Kepatuhan AI: mengatur sistem AI dan menggunakan AI untuk pekerjaan kepatuhan

Kepatuhan AI memiliki dua pengertian: upaya berkelanjutan untuk memastikan sistem AI yang dibangun atau digunakan organisasi Anda memenuhi hukum, standar, dan kebijakan internal yang berlaku, serta penggunaan AI untuk pekerjaan kepatuhan yang rutin dan bervolume tinggi.

Artikel ini membahas kedua pengertian tersebut: risiko yang ditangani kepatuhan AI, kerangka kerja utama, cara membangun program kepatuhan, kontrol untuk agen AI, dan peran AI dalam membantu tim kepatuhan. Artikel ini ditutup dengan pertanyaan yang perlu diajukan sebelum membeli alat kepatuhan.

Apa itu kepatuhan AI?

Kepatuhan AI mengacu pada dua hal: memastikan sistem AI memenuhi aturan yang ditetapkan dalam regulasi AI, dan menggunakan AI untuk melakukan pekerjaan kepatuhan.

Dalam pengertian pertama, kepatuhan AI memastikan sistem AI mematuhi hukum, regulasi, standar etika, dan kebijakan internal di sepanjang siklus hidup AI, mulai dari data pelatihan hingga kinerja dan penggunaan.

Misalnya, Local Law 144 Kota New York mewajibkan pemberi kerja yang menggunakan alat keputusan ketenagakerjaan otomatis untuk melakukan audit bias atas alat tersebut dalam rentang satu tahun dari waktu penggunaannya, mempublikasikan informasi tentang audit tersebut, dan memberi tahu karyawan atau kandidat pekerjaan.

Pekerjaan kepatuhan regulasi AI bersifat berkelanjutan karena aplikasi AI terus diperbarui, data yang diolahnya berubah, dan regulasi terus berkembang.

Dalam pengertian kedua, tim kepatuhan menggunakan AI untuk pekerjaan rutin bervolume tinggi, seperti memantau transaksi, meninjau dokumen, dan melacak perubahan regulasi.

Misalnya, sebagian lembaga keuangan menggunakan AI untuk meninjau transaksi dan mengurangi positif palsu dalam peringatan pemantauan transaksi sebelum analis memutuskan peringatan mana yang memerlukan laporan aktivitas mencurigakan.

Kepatuhan AI vs. tata kelola AI vs. manajemen risiko AI

Ketiga istilah ini saling tumpang tindih, tetapi mencakup ranah yang berbeda: tata kelola menetapkan aturan, manajemen risiko mengidentifikasi apa yang bisa salah, dan kepatuhan memastikan aturan tersebut dipenuhi.

Mengapa kepatuhan AI penting

Mencapai kepatuhan AI membatasi paparan Anda terhadap denda, melindungi privasi orang-orang yang informasinya diproses oleh AI Anda, dan memungkinkan organisasi Anda mempertanggungjawabkan penggunaan sistem AI jika terjadi audit.

• Sanksi regulasi: Berdasarkan EU AI Act, menggunakan praktik AI yang dilarang, seperti menyimpulkan emosi karyawan di tempat kerja, dapat dikenai denda hingga €35 juta atau 7% dari omzet tahunan global. Penyedia dan penerap dapat dikenai denda hingga €15 juta atau 3% atas pelanggaran terhadap undang-undang tersebut.
• Perlindungan data: Sistem AI yang memproses data pribadi tunduk pada undang-undang perlindungan data, seperti GDPR di Uni Eropa. Ini mencakup data pelatihan, prompt, dan output yang mengandung data pribadi.
• Kesiapan audit: Catatan tentang sistem AI mana yang Anda gunakan, siapa yang menyetujuinya, dan bagaimana Anda memantaunya memungkinkan Anda memberikan pertanggungjawaban kepada regulator, auditor, dan pelanggan.

Risiko utama yang ditangani kepatuhan AI

Kepatuhan AI menangani lima risiko utama: bias algoritmik, kurangnya keterjelasan (explainability), halusinasi dalam proses yang diregulasi, privasi dan kebocoran data, serta shadow AI.

Perbesar

Berikut wujud risiko-risiko utama tersebut beserta contoh kontrol untuk mengendalikannya:

• Bias algoritmik: Model mereproduksi pola dalam data pelatihannya yang merugikan kelompok tertentu. Misalnya, alat rekrutmen dapat memberi peringkat lebih rendah kepada kandidat berdasarkan proksi usia atau etnis, seperti tahun kelulusan atau kode pos. Audit bias, yang membandingkan hasil di berbagai kelompok demografis, membantu mendeteksi pola-pola ini.
• Kurangnya keterjelasan: Organisasi tidak dapat menunjukkan bagaimana model sampai pada suatu keputusan. Jika pemberi pinjaman tidak dapat menjelaskan alasan model menolak suatu pinjaman, pemberi pinjaman tersebut tidak dapat mempertahankan hasilnya. Organisasi mencegah hal ini dengan mendokumentasikan input dan logika keputusan model, serta memilih model dengan output yang dapat ditelusuri.
• Halusinasi dalam proses yang diregulasi: Alat AI generatif menyatakan sesuatu yang keliru dengan penuh keyakinan. Misalnya, seorang pengacara dapat meminta alat AI mencarikan yurisprudensi yang mendukung suatu argumen, lalu menerima kutipan putusan pengadilan yang tidak pernah ada. Mewajibkan sumber untuk setiap output, dan meminta orang yang memenuhi kualifikasi untuk memverifikasinya, dapat menangkap kesalahan semacam itu.
• Privasi dan kebocoran data: Informasi rahasia atau informasi pelanggan sampai ke alat di luar kendali organisasi. Misalnya, seorang karyawan dapat menempelkan data pelanggan ke alat AI publik yang menyimpan input untuk melatih model berikutnya. Hanya menggunakan alat yang disetujui dengan batasan kontraktual atas pelatihan dan retensi data dapat mengurangi risiko ini.
• Shadow AI: Karyawan menggunakan alat AI yang belum disetujui organisasi atau tidak terpantau olehnya. Dalam survei Compliance Week tahun 2026, 42% peserta melaporkan adanya penggunaan AI yang tidak terkelola oleh karyawan. Solusi yang dapat diterapkan mencakup daftar alat yang disetujui disertai proses persetujuan alat AI yang cepat, serta gateway web.

