Sinyal Bahaya Five Eyes: Ketika Perusahaan Kalah Cepat dari AI

Artikel IT

Juni 2026 kemarin, aliansi intelijen Five Eyes melepaskan peringatan yang menghentak dunia siber: model AI generasi terbaru berkembang dalam hitungan bulan, bukan tahun lagi. Ironisnya, saat teknologi ini berlari kencang, banyak perusahaan masih terjebak dalam pola pikir lama rapat berbulan-bulan hanya untuk menyusun draf kebijakan yang kemungkinan besar sudah usang begitu disahkan.

Di lapangan, situasinya jauh lebih liar. Tanpa menunggu lampu hijau dari manajemen, karyawan di berbagai divisi sudah bergerak duluan menggunakan Shadow AI demi mengejar produktivitas. Ketika data sensitif perusahaan mulai bocor ke platform publik dan serangan siber berbasis AI makin presisi, ruang rapat direksi pun dipaksa sadar bahwa mereka telah tertinggal satu langkah di belakang.

Jika raksasa intelijen dunia saja sudah membunyikan alarm bahaya, masihkah organisasi Anda merasa punya waktu untuk menunda? Mari kita bedah bagaimana lanskap ancaman ini bergeser dan apa yang harus segera Anda lakukan sebelum risiko berubah menjadi bencana bisnis.

Sisi Liar Shadow AI: Karyawan Berlari, Kebijakan Mati Suri

Beberapa tahun lalu, AI masih dianggap semacam alat bantu sesuatu yang membuat pekerjaan lebih cepat, tapi bukan sesuatu yang menentukan arah bisnis. Situasinya sekarang jauh berbeda.

Coba lihat saja bagaimana AI sudah menyebar ke hampir semua fungsi bisnis. Tim marketing pakai AI untuk bikin konten. HR memanfaatkannya dalam proses rekrutmen. Divisi legal mulai menggunakan AI untuk meninjau kontrak, sementara customer service banyak yang sudah bergantung pada chatbot berbasis large language model. Tim developer pun terbiasa memakai AI untuk membantu menulis kode sehari-hari.

Yang menarik dan sekaligus mengkhawatirkan adalah kenyataan bahwa banyak dari penggunaan ini terjadi tanpa persetujuan resmi dari perusahaan. Karyawan jalan duluan, kebijakan menyusul belakangan, kalau memang ada. Fenomena ini punya nama sendiri: Shadow AI, yaitu penggunaan aplikasi AI di luar pengawasan atau izin formal organisasi.

Dari sudut pandang produktivitas, ini mungkin terlihat sebagai hal yang positif. Orang jadi lebih cepat kerja, lebih efisien.

Tapi dari sisi tata kelola, ini membuka celah yang cukup besar. Pertanyaannya sudah bergeser. Dulu pertanyaannya “apakah perusahaan akan pakai AI?”

sekarang pertanyaannya jadi

“bagaimana caranya memastikan AI dipakai dengan aman dan bertanggung jawab, sambil tetap sejalan dengan tujuan bisnis?”

Pergeseran itulah yang membuat istilah AI Governance semakin sering muncul di meja diskusi para CIO, CISO, Chief Risk Officer, sampai jajaran direksi.

Alarm Intelijen: Mengapa Bisnis Anda Berada di Garis Bidik

Ada anggapan yang cukup umum bahwa peringatan dari lembaga intelijen semacam Five Eyes itu urusan pemerintah dan sektor pertahanan saja, tidak ada hubungannya dengan perusahaan biasa. Anggapan ini keliru, dan sejarah keamanan siber sudah cukup sering membuktikannya.

Pola serangan yang tadinya ditujukan ke infrastruktur strategis negara sering kali, cepat atau lambat, merembet ke sektor swasta. Kebocoran data, penyalahgunaan identitas digital, ransomware, sampai manipulasi informasi semuanya sudah jadi santapan sehari-hari perusahaan dari berbagai industri, bukan cuma institusi pemerintah.

