80% Tools AI Berjalan Tanpa Pengawasan IT, Data Perusahaan Terancam

Telset.id – Sebuah laporan terbaru mengungkap fakta mengejutkan: empat dari lima atau 80% tools AI di lingkungan perusahaan beroperasi tanpa pengawasan departemen IT. Temuan ini memicu kekhawatiran serius terkait keamanan data dan meningkatnya risiko kebocoran informasi di tengah adopsi AI yang semakin masif.

Laporan bertajuk State of Agent Security 2026 yang dirilis oleh Reco, sebuah perusahaan keamanan siber, menyoroti celah besar dalam tata kelola teknologi kecerdasan buatan. Data yang dihimpun dari berbagai sumber menunjukkan bahwa aplikasi AI, termasuk browser agents dan tools integrasi, sering kali luput dari perhatian para insinyur keamanan dan IT. Kondisi ini menciptakan apa yang disebut sebagai “risiko operasional” bagi organisasi yang telah mengandalkan AI dalam alur kerja sehari-hari.

Laporan Reco ini menyusul berbagai kekhawatiran lain tentang adopsi AI yang tidak terkendali. Sebelumnya, isu serupa juga pernah menjadi sorotan, seperti yang diulas dalam artikel tentang akurasi food tracking Google Health yang menuai keluhan, menunjukkan bahwa pengawasan terhadap teknologi baru seringkali tertinggal dari penerapannya.

Skala Penggunaan AI di Luar Kendali IT

Salah satu temuan paling memprihatinkan dari laporan ini adalah skala penggunaan aplikasi AI yang tidak disetujui. Perusahaan-perusahaan kecil tercatat menggunakan sekitar 414 tools AI per 1.000 karyawan tanpa persetujuan IT. Angka ini merupakan kombinasi dari ekstensi browser dan alur kerja otomatis yang beroperasi di luar proses review dan persetujuan standar yang biasanya diterapkan untuk pengadaan software.

Fenomena ini menunjukkan bahwa aturan yang berlaku untuk pengadaan SaaS (Software as a Service) tidak efektif ketika diterapkan pada ekstensi browser atau tools AI ringan lainnya. Akibatnya, terjadi kekosongan pengawasan yang menciptakan celah keamanan signifikan. Para karyawan mungkin menggunakan tools ini untuk meningkatkan produktivitas, namun tanpa disadari, mereka membuka pintu bagi potensi kebocoran data perusahaan.

Risiko ini semakin nyata ketika melihat kemampuan tools AI tersebut. Reco menilai 500 agent tools dan menemukan bahwa 62% di antaranya memiliki kemampuan ganda: dapat membaca data lokal di perangkat karyawan sekaligus terhubung ke internet. Kombinasi kemampuan ini merupakan peluang emas bagi pelaku kejahatan siber untuk melakukan eksfiltrasi data, yaitu proses mencuri dan mentransfer data sensitif secara ilegal dari dalam sistem perusahaan ke pihak luar.

Risiko Operasional dan Kerentanan Keamanan

Selain masalah pengawasan, laporan tersebut juga mengidentifikasi 637 kerentanan keamanan yang terkait dengan agen AI dan model bahasa besar (LLM). Kerentanan ini merupakan titik lemah yang dapat dieksploitasi oleh peretas untuk menyusup ke dalam sistem atau mencuri data. Temuan ini menegaskan bahwa adopsi AI yang cepat tidak diimbangi dengan langkah pengamanan yang memadai.

Analisis telemetri yang dilakukan Reco terhadap 62 perusahaan skala enterprise di sektor layanan keuangan, kesehatan, ritel, dan telekomunikasi antara 1 Januari hingga 1 Agustus 2026 mengungkap sikap yang sangat longgar terhadap adopsi AI. Meskipun banyak perusahaan memiliki kebijakan dan prosedur untuk menilai, mengevaluasi, dan menyetujui tools AI baru, proses ini kerap diabaikan atau disiasati, terutama untuk aplikasi-aplikasi yang dianggap berisiko rendah.

Kompleksitas masalah ini bertambah karena agen AI tidak hanya beroperasi sebagai aplikasi mandiri seperti ChatGPT. Reco menemukan bahwa agen AI kini tertanam di dalam berbagai tools lain yang sudah digunakan perusahaan. Yang lebih berbahaya, agen-agen ini mewarisi izin akses (permissions) dari pengguna yang mempekerjakannya. Artinya, jika seorang karyawan memiliki akses ke data keuangan sensitif, maka agen AI yang ia gunakan juga secara otomatis memiliki akses yang sama, tanpa pengawasan ketat dari tim IT.

Ofer Klein, CEO Reco, memberikan pernyataan tegas terkait temuan ini. “Agen AI telah berpindah dari fase eksperimen ke alur kerja bisnis sehari-hari, tetapi temuan kami menunjukkan hanya 20% tools AI di ekosistem enterprise yang saat ini diawasi oleh IT,” ujarnya. Ia menambahkan bahwa hal ini membuat organisasi terpapar pada kelas risiko operasional baru, di mana agen yang tertanam dalam aplikasi dapat beroperasi melalui izin yang ada, memberikan akses OAuth, dan akses alur kerja, menciptakan kombinasi beracun yang mengekspos data dan memicu tindakan di luar persetujuan pemiliknya.

Pernyataan Klein ini menggarisbawahi bahwa risiko tidak hanya datang dari tools AI yang berdiri sendiri, tetapi juga dari integrasi agen AI ke dalam aplikasi bisnis yang sudah mapan. Izin yang diwarisi dari pengguna, dikombinasikan dengan konektivitas internet, menciptakan “kombinasi beracun” yang dapat memicu tindakan berbahaya tanpa sepengetahuan pemilik data. Situasi ini diperparah dengan maraknya penggunaan tools AI tidak resmi di tempat kerja, sebuah tren yang juga pernah disoroti oleh penelitian lain yang menyatakan sebagian besar pekerja kini menggunakan AI tanpa izin.

Implikasi dari temuan ini sangat jelas bagi organisasi. Diperlukan langkah konkret untuk memberikan tim IT sumber daya yang memadai guna mengelola dan membatasi penggunaan AI yang tidak sah. Jika tidak, perusahaan akan membiarkan pintu terbuka lebar bagi kemungkinan eksfiltrasi data yang dapat merugikan finansial dan reputasi perusahaan. Pengawasan yang ketat dan kebijakan yang adaptif menjadi kunci untuk memanfaatkan potensi AI tanpa mengorbankan keamanan data perusahaan.