Shadow AI: Mengapa Karyawan Mengabaikan IT dan Apa yang Mengakhirinya

AI kini menjadi bagian dari pekerjaan sehari-hari bagi banyak karyawan, sering kali beberapa kali dalam sehari. Namun, alat yang mereka gunakan tidak selalu merupakan alat resmi yang diberikan oleh IT.

“Shadow AI” adalah penggunaan produk AI yang tidak disetujui di tempat kerja, termasuk:

• Chatbot pribadi
• Agen AI
• Akun asisten AI

Sekitar separuh karyawan mengatakan mereka telah menggunakan AI dengan cara yang melanggar kebijakan dan pedoman organisasi mereka, menurut survei KPMG terhadap lebih dari 48.000 orang di 47 negara. Sering kali, mereka menempelkan informasi perusahaan yang sensitif ke dalam alat AI publik.

Solusi sementara telah menjadi peringatan. Survei BCG terhadap lebih dari 10.000 karyawan, manajer, and pemimpin menemukan bahwa hampir empat dari sepuluh orang mengatakan perusahaan mereka tidak menyediakan alat yang tepat.

Karyawan menggunakan alat yang tidak disetujui ketika mereka:

• Dibatasi
• Dibatasi
• Lebih buruk dari apa yang bisa mereka dapatkan sendiri

Ketika alat yang disetujui sudah cukup baik, sebagian besar karyawan berhenti mengabaikan IT. Pelajarannya: Permintaan untuk AI sangat kuat, tetapi shadow AI sering kali merupakan tanda masalah pasokan.

Apa itu shadow AI?

Shadow AI berarti karyawan menggunakan alat AI mereka sendiri di tempat kerja alih-alih yang disediakan oleh organisasi mereka. Ini termasuk:

• Chatbot yang menjawab pertanyaan
• Agen yang melakukan tugas rutin
• Bot yang merekam dan mentranskripsikan rapat
• Asisten yang menangani seluruh rutinitas kerja

Alat-alat tersebut dapat terhubung ke sistem dan aplikasi kerja. Beberapa adalah produk mandiri, sementara yang lain adalah fitur AI yang dibangun ke dalam alat, perangkat, dan platform yang sudah dimiliki karyawan, seperti Copilot, Gemini, dan Apple Intelligence.

Dalam survei terhadap 2.000 karyawan yang ditugaskan oleh BlackFog, sebuah perusahaan keamanan, 58% pengguna shadow AI mengatakan mereka mengandalkan versi gratis yang sering kali tidak memiliki:

• Keamanan tingkat perusahaan
• Tata kelola data
• Perlindungan privasi

terutama karena mereka menghargai kecepatan. Pimpinan senior melaporkan menggunakan shadow AI hampir dua kali lebih sering daripada staf junior.

Penggunaan karyawan bisa sulit dideteksi. Survei Cloud Security Alliance menemukan bahwa:

• 82% responden mengatakan organisasi mereka memiliki agen tak dikenal yang berjalan di sistem mereka
• 65% telah mengalami insiden terkait agen, termasuk paparan data, gangguan operasional, dan kerugian finansial

Shadow AI vs. shadow IT

Shadow IT datang lebih dulu. Aditya Patel, spesialis keamanan cloud di AWS, menyebut shadow AI sebagai “sepupu pemberontaknya”.

Shadow IT menggambarkan saat pekerja mengabaikan produk teknologi pilihan IT perusahaan dan menggunakan produk mereka sendiri, terkadang dengan sengaja dan terkadang tanpa mengetahui aturan. Seorang karyawan masuk ke akun pribadi Google, Dropbox, WhatsApp, atau Trello di browser web pada perangkat kerja, atau mengirim email dokumen ke alamat pribadi untuk diselesaikan di rumah.

Yang baru dengan shadow AI adalah skala dan kegigihannya. Beberapa contoh:

• Data yang ditempelkan ke dalam alat publik dapat tetap berada di dalam sistem vendor untuk waktu yang tidak terbatas
• Agen dan asisten terus berjalan saat karyawan melakukan hal lain, bekerja di seluruh aplikasi, email, dan platform

Perangkat lunak pemantauan keamanan tradisional tidak dibuat untuk melihatnya. Menutup tab browser tidak menghentikan pekerjaan, yang sering kali tak terlihat oleh siapa pun kecuali orang yang memicunya.

