Selama beberapa tahun terakhir, diskusi tentang AI di perusahaan hampir selalu dimulai dari pertanyaan yang sama:
Apa yang bisa kita otomatisasi?
Model apa yang paling bagus?
Use case mana yang paling cepat menghasilkan efisiensi?
Bagaimana AI bisa membantu tim bekerja lebih cepat?
Pertanyaan-pertanyaan itu masih relevan.
Tapi di 2026, ada pertanyaan baru yang menurut saya semakin sulit dihindari:
Kalau AI mulai ikut mengambil keputusan, siapa yang bertanggung jawab ketika keputusan itu salah?
Pertanyaan ini menjadi semakin penting ketika AI tidak lagi hanya menghasilkan teks atau insight.
Agentic AI bisa menjalankan workflow.
Physical AI bisa berinteraksi dengan sistem di dunia nyata.
AI bisa ikut memengaruhi proses rekrutmen, procurement, approval, maintenance, quality, finance, hingga pelayanan pelanggan.
Dan ketika AI bergerak dari assistant menjadi bagian dari operating process, tata kelola tidak bisa lagi menjadi dokumen yang dibuat setelah sistem selesai dibangun.
Ia harus menjadi bagian dari desain sejak awal.
Indonesia sekarang sedang bergerak ke arah itu.
Per September 2026, pemerintah masih menyiapkan dua instrumen utama: Peta Jalan Kecerdasan Artifisial Nasional 2026–2029 dan regulasi Etika AI.
Keduanya sudah melalui pembahasan lintas kementerian dan menurut Kementerian Komunikasi dan Digital masih menunggu proses penetapan.
Jadi tulisan ini bukan penjelasan mengenai regulasi final.
Ini adalah pembacaan terhadap arah kebijakan yang sudah diumumkan pemerintah, dan apa yang menurut saya bisa mulai disiapkan perusahaan tanpa harus menunggu aturan final terbit.
Pertama: Indonesia Sebenarnya Sudah Punya Pedoman Etika AI
Pembicaraan mengenai tata kelola AI di Indonesia tidak dimulai pada 2026.
Pada Desember 2023, Kementerian Komunikasi dan Informatika menerbitkan Surat Edaran Menteri Komunikasi dan Informatika Nomor 9 Tahun 2023 tentang Etika Kecerdasan Artifisial.
Surat edaran tersebut memuat sembilan nilai utama:
- inklusivitas;
- kemanusiaan;
- keamanan;
- aksesibilitas;
- transparansi;
- kredibilitas dan akuntabilitas;
- pelindungan data pribadi;
- pembangunan dan lingkungan berkelanjutan;
- kekayaan intelektual.
Di dalamnya juga sudah terdapat beberapa prinsip yang sangat relevan dengan diskusi AI hari ini.
Misalnya kebutuhan untuk:
- menjaga privasi dan data pribadi;
- menyediakan informasi yang dapat dipertanggungjawabkan;
- memperhatikan manajemen risiko;
- mencegah kerugian terhadap pengguna;
- memastikan AI tidak menjadi penentu tunggal keputusan yang menyangkut kemanusiaan.
Artinya, arah tata kelola AI Indonesia sebenarnya sudah memiliki fondasi sebelum gelombang agentic AI menjadi sebesar sekarang.
Yang berubah di 2026 adalah tingkat kemampuan AI dan tingkat risiko yang harus dikelola.
AI bukan lagi hanya sistem yang memberi rekomendasi.
Ia mulai bisa mengeksekusi.
Karena itu pemerintah sekarang mendorong kerangka yang lebih formal dan lebih luas.
Arah Besarnya: Risk-Based Regulation
Salah satu arah yang paling jelas dari pernyataan resmi pemerintah adalah penggunaan pendekatan risk-based regulation.
Prinsipnya sederhana: tidak semua sistem AI memiliki risiko yang sama.
