AI Governance dalam ITSM: Mengendalikan GenAI agar Tidak Menjadi Shadow Risk
AI Governance dalam ITSM menjadi isu penting ketika organisasi mulai menggunakan generative AI atau GenAI dalam layanan teknologi informasi. AI kini tidak hanya dipakai untuk eksperimen, tetapi juga masuk ke proses operasional seperti chatbot service desk, klasifikasi tiket otomatis, rekomendasi penyelesaian insiden, pembuatan knowledge article, analisis akar masalah, hingga dukungan pengambilan keputusan dalam layanan TI.
Masalahnya, adopsi GenAI sering berjalan lebih cepat daripada tata kelolanya. Banyak tim memakai AI untuk mempercepat pekerjaan, tetapi belum memiliki aturan yang jelas terkait data, akses, validasi output, akuntabilitas, keamanan, dan audit. Kondisi ini dapat memunculkan shadow AI, yaitu penggunaan AI yang tidak tercatat, tidak dikendalikan, dan tidak masuk dalam kontrol resmi organisasi.
Dalam konteks ITSM, risiko ini tidak bisa dianggap kecil. AI yang digunakan pada proses layanan TI dapat berhubungan langsung dengan data pengguna, informasi insiden, dokumentasi sistem, konfigurasi layanan, dan keputusan operasional. Karena itu, AI Governance dalam ITSM diperlukan agar GenAI tetap memberi nilai bisnis tanpa menjadi sumber risiko baru.
Mengapa AI Governance Penting dalam ITSM?
AI Governance adalah pendekatan untuk mengatur penggunaan AI agar selaras dengan tujuan organisasi, keamanan informasi, kepatuhan, etika, dan manajemen risiko. Dalam ITSM, AI Governance berfungsi untuk memastikan bahwa penggunaan AI tidak hanya cepat dan efisien, tetapi juga aman, dapat diaudit, dan dapat dipertanggungjawabkan.
PeopleCert/ITIL menjelaskan bahwa AI dalam IT dan service management telah bergerak dari tahap eksperimen menuju penggunaan sehari-hari. Namun, GenAI juga membawa risiko terkait akurasi, etika, akuntabilitas, dan kepercayaan. Artinya, pertanyaan utamanya bukan lagi apakah organisasi akan memakai AI, tetapi bagaimana AI tersebut dikendalikan secara bertanggung jawab.
Dalam praktiknya, AI Governance dalam ITSM perlu masuk ke proses seperti incident management, service request management, knowledge management, change enablement, problem management, dan information security management. Setiap proses tersebut perlu memiliki batasan jelas tentang kapan AI boleh digunakan, data apa yang boleh diproses, siapa yang bertanggung jawab, dan bagaimana output AI divalidasi.
Risiko Shadow AI dalam Layanan TI
Shadow AI terjadi ketika karyawan, tim, atau unit kerja menggunakan AI tanpa persetujuan, tanpa standar keamanan, dan tanpa pengawasan formal dari organisasi. Risiko ini mirip dengan shadow IT, tetapi dampaknya bisa lebih kompleks karena AI dapat memproses, menganalisis, dan menghasilkan informasi baru berdasarkan data yang diberikan pengguna.
Risiko pertama adalah kebocoran data. Pengguna dapat tanpa sadar memasukkan informasi sensitif ke dalam AI publik, seperti data pelanggan, detail insiden, konfigurasi sistem, kode aplikasi, dokumen internal, atau catatan layanan. Jika tidak ada kebijakan yang jelas, data tersebut dapat keluar dari lingkungan kendali organisasi.
Risiko kedua adalah akurasi output. GenAI dapat menghasilkan jawaban yang terlihat meyakinkan, tetapi belum tentu benar. Dalam ITSM, output yang salah dapat menyebabkan kesalahan diagnosis insiden, eskalasi yang tidak tepat, dokumentasi yang menyesatkan, atau rekomendasi perubahan yang berisiko.
Risiko ketiga adalah lemahnya akuntabilitas. Jika keputusan operasional dibuat berdasarkan rekomendasi AI, organisasi perlu mengetahui siapa yang memvalidasi keputusan tersebut. Tanpa human oversight, organisasi sulit menentukan tanggung jawab ketika terjadi kesalahan layanan.
