Analisis survei EY: 98% kebijakan, 47% melewati, 26% melewatkan agen

Kebijakan tata kelola AI sangat pintar duduk manis di dalam folder. Kebijakan itu kurang berguna ketika sebuah penerapan mendesak berjalan melewatinya, yang tampaknya bukan olahraga yang jarang terjadi. Techstrong.ai melaporkan bahwa Survei Risiko dan Tata Kelola AI AS perdana dari EY menemukan 98% responden mengatakan organisasi mereka memiliki kebijakan tata kelola AI formal, sementara 47% mengatakan tata kelola pernah dilewati selama penerapan AI yang mendesak. Di antara organisasi yang menggunakan AI agentik, Techstrong.ai melaporkan bahwa 26% tidak dapat mendeteksi agen AI tidak sah yang beroperasi secara internal, yaitu bagian ketika folder mulai terlihat seperti hiasan.

Kebijakannya ada. Gerbangnya tidak

Techstrong.ai melaporkan bahwa EY mensurvei 202 pengambil keputusan AI senior di perusahaan publik AS dengan pendapatan tahunan setidaknya $1 miliar. Sampel itu penting karena ini bukan proyek hobi yang dijalankan di laptop cadangan di bawah meja, meskipun pembelaan kepatuhan seperti itu terdengar menggemaskan. BigDATAwire, yang memuat pengumuman EY, mengatakan survei tersebut meneliti bagaimana para pemimpin mengatur AI, termasuk seberapa cepat kerangka tata kelola beradaptasi dengan AI agentik serta sejauh mana dan seperti apa dampak risiko terkait AI. Rilis EY sendiri membingkai masalahnya dengan jelas: penerapan AI otonom melampaui pengawasan.

Pembacaan praktisnya sederhana. Kebijakan yang dapat dilewati saat keadaan mendesak bukanlah kontrol, melainkan saran dengan kop surat. Bagi para pembangun, pertanyaan yang berguna bukanlah apakah organisasi memiliki dokumen tata kelola AI, tetapi apakah alur kerja rilis membuat pengiriman sulit dilakukan tanpa pemilik, kasus penggunaan yang disetujui, tinjauan risiko, dan rencana pencatatan log. Jika jawabannya bergantung pada seseorang yang ingat untuk mengirim email ke bagian legal, jawabannya adalah tidak.

AI agentik mengubah penggunaan bayangan menjadi masalah operasional

Techstrong.ai melaporkan bahwa di antara organisasi yang menggunakan AI agentik, 49% belum memperbarui kerangka tata kelola untuk sistem agentik dan 26% tidak dapat mendeteksi agen AI tidak sah yang beroperasi secara internal. Pasangan angka itulah sumber sakit kepala kepatuhan yang sebenarnya. Sistem agentik bukan sekadar jendela chat dengan merek yang lebih bagus; sistem ini dapat terhubung ke alat, alur kerja, penyimpanan data, dan izin internal. Jika inventarisnya tidak lengkap, organisasi tidak dapat mengatakan dengan andal apa yang sedang bertindak, atas wewenang siapa, atau terhadap data yang mana.

Kewajiban dasarnya, bahkan sebelum regulator mengajukan pertanyaan yang canggung, adalah visibilitas. Tim membutuhkan daftar agen yang mencatat pemilik, tujuan, alat yang terhubung, kategori data, cakupan izin, model atau penyedia, dan status produksi. Mereka juga membutuhkan log yang menunjukkan tindakan yang dilakukan agen, bukan hanya prompt yang diketik pengguna. Agen internal yang tidak sah sulit diatur karena alasan yang sama seperti vendor yang tidak terlacak sulit diaudit: tidak ada yang dapat meninjau sistem yang tidak dapat mereka temukan.

Tata kelola harus masuk ke jalur penerapan

Techstrong.ai melaporkan bahwa EY merekomendasikan akuntabilitas yang lebih jelas, kontrol yang dibangun ke dalam alur kerja penerapan, visibilitas yang lebih besar atas sistem AI, dan verifikasi berulang bahwa agen berperilaku sebagaimana dimaksud. Jika diterjemahkan dari dialek konsultan, artinya tata kelola harus menjadi bagian dari proses pengiriman. Catatan persetujuan seharusnya berada di tempat keputusan penerapan dibuat, bukan di slide deck yang dipresentasikan setelah peluncuran. Agen produksi tidak boleh maju kecuali pemilik yang disebutkan namanya, penggunaan yang diizinkan, jalur eskalasi, dan persyaratan pemantauan sudah terlampir.

Di sinilah kebijakan menjadi pekerjaan rekayasa. Pengadaan harus memblokir layanan AI yang belum disetujui, platform internal harus mewajibkan pendaftaran sebelum akses ke sistem sensitif, dan pipeline penerapan harus menyimpan bukti bahwa tinjauan benar-benar terjadi. Verifikasi berulang bukanlah rapat triwulanan seremonial. Itu berarti menguji apakah agen masih tetap berada dalam tugas yang ditetapkan, apakah izin telah bergeser, dan apakah log tetap berguna ketika sesuatu berjalan salah.

Audit berikutnya akan meminta bukti, bukan niat

BigDATAwire menggambarkan survei tersebut sebagai menunjukkan bahwa proses dan kontrol tidak mampu mengimbangi risiko reputasi, keamanan siber, dan shadow AI. Itulah bagian yang layak ditanggapi serius tanpa mengubahnya menjadi pertunjukan. Tata kelola tertulis masih berguna, tetapi hanya sebagai peta untuk langkah-langkah yang dapat ditegakkan: inventaris, gerbang persetujuan, telemetri, eskalasi, dan pemeriksaan berkala. Hukum jarang memberi penghargaan kepada perusahaan karena sudah berniat baik di dalam PDF.

Bagi pembaca yang membangun atau membeli AI otonom, langkah berikutnya sederhana dan konkret. Pilih satu alur kerja agentik dan telusuri dari permintaan ke penerapan hingga pemantauan, lalu identifikasi setiap titik ketika tata kelola bergantung pada ingatan, bukan gerbang sistem. Perhatikan berikutnya apakah vendor mulai menawarkan inventaris agen dan jejak audit yang benar-benar dapat digunakan, karena hal-hal itu akan lebih penting daripada satu lagi templat kebijakan dengan halaman sampul yang berselera.