AI tanpa izin menjadi celah Shadow IT
Shadow IT di bank adalah penggunaan perangkat atau layanan teknologi yang tidak disetujui dan diawasi perusahaan, termasuk aplikasi AI komersial yang dipakai karyawan untuk mengerjakan tugas. Praktik ini dapat membuka celah perlindungan data karena informasi perusahaan mungkin dikirim ke layanan yang tata kelola dan pengamanannya tidak diketahui bank. IBM menyoroti AI tanpa izin sebagai risiko keamanan siber baru di lingkungan perbankan.
Godaan untuk menempelkan dokumen atau menanyakan informasi kerja kepada ChatGPT di bank bisa terasa sepele, tetapi dampaknya tidak berhenti pada satu percakapan. Bank mungkin kehilangan kendali atas ke mana data mengalir, bagaimana layanan memprosesnya, dan siapa yang bertanggung jawab jika informasi sensitif terpapar. Karena itu, larangan tanpa penjelasan bukan jawaban yang cukup: karyawan perlu memahami alasan di balik batasan dan mengetahui saluran AI yang memang disetujui.
Data yang dimasukkan bisa memicu masalah tata kelola
Risiko Shadow IT muncul ketika karyawan memasukkan informasi perusahaan ke layanan AI tanpa kepastian tentang pengelolaan dan perlindungan data tersebut. Masalahnya bukan hanya kemungkinan kebocoran, melainkan juga hilangnya kejelasan kendali: bank bisa kesulitan memastikan data apa yang dikirim, siapa pemilik layanan, dan apakah penggunaannya sesuai kebijakan internal.
Pengamanan yang baik perlu melampaui tombol pemblokiran. Bank sebaiknya menetapkan aturan tertulis tentang tugas yang boleh dibantu AI, layanan yang disetujui, dan jenis data yang tidak boleh dimasukkan. Tata kelola juga perlu menetapkan penanggung jawab layanan, mendokumentasikan perjanjian tingkat layanan, serta mengawasi arus data masuk dan keluar. Tanpa batas yang konkret, karyawan akan mengisi kekosongan dengan alat yang mudah dijangkau—dan bank kehilangan visibilitas atas prosesnya.
Pelatihan harus berjalan bersama aturan
IBM menekankan bahwa pengendalian tidak cukup mengandalkan izin akses atau pemblokiran; pendidikan pekerja juga perlu menjadi bagian dari perlindungan. Pendekatan ini masuk akal: karyawan yang paham batas penggunaan AI lebih mungkin berhenti sebelum menempelkan data nasabah atau dokumen internal ke layanan yang belum disetujui.
Bank dapat menjadikan pelatihan wajib sebagai kebiasaan, lalu memperbarui pemahaman secara berkala melalui sertifikasi. Dalam contoh yang disampaikan IBM, staf mengikuti pelatihan satu jam dan sertifikasi tahunan. Materinya semestinya praktis: cara mengenali data sensitif, alat mana yang boleh dipakai, apa yang harus dilakukan saat ragu, dan bagaimana melaporkan penggunaan yang keliru. Edukasi yang disertai aturan jelas lebih kuat daripada larangan samar yang mendorong penggunaan diam-diam.
Nasabah juga perlu menjaga akses rekening
Risiko AI tidak hanya berada di dalam kantor bank. Bank of America memperingatkan nasabah agar tidak memberikan nama pengguna atau kata sandi kepada pihak ketiga, termasuk alat atau agen AI yang menawarkan diri untuk bertindak atas nama mereka. Menyerahkan kredensial kepada asisten AI dinilai membawa ancaman siber tinggi; jika layanan memiliki celah, pelaku dapat mengeksploitasinya untuk mengakses rekening. Aktivitas agen juga bisa terdeteksi sebagai peretasan dan berujung pada pemblokiran akun.
- Jangan masukkan nama pengguna, kata sandi, atau kredensial perbankan ke chatbot maupun agen AI.
- Gunakan hanya alat AI yang disetujui bank untuk pekerjaan, dan ikuti aturan tentang data yang boleh dibagikan.
- Jika tidak yakin apakah informasi aman untuk diproses AI, jangan unggah; tanyakan kepada tim keamanan atau penanggung jawab yang ditetapkan.
Peringatan itu mengingatkan bahwa perlindungan rekening juga bergantung pada keputusan pengguna, bukan semata-mata sistem bank.
Keamanan data memerlukan kendali yang nyata
AI dapat membantu pekerjaan, tetapi kemudahan tidak boleh mengalahkan perlindungan informasi. Bank yang membiarkan layanan tak resmi tumbuh tanpa pengawasan menghadapi risiko Shadow IT dan persoalan tata kelola yang sebenarnya bisa dikurangi melalui kebijakan tegas, pemantauan aliran data, serta pelatihan yang mudah dipahami.
Prioritasnya bukan menolak seluruh AI, melainkan memastikan penggunaannya memiliki batas, penanggung jawab, dan pengawasan. Untuk karyawan, jangan mengirim data perusahaan ke aplikasi yang belum disetujui. Untuk nasabah, jangan pernah membagikan kredensial rekening kepada AI. Disiplin ini adalah garis pertahanan dasar bagi keamanan data bank: teknologi baru hanya layak digunakan ketika kendalinya sama jelasnya dengan manfaat yang dijanjikan.
