Di era digitalisasi saat ini, penggunaan aplikasi Artificial Intelligence (AI) menjadi hal yang lumrah di kalangan pemula maupun profesional. Namun kemudahan otomatisasi dan hasil instan yang ditawarkan seringkali dimanfaatkan secara masif dalam pekerjaan tanpa pengawasan yang ketat.
Kondisi inilah yang disebut dengan shadow AI atau AI bayangan. Menggunakan AI untuk menganalisis atau membuat konten bukanlah hal yang keliru.
Namun ketika data perusahaan dimasukkan ke dalam aplikasi tersebut tanpa kontrol yang jelas, hal ini dapat memicu berbagai risiko dan permasalahan krusial bagi organisasi.
Apa Itu Shadow AI?
Shadow AI adalah penggunaan aplikasi Artificial Intelligence (AI) seperti ChatGPT, Gemini, atau Claude oleh karyawan tanpa persetujuan dan pengawasan resmi dari perusahaan.
Umumnya, karyawan menggunakan teknologi AI untuk mengotomatisasi tugas-tugas harian, seperti meringkas dokumen, pengeditan teks, analisis data, hingga menangani pembuatan konten pemasaran.
Dalam praktiknya, penggunaan AI dilakukan dengan tujuan untuk menyelesaikan pekerjaan lebih cepat. Namun, karena penggunaannya berada pada koridor yang belum disetujui oleh perusahaan, hal ini berisiko terhadap keamanan, tata kelola, dan kepatuhan perusahaan.
Mengapa Shadow AI Menjadi Risiko Serius bagi Perusahaan?
Shadow AI dapat menjadi risiko serius bagi perusahaan, karena aktivitas ini bekerja di luar sistem kontrol organisasi tanpa pengawasan. Akibatnya, perusahaan berisiko kehilangan visibilitas dan kontrol atas data, proses, dan keputusan paling tepat.
Sederhananya begini, setiap aplikasi yang akan digunakan oleh karyawan perusahaan harus melalui persetujuan tim IT untuk dicek keamanannya, aksesnya, dan penyimpanannya.
Namun dalam shadow AI, karyawan langsung membuka AI, salin-tempel data perusahaan, kirim ke AI, dan tanpa tahu apakah sistem AI menyimpan data tersebut atau tidak. Hal ini berisiko karena, data yang harusnya tersimpan aman tapi dibagikan ke sistem eksternal.
Pada akhirnya, kondisi ini memicu risiko yang lebih besar, yakni kebocoran dan kehilangan data. Ketika hal ini terjadi, tidak ada kontrol untuk menarik kembali data.
Akibatnya, risiko hukum dan reputasi seperti pelanggaran terhadap bisnis dan kontrak klien dapat terjadi. Sementara perusahaan tidak bisa membuktikan kepatuhan tersebut dan sulit memenuhi permintaan regulator, seperti penghapusan data.
Risiko Penggunaan AI Ilegal dan Tidak Terkontrol
1. Pelanggaran Data dan Keamanan
Karyawan tanpa sadar memasukkan data sensitif ke sistem AI dan AI menghasilkan keputusan bisnis tanpa validasi yang tepat. Akibatnya, data yang dibagikan ke sistem AI tersimpan secara eksternal, tidak bisa dilacak, dan dihapus.
Oleh karena itu, penting untuk menetapkan kebijakan keamanan AI untuk mencegah hal serupa terjadi.
2. Ketidakpatuhan Terhadap Aturan
Penggunaan AI tanpa izin juga membuat perusahaan dihadapkan pada risiko ketidakpatuhan aturan. Sebab, ketika perusahaan patuh terhadap aturan, harusnya mereka mengetahui tempat penyimpanan data, pihak yang mengakses, dan bisa menghapus jika diminta. Namun ketika shadow AI terjadi, perusahaan kehilangan kendali atas data.
Implikasi Keuangan
Biaya AI berbeda dengan biaya aplikasi lainnya, karena umumnya AI memberlakukan biaya per penggunaan, per API call, atau per output.
Ketika karyawan menggunakan AI tanpa kontrol, perusahaan tidak bisa mencatat penggunannya secara terpusat. Sementara setiap tim bisa menggunakan tools atau fitur yang berbeda-beda. Akibatnya, biaya sulit dipantau dan tidak terkendali.
1. Memengaruhi Reputasi
Konten, rekomendasi, atau keputusan yang dihasilkan AI digunakan tanpa verifikasi dan pengawasan, informasi tidak valid dapat merusak kredibilitas perusahaan.
Sebab, keputusan yang dihasilkan berpotensi bias, informasi tidak akurat, dan konten yang disusun menyesatkan.
2. Rentan Misinformasi dan Bias
AI menghasilkan jawaban berdasarkan kombinasi antara input pengguna dan pengetahuan yang telah dipelajari dari data latihannya.
Dalam beberapa kasus, AI dapat memberikan informasi yang tidak akurat atau bias, terutama ketika konteks tidak jelas atau di luar cakupan pemahamannya. Oleh karena itu, hasil AI tetap harus diverifikasi dengan sebaik-baiknya.
