Shadow AI: Ketika Karyawan Menggunakan AI Lebih Cepat daripada Kebijakan Perusahaan

Jution Candra Kirana · 2026-09-17 · Artificial Intelligence

Perusahaan mungkin merasa belum menerapkan AI secara resmi. Masalahnya, karyawannya mungkin sudah lebih dulu menggunakannya. Mulai dari merangkum dokumen, membuat email, menganalisis spreadsheet, menerjemahkan kontrak, menulis source code, sampai membuat presentasi — berbagai pekerjaan sekarang dapat dibantu menggunakan layanan AI yang tersedia hanya dengan membuka browser.

Bagi karyawan, ini adalah cara cepat menyelesaikan pekerjaan. Bagi perusahaan, situasinya bisa berbeda.

Apa yang terjadi jika laporan pelanggan diunggah ke layanan AI menggunakan akun pribadi? Bagaimana jika developer menempelkan potongan source code internal ke sebuah chatbot? Atau staf HR meminta AI menganalisis CV kandidat menggunakan data yang sebenarnya tidak boleh dikirim ke layanan eksternal?

Fenomena inilah yang mulai dikenal sebagai Shadow AI.

Dan tantangannya bukan bagaimana melarang AI, melainkan bagaimana perusahaan mendapatkan manfaat AI tanpa kehilangan kendali atas data, keamanan, dan proses bisnisnya.

Apa Itu Shadow AI?

Shadow AI adalah penggunaan aplikasi, model, platform, atau AI agent untuk kebutuhan pekerjaan tanpa persetujuan, pengawasan, atau kontrol yang memadai dari organisasi.

Konsepnya mirip dengan Shadow IT.

Pada Shadow IT, karyawan menggunakan aplikasi atau layanan teknologi yang tidak dikelola oleh tim IT. Pada Shadow AI, teknologi yang digunakan memiliki kemampuan tambahan untuk membaca, memproses, menghasilkan, dan dalam beberapa kasus bertindak berdasarkan data yang diberikan kepadanya.

Contoh sederhananya:

• Staf keuangan mengunggah spreadsheet transaksi ke chatbot AI pribadi.
• HR menggunakan AI gratis untuk merangkum CV kandidat.
• Developer menyalin source code perusahaan untuk meminta bantuan debugging.
• Marketing mengunggah database pelanggan untuk membuat segmentasi.
• Staf legal meminta AI merangkum kontrak yang bersifat rahasia.
• Karyawan memasang ekstensi AI pada browser tanpa pemeriksaan keamanan.
• Tim membuat AI agent sendiri yang terhubung ke Google Drive atau database internal.

Pengguna dalam kasus tersebut belum tentu memiliki niat buruk.

Sering kali justru sebaliknya: mereka hanya ingin bekerja lebih cepat.

Microsoft dan LinkedIn dalam Work Trend Index 2024 menemukan bahwa 92% knowledge workers yang disurvei di Indonesia telah menggunakan generative AI di tempat kerja. Sebanyak 76% pengguna di Indonesia juga mengatakan membawa tools atau solusi AI mereka sendiri ke pekerjaan, fenomena yang disebut Bring Your Own AI atau BYOAI. Survei global tersebut melibatkan 31.000 orang di 31 negara, termasuk Indonesia. (Source)

BYOAI dan Shadow AI Tidak Selalu Sama

Istilah Bring Your Own AI (BYOAI) dan Shadow AI sering digunakan secara bergantian, tetapi sebenarnya ada perbedaan penting.

BYOAI berarti karyawan menggunakan tools AI pilihan mereka sendiri untuk membantu pekerjaan.

Penggunaannya belum tentu bermasalah jika perusahaan mengetahui dan memperbolehkannya.

Shadow AI muncul ketika penggunaannya berada di luar visibilitas atau kontrol organisasi.

Sebagai contoh:

Dengan kata lain, masalah utamanya bukan semata-mata siapa yang menyediakan AI tersebut, tetapi apakah organisasi memiliki visibilitas dan kontrol terhadap penggunaannya.

Mengapa Shadow AI Semakin Sulit Dihindari?

Ada alasan sederhana: AI memberikan manfaat langsung kepada pengguna.

Seseorang tidak harus menunggu implementasi perusahaan selama berbulan-bulan untuk mencoba AI.

Cukup membuka browser, membuat akun, kemudian mulai bekerja.

