Shadow AI dan EU AI Act: Ancaman Keamanan Perusahaan 2026

Telset.id – Insiden keamanan terkait AI yang paling merusak di organisasi Anda pada tahun ini kemungkinan besar tidak berasal dari serangan eksternal menggunakan model canggih. Ancaman tersebut jauh lebih mungkin dimulai ketika seorang karyawan menempelkan kontrak klien, proyeksi keuangan, atau catatan HR ke dalam alat AI karena mempermudah pekerjaan mereka, tanpa ada yang memberi tahu mengapa hal itu berisiko.

Fenomena ini dikenal sebagai shadow AI, dan riset BlackFog menemukan bahwa hampir separuh karyawan di perusahaan besar secara rutin memasukkan data korporat ke dalam alat AI yang tidak disetujui atau tidak dikelola oleh departemen IT. Yang lebih mencolok, 85% karyawan tetap melakukannya bahkan ketika alat yang disetujui perusahaan tersedia. Kondisi ini menunjukkan kegagalan tata kelola yang berakar hingga ke jajaran eksekutif.

Dengan shadow AI, data sensitif dapat bergerak keluar secara diam-diam melalui saluran yang tidak pernah dirancang untuk dicegat oleh sebagian besar tumpukan keamanan. Risiko ini semakin diperparah dengan hadirnya EU AI Act yang menuntut organisasi memenuhi kewajiban hukum spesifik dalam mengelola penggunaan AI.

Mengapa EU AI Act Menjadi Masalah Level Dewan Direksi

Shadow AI merupakan masalah keamanan serius. Laporan IBM 2026 Cost of a Data Breach memperkirakan bahwa alat yang tidak sah berkontribusi pada 43% pelanggaran data selama setahun terakhir. Kini, EU AI Act menambah beban regulasi signifikan di atas risiko-risiko tersebut.

Kewajiban dalam Undang-Undang tersebut telah diberlakukan secara bertahap. Organisasi yang diklasifikasikan sebagai deployer AI umum memiliki kewajiban baru terkait inventaris, tata kelola data, audit logging, dan transparansi sejak 2 Agustus 2026. Sementara itu, kontrol atas penggunaan AI berisiko tinggi yang mencakup rekrutmen, penilaian kredit, dan kategorisasi biometrik akan berlaku mulai 2 Desember 2027. AI yang tertanam dalam produk yang diatur akan tercakup mulai 2 Agustus 2028.

Setiap organisasi yang karyawannya menggunakan sistem AI kini memiliki kewajiban kepatuhan sebagai deployer, terlepas dari apakah sistem tersebut disetujui secara formal atau tidak. Kewajiban literasi AI berdasarkan Pasal 4 telah dapat ditegakkan sejak Februari 2025. Aturan ini mengharuskan organisasi memastikan karyawan memahami penggunaan AI yang aman dan disetujui.

Aturan tentang penggunaan AI berisiko tinggi juga berlaku lebih luas dari yang terlihat. Seorang karyawan yang menggunakan alat konsumen yang tidak disetujui untuk tugas seperti menyaring CV, menilai kelayakan kredit, atau mengevaluasi kinerja dapat memicu pengawasan penuh dari Undang-Undang tersebut terhadap sistem yang bahkan tidak diketahui oleh departemen IT. Dengan denda hingga €15 juta atau 3% dari omset tahunan global untuk pelanggaran berisiko tinggi, banyak organisasi membawa eksposur yang lebih besar dari yang mereka sadari.

Mengapa Tumpukan Keamanan yang Ada Tidak Bisa Mendeteksinya

Tantangan shadow AI terletak pada kemampuannya mengeksploitasi titik buta antara lapisan keamanan konvensional. CASB dan secure web gateway tidak dapat mendekripsi data percakapan yang mengalir ke domain LLM yang sah melalui HTTPS. Dari perspektif jaringan, prompt yang berisi database pelanggan lengkap tidak dapat dibedakan dari sesi web terenkripsi lainnya.

Ekstensi browser terbatas pada endpoint yang dikelola, buta terhadap perangkat pribadi dan AI yang tertanam dalam SaaS yang disetujui. Demikian pula, API gateway biasanya dibangun di sekitar penerapan perusahaan yang sah, sehingga hanya menangkap aktivitas AI yang telah disetujui organisasi sambil melewatkan alat AI tingkat konsumen yang mendorong sebagian besar risiko.

