Bayangan GenAI yang Luas Mengancam Data Perusahaan Anda

Solusi kecerdasan buatan (GenAI) generatif tidak lagi hanya “diuji coba” oleh karyawan perusahaan. Mereka telah diadopsi dan diintegrasikan ke dalam pekerjaan sehari-hari dengan kecepatan yang semakin cepat. Menurut satu laporan, 40% organisasi melaporkan menggunakan GenAI dalam alur kerja sehari-hari selama setahun terakhir, dan lebih dari 80% melaporkan bahwa pengguna berinteraksi dengan alat-alat ini secara mingguan.

Namun, sementara adopsi AI meningkat, visibilitas dan kontrol tidak mengikuti. Ketika GenAI terintegrasi ke dalam inbox email, editor kode, suite kolaborasi, asisten virtual, dan lain-lain, maka akses diberikan ke jumlah data sensitif yang semakin besar melalui prompt, unggahan, dan tindakan salin-tempel—semua ini kemungkinan besar melewati kontrol tradisional.

Hasilnya adalah sebuah kumpulan data bayangan yang semakin besar: informasi kritis bisnis yang mengalir melintasi layanan SaaS, cloud, dan on-premises dengan sedikit perlindungan untuk visibilitas, tata kelola, atau retensi. Untuk berinovasi secara berkelanjutan dan aman dengan solusi AI, sangat penting bagi perusahaan modern untuk memahami kesenjangan antara adopsi dan kontrol ini dan belajar untuk mengatasi data bayangan sebelum melampaui kontrol mereka.

Bayangan GenAI yang Luas dan Kabur

Tantangan utama data bayangan berasal dari kurangnya konteks. Di mana tantangan shadow IT terbatas pada file yang diam, aplikasi yang disetujui, dan titik egress yang diketahui, batas-batas data bayangan yang digerakkan AI jauh lebih tidak terdefinisi dengan baik. Tim tidak hanya dapat menemukan dan mengamankan alat yang tidak diketahui; mereka juga perlu memantau model AI yang terintegrasi ke dalam aplikasi yang disetujui seperti platform email, solusi penyimpanan cloud, dan CRM. Ini mengubah “solusi” yang aman yang mereka gunakan dan memantau, dan memperluas lanskap ancaman mereka.

GenAI juga mengubah cara data sensitif bergerak melalui arsitektur perusahaan. Tidak seperti alur kerja berbasis aplikasi dan file dari solusi SaaS tradisional, GenAI beroperasi pada lapisan konversasional yang terus-menerus yang mendorong pengguna untuk berbagi konteks untuk mencapai hasil yang lebih baik. Ini menyebabkan pengguna melakukan tindakan salin-tempel dan unggahan rutin yang mungkin termasuk potongan kode sumber, catatan pelanggan, dokumen internal, dan lain-lain, semuanya tidak memiliki tata kelola berbagi data yang tepat untuk tingkat sensitivitas masing-masing.

Apa yang lebih, adopsi GenAI seringkali tidak mengikuti pola yang bersih dan terpusat. Tidak ada dua pengguna data perusahaan yang sama, dan upaya mereka untuk mencapai alur kerja yang dioptimalkan dan otomatisasi yang menghemat waktu dapat menyebabkan mereka menggunakan berbagai solusi AI, yang pada gilirannya menciptakan jalur data yang lebih fragmentasi. Kalikan ini di seluruh kekuatan kerja perusahaan, dan bayangan menjadi sangat luas.

Mengapa Memblokir GenAI Tidak Akan Berfungsi

Menghadapi ancaman ini, banyak organisasi bereaksi dengan memblokir—atau membatasi akses ke—alat GenAI. Meskipun ini adalah pendekatan yang dapat dipahami, seringkali tidak seefektif yang diharapkan perusahaan. Setelah GenAI “keluar dari botol”, sangat sulit untuk mengembalikannya. Banyak karyawan menggunakan alat ini untuk mempermudah alur kerja sehari-hari, mengintegrasikan GenAI ke dalam perencanaan dan eksekusi tugas.

Ketika akses dibatasi dari atas, penggunaan tidak mungkin berhenti; itu hanya akan berpindah dari pandangan. Jika karyawan beralih ke akun pribadi atau tidak dikelola, perusahaan kehilangan semua visibilitas ke dalam data yang dibagikan dan disimpan oleh aplikasi. Faktanya, satu laporan menemukan bahwa 44% karyawan telah menggunakan AI dengan cara yang melanggar kebijakan dan pedoman, sementara studi lain melaporkan bahwa 75% karyawan yang menggunakan alat AI tidak disetujui mengakui bahwa mereka berbagi informasi sensitif dengan mereka. Ketika staf yang berusaha baik tanpa sengaja mengelakkan pengawasan dan menciptakan peluang bagi data sensitif untuk meninggalkan lingkungan yang dikelola dan memasuki sistem dengan kontrol yang tidak jelas, ini menciptakan risiko insider yang signifikan, yang dapat menghabiskan biaya rata-rata $19,5 juta per tahun untuk sebuah organisasi. Dengan mendorong aktivitas pengguna lebih jauh ke dalam browser yang tidak dikelola, akun cloud pribadi, atau alat AI khusus, perusahaan menciptakan vektor ancaman lebih banyak yang mungkin tidak pernah terlihat oleh tim keamanan.