Karyawan dapat memperoleh manfaat seperti:

• Membuat draft lebih cepat.
• Merangkum dokumen panjang.
• Membantu analisis data.
• Memperbaiki tulisan.
• Membuat presentasi.
• Membantu coding.
• Mencari ide.
• Membuat formula spreadsheet.
• Menerjemahkan dokumen.
• Mengotomatisasi pekerjaan administratif.

Ketika perusahaan belum menyediakan tools yang sesuai, karyawan akan mencari solusi sendiri.

Inilah alasan mengapa kebijakan “jangan gunakan AI” saja sering kali tidak menyelesaikan masalah.

Penggunaan AI bisa tetap terjadi, hanya saja menjadi semakin sulit terlihat.

Risiko Utama Shadow AI

1. Kebocoran Data Perusahaan

Risiko yang paling mudah terlihat adalah data.

Bayangkan seorang karyawan menulis prompt:

Tolong rangkum laporan penjualan berikut dan cari pelanggan dengan potensi churn tertinggi.

Kemudian ia menempelkan data pelanggan ke sebuah aplikasi AI publik.

Secara teknis, data perusahaan sekarang telah dikirim ke layanan eksternal.

Hal yang sama dapat terjadi pada:

• Data pelanggan.
• Laporan keuangan.
• Kontrak.
• Informasi internal.
• Data karyawan.
• Source code.
• API key.
• Password atau secret.
• Strategi perusahaan.
• Intellectual property.

Data telemetry Netskope dalam laporan Shadow AI and Agentic AI 2025 menunjukkan bahwa data yang dikirim pengguna ke aplikasi generative AI mencakup intellectual property, regulated data, source code, serta secrets. Netskope juga melaporkan rata-rata organisasi dalam dataset mereka mengirim sekitar 8,2 GB data per bulan ke aplikasi SaaS AI. Angka tersebut berasal dari lingkungan pelanggan Netskope sehingga tidak dapat dianggap mewakili semua perusahaan, tetapi menunjukkan besarnya aliran data yang dapat terjadi melalui penggunaan AI. (Netskope)

2. Data Pribadi dan Risiko Kepatuhan

Masalah menjadi lebih serius ketika informasi yang dikirim merupakan data pribadi.

Misalnya:

Nama             : ...
Nomor telepon     : ...
Riwayat transaksi : ...
Pendapatan        : ...
Nomor rekening    : ...
Hasil assessment  : ...

Di Indonesia, pemrosesan data pribadi diatur melalui UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

UU tersebut mengatur antara lain jenis data pribadi, hak subjek data, pemrosesan data, serta kewajiban pengendali dan prosesor data pribadi. Data pribadi tertentu seperti informasi kesehatan, biometrik, genetika, data anak, dan data keuangan pribadi termasuk dalam kategori data pribadi spesifik. (Database Peraturan | JDIH BPK)

Artinya, penggunaan AI untuk memproses data perusahaan tidak boleh hanya dilihat sebagai persoalan produktivitas.

Organisasi juga perlu memahami:

• Data apa yang dikirim.
• Ke mana data dikirim.
• Untuk tujuan apa.
• Siapa yang dapat mengakses.
• Berapa lama data disimpan.
• Bagaimana penyedia layanan menggunakan data.
• Apakah proses tersebut sesuai dengan kebijakan dan regulasi yang berlaku.

3. Perusahaan Tidak Mengetahui AI Apa yang Digunakan

Hari ini mungkin hanya ada satu chatbot.

Besok terdapat:

• AI meeting assistant.
• AI presentation generator.
• AI coding assistant.
• AI browser extension.
• AI spreadsheet assistant.
• AI research assistant.
• AI transcription service.
• AI agent.
• AI plugin.

Masalahnya kemudian berubah dari:

“Apakah karyawan menggunakan AI?”

menjadi:

“AI apa saja yang memiliki akses ke data perusahaan?”

Netskope melaporkan bahwa mereka melacak lebih dari 1.550 aplikasi generative AI SaaS dalam laporan Shadow AI 2025 mereka. Pada organisasi yang diamati, rata-rata terdapat tujuh aplikasi generative AI yang digunakan. (Netskope)

Jumlah layanan yang terus bertambah membuat pendekatan manual seperti membuat daftar larangan satu per satu semakin sulit dipertahankan.

4. Output AI Bisa Salah tetapi Terlihat Meyakinkan

Risiko Shadow AI tidak berhenti pada keamanan data.

AI dapat menghasilkan informasi yang:

• Tidak lengkap.
• Sudah kedaluwarsa.
• Tidak memiliki sumber.
• Salah menghitung.
• Mengarang referensi.
• Salah memahami konteks.
• Menghasilkan kode yang rentan.
• Memberikan rekomendasi yang bias.

