Alat AI kini menjadi bagian dari pekerjaan sehari-hari, membantu merangkum catatan rapat, membuat draf email, melakukan debug kode, menganalisis spreadsheet, dan mengubah dokumen menjadi presentasi. Namun, jika digunakan tanpa persetujuan atau pengawasan, alat ini dapat menimbulkan masalah privasi AI yang serius, mengekspos informasi bisnis yang sensitif, dan membuat tim IT tidak dapat melihat ke mana data perusahaan mengalir.
Panduan ini membahas apa itu shadow AI, cara penyebarannya di dalam organisasi, serta risiko serius yang ditimbulkannya. Cara mendeteksi alat yang tidak disetujui dan menerapkan langkah perlindungan praktis untuk melindungi data bisnis akan ditampilkan — tanpa memperlambat tim.
- Apa itu shadow AI?
- Shadow AI vs. shadow IT
- Bagaimana shadow AI bisa terjadi?
- Apakah AI secara otomatis dilatih menggunakan data Anda?
- Contoh shadow AI
- Apa saja risiko shadow AI?
- Cara mendeteksi shadow AI
- Cara mengurangi risiko shadow AI
- Hal yang harus dilakukan jika data sensitif sudah dibagikan
- Asisten AI pribadi untuk tim
Apa itu shadow AI?
Shadow AI adalah segala penggunaan kecerdasan buatan untuk pekerjaan yang berada di luar sistem dan kebijakan resmi bisnis. Hal ini dapat melibatkan alat yang tidak disetujui, akun pribadi yang digunakan untuk pekerjaan perusahaan, atau layanan AI terdisetujui yang digunakan dengan data atau untuk tugas yang tidak diizinkan oleh organisasi.
Shadow AI sering kali berawal dari tekanan pekerjaan sehari-hari: tenggat waktu yang ketat, kebutuhan untuk menemukan cara kerja yang lebih cepat atau lebih baik, atau alat yang kurang memadai untuk menyelesaikan pekerjaan. Terkadang, alat AI yang disetujui sudah tersedia, tetapi orang beralih ke opsi lain karena lebih terbiasa dengannya.
Shadow AI vs. shadow IT
Shadow IT adalah istilah yang lebih luas untuk perangkat lunak atau perangkat keras apa pun yang digunakan tanpa persetujuan atau pengawasan organisasi. Contoh umumnya meliputi penyimpanan cloud pribadi yang digunakan untuk pekerjaan, aplikasi pesan tanpa izin, dan platform manajemen proyek yang tidak disetujui.
Shadow AI adalah bentuk khusus dari shadow IT yang melibatkan sistem AI dan fitur berbasis AI. AI menghadirkan tantangan tata kelola data tambahan karena informasi perusahaan dapat dikirimkan ke sistem eksternal atau diproses dengan cara yang tidak dikenal di luar kendali organisasi.
Bagaimana shadow AI bisa terjadi?
Karyawan dapat memasukkan sejumlah besar informasi perusahaan ke dalam jendela obrolan AI dalam hitungan detik. Bergantung pada pengaturan AI, alat tersebut dapat menyimpan input, membagikannya dengan pihak lain (seperti pialang data atau vendor analitik, seperti pada kasus pembobolan OpenAI), atau menggunakannya untuk iklan yang ditargetkan atau pengembangan model.
Shadow AI biasanya menyebar karena beberapa celah umum dalam organisasi.
Tidak ada alternatif yang disetujui
Karyawan cenderung lebih memilih menggunakan alat shadow AI ketika bisnis belum menyediakan opsi yang disetujui. Survei BlackFog(jendela baru) terhadap 2.000 pekerja menemukan bahwa 49% karyawan mengadopsi alat AI tanpa persetujuan pemberi kerja, 63% menganggap penggunaan AI dapat diterima jika tidak ada opsi yang disetujui perusahaan, dan 51% telah menghubungkan alat AI ke sistem kerja tanpa sepengetahuan IT.
