Ketika Penyalahgunaan AI Memicu Krisis Perusahaan

Sebagian besar perusahaan tidak memiliki kebijakan untuk mencegah bencana reputasi dari alat-alat intelijen buatan

Survei terbaru menunjukkan bahwa hanya sekitar 30 persen perusahaan telah menetapkan kebijakan AI. Sementara itu, 77 persen karyawan berbagi rahasia perusahaan di ChatGPT, menurut Laporan Keamanan Data AI dan SaaS Perusahaan 2025 oleh LayerX. Kombinasi ini menciptakan kondisi yang ideal untuk krisis reputasi.

Kebanyakan kebijakan AI yang ada cenderung fokus pada risiko teknis dan kepatuhan. Mereka membahas protokol keamanan data, penilaian vendor, dan persyaratan peraturan. Namun, kebijakan ini sering kali melewatkan bencana hubungan masyarakat yang dapat terjadi dalam beberapa jam karena penyalahgunaan AI. Di Red Banyan, kami membimbing semakin banyak organisasi melalui krisis terkait AI, dan kami mulai melihat pola yang umum. Pelanggaran teknis biasanya dapat dikendalikan dengan cepat, tetapi kerusakan pada reputasi, hubungan klien, dan kepercayaan pemangku kepentingan dapat bertahan selama berbulan-bulan atau bahkan bertahun-tahun.

Masalah AI Bayangan

Ancaman terbesar datang dari apa yang disebut para profesional keamanan sebagai “AI Bayangan.” Ini terjadi ketika karyawan menggunakan akun AI pribadi yang tidak disetujui untuk tugas kerja, melewati kontrol keamanan perusahaan. Sebagian besar waktu, mereka melakukannya tanpa menyadari sepenuhnya risiko yang terkait.

Menurut penelitian Cyberhaven, 11 persen data yang dimasukkan karyawan ke ChatGPT adalah rahasia. Angka itu seharusnya mengkhawatirkan setiap CIO dan pemimpin komunikasi. Kami berbicara tentang kode sumber, kontrak klien, jadwal produk yang belum dirilis, proyeksi keuangan, dan catatan karyawan yang mengalir ke sistem yang tidak dikendalikan oleh organisasi.

Bagaimana Paparan Data Terjadi

Insinyur perangkat lunak dapat menggunakan alat AI seperti Claude atau ChatGPT untuk memecahkan masalah atau mengoptimalkan potongan kode. Pada 2023, insinyur perangkat lunak Samsung melakukan hal itu – mereka mengunggah kode sumber internal ke ChatGPT saat mencoba memecahkan masalah. Kebocoran kode rahasia itu memaksa Samsung untuk menerapkan pembatasan komprehensif pada penggunaan AI di semua departemen teknik.

Profesional pemasaran dan staf HR sering menggunakan AI untuk memperbaiki penulisan mereka. Mereka mengunggah draf proposal, dokumen kebijakan internal, dan terkadang bahkan perjanjian klien, meminta AI untuk memperbaiki kejelasan atau memperbaiki kesalahan tata bahasa. Dokumen-dokumen ini sering kali berisi proyeksi keuangan, istilah hukum, atau rencana strategis yang kompetitor akan temukan berharga.

Tim layanan pelanggan yang bereksperimen dengan alat efisiensi AI terkadang memasukkan percakapan pelanggan yang sebenarnya dan tiket dukungan. Mereka ingin AI untuk meringkas interaksi atau menyarankan respons yang lebih baik. Ketika input ini termasuk nama pelanggan, informasi kontak, detail akun, atau riwayat pembelian, perusahaan telah melanggar regulasi privasi seperti GDPR atau CCPA.

Tim pengembangan produk yang memikirkan fitur baru mungkin menjelaskan kemampuan yang belum diumumkan kepada ChatGPT, berharap AI dapat membantu memperbaiki ide atau mengidentifikasi masalah potensial. Deskripsi ini dapat mengungkap keunggulan kompetitif, inovasi teknologi, atau strategi pasar yang perusahaan bermaksud untuk dijaga kerahasiaannya sampai peluncuran.

Informasi ini semua dapat dipertahankan oleh model bahasa besar dan mempengaruhi respons AI kepada pengguna lain di masa depan.

Misalnya, setelah tim pengembangan produk menjelaskan produk mereka yang akan datang kepada ChatGPT, kompetitor atau jurnalis dapat bertanya kepada alat AI tentang rilis perusahaan yang akan datang. ChatGPT mungkin merujuk pada informasi rahasia yang dibagikan dan mengungkapkan rencana produk atau teknologi baru yang perusahaan habiskan banyak sumber daya untuk mengembangkannya.