Yang membedakan situasi sekarang adalah kecepatan. AI mempercepat semua proses tersebut, di kedua sisi sekaligus. Bagi penyerang, AI bisa dipakai untuk:

Kemampuan AI	Dampak bagi Penyerang
Menyusun teks yang meyakinkan	Email phishing jadi jauh lebih sulit dibedakan dari yang asli
Membantu penulisan kode	Malware bisa dibuat lebih cepat, dengan variasi lebih banyak
Otomatisasi pencarian celah	Proses menemukan kerentanan sistem jadi lebih efisien
Skalabilitas tinggi	Serangan bisa diperluas tanpa perlu menambah sumber daya manusia

Tapi teknologi yang sama juga bisa jadi senjata pertahanan. Tim keamanan bisa memanfaatkan AI untuk mendeteksi anomali lebih cepat, mengenali pola serangan lebih dini, mempercepat respons insiden, dan memangkas waktu investigasi yang biasanya memakan hari jadi hitungan jam.

Inilah kenapa Five Eyes tidak cuma bicara soal ancaman. Mereka juga menyinggung soal perlunya organisasi menyiapkan tata kelola yang kecepatannya sepadan dengan kecepatan perkembangan teknologinya sendiri. Kalau tata kelolanya jalan di tempat sementara teknologinya lari kencang, ya jaraknya akan makin lebar.

Bukan Salah AI, Tapi Tata Kelola yang Macet

Kalau melihat sejarah panjang transformasi digital, ada satu pola yang berulang terus: kegagalan proyek jarang sekali disebabkan oleh teknologinya sendiri. Yang paling sering jadi biang masalah justru hal-hal yang kelihatannya “sepele” kebijakan yang tidak jelas, tata kelola yang lemah, pembagian tanggung jawab yang kabur, pengawasan yang minim, dan pemahaman risiko yang dangkal.

Pola yang sama sekarang mulai terulang pada implementasi AI. Banyak perusahaan berlomba-lomba mengadopsi teknologi terbaru, sebagian besar karena takut ketinggalan dari kompetitor. Sayangnya, hanya sedikit yang benar-benar menyiapkan mekanisme pengendalian supaya AI tersebut dipakai dengan bertanggung jawab.

Akibatnya bermunculan pertanyaan-pertanyaan yang dulu tidak pernah jadi topik pembahasan serius:

Siapa yang bertanggung jawab kalau AI menghasilkan keputusan yang merugikan pelanggan?
Bagaimana memastikan data sensitif tidak “bocor” ke platform AI publik?
Siapa yang berhak mengaudit keputusan yang dibuat model AI?
Siapa yang berwenang menyetujui penggunaan AI di masing-masing unit bisnis?
Bagaimana cara mengukur risiko sebelum AI dipakai di proses yang sifatnya kritis?

Pertanyaan-pertanyaan ini tidak bisa dijawab hanya dengan membeli lisensi tool AI yang lebih canggih. Yang dibutuhkan adalah kerangka kerja yang menghubungkan teknologi, proses bisnis, manajemen risiko, kepatuhan, dan pengambilan keputusan jadi satu kesatuan. Di titik inilah AI Governance mulai berperan bukan sebagai pelengkap administratif, melainkan sebagai fondasi.

Kenapa Ini Penting Buat Profesional IT?

Ada kecenderungan di kalangan profesional TI untuk menganggap AI Governance itu urusan perusahaan besar saja, atau organisasi yang implementasi AI-nya sudah masif. Padahal arah perkembangannya justru sebaliknya.

Ketika lembaga intelijen, regulator, penyedia teknologi, sampai perusahaan-perusahaan global mulai menempatkan AI Governance sebagai prioritas, pertanyaan yang relevan bukan lagi “apakah organisasi saya butuh ini?” tapi “seberapa cepat saya bisa membangunnya sebelum risiko keburu muncul duluan?”

Bagi yang bekerja di IT Governance, Cyber Security, IT Risk Management, atau IT Audit, memahami pergeseran ini bukan sekadar mengikuti tren yang sedang hangat. Ini bagian dari kompetensi yang nantinya akan menentukan seberapa siap organisasi menghadapi era AI aman, bertanggung jawab, tapi tetap bisa menciptakan nilai bisnis.

AI Governance Sudah Naik ke Meja Direksi

Selama bertahun-tahun, IT Governance lebih sering dianggap sebagai urusan internal divisi TI. Direksi biasanya baru terlibat kalau ada investasi besar, transformasi digital besar-besaran, atau yang paling sering insiden keamanan siber yang sudah telanjur terjadi.