Titik buta ini saling memperkuat. Organisasi yang menjalankan ketiga lapisan tersebut sekaligus mungkin tetap tidak memiliki visibilitas terhadap aktivitas AI di sebagian besar asetnya, dan tidak memiliki cara untuk menghasilkan log interaksi atau bukti penegakan kebijakan yang diwajibkan oleh Undang-Undang. Kondisi ini menjadikan ancaman shadow AI semakin sulit dikendalikan.

Seperti Apa Deteksi AI yang Baik

Mengendalikan aliran data AI biasanya dikelola oleh pekerja yang menjalankan tugasnya tanpa niat jahat. Namun, hal ini sangat mirip dengan mempertahankan diri dari aktor ancaman eksternal yang diam-diam mengakses data Anda. Logika deteksi harus mencerminkan kenyataan tersebut.

Deteksi native-endpoint mencegat data sensitif di titik pergerakan sebelum mencapai sistem AI eksternal, menegakkan kebijakan di tingkat prompt di seluruh browser yang dikelola dan tidak dikelola, perangkat pribadi, dan fungsionalitas AI yang tertanam dalam alat SaaS. Pendekatan ini bekerja di tempat aktivitas terjadi, bukan mencoba menangkapnya di hilir.

Mengingat skala denda potensial, kemampuan membuktikan kepatuhan sama pentingnya dengan mencegah pelanggaran keamanan. Penemuan berkelanjutan di seluruh aset, termasuk alat yang tidak disetujui, memberikan inventaris sistem AI yang diwajibkan oleh Undang-Undang. Log interaksi granular yang mencatat siapa menggunakan apa, kapan, dan data apa yang terlibat, memenuhi persyaratan dokumentasi berdasarkan Pasal 12 dan 13 tanpa tim harus berjuang merekonstruksi aktivitas setelah kejadian. Data yang sama menunjukkan secara tepat di mana kesenjangan literasi AI berada, membuat kepatuhan Pasal 4 dapat dibuktikan, bukan sekadar diklaim.

Langkah Praktis untuk Kepatuhan

Tim keamanan dan kepatuhan yang bertujuan mematuhi EU AI Act memiliki jalur yang jelas. Titik awal adalah memetakan seluruh aset AI. Penemuan perlu melampaui alat yang disetujui IT hingga mencakup endpoint yang tidak dikelola, perangkat pribadi di jaringan korporat, dan AI yang tertanam dalam SaaS.

Tata kelola data harus dipindahkan ke endpoint. Kebijakan yang melarang berbagi data sensitif dengan alat yang tidak disetujui bukanlah kontrol teknis. Pada saat penegakan terjadi di tepi jaringan, data sudah meninggalkan organisasi. Perlu diingat bahwa informasi yang dibagikan dengan sistem AI eksternal dapat disimpan dalam log prompt, dimasukkan ke dalam data pelatihan model, atau disimpan di server di yurisdiksi yang tidak dapat dilihat organisasi. Saat data melintasi batas tersebut, organisasi kehilangan kendali sepenuhnya.

Karena Pasal 12 mensyaratkan catatan interaksi yang dapat diserahkan kepada regulator berdasarkan permintaan, organisasi perlu memiliki audit otomatis berkelanjutan terhadap aktivitas dan langkah-langkah keamanan. Program literasi AI yang bertujuan meningkatkan kesadaran pengguna harus didorong oleh data perilaku, bukan program pelatihan generik.

Log aktivitas yang menunjukkan di mana kegagalan tata kelola terjadi, termasuk di tingkat kepemimpinan senior, memberikan diagnosis masalah sekaligus bukti yang ingin dilihat regulator. Dengan demikian, organisasi dapat mengatasi shadow AI sebagai gejala dari masalah tata kelola yang lebih dalam, bukan sekadar menutup akses.

Darren Williams, CEO dan Founder BlackFog, menegaskan bahwa insiden keamanan terkait AI yang paling merusak tahun ini kemungkinan dimulai dari karyawan yang mencari kemudahan kerja, bukan dari penyerang eksternal. Organisasi yang gagal membangun tata kelola AI yang komprehensif akan menghadapi risiko keamanan sekaligus sanksi regulasi yang signifikan.

[CONTENT_END]