Gelombang adopsi kecerdasan buatan (AI) yang melonjak pesat di berbagai lini bisnis kini membawa para eksekutif korporasi pada kenyataan pahit.
Kecepatan adopsi teknologi mulai dari penerapan agen AI otonom hingga integrasi alat keamanan internal kini bergerak sangat cepat. Namun, laju tersebut jauh melampaui kemampuan organisasi dalam membangun pagar pengaman (guardrails) dan tata kelola yang memadai.
Para pakar keamanan memperingatkan bahwa para pemimpin senior dan jajaran dewan direksi harus memberikan perhatian ekstra terhadap isu keamanan siber dan pengawasan sebelum memutuskan untuk mengadopsi AI secara penuh.
Laporan terbaru PwC mengungkapkan bahwa banyak perusahaan belum siap melindungi sistem perusahaannya dari serangan siber berbasis AI.
Bahkan, setengah dari para pemimpin keamanan menempatkan perlindungan AI sebagai celah kesiapan terbesar di perusahaan, mengungguli ancaman keamanan berbasis cloud, pelanggaran pihak ketiga, maupun serangan ransomware. Survei ini melibatkan lebih dari 3.900 pemimpin bisnis dan teknologi di 71 negara.
”Saya rasa kita melihat adanya kesadaran yang semakin besar di kalangan pemimpin bisnis bahwa peluang AI dan risiko AI harus dipertimbangkan secara bersamaan,” ujar Tonya Ugoretz, co-leader Cyber and Risk Innovation Institute di PwC.
Kekosongan Kepemimpinan dan Akuntabilitas Risiko Siber
Salah satu isu tata kelola utama terkait AI adalah belum jelasnya kepemilikan atas teknologi tersebut di dalam struktur perusahaan.
Banyak korporasi mengalami kebingungan dalam menentukan siapa pihak yang bertanggung jawab penuh atas penerapan AI, serta siapa yang berhak memutuskan pengamanan data dan sistem kritikal.
”Temuan kami menunjukkan bahwa belum ada satu model kepemilikan tunggal untuk tata kelola dan risiko AI,” ungkap Ugoretz.
Laporan PwC mencatat bahwa kurang dari 30 persen akuntabilitas AI dipegang oleh CIO, CTO, atau pemimpin teknologi lainnya. Hanya sekitar seperempat organisasi yang memiliki eksekutif AI khusus, sementara 17 persen perusahaan menyatakan bahwa tanggung jawab AI berada di tangan CISO (Chief Information Security Officer).
Tanpa garis akuntabilitas yang jelas, batas tanggung jawab dalam mengelola risiko siber AI menjadi kabur, yang pada akhirnya menyulitkan verifikasi aspek keamanan sebelum sistem diterapkan secara luas.
Tantangan Pengawasan Agen AI dan Risiko Pihak Ketiga
Perusahaan korporat menggelontorkan investasi besar-besaran demi menerapkan agen AI, sebagian besar guna mendongkrak produktivitas atau mengefektifkan produk yang sudah ada.
Namun, salah satu ketakutan terbesar para pemimpin risiko siber adalah luasnya hak akses yang diberikan kepada alat-alat tersebut, serta minimnya pengawasan manusia untuk memantau aktivitas sistem otonom tersebut.
”Perlakukan setiap agen sebagai identitas baru dengan pemilik manusia yang jelas,” kata George Gerchow, chief security officer di Bedrock Data.
”Sebuah agen mewarisi hak akses dari siapa pun akun yang dijalankannya. Sistem itu tidak perlu menjebol pertahanan, karena ia cukup berjalan melalui pintu-pintu yang kita biarkan terbuka,” ujarnya.
Kendati demikian, langkah antisipasi mulai meningkat. Laporan kuartal ketiga dari KPMG menunjukkan bahwa 49 persen organisasi telah menetapkan skenario penggunaan berisiko tinggi di mana akses oleh agen otonom dibatasi, naik tajam dari 28 persen pada periode yang sama tahun sebelumnya.
Selain itu, tantangan keamanan lain yang tak kalah pelik bersumber dari penggunaan perangkat pihak ketiga (third-party tools). Banyak perusahaan memilih menggunakan produk luar alih-alih merancang sistem AI sendiri secara mandiri (in-house).
Perangkat pihak ketiga ini sering kali memiliki akses luas ke informasi sensitif serta hak istimewa yang menghubungkan langsung sistem internal perusahaan.
