Oleh Itamar Apelblat, CEO & Salah Satu Pendiri, Keamanan Token
Selama beberapa dekade, kerangka kepatuhan dibangun berdasarkan asumsi yang kini sudah ketinggalan zaman: manusia adalah aktor utama dalam proses bisnis. Manusia memulai transaksi, manusia menyetujui akses, manusia menafsirkan pengecualian, dan manusia dapat ditanyai ketika terjadi kesalahan.
Premis tersebut merupakan inti dari mandat peraturan, seperti SOX, GDPR, PCI DSS, dan HIPAA, yang dirancang berdasarkan penilaian manusia, niat manusia, dan kendali manusia.
Namun, agen AI kini mengubah model operasi perusahaan modern lebih cepat daripada kemampuan adaptasi program kepatuhan.
AI telah berkembang lebih dari sekadar “kopilot” dan alat produktivitas. Semakin banyak agen yang dimasukkan langsung ke dalam alur kerja yang memengaruhi pelaporan keuangan, penanganan data pelanggan, pemrosesan informasi pasien, transaksi pembayaran, dan bahkan keputusan identitas dan akses itu sendiri.
Agen-agen ini tidak sekadar membantu; mereka bertindak. Mereka memperkaya catatan, mengklasifikasikan data sensitif, menyelesaikan pengecualian, memicu tindakan ERP, mengakses database, dan memulai alur kerja di seluruh sistem internal dengan kecepatan mesin.
Pergeseran ini memperkenalkan realitas kepatuhan yang baru. Saat agen AI mulai menjalankan tindakan yang diatur, kepatuhan menjadi tidak dapat dipisahkan dari keamanan. Dan seiring dengan semakin kaburnya batasan tersebut, CISO kini memasuki kategori risiko baru dan tidak nyaman di mana mereka mungkin bertanggung jawab tidak hanya atas pelanggaran, namun juga atas kegagalan kepatuhan yang dipicu oleh perilaku AI.
Kerangka Kepatuhan Dibangun untuk Pelaku yang Dapat Diprediksi
SOX, GDPR, PCI DSS, dan HIPAA semuanya berasumsi bahwa “aktor” dapat dipahami dan diatur. Pengguna manusia memiliki peran pekerjaan, manajer, dan rantai tanggung jawab yang jelas. Suatu proses sistem bersifat deterministik dan dapat diulang. Pengendalian dapat diuji secara berkala, divalidasi setiap triwulan, dan dianggap stabil hingga audit berikutnya.
Agen AI tidak beroperasi dengan cara seperti itu.
Mereka bernalar secara probabilistik. Mereka beradaptasi dengan konteks. Mereka mengubah perilaku berdasarkan perintah, pembaruan model, sumber pengambilan, plugin, dan perpindahan input data. Kontrol yang berfungsi hari ini mungkin gagal besok, bukan karena ada orang yang sengaja mengubahnya, namun karena jalur pengambilan keputusan agen menyimpang.
Ini adalah masalah kepatuhan yang mendasar. Regulator tidak peduli bahwa sistem “biasanya” berperilaku benar. Mereka peduli apakah Anda dapat membuktikan, secara terus menerus, bahwa organisasi beroperasi dalam batas kendali yang ditentukan.
AI mempersulit hal ini dan beban tersebut semakin beralih ke CISO.
Risiko Sebenarnya: AI Runtuhnya Segregasi, Batasan Akses, dan Akuntabilitas
Kegagalan kepatuhan jarang terjadi karena satu pengendalian gagal. Hal ini terjadi karena sistem memungkinkan serangkaian tindakan yang seharusnya tidak mungkin terjadi. Agen AI menciptakan skenario seperti itu.