Kehadiran AI mengubah pola ini secara mendasar. AI bukan lagi sekadar software pembantu pekerjaan administratif. Ia mulai memengaruhi bagaimana organisasi mengambil keputusan, melayani pelanggan, menganalisis risiko, bahkan menentukan arah strategi bisnis ke depan.

Pertanyaan soal AI pun tidak lagi berhenti di ruang rapat tim IT saja. Sekarang pertanyaan itu naik ke ruang rapat direksi:

Apakah penggunaan AI di perusahaan sudah sejalan dengan kebijakan yang ada?
Bagaimana kalau AI memberi rekomendasi yang keliru?
Siapa yang bertanggung jawab kalau AI sampai menyebabkan kerugian bisnis?
Bagaimana memastikan penggunaan AI tetap mematuhi regulasi yang berlaku?

Pertanyaan-pertanyaan semacam ini menunjukkan satu hal: AI sudah bergeser dari isu teknologi murni menjadi isu tata kelola perusahaan, atau corporate governance dalam pengertian yang lebih luas.

AI Governance: Bukan Pilihan, Tapi Fondasi

Ada persepsi yang cukup umum bahwa AI Governance itu sesuatu yang bisa dipikirkan belakangan, setelah implementasi AI-nya berjalan mulus. Pendekatan seperti ini justru berisiko menimbulkan masalah baru di kemudian hari.

Pengalaman dari berbagai proyek transformasi digital sebelumnya cukup konsisten menunjukkan bahwa tata kelola yang dibangun setelah teknologinya berjalan biasanya jauh lebih mahal ketimbang menyiapkannya sejak awal. Bayangkan sebuah perusahaan yang mengizinkan seluruh karyawannya memakai berbagai platform AI generatif secara bebas. Beberapa bulan pertama, produktivitas memang naik.

Tapi kemudian muncul pertanyaan-pertanyaan baru yang sebelumnya tidak terpikirkan: Apakah data pelanggan ikut terpakai untuk melatih model AI tersebut?

Siapa saja yang punya akses ke data itu?

Bagaimana membuktikan bahwa keputusan yang dihasilkan AI tidak mengandung bias?

Bagaimana kalau tiba-tiba regulator minta penjelasan soal proses pengambilan keputusan AI?

Kalau perusahaan belum punya kebijakan atau mekanisme pengawasan yang memadai, semua pertanyaan itu akan sulit dijawab dengan meyakinkan. Ini alasan kenapa AI Governance sebaiknya tidak diposisikan sebagai dokumen administratif yang dibuat sekadar formalitas.

Fungsinya jauh lebih penting: memastikan penggunaan AI tetap memberi manfaat tanpa mengorbankan keamanan, kepatuhan, atau reputasi organisasi.

Risiko Terbesar Justru dari Dalam

Kalau bicara soal keamanan AI, kebanyakan orang otomatis membayangkan serangan hacker atau malware canggih. Padahal dalam praktiknya, risiko terbesar justru sering berasal dari aktivitas internal organisasi sendiri.

Sumber Risiko Internal	Penjelasan Singkat
Penggunaan AI tanpa persetujuan	Karyawan pakai AI publik untuk pekerjaan sehari-hari tanpa panduan resmi, sehingga data perusahaan bisa berpindah ke platform eksternal tanpa disadari
Kebocoran informasi sensitif	Dokumen kontrak, laporan keuangan, source code, sampai data pelanggan dimasukkan ke tool AI demi mempercepat kerja, tanpa kebijakan yang jelas
Keputusan AI tidak pernah diverifikasi	AI dipakai untuk memberi rekomendasi bisnis, tapi tidak ada proses validasi yang memastikan hasilnya benar, adil, dan bisa dipertanggungjawabkan
Tidak ada pemilik yang jelas	AI dianggap tanggung jawab tim IT saja, padahal implementasinya melibatkan Legal, Risk Management, Compliance, HR, Operasional, sampai manajemen puncak

Kalau pembagian peran ini tidak jelas sejak awal, pengambilan keputusan jadi tidak terkoordinasi. Ujung-ujungnya, setiap unit bisnis jalan sendiri-sendiri dengan standar yang berbeda-beda pula.

