NCSC memperingatkan shadow AI—larangan total justru bukan jawabannya

National Cyber Security Centre (NCSC) Inggris pada 7 September 2026 menerbitkan peringatan tentang shadow AI, yaitu penggunaan teknologi AI yang tidak tercakup dalam sistem dan proses resmi organisasi. Melalui panduan resmi NCSC, lembaga itu meminta organisasi mengurangi risiko, memahami alasan pegawai memakai alat yang belum disetujui, dan menyediakan alternatif aman; menghapus seluruh penggunaan semacam itu dinilai tidak realistis.

Peringatan NCSC yang terbit pada 7 September 2026 itu juga menjadi pokok laporan IT Pro sehari kemudian. Laporan tersebut mencatat hasil riset Microsoft bahwa 71% pegawai Inggris pernah memakai alat AI konsumen yang tidak disetujui di tempat kerja; angka untuk Inggris ini tidak dapat dianggap mewakili Indonesia, tetapi menunjukkan besarnya celah yang mungkin tidak terlihat dalam inventaris perusahaan.

Risiko muncul ketika data dan akses keluar dari pengawasan

Shadow AI bukan sekadar aplikasi yang belum tercantum dalam daftar perangkat lunak. Risiko utamanya muncul ketika data perusahaan atau pelanggan masuk ke layanan yang belum diperiksa kebijakan penyimpanan, retensi, penggunaan data, kontrol privasi, dan pihak pemrosesnya. Organisasi kemudian sulit mengetahui ke mana informasi berpindah dan apakah informasi tersebut masih dapat dihapus atau dikendalikan.

Paparan data sensitif dapat berujung pada insiden keamanan, kehilangan kekayaan intelektual, atau kegagalan memenuhi kewajiban regulasi. Risikonya lebih besar pada agen AI yang diberi akses ke surel, penyimpanan awan, repositori kode, kalender, atau sistem bisnis: pihak yang mengeksploitasi kerentanan agen berpotensi memperoleh data, layanan, dan hak yang memang dapat diakses agen tersebut.

Dalam contoh bersyarat, pegawai memakai akun AI pribadi untuk merangkum kontrak karena alat resmi tidak menyediakan fungsi yang sama. Tujuannya mungkin hanya mempercepat pekerjaan, tetapi perusahaan kehilangan visibilitas atas pemrosesan dokumen, pengaturan retensi, serta akses pihak lain terhadap isinya.

Larangan total tidak menghapus kebutuhan yang mendorong pemakaian

NCSC tidak meminta individu berhenti memakai AI. Inti pendekatannya ialah menekan risiko karena shadow AI diperkirakan tidak akan hilang sepenuhnya. Kebijakan yang hanya memblokir layanan dapat membiarkan penyebab awal tetap ada: alat resmi tidak mampu menyelesaikan tugas, persetujuan terlalu lambat, atau batas penggunaan tidak dipahami.

Karena itu, organisasi perlu menanyakan pekerjaan apa yang hendak diselesaikan sebelum menentukan kontrol. Jawaban tersebut membantu membedakan penyusunan kerangka teks tanpa data internal dari penggunaan yang melibatkan data pelanggan, rahasia dagang, keputusan berdampak penting, atau akses langsung ke sistem perusahaan.

Pemblokiran tetap masuk akal untuk layanan atau aktivitas dengan risiko yang tidak dapat diterima. Namun, kontrol itu perlu dipasangkan dengan pilihan yang telah dinilai, aturan yang jelas mengenai data yang boleh dimasukkan, serta jalur untuk melaporkan kebutuhan baru. Tanpa pasangan tersebut, larangan hanya mengubah saluran penggunaan, bukan menghilangkan permintaannya.

Di Indonesia, pemakaian AI dapat menyentuh kewajiban UU PDP

Ketika masukan ke layanan AI memuat data pribadi, penggunaannya dapat menjadi bagian dari pemrosesan yang harus dipertanggungjawabkan, bukan sekadar eksperimen produktivitas. UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali merekam kegiatan pemrosesan, menjaga kerahasiaan, mengawasi pihak yang terlibat, melindungi data dari pemrosesan tidak sah, serta menentukan tingkat keamanan berdasarkan sifat dan risiko data.