Risiko keempat adalah tidak adanya audit trail. Penggunaan AI yang tidak tercatat membuat organisasi sulit menelusuri prompt, data yang diproses, rekomendasi yang diberikan, dan tindakan yang diambil berdasarkan output AI.
Penerapan AI Governance dalam Proses ITSM
AI Governance dalam ITSM perlu diterapkan secara praktis, bukan hanya dalam bentuk dokumen kebijakan. Tata kelola harus masuk ke proses operasional harian agar penggunaan AI benar-benar terkendali.
Pada incident management, AI dapat membantu klasifikasi tiket, deteksi pola insiden, dan rekomendasi solusi awal. Namun, untuk insiden kritis, output AI tetap harus diverifikasi oleh manusia. AI tidak boleh menjadi satu-satunya dasar keputusan untuk layanan prioritas tinggi.
Pada knowledge management, AI dapat membantu membuat artikel pengetahuan dari riwayat tiket dan dokumentasi teknis. Namun, setiap artikel yang dibuat AI harus melewati proses review sebelum dipublikasikan. Validasi ini penting agar basis pengetahuan tidak berisi instruksi yang salah atau tidak sesuai dengan kondisi sistem aktual.
Pada change enablement, AI dapat membantu menganalisis potensi dampak perubahan. Namun, keputusan perubahan tetap harus mengikuti prosedur resmi, termasuk penilaian risiko, persetujuan, dokumentasi, dan evaluasi pascaperubahan.
Pada service request management, AI dapat membantu menjawab pertanyaan berulang dan mengarahkan permintaan layanan. Namun, AI harus dibatasi agar tidak memberikan akses, membuka data sensitif, atau menjalankan tindakan administratif tanpa otorisasi.
Area Kontrol AI Governance dalam ITSM
Agar GenAI tidak menjadi shadow risk, organisasi perlu membangun area kontrol yang jelas. Kontrol ini dapat dimulai dari lima aspek utama.
1. AI Policy
Organisasi perlu memiliki kebijakan penggunaan AI yang menjelaskan apa yang boleh dan tidak boleh dilakukan. Kebijakan ini harus mengatur penggunaan AI untuk service desk, laporan, analisis tiket, dokumentasi internal, dan komunikasi layanan.
Kebijakan AI juga perlu menjelaskan jenis data yang tidak boleh dimasukkan ke dalam AI, seperti data pribadi, kredensial, informasi pelanggan, konfigurasi sistem, data keuangan, dan dokumen rahasia.
2. Data Control
Kontrol data menjadi bagian penting dari AI Governance dalam ITSM. Data sensitif perlu disamarkan atau dihapus sebelum diproses oleh AI. Praktik ini dapat dilakukan melalui data masking, redaction, klasifikasi data, dan pembatasan akses.
AI tidak boleh diberi akses langsung ke seluruh data layanan tanpa filter. Sistem perlu memastikan bahwa AI hanya mengakses data yang relevan, aman, dan sesuai dengan hak akses pengguna.
3. Model Governance
Organisasi perlu memiliki daftar AI tools yang disetujui. Tidak semua alat AI layak digunakan untuk proses layanan TI. Setiap model atau platform AI perlu dievaluasi dari sisi keamanan, privasi, lokasi pemrosesan data, kepatuhan, integrasi, dan kemampuan audit.
Model Governance juga perlu mengatur siapa yang boleh menggunakan AI, untuk proses apa AI digunakan, dan bagaimana performa AI dievaluasi secara berkala.
4. Human Review
AI dapat membantu mempercepat proses, tetapi keputusan penting tetap memerlukan verifikasi manusia. Output AI untuk insiden kritis, perubahan layanan, eskalasi keamanan, dan keputusan operasional harus ditinjau oleh personel yang berwenang.
Human review penting untuk menjaga akurasi, mengurangi kesalahan, dan memastikan keputusan layanan tetap berada dalam kendali organisasi.
5. Auditability
Setiap penggunaan AI dalam ITSM harus dapat dilacak. Organisasi perlu mencatat prompt, data yang diproses, output AI, pengguna yang terlibat, waktu penggunaan, dan keputusan yang diambil setelahnya.
Auditability membantu organisasi melakukan investigasi ketika terjadi kesalahan, insiden keamanan, pelanggaran kebijakan, atau sengketa keputusan layanan.
