Telset.id – Insiden keamanan AI paling merusak yang dihadapi organisasi pada 2026 kemungkinan besar tidak berasal dari serangan eksternal menggunakan model canggih. Ancaman tersebut justru lebih mungkin bermula dari karyawan yang menempelkan kontrak klien, proyeksi keuangan, atau data HR ke dalam alat AI karena memudahkan pekerjaan mereka. Fenomena yang dikenal sebagai shadow AI ini menjadi masalah keamanan serius yang diperparah oleh regulasi EU AI Act.
Darren Williams, CEO dan Founder BlackFog, mengungkapkan bahwa hampir separuh karyawan di perusahaan besar secara rutin memasukkan data korporat ke dalam alat AI yang tidak disetujui atau tidak diawasi oleh departemen IT. Lebih mengejutkan lagi, 85% karyawan terus melakukannya bahkan ketika alat resmi perusahaan sudah tersedia. Kondisi ini menunjukkan kegagalan tata kelola yang berakar hingga ke tingkat eksekutif.
Dengan shadow AI, data sensitif dapat bergerak keluar secara diam-diam melalui saluran yang tidak pernah dirancang untuk dicegat oleh sebagian besar tumpukan keamanan. Risiko ini semakin kompleks dengan adanya EU AI Act yang menuntut organisasi memenuhi kewajiban hukum spesifik dalam mengelola penggunaan AI.
Mengapa EU AI Act Menjadi Masalah Tingkat Direksi
Shadow AI merupakan masalah keamanan serius. Laporan IBM 2026 Cost of a Data Breach memperkirakan bahwa alat yang tidak sah berkontribusi pada 43% pelanggaran data selama setahun terakhir. Kini, EU AI Act menambah persyaratan regulasi signifikan di atas risiko-risiko tersebut.
Kewajiban berdasarkan Undang-Undang tersebut telah diterapkan secara bertahap. Organisasi yang diklasifikasikan sebagai penyebar AI umum memiliki kewajiban inventarisasi, tata kelola data, audit logging, dan transparansi baru mulai 2 Agustus 2026. Tenggat lain telah diundur ke depan, dengan kontrol atas penggunaan AI berisiko tinggi—mencakup rekrutmen, penilaian kredit, dan kategorisasi biometrik—mulai berlaku 2 Desember 2027. AI yang tertanam dalam produk yang diatur akan tercakup mulai 2 Agustus 2028.
Organisasi mana pun yang karyawannya menggunakan sistem AI kini memiliki kewajiban kepatuhan sebagai penyebar, terlepas dari apakah sistem tersebut secara resmi disetujui. Kewajiban literasi AI berdasarkan Pasal 4 telah berlaku sejak Februari 2025, yang berarti organisasi bertanggung jawab memastikan karyawan memahami penggunaan AI yang aman dan disetujui.
Aturan penggunaan AI berisiko tinggi juga berlaku lebih luas dari yang terlihat, termasuk karyawan yang menggunakan alat konsumen tidak resmi untuk tugas seperti menyaring CV, menilai kelayakan kredit, dan mengevaluasi kinerja. Dengan denda mencapai hingga €15 juta atau 3% dari omzet tahunan global untuk pelanggaran berisiko tinggi, banyak organisasi membawa eksposur lebih besar dari yang mereka sadari. Ancaman ini semakin relevan mengingat shadow AI mengancam keamanan perusahaan di era AI saat ini.
Baca Juga:
Mengapa Tumpukan Keamanan yang Ada Tidak Bisa Mendeteksinya
Tantangan shadow AI adalah ia mengeksploitasi titik buta antara lapisan keamanan konvensional, menyelinap melalui celah yang tidak dirancang untuk ditutup oleh sebagian besar alat. CASB dan secure web gateway tidak dapat mendekripsi data percakapan yang mengalir ke domain LLM yang sah melalui HTTPS. Dari perspektif jaringan, prompt yang berisi database pelanggan lengkap tidak dapat dibedakan dari sesi web terenkripsi lainnya.
