Shadow AI di Kantor: Saat Karyawan Pakai AI Diam-Diam, Data Perusahaan Jadi Taruhan

Seorang staf personalia dikejar tenggat laporan kompensasi akhir bulan. Supaya cepat, ia menyalin tabel gaji lengkap dengan Nomor Induk Kependudukan (NIK) karyawan ke chatbot AI publik, lalu meminta ringkasannya. Laporan beres sebelum jam pulang, dan tidak ada yang sadar data itu baru saja berpindah ke server pihak ketiga.

Contoh itu diangkat Yosua Lamboy A. Situmorang, praktisi hukum dan in-house legal counsel di sebuah BUMN, dalam kolom opininya di Hukumonline pada 25 Mei 2026. Kebanyakan orang menganggap kebocoran data selalu berawal dari peretas. Padahal, menurut tulisannya, kebocoran yang dibidik Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) justru sering lahir dari kebiasaan kerja sehari-hari yang terlihat polos.

Shadow AI adalah pemakaian aplikasi atau layanan AI pribadi oleh karyawan untuk urusan kantor tanpa izin dan pengawasan perusahaan. Risiko terbesarnya ada pada kebocoran data, pelanggaran UU PDP, dan keputusan bisnis yang bersandar pada jawaban AI yang belum diperiksa. Jalan keluarnya bukan larangan total, melainkan kebijakan yang jelas, pelatihan, dan alat AI resmi yang aman.

Daftar Isi

• Pengertian shadow AI
• Data Indonesia
• Data global
• Risiko dan sanksi
• Langkah kebijakan
• FAQ

Apa itu shadow AI, dan kenapa justru tumbuh di kantor yang antusias?

Istilah shadow AI kini ramai dibicarakan setelah Mekari Conference 2026 bertajuk "AI at Work" di Jakarta mengangkatnya sebagai salah satu sorotan. Menurut laporan Warta Ekonomi, forum itu mempertemukan lebih dari 700 pemimpin perusahaan, pemilik bisnis, dan praktisi teknologi lintas industri untuk membahas cara memakai AI tanpa mengorbankan keamanan data.

Definisi yang dipakai di sana sederhana: karyawan memakai aplikasi AI pribadi atau layanan yang tidak mendapat otorisasi perusahaan untuk menyelesaikan pekerjaan. Pemicunya ternyata bukan niat buruk. Karyawan ingin pekerjaan cepat selesai. Kantor justru belum menyediakan alat resmi, sehingga mereka mencari jalan sendiri.

"Pekerja Indonesia memiliki antusiasme yang luar biasa terhadap AI. Namun ketika perusahaan tidak menyediakan infrastruktur yang memadai, karyawan akan mencari solusi sendiri. Di sinilah risiko Shadow AI muncul," ujar Suwandi Soh, Chief Executive Officer Mekari, seperti dikutip Warta Ekonomi pada 7 Oktober 2026.

"Tantangan kita bukan menghentikan penggunaan AI, tetapi menyediakan AI yang aman, terintegrasi, dan sesuai kebutuhan bisnis," kata Suwandi Soh, CEO Mekari, dalam konferensi yang sama, seperti dilaporkan InfoKomputer.

Seberapa lebar jarak antara antusiasme pekerja dan kesiapan perusahaan?

Angka yang paling sering dikutip datang dari survei Salesforce yang dijalankan YouGov pada Februari sampai Maret 2026 terhadap 1.002 knowledge workers di Indonesia. Hasilnya, 70% responden mengaku pemakaian AI secara pribadi membuat mereka lebih percaya diri memakai alat AI di tempat kerja. Bahkan 68% bilang kebiasaan pribadi itu menaikkan kepercayaan mereka pada AI.

Namun di sisi perusahaan, ceritanya lain. Menurut siaran pers Salesforce tertanggal 24 April 2026, hanya 33% responden yang mengatakan perusahaan mereka memberikan pelatihan cara memakai agen AI. Salesforce bahkan menyebut perusahaan yang tidak menyediakan akses AI resmi dan pelatihan memadai berisiko menghadapi peningkatan shadow AI.

"Kepercayaan terhadap AI di Indonesia tumbuh dari bawah ke atas, didorong oleh rasa ingin tahu pribadi yang kini melampaui strategi perusahaan," ujar Andreas Diantoro, President Director Salesforce Indonesia, dalam siaran pers yang sama.

Survei yang sama juga memberi petunjuk soal apa yang dibutuhkan pekerja. Sebanyak 43% responden menyebut kerangka pengamanan untuk keamanan, privasi, dan kepatuhan sebagai faktor yang membuat mereka lebih percaya diri memakai agen AI. Sementara itu, 39% menyebut akses mudah ke alat resmi berkualitas tinggi. Artinya, karyawan sebenarnya mau bermain di jalur resmi kalau jalurnya tersedia.

