Shadow AI—penggunaan alat kecerdasan buatan oleh karyawan tanpa sepengetahuan tim TI—telah menjadi tantangan besar bagi banyak perusahaan. Di satu sisi, karyawan ingin bereksperimen dengan teknologi baru untuk meningkatkan produktivitas. Di sisi lain, alat yang tidak diawasi dapat membuka celah keamanan dan pelanggaran kepatuhan.
Namun, refleks untuk sekadar melarang justru sering berdampak sebaliknya: penggunaan AI tidak berhenti, hanya bergerak lebih tersembunyi . Lalu bagaimana perusahaan bisa mengendalikan penggunaan AI tanpa mematikan semangat inovasi?
1. Ubah Pola Pikir: Dari “Melarang” Menjadi “Mengarahkan”
Alih-alih memandang Shadow AI sebagai ancaman yang harus dihapus, para pemimpin mulai melihatnya sebagai sinyal berharga tentang kebutuhan operasional yang nyata . Karyawan menggunakan alat tertentu karena ada celah dalam alur kerja yang perlu diisi .
Pendekatan yang lebih konstruktif adalah menganggap penggunaan AI karyawan sebagai prototipe awal. Alih-alih menghukum, perusahaan bisa menyediakan jalur cepat bagi tim untuk mengembangkan dan mengamankan solusi yang mereka bangun .
2. Buat Kebijakan yang Jelas, Bukan Sekadar Aturan Kaku
Langkah pertama yang paling penting adalah membuat kebijakan AI perusahaan yang jelas—lengkap dengan pedoman teknis . Kebijakan ini harus menjawab pertanyaan:
Alat AI apa yang boleh digunakan?
Data apa yang boleh diproses di luar lingkungan perusahaan?
Siapa yang bertanggung jawab atas kepatuhan?
Namun, penelitian dari MIT Sloan Management Review menunjukkan bahwa kebijakan perusahaan saja tidak cukup. Sebanyak 72% profesional percaya bahwa meskipun kantor pusat harus menetapkan pedoman umum, setiap tim perlu membuat aturan sendiri sesuai konteks pekerjaan mereka . Pendekatan “satu ukuran untuk semua” jarang berhasil karena kebutuhan tim pemasaran, keuangan, dan teknik sangat berbeda.
3. Buat Jalur yang Aman dan Mudah Diakses
Karyawan menggunakan alat AI sembarangan karena jalur resmi sering terasa lambat dan rumit. Solusinya: buat jalur yang patuh menjadi pilihan termudah.
Beberapa cara yang bisa dilakukan:
Sediakan alat AI internal yang aman dengan fitur seperti SSO (login tunggal), log audit, dan jaminan data tidak digunakan untuk pelatihan model .
Buat “taman bermain AI” (sandbox) yang diawasi di mana karyawan bisa bereksperimen dengan alat yang sudah disetujui .
Sediakan “toko aplikasi” internal untuk AI, seperti halnya toko aplikasi ponsel, di mana karyawan bisa menemukan alat yang sudah divalidasi .
4. Kelola Data, Bukan Alatnya
Salah satu pendekatan paling inovatif adalah mengelola data, bukan melarang alat. Dengan kerangka “kepercayaan data” (data trust), informasi diklasifikasikan berdasarkan tingkat sensitivitasnya. Setiap alat AI yang terhubung otomatis dibatasi aksesnya berdasarkan kredensial keamanan alat tersebut. Dengan cara ini, karyawan tetap bisa memilih alat apa pun yang mereka suka, tetapi data sensitif tetap terlindungi.
Langkah awal yang lebih sederhana: pastikan data yang sensitif diberi label dan dienkripsi sehingga tidak bisa diunggah atau disalin ke alat yang tidak sah .
5. Libatkan Tim TI Sejak Awal
Kesalahan klasik adalah melibatkan tim keamanan dan TI hanya ketika masalah sudah terjadi. Sebaliknya, libatkan mereka sejak tahap perencanaan strategis . Ketika tim TI dilibatkan sejak awal dalam diskusi tentang alat AI baru, mereka bisa membantu merancang kerangka tata kelola yang seimbang—bukan sekadar bereaksi di akhir.
6. Bangun Budaya Transparansi, Bukan Ketakutan
Jika karyawan takut dihukum karena menggunakan AI, mereka akan menyembunyikannya. Inilah yang justru menciptakan “titik buta” keamanan .
Langkah-langkah budaya yang bisa diterapkan:
Beri periode amnesti di mana karyawan didorong mengungkapkan penggunaan alat AI yang tidak sah tanpa takut sanksi. Tujuannya untuk memahami alat apa yang benar-benar memberi nilai bisnis .
Adakan sesi berbagi bulanan di mana tim memamerkan bagaimana mereka menggunakan AI untuk memecahkan masalah tertentu. Ini membangun literasi AI sekaligus mengidentifikasi alat yang bermanfaat .
Buat “guild AI” internal di mana karyawan bisa berbagi otomatisasi, mendapat tinjauan rekan, dan mengakses API serta dataset yang aman .
7. Jadikan Tata Kelola sebagai Proses Berkelanjutan
AI berkembang cepat. Kebijakan yang dibuat hari ini mungkin sudah usang enam bulan kemudian. Karena itu, tata kelola AI harus diperlakukan sebagai proses hidup, bukan proyek sekali jadi .
Beberapa praktik:
Pantau terus alat AI yang muncul dan bagaimana karyawan menggunakannya .
Gunakan AI itu sendiri untuk membantu tata kelola—misalnya, untuk mengevaluasi proyek AI baru secara instan dan memberi peringatan dini .
Buat inventarisasi alat AI secara rutin, bukan audit tahunan .
Kesimpulan
Mengendalikan Shadow AI bukanlah tentang memilih antara keamanan dan inovasi. Keduanya bisa berjalan beriringan. Kuncinya adalah mengubah pendekatan dari “melarang” menjadi “memungkinkan” —menyediakan alat yang aman, membuat kebijakan yang jelas namun fleksibel, dan membangun budaya di mana karyawan merasa aman untuk berbagi dan berinovasi.
Seperti yang disarankan para ahli: jadikan jalur yang patuh sebagai pilihan termudah, kelola data bukan alatnya, dan libatkan tim TI sejak awal . Dengan pendekatan ini, Shadow AI bukan lagi ancaman, melainkan sumber intelijen berharga tentang bagaimana organisasi benar-benar bekerja—dan bagaimana ia bisa bekerja lebih baik lagi