AI yang membantu merangkum dokumen internal tentu memiliki profil risiko berbeda dari AI yang:
- menentukan kelayakan kredit;
- mempengaruhi keputusan rekrutmen;
- mengendalikan sistem keselamatan;
- mengatur proses produksi kritis;
- memproses data kesehatan;
- mengambil tindakan finansial secara otomatis.
Karena itu kontrol seharusnya mengikuti tingkat risiko.
Semakin besar potensi dampaknya terhadap manusia, bisnis, keselamatan, data, atau hak pengguna, semakin tinggi pula ekspektasi terhadap pengawasan, transparansi, validasi, dokumentasi, keamanan, dan akuntabilitas.
Bagi saya, ini adalah arah yang masuk akal untuk perusahaan.
Karena alternatifnya ada dua ekstrem.
Ekstrem pertama: semua AI diperlakukan sama ketatnya. Ini membuat eksperimen sederhana menjadi terlalu berat.
Ekstrem kedua: semua AI dibiarkan sama bebasnya. Ini membuat use case berisiko tinggi menerima kontrol yang sama dengan chatbot internal.
Risk-based governance mencoba menghindari dua ekstrem tersebut.
Jangan Mulai dari Daftar Tools. Mulai dari Daftar Risiko.
Banyak perusahaan sekarang sudah punya puluhan penggunaan AI tanpa menyadarinya.
Marketing memakai generative AI. Finance menggunakan document extraction. HR mencoba screening assistant. Tim engineering memakai coding assistant. Customer service menggunakan chatbot. Management mencoba AI untuk membuat ringkasan dan rekomendasi. Tim operasional mungkin sedang menguji predictive maintenance atau computer vision.
Masalahnya, semua use case ini sering tumbuh dari masing-masing tim. Tidak ada satu peta bersama.
Karena itu langkah pertama menurut saya bukan membuat "AI policy" sepanjang 50 halaman.
Langkah pertama adalah membuat AI inventory.
Tanyakan:
- AI digunakan di mana saja?
- siapa pemilik use case-nya?
- model/vendor apa yang digunakan?
- data apa yang masuk ke sistem?
- keputusan apa yang dipengaruhi?
- siapa yang melihat output-nya?
- apakah AI hanya membantu, atau bisa mengeksekusi?
- kalau salah, dampaknya apa?
Tanpa inventory, governance hanya menjadi teori. Perusahaan bahkan tidak tahu apa yang sedang mereka govern.
Framework Praktis: Lima Level Risiko AI
Ini bukan klasifikasi resmi pemerintah.
Ini adalah framework praktis yang menurut saya bisa membantu perusahaan mulai memetakan use case sebelum aturan final keluar.
Level 1: Assistive
AI membantu pekerjaan tanpa memengaruhi keputusan penting.
Contoh: merangkum meeting, membuat draft email, brainstorming, translation, formatting dokumen.
Risiko relatif rendah. Kontrol utamanya biasanya: kebijakan data, confidentiality, review manusia, dan approved tools.
Level 2: Analytical
AI memberi insight atau rekomendasi yang membantu manusia mengambil keputusan.
Contoh: forecasting, anomaly detection, predictive maintenance recommendation, customer segmentation, quality analysis.
Risikonya mulai meningkat karena output dapat memengaruhi tindakan bisnis. Kontrol tambahan yang dibutuhkan: model validation, quality threshold, explainability secukupnya, monitoring, dan human review.
Level 3: Decision-Support
AI secara langsung memengaruhi keputusan yang berdampak cukup besar.
Contoh: credit scoring, procurement recommendation, candidate ranking, fraud flagging, production planning.
Pada level ini saya akan mulai bertanya: bisakah keputusan manusia terlalu bergantung pada output AI?
Kontrol yang dibutuhkan lebih kuat: clear ownership, documented decision logic, bias testing, escalation, audit trail, dan override mechanism.