Ekstensi browser terbatas pada endpoint terkelola, buta terhadap perangkat pribadi dan AI yang tertanam dalam SaaS yang disetujui. Demikian pula, API gateway biasanya dibangun di sekitar penerapan perusahaan resmi, yang berarti mereka menangkap aktivitas AI yang telah disetujui organisasi sambil melewatkan alat AI kelas konsumen yang mendorong sebagian besar risiko. Titik buta ini saling memperkuat, sehingga organisasi yang menjalankan ketiga lapisan sekaligus mungkin tetap tidak memiliki visibilitas terhadap aktivitas AI di sebagian besar lini bisnisnya.
Deteksi yang baik memerlukan pendekatan native-endpoint yang mencegat data sensitif di titik pergerakan sebelum mencapai sistem AI eksternal. Ini menegakkan kebijakan di tingkat prompt di seluruh browser terkelola dan tidak terkelola, perangkat pribadi, dan fungsi AI yang tertanam dalam alat SaaS. Pendekatan ini beroperasi di tempat aktivitas terjadi, bukan mencoba menangkapnya di hilir.
Penemuan berkelanjutan di seluruh lini bisnis, termasuk alat yang tidak resmi, memberikan inventarisasi sistem AI yang dibutuhkan oleh Undang-Undang. Log interaksi granular—siapa menggunakan apa, kapan, dan data apa yang terlibat—memenuhi persyaratan dokumentasi berdasarkan Pasal 12 dan 13. Data yang sama menunjukkan dengan tepat di mana kesenjangan literasi AI ada, membuat kepatuhan Pasal 4 dapat dibuktikan.
Tim keamanan dan kepatuhan yang bertujuan mematuhi EU AI Act memiliki jalur yang jelas. Titik awal adalah memetakan seluruh lini bisnis AI. Penemuan perlu melampaui alat yang disetujui IT hingga endpoint tidak terkelola, perangkat pribadi di jaringan korporat, dan AI yang tertanam dalam SaaS. Tata kelola data harus pindah ke endpoint. Kebijakan yang melarang berbagi data sensitif dengan alat tidak resmi bukanlah kontrol teknis—pada saat penegakan terjadi di tepi jaringan, data sudah keluar.
Informasi yang dibagikan dengan sistem AI eksternal dapat disimpan dalam log prompt, dimasukkan ke dalam data pelatihan model, atau disimpan di server di yurisdiksi yang tidak terlihat oleh organisasi. Saat data melintasi batas itu, organisasi kehilangan kendali sepenuhnya. Karena Pasal 12 mensyaratkan catatan interaksi yang dapat diserahkan kepada regulator, organisasi perlu memiliki audit otomatis berkelanjutan terhadap aktivitas dan langkah keamanan.
Program literasi AI yang bertujuan meningkatkan kesadaran pengguna harus didorong oleh data perilaku, bukan program pelatihan generik. Log aktivitas yang menunjukkan di mana kegagalan tata kelola terjadi—di tingkat kepemimpinan senior sama seperti di tempat lain—menyediakan diagnosis masalah dan bukti yang ingin dilihat regulator.
Penting untuk dipahami bahwa shadow AI adalah gejala, bukan penyebab utama masalah tata kelola perusahaan. Mengendalikan aliran data AI pada dasarnya mirip dengan mempertahankan diri dari aktor ancaman eksternal yang mengakses data secara diam-diam, meskipun dilakukan oleh pekerja yang menjalankan tugas tanpa niat jahat. Logika deteksi perlu mencerminkan realitas tersebut.
Mengingat skala denda potensial, kemampuan membuktikan kepatuhan sama pentingnya dengan mencegah pelanggaran keamanan. Organisasi perlu memastikan bahwa setiap lapisan keamanan mereka mampu mendeteksi pergerakan data ke alat AI yang tidak disetujui, sekaligus memenuhi persyaratan dokumentasi yang diminta regulator. Ini bukan lagi sekadar masalah keamanan teknis, melainkan keharusan regulasi dan tata kelola tingkat direksi.
[CONTENT_END]
Komentar
Belum ada komentar.