Otoritas & standar internasional: aturan AI seperti apa di Indonesia?

Di Indonesia, gelombang implementasi AI sudah terasa dari loket layanan publik hingga dashboard perbankan: chatbot menjawab keluhan warga, sistem analitik memetakan kemacetan, dan mesin skoring menilai kelayakan kredit dalam hitungan detik. Namun semakin luas pemakaian, semakin jelas pula pertanyaan yang menggelisahkan: siapa yang bertanggung jawab ketika keputusan algoritma merugikan seseorang, bagaimana cara memastikan model tidak bias, dan sejauh mana privasi pengguna terlindungi ketika data bergerak lintas vendor dan cloud? Di titik ini, pembahasan tidak lagi sekadar soal kecanggihan, melainkan soal otoritas AI, standar yang bisa diaudit, serta aturan AI yang mampu menjaga keseimbangan antara inovasi dan perlindungan publik.

Di panggung global, negara dan blok ekonomi berlomba membangun pagar pengaman melalui standar internasional dan regulasi yang menuntut transparansi, pengawasan AI, serta ketahanan siber. Indonesia pun bergerak: selain mengandalkan payung hukum yang sudah ada seperti UU Pelindungan Data Pribadi dan kerangka SPBE, pemerintah menyiapkan perangkat khusus—dari rancangan tata kelola lintas sektor hingga peta jalan nasional—agar pemanfaatan AI menjadi lebih tertib, inklusif, dan terukur. Pada saat yang sama, Badan Standardisasi Nasional (BSN) mengadopsi standar ISO/IEC menjadi SNI ISO/IEC, sehingga organisasi memiliki pedoman praktis untuk mengelola risiko, etika, dan kualitas sistem. Pertanyaannya kemudian bergeser: bentuk aturan seperti apa yang paling cocok untuk konteks Indonesia, dan bagaimana standar global itu diterjemahkan menjadi kebijakan yang bisa dijalankan di lapangan?

• Aturan AI di Indonesia mengarah pada kombinasi regulasi multisektor, peta jalan nasional, dan pemanfaatan SNI ISO/IEC sebagai pedoman teknis yang dapat diaudit.
• Standar internasional yang diadopsi menjadi SNI memberi kerangka kerja untuk manajemen AI, penilaian dampak, transparansi, anti-bias, hingga audit/sertifikasi.
• Isu yang paling sering memicu sengketa adalah keamanan data, privasi pengguna, bias, dan akuntabilitas keputusan otomatis.
• Pengawasan AI yang efektif membutuhkan peran jelas antara regulator, lembaga sertifikasi, dan mekanisme audit internal organisasi.
• Belajar dari dinamika global (AS–Tiongkok–UE) penting, tetapi kebijakan AI Indonesia harus selaras dengan kebutuhan layanan publik, UMKM, dan kesiapan SDM.

Otoritas AI dan kebijakan AI Indonesia: dari payung hukum ke tata kelola multisektor

Ketika AI mulai dipakai untuk memutuskan hal-hal yang berdampak langsung—misalnya penentuan prioritas bantuan, verifikasi identitas, atau deteksi fraud—muncul kebutuhan akan otoritas AI yang jelas. “Otoritas” di sini tidak selalu berarti satu lembaga tunggal yang mengurus semuanya, melainkan pembagian peran yang tegas: siapa menetapkan prinsip, siapa mengaudit, siapa menindak, dan siapa menyediakan jalur keberatan bagi warga. Tanpa pembagian itu, organisasi cenderung saling lempar tanggung jawab ketika terjadi insiden, terutama saat sistem dikerjakan vendor, datanya berasal dari beberapa instansi, dan model berjalan di infrastruktur pihak ketiga.