Kaitan AI Governance dengan ITIL dan COBIT
AI Governance dalam ITSM dapat diperkuat dengan pendekatan ITIL dan COBIT. Dalam perspektif ITIL, AI perlu menjadi bagian dari service value system, bukan sekadar fitur tambahan. AI harus mendukung penciptaan nilai layanan, tetapi tetap dikendalikan melalui prinsip, praktik, dan mekanisme perbaikan berkelanjutan.
Dalam perspektif COBIT 2019, tata kelola AI dapat dikaitkan dengan beberapa objektif seperti EDM03 Ensure Risk Optimization, APO12 Managed Risk, APO13 Managed Security, APO14 Managed Data, BAI03 Managed Solutions Identification and Build, dan MEA03 Managed Compliance. ISACA juga menempatkan COBIT sebagai kerangka yang adaptif untuk tata kelola dan manajemen sistem AI.
Pendekatan ini membantu organisasi melihat AI bukan hanya sebagai teknologi, tetapi sebagai aset digital yang harus dikelola dari sisi risiko, data, keamanan, kepatuhan, nilai bisnis, dan akuntabilitas.
Langkah Praktis Mengendalikan GenAI dalam ITSM
Organisasi dapat memulai AI Governance dalam ITSM melalui beberapa langkah praktis.
Pertama, lakukan inventarisasi penggunaan AI. Identifikasi siapa yang menggunakan AI, alat apa yang dipakai, data apa yang diproses, dan proses ITSM mana yang terdampak.
Kedua, buat kebijakan AI yang mudah dipahami. Kebijakan tidak perlu terlalu panjang, tetapi harus jelas mengenai batasan penggunaan, jenis data yang dilarang, proses persetujuan, dan tanggung jawab pengguna.
Ketiga, tetapkan daftar AI tools yang disetujui. Organisasi perlu membedakan antara AI yang boleh digunakan untuk pekerjaan umum dan AI yang boleh digunakan untuk data internal.
Keempat, integrasikan AI ke proses ITSM resmi. AI sebaiknya tidak berjalan di luar sistem layanan. Penggunaan AI perlu masuk ke prosedur incident management, knowledge management, change enablement, dan service request management.
Kelima, lakukan audit berkala. Audit diperlukan untuk memastikan penggunaan AI tetap sesuai kebijakan, tidak menimbulkan kebocoran data, dan tidak menghasilkan keputusan layanan yang berisiko.
Kesimpulan
AI Governance dalam ITSM diperlukan agar penggunaan GenAI tidak berubah menjadi shadow risk. AI dapat membantu mempercepat layanan TI, meningkatkan kualitas dokumentasi, mendukung analisis insiden, dan memperbaiki pengalaman pengguna. Namun, manfaat tersebut hanya aman jika organisasi memiliki tata kelola yang jelas.
Risiko seperti shadow AI, kebocoran data, output yang tidak akurat, lemahnya akuntabilitas, dan tidak adanya audit trail perlu dikendalikan sejak awal. Organisasi perlu menerapkan AI Policy, Data Control, Model Governance, Human Review, dan Auditability sebagai fondasi pengelolaan GenAI dalam layanan TI.
Dengan AI Governance yang tepat, GenAI dapat menjadi bagian dari ITSM yang lebih efisien, aman, dan terukur. Tujuannya bukan membatasi inovasi, tetapi memastikan AI digunakan secara bertanggung jawab dan tetap berada dalam kendali organisasi.
FAQ
Apa itu AI Governance dalam ITSM?
AI Governance dalam ITSM adalah pendekatan untuk mengatur penggunaan AI dalam layanan TI agar aman, terkendali, sesuai kebijakan, dan dapat dipertanggungjawabkan.
Apa itu shadow AI?
Shadow AI adalah penggunaan AI tanpa persetujuan, tanpa pengawasan, dan tanpa kontrol resmi dari organisasi.
Mengapa GenAI berisiko dalam ITSM?
GenAI berisiko karena dapat memproses data layanan, memberikan rekomendasi yang belum tentu akurat, dan digunakan tanpa audit trail yang jelas.
Bagaimana cara mengendalikan GenAI dalam layanan TI?
GenAI dapat dikendalikan melalui AI Policy, Data Control, Model Governance, Human Review, Auditability, dan integrasi ke proses ITSM resmi.
Apa hubungan AI Governance dengan COBIT?
COBIT dapat digunakan untuk mengelola AI dari sisi risiko, keamanan, data, solusi, kepatuhan, dan nilai bisnis.
