Laporan: 80% Tools AI di Perusahaan Berjalan Tanpa Pengawasan IT

Telset.id – Sebuah laporan terbaru mengungkapkan bahwa 80% tools AI di dalam organisasi berjalan tanpa pengawasan departemen IT. Temuan dari laporan State of Agent Security 2026 milik Reco ini juga mencatat adanya 637 kerentanan yang tersebar di berbagai agen AI dan large language model (LLM), sebuah kondisi yang disebut sebagai risiko operasional baru bagi keamanan data perusahaan.

Laporan yang disusun Reco ini memanfaatkan data dari kerentanan yang dipublikasikan, analisis terhadap 500 server Model Context Protocol, serta telemetri dari platform milik Reco sendiri. Hasilnya, empat dari lima tools AI atau setara 80% di lingkungan enterprise berjalan tanpa pengawasan dari tim IT. Kondisi ini dinilai membuka celah keamanan yang serius karena data perusahaan berisiko terekspos tanpa adanya kontrol yang memadai.

Salah satu temuan yang paling mengkhawatirkan adalah skala penggunaan aplikasi AI di perusahaan kecil. Berdasarkan laporan tersebut, perusahaan dengan skala lebih kecil menggunakan 414 tools AI per 1.000 karyawan tanpa persetujuan IT. Angka ini dinilai sebagai kombinasi dari ekstensi browser dan alur kerja yang berhasil melewati proses review dan persetujuan yang biasanya berlaku.

Risiko utama dari penggunaan AI tanpa pengawasan ini bukan hanya soal kepatuhan, tetapi juga menyangkut keamanan data. Laporan tersebut menilai 500 agen AI dan menemukan bahwa 62% di antaranya memiliki kemampuan untuk membaca data lokal sekaligus terhubung ke internet. Kombinasi kemampuan ini dinilai menjadi celah besar untuk terjadinya eksfiltrasi data atau pencurian data secara diam-diam dari dalam sistem perusahaan.

Risiko Data dari AI yang Tidak Terpantau

Memberikan akses tools AI kepada karyawan memang bisa meningkatkan produktivitas, tetapi penggunaannya tetap harus melalui proses persetujuan. Hal ini menjadi poin utama yang ditekankan dalam laporan Reco. Tanpa proses tersebut, perusahaan tidak akan pernah tahu secara pasti tools apa saja yang digunakan karyawannya dan ke mana data-data internal mengalir.

Selain temuan soal 62% agen AI yang bisa mengakses data lokal dan internet, laporan ini juga mengidentifikasi 637 kerentanan yang terkait dengan agen AI. Kerentanan ini tersebar di berbagai lapisan, mulai dari celah pada aplikasi hingga kelemahan pada model AI yang digunakan. Jika tidak segera diatasi, celah-celah ini bisa dimanfaatkan untuk mengakses data sensitif perusahaan.

Adopsi AI saat ini tidak lagi terbatas pada penggunaan aplikasi SaaS tertentu atau sekadar mengunjungi ChatGPT. Reco menemukan bahwa agen AI kini berjalan di dalam berbagai tools lain dan mewarisi izin akses dari pengguna. Artinya, ketika seorang karyawan memberikan izin tertentu kepada sebuah aplikasi, agen AI yang tertanam di dalamnya juga otomatis mendapatkan izin yang sama, termasuk akses ke data internal yang seharusnya tidak boleh diakses oleh pihak ketiga.

Analisis telemetri yang dikumpulkan dari 62 perusahaan enterprise di sektor layanan keuangan, kesehatan, ritel, dan telekomunikasi antara 1 Januari hingga 1 Agustus 2026 mengungkapkan adanya sikap yang cenderung bebas dalam adopsi AI. Meskipun banyak perusahaan telah memiliki kebijakan dan prosedur untuk menilai, mengevaluasi, dan menyetujui tools AI baru, proses tersebut kerap diabaikan untuk aplikasi-aplikasi yang dianggap kelas bawah atau tidak terlalu penting.

Aturan yang berlaku saat ini dinilai efektif untuk pengawasan pengadaan SaaS, tetapi tidak berlaku untuk ekstensi browser. Akibatnya, celah ini menghasilkan apa yang disebut sebagai “risiko operasional”. Ekstensi browser yang dipasang karyawan bisa memiliki akses ke data yang sedang dibuka di browser, dan jika ekstensi tersebut terhubung ke layanan AI eksternal, maka data tersebut berisiko bocor ke luar perusahaan.

Ofer Klein, CEO Reco, menyatakan bahwa agen AI telah berpindah dari tahap eksperimen ke alur kerja bisnis sehari-hari. Namun, temuannya menunjukkan hanya 20% tools AI di ekosistem enterprise yang saat ini berada di bawah pengawasan IT. Kondisi ini membuat organisasi terekspos pada kelas risiko operasional baru yang sebelumnya tidak pernah terbayangkan.