Jika organisasi bahkan tidak mengetahui bahwa AI digunakan dalam proses kerja, akan sulit menentukan siapa yang harus memverifikasi hasilnya.

Misalnya staf membuat laporan menggunakan AI lalu menganggap hasilnya benar tanpa melakukan validasi.

Masalahnya bukan AI digunakan.

Masalahnya adalah tidak ada proses yang menentukan kapan output AI harus diperiksa oleh manusia.

NIST melalui Generative AI Profile dari AI Risk Management Framework mendorong organisasi mengelola risiko generative AI secara sistematis dalam proses desain, pengembangan, penggunaan, dan evaluasinya. (NIST)

Shadow AI Mulai Berubah Menjadi Shadow Agent

Generative AI generasi awal biasanya bekerja seperti ini:

User
  ↓
Prompt
  ↓
AI
  ↓
Jawaban

Risikonya sebagian besar berada pada data yang dimasukkan dan kualitas jawaban yang dihasilkan.

Namun, AI agent dapat memiliki pola berbeda:

User
  ↓
AI Agent
  ↓
Baca Email
  ↓
Buka Google Drive
  ↓
Ambil Data
  ↓
Panggil API
  ↓
Update Database
  ↓
Kirim Email

Artinya, AI bukan lagi hanya membaca dan menjawab, tetapi bisa melakukan tindakan.

Cisco menyoroti bahwa penggunaan aplikasi AI dan agent pihak ketiga di luar pengawasan terpusat dapat meningkatkan risiko Shadow AI karena akses dapat terjadi melalui prompt, upload file, maupun integrasi API. Cisco merekomendasikan antara lain discovery, identity management, pembatasan akses, serta pemantauan perilaku agent. (Cisco)

Mengapa Ini Menjadi Isu Besar pada 2026?

Survei EY yang diterbitkan September 2026 menunjukkan adanya jarak antara kebijakan dan praktik AI pada perusahaan besar AS.

Dari 202 eksekutif senior AI yang disurvei pada perusahaan publik dengan pendapatan sedikitnya US$1 miliar:

• 98% mengatakan organisasi mereka memiliki kebijakan AI governance formal.
• 47% mengatakan organisasi mereka pernah melewati proses governance untuk deployment yang dianggap mendesak.
• 26% organisasi yang menggunakan agentic AI mengatakan mereka tidak dapat mendeteksi AI agent yang tidak berizin.
• 36% melaporkan pernah mengalami insiden atau kegagalan AI yang memberikan dampak material seperti kehilangan data, kerugian finansial, gangguan operasional, atau kerusakan reputasi. (EY)

Angka tersebut tidak dapat langsung digeneralisasikan ke seluruh perusahaan atau ke Indonesia karena respondennya merupakan eksekutif perusahaan besar di Amerika Serikat.

Namun, temuannya menunjukkan satu hal penting:

Memiliki kebijakan AI belum tentu berarti perusahaan benar-benar memiliki kontrol terhadap penggunaan AI.

Melarang AI Bukan Solusi Utama

Reaksi pertama terhadap Shadow AI sering kali:

“Block saja semua AI.”

Pada situasi tertentu, memblokir layanan memang diperlukan.

Misalnya ketika:

• Layanan tidak memenuhi standar keamanan.
• Aplikasi tidak memiliki kebutuhan bisnis.
• Data sensitif berisiko keluar.
• Tool memiliki kelemahan keamanan yang belum diperbaiki.

Namun, larangan menyeluruh juga memiliki konsekuensi.

Karyawan yang merasa AI sangat membantu pekerjaannya mungkin akan mencari jalur lain:

Laptop kantor
    ↓ diblokir
Laptop pribadi
    ↓
AI pribadi

Akhirnya organisasi justru kehilangan visibilitas.

Netskope merekomendasikan kombinasi kontrol seperti pemblokiran aplikasi yang tidak disetujui, Data Loss Prevention (DLP), serta real-time user coaching untuk mengarahkan pengguna menuju solusi AI yang telah disetujui. (Netskope)

Pendekatan yang lebih realistis adalah:

Enable → Educate → Monitor → Control

bukan hanya:

Block everything.

Cara Mengelola Shadow AI Tanpa Membunuh Produktivitas

1. Cari Tahu AI Apa yang Sudah Digunakan

Jangan memulai dengan membuat kebijakan.

Mulailah dengan memahami kondisi nyata.