Perbesar

Contoh shadow AI di tempat kerja

Shadow AI biasanya muncul dalam beberapa situasi penting:

Mengapa karyawan menggunakan AI yang tidak disetujui

Karyawan memiliki banyak alasan untuk menggunakan IT yang tidak disetujui.

• Beberapa menghadapi tekanan untuk menggunakan AI, termasuk ulasan kinerja yang buruk atau kehilangan pekerjaan, sementara alat yang disediakan oleh pemberi kerja bekerja kurang baik daripada yang mereka gunakan di rumah.
• Mereka memilih yang lebih baik untuk menyelesaikan pekerjaan dengan benar.
• Yang lain menganggap alat yang disetujui terlalu lambat untuk tiba, terlalu rumit, terlalu tidak fleksibel, atau terlalu sering salah.

Penggunaan AI yang berat bisa menjadi mahal, yang telah menyebabkan jumlah perusahaan terkenal membatasi pengguna “tokenmaxxing”. Pada Juni 2026, Uber membatasi pengeluaran karyawan sebesar $1.500 per bulan untuk setiap alat pengkodean agen setelah menghabiskan anggaran AI tahunannya dalam empat bulan.

Rasioning mendorong beberapa karyawan untuk membayar versi konsumen sendiri alih-alih menghadapi “tokenpocalypse.” Beberapa perusahaan yang sama yang menyuruh karyawan menggunakan AI juga membatasi akses ke AI tersebut.

Karyawan mengatasi batasan tersebut.

• Mereka menempelkan data perusahaan ke dalam chatbot publik untuk menyusun laporan.
• Mereka menggunakan asisten pribadi AI atau alat pengkodean untuk mempercepat tugas rutin.

Beberapa peneliti menyebut ini sebagai “inovasi pengguna bayangan.” Banyak karyawan tidak pernah menyadari bahwa mereka melanggar kebijakan perusahaan. Dan di antara karyawan yang menggunakan AI yang melanggar aturan, hanya sekitar separuh yang ketahuan, menurut survei PagerDuty.

Apa yang bisa salah dengan shadow AI

Risiko tersebut terbagi menjadi setidaknya lima kelompok:

1. Pelanggaran keamanan: Alat yang tidak disetujui dapat memberi penyerang rute ke dalam sistem internal. Vercel, penyedia infrastruktur web, mengungkapkan pada April 2026 bahwa peretas canggih membobol sistemnya setelah seorang karyawan menghubungkan aplikasi pihak ketiga dari Context.ai ke akun Google perusahaan. Para penyerang membawa kabur kredensial pelanggan, dan data yang dicuri kemudian ditawarkan seharga $2 juta.

2. Kebocoran kekayaan intelektual: Data hak milik dapat keluar dari server yang dikendalikan perusahaan hanya dengan satu kali tempel ke dalam chatbot. Pada Maret 2023, karyawan Samsung menempelkan kode sumber dan transkrip internal rahasia ke dalam ChatGPT. Kekhawatirannya adalah pengguna lain dapat mengakses data tersebut. Samsung melarang alat AI generatif beberapa minggu kemudian.

3. Dampak regulasi: Pelanggaran atau fakta buatan AI dapat memicu pengawasan regulasi, denda, dan kerusakan reputasi. CB Financial Services, induk dari Community Bank, mengajukan Formulir 8-K pada Mei 2026 ke Securities and Exchange Commission yang mengungkapkan insiden internal yang melibatkan informasi pelanggan sensitif menggunakan aplikasi AI yang tidak sah. Ini adalah pengajuan 8-K pertama yang diketahui sebagai tanggapan atas penggunaan shadow AI.

4. Komplikasi hukum: Menempelkan informasi rahasia ke dalam chatbot konsumen dapat membahayakan perlindungan rahasia dagang perusahaan. Dalam keputusan April 2026, seorang hakim federal di California menolak klaim rahasia dagang “dengan prasangka” karena penggugat telah mengembangkan materi tersebut dengan ChatGPT dan belum mengambil langkah yang wajar untuk menjaganya tetap rahasia. Dalam putusan terpisah, pengadilan menemukan bahwa log chat AI pribadi terdakwa tidak dilindungi oleh hak istimewa klien-pengacara atau doktrin produk kerja, menjadikannya dapat ditemukan di pengadilan.

