Apa yang Disembunyikan Angka Shadow AI

Karyawan di sebagian besar organisasi sudah menggunakan alat AI yang belum pernah disetujui oleh pemberi kerja mereka. Saat ini, hal itu seharusnya tidak mengejutkan siapa pun. Karyawan selalu tertarik pada teknologi yang membantu mereka bekerja lebih efisien, terlepas dari apakah alat tersebut secara resmi diperkenalkan oleh TI atau tidak. AI hanya mempercepat perilaku tersebut.

Kecepatan adopsi AI hanyalah sebagian dari cerita. Yang lebih mengungkapkan adalah apa yang diberitahukan tentang lingkungan tempat adopsi itu terjadi. Karyawan yang memilih alat AI mereka sendiri sering menjadi tanda bahwa TI tidak memiliki gambaran lengkap tentang bagaimana pekerjaan dilakukan. Organisasi yang kesulitan mengidentifikasi penggunaan AI yang tidak disetujui mungkin juga menghadapi patching yang lebih lambat, enkripsi yang tidak konsisten, atau perangkat yang berada di luar kebijakan keamanan yang telah ditetapkan. Shadow AI tidak menciptakan kelemahan tersebut, tetapi dapat menyorotnya dengan lebih jelas.

Laporan State of Digital Workspace 2026 Report kami menganalisis telemetri dari jutaan perangkat yang dikelola di 17 industri, menghindari keterbatasan meminta karyawan mengingat atau mengungkapkan alat yang mereka gunakan. Laporan tersebut menemukan penggunaan asisten AI tumbuh hampir 1.000 persen selama 2025, menjadikannya kategori aplikasi dengan pertumbuhan tercepat di tempat kerja.

Angka tersebut memberi tahu kami seberapa cepat perilaku karyawan berubah. Ia juga membuka jalur pertanyaan yang kurang familiar: apakah organisasi dengan paparan tinggi terhadap aplikasi yang tidak disetujui menunjukkan kelemahan di area manajemen perangkat yang lebih mapan? Kesehatan memberikan indikasi paling jelas bahwa hal ini mungkin terjadi. Dalam studi kami, sektor kesehatan termasuk di antara industri yang paling terpapar risiko kepatuhan akibat aplikasi yang tidak disetujui; dan bagian lain dalam laporan juga mencatat beberapa patching paling lambat serta tingkat desktop yang tidak terenkripsi lebih tinggi.

Adopsi Hanya Sebagian dari Gambaran

Memahami alat AI apa yang digunakan karyawan hanyalah satu potongan teka‑teki. Pertanyaan yang lebih mengungkapkan adalah mengapa mereka memilihnya, karena keputusan tersebut sering menyoroti kesenjangan antara TI tempat kerja yang mereka yakini telah dibangun dan kenyataan yang dialami karyawan setiap hari.

Pembagian antara alat AI yang disetujui dan tidak disetujui menjadi lebih mengungkapkan setelah penggunaan teridentifikasi. Microsoft Copilot terpasang secara luas pada perangkat seluler yang dikelola di mana TI mengendalikan penyebaran, dibantu oleh posisinya dalam Microsoft 365. Di luar lingkungan yang dikelola tersebut, ChatGPT memimpin dengan selisih yang signifikan. Ia muncul pada 91 persen perangkat iOS yang tidak disetujui dan 61 persen perangkat Android yang tidak disetujui, sementara Gemini menyumbang sebagian besar penggunaan Android yang tersisa.

Layanan yang disetujui dan yang dipilih secara mandiri dapat dengan mudah hidup berdampingan dalam satu lingkungan kerja. Karyawan mungkin memiliki akses ke layanan AI korporat namun tetap beralih ke alat lain karena mereka menemukan alat tersebut lebih cepat, lebih familiar, atau lebih cocok untuk tugas tertentu. Dari perspektif mereka, ini sering menjadi cara paling praktis dan tercepat untuk menyelesaikan pekerjaan. Bagi tim TI dan kepatuhan, hal ini menimbulkan ketidakpastian tentang aplikasi mana yang menangani informasi perusahaan dan apakah kebijakan tata kelola yang ada dipatuhi.

Pola dalam perangkat lunak komunikasi serupa. Aplikasi pesan konsumen menyumbang hampir setengah dari alat komunikasi yang terpasang di platform desktop yang dikelola, bersama dengan Teams, Zoom, dan Slack. Layanan keuangan dan kesehatan, meskipun memiliki kewajiban pencatatan yang ketat, tidak terkecuali. Masalah kepatuhan muncul ketika sebuah organisasi mengasumsikan bahwa percakapan sensitif tetap berada dalam saluran yang disetujui. Pertanyaan kebijakan, diskusi pasien, atau keputusan internal yang dipindahkan ke aplikasi konsumen mungkin tidak lagi berada dalam sistem yang digunakan untuk retensi, pemantauan, atau penyelidikan. Karyawan yang bersangkutan mungkin tidak berniat melewati kontrol dan hanya menggunakan saluran di mana rekan mereka merespons paling cepat.