Untuk membuat agen berguna, banyak organisasi menerapkannya dengan izin yang luas, kredensial bersama, kepemilikan yang tidak jelas, dan token akses yang berumur panjang. Ini adalah jalan pintas yang sama yang telah bertahun-tahun coba dihilangkan oleh tim keamanan dan sekarang diperkenalkan kembali di bawah panji inovasi. Hal ini melemahkan ekspektasi kepatuhan inti:
SOX: Kontrol Keuangan dan Integritas Pelaporan
Agen AI dapat menyusun entri jurnal, merekonsiliasi akun, menyelesaikan pengecualian, dan memicu persetujuan alur kerja. Jika seorang agen memiliki akses terhadap sistem keuangan dan TI, pemisahan tugas dapat runtuh secara diam-diam. Lebih buruk lagi, keputusan yang didorong oleh AI seringkali tidak dapat dijelaskan dengan cara yang dapat divalidasi oleh auditor. Log menunjukkan apa yang terjadi, namun tidak menjelaskan alasannya. Hal ini berdampak pada apakah suatu organisasi dapat memastikan integritas pelaporan keuangan dengan baik.
GDPR: Paparan PII dan Pelanggaran Pemrosesan
Berdasarkan GDPR, akses tidak sah ke data pribadi, pemrosesan yang tidak disengaja di luar tujuan yang dimaksudkan, atau penyimpanan yang tidak tepat dapat memicu tindakan penegakan hukum, bahkan tanpa pelanggaran klasik. Agen AI yang memasukkan PII ke dalam prompt, mengekspor data pelanggan ke alat eksternal, atau mencatat data sensitif ke dalam sistem yang tidak aman dapat langsung menimbulkan insiden kepatuhan.
PCI DSS: Penanganan Data Pembayaran dan Lingkungan Terbatas
Kepatuhan PCI dibangun berdasarkan segmentasi yang ketat dan akses terkontrol ke lingkungan data pemegang kartu. Agen AI yang menanyakan database pembayaran, menangani catatan transaksi, atau berintegrasi dengan sistem dukungan pelanggan dapat secara tidak sengaja memindahkan data kartu ke sistem, keluaran, atau log yang tidak patuh. Hal ini dapat merusak kontrol PCI meskipun tidak ada penyerang.
HIPAA: Penanganan dan Auditabilitas PHI
HIPAA tidak hanya mensyaratkan kerahasiaan PHI, namun juga jalur audit terperinci atas akses dan pengungkapan. Agen AI yang merangkum catatan pasien, mengambil data untuk dianalisis, atau mengotomatiskan alur kerja penerimaan mungkin menyentuh PHI dengan cara yang sulit dilacak. Jika organisasi tidak dapat membuktikan kontrol akses dan pemantauan yang tepat, hal ini akan menjadi risiko kepatuhan bahkan tanpa adanya niat jahat.
Dalam setiap kerangka kerja ini, organisasi bertanggung jawab atas apa yang terjadi pada data yang diatur dan alur kerja yang diatur. Ketika agen AI bertindak dalam sistem tersebut, akuntabilitas tidak akan hilang. Hal ini hanya beralih ke siapa saja yang mengontrol identitas, akses, logging, dan tata kelola keamanan.
Inilah sebabnya mengapa CISO harus memperhatikan tantangan kepatuhan ini. Inilah sebabnya mengapa banyak organisasi mulai melakukannya mengobati AI agen sebagai identitas non-manusia yang memerlukan tata kelola, kontrol akses, dan pemantauan yang sama seperti pengguna yang memiliki hak istimewa.
Mengapa CISO Dapat Diminta Bertanggung Jawab
Secara historis, kepatuhan diterapkan pada bidang Keuangan, Hukum, Privasi, dan Audit. Keamanan mendukung program ini, namun tidak selalu dipandang sebagai pemilik kendali.
AI mengubah persamaan kepatuhan karena risiko yang kini berada di domain yang sudah diatur oleh tim keamanan.
Saat agen AI mulai beroperasi dalam alur kerja yang diatur, pertanyaan tentang kepatuhan dengan cepat menjadi pertanyaan tentang identitas dan akses: Siapa (atau apa) agen tersebut bertindak? Izin apa yang dimilikinya? Bagaimana kredensialnya disimpan dan dirotasi? Bisakah perilakunya dipantau secara real-time, dan dapatkah Anda mendeteksi kapan perilaku tersebut mulai menyimpang dari maksud awal agen?
Inilah sebabnya mengapa risiko kepatuhan AI tidak lagi berada di bagian Keuangan, Hukum, atau Audit. Ia berada di permukaan kontrol yang sama dengan akses istimewa, manajemen perubahan, dan integritas sistem.
