Risiko AI Terbesar Bukan Modelnya, Melainkan Adopsi yang Tidak Terkontrol

Penggunaan dan adopsi AI dapat seperti Wild West jika dibiarkan tidak diatur dalam sebuah organisasi.

Masalah ini telah menjadi perhatian yang semakin meningkat karena adopsi terus mempercepat lebih cepat dari siklus tata kelola sebagian besar. Tantangan bagi tim IT dan Kepatuhan adalah bahwa alat baru dapat diterapkan dalam beberapa hari, sedangkan kebijakan dan kontrol sering membutuhkan waktu berbulan-bulan untuk dikembangkan dan dikomunikasikan. Banyak perusahaan berpikir mereka telah menangani risiko AI dengan menyetujui daftar alat yang disetujui, tetapi ada lebih banyak hal yang harus dilakukan untuk memastikan AI dapat digunakan, dipantau, dan diukur dengan perlindungan privasi dan keamanan. Contoh skenario IT bayangan ini termasuk unit bisnis yang mengadopsi platform tambahan tanpa tinjauan, pengembang yang menjalankan model secara lokal, dan karyawan yang menempelkan data sensitif ke sistem terbuka atau sistem dengan hak data yang tidak jelas. Hasilnya bukanlah teoretis; itu adalah kebocoran data, eksposur IP, dan dalam kasus terburuk, transfer hak yang tidak disengaja melalui ketentuan vendor.

Salah satu cara paling efektif untuk mencegah tata kelola AI menjadi terfragmentasi adalah dengan membentuk Kelompok Kerja Pengawasan AI Formal atau Komite. Tim lintas fungsional ini – yang biasanya terdiri dari perwakilan dari IT, Keamanan, Kepatuhan, Hukum, Privasi, Manajemen Risiko, dan unit bisnis kunci – menciptakan kepemilikan yang jelas untuk tata kelola AI dan berfungsi sebagai badan pengambil keputusan pusat organisasi untuk adopsi dan pengawasan AI.

Risiko terbesar adalah ketidakvisibilitasan. Kebijakan AI atau daftar alat yang disetujui tidak menunjukkan di mana AI sebenarnya digunakan, apa data yang dibagikan, atau apa ketentuan yang digunakannya. Adopsi akan selalu bergerak lebih cepat dari pengawasan, sehingga tujuannya adalah tata kelola yang dapat diskalakan: membuat penggunaan terlihat, mengaitkan penggunaan yang dapat diterima dengan klasifikasi data, dan memasang pengaman yang tidak memperlambat tim. Jika dilakukan dengan baik, tata kelola menjadi pengaktif, menciptakan default yang lebih aman sehingga tim dapat bergerak cepat tanpa harus memperundingkan risiko dari awal setiap kali alat baru muncul.

Kelompok Kerja Pengawasan AI membantu menutup celah visibilitas ini dengan bertindak sebagai “penjaga gerbang” tata kelola organisasi. Alih-alih membiarkan alat dan kasus penggunaan AI berkembang tanpa tinjauan, komite ini membentuk proses intake, tinjauan, dan persetujuan untuk teknologi AI baru, mengevaluasi risiko, dan menentukan kontrol yang sesuai berdasarkan kebutuhan bisnis dan sensitivitas data.

Bagaimana Daftar Alat yang Disetujui Gagal dalam Praktik

Daftar alat yang disetujui gagal ketika gesekan mendorong orang untuk menggunakan alat alternatif, karena risiko sebenarnya berada pada data yang digunakan dan alur kerja. Jika jalur yang disetujui memerlukan tiket, VPN, kinerja yang lebih lambat, atau fitur yang terbatas, tim akan menghindarinya. Sementara itu, layanan AI dapat diadopsi dengan alamat email dan klik, sering tanpa proses pengadaan, tinjauan keamanan, atau visibilitas yang jelas untuk IT. Yang paling penting, menyalin kode sumber, data pelanggan, atau bahasa kontrak ke sistem yang tidak diverifikasi dapat menciptakan paparan dan kerentanan keamanan, terlepas dari apakah alat tersebut populer atau siap perusahaan.

Mengaitkan Penggunaan AI yang Dapat Diterima dengan Klasifikasi Data, Bukan Preferensi Alat

Cara tercepat untuk membuat kebijakan AI dapat diterapkan adalah dengan mengaitkannya dengan klasifikasi data. Alih-alih mencoba mengatur setiap alat, tawarkan opsi yang aman dan layak, dan atur apa yang dapat dimasukkan ke dalam setiap alat, terutama sistem eksternal atau konsumen.