Lakukan inventarisasi:

Tool AI
↓
Digunakan oleh siapa?
↓
Untuk pekerjaan apa?
↓
Data apa yang dimasukkan?
↓
Terhubung ke sistem apa?
↓
Apakah sudah disetujui?

Tidak perlu langsung menghukum pengguna.

Tujuan awal adalah mendapatkan visibilitas.

2. Klasifikasikan Data

Tidak semua data memiliki tingkat risiko yang sama.

Perusahaan dapat menggunakan klasifikasi sederhana:

Dengan sistem seperti ini, pengguna tidak perlu menghafal puluhan aturan.

Mereka cukup memahami:

“Data seperti apa yang boleh saya berikan kepada AI?”

3. Sediakan AI yang Disetujui

Jika perusahaan melarang ChatGPT, Gemini, Copilot, atau tool lain tetapi tidak menyediakan alternatif, masalah Shadow AI kemungkinan tetap ada.

Perusahaan dapat menyediakan beberapa opsi berdasarkan kebutuhan:

• AI untuk productivity.
• AI coding assistant.
• AI untuk data analytics.
• AI internal knowledge base.
• AI untuk customer service.

Tools yang disediakan organisasi dapat dikonfigurasi dengan:

• Enterprise identity.
• Role-based access.
• Logging.
• Data retention policy.
• DLP.
• SSO.
• Audit.
• Access control.

Dengan demikian pengguna tetap memperoleh manfaat AI tanpa harus mencari solusi sendiri.

4. Buat Kebijakan AI yang Mudah Dipahami

Kebijakan sepanjang 40 halaman kemungkinan tidak akan dibaca setiap kali karyawan membuka chatbot.

Gunakan panduan praktis.

Contohnya:

Boleh

• Brainstorming menggunakan informasi publik.
• Memperbaiki grammar.
• Membuat draft awal.
• Membantu menulis formula.
• Membuat contoh kode tanpa informasi proprietary.

Perlu AI yang Disetujui

• Dokumen internal.
• Source code perusahaan.
• Analisis data bisnis.
• Dokumen pelanggan.
• Meeting transcript.

Jangan Dimasukkan

• Password.
• API key.
• Private key.
• Data pribadi sensitif.
• Informasi rahasia yang tidak diperlukan.
• Credential sistem.

Konsepnya harus sederhana sehingga dapat digunakan dalam pekerjaan sehari-hari.

5. Terapkan Human-in-the-Loop

Untuk penggunaan yang memiliki dampak tinggi, output AI tidak boleh menjadi keputusan akhir secara otomatis.

Contohnya:

AI
↓
Recommendation
↓
Human Review
↓
Decision

Hal ini penting pada area seperti:

• Rekrutmen.
• Kredit.
• Keuangan.
• Legal.
• Healthcare.
• Cybersecurity.
• Keputusan terkait pelanggan.

AI dapat membantu melakukan analisis.

Tetapi tanggung jawab keputusan tetap harus jelas.

6. Perlakukan AI Agent Seperti Identitas Digital

Ketika perusahaan mulai menggunakan agentic AI, aturan keamanan perlu berkembang.

AI agent yang dapat:

read database
send email
create ticket
update record
execute code

memiliki risiko yang berbeda dari chatbot biasa.

Gunakan prinsip least privilege.

Sebagai contoh, agent untuk membaca invoice:

READ invoice

tidak otomatis membutuhkan:

DELETE invoice
UPDATE payment
CREATE bank transfer

Cisco merekomendasikan identitas yang jelas, akses dengan hak minimum, pemetaan agent ke pemilik manusia, serta monitoring tindakan agent secara berkelanjutan. (Cisco)

7. Buat AI Registry

Semakin banyak penggunaan AI, semakin penting memiliki daftar resmi.

Contohnya:

AI Registry membantu organisasi mengetahui:

AI apa yang sebenarnya berjalan di dalam perusahaan?

Dari Shadow AI Menuju Governed AI

Tujuan AI governance bukan memperlambat inovasi.

Tujuannya adalah membuat perusahaan bisa menggunakan AI dengan sadar.

