yang boleh dan tidak boleh diproses

• Menyediakan proses persetujuan untuk alat baru

• Disertai pelatihan rutin, bukan sekali jadi

5. Perlakuan AI sebagai Identitas

Karena agen AI adalah “aktor digital” dengan identitasnya sendiri, keamanan masa depan harus memperlakukan setiap agen AI seperti karyawan—dengan identitas yang dikelola, akses terbatas, dan siklus hidup yang jelas .

Kesimpulan: Dari Reaktif ke Proaktif

Shadow AI bukanlah ancaman yang bisa diabaikan. Ini adalah celah governance dan compliance yang nyata, dengan konsekuensi hukum dan finansial yang berat. Mulai dari denda GDPR, sanksi EU AI Act, hingga kehilangan perlindungan rahasia dagang.

Pendekatan yang efektif menggabungkan :

• Visibilitas teknis untuk menemukan penggunaan AI

• Klasifikasi risiko untuk memprioritaskan tindakan

• Alternatif yang aman untuk menggantikan jalur gelap

• Edukasi berkelanjutan untuk membangun kesadaran

Seperti yang diingatkan para ahli: “Anda tidak bisa melindungi apa yang tidak Anda lihat” . Dengan tata kelola yang baik, Shadow AI bisa berubah dari ancaman menjadi sumber inovasi yang terkendali.