Shadow AI: Bahaya Karyawan Pakai AI Tanpa Izin bagi Data Perusahaan
Shadow AI adalah pemakaian aplikasi kecerdasan buatan oleh karyawan tanpa sepengetahuan atau persetujuan tim TI dan keamanan perusahaan. Sederhananya, data kantor masuk ke chatbot atau tool AI yang tidak pernah diperiksa siapa pun. Tulisan ini membahas pengertian shadow AI, data biaya kebocorannya menurut IBM 2026, celah tata kelola yang membuatnya berbahaya, kewajiban hukum menurut UU PDP, hingga langkah praktis mengendalikannya di perusahaan.
TLDR
Apa Itu Shadow AI dan Mengapa Muncul di Kantor?
Shadow AI muncul ketika karyawan memakai tool AI pribadi untuk mempercepat kerja, lalu tanpa sadar memasukkan data perusahaan ke layanan yang tidak diawasi.
Berapa Biaya Kebocoran Data Akibat Shadow AI?
Laporan IBM 2026 mencatat shadow AI terlibat di 43 persen insiden dengan biaya rata-rata 5,39 juta dolar AS per kebocoran.
Celah Tata Kelola yang Membuat Shadow AI Berbahaya
Sebanyak 68 persen organisasi yang bocor belum punya tata kelola AI, dan 92 persen kebocoran terkait AI terjadi tanpa kontrol akses yang layak.
Apa Kata UU PDP tentang Data yang Bocor lewat AI?
UU Nomor 27 Tahun 2022 mewajibkan perusahaan menjaga keamanan data pribadi, memberi tahu kebocoran dalam 3 x 24 jam, dan mengatur denda hingga 2 persen pendapatan tahunan.
Cara Mengendalikan Shadow AI di Perusahaan Anda
Kuncinya adalah menyediakan tool AI resmi, menyusun kebijakan yang jelas, memasang kontrol akses, dan melatih karyawan.
Kesimpulan
Shadow AI tidak bisa dihentikan dengan larangan, tetapi bisa dijinakkan dengan alternatif resmi dan tata kelola yang konsisten.
Bayangkan seorang staf keuangan yang dikejar tenggat laporan. Ia menyalin tabel penjualan berisi nama dan nomor telepon pelanggan ke chatbot gratis di ponselnya, meminta ringkasan, lalu menempelkan hasilnya ke presentasi direksi. Pekerjaan selesai dalam lima menit, tetapi data pelanggan kini tersimpan di server pihak ketiga yang tidak pernah dinilai tim keamanan. Situasi seperti ini terjadi setiap hari di banyak kantor, termasuk di Indonesia. Pertanyaannya, seberapa besar risikonya dan apa yang bisa dilakukan perusahaan tanpa mematikan semangat karyawan memakai AI?
Apa Itu Shadow AI dan Mengapa Muncul di Kantor?
Shadow AI adalah penggunaan aplikasi, model, atau fitur kecerdasan buatan di lingkungan kerja tanpa izin dan pengawasan tim TI. Istilah ini turunan dari shadow IT, yaitu pemakaian perangkat lunak di luar jalur resmi. Bedanya, tool AI menyerap dan memproses apa pun yang diketikkan pengguna, termasuk data rahasia perusahaan.
Penyebab utamanya sederhana. Tool AI generatif kini mudah diakses, banyak yang gratis, dan hasilnya terasa langsung. Karyawan yang ingin cepat menyelesaikan email, merangkum notulen, menerjemahkan kontrak, atau menulis kode tidak mau menunggu proses pengadaan berbulan-bulan. Ketika perusahaan belum menyediakan alternatif resmi, mereka mencari jalan sendiri.
Bentuk shadow AI juga makin beragam. Ada akun chatbot pribadi yang dipakai untuk urusan kantor, ekstensi browser yang membaca isi halaman, fitur AI yang diam-diam aktif di aplikasi SaaS yang sudah ada, hingga agen AI yang diberi akses ke email dan penyimpanan dokumen. Banyak dari fitur ini aktif tanpa pernah melewati meja tim keamanan.
Masalahnya bukan pada niat karyawan, yang umumnya justru ingin produktif. Masalahnya ada pada ketiadaan visibilitas. Perusahaan tidak tahu data apa yang keluar, ke layanan mana, disimpan berapa lama, dan apakah dipakai untuk melatih model. Tanpa visibilitas, perusahaan juga tidak bisa membuktikan kepatuhan ketika regulator atau pelanggan bertanya.
Berapa Biaya Kebocoran Data Akibat Shadow AI?