Perjalanan sederhananya dapat digambarkan seperti:

Shadow AI
    ↓
Discovery
    ↓
Risk Assessment
    ↓
Approved AI
    ↓
Policy & Access Control
    ↓
Monitoring
    ↓
Governed AI

NIST AI Risk Management Framework menggunakan empat fungsi utama untuk membantu organisasi mengelola risiko AI:

Govern → Map → Measure → Manage

Pendekatan tersebut menekankan bahwa AI governance bukan pekerjaan sekali selesai, tetapi proses yang terus berjalan seiring teknologi dan penggunaan AI berubah. (NIST)

Checklist Sederhana untuk Perusahaan

Sebelum memperluas penggunaan AI, coba jawab pertanyaan berikut:

• Apakah kita mengetahui tools AI yang digunakan karyawan?
• Apakah ada daftar AI yang diperbolehkan?
• Apakah data perusahaan sudah memiliki klasifikasi?
• Apakah karyawan mengetahui data apa yang tidak boleh diberikan kepada AI?
• Apakah perusahaan menyediakan alternatif AI resmi?
• Apakah login AI menggunakan akun perusahaan?
• Apakah aktivitas penting dapat diaudit?
• Apakah terdapat proses evaluasi vendor?
• Apakah output AI untuk keputusan kritis diperiksa manusia?
• Apakah AI agent memiliki permission minimum?
• Apakah terdapat prosedur ketika terjadi insiden AI?
• Apakah kebijakan ditinjau ulang secara berkala?

Jika sebagian besar jawabannya masih “belum”, organisasi mungkin sudah menggunakan AI lebih banyak daripada yang terlihat.

Kesimpulan

Shadow AI muncul bukan karena karyawan sengaja ingin melewati aturan perusahaan.

Sering kali fenomena ini muncul karena ada jarak antara kecepatan perkembangan teknologi dan kecepatan organisasi menyediakan solusi.

Karyawan menemukan bahwa AI membantu pekerjaan mereka, sementara kebijakan, infrastruktur, dan governance perusahaan belum mengikuti.

Karena itu, pertanyaannya tidak lagi:

“Apakah kita harus mengizinkan AI?”

Pertanyaan yang lebih relevan adalah:

“Bagaimana kita memungkinkan karyawan menggunakan AI secara produktif tanpa kehilangan kontrol atas data dan risiko perusahaan?”

Memblokir seluruh penggunaan AI mungkin terlihat sederhana, tetapi tidak otomatis menghilangkan Shadow AI.

Pendekatan yang lebih berkelanjutan adalah mengetahui tools yang digunakan, menyediakan alternatif resmi, mengklasifikasikan data, mengedukasi pengguna, menerapkan kontrol keamanan, dan memastikan manusia tetap terlibat dalam keputusan yang memiliki dampak tinggi.

Karena pada akhirnya, AI yang tidak terlihat jauh lebih sulit dikelola daripada AI yang digunakan secara terbuka dengan aturan yang jelas.

Referensi

1. Microsoft & LinkedIn — Work Trend Index 2024, data Indonesia. Survei global melibatkan 31.000 responden di 31 negara; data Indonesia melaporkan 92% knowledge workers menggunakan generative AI di tempat kerja dan 76% membawa tools AI sendiri. (Source) Microsoft Work Trend Index 2024 — Indonesia

2. EY US — AI Risk and Governance Survey, September 2026. Survei terhadap 202 senior AI decision-makers di perusahaan publik AS dengan pendapatan sedikitnya US$1 miliar. (EY) EY AI Risk and Governance Survey 2026

3. Netskope — Cloud and Threat Report: Shadow AI and Agentic AI 2025. Membahas pertumbuhan penggunaan SaaS GenAI, aliran data menuju aplikasi AI, Shadow AI, dan kontrol keamanan. (Netskope) Netskope Shadow AI and Agentic AI Report

4. Cisco — Zero Trust for Agentic AI. Membahas risiko aplikasi dan agent AI yang digunakan di luar governance serta kontrol seperti discovery, identity, least privilege, dan runtime monitoring. (Cisco) Cisco Zero Trust for Agentic AI

5. NIST — Artificial Intelligence Risk Management Framework: Generative AI Profile. Panduan lintas industri untuk mengidentifikasi dan mengelola risiko generative AI. (NIST) NIST Generative AI Risk Management Profile

6. Pemerintah Indonesia — UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Mengatur jenis data pribadi, pemrosesan, hak subjek data, serta kewajiban pengendali dan prosesor data. (Database Peraturan | JDIH BPK) UU Nomor 27 Tahun 2022 — JDIH BPK

• AI Agent Governance: Saat AI Tidak Hanya Menjawab, tetapi Mulai Bertindak
• 9Router: Cara Menghubungkan Coding Tools ke Banyak Provider AI
• Selamat Tinggal AI 'Halusinasi'? Databricks Rilis 'Genie Ontology' untuk Ubah Cara Kerja Agen AI!