Dengan cara ini, data bayangan bukan hanya hasil dari karyawan yang sembrono dengan akses ke alat AI. Ini adalah hasil struktural dari desain GenAI yang dapat diakses, permintaan konteks, dan keuniversalan secara keseluruhan. Dan sampai perusahaan dapat memulihkan visibilitas ke dalam cara dan di mana data bayangan mereka mengalir, adopsi GenAI akan terus melampaui kemampuan mereka untuk mengelola risikonya.

Menghilangkan Data Bayangan dengan Visibilitas dan Perlindungan

Sementara memblokir solusi GenAI secara keseluruhan tidak mungkin berhasil, perusahaan dapat mendukung inovasi AI sambil mencegah proliferasi data bayangan dengan mengambil tiga tindakan inti:

1. Membangun Visibilitas Ujung ke Ujung

Perusahaan perlu mengetahui secara pasti apa yang mereka hadapi sebelum mereka dapat secara efektif melindungi ekosistem data mereka. Ini dimulai dengan membuat gambaran lengkap tentang aplikasi GenAI mana yang digunakan oleh karyawan mereka, termasuk yang terintegrasi ke dalam alat yang disetujui. Ini juga meluas ke jenis data—keuangan, IP, PII, PHI, atau informasi teratur lainnya—yang dibagikan dengan aplikasi ini, serta di mana data itu bergerak melintasi jaringan on-prem, SaaS, dan cloud. Tanpa informasi ini, tim keamanan dan kepatuhan ditinggalkan untuk mengatur asumsi bukan perilaku karyawan yang sebenarnya.

2. Menerapkan Kebijakan Perlindungan Data yang Sadar Konteks

Visibilitas saja tidak cukup jika kontrol tidak dapat beradaptasi dengan cara GenAI digunakan. Kebijakan “izinkan atau blokir” klasik terlalu kaku untuk alur kerja AI yang memerlukan pertukaran data konversasional yang terus-menerus. Untuk melindungi solusi ini secara efektif, tim harus membuat kebijakan yang sadar konteks yang mengevaluasi pengguna, data, dan tujuan secara waktu nyata. Ini memungkinkan untuk mengambil tindakan yang realistis dan proporsional terhadap perilaku pengguna, memblokir unggahan yang berisiko, menghapus informasi sensitif sebelum meninggalkan lingkungan, atau menginstruksikan karyawan untuk mencoba alternatif yang lebih aman. Pengawalan otomatis ini dapat diintegrasikan ke dalam tugas sehari-hari lebih efektif daripada gangguan penuh atau intervensi manual, membuat penggunaan GenAI lebih aman tanpa menghambat produktivitas.

3. Memastikan Penerapan Kebijakan yang Konsisten

Perusahaan harus menerapkan satu set kebijakan perlindungan data yang konsisten di mana pun pekerjaan dilakukan, tanpa memaksa tim untuk meninggalkan alat yang mereka andalkan. Mereka tidak boleh “menggantikan” alat yang mapan, karena ini akan sangat mengganggu produktivitas. Sebaliknya, mereka harus membangun kebijakan yang seragam yang mengikuti data dan pengguna melintasi penyimpanan cloud, platform kolaborasi, aplikasi SaaS, dan asisten GenAI. Konsistensi ini akan mengurangi baik risiko dan gesekan, memungkinkan tim keamanan untuk menghindari mengelola kontrol yang fragmentasi dan memungkinkan karyawan untuk bekerja dalam batasan yang dapat diprediksi daripada menghadapi larangan yang tidak terduga. Pada akhirnya, respons proaktif dan konsisten akan jauh lebih efektif daripada respons reaktif dan fragmentasi.

Mendukung Adopsi yang Aman dan Berkelanjutan

Alat GenAI telah menjadi terlalu cepat terintegrasi ke dalam alur kerja sehari-hari bagi organisasi untuk memperlakukannya seperti risiko niche atau eksperimental. Mereka tidak dapat diabaikan, tidak dapat dihilangkan sepenuhnya. Sebaliknya, perusahaan harus menavigasi jalur ke depan yang memungkinkan penggunaan AI yang inovatif sambil menghindari pergerakan data sensitif yang tidak dilindungi dan tidak terlihat melintasi ekosistem data. Kesuksesan tidak akan datang dari menekan adopsi, tetapi memungkinkannya dengan aman melalui perlindungan data yang terus-menerus, sadar konteks, dan konsisten di mana pun data mereka mengalir.