Masuk ke perusahaan besar pada 2026 dan kemungkinan problem-nya bukan “kita belum punya AI”.
Justru sebaliknya.
Ada Copilot.
Ada ChatGPT.
Ada Gemini.
Ada coding agent.
Ada HR agent.
Ada CRM AI.
Ada marketing tool.
Ada chatbot internal.
Ada automation platform.
Ada tiga pilot yang lupa dimatikan.
Ada dua vendor baru yang sedang POC.
Tools banyak.
Value belum tentu jelas.
Ini masalah governance.
Perusahaan enterprise sekarang bisa menambah AI lebih cepat daripada kemampuan mereka mengatur AI.
Pada 2026, NIST meluncurkan AI Agent Standards Initiative untuk membantu adoption agent yang secure dan interoperable. NIST juga menyoroti identity, authorization, auditing, serta prompt injection sebagai area penting ketika agent mulai punya access ke data dan tools.
Workday pada Juni 2026 bahkan memperkenalkan Agent Passport untuk testing, verification, dan continuous monitoring agent di enterprise.
Kenapa vendor mulai menjual governance layer?
Karena agent sprawl sudah menjadi problem.
Satu departemen bisa membuat agent sendiri.
Marketing.
Finance.
HR.
IT.
Sales.
Setiap agent punya connector.
Permission.
Prompt.
Model.
Data.
Owner.
Kalau semua tumbuh organik, perusahaan tidak punya inventory.
Pertanyaan paling basic jadi susah.
Berapa AI system aktif?
Siapa owner?
Data apa yang disentuh?
Model apa?
Action apa?
Vendor mana?
Berapa cost?
Apa risk tier?
Kalau jawaban tidak ada, governance belum ada.
Perusahaan besar sering memulai dari policy.
Buat dokumen.
“AI harus responsible.”
“Data harus aman.”
“Human oversight diperlukan.”
Bagus.
Tapi policy tanpa operating model tidak cukup.
Siapa approve use case?
Siapa review security?
Siapa review legal?
Siapa monitor?
Siapa bisa shut down?
Berapa lama approval?
Apa threshold?
Governance harus menjadi workflow.
Bukan PDF.
Ada satu mistake umum: semua use case diperlakukan sama.
Chatbot internal yang merangkum public document tidak sama dengan agent yang bisa memindahkan uang.
Image generator marketing tidak sama dengan AI yang membantu hiring.
Coding assistant tidak sama dengan medical decision support.
Kalau semua harus melewati committee 12 orang, innovation mati.
Kalau semua bebas, risk meledak.
Solusinya risk tier.
Low-risk.
Medium.
High.
Critical.
Control mengikuti tier.
Low-risk bisa self-service dengan approved tool.
Medium perlu owner dan review ringan.
High perlu security, legal, compliance, testing.
Critical mungkin perlu executive approval dan continuous monitoring.
Ini membuat governance scalable.
Microsoft pada 2026 juga mendorong Center of Excellence untuk agentic AI dengan risk tiers, roles, decision rights, monitoring, dan value measurement.
Tidak semua perusahaan harus bikin “AI Office” besar.
Tapi function-nya harus ada.
Seseorang harus mengkoordinasikan.
Governance juga bukan milik IT saja.
AI masuk business process.
Finance tahu risk finansial.
HR tahu employee impact.
Legal tahu obligation.
Security tahu access.
Data team tahu quality.
Business owner tahu workflow.
Kalau AI governance hanya di IT, keputusan bisnis bisa miss.
Kalau hanya di business, security miss.
Cross-functional diperlukan.
Ada juga issue identity.
Agent harus dianggap actor.
Bukan sekadar feature.
Kalau agent bisa melakukan action, ia perlu identity.
Permission.
Credential.
Logging.
Lifecycle.
NIST 2026 menekankan ini.
Enterprise selama ini punya IAM untuk manusia dan service account.
Sekarang agent menjadi kategori baru.
Siapa sponsor?
Access apa?
Kapan expire?
Apakah bisa delegate?
Apakah bisa impersonate user?
Semua perlu rule.
Least privilege penting.
Agent marketing tidak perlu access payroll.
Agent HR tidak perlu production database.
Agent procurement tidak perlu semua email.