Level 4: Autonomous Action
AI bukan hanya merekomendasikan. Ia melakukan tindakan.
Contoh: membeli barang, menjalankan transaksi, mengubah jadwal, membuka atau menutup akses, mengubah parameter proses, membuat work order, menjalankan workflow lintas sistem.
Di sini governance tidak lagi hanya soal output model. Kita harus mengatur authority.
Apa yang boleh dilakukan? Berapa batas nominal? Sistem apa yang boleh diakses? Tindakan apa yang membutuhkan approval? Bagaimana rollback dilakukan?
Level 5: High-Consequence Physical or Human Impact
Ini adalah use case dengan konsekuensi terbesar.
Misalnya: keselamatan, medical decision, critical infrastructure, autonomous machinery, keputusan yang memengaruhi hak atau akses seseorang, tindakan finansial dengan dampak material besar.
Untuk level ini, human oversight, fail-safe, verification, security, testing, dan accountability harus menjadi desain utama, bukan fitur tambahan.
Sekali lagi, ini bukan klasifikasi resmi regulasi Indonesia. Tapi perusahaan tidak perlu menunggu regulasi untuk mulai memahami bahwa AI untuk menulis caption tidak seharusnya diperlakukan sama dengan AI yang bisa menghentikan mesin.
Human-in-the-Loop Bukan Berarti Semua Harus Disetujui Manusia
Pemerintah beberapa kali menekankan prinsip human-centric dan human-in-the-loop dalam tata kelola AI.
Menurut saya konsep ini perlu diterjemahkan dengan hati-hati di level perusahaan.
Human-in-the-loop bukan berarti setiap output AI harus selalu diklik "approve" oleh manusia. Kalau begitu, banyak automation kehilangan manfaatnya.
Yang lebih penting adalah menentukan:
di titik mana manusia wajib mempunyai kemampuan untuk memahami, menghentikan, mengoreksi, atau mengambil alih.
Saya suka membaginya menjadi lima tahap:
observe → recommend → prepare → execute → approve
Tidak semua AI harus mendapatkan akses sampai tahap execute.
Contoh: AI boleh membaca invoice, mengekstrak data, mencocokkan invoice dengan purchase order, dan menyiapkan payment recommendation. Tetapi pembayaran di atas threshold tertentu tetap membutuhkan approval manusia.
Atau dalam konteks industri: AI boleh mendeteksi abnormal vibration, memprediksi potensi failure, dan membuat work order. Tetapi shutdown mesin kritis tetap membutuhkan otorisasi supervisor.
Governance yang baik bukan mengurangi autonomy sebanyak mungkin.
Governance yang baik adalah memberikan autonomy sebesar yang bisa dipertanggungjawabkan.
Data Governance Akan Menjadi Fondasi
Tidak ada AI governance tanpa data governance.
Ini sering terdengar membosankan dibanding membahas model AI terbaru. Tapi hampir semua masalah besar AI pada akhirnya kembali ke data.
Data apa yang dipakai? Apakah kita berhak menggunakannya? Apakah ada data pribadi? Apakah data sensitif keluar ke vendor pihak ketiga? Berapa lama data disimpan? Apakah data digunakan untuk melatih model? Siapa yang boleh mengakses? Bagaimana data dihapus? Apakah informasi yang diberikan kepada AI mengandung rahasia dagang?
Indonesia sudah memiliki Undang-Undang Pelindungan Data Pribadi, sehingga perusahaan yang menggunakan AI tidak bekerja di ruang hukum yang kosong hanya karena regulasi AI khusus belum final.
Untuk perusahaan, saya melihat minimum data governance AI setidaknya harus menjawab:
- Data classification: public, internal, confidential, personal, sensitive;
- Approved use: data mana yang boleh masuk ke AI tertentu;
- Retention: berapa lama data disimpan;
- Vendor processing: apakah vendor menyimpan atau menggunakan data;
- Access control: siapa yang boleh menggunakan sistem;
- Logging: apa yang perlu dicatat;
- Deletion: bagaimana data dan output dihapus jika dibutuhkan.