Menurut laporan Cost of a Data Breach 2026 dari IBM, shadow AI terlibat di 43 persen insiden kebocoran yang diteliti, naik dari 20 persen setahun sebelumnya. Rata-rata biaya kebocoran yang melibatkan shadow AI mencapai 5,39 juta dolar AS, lebih tinggi daripada rata-rata global 4,99 juta dolar AS.
Laporan edisi ke-21 ini menganalisis kebocoran di 602 organisasi dari 17 industri dengan periode insiden Maret 2025 sampai Februari 2026, menurut ringkasan Varonis (2026). Riset ini juga mewawancarai 3.558 pemimpin keamanan dan jajaran direksi. Rata-rata biaya kebocoran global sebesar 4,99 juta dolar AS tersebut naik 12 persen dan menjadi rekor tertinggi sepanjang sejarah laporan, menurut IBM (2026).
Dampak shadow AI tidak berhenti pada angka biaya. Menurut analisis firma hukum Baker Donelson (2026) atas laporan IBM, hampir separuh insiden shadow AI berujung pada hilangnya atau terbukanya data, dan lebih dari satu dari lima organisasi melaporkan membayar denda regulator terkait insiden tersebut. Biaya rata-rata kebocoran shadow AI juga naik dari 4,63 juta dolar AS pada laporan tahun sebelumnya.
Waktu juga menjadi faktor mahal. Baker Donelson (2026) mencatat rata-rata waktu untuk mengidentifikasi dan menahan kebocoran mencapai 247 hari, kenaikan pertama dalam lima tahun. Kebocoran yang berlangsung lebih dari 200 hari menelan biaya rata-rata 5,65 juta dolar AS, sedangkan yang tertangani dalam 200 hari rata-rata 4,32 juta dolar AS. Shadow AI memperpanjang waktu ini karena tim keamanan tidak tahu tool tersebut ada.
Celah Tata Kelola yang Membuat Shadow AI Berbahaya
Shadow AI berbahaya karena tumbuh lebih cepat daripada aturan internal perusahaan. Menurut IBM (2026) seperti dirangkum Varonis, tata kelola yang mengatur akses, pemantauan, dan deteksi kebocoran AI tidak ada di 68 persen organisasi yang mengalami kebocoran, memburuk dari 63 persen tahun sebelumnya.
Kontrol akses menjadi titik lemah terbesar. Varonis (2026) mencatat 92 persen kebocoran terkait AI terjadi tanpa kontrol akses AI yang layak, dan hanya 40 persen organisasi yang memasang kontrol akses pada model serta data AI. Artinya, banyak tool AI bisa membaca data yang seharusnya tidak boleh disentuh.
Koordinasi internal juga lemah. Hanya 19 persen organisasi yang melaporkan tim tata kelola dan tim keamanan benar-benar bekerja sama, menurut Baker Donelson (2026). Tim hukum menulis kebijakan, tim TI memasang perangkat, tetapi keduanya jarang duduk bersama untuk memastikan kebijakan itu ditegakkan secara teknis.
Di sisi lain, penyerang ikut memakai AI. IBM (2026) mencatat kenaikan 56 persen serangan berbasis AI, dipimpin peniruan deepfake dan malware yang dibantu AI. Serangan model inversion, yaitu upaya mengorek data latih dari sebuah model, menelan biaya rata-rata sekitar 6 juta dolar AS. Kombinasi serangan yang makin canggih dan tool AI liar di dalam perusahaan membuat permukaan serangan melebar dari dua arah.
Apa Kata UU PDP tentang Data yang Bocor lewat AI?
Di Indonesia, data pribadi pelanggan atau karyawan yang bocor lewat tool AI tetap menjadi tanggung jawab perusahaan sebagai pengendali data. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi berstatus berlaku dan tidak membedakan apakah kebocoran terjadi lewat sistem resmi atau aplikasi AI yang dipakai karyawan diam-diam.
Kewajiban dasarnya tertulis jelas di Pasal 35 UU Nomor 27 Tahun 2022: "Pengendali Data Pribadi wajib melindungi dan memastikan keamanan Data Pribadi yang diprosesnya". Ketika karyawan menempelkan data pelanggan ke chatbot publik, perusahaan sedang memproses data itu lewat pihak ketiga tanpa pengamanan yang bisa dipertanggungjawabkan.
Jika kebocoran terjadi, Pasal 46 ayat (1) mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data pribadi dan lembaga pengawas. Pemberitahuan itu minimal memuat data yang terungkap, kapan dan bagaimana data terungkap, serta upaya penanganannya. Kewajiban ini sulit dipenuhi bila perusahaan bahkan tidak tahu tool AI mana yang dipakai karyawannya.