Menjinakkan AI dengan Senjata Lama yang Diperbarui

Teknologi bisa berubah secepat kilat. Tapi prinsip tata kelola yang baik itu relatif tetap dari waktu ke waktu. Framework seperti COBIT, ISO/IEC 42001, ISO 27001, atau praktik Enterprise Risk Management tidak dibuat untuk menghambat inovasi justru sebaliknya, framework-framework ini membantu organisasi menjawab pertanyaan mendasar: siapa yang bertanggung jawab atas penggunaan AI, bagaimana keputusannya diawasi, bagaimana risikonya diidentifikasi sejak dini, bagaimana mengukur manfaatnya, dan bagaimana memastikan semuanya tetap selaras dengan tujuan bisnis.

Singkatnya, framework tidak mengatur cara kerja AI itu sendiri. Framework mengatur cara manusia mengelola AI. Perbedaan ini sering luput dipahami, padahal cukup krusial.

AI Governance sebagai Evolusi dari IT Governance

Banyak yang menganggap AI Governance sebagai disiplin ilmu yang benar-benar baru dan terpisah. Kalau diperhatikan lebih dalam, sebetulnya AI Governance adalah kelanjutan alami dari prinsip-prinsip IT Governance yang sudah lama dikenal.

Prinsip IT Governance	Penerapannya di AI Governance
Alignment dengan strategi bisnis	AI harus mendukung tujuan bisnis, bukan sekadar ikut-ikutan tren
Value Delivery	Implementasi AI mesti menghasilkan manfaat yang bisa diukur secara konkret
Risk Management	Risiko etika, keamanan, privasi, dan bias pada AI harus dikelola secara sistematis
Resource Management	Data, model AI, infrastruktur, dan SDM perlu dikelola dengan efektif
Performance Measurement	Organisasi perlu mengukur dampak penggunaan AI secara berkala, bukan sekali jalan lalu dilupakan

Artinya, perusahaan yang fondasi IT Governance-nya sudah kuat akan jauh lebih siap membangun AI Governance dibanding organisasi yang dari awal memang belum punya mekanisme tata kelola sama sekali. Ibarat membangun rumah, kalau pondasinya sudah kokoh, menambah lantai baru jadi jauh lebih mudah.

Bukan Cuma Soal Kepatuhan

Salah satu kesalahpahaman yang masih sering muncul adalah menganggap AI Governance itu semata-mata urusan regulasi dan kepatuhan. Padahal manfaatnya jauh lebih luas dari itu. AI Governance membantu organisasi meningkatkan kepercayaan pelanggan, memperkuat kualitas pengambilan keputusan, mengurangi risiko operasional, menjaga kualitas data, mempercepat adopsi AI secara aman, meningkatkan kolaborasi lintas fungsi, sekaligus memastikan investasi AI benar-benar memberi nilai bisnis yang nyata.

Dengan kata lain, AI Governance bukan cuma soal mengurangi risiko. Ia juga berfungsi sebagai enabler bagi inovasi bukan penghambatnya.

Lima Pertanyaan yang Perlu Mulai Dijawab

Sebelum AI dipakai lebih luas lagi di organisasi, ada baiknya beberapa pertanyaan ini mulai dijawab lebih dulu.

Pertanyaan	Kenapa Penting
Apakah perusahaan sudah punya kebijakan penggunaan AI?	Jadi fondasi supaya seluruh unit bisnis punya panduan yang sama, tidak jalan sendiri-sendiri
Apakah penggunaan AI sudah dipetakan?	Banyak organisasi tidak sadar berapa banyak aplikasi AI yang sebenarnya sudah dipakai karyawan mereka
Siapa yang bertanggung jawab atas implementasi AI?	Perlu struktur pengambilan keputusan yang jelas, mencakup peran Direksi, CIO, CISO, Risk Management, Legal, dan unit bisnis terkait
Bagaimana risiko AI dievaluasi?	Organisasi butuh mekanisme penilaian risiko sebelum AI dipakai di proses yang sifatnya kritis
Bagaimana keberhasilan AI diukur?	Produktivitas memang penting, tapi dampaknya terhadap keamanan, kepatuhan, kualitas layanan, dan nilai bisnis juga harus diukur

Kenapa Perusahaan di Indonesia Perlu Mulai Sekarang?

