Artikel

Sesuatu sedang terjadi diam-diam di banyak perusahaan. Tim HR sudah memakai AI untuk memfilter ratusan CV dalam hitungan menit. Marketing memanfaatkan generative AI untuk segmentasi pelanggan dan copywriting massal. Cybersecurity mengandalkan machine learning untuk mendeteksi anomali jaringan. Finance menggunakan predictive analytics untuk mendukung proyeksi bisnis.

Tidak ada yang salah dengan semua itu. Masalahnya bukan pada teknologinya, AI memang membawa efisiensi yang nyata dan terukur. Masalahnya ada di celah antara kecepatan adopsi dan kesiapan tata kelola di baliknya. Perusahaan bergerak cepat memakai AI, sementara kebijakan, kontrol, dan akuntabilitas masih tertinggal beberapa langkah di belakang.

Dan ketika ada yang salah ketika sistem AI menghasilkan keputusan bias, melanggar privasi, atau tidak bisa dijelaskan ke auditor pertanyaannya langsung ke pokok persoalan: siapa yang bertanggung jawab? Vendor? Tim IT? Divisi pengguna? Atau perusahaan secara keseluruhan?

Mengapa Teknologi Selalu Bergerak Lebih Cepat dari Regulasi

Ini bukan masalah baru. Pola yang sama sudah berulang di setiap gelombang inovasi besar. Dulu ketika cloud computing mulai populer, banyak organisasi langsung pindah ke infrastruktur cloud tanpa benar-benar memahami siapa yang memiliki datanya, di mana data disimpan, dan regulasi apa yang berlaku lintas yurisdiksi. Saat media sosial berkembang pesat, regulator di berbagai negara masih kebingungan soal konten, privasi, dan tanggung jawab platform. Fintech, cryptocurrency, e-commerce lintas negara, semuanya mengalami pola yang sama: inovasi datang dulu, aturan menyusul belakangan.

Teknologi berkembang secara eksponensial. Regulasi berkembang secara administratif. Sebuah perusahaan teknologi bisa merilis model AI baru dalam beberapa minggu. Regulasi butuh waktu jauh lebih lama, diskusi lintas lembaga, pembahasan hukum panjang, konsultasi publik, uji dampak, sampai harmonisasi dengan standar internasional. Ketimpangan ritme inilah yang menciptakan celah nyata, dan di celah itulah risiko tumbuh tanpa banyak yang menyadari.

Bayangkan perusahaan yang mulai menggunakan AI generatif untuk menganalisis data pelanggan sebelum ada kebijakan internal yang jelas. Pada waktu itu, secara teknis mungkin tidak ada aturan yang dilanggar. Tapi begitu regulasi baru hadir, soal consent, penggunaan data, atau kewajiban explainability keputusan otomatis, perusahaan tadi bisa mendapati dirinya sudah terlalu jauh berlari tanpa fondasi governance yang kuat. Karena itulah, organisasi yang lebih matang tidak lagi menunggu regulasi selesai. Mereka mulai membangun governance framework lebih dulu, cukup fleksibel untuk menyesuaikan diri ketika aturan berubah, dan cukup kuat untuk melindungi bisnis dari risiko yang ada sekarang.

Ketika AI Bukan Lagi Sekadar Alat Bantu

Ada pergeseran besar yang sedang terjadi dan penting untuk dipahami. Dulu AI berperan sebagai alat rekomendasi. Ia menyarankan, manusia yang memutuskan. Sekarang sistem AI mulai bergerak ke arah yang jauh lebih otonom, yang kerap disebut sebagai Agentic AI. Bukan sekadar memberi saran, tetapi langsung menjalankan tindakan, mengakses sistem, dan mengeksekusi keputusan berdasarkan tujuan yang sudah ditetapkan.

AI recruitment yang otomatis memfilter dan menolak ribuan kandidat. Fraud detection yang langsung memblokir transaksi atau akun tanpa intervensi manusia. Automated incident response di cybersecurity yang memutus akses pengguna ketika aktivitas dianggap mencurigakan. Di bidang legal, AI mulai membantu menganalisis dokumen kontrak dan memberikan rekomendasi tindakan. Kedengarannya efisien, dan memang begitu. Tapi semakin otonom sistem AI, semakin besar pula konsekuensi hukum dan bisnisnya.

