Karyawan Pakai ChatGPT dan DeepSeek untuk Kerja, Shadow AI Mulai Jadi Risiko Perusahaan

Penggunaan ChatGPT, DeepSeek, dan berbagai layanan kecerdasan buatan (AI) pihak ketiga oleh karyawan mulai menjadi perhatian perusahaan. 

Penelitian Kaspersky menunjukkan 24% organisasi di Indonesia mengidentifikasi penggunaan alat AI eksternal oleh karyawan sebagai salah satu faktor risiko yang umum terjadi.

Fenomena penggunaan aplikasi AI untuk pekerjaan tanpa pengawasan dan tata kelola memadai tersebut dikenal sebagai Shadow AI. 

Risiko muncul ketika karyawan memasukkan informasi perusahaan, dokumen internal, atau data lain ke layanan AI eksternal tanpa memahami bagaimana data tersebut diproses dan dikelola.

Masalah ini tidak hanya terjadi di Indonesia. Di kawasan Asia Pasifik, sebanyak 30% responden mengidentifikasi penggunaan alat AI eksternal oleh karyawan sebagai faktor risiko yang umum terjadi.

India mencatat proporsi tertinggi sebesar 36%, disusul Malaysia 35%, Vietnam 33%, Tiongkok 31%, Indonesia 24%, dan Thailand 18%.

Perhatian terhadap keamanan AI juga semakin meluas. Sebanyak 13% perusahaan di Asia Pasifik mengidentifikasi kerentanan AI sebagai salah satu ancaman keamanan siber utama. 

Angkanya memang masih berada di bawah eksploitasi kerentanan perangkat lunak sebesar 20% dan phishing 19%, tetapi menunjukkan risiko yang muncul seiring semakin luasnya penggunaan AI.

Di Indonesia, 10% organisasi mengidentifikasi kerentanan AI sebagai ancaman keamanan siber utama. 

Persentasenya berada di bawah India 20%, Malaysia 15%, serta Thailand dan Vietnam yang masing-masing mencapai 13%. Adapun Tiongkok mencatat 7%.

Alih-alih melarang sepenuhnya, sebagian besar organisasi memilih mengatur penggunaan AI eksternal oleh pekerjanya.

Survei Kaspersky menunjukkan 60% organisasi di Asia Pasifik mengizinkan penggunaan alat AI pihak ketiga dengan batasan tertentu. 

Aturan tersebut antara lain berupa larangan memasukkan nama perusahaan atau mengunggah dokumen internal, disertai pedoman dan pelatihan mengenai penggunaan AI secara aman.

Pendekatan tersebut diterapkan oleh 62% organisasi yang disurvei di Tiongkok serta masing-masing 61% di India, Malaysia, dan Vietnam.

Managing Director Kaspersky untuk Asia Pasifik Adrian Hia menilai perusahaan mulai bergerak dari pertanyaan mengenai perlu atau tidaknya menggunakan AI menuju persoalan bagaimana teknologi tersebut dapat diterapkan secara bertanggung jawab.

“Salah satu perubahan paling nyata yang kami amati adalah organisasi kini tidak lagi sekadar bertanya apakah AI memiliki peran dalam bisnis, melainkan mulai menentukan bagaimana AI dapat diadopsi secara bertanggung jawab,” kata Adrian.

Menurut dia, perubahan tersebut menunjukkan bahwa keberhasilan transformasi digital tidak lagi hanya diukur dari penerapan teknologi baru, tetapi juga kemampuan perusahaan memahami risiko, membangun tata kelola, dan menjaga kepercayaan ketika penggunaan AI semakin luas.

“Bisnis yang mengintegrasikan keamanan siber ke dalam strategi AI mereka sejak awal akan berada pada posisi yang lebih baik untuk berinovasi dengan penuh keyakinan seiring semakin matangnya adopsi AI,” ujarnya.

Meski risiko meningkat, perusahaan di Asia Pasifik tidak menunjukkan tanda-tanda menghentikan penggunaan AI. 

Survei tersebut mencatat 85% perusahaan secara aktif mendiskusikan, mengembangkan, menerapkan, atau menguji coba alat AI internal berbasis Large Language Model (LLM).

Selain itu, survei menyebut 10% perusahaan telah mengintegrasikan teknologi tersebut ke dalam alur kerja mereka. 

Bagi organisasi yang mengembangkan solusi AI internal, peningkatan kualitas pengambilan keputusan, efisiensi proses, dan pengurangan human error menjadi sejumlah alasan utama adopsinya.

Perkembangan tersebut turut memengaruhi strategi belanja keamanan perusahaan. Secara global, 41% perusahaan yang disurvei menyatakan adopsi AI telah mendorong mereka meningkatkan investasi dalam keamanan informasi.

Group Manager Kaspersky AI Technology Research Centre Vladislav Tushkanov mengatakan percepatan penggunaan AI untuk proses bisnis juga membawa risiko keamanan baru.

“Seiring organisasi secara aktif mengadopsi AI untuk mempercepat proses bisnis dan mengurangi beban kerja rutin, risiko keamanan seperti kerentanan AI dan Shadow AI juga meningkat,” kata Vladislav.

Menurut dia, perusahaan perlu membangun perlindungan yang mampu mendeteksi ancaman sekaligus mempercepat proses investigasi dan respons insiden.

Kaspersky antara lain merekomendasikan penggunaan sistem keamanan yang memberikan perlindungan real-time, visibilitas ancaman, serta kemampuan Endpoint Detection and Response (EDR) dan Extended Detection and Response (XDR).

Teknologi AI juga dapat digunakan dalam sistem keamanan untuk membantu mengotomatisasi proses, menganalisis data ancaman dalam jumlah besar, melakukan klasifikasi malware, hingga menyusun informasi mengenai indikator kompromi atau Indicator of Compromise (IoC).

Namun, teknologi keamanan saja tidak menghilangkan risiko Shadow AI. Tata kelola penggunaan AI, pembatasan terhadap data yang boleh dimasukkan ke layanan eksternal, serta pelatihan karyawan tetap menjadi bagian penting untuk mengurangi potensi kebocoran data dan pelanggaran keamanan.