Kebijakan yang tidak jelas
Karyawan mungkin merasa tidak yakin alat, tugas, dan jenis informasi apa saja yang diizinkan. Panduan perusahaan mungkin secara jelas membatasi data yang sangat sensitif tetapi sedikit sekali menjelaskan tentang catatan rapat internal, draf email, spreadsheet, kode sumber, atau percakapan pelanggan.
Survei IT Brew(jendela baru) terhadap 241 profesional IT menemukan bahwa 35% tidak atau kurang yakin bahwa karyawan mengetahui kebijakan penggunaan AI dan keamanan data perusahaan mereka, dan hanya 12% yang merasa “sangat yakin.” Survei WorkNest(jendela baru) terpisah terhadap 505 profesional/pemberi kerja HR menemukan bahwa 54% organisasi tidak memiliki kebijakan AI sama sekali, 24% masih mengembangkannya, dan hanya 13% yang memiliki aturan tertulis yang jelas.
Proses persetujuan yang lambat
Tekanan untuk mengejar tenggat waktu dapat membuat tinjauan keamanan atau pengadaan yang panjang terasa tidak praktis. Ketika karyawan dapat mengakses alat gratis secara langsung, proses internal yang lambat membuat solusi tidak resmi lebih mungkin terjadi.
Fitur AI baru dalam perangkat lunak terdisetujui
Vendor mungkin menambahkan fitur AI generatif ke aplikasi yang telah lolos tinjauan keamanan, dan perangkat lunak tersebut tetap berada di daftar yang disetujui meskipun belum ada yang menilai bagaimana fitur baru itu memproses, menyimpan, atau membagikan data perusahaan. Karyawan tidak melanggar kebijakan apa pun, tetapi hasilnya sama dengan penyebab lainnya: Data perusahaan kini mengalir melalui kanal yang belum benar-benar diperiksa.
Kesadaran yang terbatas mengenai penanganan data
Karyawan mungkin tidak mengetahui cara penyedia AI seperti ChatGPT dan Gemini menyimpan prompt, memproses file yang diunggah, menggunakan percakapan untuk peningkatan layanan, atau membagikan data dengan penyedia lain. Mereka mungkin menganggap input mereka akan hilang saat menutup tab peramban, padahal salinannya tetap ada di riwayat akun, log, cadangan, atau sistem yang terhubung.
Laporan Kolide(jendela baru) menemukan bahwa meskipun 89% karyawan menggunakan AI setiap bulan, hanya 56% perusahaan yang telah menjelaskan risiko keamanan AI kepada staf.
Contoh shadow AI
| Tim | Contoh shadow AI | Informasi yang berpotensi terekspos | Dampak potensial |
|---|---|---|---|
| Pengembangan perangkat lunak | Menempelkan kode internal ke dalam chatbot publik untuk proses debug | Kode sumber, kredensial, arsitektur sistem, dan fitur yang belum dirilis | Kode hak milik atau rahasia perusahaan dapat tersimpan di luar sistem perusahaan |
| Produk | Mengunggah peta jalan untuk dirangkum | Tanggal peluncuran, strategi produk, penetapan harga, dan informasi mitra | Rencana bisnis rahasia dapat tersimpan tanpa terkelola di server pihak ketiga |
| Pemasaran dan desain | Memasukkan rencana kampanye ke dalam alat penulisan atau desain AI | Produk yang belum dirilis, riset pelanggan, aset merek, dan data audiens | Informasi kampanye yang sensitif dapat diproses tanpa tinjauan hukum atau keamanan |
| Analisis data | Mengunggah himpunan data pelanggan ke alat analisis eksternal | Data pribadi, catatan yang sensitif secara komersial, dan wawasan rahasia | Informasi yang dilindungi atau diatur dapat diungkapkan kepada pihak ketiga yang tidak disetujui |
| Sumber daya manusia | Menggunakan alat AI untuk menilai lamaran atau merangkum wawancara | Data kandidat, informasi kepegawaian, dan kriteria penilaian | Paparan data personel dapat melanggar GDPR atau CCPA |
| Penjualan | Mengunggah transkrip panggilan atau catatan akun untuk dianalisis | Identitas pelanggan, rincian kontrak, penetapan harga, dan strategi penjualan | Paparan data pelanggan dapat melanggar GDPR atau CCPA |
| Dukungan pelanggan | Menempelkan tiket dukungan ke dalam chatbot publik | Nama pelanggan, rincian akun, keluhan, dan korespondensi | Catatan dukungan yang tersimpan dapat melanggar GDPR atau CCPA |
| Keuangan | Meminta asisten AI untuk menganalisis spreadsheet internal | Anggaran, prakiraan, informasi penggajian, dan catatan transaksi | Data keuangan dapat diproses tanpa perlindungan yang memadai |
| Hukum | Mengunggah kontrak atau file kasus untuk dirangkum | Nasihat rahasia hukum, ketentuan kontraktual, dan informasi klien | Penyalahgunaan data klien dapat melanggar GDPR atau CCPA dan memengaruhi kerahasiaan hukum |
| Kepemimpinan | Menggunakan layanan AI untuk meninjau dokumen dewan atau rencana strategis | Rencana akuisisi, target internal, dan diskusi eksekutif | Intelijen korporat yang sangat sensitif dapat terekspos |
Apakah AI secara otomatis dilatih menggunakan data Anda?