Kalau AI fraud detection salah mengidentifikasi dan memblokir pelanggan premium, dampaknya tidak berhenti di satu transaksi gagal, ada risiko reputasi, ada klaim kompensasi, ada pertanyaan dari regulator. Kalau AI recruitment menunjukkan pola diskriminatif, perusahaan bisa menghadapi tuduhan bias atau pelanggaran etika kerja yang dampaknya jauh lebih panjang dari sekadar kesalahan teknis. Di titik ini, mengelola risiko AI tidak bisa lagi bersifat reaktif. Tidak cukup hanya memperbaiki masalah setelah insiden muncul. Harus ada pengawasan, ownership, monitoring, dan akuntabilitas yang sudah tersedia sebelum sistem berjalan penuh.

Risiko yang Diam-Diam Tumbuh Tanpa Disadari

Banyak perusahaan merasa sudah aman karena punya tim IT yang solid dan kebijakan keamanan data yang tertulis. Tapi risiko AI tidak selalu datang dari serangan luar. Justru yang paling sering terjadi berasal dari dalam, dari praktik sehari-hari yang kelihatan wajar.

Shadow AI: Produktif Tapi Tidak Terkendali

Fenomena ini mirip dengan shadow IT yang dulu sudah banyak dipahami. Karyawan menggunakan tools AI tanpa persetujuan resmi organisasi, bukan karena niat buruk, tetapi karena mudah diakses dan terasa membantu secara instan. Staf marketing memasukkan database pelanggan ke chatbot publik untuk segmentasi cepat. Tim legal mengunggah draft kontrak agar bisa diringkas otomatis. HR menggunakan tools AI gratis untuk mengevaluasi kandidat. Semua terlihat produktif di permukaan, sementara organisasi secara diam-diam kehilangan kendali atas datanya sendiri.

Masalah terbesar shadow AI bukan niat buruk penggunanya, melainkan ketidaksadaran akan risikonya.

Resiko:
- Kebocoran data pelanggan
- Data residency issue
- Prompt disclosure
- Tidak ada audit trail
- Vendor AI tidak terverifikasi

Dampak Langsung:
- Pelanggaran privasi
- Konflik regulasi lintas negara
- Informasi rahasia terekspos
- Sulit investigasi insiden
- Data diproses pihak ketiga

Dampak Jangka Panjang:
- Sanksi regulasi, gugatan hukum
- Compliance failure
- Kerugian bisnis dan reputasi
- Gagal audit, tanggung jawab hukum
- Kehilangan kontrol atas data

Kontrol Risiko Secara Sistematis, Bukan Reaktif.

Masalah compliance sering muncul bukan karena perusahaan sengaja melanggar aturan. Sering kali tidak ada yang sadar ada masalah, sampai regulator datang, pelanggan komplain, atau audit menemukan ketidaksesuaian. COBIT membalik pola pikir ini melalui mekanisme kontrol yang sistematis.

Area Kontrol:
- Ownership: Menetapkan penanggung jawab setiap sistem AI, yang melibatkan CIO, dan Business Owner.
- Risk Assesment: Mengidentifikasi risiko sejak tahap perencanaan yang melibatkan Risk Team dan Compliance.
- Monitoring: Mengawasi penggunaan dan output AI secara berkelanjutan yang melibatkan IT Team dan Audit Internal.
- Accountability: Menetapkan pertanggungjawaban keputusan AI yang melibatkan C-level, dan Governance Committee.
- Audit Trail: Mendokumentasikan jejak setiap keputusan penting yang melibatkan IT Team dan Copliance Officer.

Misalnya, sebelum AI digunakan untuk fraud detection, organisasi bisa melakukan penilaian risiko lebih dulu: seberapa tinggi tingkat false positive-nya? Apa yang terjadi kalau pelanggan salah diblokir? Apakah ada mekanisme human oversight? Bagaimana proses banding jika keputusan AI keliru? Jawaban atas pertanyaan-pertanyaan ini bukan sekadar dokumen administratif, ini adalah perlindungan bisnis yang nyata.