Tata Kelola AI Bayangan dalam Konteks GRC
Dalam konteks GRC, tata kelola atau governance dapat menjadi fondasi utama untuk mengendalikan shadow AI. Perumusan tata kelola yang baik dalam perusahaan dapat diwujudkan dengan menetapkan arah, aturan, dan memastikan penggunaan AI berjalan sesuai kebijakan.
Perusahaan juga dapat membentuk komite etik AI untuk mengatasi AI bayangan atau dampak buruk lainnya yang mungkin terjadi. Tim ini akan bertugas untuk menentukan AI mana yang bisa digunakan, data seperti apa yang boleh diunggah ke AI, mengevaluasi risiko keamanan data, dan memonitor penggunaan AI.
Framework Mitigasi Risiko AI untuk Mengelola Shadow AI
Melarang penggunaan AI tanpa menyediakan solusi bukanlah jalan keluar yang dapat menjamin karyawan tidak menggunakan AI. Untuk itu, perusahaan dapat melakukan mitigasi sebagai berikut.
- Sediakan AI yang telah dikurasi oleh perusahaan, dipastikan keamanannya, memenuhi kebutuhan operasional, dan mematuhi standar keamanan, kepatuhan, serta kinerja perusahaan.
- Tetapkan spesifikasi yang jelas dan etika praktik penggunaannya.
- Buat kebijakan penggunaan AI, standar keamanan data, aturan akses, dan tujuan penggunaannya.
- Bentuk tim atau unit khusus yang bertanggung jawab mengelola, mengarahkan, dan mengawasi penggunaan AI agar tetap terkontrol.
- Latih karyawan agar mereka memiliki pengetahuan yang baik dalam menggunakan AI dan dapat mengetahui kapan waktu yang tepat untuk menggunakannya.
- Beri waktu karyawan untuk beradaptasi dengan aplikasi AI di ruang yang aman dan terpantau.
- Gunakan alat pemantauan QA yang dapat menilai apakah tim menggunakan shadow AI secara konsisten dan sesuai dengan kondisi pekerjaannya atau tidak.
Peran Teknologi GRC dalam Mengendalikan Shadow AI
Menurut Deden Wahyudiyanto, Konsultan Independen ERM, GRC, dan ESG, GRC dapat memberikan batasan yang aman bagi penggunaan AI.
- Governance (tata kelola) – pembentukan komite etik AI: alat AI mana yang boleh digunakan, data apa yang tidak boleh dimasukkan dalam AI, dan bagaimana langkah tanggung jawab yang harus ditangani pengguna ketika terjadi kesalahan?
- Risk (manajemen risiko) – penilaian risiko terhadap setiap penggunaan AI. GRC dapat memastikan setiap risiko teridentifikasi sebelum AI digunakan.
- Compliance (kepatuhan) – GRC berperan sebagai sistem yang menjaga perusahaan agar tidak melewati garis hukum. GRC memastikan setiap data dan teknologi AI berada dalam koridor hukum. Aplikasi AI memiliki standar keamanan yang setara dengan kebijakan perusahaan.
Dampak Jika Shadow AI Tidak Dikendalikan
- Kebocoran data dan privasi – data sensitif perusahaan yang tidak sengaja terunggah ke AI mudah terpapar ke publik.
- Pelanggaran regulasi – informasi pribadi milik perusahaan yang terunggah ke AI dapat melanggar undang-undang, aturan, maupun regulasi internal yang saat itu berlaku. Bahkan hal ini juga dapat mencederai kepercayaan klien terhadap perusahaan jika penggunaan AI terbukti menyalahi kontrak.
- Kualitas informasi tidak akurat – AI adalah alat yang dapat menghasilkan jawaban dari pelatihan atau unggahan data yang pernah dilalui, sehingga berpotensi memberikan informasi palsu atau bias.
- Meningkatkan celah keamanan siber – membuka celah bagi pihak luar seperti peretas untuk mengirimkan malware atau link berbahaya melalui AI untuk menargetkan perusahaan.
- Reputasi perusahaan rusak – perusahaan cenderung mendapat sorotan negatif dari media dan publik.
Penutup
Shadow AI merupakan penggunaan AI tanpa pengawasan dan kebijakan resmi dari perusahaan. Aktivitas ini mungkin tampak lumrah di era digital saat ini. Namun sebenarnya, penggunaannya di perusahaan dapat berdampak buruk dan menjadi titik awal bagi berbagai masalah besar.
Untuk mengatasi hal ini, perusahaan tidak bisa hanya melarang penggunaannya, tetapi juga perlu menyediakan pendekatan sistematis melalui GRC. Kerangka kerja GRC dapat menjadi pendekatan yang efektif untuk mengelola dan mengendalikan risiko AI bayangan.
Dalam praktiknya, pendekatan tersebut kurang efektif jika hanya diwujudkan dalam bentuk kebijakan-kebijakan. Untuk memaksimalkannya, gunakan aplikasi audit Audithink untuk mengeksekusi GRC secara nyata dan terukur. Coba demo aplikasi kami melalui laman yang tersedia dan dapatkan penawaran menariknya.