Dari sisi pemimpin bisnis, laporan The Business Times Insights: Asean Intelligence 2026 menempatkan 62% perusahaan Indonesia sebagai "first movers" adopsi AI. Survei yang digarap bersama Kantar pada Februari 2026 terhadap lebih dari 500 pemimpin bisnis di 6 negara ASEAN itu menaruh Indonesia di atas Thailand (55%), Malaysia (46%), dan Singapura (36%), seperti dilaporkan The Business Times.

Data global: apakah ini cuma masalah Indonesia?

Ternyata tidak. Laporan The State of Shadow AI dari perusahaan keamanan siber UpGuard menemukan 81% pekerja dan 88% pemimpin keamanan informasi memakai alat AI yang tidak disetujui di tempat kerja. Menurut bagian metodologi laporan itu, datanya berasal dari 2 survei pada Agustus dan September 2024. Respondennya 1.000 pekerja di Amerika Serikat dan Inggris, ditambah 500 pemimpin keamanan di Amerika Serikat, Kanada, Asia Pasifik, dan India.

Temuan lain dari ringkasan laporan UpGuard lebih mengusik. Sebanyak 45% pekerja menemukan cara mengakali aplikasi yang diblokir. Namun yang lebih mengejutkan, meski 40% karyawan ingat pernah ikut pelatihan AI, 40% tetap memakai alat tak berizin setiap hari. Padahal pemblokiran dan pelatihan selama ini dianggap jurus paling aman.

Sementara itu, Akamai merilis The Enterprise AI Usage Risk Report 2026 pada 5 Agustus 2026. Menurut siaran pers Akamai, sekitar 5% karyawan berisiko tinggi menyumbang mayoritas prompt AI interaktif, hampir 75% ekstensi AI di browser meminta izin akses tinggi atau kritis, dan 16,3% di antaranya mengandung celah keamanan yang sudah diketahui.

"Alat pencegahan kebocoran data tradisional dibangun untuk era transfer file dan email. Kini data sensitif perusahaan terpecah-pecah secara sistematis ke jutaan prompt, akun pribadi yang tidak dikelola, dan agen AI otonom," kata Or Eshed, Vice President, Enterprise Security Product and Engineering di Akamai (diterjemahkan dari siaran pers berbahasa Inggris).

Apa saja risikonya bagi data dan hukum perusahaan?

Risiko pertama dan paling nyata adalah kebocoran. Begitu dokumen internal ditempel ke layanan AI di luar kendali kantor, perusahaan tidak lagi tahu di mana data itu disimpan. Tim IT bahkan tidak tahu siapa yang bisa mengaksesnya dan berapa lama data itu bertahan di sana. Hasilnya, tim keamanan bekerja tanpa peta.

Soal sanksi, teks resmi UU PDP di JDIH Komdigi cukup gamblang. Pasal 57 ayat 3 membatasi denda administratif paling tinggi 2 persen dari pendapatan tahunan. Pasal 67 ayat 2 mengancam orang yang dengan sengaja dan melawan hukum mengungkapkan data pribadi bukan miliknya dengan penjara paling lama 4 tahun dan/atau denda paling banyak Rp4 miliar.

Bahkan saat yang salah adalah mesin, beban hukumnya tetap jatuh ke manusia. Dalam kolomnya, Yosua mengingatkan bahwa UU ITE masih memperlakukan AI sebagai agen elektronik, bukan subjek hukum. Alhasil, kerugian akibat kelalaian karyawan memakai AI menjadi tanggungan perusahaan selaku pemberi kerja, sejalan dengan Pasal 1367 Kitab Undang-Undang Hukum Perdata.

Kebijakan yang bisa diadopsi perusahaan mulai bulan ini

Reaksi pertama banyak manajer adalah memblokir semua situs AI. Justru langkah itu yang diperingatkan para praktisi, karena karyawan tinggal beralih ke ponsel pribadi dan kantor kehilangan visibilitas sama sekali.

"Larangan total tidaklah efektif karena karyawan tetap dapat menggunakan gadget pribadi untuk mengakses AI secara sembunyi-sembunyi dan hal ini justru membuat perusahaan kehilangan kendali atas keamanan siber," tulis Yosua Lamboy A. Situmorang, praktisi hukum dan in-house legal counsel BUMN, di halaman kedua kolomnya di Hukumonline.

