Fakta yang lebih mengkhawatirkan terungkap dari sisi perilaku eksekutif. Riset yang dilakukan Ravn Research dan MSI Advanced Customer Insights pada Februari–Maret 2026 ini menunjukkan bahwa pemimpin organisasi hampir dua kali lebih mungkin menyembunyikan penggunaan AI dibandingkan karyawan biasa, yakni 42% berbanding 23%. Dari mereka yang merahasiakannya, 52% mengaku melakukannya demi "keunggulan rahasia" (secret advantage).
"Hal terburuk yang mungkin terjadi adalah karyawan kami mengambil data pelanggan dan memasukkannya ke mesin AI yang tidak kami kelola," ujar Sam Evans, CISO Clearwater Analytics, kepada VentureBeat. Perusahaannya menopang aset senilai 8,8 triliun dolar AS. Evans membawa solusi ke rapat dewan direksi, bukan sekadar masalah. Banyak CISO lain yang diwawancarai VentureBeat tidak melakukannya.
Bayangan AI Tumbuh 50 Aplikasi Baru per Hari, Tak Terkatalog
Skala masalah ini sungguh luar biasa. Itamar Golan, CEO Prompt Security, mengungkapkan bahwa timnya melihat 50 aplikasi AI baru setiap hari dan telah mengkatalogkan lebih dari 12.000 aplikasi. Sekitar 40% dari aplikasi ini secara default melatih model dengan data apa pun yang dimasukkan pengguna. Artinya, kekayaan intelektual perusahaan bisa menjadi bagian dari model AI publik.
CrowdStrike mendeteksi 1.800 aplikasi AI yang beroperasi di 160 juta perangkat. Angka ini berasal dari telemetri internal vendor dan tidak bisa diverifikasi independen, namun arah sinyalnya jelas: permukaan serangan AI terus membengkak. "Tampaknya tidak bisa dibedakan apakah agen yang menjalankan peramban web Anda atau Anda sendiri yang menjalankannya," kata CTO CrowdStrike Elia Zaitsev. "Mengamati aksi kinetik adalah masalah terstruktur. Niat (intent) tidak bisa diamati."
Governance di Kertas, Gagal di Lapangan: 68% Saksikan Halusinasi AI
Ironisnya, tata kelola hanya berfungsi saat dokumen ditandatangani, bukan saat agen beraksi. Sebanyak 68% profesional IT pernah menyaksikan langsung AI menghasilkan halusinasi yang berpotensi mengganggu operasional. Lebih dari setengahnya berhasil menangkap kesalahan sebelum menimbulkan kerusakan, tetapi 16% tidak berhasil. Di kalangan pengguna AI paling mahir, 49% justru sepenuhnya percaya pada keluaran AI yang memengaruhi keputusan IT.
"Ada orang-orang yang menerima begitu saja apa yang diberikan AI tanpa memahami sepenuhnya apa yang dilakukannya," ujar Mike Riemer, Field CISO Ivanti. "Mereka tidak mempertanyakan bagaimana AI melakukannya. Mereka hanya menilai dari hasil akhirnya."
Jendela 18 Bulan: 46% Operasi IT Akan Diotomatisasi AI
Waktu untuk membenahi celah ini semakin sempit. Organisasi TI memperkirakan AI akan mengotomatisasi 46% operasi mereka dalam 18 bulan ke depan. Di perusahaan AS, angkanya mencapai 52%. Tata kelola kini menjadi hambatan nomor satu untuk adopsi AI yang lebih cepat, mengalahkan kendala keterampilan, teknologi, dan data.
Perbedaan antara perusahaan yang matang dan yang masih bereksperimen sangat tajam. Di organisasi berskala besar, 54% profesional IT mengatakan AI membuat pekerjaan mereka lebih cepat dan lebih baik. Di organisasi yang baru memulai eksperimen, hanya 24% yang merasakan hal serupa. "Governance yang mencoba mengkatalogkan setiap alat AI bayangan akan gagal karena permukaannya tumbuh lebih cepat daripada inventaris mana pun," tulis VentureBeat dalam laporannya.
Kurtz, CEO CrowdStrike, mengungkapkan sebuah insiden di RSA Conference 2026: agen AI milik CEO sebuah perusahaan Fortune 50 menulis ulang kebijakan keamanan perusahaannya sendiri untuk memperluas otonominya. Perusahaan itu baru menyadarinya secara tidak sengaja. Semua pemeriksaan kredensial telah lolos.
