Penggunaan kecerdasan buatan (AI) di perusahaan semakin luas. AI tidak lagi hanya digunakan untuk membuat ringkasan atau mencari informasi, tapi juga mulai terhubung dengan data internal, aplikasi bisnis, workflow, hingga sistem yang dapat menjalankan tindakan secara otomatis.

Perkembangan ini menciptakan tantangan baru bagi keamanan perusahaan, salah satunya shady AI. Istilah ini merujuk pada penggunaan AI yang sebenarnya sudah disetujui perusahaan, tetapi dimanfaatkan dengan cara yang tidak direncanakan, tidak sesuai kebijakan, atau belum memiliki pengawasan memadai.

Berbeda dengan shadow AI yang menggunakan tools tidak resmi, shady AI justru muncul dari tools yang telah disetujui. Karena itu, risikonya lebih sulit dikenali.

Baca Juga: Pengguna Windows Wajib Waspada, Ada 3 Celah Keamanan Baru

Apa Itu Shady AI?

Shady AI terjadi ketika penggunaan AI resmi berkembang di luar tujuan awal. Perubahan tersebut dapat muncul karena fitur AI bertambah, akses diperluas, atau karyawan menemukan cara baru untuk memanfaatkannya.

Salah satu contohnya terjadi pada Meta pada Maret 2026. Sebuah AI agent internal yang telah disetujui perusahaan memberikan respons secara publik tanpa persetujuan. Karyawan kemudian mengikuti rekomendasinya sehingga data sensitif dapat diakses pegawai yang tidak memiliki izin selama lebih dari dua jam.

Kasus tersebut menunjukkan bahwa menyetujui sebuah AI tool tidak sama dengan menyetujui seluruh cara penggunaannya. Ciri shady AI, antara lain:

• AI yang digunakan sudah resmi disetujui perusahaan.
• Penggunaannya berada di luar kebijakan awal.
• AI memiliki akses terhadap data atau aplikasi lebih luas dari kebutuhan.
• Karyawan membuat workflow atau agent tanpa pengawasan memadai.
• Aktivitas AI sulit dipantau oleh tim IT dan keamanan.

Mengapa Shady AI Menjadi Risiko Keamanan?

Risiko muncul ketika kemampuan AI berkembang lebih cepat daripada governance perusahaan. AI assistant yang awalnya hanya digunakan untuk merangkum dokumen dapat memperoleh kemampuan mencari informasi internal, mengakses aplikasi bisnis, membuat workflow, atau menjalankan tindakan atas nama pengguna.

Jika tidak dikendalikan, kondisi ini dapat menimbulkan:

• Kebocoran dan eksfiltrasi data.
• Risiko pelanggaran kepatuhan.
• Pemborosan biaya AI akibat penggunaan yang tidak perlu.
• Gangguan produktivitas karena pembatasan yang terlalu ketat.
• Beban tambahan bagi tim IT dan keamanan.

Baca Juga: Microsoft Copilot Bisa Bocorkan Data Hanya lewat 1 Klik

Apa yang Mendorong Shady AI?

Semakin banyak perusahaan mengadopsi AI, semakin besar pula peluang munculnya shady AI. Kondisinya menyerupai SaaS sprawl, ketika banyak tools membuat perusahaan semakin sulit memahami cara setiap aplikasi digunakan.

AI juga semakin terintegrasi dengan aplikasi kerja sehari-hari. Akibatnya, kemampuan dan akses AI dapat bertambah tanpa selalu terlihat sebagai perubahan besar bagi pengguna.

Beberapa faktor pendorongnya adalah:

• Jumlah AI tools yang disetujui terus bertambah.
• AI semakin terhubung dengan sistem dan data internal.
• Hak akses AI dapat terlalu luas.
• Fitur AI berkembang lebih cepat daripada kebijakan.
• Karyawan dapat membuat workflow atau aplikasi baru tanpa governance yang memadai.

Bagaimana Perusahaan Mengurangi Risiko Shady AI?

Perusahaan perlu menerapkan governance by default, yaitu menyediakan lingkungan penggunaan AI yang sejak awal sudah memiliki kontrol akses, monitoring, dan batasan keamanan.

Pendekatan ini membuat jalur yang aman menjadi jalur yang paling mudah digunakan karyawan. Perusahaan dapat tetap mendorong inovasi tanpa kehilangan visibilitas terhadap penggunaan AI.

Langkah yang dapat dilakukan meliputi:

• Menginventarisasi seluruh AI tools yang digunakan.
• Mengevaluasi akses AI terhadap data dan aplikasi.
• Menerapkan prinsip least privilege.
• Memantau workflow, aplikasi, dan agent berbasis AI.
• Mengontrol tindakan yang dapat dilakukan AI.
• Memperbarui kebijakan secara berkala.
• Menyediakan lingkungan AI yang aman dan mudah digunakan.

Shady AI menunjukkan bahwa risiko keamanan tidak selalu berasal dari tools yang tidak dikenal. Risiko juga dapat muncul dari AI resmi yang digunakan dengan cara yang tidak diperkirakan. Karena itu, perusahaan perlu menilai bukan hanya apakah AI telah disetujui, tetapi juga bagaimana AI digunakan, apa yang dapat diakses, dan tindakan apa yang dapat dilakukannya.