Kalau tujuh hal ini belum jelas, mungkin perusahaan belum membutuhkan model yang lebih pintar. Perusahaan membutuhkan governance yang lebih matang.
Vendor AI Harus Mulai Dievaluasi seperti Infrastruktur Penting
Sekarang banyak AI masuk ke perusahaan melalui SaaS. Satu tim membeli subscription. Tim lain mencoba plugin. Engineering memakai API. Management menggunakan workspace sendiri.
Semua terlihat sederhana karena tidak ada server yang perlu dipasang. Tapi semakin AI terhubung ke data dan workflow perusahaan, vendor AI mulai mempunyai posisi yang mirip dengan infrastructure provider.
Karena itu evaluasi vendor seharusnya tidak berhenti di: "Modelnya bagus atau tidak?"
Pertanyaan yang menurut saya jauh lebih penting:
Tentang Data
- data disimpan di mana?
- berapa lama?
- apakah digunakan untuk training?
- apakah ada opsi zero-retention?
- bagaimana data dienkripsi?
Tentang Model
- model apa yang digunakan?
- bagaimana perubahan model dikelola?
- apakah versi model bisa berubah otomatis?
- bagaimana reliability diuji?
Tentang Security
- apakah mendukung SSO?
- role-based access?
- audit log?
- API permission?
- incident notification?
Tentang Governance
- apakah output dapat ditelusuri?
- apakah manusia bisa override?
- apakah agent mempunyai scoped permission?
- apakah tindakan bisa dibatasi?
Tentang Exit
- bagaimana data diekspor?
- bagaimana integrasi dipindahkan?
- apa yang terjadi jika vendor menghentikan layanan?
AI governance tidak hanya mengatur karyawan. Ia juga mengatur ketergantungan perusahaan terhadap vendor.
Cybersecurity dan AI Governance Tidak Bisa Dipisahkan
Ini menjadi lebih penting ketika AI mulai memiliki akses ke tools.
Chatbot biasa mungkin hanya membaca informasi. Agent bisa:
- mengirim email;
- mengakses database;
- membuka ticket;
- memanggil API;
- mengubah data;
- mengeksekusi workflow.
Artinya attack surface ikut berubah.
Pada September 2026, pemerintah secara eksplisit menyoroti ancaman seperti prompt injection dan data poisoning dalam konteks tata kelola AI, serta menyatakan AI governance perlu berjalan bersama cybersecurity.
Ini penting. Karena risiko AI bukan hanya "model memberikan jawaban yang salah."
Risikonya juga: "seseorang membuat model melakukan tindakan yang seharusnya tidak boleh dilakukan."
Untuk agentic system, saya akan melihat minimal:
- least-privilege access;
- segmented credentials;
- tool allowlist;
- action limits;
- human approval untuk high-risk action;
- audit trail;
- secret management;
- adversarial testing;
- rollback;
- incident response.
Semakin banyak yang bisa dilakukan agent, semakin kuat kontrol security yang dibutuhkan.
Audit Trail: Kalau Tidak Bisa Dijelaskan Setelah Kejadian, Governance Belum Cukup
Bayangkan sebuah AI membuat keputusan yang salah enam bulan dari sekarang.
Pertanyaan yang akan muncul: Data apa yang ia lihat? Model apa yang digunakan? Prompt atau policy apa yang aktif? Siapa yang meminta tindakan? Tools apa yang dipanggil? Output apa yang dihasilkan? Siapa yang menyetujui? Apa tindakan akhirnya?
Kalau perusahaan tidak bisa menjawab pertanyaan-pertanyaan itu, investigasi akan menjadi sangat sulit.
Karena itu saya melihat auditability sebagai salah satu fondasi AI enterprise.