Model bahasa besar (LLM) tidak secara otomatis melatih ulang dirinya sendiri pada setiap perintah secara real-time, sehingga percakapan tidak selalu menjadi bagian dari model AI atau muncul dalam tanggapan pengguna lain. Namun, tingkat risiko tergantung pada penyedia, jenis akun, pengaturan privasi, kontrak, dan cara layanan tersebut dikonfigurasi.
Penyedia AI dapat menyimpan perintah dan file yang diunggah, menyediakannya untuk ditinjau oleh manusia, menggunakannya untuk meningkatkan layanannya, atau membagikannya dengan penyedia infrastruktur dan model.
Bahkan ketika pelatihan model dinonaktifkan, informasi mungkin muncul di riwayat akun, log operasional, sistem pemantauan penyalahgunaan, cadangan, catatan peramban, layanan terhubung, atau integrasi pihak ketiga. Jika konten Anda telah berkontribusi pada pelatihan model, mematikan opsi ini tidak akan membuat model melupakan percakapan Anda sebelumnya.
Apa saja risiko shadow AI?
AI dapat memengaruhi keputusan, menghasilkan materi yang ditujukan untuk pelanggan, menulis kode, atau menganalisis data pribadi, yang semuanya menimbulkan risiko melebihi keamanan alat itu sendiri:
Pembobolan data
Laporan Biaya Pembobolan Data(jendela baru) IBM tahun 2025 menemukan bahwa satu dari lima organisasi pernah mengalami pembobolan yang terkait dengan shadow AI, tetapi hanya 37% yang memiliki kebijakan yang dirancang untuk mengelola atau mendeteksinya.
Organisasi dengan tingkat shadow AI yang tinggi menghadapi biaya pembobolan rata-rata $670.000 lebih tinggi dibandingkan organisasi dengan sedikit atau tanpa shadow AI. Selain itu, insiden yang melibatkan shadow AI lebih sering mengekspos informasi pribadi dan hak kekayaan intelektual daripada rata-rata global.
Paparan informasi rahasia
Karyawan dapat membagikan dokumen internal, kode sumber, informasi keuangan, kontrak, catatan pelanggan, rencana produk, atau rahasia dagang tanpa menyadari bahwa penyedia AI menyimpan input mereka. Bahkan ketika informasi dikecualikan dari pelatihan model, informasi tersebut tetap dapat mengekspos pengompromian akun, pembobolan keamanan, akses penyedia, integrasi yang tidak aman, atau tuntutan hukum.
Sebagai contoh, Samsung melarang ChatGPT(jendela baru) di seluruh perusahaan pada Mei 2023 setelah karyawan menempelkan materi rahasia ke dalamnya tiga kali dalam 20 hari, termasuk kode sumber semikonduktor, algoritma deteksi cacat, dan transkrip rapat internal.
Kehilangan hak kekayaan intelektual
Pengetahuan hak milik sering kali merupakan aset perusahaan yang paling berharga. Mengunggah kode, riset, desain produk, proses, atau dokumen strategi ke layanan AI eksternal dapat bertentangan dengan perjanjian kerahasiaan atau melemahkan kemampuan bisnis untuk mengontrol informasi tersebut. Karyawan juga dapat menggunakan konten buatan AI tanpa memahami asal-usulnya, batasan lisensi, atau kemiripannya dengan materi pihak ketiga.