Bagaimana Ini Menjadi Krisis PR

Ketika insiden seperti ini terjadi, mereka jarang tetap terkendali sebagai masalah TI. Berikut adalah apa yang biasanya terjadi:

Pelanggaran itu ditemukan, sering kali secara kebetulan atau melalui peringatan pihak ketiga. TI mulai menyelidiki sambil mencoba menilai skala insiden. Sementara itu, jika insiden melibatkan data klien atau informasi yang diatur, kewajiban hukum memerlukan pengungkapan. Setelah diungkap, liputan media dimulai. Media sosial memperkuat cerita. Klien mulai menelepon dengan kekhawatiran. Karyawan khawatir tentang keamanan pekerjaan dan tanggung jawab mereka sendiri.

Dalam 24 hingga 48 jam, apa yang dimulai sebagai insiden teknis telah menjadi krisis reputasi penuh. Perusahaan perlu menjelaskan kepada berbagai audiens bagaimana ini terjadi, mengapa kontrol gagal, dan apa yang dilakukan untuk mencegah kejadian serupa. Jika perusahaan belum mempersiapkan skenario ini, responsnya sering kali lambat, tidak konsisten, atau defensif. Setiap kesalahan memperpanjang krisis dan memperdalam kerusakan.

Membangun Kerangka Respon Krisis untuk Insiden AI

CIO perlu bermitra dengan tim komunikasi dan hukum untuk membangun protokol respon krisis khusus untuk insiden AI. Kontrol teknis dan kebijakan penting, tetapi mereka tidak cukup tanpa rencana untuk mengelola dampak media ketika sesuatu salah.

Berikut adalah enam langkah yang dapat diambil untuk memulai proses ini:

1. Tetapkan jalur eskalasi yang jelas. Ketika paparan data terkait AI ditemukan, siapa yang segera diberitahu? IT, Hukum, Komunikasi, dan C-suite harus semua dihubungi dengan cepat. Buatlah pohon keputusan yang menentukan kapan mengaktifkan protokol krisis berdasarkan jenis dan sensitivitas data yang terpapar.
2. Kembangkan templat respons. Buat pernyataan dan dokumen Q&A untuk skenario kejadian AI yang umum. Ini harus membahas penyalahgunaan karyawan, masalah keamanan vendor, dan paparan data yang tidak disengaja. Dengan memiliki templat siap, memungkinkan respons yang lebih cepat dan konsisten ketika waktu kritis.
3. Latih juru bicara. Eksekutif dan staf komunikasi memerlukan pelatihan media yang secara khusus fokus pada bagaimana membahas insiden AI. Teknologi ini kompleks dan penuh dengan istilah teknis, yang bisa sulit untuk dinavigasi ketika menjawab pertanyaan dari pemangku kepentingan.
4. Monitor untuk tanda-tanda awal. Pemantauan media sosial harus mencakup kata kunci terkait organisasi dan alat AI. Terkadang, indikasi pertama masalah datang dari karyawan yang memposting di LinkedIn atau pelanggan yang mengeluh di Twitter tentang respons yang dihasilkan AI.
5. Lakukan simulasi krisis. Latihan meja yang membahas skenario paparan data AI membantu tim memahami peran mereka dan mengidentifikasi celah dalam rencana respons. Simulasi ini harus melibatkan IT, Hukum, Komunikasi, HR, dan kepemimpinan eksekutif.
6. Bangun hubungan sebelum Anda membutuhkannya. Bangun koneksi dengan perusahaan komunikasi krisis, ahli keamanan siber yang dapat memberikan validasi pihak ketiga, dan penasihat hukum yang berpengalaman dalam masalah terkait AI. Ketika krisis terjadi, Anda ingin memiliki penasihat tepercaya yang dapat segera bergerak.

Jalan Menuju Masa Depan

Celah antara adopsi AI dan tata kelola AI terus tumbuh. Karyawan memiliki akses mudah ke alat yang kuat yang dapat menciptakan risiko reputasi yang signifikan. CIO telah secara tradisional fokus pada sisi teknis pengelolaan risiko AI. Namun, dimensi reputasi insiden AI memerlukan perhatian dan persiapan yang sama.

Pertanyaannya bukan apakah organisasi Anda akan menghadapi krisis terkait AI. Mengingat tingkat adopsi saat ini dan prevalensi AI Bayangan, pertanyaannya adalah kapan. Perusahaan yang mempersiapkan diri sekarang, dengan kebijakan yang mengatasi risiko teknis dan reputasi, akan lebih baik dalam menghadapi insiden tersebut daripada mereka yang tidak siap.