“Agen yang tertanam dalam aplikasi dapat beroperasi melalui izin yang ada, hibah OAuth, dan akses alur kerja, menciptakan kombinasi beracun yang mengekspos data dan memicu tindakan di luar apa yang disetujui pemiliknya,” ujar Klein. Pernyataan ini menegaskan bahwa bahaya tidak hanya datang dari tools AI yang berdiri sendiri, tetapi juga dari integrasi tersembunyi yang melekat pada aplikasi yang sudah digunakan perusahaan sehari-hari.

Langkah yang Perlu Diambil Organisasi

Organisasi perlu memberikan sumber daya yang memadai bagi tim IT untuk mengelola dan membatasi penggunaan AI yang tidak sah. Tanpa langkah ini, perusahaan diibaratkan membiarkan pintu terbuka lebar bagi kemungkinan eksfiltrasi data. Tim IT harus memiliki visibilitas penuh terhadap tools AI apa saja yang digunakan karyawan, baik itu aplikasi SaaS, ekstensi browser, maupun agen AI yang tertanam di dalam aplikasi lain.

Laporan ini menambah daftar panjang kekhawatiran terkait keamanan AI di lingkungan kerja. Sebelumnya, berbagai penelitian juga telah menyoroti bagaimana penggunaan AI yang tidak terkontrol bisa membawa masalah keamanan yang lebih besar daripada manfaat yang diberikan. Pola yang sama juga terlihat pada isu lain seperti penggunaan browser yang dipaksakan oleh sistem operasi tertentu, di mana pengguna akhirnya mencari celah untuk tetap menggunakan aplikasi pilihan mereka.

Dalam konteks yang lebih luas, temuan ini menunjukkan bahwa kecepatan adopsi AI di dunia kerja jauh melampaui kemampuan perusahaan untuk mengawasinya. Kebijakan yang ada sering kali tertinggal dari praktik di lapangan, dan karyawan cenderung mencari cara tercepat untuk menyelesaikan pekerjaan tanpa memikirkan implikasi keamanannya.

Bagi perusahaan yang ingin mulai membereskan masalah ini, langkah pertama yang bisa dilakukan adalah melakukan audit menyeluruh terhadap semua tools AI yang digunakan di lingkungan kerja. Setelah itu, buat daftar tools mana saja yang telah disetujui dan mana yang berjalan tanpa izin. Langkah berikutnya adalah menetapkan kebijakan yang jelas tentang tools AI apa saja yang boleh digunakan dan bagaimana proses persetujuannya.

Tim IT juga perlu diberikan kewenangan dan alat yang cukup untuk memantau penggunaan AI secara real-time. Ini termasuk kemampuan untuk mendeteksi ekstensi browser baru yang dipasang karyawan, memantau izin akses yang diberikan ke aplikasi pihak ketiga, serta meninjau secara berkala agen AI yang tertanam di dalam aplikasi bisnis yang sudah berjalan.

Laporan Reco ini menjadi pengingat bahwa transformasi digital yang mengadopsi AI harus diimbangi dengan tata kelola yang kuat. Tanpa pengawasan yang memadai, tools yang seharusnya meningkatkan produktivitas justru bisa menjadi pintu masuk bagi kebocoran data yang merugikan. Perusahaan yang ingin memanfaatkan AI secara aman harus memastikan bahwa setiap tools yang digunakan telah melalui proses review yang ketat dan berada dalam pengawasan tim IT.

Ke depannya, kolaborasi antara tim bisnis yang ingin mengadopsi AI dan tim IT yang bertanggung jawab atas keamanan menjadi kunci. Keduanya harus duduk bersama untuk memahami kebutuhan masing-masing, mencari solusi yang tidak hanya produktif tetapi juga aman, serta memastikan bahwa setiap keputusan adopsi AI didasarkan pada pertimbangan risiko yang matang, bukan hanya karena tren atau tekanan kompetitif.

Dengan semakin banyaknya agen AI yang digunakan di lingkungan enterprise, pertanyaan tentang siapa yang bertanggung jawab saat terjadi insiden keamanan juga menjadi semakin relevan. Apakah tanggung jawab ada pada pengguna yang memasang tools tanpa izin, pada tim IT yang gagal mengawasi, atau pada vendor yang menyediakan tools tersebut? Jawaban atas pertanyaan ini akan menentukan bagaimana perusahaan menyusun strategi keamanan mereka ke depan.

Untuk saat ini, satu hal yang jelas: organisasi tidak bisa lagi membiarkan penggunaan AI berjalan tanpa kontrol. Laporan Reco menunjukkan bahwa risiko yang ada sudah terukur dan nyata. Tinggal bagaimana perusahaan merespons temuan ini dengan kebijakan yang tegas dan langkah konkret di lapangan.