Makanya, pilihan yang lebih masuk akal adalah mengatur, bukan melarang. Berikut 5 langkah yang bisa dimulai tim IT, HR, dan legal tanpa menunggu anggaran besar:

1. Tulis kebijakan AI resmi. Sebutkan alat yang boleh dipakai, jenis data yang haram ditempel ke AI (data pribadi, data gaji, kontrak, kode sumber), dan siapa yang bisa dihubungi bila ragu.
2. Sediakan alat resmi lebih dulu. Survei Salesforce menunjukkan 39% pekerja lebih percaya diri bila punya akses mudah ke alat resmi, jadi larangan tanpa alternatif hanya mendorong mereka kembali ke jalur bayangan.
3. Latih karyawan secara berkala. Temuan UpGuard bahwa 40% karyawan tetap memakai alat tak berizin setiap hari meski pernah ikut pelatihan menunjukkan sesi sekali setahun tidak cukup.
4. Periksa ekstensi browser dan akun pribadi. Akamai menyarankan ekstensi diperlakukan seperti perangkat lunak berhak akses tinggi, dan login ke platform AI disatukan lewat single sign-on (SSO).
5. Wajibkan verifikasi manusia. Hasil AI diperlakukan sebagai draf awal, sehingga angka, kutipan, dan klausul tetap dicek orang yang menandatangani dokumen.

Untuk pekerjaan pribadi seperti merangkum materi, menyusun draf, atau mencari referensi, kakak.ai bisa jadi salah satu pilihan yang aturan datanya tertulis jelas. Halaman Keamanan dan Privasi di Pusat Bantuan kakak.ai menyatakan "Data dan percakapanmu tidak pernah digunakan untuk melatih model AI manapun", koneksinya dienkripsi, dan data bisa dihapus kapan saja. Akun gratisnya mendapat 200 Kredit Basic dan 200 Bonus Kredit Pro setiap hari, tetapi tetap ikuti kebijakan kantormu sebelum mengunggah dokumen perusahaan.

Kalau ingin melihat gambaran lebih luas, baca juga ulasan tentang AI agents yang mulai mengambil alih tugas administratif di kantor, laporan soal adopsi AI Indonesia yang terganjal infrastruktur data, panduan melindungi diri dari penipuan berbasis AI, dan cara memeriksa jawaban AI dengan sumber terverifikasi.

FAQ Shadow AI di Kantor

Apa itu shadow AI?

Shadow AI adalah pemakaian aplikasi atau layanan AI pribadi oleh karyawan untuk menyelesaikan pekerjaan kantor tanpa izin, pengawasan, atau keterlibatan resmi tim IT perusahaan.

Berapa banyak karyawan yang memakai AI tanpa izin?

Laporan UpGuard menemukan 81% pekerja dan 88% pemimpin keamanan informasi memakai alat AI yang tidak disetujui, berdasarkan survei 2024 terhadap 1.000 pekerja di Amerika Serikat dan Inggris serta 500 pemimpin keamanan. Di Indonesia, survei Salesforce 2026 terhadap 1.002 knowledge workers mencatat hanya 33% yang mendapat pelatihan agen AI dari perusahaan.

Apa sanksi UU PDP kalau data pribadi bocor lewat AI?

UU Nomor 27 Tahun 2022 mengatur denda administratif paling tinggi 2 persen dari pendapatan tahunan (Pasal 57). Orang yang dengan sengaja dan melawan hukum mengungkapkan data pribadi milik orang lain terancam penjara paling lama 4 tahun dan/atau denda paling banyak Rp4 miliar (Pasal 67 ayat 2).

Apakah perusahaan sebaiknya memblokir semua aplikasi AI?

Tidak disarankan. Karyawan bisa beralih ke ponsel pribadi, dan UpGuard mencatat 45% pekerja menemukan cara mengakali aplikasi yang diblokir. Lebih efektif menyusun kebijakan, melatih karyawan, dan menyediakan alat AI resmi.

Bagaimana cara mulai menyusun kebijakan AI di kantor?

Mulai dari daftar alat yang boleh dipakai, daftar data yang tidak boleh dimasukkan ke AI, dan kewajiban memeriksa ulang hasil AI sebelum dipakai. Setelah itu sosialisasikan lewat pelatihan singkat yang diulang berkala, lalu evaluasi pemakaiannya tiap beberapa bulan.

Shadow AI pada akhirnya adalah cermin: karyawan sudah berlari dengan AI, sementara aturan kantor masih berjalan kaki. Kini pilihannya ada di meja manajemen, apakah membiarkan data berkeliaran di aplikasi yang tak terpantau atau menyediakan jalur resmi yang aman. Kalau kamu sedang mencari asisten AI untuk merapikan pekerjaan sehari-hari, coba kakak.ai secara gratis dan pastikan setiap data yang kamu tempel memang boleh keluar dari kantor.

Coba kakak.ai Gratis

Sumber

• InfoKomputer: Mekari Langsungkan Mekari Conference 2026 (2 Oktober 2026)
• Warta Ekonomi: Mekari Soroti Shadow AI di Indonesia (7 Oktober 2026)
• Siaran pers Salesforce Indonesia (24 April 2026)
• The Business Times: Indonesia leads Asean in AI adoption
• UpGuard: The State of Shadow AI
• Akamai: Enterprise AI Usage Risk Report 2026 (5 Agustus 2026)
• JDIH Komdigi: Undang-Undang Nomor 27 Tahun 2022
• Hukumonline: Menakar Risiko Hukum Shadow AI dalam Operasional Perusahaan (25 Mei 2026)