• Data Publik: Input risiko rendah yang diizinkan dalam alat eksternal yang disetujui, seperti salinan pemasaran, dokumen publik, dan contoh yang disanitasi.
• Data Internal: Diizinkan hanya dalam sistem yang disetujui perusahaan dengan perlindungan kontraktual dan logging yang sesuai.
• Data Rahasia, Regulasi, atau Sensitif: Dilarang dari alat eksternal secara default, diizinkan hanya di bawah pengecualian yang ditentukan dengan kontrol kompensasi dan persetujuan yang didokumentasikan.

Ini menggeser percakapan dari “Apakah alat ini ada dalam daftar?” menjadi “Apa data yang Anda masukkan ke dalamnya, dan apa implikasi hak, retensi, dan pelatihan yang dihasilkan?” Bahkan model yang disederhanakan cukup untuk mengarahkan perilaku yang konsisten jika dipasangkan dengan contoh yang jelas dan diperkuat setiap hari.

Membuat AI Bayangan Terlihat dengan Mekanisme Audit yang Efektif

Anda tidak dapat mengatur apa yang tidak dapat dilihat. Visibilitas memerlukan beberapa sinyal konsisten: kontrol Cloud Access Security Broker (CASB) atau Security Service Edge (SSE) untuk endpoint AI umum, Data Loss Prevention (DLP) yang disesuaikan dengan pola tempel dan unggah AI, dan kontrol berbasis identitas yang memerlukan Single Sign-On (SSO) di mana memungkinkan dan bendera identitas perusahaan yang menggunakan layanan yang tidak disetujui. Dalam lingkungan pengembang, tambahkan telemetri endpoint karena penggunaan model lokal dapat menghindari kontrol web. Tambahan kontrol dengan asesmen ringan triwulanan tentang alat mana yang digunakan, untuk alur kerja apa, dan jenis data apa yang disentuh.

Tujuannya bukan untuk mencapai cakupan yang sempurna atau menghukum eksperimen. Tujuannya adalah untuk mengungkap alur kerja yang berisiko sejak dini, memprioritaskan, dan menciptakan alternatif yang lebih aman sebelum pola yang tidak aman menjadi operasi normal.

Pengaman yang Memungkinkan Kecepatan Tanpa Mengorbankan Keamanan

Tata kelola gagal ketika satu-satunya jawaban adalah “tidak”. Tata kelola yang matang menciptakan jalur cepat dan default yang aman: pelatihan berbasis skenario dengan contoh nyata, jalur eskalasi yang jelas dengan Perjanjian Tingkat Layanan (SLA) respons, dan perpustakaan kecil kasus penggunaan yang disetujui sebelumnya dengan contoh “lakukan” dan “jangan lakukan”. Elemen-elemen ini mengurangi ketidakjelasan bagi karyawan dan mengurangi pengambilan keputusan ad hoc untuk tim tata kelola.

Pendekatan yang Dapat Dipertahankan Dimulai dengan Dasar yang Dapat Diulang

AI akan terus berubah, sehingga model tata kelola Anda harus dapat bertahan lebih lama dari alat atau vendor tunggal. Mulai dengan dasar yang dapat dilaksanakan secara konsisten: klasifikasi data, definisi data yang dapat dimasukkan ke mana, instrumentasi visibilitas, dan pemberian tim dengan pengaman yang dapat diandalkan dan jalur eskalasi.

Sangat penting, tetapkan kepemilikan untuk terus memantau lanskap AI. Regulasi baru, kemampuan model, penawaran vendor, dan vektor ancaman muncul dengan cepat. Kelompok Kerja Pengawasan AI harus berfungsi sebagai badan pemantau dan penasihat organisasi, secara teratur mengevaluasi perkembangan teknologi, menilai perubahan regulasi, meninjau risiko yang muncul, dan merekomendasikan pembaruan kebijakan dan kontrol. Pengawasan terus-menerus ini membantu memastikan tata kelola tetap relevan dan tidak menjadi latihan statis tahunan.

Tinjau dan perbaiki program secara triwulanan, sehingga pengaman tetap sejalan dengan alat baru, alur kerja, dan harapan regulasi. Menganggap tata kelola AI sebagai disiplin operasional dengan pemilik yang ditentukan dan kontrol yang dapat diukur melindungi data sensitif dan kekayaan intelektual sambil memberikan tim jalur yang jelas dan cepat untuk menggunakan AI secara bertanggung jawab.

Keamanan dan kepatuhan mendapatkan visibilitas dan bukti yang dapat dipertahankan, dan bisnis mendapatkan kepercayaan untuk memperluas AI tanpa mengubah setiap kasus penggunaan baru menjadi keadaan darurat.