Pola‑pola ini menunjukkan pergeseran yang lebih luas dalam cara kerja dilakukan. Karyawan semakin berpindah‑pindah antara aplikasi, peramban, dan layanan AI yang tidak selalu cocok dengan model manajemen tradisional. Tantangannya bukan sekadar mengidentifikasi aplikasi lain. Tantangannya adalah mempertahankan pemahaman yang jelas tentang bagaimana pekerjaan terjadi di seluruh lingkungan sehingga tata kelola dapat mengikuti kecepatan perilaku karyawan.

Adopsi AI dan Kebersihan Perangkat Bergerak pada Kecepatan yang Berbeda

Adopsi AI yang cepat telah mengungkap realitas lain dalam TI perusahaan: teknologi tidak berkembang dengan kecepatan yang sama di seluruh organisasi. Karyawan dapat mulai menggunakan layanan AI dalam hitungan menit, tanpa proses pengadaan atau tiket dukungan.

Menutup kesenjangan manajemen perangkat dapat memakan waktu berbulan‑bulan, terutama di lingkungan campuran yang mencakup laptop korporat, perangkat bersama, perangkat keras yang tangguh, dan ponsel milik karyawan. Telemetri menunjukkan variasi luas dalam kecepatan patching. Perangkat iOS mencapai versi terbaru kira‑kira delapan kali lebih cepat daripada perangkat Android, sementara pembaruan macOS sekitar satu setengah kali lebih cepat daripada Windows.

Cakupan enkripsi juga tidak merata; 23 persen desktop perbankan tidak terenkripsi, dan angka tersebut naik menjadi sekitar 27 persen di sektor kesehatan dan teknologi tinggi, serta 28 persen di media dan hiburan. Lebih dari setengah perangkat desktop dan seluler di sektor pendidikan tidak terenkripsi, sementara di pemerintahan satu desktop dari lima tidak memiliki enkripsi.

Pembagian industri untuk pembaruan sistem operasi menambah konteks. Kesehatan, farmasi, serta ritel dan grosir memiliki konsentrasi perangkat Android tertinggi yang berjalan empat atau lima generasi di belakang rilis terkini. Informasi yang terungkap oleh patch yang terlewat berbeda di tiap lingkungan, mulai dari catatan pasien dan data klinis hingga riset obat dan informasi pembayaran.

Perangkat lama sering tertanam dalam pengaturan operasional di mana penggantian dan pemeliharaan sulit. Sebuah perangkat genggam yang tangguh di bangsal rumah sakit atau lantai gudang mungkin masih menjalankan sistem operasi yang beberapa versi mayorinya sudah usang, sementara staf di lingkungan tersebut memiliki akses ke layanan AI publik terbaru. Penggunaan AI dapat menimbulkan kekhawatiran segera, meskipun endpoint yang menua menjadi jalur yang lebih lama untuk mengakses informasi sensitif.

Inilah saat hubungan antara adopsi AI dan manajemen endpoint menjadi lebih jelas. Laporan menempatkan risiko perimeter bayangan dan kebersihan keamanan dalam bab terpisah, namun kesehatan muncul di keduanya. Ia diidentifikasi karena paparan kepatuhan yang timbul dari aplikasi yang tidak disetujui, lalu muncul lagi karena pembaruan sistem operasi yang lambat dan tingkat desktop yang tidak terenkripsi relatif tinggi. Overlap tersebut dapat tetap tersembunyi ketika keamanan, manajemen perangkat, dan informasi aplikasi berada dalam sistem terpisah. Setiap tim mungkin memiliki pandangan akurat tentang bagian mereka masing‑masing, namun melewatkan konsentrasi risiko di seluruhnya.

Jadwal Regulasi Telah Berubah

Beberapa organisasi mengharapkan regulasi menciptakan tekanan yang diperlukan untuk menutup kesenjangan ini, meskipun jadwalnya kini memberi mereka waktu lebih lama daripada yang diperkirakan sebelumnya. Berdasarkan kesepakatan politik yang dicapai oleh negosiator UE pada 7 Mei, kewajiban berisiko tinggi AI Act untuk sistem mandiri di Lampiran III telah dipindahkan dari Agustus 2026 ke Desember 2027. Ini adalah kategori di mana banyak penerapan AI perusahaan diperkirakan akan masuk. Kewajiban transparansi tetap berlaku sejak Agustus 2026, sementara persyaratan yang lebih luas yang akan mendorong banyak organisasi membuat inventaris AI dan penilaian risiko formal kini tiba enam belas bulan kemudian.