Tidak semua token perlu disimpan selamanya. Tidak semua prompt harus masuk database. Tapi high-impact workflow harus mempunyai jejak yang cukup agar perusahaan bisa melakukan:
- troubleshooting;
- incident review;
- accountability;
- model comparison;
- compliance verification.
AI boleh menjadi kompleks. Tapi accountability tidak boleh hilang hanya karena modelnya sulit dijelaskan.
Siapa yang Seharusnya Memiliki AI Governance?
Kalau governance hanya dimiliki legal, implementasinya bisa terlalu jauh dari teknologi.
Kalau hanya dimiliki engineering, perspektif risiko bisnis bisa hilang.
Kalau hanya dimiliki IT security, fokusnya bisa terlalu sempit pada threat.
Kalau hanya dimiliki business team, kontrol teknis mungkin tidak cukup.
Karena itu menurut saya AI governance harus lintas fungsi. Minimal ada representasi dari:
- business owner;
- technology/engineering;
- IT/security;
- legal/compliance;
- data/privacy;
- risk/internal audit jika relevan.
Tidak perlu langsung membuat "AI Governance Department". Bahkan untuk banyak perusahaan, AI Governance Working Group kecil sudah cukup sebagai awal.
Tugasnya sederhana:
- mencatat use case;
- mengklasifikasi risiko;
- menentukan control;
- menyetujui high-risk deployment;
- mengevaluasi incident;
- meng-update policy.
Governance seharusnya membantu AI bergerak lebih cepat dengan aman. Bukan menciptakan birokrasi untuk menghentikan semuanya.
Delapan Hal yang Bisa Disiapkan Perusahaan Sekarang
Kalau saya harus menyiapkan perusahaan menghadapi arah tata kelola AI Indonesia tanpa menunggu Perpres final, saya akan mulai dari delapan hal ini.
1. Buat AI Inventory
Catat semua AI yang digunakan, baik resmi maupun eksperimen.
2. Klasifikasikan Risiko
Tidak perlu sempurna. Mulai dari low, medium, high, atau framework yang lebih detail sesuai kebutuhan.
3. Tetapkan Owner
Setiap AI system harus punya pemilik bisnis dan pemilik teknis. "Ini tools tim marketing" bukan accountability model.
4. Tentukan Human Oversight
Tulis dengan jelas:
- kapan AI hanya memberi rekomendasi;
- kapan boleh mengeksekusi;
- kapan approval manusia wajib;
- siapa yang boleh override.
5. Buat Data Rules
Tentukan data apa yang boleh dan tidak boleh dimasukkan ke AI.
6. Siapkan Logging dan Audit Trail
Terutama untuk workflow yang memengaruhi keputusan atau melakukan tindakan.
7. Evaluasi Vendor
Tambahkan privacy, security, retention, training policy, portability, dan permission ke proses procurement.
8. Siapkan Incident Response
Tentukan apa yang dilakukan kalau AI bocor data, membuat tindakan salah, menghasilkan keputusan bias, digunakan pihak yang tidak berwenang, atau mengalami compromise.
Kalau delapan hal ini sudah ada, perusahaan akan jauh lebih siap menghadapi hampir semua bentuk regulasi berbasis risiko. Dan yang lebih penting: perusahaan juga akan menjadi lebih siap menggunakan AI secara serius.
Governance Bukan Lawan dari Innovation
Ada kekhawatiran yang cukup natural ketika mendengar kata "regulasi".
Apakah AI akan menjadi lebih sulit diimplementasikan? Apakah semua eksperimen harus melewati proses panjang? Apakah innovation akan melambat?
Dari arah yang diumumkan pemerintah sejauh ini, regulator justru menyatakan kerangka yang disiapkan dimaksudkan untuk tetap memberikan ruang inovasi dengan kontrol yang mengikuti tingkat risiko.