5. Privasi: Bot rapat dapat merekam orang tanpa izin atau pengetahuan mereka. Kasus di Pengadilan Distrik AS terhadap Otter.ai mempertanyakan apakah pencatat otomatis dapat merekam peserta tanpa persetujuan dari semua pihak, dan apakah Otter dapat menggunakan percakapan untuk melatih modelnya. Secara terpisah pada tahun 2024, peneliti Alex Bilzerian mengatakan kepada The Washington Post bahwa ia keluar dari kesepakatan setelah Otter mengiriminya transkrip lengkap dari rapat yang telah ia tinggalkan, di mana para investor membahas kesalahan langkah strategis dan metrik yang dimanipulasi.

Perbesar

Mengapa larangan gagal

Perusahaan telah melarang produk AI tertentu dan kemudian membatalkannya.

• Samsung melarang alat AI generatif pada tahun 2023 dan mengadopsi ChatGPT, Gemini, dan Claude di seluruh perusahaan pada tahun 2026.
• Citigroup membatasi ChatGPT pada tahun 2023 dan meluncurkan alat AI sendiri kepada karyawan pada tahun 2024.
• Setelah Italia memblokir ChatGPT pada tahun 2023, keluaran dari pengembang perangkat lunak Italia turun sekitar separuhnya selama dua hari dan kemudian pulih, sementara unduhan alat untuk melewati pemblokiran meningkat tajam, menurut temuan dua ekonom dalam makalah kerja.
• Di Reddit, seorang profesional keamanan jaringan menulis bahwa setelah perusahaan tempat ia bekerja memblokir ChatGPT, karyawan beralih ke fitur AI di dalam aplikasi perusahaan yang disetujui, yang tidak dapat dimatikan.

Larangan sering kali memindahkan pekerjaan ke tempat lain alih-alih menghentikan penggunaan AI yang tidak sah.

• Dalam survei KPMG, 67% karyawan yang melarang alat AI publik mengatakan bahwa mereka telah memasukkan materi sensitif atau berhak cipta ke dalam alat, dibandingkan dengan 33% di organisasi tanpa kebijakan formal.
• Pemblokiran yang agresif mendorong penggunaan AI ke perangkat pribadi dan membatasi apa yang dapat dilihat oleh organisasi, menurut penelitian.
• Tangkapan layar atau foto halaman web dapat mengalahkan kontrol berbasis file.

Cara mengakhiri solusi sementara shadow AI

Perusahaan dengan shadow AI yang lebih sedikit membuat jalur yang disetujui menjadi lebih mudah. Kebijakan penggunaan AI yang efektif, pelatihan literasi AI yang berkelanjutan, pengamanan teknis, dan akuntabilitas manusia adalah dasarnya. Empat praktik melangkah lebih jauh:

• Pilih alat yang akan dipilih oleh karyawan. Survei dari Recon Analytics menemukan 68% karyawan yang hanya diberi Copilot menyebutnya sebagai alat AI utama mereka, dibandingkan dengan 8% ketika diberi tiga alat utama. Moderna membandingkan asistennya sendiri dengan Copilot dan ChatGPT Enterprise dalam pengujian pengguna, kemudian memilih yang dinilai paling tinggi oleh karyawan.
• Sediakan alternatif sebelum membatasi solusi sementara. Studi Australia terhadap praktisi infrastruktur kritis menemukan beberapa organisasi memblokir alat AI publik hanya setelah mereka mulai menawarkan opsi yang disetujui, pendekatan yang disebut oleh para penulis sebagai “substitusi-utama.” “Jika Anda tidak memberi mereka alatnya, mereka akan menemukan cara untuk mendapatkan alat tersebut,” kata seorang peserta. Netskope Threat Labs, lengan riset dari penyedia keamanan cloud, melaporkan bahwa penggunaan akun AI pribadi pada pelanggan layanan keuangannya turun dari 76% menjadi 36% dengan solusi resmi sementara penggunaan yang disetujui naik dari 33% menjadi 79%.
• Berikan berbagai pilihan pelatihan yang disesuaikan. Dalam uji coba Copilot pemerintah Australia, tiga perempat orang yang menerima tiga atau lebih bentuk pelatihan merasa percaya diri menggunakan alat tersebut, 28 persentase poin di atas mereka yang menerima satu bentuk pelatihan. Survei BCG menemukan bahwa 18% karyawan yang tidak menerima pelatihan adalah pengguna AI reguler, dibandingkan dengan 82% dari mereka yang menerima lima hingga sepuluh jam instruksi, sesi tatap muka, dan pembinaan. Hanya 36% karyawan yang mengatakan puas dengan pelatihan AI mereka, menyebutnya terlalu singkat atau superfisial.
• Mulai dari orang-orang yang sudah menginginkan sebuah alat. Peter Tucker, yang saat itu menjabat sebagai direktur IT di IK Partners, sebuah perusahaan ekuitas swasta dengan 250 orang, menggunakan strategi yang didorong oleh permintaan tanpa mandat untuk menjangkau 190 pengguna ChatGPT Enterprise. Ia mulai dengan 20 relawan, yang menjadi pendukung internal ketika mereka melihat bagaimana alat tersebut dapat menghemat waktu mereka. Ia membangun konektor dengan alat yang sudah digunakan orang-orang, termasuk Exchange, Egnyte, dan Notion. Dan ia mengadakan sesi sukarela dengan seorang ilmuwan data yang dihadiri oleh 120 dari 250 karyawan perusahaan tersebut. BBVA naik dari 3.300 lisensi menjadi 11.000 dengan pelatihan untuk 250 pemimpin, termasuk CEO-nya, membingkai alat perusahaan sebagai alternatif yang lebih aman untuk shadow AI.