UU tersebut juga mewajibkan penilaian dampak apabila pemrosesan berpotensi menimbulkan risiko tinggi bagi subjek data. Kategorinya mencakup penggunaan teknologi baru dalam pemrosesan data pribadi, tetapi hal itu tidak berarti setiap alat AI otomatis melanggar UU PDP. Penilaiannya tetap bergantung pada data yang diproses, tujuan dan dasar pemrosesan, peran para pihak, serta kontrol yang diterapkan.

Implikasinya, aturan “jangan memasukkan data sensitif” saja belum memberi organisasi informasi yang cukup. Pemeriksaan layanan perlu mencakup tujuan penggunaan, kategori data, akun yang dipakai, retensi, pihak yang dapat mengakses data, mekanisme penghapusan, dan integrasi dengan sistem lain. Alat yang tidak diketahui membuat pencatatan, pengawasan, dan pembuktian kepatuhan menjadi lebih sulit.

Inventaris harus mencatat kebutuhan, bukan hanya nama alat

Adaptasi operasional untuk organisasi Indonesia dapat dimulai dengan inventaris yang menggabungkan pelaporan pegawai, catatan pengadaan, integrasi aplikasi, ekstensi pada perangkat terkelola, dan catatan jaringan yang dikumpulkan sesuai kewenangan serta kebijakan internal. Setiap entri perlu memuat pemilik penggunaan, tujuan bisnis, data yang diproses, dan akses yang diminta agar kebutuhan yang belum dilayani dapat terlihat.

Dari inventaris tersebut, kontrol dapat disusun secara bertingkat:

1. Klasifikasikan data dan aktivitas. Bedakan informasi publik, internal, rahasia, data pribadi, dan data pribadi yang bersifat spesifik; tetapkan kategori yang tidak boleh masuk ke layanan konsumen.
2. Buat jalur permintaan alat. Catat tujuan, jenis data, integrasi, dan tenggat kebutuhan melalui proses singkat dengan penanggung jawab keputusan yang jelas.
3. Batasi izin. Gunakan hak akses minimum, akun perusahaan, autentikasi yang sesuai, pembatasan konektor, dan persetujuan tambahan sebelum AI dapat bertindak pada sistem lain.
4. Sediakan alternatif aman. Untuk kebutuhan yang sah, tawarkan layanan yang telah dinilai beserta konfigurasi privasi dan aturan penggunaan yang mudah ditemukan.
5. Tinjau kembali persetujuan. Perubahan fitur, model, subprosesor, atau ketentuan layanan dapat mengubah profil risiko alat.

Daftar blokir tetap berguna sebagai satu lapisan pengendalian, terutama bagi layanan yang jelas tidak memenuhi persyaratan. Namun, daftar tersebut tidak menggantikan pemetaan penggunaan aktual, klasifikasi data, dan proses yang dapat mengubah kebutuhan pegawai menjadi layanan resmi.

Keberhasilan berarti risiko yang tersembunyi mulai terlihat

Jumlah situs yang diblokir bukan ukuran yang memadai. Organisasi dapat memantau jumlah alat yang ditemukan dan dinilai, waktu penyelesaian permintaan, proporsi kebutuhan yang dialihkan ke alternatif resmi, kejadian pengiriman data terlarang, serta integrasi AI yang masih memiliki izin berlebihan. Perubahan dalam pelaporan sukarela juga dapat menunjukkan apakah pegawai bersedia mengungkap penggunaan yang belum disetujui.

Posisi yang kini terkonfirmasi adalah bahwa shadow AI perlu dikenali dan risikonya dikurangi tanpa menganggap seluruh pemakaiannya dapat dihapus. Panduan tersebut tidak menghasilkan satu daftar produk atau ambang risiko yang berlaku bagi semua organisasi. Pekerjaan selanjutnya berada pada masing-masing perusahaan: menemukan pemakaian aktual, menilai data dan izin yang terlibat, lalu melihat apakah alternatif resmi benar-benar mengurangi penggunaan yang tidak terpantau.

Baca juga:

• Valuasi startup bukan tebakan: pilih metode sesuai data yang tersedia
• Archive mendapat pendanaan baru—nilainya justru tidak diumumkan
• Media kit kreator bukan sekadar pengikut—data ini yang dicari brand