Pembaruan yang cepat, pertukaran model, perubahan plugin, atau pergeseran data upstream dapat secara halus mengubah apa yang dilakukan agen tanpa memicu peringatan kepatuhan tradisional. Dan ketika terjadi kesalahan, bukti yang diperlukan untuk menjelaskan dan mempertahankan tindakan tersebut bergantung pada pencatatan audit, pencegahan kehilangan data, dan kemampuan untuk membuktikan bahwa informasi sensitif tidak lolos ke alat, repositori, atau layanan pihak ketiga yang tidak disetujui.
Dengan kata lain, kepatuhan tidak gagal di era AI karena seseorang lupa mencentang kotaknya. Gagal karena agen memiliki lebih banyak akses daripada yang disadari siapa pun. Karena perilakunya berubah secara diam-diam seiring berjalannya waktu. Karena kontrol diasumsikan stabil daripada diverifikasi terus menerus. Karena jejak audit tidak lengkap atau tidak dapat menjelaskan maksudnya. Karena data sensitif berakhir di tempat yang tidak seharusnya.
Dan karena ketika pimpinan diminta untuk mempertanggungjawabkan kejadian tersebut, tidak ada seorang pun yang dapat menjelaskan dengan jelas mengapa agen tersebut mengambil keputusan tersebut.
Ini adalah gangguan tata kelola keamanan klasik yang hanya diberi label kepatuhan. Dan ketika para regulator memperketat ekspektasi, “AI yang melakukannya” dengan cepat menjadi salah satu penjelasan yang paling tidak dapat diterima oleh sebuah organisasi.
Dalam praktiknya, CISO menjadi eksekutif yang bertanggung jawab untuk memastikan agen AI dapat dipercaya sebagai aktor digital dalam alur kerja yang diatur. Hal ini berarti memastikan mereka memiliki kepemilikan yang jelas, akses dengan hak paling rendah, perilaku yang dipantau, dan pengendalian perubahan yang terdokumentasi. Tanpa landasan tersebut, CISO mungkin akan menjawab pertanyaan-pertanyaan tidak nyaman dari auditor, dewan direksi, dan regulator.
Intinya
Agen AI menjadi peserta operasional dalam sistem yang tidak pernah dirancang untuk pengambil keputusan non-manusia. Ini bukan lagi sekedar masalah keamanan. Ini adalah perhitungan kepatuhan.
Kontrol SOX, pengamanan GDPR, segmentasi PCI, dan kemampuan audit HIPAA semuanya bergantung pada perilaku yang dapat diprediksi dan akuntabilitas yang dapat ditelusuri. AI menyebabkan penyimpangan perilaku, pengambilan keputusan yang tidak jelas, dan godaan untuk memberikan hak istimewa yang luas hanya agar AI berhasil.
Oleh karena itu, CISO tidak lagi hanya melindungi infrastruktur. Mereka semakin bertanggung jawab untuk memastikan alur kerja yang diatur tetap dapat dipertahankan ketika pelaku digital melaksanakannya.
Di era agen AI, pertanyaannya bukanlah apakah ada yang salah. Yang menentukan adalah apakah Anda dapat membuktikan bahwa Anda memegang kendali ketika hal itu terjadi. Dan ketika regulator mencari akuntabilitas, CISO akan menjadi salah satu nama pertama dalam daftar.
Bagi CISO yang melakukan perubahan ini, pertanyaannya bukan lagi apakah AI akan berdampak pada kepatuhan, namun bagaimana mempertahankan kontrol ketika aktor non-manusia menjalankan alur kerja yang diatur. Itu Panduan CISO untuk AI Agentik dan Keamanan Identitas Non-Manusia menguraikan landasan tata kelola, akses, dan pemantauan yang diperlukan untuk menjaga sistem berbasis AI dapat diaudit, dipertahankan, dan siap menghadapi regulator.
Unduh Panduan CISO gratis dan mempelajari cara mengatur agen AI dan identitas non-manusia lainnya.
Disponsori dan ditulis oleh Keamanan Token.
