COBIT & ITIL Tidak Cukup? Ini Pentingnya AI Governance

Perusahaan yang sudah menggunakan COBIT dan ITIL tetap dapat memiliki celah dalam tata kelola AI. COBIT menyediakan kerangka untuk governance dan management enterprise information and technology, sedangkan ITIL membantu organisasi mengelola produk dan layanan digital. Keduanya tetap relevan ketika perusahaan menggunakan Artificial Intelligence, tetapi penggunaan AI menambahkan kebutuhan governance yang lebih spesifik terhadap data, model, risiko, accountability, transparency, human oversight, dan AI lifecycle. ISACA sendiri menerbitkan panduan khusus mengenai penggunaan COBIT untuk AI system governance pada 2025, sementara PeopleCert saat ini menyediakan ITIL AI Governance Version 5.

Mengapa Tata Kelola IT Konvensional Perlu Diperluas untuk AI?

Tata kelola IT konvensional banyak berfokus pada pengelolaan teknologi, risiko, kontrol, keamanan, perubahan, layanan, dan kepatuhan. Komponen tersebut tetap dibutuhkan dalam AI, tetapi AI memperkenalkan objek governance tambahan seperti dataset, model, prompt, output, model provider, AI agent, dan perubahan perilaku sistem. NIST AI Risk Management Framework secara khusus membahas kebutuhan pengelolaan risiko AI sepanjang design, development, use, dan evaluation, termasuk risiko yang berkaitan dengan trustworthiness.

Karena itu, perusahaan perlu memperluas kontrol yang sudah ada. Change management misalnya tetap diperlukan, tetapi perubahan model atau konfigurasi AI perlu dinilai dari dampaknya terhadap performa dan risiko. Vendor management juga tetap berjalan, tetapi vendor AI perlu dinilai dari sisi data processing, security, privacy, model governance, dan kemampuan menyediakan informasi yang dibutuhkan untuk assurance.

COBIT 2019 Tata Kelola AI: COBIT Masih Relevan

COBIT 2019 tata kelola AI bukan pendekatan yang bertentangan dengan AI Governance. ISACA menjelaskan bahwa COBIT dapat digunakan untuk governance AI dari sisi strategic alignment, resource management, risk management, accountability, transparency, compliance, dan lifecycle. Implementasinya dapat mencakup tahap design and development, deployment, operations, hingga monitoring.

Artinya, COBIT dapat menjadi fondasi enterprise governance untuk AI. Tantangannya terletak pada penerjemahan governance objective menjadi kontrol yang sesuai dengan karakteristik AI. Perusahaan tetap membutuhkan mekanisme untuk AI risk assessment, AI inventory, model oversight, data governance, monitoring, dan human oversight.

ITIL 4 vs AI Governance: Keduanya Mengatur Hal yang Berbeda

ITIL 4 vs AI Governance bukan perbandingan antara dua framework yang harus dipilih salah satunya. ITIL berfokus pada products dan services, sedangkan AI Governance mengatur penggunaan AI dengan memperhatikan risiko, accountability, dan lifecycle AI. Ketika AI menjadi bagian dari customer service, internal application, automation, atau enterprise platform, ITIL tetap memiliki fungsi untuk incident management, change management, service level management, dan continual improvement.

Yang menjadi kelemahan ITIL 4 untuk AI adalah service management tidak secara otomatis mencakup seluruh kebutuhan AI risk management. Organisasi tetap harus mengatur bagaimana model dievaluasi, data AI dikelola, output AI diverifikasi, dan keputusan yang melibatkan AI diawasi. Perkembangan ITIL terbaru menunjukkan kebutuhan tersebut semakin spesifik melalui ITIL AI Governance Version 5, yang mencakup oversight, accountability, risk management, dan trust dalam penerapan AI pada products, services, dan organizational workflows.

Framework AI Governance: NIST AI RMF dan ISO/IEC 42001

Framework AI Governance dapat digunakan untuk melengkapi governance enterprise yang sudah ada. NIST AI RMF menyediakan pendekatan untuk mengelola risiko AI melalui fungsi Govern, Map, Measure, dan Manage. NIST juga menerbitkan Generative AI Profile untuk membantu organisasi menangani risiko yang lebih spesifik pada penggunaan Generative AI.

Sementara itu, ISO/IEC 42001 menetapkan persyaratan untuk membangun, menerapkan, memelihara, dan meningkatkan Artificial Intelligence Management System atau AIMS. Standar ini dapat digunakan organisasi yang mengembangkan, menyediakan, maupun menggunakan produk atau layanan berbasis AI.

AI Governance Enterprise Membutuhkan AI Inventory dan Risk Assessment

AI Governance Enterprise membutuhkan visibility terhadap seluruh penggunaan AI. Perusahaan perlu mengetahui AI apa yang digunakan, siapa pemiliknya, data apa yang diproses, vendor atau model apa yang digunakan, serta proses bisnis apa yang terdampak. Tanpa AI inventory, organisasi tidak dapat mengetahui dengan baik technology exposure dan risiko AI yang sebenarnya.

Risk assessment kemudian digunakan untuk menentukan tingkat kontrol. AI untuk membantu membuat ringkasan dokumen internal tidak memiliki konsekuensi yang sama dengan AI untuk recruitment screening, credit scoring, fraud detection, atau keputusan lain yang berdampak langsung pada individu. Tingkat governance harus mengikuti tingkat risikonya.