Pelanggaran privasi dan regulasi
Data pribadi tetap tunduk pada undang-undang privasi data saat diproses melalui alat AI. Shadow AI dapat memintas perlindungan privasi karena tim hukum terkait tidak pernah mengetahui bahwa pemrosesan tersebut sedang berlangsung. Kantor Komisaris Informasi Inggris memperingatkan bahwa sistem AI dapat memperbesar risiko keamanan yang ada(jendela baru). Pelanggaran serius GDPR dapat berakibat pada denda hingga €20 juta atau 4% dari omzet tahunan global organisasi dari tahun keuangan sebelumnya, mana saja yang lebih tinggi.
Integrasi yang tidak aman dan akses berlebihan
Alat AI dapat terhubung ke email, penyimpanan cloud, kalender, repositori kode, basis data pelanggan, dan platform kolaborasi. Izin yang luas, API yang tidak diamankan dengan baik, kebocoran token akses, ekstensi peramban berbahaya, dan layanan pihak ketiga yang terkompromi dapat mengekspos sistem dan data perusahaan melampaui informasi yang dimasukkan dalam satu prompt.
Dalam pembobolan Salesloft Drift, penyerang mencuri token OAuth dari Drift, sebuah integrasi asisten penjualan AI, dan menggunakannya untuk menarik data dari instansi Salesforce di lebih dari 700 organisasi, termasuk kontak bisnis, kunci API, dan kredensial cloud yang tersemat dalam kasus dukungan.
Serangan injeksi prompt
Kerentanan ini ada pada sistem AI mana pun yang terhubung, baik yang disetujui maupun tidak — penyerang dapat memanipulasi sistem AI melalui instruksi tersembunyi dalam dokumen, halaman web, email, atau konten lain yang diprosesnya, menyebabkannya mengungkapkan informasi, mengabaikan instruksi aslinya, atau mengambil tindakan yang tidak diinginkan.
Shadow AI meningkatkan risiko karena alat yang tidak disetujui atau agen AI mungkin tidak pernah dinilai dari serangan injeksi perintah atau dibatasi pada izin yang dibutuhkannya. Jika serangan berhasil, tim keamanan mungkin memiliki sedikit visibilitas tentang apa yang terjadi atau cara mengendalikannya. Konsekuensinya sangat serius terutama ketika agen AI dapat mengakses data sensitif atau mengambil tindakan tanpa tinjauan manusia.
Kurangnya akuntabilitas
Aktivitas shadow AI sering kali tidak meninggalkan rekam jejak audit terpusat. Tim keamanan mungkin tidak dapat menentukan informasi mana yang dikirimkan, model mana yang memprosesnya, output apa yang dihasilkannya, atau bagaimana hasilnya memengaruhi suatu keputusan. Memeriksa kesalahan, keluhan, pembobolan data, atau pertanyaan regulasi menjadi jauh lebih sulit tanpa catatan tersebut.
Biaya yang tidak terduga dan ketergantungan pada pemasok
Langganan dan akun API yang terpisah dapat menimbulkan pengeluaran ganda di berbagai departemen. Alat eksperimental juga dapat tersemat dalam alur kerja penting sebelum tim pengadaan menilai penetapan harga, keandalan, atau ketersediaan jangka panjangnya. Layanan gratis dapat menjadi sangat penting bagi bisnis tanpa adanya perjanjian layanan, rencana keberlanjutan, atau cara praktis untuk memindahkan alur kerja ke tempat lain.
Cara mendeteksi shadow AI
Shadow AI sulit dideteksi karena karyawan mungkin menggunakan akun pribadi, ekstensi peramban, fitur AI tersemat, peramban AI, atau alat yang menyatu dengan lalu lintas web normal. Oleh karena itu, organisasi memerlukan visibilitas tentang layanan apa saja yang digunakan dan bagaimana data perusahaan mengalir melaluinya.