Bagi perusahaan, saya rasa prinsip yang sama bisa dipakai.
Governance yang lebih sehat menurut saya adalah:
semakin tinggi dampak dan authority AI, semakin tinggi pula kontrol yang dibutuhkan.
Chatbot internal dengan data publik bisa bergerak cepat. Agent yang mempunyai akses payment membutuhkan kontrol lebih kuat. AI yang mengendalikan proses keselamatan membutuhkan standar yang jauh lebih tinggi lagi.
Ini bukan anti-innovation. Ini membuat innovation bisa dipercaya.
Kita Sedang Masuk Fase AI yang Berbeda
Generative AI mengajarkan perusahaan bagaimana menggunakan AI untuk membantu pekerjaan.
Agentic AI mulai memberi AI kemampuan menjalankan pekerjaan.
Physical AI mulai membawa kemampuan tersebut ke dunia nyata.
Konsekuensinya jelas: pertanyaan tentang governance akan semakin dekat dengan pertanyaan tentang operasi.
Siapa yang boleh melakukan apa? Dengan data apa? Sampai batas mana? Siapa yang bertanggung jawab? Apa yang terjadi ketika sistem gagal?
Pertanyaan-pertanyaan itu dulu terdengar seperti diskusi legal atau compliance.
Sekarang itu adalah pertanyaan arsitektur.
Karena desain permission, human approval, logging, data flow, dan fail-safe semuanya harus diwujudkan dalam sistem.
Menurut saya, perusahaan yang memahami hal ini lebih awal justru akan mempunyai advantage — bukan karena mereka paling patuh, tapi karena mereka bisa memberikan AI lebih banyak responsibility tanpa kehilangan control.
Penutup: Jangan Menunggu Regulasi untuk Mulai Bertanggung Jawab
Per September 2026, regulasi AI Indonesia masih bergerak.
RPerpres Etika AI dan Peta Jalan AI Nasional 2026–2029 sudah selesai dibahas lintas kementerian, tetapi menurut informasi resmi terakhir yang saya gunakan untuk tulisan ini masih dalam proses menuju penetapan.
Detail finalnya bisa berubah. Dan kemungkinan besar kerangka ini juga akan terus berkembang karena teknologinya berkembang sangat cepat.
Tetapi perusahaan tidak perlu menunggu setiap detail final untuk memulai hal-hal fundamental:
- ketahui AI apa yang digunakan;
- ketahui datanya;
- ketahui risikonya;
- batasi authority-nya;
- pastikan manusia bisa mengambil alih;
- catat tindakannya;
- tentukan siapa yang bertanggung jawab.
Bagi saya, itu bukan sekadar persiapan compliance. Itu adalah cara membangun AI yang layak menjadi bagian dari operasi perusahaan.
Karena semakin pintar AI yang kita gunakan, satu hal justru harus semakin jelas:
siapa yang tetap memegang tanggung jawab ketika AI mulai mengambil tindakan.
Status Kebijakan Saat Artikel Disusun
Berdasarkan sumber resmi Kementerian Komunikasi dan Digital yang tersedia pada 23 September 2026:
- RPerpres Peta Jalan Kecerdasan Artifisial Nasional 2026–2029 telah selesai dibahas lintas kementerian;
- RPerpres Etika Kecerdasan Artifisial juga telah selesai dibahas lintas kementerian;
- pemerintah menyatakan keduanya masih menuju/menunggu penetapan;
- pendekatan yang diumumkan mencakup risk-based regulation;
- pemerintah menekankan prinsip human-centric dan human-in-the-loop;
- tata kelola AI diposisikan bersama pelindungan data dan cybersecurity;
- pemerintah menyampaikan bahwa Perpres AI dapat menjadi langkah awal sebelum kerangka hukum AI yang lebih komprehensif di masa depan.
Tulisan ini merupakan perspektif operasional mengenai kesiapan AI governance dan bukan nasihat hukum.