Kebijakan AI Perusahaan dan Acceptable Use Policy AI

Kebijakan AI perusahaan perlu mengatur penggunaan AI yang diperbolehkan, data yang dapat diproses, tools yang disetujui, tanggung jawab pengguna, proses approval, dan pelaporan insiden. Salah satu instrumen yang dapat digunakan adalah acceptable use policy AI.

Policy tersebut harus terhubung dengan data classification, information security, privacy, vendor management, dan incident response. Larangan sederhana seperti “jangan memasukkan data rahasia ke AI publik” belum cukup apabila perusahaan tidak menyediakan mekanisme yang jelas untuk menggunakan AI secara aman.

Bahaya Shadow AI dan Risiko Shadow AI di Perusahaan

Bahaya Shadow AI muncul ketika karyawan menggunakan AI tools tanpa proses governance organisasi. Contohnya adalah memasukkan dokumen internal ke chatbot publik, menggunakan AI coding assistant yang belum disetujui, atau menghubungkan data perusahaan ke layanan AI pihak ketiga tanpa assessment.

Risiko Shadow AI di perusahaan mencakup data exposure, privacy risk, intellectual property risk, vendor risk, inaccurate output, dan hilangnya visibility terhadap penggunaan AI. Solusinya bukan sekadar pelarangan. Perusahaan membutuhkan approved AI tools, AI inventory, acceptable use policy, serta mekanisme registrasi dan assessment untuk AI use case.

Keamanan Data Enterprise AI dan Privasi Data LLM

Keamanan data enterprise AI harus melihat seluruh data flow, termasuk prompt, uploaded documents, retrieval system, training data, knowledge base, API, logs, dan telemetry. Kontrol akses pada aplikasi saja tidak cukup ketika data perusahaan diproses melalui beberapa komponen AI dan layanan pihak ketiga.

Hal yang sama berlaku untuk privasi data LLM (large language models). Organisasi harus mengetahui data apa yang dikirim ke model, bagaimana data diproses, bagaimana retention diterapkan, siapa yang dapat mengaksesnya, serta bagaimana vendor menangani data tersebut. Evaluasi ini menjadi bagian dari data governance, privacy, dan third-party risk management.

Keamanan AI Black-Box dan Audit Algoritma AI

Keamanan AI black-box menjadi lebih sulit ketika perusahaan menggunakan model pihak ketiga dan tidak memiliki akses terhadap seluruh model, training data, atau proses internal provider. Kondisi tersebut membuat vendor assessment dan assurance menjadi penting. Organisasi perlu meminta bukti yang relevan terkait security, privacy, model governance, testing, documentation, monitoring, dan incident management.

Audit algoritma AI juga tidak harus berarti melakukan pemeriksaan source code model. Audit dapat mencakup governance structure, ownership, data, risk assessment, model documentation, testing, performance monitoring, security, privacy, dan compliance. ISACA telah menempatkan COBIT sebagai salah satu dasar yang dapat digunakan untuk governance dan management AI sepanjang lifecycle.

Integrasi COBIT dan ISO 42001

Integrasi COBIT dan ISO 42001 memungkinkan organisasi mempertahankan governance enterprise yang sudah ada sambil menambahkan management system khusus AI. COBIT dapat digunakan pada level enterprise governance dan management of information and technology, sedangkan ISO/IEC 42001 memberikan struktur AIMS untuk mengelola risiko dan peluang AI secara sistematis.

ITIL tetap dapat digunakan pada lapisan service management ketika AI menjadi bagian dari digital product atau service. NIST AI RMF dapat digunakan untuk memperkuat pendekatan risk management. Dengan struktur tersebut, perusahaan tidak perlu membuat governance AI yang berdiri sendiri tanpa hubungan dengan proses yang sudah berjalan.

Strategi Implementasi AI Governance

Strategi implementasi AI dapat dimulai dengan AI inventory, klasifikasi risiko, penetapan ownership, penyusunan policy, dan pemetaan control gap. Setelah itu organisasi dapat menentukan kebutuhan assessment, approval, testing, monitoring, documentation, vendor management, dan incident response berdasarkan tingkat risiko setiap AI use case.

Untuk organisasi yang sudah menggunakan COBIT dan ITIL, langkah yang paling praktis adalah melakukan AI Governance gap assessment. Perusahaan dapat memetakan kontrol yang sudah tersedia, menemukan kontrol AI-specific yang belum tersedia, kemudian mengintegrasikannya ke governance, risk, security, service management, dan compliance process yang sudah berjalan.

Training AI Governance, ISO 42001, dan Pengembangan Kompetensi

Implementasi governance membutuhkan kompetensi lintas fungsi. Pastikan tim Anda memiliki keahlian yang tepat melalui program pelatihan yang komprehensif. Anda dapat memperdalam pemahaman dan mengasah kemampuan praktis melalui Strategic Data & AI Governance for Enterprises di Inixindo. Program ini dirancang untuk menghubungkan praktik AI Governance dengan COBIT, ITIL, serta standar keamanan dan kepatuhan lainnya. Investasikan pada pengembangan kompetensi tim Anda sekarang untuk memastikan tata kelola AI yang efektif dan terukur.