Monitoring harus tetap proporsional dan menghormati privasi karyawan. Tujuannya adalah mengidentifikasi alat dan alur data yang berisiko tanpa harus rutin memeriksa isi dari setiap perintah atau percakapan.
Berikut beberapa tips untuk mengidentifikasi shadow AI di dalam organisasi Anda:
Buat inventaris penggunaan AI
Tanyakan kepada tim mengenai alat AI apa saja yang saat ini mereka gunakan, tugas apa yang diselesaikan dengannya, dan apa yang menghalangi mereka menggunakan alternatif yang disetujui. Survei singkat, wawancara dengan pimpinan departemen, dan periode pengungkapan sukarela dapat mengungkap penggunaan yang luput dari kontrol teknis. Karyawan lebih cenderung jujur ketika tujuannya adalah memahami kebutuhan mereka alih-alih menghukum eksperimen awal.
Tinjau aktivitas jaringan dan aplikasi
Tim keamanan dapat menggunakan log jaringan, inventaris perangkat lunak, dan alat keamanan akses cloud untuk mengidentifikasi koneksi ke layanan AI yang dikenal. Monitoring dapat menampilkan layanan mana saja yang diakses dan seberapa banyak data yang ditransfer tanpa mengambil isi setiap percakapan.
Audit ekstensi peramban dan plug-in
Ekstensi peramban dapat menambahkan fitur penulisan, pemangkasan/rangkuman, penerjemahan, rapat, dan pengkodean AI ke hampir semua alur kerja. Tinjau ekstensi apa saja yang terpasang, izin apa yang diminta, dan apakah ekstensi tersebut dapat membaca konten halaman web, email, dokumen, atau informasi masuk.
Periksa pengeluaran dan catatan pengadaan
Klaim pengeluaran karyawan, laporan kartu perusahaan, dan catatan pengadaan dapat mengungkap langganan AI berbayar yang belum pernah menyelesaikan tinjauan keamanan. Pembayaran berulang dari tim yang berbeda juga dapat mengungkap alat duplikat dan akun tidak resmi.
Cari kunci API dan integrasi yang tidak terkelola
Tinjau repositori kode, manajer rahasia, lingkungan cloud, dasbor penagihan, dan platform otomatisasi untuk mencari koneksi ke penyedia AI eksternal. Kunci API yang tidak terkelola atau biaya penggunaan yang tidak dikenal dapat mengindikasikan prototipe, integrasi, atau alat internal yang belum disetujui secara resmi.
Gunakan kontrol pencegahan kebocoran data
Alat pencegahan kebocoran data dapat mengidentifikasi upaya untuk mengunggah kategori informasi sensitif seperti catatan pribadi, kredensial, data keuangan, dan kode sumber. Kontrol harus proporsional dan dikomunikasikan secara jelas. Karyawan perlu memahami apa yang dimonitor, mengapa hal itu diperlukan, dan cara menyelesaikan pekerjaan resmi melalui sistem yang disetujui.
Bekerjasamalah dengan karyawan, bukan mengabaikan mereka
Monitoring teknis saja tidak akan mengungkap setiap contoh shadow AI. Karyawan mungkin menggunakan akun pribadi, perangkat seluler, atau alat yang muncul sebagai lalu lintas web normal. Diskusi rutin dengan tim dapat mengidentifikasi letak hambatan dalam alur kerja saat ini dan alasan karyawan mencari alat eksternal.
Cara mengurangi risiko shadow AI
Mengurangi shadow AI memerlukan alternatif praktis, kebijakan yang jelas, kontrol akses yang tepat, pelatihan karyawan, dan tinjauan berkelanjutan. Perlindungan yang efektif harus mendukung penggunaan AI yang sah sekaligus menjaga data perusahaan tetap berada dalam sistem yang disetujui:
Berikan alat AI yang disetujui kepada karyawan
Karyawan cenderung tidak akan mencari alternatif ketika telah disediakan asisten AI bisnis yang memenuhi kebutuhan praktis mereka. Alat apa pun yang disetujui harus menawarkan perlindungan privasi yang kuat, ketentuan penanganan data yang jelas, kontrol bisnis yang tepat, dan kemampuan yang cukup untuk mendukung tugas-tugas umum.