“Biar gampang” adalah musuh security.
Mulai minimum.
Tambah kalau dibutuhkan.
Governance juga perlu model registry.
Bukan hanya agent.
Model apa yang dipakai?
Version.
Provider.
Region.
Data retention.
Training policy.
Evaluation.
Kalau provider mengganti model, apakah behavior berubah?
Siapa tahu?
AI software lebih dynamic daripada aplikasi tradisional.
Model update bisa mengubah output tanpa perubahan UI.
Regression test dibutuhkan.
Untuk production workflow, jangan hanya percaya release note vendor.
Test use case sendiri.
Ada juga prompt dan instruction governance.
System prompt bisa menjadi business logic.
Kalau berubah, behavior berubah.
Version.
Review.
Approval.
Jangan simpan critical prompt di dokumen pribadi tanpa control.
Prompt engineering enterprise akhirnya mendekati configuration management.
Knowledge base juga harus governed.
Agent menjawab berdasarkan dokumen internal.
Kalau policy lama masih ada, jawaban bisa salah.
Source of truth.
Version.
Owner.
Expiry.
Access.
Ini content governance.
Model bagus tidak menyelamatkan knowledge buruk.
Banyak enterprise AI failure sebenarnya knowledge management failure.
Data governance juga sama.
AI membutuhkan data.
Tapi data punya owner, classification, retention, lineage, quality.
Jangan “AI project” menjadi alasan melewati control.
Data customer.
Employee.
Finance.
IP.
Semua punya rule.
Agent harus inherit permission user.
Bukan mendapatkan super-access.
Ini principle penting.
Kalau user tidak boleh melihat file salary, assistant user juga tidak boleh.
Governance juga harus mengukur value.
Perusahaan sering punya puluhan pilot karena tidak ada kill criteria.
Semua dianggap promising.
Tidak ada yang dihentikan.
Cost menumpuk.
Setiap use case perlu metric.
Time saved.
Cost per task.
Error.
Revenue.
Cycle time.
Quality.
Adoption.
Risk.
Kalau setelah tiga bulan value tidak muncul, stop atau redesign.
Governance yang bagus berani membunuh project.
Bukan hanya approve.
Portfolio management penting.
Mana pilot.
Mana production.
Mana deprecated.
Mana duplicate.
Kalau dua departemen membeli tool serupa, consolidate.
Tool sprawl punya cost security dan procurement.
Vendor rationalization bisa menghasilkan value lebih cepat daripada membeli model baru.
Perusahaan juga perlu approved AI catalog.
User tidak harus menebak tool mana boleh.
Untuk writing, apa approved?
Coding?
Image?
Research?
Customer data?
Kalau daftar jelas, shadow AI turun.
Jangan membuat policy terlalu restrictive sehingga user tetap pergi ke tool publik.
Approved alternative harus cukup usable.
Governance yang hanya melarang tanpa memberi jalan kerja biasanya gagal.
Training juga harus role-based.
Developer butuh secure coding agent practice.
HR butuh bias dan privacy.
Marketing butuh copyright, claims, dan brand safety.
Finance butuh data control.
Executive butuh decision risk.
Satu training “AI awareness” untuk semua terlalu generic.
User harus tahu failure mode yang dekat dengan pekerjaannya.
Ada juga incident response.
Apa itu AI incident?
Data leak.
Wrong action.
Harmful output.
Bias.
Prompt injection.
Unauthorized access.
Model outage.
Misleading customer response.
Perusahaan perlu definisi.
Reporting channel.
Severity.
Owner.
Containment.
Postmortem.
Kalau incident terjadi, jangan improvisasi.
Safe shutdown juga penting.
Agent harus bisa dimatikan.
Credential revoked.
Connector disconnected.
Workflow fallback.
AI production harus punya emergency brake.
Ini basic engineering.
Governance juga perlu human override.
Tapi human-in-the-loop bukan magic phrase.
Siapa human-nya?
Punya waktu?
Punya data?
Punya authority?
Atau cuma klik approve karena queue panjang?
Meaningful oversight perlu design.
Kalau 1.000 action minta approval per hari, manusia akan autopilot.
Threshold perlu tepat.
Ada juga executive challenge.
Board dan C-suite ingin visibility.
Bukan dashboard jumlah prompt.