Ada anggapan di sebagian organisasi Indonesia bahwa AI Governance hanya relevan bagi perusahaan-perusahaan global yang skalanya sudah raksasa. Kenyataannya tidak demikian.

Banyak perusahaan di Indonesia sudah memakai layanan AI dari penyedia teknologi internasional, baik disadari secara resmi maupun lewat penggunaan informal oleh karyawan. Perusahaan yang berhubungan dengan mitra global, atau melayani pelanggan lintas negara, juga makin terdorong untuk bisa menunjukkan bahwa penggunaan AI mereka dilakukan secara bertanggung jawab bukan asal jalan saja.

Jadi walaupun regulasi di Indonesia sendiri masih terus berkembang dan belum sepenuhnya matang, membangun AI Governance sejak dini tetap memberi keuntungan kompetitif tersendiri, sekaligus mengurangi risiko yang bisa muncul di masa depan. Yang paling penting, organisasi sebetulnya tidak perlu menunggu sampai ada insiden besar atau kewajiban regulasi baru untuk mulai membangun tata kelola AI-nya.

Perusahaan yang mulai lebih awal biasanya punya lebih banyak waktu untuk menyusun kebijakan, memperkuat kompetensi SDM, dan menyesuaikan proses bisnis secara bertahap dibanding organisasi yang baru bergerak setelah masalahnya sudah telanjur muncul.

Roadmap Membangun AI Governance

Setelah memahami seberapa besar perubahan yang dibawa AI, pertanyaan berikutnya jadi lebih praktis: dari mana sebaiknya perusahaan mulai?

Jawabannya tidak harus dimulai dari membeli teknologi baru atau membentuk tim besar yang mahal. Dalam banyak kasus, langkah paling penting justru dimulai dari membangun kesepahaman bersama bahwa AI bukan sekadar alat produktivitas, melainkan aset strategis yang perlu dikelola secara sistematis.

Tahap	Fokus Utama
1. Identifikasi penggunaan AI yang sudah berjalan	Banyak organisasi kaget saat inventarisasi pertama ternyata AI sudah dipakai hampir di semua divisi, tapi tanpa pengawasan yang sama
2. Menyusun kebijakan AI perusahaan	Menentukan jenis AI yang diperbolehkan, klasifikasi data yang boleh diproses, mekanisme persetujuan, pengelolaan risiko, dan tanggung jawab tiap unit kerja
3. Integrasikan AI ke kerangka IT Governance yang sudah ada	AI seharusnya tidak berdiri sendiri sebagai “pulau baru”, tapi menyatu dengan kerangka tata kelola teknologi yang sudah dimiliki organisasi
4. Tingkatkan kompetensi tim	Butuh kolaborasi lintas fungsi IT Governance, Cyber Security, Risk Management, Internal Audit, Compliance, Legal, sampai manajemen puncak
5. Evaluasi secara berkala	AI berkembang cepat, jadi kebijakan yang dibuat hari ini perlu terus dievaluasi ulang seiring perubahan risiko, regulasi, dan teknologi

Langkah pertama biasanya bukan membatasi penggunaan AI secara langsung, melainkan memahami dulu bagaimana AI sudah dipakai di dalam organisasi. Baru dari situ kebijakan bisa disusun berdasarkan kondisi nyata, bukan asumsi.

Kompetensi, Bukan Sekadar Teknologi, yang Jadi Pembeda

Perkembangan AI sering dipandang sebagai perlombaan teknologi semata siapa yang paling cepat adopsi, dialah yang menang. Padahal dalam praktiknya, perusahaan tidak cuma butuh teknologi yang lebih canggih. Mereka butuh orang-orang yang mampu memastikan teknologi itu dipakai dengan benar.

Di titik inilah kompetensi jadi pembeda yang sesungguhnya. Profesional yang memahami IT Governance, Enterprise Risk, Cyber Security, IT Audit, sekaligus tata kelola AI, akan punya peran yang makin strategis di organisasinya bukan karena mereka paling paham soal AI secara teknis, tapi karena mereka mampu menjembatani kebutuhan bisnis, teknologi, risiko, dan kepatuhan jadi satu kesatuan yang jalan bersamaan.