Kerangka hukum yang sudah ada sebenarnya memberi fondasi. UU Pelindungan Data Pribadi menempatkan privasi pengguna dan keamanan pemrosesan sebagai kewajiban, sementara rezim aturan digital lain seperti ITE dan praktik SPBE memengaruhi cara instansi membangun layanan. Namun AI membawa karakter baru: keputusan bisa sulit dijelaskan, pembelajaran mesin bisa berubah seiring waktu, dan risiko diskriminasi dapat muncul tanpa niat buruk. Karena itu, regulasi teknologi yang lebih spesifik untuk AI dibutuhkan agar prinsip umum dapat diterjemahkan menjadi prosedur operasional.

Dalam konteks tersebut, pemerintah melalui Kementerian Komunikasi dan Digital menyiapkan dua perangkat: satu rancangan tata kelola AI lintas sektor dan satu lagi peta jalan AI nasional. Rumusannya didorong agar bisa menjadi “kompas” bagi kementerian/lembaga serta pelaku industri: apa yang diperbolehkan, apa yang harus dihindari, dan risiko apa yang wajib dimitigasi. Peta jalan juga disusun lewat konsultasi multi pihak, melibatkan dukungan kajian dari organisasi internasional serta konsultan, sehingga perspektifnya tidak hanya administratif, tetapi juga mempertimbangkan praktik industri dan dinamika global.

Bayangkan sebuah cerita sederhana: Dina, kepala unit layanan digital di sebuah pemda, ingin memasang sistem AI untuk menyortir aduan warga dan memprioritaskan penanganan. Secara manfaat, ini menghemat waktu petugas. Namun jika algoritma lebih sering menempatkan keluhan dari wilayah tertentu sebagai “rendah prioritas” karena data historis penanganan yang timpang, dampaknya bukan sekadar teknis—ini menyentuh rasa keadilan. Di sinilah kebijakan menjadi alat untuk memaksa pertanyaan penting diajukan sebelum proyek berjalan: bagaimana data dilatih, siapa yang menguji bias, dan bagaimana warga bisa meminta peninjauan manual?

Pelajaran dari dinamika global tanpa menyalin mentah-mentah

Diskusi internasional menunjukkan bahwa tidak ada satu resep yang cocok untuk semua. Uni Eropa menekankan pendekatan berbasis risiko; negara lain menonjolkan inovasi dan pengaturan bertahap. Untuk memahami lanskap itu, pembaca dapat melihat ulasan tentang perbandingan model pengaturan di berbagai kekuatan besar melalui peta persaingan regulasi AI AS, Tiongkok, dan Uni Eropa. Di sisi lain, pendekatan UE sering menjadi rujukan ketika membahas perlindungan warga; konteksnya bisa ditelusuri lebih jauh lewat pembahasan kebijakan kecerdasan buatan di Uni Eropa.

Indonesia bisa mengambil esensi: klasifikasi risiko, kewajiban transparansi untuk sistem berdampak tinggi, dan mekanisme audit. Namun penyesuaian lokal tetap krusial, misalnya ketersediaan data kependudukan, variasi literasi digital, serta kebutuhan layanan dasar di daerah. Kebijakan yang terlalu rumit dapat membuat pemda atau UMKM “takut duluan” dan berhenti berinovasi, sementara aturan yang terlalu longgar membuat publik menanggung risiko. Insight kuncinya: kebijakan AI Indonesia harus cukup tegas untuk melindungi, namun cukup lincah untuk mendorong solusi nyata di lapangan.

Standar internasional yang diadopsi BSN: SNI ISO/IEC sebagai tulang punggung aturan AI yang bisa dijalankan

Regulasi memberi “apa yang wajib”, tetapi standar teknis memberi “bagaimana caranya”. Karena itu, langkah BSN mengadopsi standar ISO/IEC menjadi SNI ISO/IEC menjadi penting: organisasi di Indonesia—baik instansi maupun perusahaan—mendapat panduan operasional yang konkret, bisa diaudit, dan bisa dijadikan bahasa bersama saat bekerja dengan vendor. Ini juga membantu ketika proyek AI melibatkan beberapa pihak: standar menyederhanakan diskusi dari “menurut kami aman” menjadi “memenuhi kontrol dan bukti yang dipersyaratkan”.