Penundaan ini memberi organisasi lebih banyak waktu untuk mempersiapkan diri, tetapi juga menghilangkan batas waktu eksternal yang segera yang mungkin mempercepat investasi.

Pasar merespons kesenjangan tata kelola yang diakui, meskipun nilai pengeluaran tersebut akan bergantung pada seberapa baik platform tersebut terhubung dengan estate endpoint yang lebih luas. Dasbor tata kelola AI terpisah dapat mengidentifikasi alat apa yang sedang digunakan sambil meninggalkan kondisi perangkat, enkripsi, dan kinerja aplikasi di tempat lain. Regulasi dapat menetapkan ekspektasi dan mendefinisikan akuntabilitas, tetapi tidak dapat menciptakan gambaran operasional yang lengkap kecuali data dasar dapat digabungkan.

Endpoint Penting Bagi Siapa Pun yang Menerapkan AI

Strategi AI setiap organisasi pada akhirnya akan bergantung pada perangkat yang digunakan karyawan setiap hari. Hal ini berlaku baik AI disampaikan melalui peramban, tertanam dalam aplikasi bisnis, atau berjalan langsung pada endpoint.

Pengembang dan tim perusahaan yang menerapkan asisten, agen, atau model di‑perangkat harus bekerja dengan perangkat yang sudah dipakai karyawan. Perangkat tersebut mungkin lebih tua, sangat dikelola, atau sudah berada di bawah tekanan kinerja. Pada desktop Windows, administrasi TI, keamanan, dan alat sistem menyumbang hampir dua pertiga dari tumpukan perangkat lunak yang terpasang. Perlindungan endpoint, manajemen patch, enkripsi, dan agen inventaris aset semuanya bersaing untuk kapasitas prosesor dan memori sebelum beban kerja AI dimulai.

Menambahkan asisten ke lingkungan itu mengubah tuntutan yang ditempatkan pada perangkat. Hal ini terutama relevan untuk inferensi di‑perangkat dan alur kerja agenik, di mana keandalan dan sumber daya komputasi yang tersedia memengaruhi apakah layanan merespons seperti yang diharapkan. The Digital Workspace 2026 Report menemukan bahwa perangkat Windows mengalami 3,1 kali lebih banyak pemadaman paksa dan 7,5 kali lebih banyak keadaan aplikasi yang tidak responsif dibandingkan Mac. Saat karyawan mulai bergantung pada asisten AI selama pekerjaan rutin, perbedaan keandalan tersebut berdampak langsung pada adopsi dan kepercayaan. Layanan yang tidak tersedia, lambat, atau tidak konsisten pada saat dibutuhkan akan segera dihindari.

Laptop eksekutif yang baru diterbitkan dan perangkat klinis bersama mungkin dimiliki oleh organisasi yang sama, namun berada di ujung yang berlawanan dalam hal patching, kinerja, dan kontrol.  Merancang penerapan AI di sekitar endpoint yang ideal berisiko mengabaikan tempat‑tempat di mana implementasi akan paling sulit. Kelemahan tersebut sering terkonsentrasi di lingkungan yang diatur dan operasional, di mana perangkat tetap digunakan lebih lama dan gangguan dapat memengaruhi pekerjaan garis depan. Ini juga merupakan setting di mana visibilitas yang buruk membawa konsekuensi paling besar.

Melihat Seluruh Lingkungan

Kebijakan tetap diperlukan, tetapi jangkauannya terbatas ketika sebuah organisasi tidak dapat melihat alat apa yang digunakan karyawan atau kondisi perangkat melalui mana mereka mengaksesnya. Karyawan akan terus memilih layanan yang membantu mereka menyelesaikan tugas dengan cepat. Beberapa akan menggunakan asisten yang disetujui, sementara yang lain akan memilih layanan publik yang terasa lebih mudah atau menghasilkan hasil yang lebih baik. Aturan tertulis saja tidak akan memberi tim TI gambaran akurat tentang perilaku tersebut.

Tantangan operasional adalah memahami penggunaan AI dalam konteks, yang mungkin mencakup usia perangkat, sistem operasinya, status patch, cakupan enkripsi, dan aplikasi yang sudah berjalan di atasnya. Dilihat secara terpisah, setiap set data tampak dapat dikelola. Namun bila digabungkan, mereka dapat mengungkap di mana beberapa kelemahan berkumpul di sekitar karyawan, perangkat, atau proses bisnis yang sama. Organisasi yang diatur sebaiknya memulai dengan menyatukan informasi penggunaan AI, patching, dan enkripsi ke dalam tampilan bersama, kemudian mengidentifikasi bagian‑bagian estate yang muncul berulang kali di seluruh set data tersebut. Shadow AI mungkin menjadi tanda paling terlihat dari masalah ini, sementara risiko yang lebih luas berada di celah‑celah antara sistem yang digunakan untuk mengelola tempat kerja.