Penutup

Peringatan dari aliansi Five Eyes sebenarnya menunjukkan satu hal yang cukup jelas: perubahan akibat AI sudah tidak lagi bergerak dalam siklus tahunan. Kecepatan perkembangan teknologinya memaksa organisasi untuk bisa beradaptasi dalam hitungan bulan, bukan lagi tahun seperti dulu.

Tapi tantangan terbesarnya sebenarnya bukan berasal dari AI itu sendiri. Yang menentukan keberhasilan organisasi adalah cara AI itu dikelola. Perusahaan yang cuma fokus mengadopsi teknologi tanpa membangun tata kelola yang memadai berisiko menghadapi berbagai masalah di kemudian hari mulai dari kebocoran data sampai keputusan bisnis yang tidak bisa dipertanggungjawabkan. Sebaliknya, organisasi yang mulai membangun AI Governance sejak awal punya peluang jauh lebih besar untuk memanfaatkan AI secara aman, bertanggung jawab, dan memberi nilai bisnis yang berkelanjutan.

Pada akhirnya, AI Governance bukan sekadar cara mengurangi risiko. Ia adalah fondasi supaya inovasi bisa berjalan lebih cepat tanpa kehilangan arah.

Membangun AI Governance juga bukan pekerjaan yang bisa diselesaikan satu divisi saja. Dibutuhkan pemahaman yang sama antara tim TI, manajemen risiko, auditor, compliance, sampai pimpinan organisasi, supaya penggunaan AI benar-benar mendukung tujuan bisnis, bukan malah jadi sumber masalah baru.

Kalau organisasi Anda sedang mulai mengimplementasikan AI, atau sedang menyusun strategi tata kelola teknologi secara lebih menyeluruh, memahami framework seperti COBIT, IT Governance, IT Risk Management, dan praktik terbaik AI Governance jadi langkah yang cukup penting untuk diambil lebih awal. Melalui program pelatihan yang diselenggarakan ITGID, peserta tidak hanya mempelajari konsepnya, tapi juga memahami bagaimana prinsip-prinsip tata kelola tersebut diterapkan dalam konteks organisasi modern termasuk dalam menghadapi tantangan implementasi AI yang terus berubah.

Investasi terbaik di era AI sebenarnya bukan cuma soal membeli teknologi baru, tapi memastikan organisasi punya kompetensi yang cukup untuk mengelolanya dengan benar.

Pertanyaan yang Sering Diajukan

Apakah AI Governance hanya diperlukan oleh perusahaan besar?
Tidak. Organisasi berskala kecil maupun menengah pun sudah mulai memanfaatkan AI dalam operasional sehari-hari. Semakin cepat AI dipakai, semakin penting pula organisasi punya tata kelola yang jelas supaya risikonya bisa dikendalikan sejak awal, bukan setelah terlambat.

Apa bedanya AI Governance dengan IT Governance?
IT Governance mengatur bagaimana teknologi informasi secara umum mendukung tujuan bisnis perusahaan. AI Governance sifatnya lebih spesifik memastikan pengembangan, penggunaan, dan pengawasan AI dilakukan secara aman, etis, bertanggung jawab, dan tetap selaras dengan strategi organisasi.

Mengapa perusahaan perlu memikirkan AI Governance sekarang, bukan nanti?
Karena penggunaan AI berkembang jauh lebih cepat dibanding penyusunan kebijakan di kebanyakan organisasi. Kalau tata kelola baru dibangun setelah insiden terjadi, biaya perbaikannya biasanya jauh lebih besar ketimbang menyiapkannya sejak awal.

Framework apa saja yang bisa dipakai untuk membangun AI Governance?
Tidak ada satu framework tunggal yang bisa menjawab semua kebutuhan organisasi. Tapi perusahaan bisa mengombinasikan beberapa pendekatan, seperti COBIT, ISO/IEC 42001, ISO 27001, Enterprise Risk Management, ditambah kebijakan internal yang disesuaikan dengan karakteristik bisnis masing-masing.

Apakah AI Governance hanya berkaitan dengan keamanan siber?
Tidak. AI Governance mencakup aspek yang jauh lebih luas mulai dari strategi bisnis, manajemen risiko, tata kelola data, kepatuhan, transparansi, sampai akuntabilitas dalam penggunaan AI secara keseluruhan.

Artikel IT