Di lapangan, AI sering bergantung pada data skala besar. Ketika data diambil dari berbagai sumber—sensor kota, transaksi bank, rekam medis, hingga data perilaku digital—risiko kebocoran dan penyalahgunaan meningkat. Agar konteksnya terasa, pembaca dapat meninjau dinamika big data dan AI di Indonesia melalui laporan tentang big data dan AI di Indonesia, terutama bagaimana pemanfaatan data yang masif menuntut disiplin keamanan data dan pengendalian akses.

Lima standar SNI ISO/IEC yang banyak dibahas untuk tata kelola AI dapat dipetakan sebagai satu rantai: mulai dari sistem manajemen (42001), penilaian dampak (42005), transparansi (12792), penanganan bias (12791), hingga audit dan sertifikasi (42006). Jika diibaratkan membangun jembatan, 42001 adalah sistem manajemen proyek dan keselamatan; 42005 adalah studi dampak lingkungan; 12792 adalah papan informasi konstruksi; 12791 memastikan tidak ada “akses khusus” yang merugikan kelompok tertentu; dan 42006 memastikan pemeriksa independen punya kompetensi dan prosedur yang konsisten.

ISO/IEC 42001: “pabrik kebijakan” agar AI tidak jadi proyek coba-coba

SNI yang mengadopsi ISO/IEC 42001 memosisikan AI seperti sistem manajemen lain yang sudah dikenal organisasi: ada kebijakan, peran, prosedur, kontrol risiko, bukti pelaksanaan, dan siklus perbaikan. Ini penting karena banyak proyek AI gagal bukan karena modelnya jelek, tetapi karena tata kelola kacau: data tidak jelas asal-usulnya, perubahan model tidak didokumentasikan, dan tidak ada mekanisme eskalasi ketika hasil menyimpang.

Contoh sederhana: sebuah bank meluncurkan chatbot berbasis AI untuk layanan kredit. Dengan AIMS, bank wajib mendefinisikan batasan: chatbot boleh memberi simulasi, tetapi tidak boleh menyarankan “ambil pinjaman A” tanpa dasar yang dapat ditinjau. Kebijakan ini kemudian terhubung dengan kontrol etika AI, pelatihan staf, dan catatan audit. Insight kuncinya: standar membantu organisasi mengubah AI dari “fitur” menjadi sistem yang dipertanggungjawabkan.

Aturan AI berbasis penilaian dampak (ISO/IEC 42005): menjaga publik dari kerugian otomatisasi

Jika 42001 adalah kerangka kerja organisasi, maka 42005 adalah rem sebelum kendaraan melaju. Penilaian dampak AI menuntut organisasi memeriksa konsekuensi teknis dan sosial sebelum sistem dipasang, lalu mengulangnya setelah sistem berjalan. Prinsipnya sederhana: tidak boleh ada kelompok masyarakat yang dirugikan hanya karena prosesnya otomatis. Dalam dunia layanan publik dan finansial, dampak buruk bisa muncul tanpa suara—warga hanya merasa “kok ditolak terus” atau “kok selalu dianggap tidak memenuhi syarat”.

Ambil contoh rekrutmen ASN berbasis penyaringan otomatis. Tanpa penilaian dampak, model bisa menilai kandidat dari daerah tertentu lebih rendah karena pola data historis. Dengan 42005, organisasi diminta menguji asumsi: apakah data pelatihan mewakili seluruh populasi pelamar, metrik apa yang dipakai, dan apa rencana mitigasi jika ditemukan berarti ada bias sistemik. Penilaian dampak juga mendorong pelibatan pemangku kepentingan—bukan hanya tim TI, tetapi juga biro kepegawaian, pengawas internal, hingga perwakilan masyarakat.

