AI tak terkelola memperluas permukaan risiko
Shadow AI adalah penggunaan perangkat atau layanan kecerdasan buatan tanpa persetujuan maupun pengawasan resmi perusahaan, yang dapat menciptakan koneksi dan kredensial di luar kendali tim TI. Risiko utamanya bukan hanya kebocoran informasi: setiap integrasi juga bisa menambahkan identitas digital perusahaan yang tidak terlihat oleh sistem keamanan.
Masalah ini kian mendesak karena karyawan dapat menghubungkan asisten AI ke kalender kerja, penyimpanan awan, atau sistem pelanggan dengan relatif mudah. Integrasi itu mungkin memakai token, kunci API, dan izin untuk mengakses data internal. Jika kredensial tersimpan di ekstensi peramban atau berkas konfigurasi yang tidak dipantau, perusahaan kehilangan gambaran tentang siapa—atau apa—yang dapat menjangkau sistemnya. Sebuah laporan tentang pelanggaran data mencatat bahwa 43% organisasi yang mengalami kebocoran pernah menghadapi insiden terkait Shadow AI, naik dari 20% pada tahun sebelumnya. Angka ini menegaskan bahwa risiko Shadow AI bukan sekadar persoalan kepatuhan; ia berakar pada akses yang tumbuh tanpa inventaris dan pengawasan.
Identitas mesin perlu tata kelola setara akun manusia
Fokus keamanan tidak boleh berhenti pada akun karyawan. Agen AI dan aplikasi menggunakan identitas nonmanusia—seperti akun layanan, token, dan kredensial—untuk menjalankan tugas. Survei Keeper Security terhadap pengambil keputusan keamanan dan pemimpin TI menemukan bahwa 53% responden di Asia Pasifik menganggap pengelolaan identitas nonmanusia terkait AI sebagai kesenjangan utama tata kelola, dibandingkan 43% secara global. Temuan itu seharusnya mendorong perusahaan memperlakukan identitas mesin sebagai aset yang harus dicatat, diberi pemilik, dan ditinjau izinnya.
Agen yang memiliki akses ke basis data produksi dapat membawa kewenangan setara administrator manusia, tetapi bertindak dengan kecepatan dan otonomi lebih tinggi. Karena itu, izin perlu dibatasi sesuai tugas, aktivitas dipantau, dan akses dicabut saat tak lagi dibutuhkan. Risiko lain muncul ketika pembuat integrasi meninggalkan perusahaan, sementara kredensial yang dibuatnya tetap aktif. Pengamanan identitas digital perusahaan harus mencakup pula akun layanan dan agen AI, bukan hanya proses masuk pengguna. Tanpa pencatatan dan pencabutan akses yang disiplin, celah lama akan terus hidup dalam bentuk identitas mesin.
Keamanan aplikasi harus mengikuti arsitektur AI baru
Penerapan AI di perusahaan mengubah arsitektur dan pendekatan keamanan aplikasi: sistem kini dapat membuat keputusan dan bertindak cepat melalui API, layanan awan, serta lingkungan internal. Riset F5 menyebut 88% organisasi telah menghadapi setidaknya satu tantangan operasional atau keamanan terkait AI, sementara 98% sedang bersiap menghadapi adopsi AI agen. Kontrol tradisional yang hanya memeriksa perimeter atau mengandalkan peninjauan manual berisiko tertinggal dari lalu lintas dan tindakan otomatis.
Pengakuan Gartner terhadap F5 sebagai Market Shaper dalam laporan Emerging Market Quadrant for AI Application Security pada September 2026 mencerminkan meningkatnya perhatian pada perlindungan aplikasi AI. Namun, bagi perusahaan, pelajaran pentingnya bukan memilih satu vendor: keamanan aplikasi AI perlu menghubungkan tata kelola, penemuan, pengujian, perlindungan saat sistem berjalan, dan observabilitas dalam siklus yang berkelanjutan. Pendekatan di lapisan jaringan dapat memberi visibilitas atas panggilan model, aktivitas agen, dan Shadow AI tanpa mengharuskan perubahan kode yang rumit. Itu membantu tim menemukan penggunaan yang luput dari kebijakan, tetapi tidak menggantikan tata kelola akses.
Adopsi AI yang aman dimulai dari inventaris dan batas akses
Langkah paling masuk akal adalah mengetahui perangkat AI yang dipakai karyawan, memetakan koneksinya ke sistem internal, lalu mendata identitas dan kredensial yang tercipta. Setelah itu, perusahaan perlu menetapkan pemilik, memberi izin minimum, memantau aktivitas, dan mencabut akses yang tidak lagi diperlukan. Langkah-langkah ini bukan hambatan inovasi; justru tanpa batas yang jelas, satu integrasi yang praktis dapat membuka jalur menuju data yang tidak pernah dimaksudkan untuk AI.
Pedoman tata kelola mulai mengikuti perubahan tersebut. Jepang memperbarui panduan bisnis AI pada 31 Maret 2026 dengan memasukkan definisi agen AI, sementara Singapura menerbitkan tambahan panduan keamanan agen AI versi final pada Juni 2026. Arah kebijakannya selaras: identitas agen harus dapat ditelusuri, ada manusia yang bertanggung jawab, dan akses ke perangkat maupun data dibatasi sesuai kebutuhan. Keamanan AI perusahaan akan bergantung pada penerapan prinsip-prinsip ini di operasi sehari-hari, bukan pada kebijakan tertulis saja. Kesimpulannya, perusahaan yang ingin memperluas penggunaan AI harus terlebih dahulu membuat identitas dan alur aplikasinya terlihat, terukur, dan dapat dicabut.