Hindari larangan total
Larangan total dapat mendorong penggunaan AI semakin tersembunyi, terutama ketika karyawan sudah bergantung pada alat-alat tersebut. Beberapa orang mungkin beralih ke akun pribadi, perangkat seluler, ekstensi peramban, atau layanan AI yang kurang terpercaya yang lebih sulit diidentifikasi oleh organisasi.
Buat kebijakan penggunaan AI yang dapat diterima
Gunakan contoh berdasarkan alur kerja nyata. “Jangan membagikan informasi sensitif” menyisakan terlalu banyak ruang untuk interpretasi. Kebijakan yang lebih jelas dapat secara tegas melarang karyawan mengunggah hasil ekspor dukungan pelanggan, kode sumber, kontrak, kredensial, hasil keuangan yang belum dirilis, atau catatan karyawan yang dapat diidentifikasi ke layanan yang tidak disetujui.
Klasifikasikan data sebelum menetapkan aturan AI
Identifikasi kategori informasi mana yang bersifat publik, internal, rahasia, diatur oleh undang-undang, atau sangat terbatas. Hubungkan setiap kategori dengan penggunaan AI yang diizinkan. Teks pemasaran publik mungkin sesuai untuk berbagai alat yang lebih luas, sementara data pribadi, kredensial, rahasia dagang, dan materi rahasia hukum dapat memerlukan sistem yang dikontrol secara ketat atau dikecualikan sepenuhnya.
Tinjau perangkat lunak terdisetujui secara berkala untuk fitur AI baru
Suatu aplikasi dapat memproses data secara berbeda setelah menambahkan asisten AI, transkripsi otomatis, pembuatan konten, atau analisis prediktif. Tinjauan vendor secara berkala dapat mengidentifikasi perubahan ini dan mengonfirmasi bahwa alat yang sebelumnya disetujui masih memenuhi persyaratan keamanan, privasi, dan kepatuhan organisasi.
Batasi izin
Berikan akses alat AI hanya ke data dan sistem yang diperlukan untuk tugas yang disetujui. Gunakan akun yang dikelola perusahaan, single sign-on (SSO), autentikasi dua faktor (2FA), izin berbasis peran, dan penghapusan akun terpusat jika tersedia. Hindari menghubungkan asisten AI bisnis ke seluruh drive, kotak masuk, atau basis data pelanggan jika sumber yang lebih sempit sudah mencukupi.
Tetapkan aturan berdasarkan peran dan kasus penggunaan
Tim yang berbeda memiliki kebutuhan dan tingkat risiko yang berbeda. Pengembang mungkin memerlukan akses API untuk pengujian atau pembuatan prototipe. Tim pemasaran mungkin memerlukan pembuatan teks dan gambar. Tim Hukum atau HR mungkin bekerja dengan informasi yang membutuhkan pembatasan jauh lebih ketat. Aturan berbasis peran dapat menjaga kebijakan tetap realistis sekaligus membatasi akses ke data sensitif dan fungsi berisiko tinggi.
Berikan pelatihan kepada karyawan
Karyawan membutuhkan literasi AI yang cukup untuk memahami manfaat dan keterbatasan sistem yang mereka gunakan. Pelatihan harus mencakup privasi AI, kerahasiaan, halusinasi, bias, hak kekayaan intelektual, injeksi perintah, tinjauan manusia, dan pelaporan insiden. Tingkat pelatihan yang sesuai tergantung pada pengetahuan staf, pengalaman, dan konteks penggunaan AI.
Buat proses persetujuan yang sederhana
Proses kerja dapat mengumpulkan nama alat, tugas yang dimaksudkan, data yang terlibat, integrasi yang diperlukan, dan manfaat bisnis yang diharapkan. Tim keamanan dan hukum kemudian dapat menyetujui, membatasi, menguji, melakukan pengujian sandbox, atau menolaknya berdasarkan risiko sebenarnya. Proses pengadaan yang panjang dapat mendorong karyawan untuk mencari solusi sendiri. Tetapkan target tinjauan yang masuk akal dan jelaskan informasi apa yang dibutuhkan untuk mencapai keputusan.