Tanpa visibilitas yang memadai, alat berbasis AI tersebut berisiko mengakses data yang bahkan tidak terjangkau oleh sistem pengamanan internal yang ada.
”Jadi, memverifikasi para vendor tersebut dari sisi keamanan siber maupun teknis adalah persyaratan yang sangat penting,” tegas Pasha Sternberg, principal sekaligus pengacara privasi dan keamanan siber di firma hukum Polsinelli.
Ancaman Nyata dari Shadow AI
Ancaman keamanan lain yang terus menghantui perusahaan adalah shadow AI yakni penggunaan aplikasi atau perangkat berbasis AI yang tidak disetujui, diverifikasi, atau dipantau oleh organisasi.
Karyawan korporat kerap mengunduh aplikasi AI secara mandiri demi mendongkrak produktivitas, mempelajari keterampilan baru, atau untuk keperluan pribadi.
Sayangnya, perusahaan sering kali memiliki visibilitas yang sangat terbatas mengenai bagaimana perangkat-perangkat liar ini digunakan, atau risiko apa yang mungkin ditimbulkannya saat berinteraksi dengan sistem perusahaan maupun data pelanggan.
Pusat Keamanan Siber Nasional di Inggris (National Cyber Security Centre / NCSC) sebelumnya telah memperingatkan para pelaku bisnis bahwa shadow AI dapat memicu risiko tersembunyi yang tidak disengaja di dalam lingkungan perusahaan.
Para ahli hukum turut mengingatkan bahwa korporasi kerap gagal memahami dampak dari penggunaan perangkat tak resmi yang dilakukan oleh karyawan mereka sendiri.
”Sangat sulit untuk mengamankan dan mengelola sesuatu yang keberadaannya bahkan tidak Anda ketahui,” ujar Sarah Glover, shareholder sekaligus pengacara privasi dan keamanan siber di Polsinelli.
Memperketat Tata Kelola dan Kontrol Keamanan
Seiring dengan audit kasus penggunaan AI, para CIO dan jajaran direksi (C-suite) wajib memperketat kontrol tata kelola (governance) terhadap teknologi yang mereka terapkan. Berdasarkan survei terbaru Gartner, hanya 21 persen CIO yang memiliki tata kelola memadai untuk agen AI (agentic AI), padahal 71 persen di antaranya berencana untuk menerapkannya tahun ini.
Fenomena shadow AI dan dark AI, segala bentuk penggunaan AI yang memicu kerugian, baik disengaja maupun tidak masih terus menghantui perusahaan. Risiko ini kian meningkat seiring bertambah otonomnya teknologi, sementara banyak CIO belum mengetahui sejauh mana cakupan penggunaan atau akses agen AI di dalam perusahaan mereka.
Meski banyak pemimpin industri menyerukan perlunya keselarasan global mengenai pagar pengaman (guardrails), Moyer menilai hal tersebut kecil kemungkinannya terjadi dalam waktu dekat. Sebagai gantinya, korporasi dapat mengambil pendekatan serupa melalui penerapan tata kelola terpadu di internal organisasi.
Jika teknologi masa lalu umumnya meninggalkan jejak akuntabilitas yang jelas, AI justru sering kali baru memperlihatkan kerugian setelah insiden tersebut terjadi. Karena itu, Plummer menekankan pentingnya bagi CIO untuk merumuskan proses yang transparan, tinjauan keamanan yang ketat, serta memperkuat kontrol seputar pemanfaatan AI.
Hingga kini, belum ada konsensus baku mengenai model kepemilikan mutlak atas pengelolaan AI. Namun, para CIO melaporkan adanya rasa tanggung jawab pribadi untuk mengelola keluaran dari teknologi ini.
Menurut Plummer, tata kelola yang efektif dapat dan harus diposisikan di antara CIO dan CFO, dengan konsultasi rutin bersama CISO, tim hukum, dan pemangku kepentingan terkait lainnya.
Sebagai langkah awal, sejumlah CIO mulai berinvestasi pada AI gateway, sebuah gerbang peladen yang secara cerdas merutekan permintaan kueri ke model atau platform terbaik untuk kebutuhan spesifik.
Perusahaan juga harus memastikan pihak yang memegang kepemilikan atas platform, alat, dan model AI di internal ditentukan dengan jelas. Menutup sesinya, Moyer mengingatkan agar para CIO terus meninjau stabilitas proses keamanan mereka secara berkelanjutan.
”Tanpa tinjauan mendalam dan audit terhadap kebijakan keamanan Anda, Anda sama saja sedang mengundang masalah,” pungkasnya.