Kesimpulan

Ketika karyawan mengabaikan alat yang diberikan perusahaan, mereka menunjukkan dengan tepat di mana alat tersebut kurang memadai. Memblokirnya justru menyembunyikan informasi tersebut. Perusahaan dengan penggunaan shadow AI paling sedikit menyediakan alat yang bagus, memilih alat yang akan dipilih oleh karyawan, dan memperlakukan sisa penggunaan shadow tersebut sebagai daftar fitur yang masih hilang.

Bagaimana Perplexity dapat membantu

Perplexity Enterprise menyediakan alat yang aman bagi perusahaan yang dipilih karyawan berdasarkan keunggulannya, dengan masuk akun kerja yang dapat ditegakkan oleh admin; izin berbasis peran sehingga orang-orang hanya melihat apa yang diizinkan oleh IT; pencatatan audit di seluruh input pengguna, langkah agen, dan jawaban; informasi perusahaan yang tidak pernah digunakan untuk melatih model AI; dan tautan ke sumbernya pada setiap jawaban sehingga siapa pun dapat memeriksa fakta sebelum menyampaikannya kepada klien. Dan browser Comet untuk Enterprise mengikuti standar keamanan dan kontrol yang telah diterapkan oleh perusahaan.

FAQ

Bagaimana saya bisa tahu jika saya menggunakan shadow AI tanpa sengaja?

Periksa apakah alat AI ada dalam daftar yang disetujui perusahaan. Ekstensi browser, alat pencatat, dan fitur AI otomatis semuanya termasuk, dan kebanyakan orang yang melanggar kebijakan tidak pernah menyadarinya.

Apa yang harus saya lakukan jika saya menempelkan sesuatu yang bersifat sensitif ke dalam alat AI pribadi?

Beritahu seseorang di tim IT atau keamanan pada hari yang sama, dan beritahu mereka secara spesifik apa yang dibagikan. Perusahaan dan pengadilan memperlakukan pengungkapan yang cepat dan sukarela secara berbeda dari penyembunyian, dan kerusakan praktis biasanya bergantung pada seberapa cepat akses dapat dicabut dan kredensial diubah.

Bagaimana jika rekan kerja membawa pencatat AI ke dalam rapat?

Bertanyalah sebelum percakapan dimulai, karena pilihan satu peserta merekam semua orang. Aturan persetujuan perekaman bervariasi menurut negara bagian dan mencakup setiap orang di panggilan, bukan hanya penyelenggara, jadi berbicaralah lebih awal atau minta agar bagian yang sensitif tidak ditranskripsikan.

Apakah menyediakan alat AI yang disetujui membuat shadow AI hilang?

Tidak, dan hanya sedikit penelitian yang dapat diandalkan yang mengukur penggunaan secara langsung sebelum dan sesudah alat yang disetujui diluncurkan. Alat sanksi yang efektif menghilangkan salah satu alasan terbesar untuk pergi ke luar, tetapi sebagian orang akan selalu terus menggunakan keduanya, dan sinyal itu layak untuk diperhatikan daripada dihukum.

Bagaimana seorang manajer dapat membedakan masalah kedisiplinan dari masalah alat?

Perhatikan apa yang dijangkau orang dan alasannya. Jika solusi sementara tersebut menghemat waktu nyata, itu menunjukkan apa yang kurang dari alat yang disetujui. Tanggapan yang paling praktis adalah memperbaiki celah tersebut. Penyembunyian biasanya menandakan ketakutan akan konsekuensi, bukan niat buruk.