Tetapkan tanggung jawab hasil pada manusia
Pekerjaan yang dibantu AI harus memiliki penanggung jawab manusia. Wajibkan tinjauan sebelum hasil memengaruhi pelanggan, karyawan, keuangan, keputusan hukum, kode produksi, informasi yang dipublikasikan, atau area berdampak tinggi lainnya. Setiap orang yang menggunakan alat AI tetap bertanggung jawab untuk memeriksa akurasi, kesesuaian, kerahasiaan, dan kepatuhannya terhadap kebijakan perusahaan.
Dokumentasikan keputusan penting yang dibantu AI
Simpan catatan yang jelas saat AI berkontribusi pada keputusan yang memengaruhi pelanggan, karyawan, keuangan, masalah hukum, atau area berdampak tinggi lainnya. Rekam jejak audit yang dapat diandalkan mendukung akuntabilitas dan membantu organisasi menyelidiki kesalahan, menjelaskan hasil, serta merespons keluhan atau pertanyaan regulasi.
Hal yang harus dilakukan jika data sensitif sudah dibagikan
Pegang prinsip bahwa pengungkapan tidak sengaja ke alat AI sama seperti insiden data potensial lainnya. Segera lakukan langkah-langkah berikut.
Identifikasi apa yang telah dibagikan: Konfirmasi informasi apa yang dimasukkan atau diunggah, alat dan akun mana yang digunakan, kapan pengungkapan terjadi, dan siapa saja yang mungkin memiliki akses ke data tersebut.
Hapus informasi jika memungkinkan: Hapus percakapan dan file apa pun yang diunggah dari alat tersebut. Periksa ketentuan dan opsi dukungan penyedia untuk melihat apakah pengajuan permintaan penghapusan resmi dapat dilakukan.
Periksa apa yang mungkin disimpan oleh penyedia: Menghapus obrolan dari tampilan tidak selalu menghapus setiap salinan. Tinjau dan dokumentasikan penjelasan penyedia tentang log operasional, cadangan, tinjauan manusia, pelatihan model, dan jangka waktu penghapusan untuk membantu menentukan apakah masih ada data yang tersisa.
Amankan sistem yang terdampak: Cabut izin yang diberikan ke alat AI atau plug-in terhubung. Lakukan rotasi pada kata sandi, kunci API, token akses, atau kredensial lain yang muncul dalam perintah atau file yang dilampirkan.
Beri tahu tim terkait: Laporkan insiden ke tim keamanan, privasi, hukum, atau perlindungan data organisasi. Mereka dapat menilai kewajiban kontraktual, persyaratan regulasi, dan apakah pelanggan atau mitra yang terdampak perlu diberi tahu.
Ambil pelajaran dari insiden tersebut: Dokumentasikan apa yang terjadi dan gunakan untuk meningkatkan pelatihan, kontrol, serta alternatif yang disetujui. Hindari menghukum karyawan yang melaporkan kesalahan murni, karena respons punitif dapat membuat orang lain enggan melaporkan insiden di masa mendatang.
Asisten AI pribadi untuk tim
Lumo for Business memberikan tim Anda asisten AI yang dapat diandalkan untuk merangkum dokumen, menganalisis data, meninjau kode, membuat draf konten, dan mengeksplorasi ide sekaligus membantu bisnis mempertahankan kendali atas informasi rahasia.
Asisten AI bisnis kami tidak menyimpan log percakapan atau menggunakannya untuk melatih model AI, dan riwayat obrolan apa pun yang Anda pilih untuk disimpan dilindungi dengan enkripsi akses nol, yang berarti kami tidak pernah memiliki akses ke data Anda
Lumo sepenuhnya open source, dibangun di Eropa, dan dirancang untuk mendukung kepatuhan GDPR dan HIPAA melalui sertifikasi ISO 27001 dan atestasi SOC 2 Tipe II Proton.
Memberikan asisten AI yang mumpuni dan berfokus pada privasi kepada tim akan mengurangi ketergantungan pada alat yang tidak disetujui serta membantu menjaga penggunaan AI tetap berada dalam sistem yang Anda awasi.