Di sektor perbankan, sistem skoring kredit merupakan contoh lain. Keputusan kredit adalah keputusan hidup: berpengaruh pada usaha kecil, pendidikan, dan kesehatan keluarga. AI yang agresif menolak bisa memperkecil risiko bank, namun dapat memperlebar kesenjangan jika tidak ada pengawasan. Penilaian dampak membantu menguji trade-off tersebut secara transparan, misalnya dengan mengevaluasi false negative (orang layak yang ditolak) dan menetapkan jalur banding manual.

Langkah praktik penilaian dampak yang realistis untuk organisasi Indonesia

Agar 42005 tidak berhenti sebagai dokumen, organisasi perlu membangun kebiasaan kerja. Berikut daftar langkah yang sering dipakai tim tata kelola untuk membuat prosesnya operasional:

1. Memetakan tujuan sistem: keputusan apa yang diambil AI, dan batasnya di mana.
2. Menginventarisasi data: sumber, izin penggunaan, retensi, dan kontrol keamanan data.
3. Menilai risiko: dampak pada hak warga, potensi diskriminasi, dan risiko reputasi.
4. Mendesain mitigasi: human-in-the-loop, aturan eskalasi, pembatasan penggunaan, dan logging.
5. Uji pasca-implementasi: memantau drift model, komplain publik, serta anomali hasil.

Pada akhirnya, penilaian dampak adalah alat pengawasan AI yang bersifat preventif, bukan reaktif. Insight penutupnya: organisasi yang disiplin melakukan assessment biasanya lebih cepat memperbaiki sistem, karena masalah terdeteksi sebelum menjadi krisis.

Transparansi, bias, dan privasi pengguna: dari taksonomi ISO/IEC 12792 hingga penanganan bias ISO/IEC 12791

Di ruang publik, protes terhadap AI sering berbunyi sama: “sistemnya kotak hitam”. Transparansi bukan berarti membuka kode sumber ke semua orang, melainkan kemampuan menjelaskan keputusan secara masuk akal bagi pihak yang terdampak, serta menyediakan jejak audit bagi pengawas. SNI yang mengadopsi ISO/IEC 12792 menawarkan taksonomi: apa saja yang harus dijelaskan terkait data, proses model, dan alasan keluaran. Ini membantu organisasi menyusun dokumentasi yang konsisten, sehingga auditor, regulator, dan tim internal tidak berdebat dari nol setiap kali ada kasus.

Misalnya, sebuah pemda memasang CCTV dengan pengenalan wajah untuk akses gedung layanan. Tanpa transparansi, warga sulit tahu data apa yang disimpan, berapa lama, dan siapa yang bisa mengaksesnya. Dengan kerangka 12792, organisasi terdorong menjelaskan sumber data, kualitas, dan representasinya; menerangkan metode pencocokan; serta memberikan justifikasi ketika sistem menolak seseorang. Penjelasan itu juga berkaitan langsung dengan privasi pengguna: jika tujuan hanya kontrol akses, maka pengumpulan data harus proporsional dan dibatasi.

Masalah berikutnya adalah bias, yang sering muncul bukan karena niat jahat, melainkan karena data yang timpang. ISO/IEC 12791 menekankan penanganan bias yang tidak diinginkan: audit dataset, penggunaan pendekatan fairness-aware, pengujian berkelanjutan, dan keterlibatan tim multidisipliner. Bayangkan perusahaan teknologi lokal yang membangun AI customer service berbasis bahasa Indonesia. Jika data latih lebih banyak berasal dari percakapan pelanggan kota besar, sistem mungkin salah memahami dialek atau ragam bahasa daerah, lalu memicu layanan yang “terasa merendahkan” bagi pengguna di wilayah tertentu. Ini bias yang berdampak pada pengalaman publik dan persepsi keadilan layanan.