Sanksinya pun nyata. Pasal 57 mengatur sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan data, penghapusan data, dan denda administratif paling tinggi 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.
Aturan teknisnya juga sudah menyusul. Menurut Katadata (2026), Presiden Prabowo Subianto menandatangani Peraturan Pemerintah Nomor 33 Tahun 2026 tentang pelindungan data pribadi pada 16 Juli 2026, dan aturan ini mulai berlaku 16 Januari 2027. Perusahaan praktis punya waktu kurang dari tiga bulan untuk merapikan pemrosesan data, termasuk yang lewat tool AI.
Cara Mengendalikan Shadow AI di Perusahaan Anda
Cara paling efektif mengendalikan shadow AI adalah memberi karyawan alternatif resmi yang sama mudahnya, lalu menegakkan aturan pemakaian secara teknis. Larangan total biasanya gagal karena karyawan tetap memakai tool AI lewat ponsel pribadi, sehingga risikonya justru makin tersembunyi dari tim keamanan.
Berikut langkah praktis yang bisa dimulai minggu ini:
Petakan pemakaian yang sudah ada. Gunakan log proxy, firewall, atau CASB untuk melihat domain layanan AI yang diakses dari jaringan kantor, lalu tanyakan langsung ke tiap divisi tool apa yang mereka andalkan.
Sediakan tool AI resmi. Pilih layanan AI versi enterprise yang kontraknya menjamin data tidak dipakai untuk melatih model, punya opsi lokasi penyimpanan data, dan mendukung single sign-on.
Tulis kebijakan yang singkat dan jelas. Atur jenis data yang boleh dan tidak boleh dimasukkan ke AI, misalnya data pribadi pelanggan, data keuangan, dan kode sumber, serta proses persetujuan untuk tool baru.
Pasang kontrol akses dan pencegahan kebocoran. Batasi akses tool AI ke data sesuai peran, aktifkan data loss prevention untuk mendeteksi data sensitif yang hendak dikirim ke layanan AI, dan simpan log pemakaian.
Latih karyawan secara rutin. Jelaskan risiko dengan contoh nyata, bukan sekadar daftar larangan, dan beri saluran mudah untuk mengusulkan tool AI baru.
Siapkan prosedur insiden 3 x 24 jam. Masukkan skenario kebocoran lewat tool AI ke rencana tanggap insiden agar kewajiban notifikasi UU PDP bisa dipenuhi tepat waktu.
Langkah ini sejalan dengan temuan IBM (2026) bahwa organisasi yang memakai AI dan otomasi secara luas di fungsi keamanan menghemat rata-rata 1,93 juta dolar AS per kebocoran dibanding yang tidak memakainya. Dengan kata lain, AI yang dikelola dengan benar justru membantu mendeteksi dan menahan kebocoran lebih cepat.
Untuk perusahaan menengah yang belum punya tim keamanan besar, prioritaskan dua hal: tool AI resmi dan kebijakan data yang ditegakkan lewat DLP. Kombinasi ini menutup sebagian besar celah dengan biaya yang masih masuk akal.
Kesimpulan
Shadow AI adalah konsekuensi wajar dari adopsi AI yang lebih cepat daripada tata kelolanya. Data IBM 2026 menunjukkan keterlibatannya dalam kebocoran melonjak dari 20 persen menjadi 43 persen, dengan biaya rata-rata 5,39 juta dolar AS per insiden. Di Indonesia, UU Nomor 27 Tahun 2022 menempatkan tanggung jawab penuh pada perusahaan, lengkap dengan kewajiban notifikasi 3 x 24 jam dan denda hingga 2 persen pendapatan tahunan.
Perusahaan tidak perlu memilih antara produktivitas dan keamanan. Sediakan tool AI resmi, tegakkan kebijakan data secara teknis, dan latih karyawan sebelum PP Nomor 33 Tahun 2026 berlaku pada 16 Januari 2027. Dengan begitu, semangat karyawan memakai AI tetap terjaga tanpa mempertaruhkan data pelanggan.
(Burung Hantu Infratek / Berbagai Sumber)
⚠️ Artikel ini seluruhnya diriset, ditulis, dan dikembangkan oleh AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Sumber dan Referensi
[1] Cost of a Data Breach Report 2026 - IBM
[2] Ten Takeaways from IBM's 2026 Cost of a Data Breach Report - Baker Donelson
[3] IBM's Cost of a Data Breach Report 2026: AI Is Now the Attacker and the Target - Varonis
[4] UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi - JDIH BPK
[5] PP Pelindungan Data Pribadi Berlaku Januari 2027, Ini Aturan Baru Data Anak - Katadata