Mereka perlu tahu:
Berapa AI system aktif?
Value berapa?
High-risk berapa?
Incident?
Vendor concentration?
Compliance gap?
Human impact?
Ini governance dashboard yang lebih meaningful.
CEO tidak perlu tahu token usage tiap team.
Perlu tahu apakah AI portfolio membuat perusahaan lebih produktif tanpa menciptakan risk yang tidak terkendali.
AI governance juga bukan anti-innovation.
Justru governance yang bagus mempercepat.
Kalau rule jelas, team tidak perlu mulai dari nol.
Ada approved platform.
Template risk assessment.
Security pattern.
Connector policy.
Legal clause.
Monitoring.
Team bisa launch lebih cepat.
Governance yang buruk ada dua jenis.
Terlalu longgar, chaos.
Terlalu berat, bureaucracy.
Targetnya paved road.
Jalur standar yang aman dan cepat.
Kalau use case normal, lewat jalur.
Kalau high-risk, baru review lebih dalam.
Di perusahaan Indonesia, complexity bisa bertambah karena beberapa entity, vendor lokal, legacy system, regulatory requirement, dan kombinasi Google plus Microsoft plus custom software.
Tidak realistis satu tool menyelesaikan semua.
Maka governance harus vendor-neutral.
Principle tetap sama walaupun platform berubah.
Identity.
Access.
Data.
Risk.
Testing.
Monitoring.
Value.
Lifecycle.
Responsibility.
Kalau semua ada, tool bisa berganti.
Perusahaan tetap punya control.
Ada satu pertanyaan sederhana yang bisa dipakai CIO.
Kalau besok auditor bertanya “AI agent mana yang bisa mengubah data customer?”, bisa dijawab dalam 10 menit?
Kalau perlu kirim email ke 20 departemen dulu, governance belum matang.
Pertanyaan lain.
Kalau satu agent salah hari ini, siapa yang boleh mematikannya?
Kalau jawabannya tidak jelas, governance belum matang.
Perusahaan besar sebenarnya punya hampir semua komponen yang dibutuhkan.
IAM.
Security.
Procurement.
Risk.
Audit.
Data governance.
Change management.
Incident response.
Yang perlu dilakukan adalah memperluasnya ke AI.
Bukan membuat kerajaan baru yang terpisah.
NIST pada 2026 juga melihat prinsip cybersecurity lama tetap relevan tetapi perlu diadaptasi untuk agent.
Ini framing yang sehat.
AI memang baru.
Governance organization tidak harus dimulai dari kosong.
Tool akan terus datang.
Model baru.
Agent baru.
Vendor baru.
Kalau perusahaan menganggap setiap peluncuran sebagai proyek spesial, team akan kewalahan.
Yang dibutuhkan adalah sistem.
Inventory.
Risk tier.
Approved path.
Owner.
Monitoring.
Kill switch.
Value measurement.
Itu lebih boring daripada demo agent.
Tapi perusahaan besar jarang gagal karena kurang demo.
Mereka gagal karena terlalu banyak teknologi masuk tanpa ada yang benar-benar tahu siapa bertanggung jawab.
Pada 2026, keunggulan enterprise bukan punya tools AI paling banyak.
Keunggulannya adalah bisa memakai AI secara luas tanpa kehilangan kontrol.
Ada satu capability governance yang sering dilupakan: retirement. Agent yang tidak dipakai harus dimatikan, access dicabut, credential dihapus, dan data retention ditangani. Jangan biarkan zombie agent tetap punya permission bertahun-tahun.
Lifecycle selesai bukan saat launch. Selesai saat system benar-benar retired dengan aman.
Perusahaan juga harus punya sunset review berkala. Tool yang dulu penting bisa menjadi redundant setelah platform utama menambah fitur. Governance yang sehat tidak hanya bertanya apa yang perlu dibeli, tetapi juga apa yang sudah waktunya dihentikan supaya cost, permission, dan complexity tidak terus menumpuk.
Governance yang baik juga menjaga organisasi tetap sederhana saat teknologi terus bertambah.
Bacaan terkait
Artikel ini berada dalam Industry Intelligence dan mengikuti metodologi editorial Undercover.id. Format terkait tersedia di Reports dan analisis mendalam.