Menyeimbangkan transparansi dengan keamanan dan rahasia dagang

Sering ada kekhawatiran: semakin transparan, semakin mudah disalahgunakan atau menyingkap rahasia bisnis. Namun transparansi yang baik bisa berlapis. Untuk publik, organisasi menyediakan penjelasan tingkat tinggi: tujuan sistem, jenis data, dan hak pengguna. Untuk auditor dan regulator, disediakan dokumentasi teknis lebih dalam, termasuk metrik, hasil uji, dan catatan perubahan. Dengan struktur ini, transparansi tidak bertentangan dengan keamanan; justru memperkuat karena memaksa organisasi menyimpan bukti kontrol.

Pada fase ini, benang merah menuju topik berikutnya menjadi jelas: ketika transparansi dan anti-bias sudah didefinisikan, siapa yang memastikan semuanya benar-benar dipenuhi? Jawabannya ada pada audit dan sertifikasi yang kredibel.

Audit, sertifikasi, dan pengawasan AI: peran ISO/IEC 42006 dalam membangun kepercayaan publik

Banyak organisasi mengklaim sistemnya “aman dan etis”, tetapi klaim tanpa verifikasi jarang meyakinkan publik—terutama setelah serangkaian insiden kebocoran data dan penyalahgunaan identitas yang membuat masyarakat semakin sensitif. ISO/IEC 42006 (yang diadopsi menjadi SNI) mengatur persyaratan bagi lembaga yang memberikan audit dan sertifikasi sistem AI. Fokusnya bukan pada model tertentu, melainkan pada kualitas proses audit: konsisten, objektif, dan sesuai prinsip etika.

Proses audit yang baik biasanya dimulai dari evaluasi dokumentasi: apakah kebijakan AI ada, apakah penilaian dampak dilakukan, apakah catatan pelatihan dan pengujian lengkap, dan apakah kontrol keamanan data berjalan. Setelah itu, auditor menguji sistem: performa, akurasi, ketahanan terhadap serangan (misalnya prompt injection pada sistem generatif), serta stabilitas model ketika data berubah. Tahap penting berikutnya adalah verifikasi keberlanjutan, karena AI bukan mesin statis—model bisa drift, vendor bisa mengganti komponen, dan data bisa bertambah dengan pola baru.

Kompetensi auditor dan risiko “sertifikasi kosmetik”

Standar menekankan kompetensi auditor: tidak cukup paham kepatuhan dokumen, tetapi juga mengerti data science, etika AI, serta konteks regulasi. Tanpa itu, sertifikasi berisiko menjadi formalitas—dokumen rapi, namun praktiknya tidak berjalan. Dalam cerita tadi, Dina bisa saja menunjukkan SOP yang bagus, tetapi jika auditor tidak memeriksa log keputusan atau tidak menguji ketimpangan hasil antar wilayah, masalah utama lolos begitu saja.

Karena itu, penguatan ekosistem audit harus berjalan beriringan dengan regulasi. Sertifikasi yang kredibel memberi insentif pasar: perusahaan yang patuh lebih dipercaya, lebih mudah bekerja sama dengan pemerintah, dan lebih siap menghadapi permintaan audit dari mitra global. Pada saat yang sama, pemerintah dapat memakai hasil audit untuk menyusun prioritas pembinaan dan penegakan.

Menjembatani standar dan praktik melalui pelatihan

Di banyak organisasi, hambatannya bukan niat, melainkan kesiapan SDM dan proses. Pelatihan tata kelola TI dan standar terkait—mulai dari keamanan informasi hingga manajemen risiko—sering menjadi fondasi sebelum masuk ke sistem manajemen AI. Sebagian organisasi memilih belajar dari penyedia pelatihan dan komunitas praktik; salah satu rujukan yang sering dibicarakan pelaku industri adalah konsultasi kebutuhan pelatihan tata kelola TI dan ISO untuk memetakan gap kompetensi dan roadmap implementasi.

Jika ditarik garis besar, audit dan sertifikasi bukan “stempel”, melainkan mekanisme pengawasan AI yang membuat aturan hidup di lapangan. Insight terakhirnya: kepercayaan publik lahir bukan dari janji, tetapi dari bukti yang dapat diperiksa.