Kerangka kerja utama kepatuhan AI

Kepatuhan AI berpedoman pada kerangka tata kelola AI yang mengikat, seperti EU AI Act, serta kerangka kerja sukarela, seperti NIST AI Risk Management Framework dan ISO/IEC 42001, yang membantu organisasi memenuhinya.

EU AI Act

EU AI Act (Regulation (EU) 2024/1689) menerapkan pendekatan berbasis risiko dalam regulasi AI: sebagian praktik dilarang sepenuhnya, sistem berisiko tinggi menghadapi pembatasan ketat, sedangkan sistem lainnya hanya dikenai aturan transparansi ringan. Undang-undang ini berlaku bagi penyedia dan penerap di mana pun “jika output yang dihasilkan oleh sistem AI digunakan di Uni Eropa.”

Kewajiban berdasarkan EU AI Act bergantung pada peran organisasi:

• Pihak yang mengembangkan sistem AI berisiko tinggi atau memasarkannya atas nama mereka sendiri (penyedia) wajib menyelesaikan penilaian kesesuaian, membubuhkan penandaan CE, mendaftarkan sistem tersebut, menyimpan dokumentasi teknis, dan memantaunya setelah dirilis.
• Pihak yang menggunakan sistem yang dibangun oleh pihak lain (penerap atau deployer) wajib mengikuti instruksi penyedia, menugaskan pengawasan kepada orang-orang yang memiliki “kompetensi, pelatihan, dan wewenang yang diperlukan”, menyimpan log setidaknya selama enam bulan, serta memberi tahu pekerja dan pihak lain yang terdampak oleh keputusan sistem tersebut.

Perbesar

Undang-undang ini diberlakukan secara bertahap. Ketentuan tentang praktik yang dilarang, literasi AI, dan AI serbaguna (general-purpose AI) telah berlaku sejak 2025, sedangkan kewajiban untuk sistem berisiko tinggi mulai berlaku pada 2 Desember 2027, dan pada 2 Agustus 2028 untuk AI yang tertanam dalam produk yang tercakup oleh undang-undang keselamatan produk Uni Eropa.

EN 18286:2026 tentang sistem manajemen mutu adalah standar Eropa pertama yang mendukung undang-undang ini. Penyedia yang mengikutinya dianggap telah memenuhi persyaratan manajemen mutu dalam undang-undang tersebut.

NIST AI Risk Management Framework

NIST AI RMF (Risk Management Framework), yang diterbitkan pada Januari 2023, adalah kerangka kerja sukarela Amerika Serikat yang dibangun di sekitar empat fungsi: Govern (Mengatur), Map (Memetakan), Measure (Mengukur), dan Manage (Mengelola).

Generative AI Profile dari kerangka kerja ini, yang dirilis pada Juli 2024, menerapkan kerangka kerja tersebut pada risiko AI generatif.

ISO/IEC 42001

ISO/IEC 42001 adalah standar internasional untuk sistem manajemen AI yang mencakup kebijakan, peran, dan proses yang mengatur pengembangan dan penggunaan AI secara bertanggung jawab. Sertifikasi bersifat sukarela dan diberikan oleh lembaga sertifikasi independen, bukan oleh ISO sendiri.

Sertifikat mencakup sistem manajemen organisasi, bukan produk AI tertentu.

Aturan AS dan sektoral yang berlaku untuk AI

AS tidak memiliki undang-undang AI federal tunggal. Aturan berasal dari kota, negara bagian, serta undang-undang dan regulasi yang sudah ada dan berlaku untuk AI.

Misalnya, SB26-189 di Colorado, yang mulai berlaku pada 1 Januari 2027, mengatur teknologi pengambilan keputusan otomatis, sementara undang-undang privasi, seperti California Consumer Privacy Act (CCPA) atau HIPAA, berlaku setiap kali AI memproses data yang dilindungi.

Cara membangun program kepatuhan AI

Membangun program kepatuhan AI melibatkan enam langkah: menginventarisasi sistem AI Anda, mengklasifikasikannya berdasarkan risiko, memetakan kontrol ke aturan yang berlaku, menetapkan pemilik, mendokumentasikan setiap sistem, dan memantaunya dengan catatan yang dapat diperiksa auditor.

Perbesar

Setiap langkah di bawah ini diakhiri dengan catatan yang dihasilkannya:

1. Inventarisasi setiap sistem AI. Buat daftar sistem yang dibangun, dibeli, atau digunakan organisasi Anda, termasuk fitur AI di dalam perangkat lunak yang sudah ada dan alat yang diadopsi karyawan tanpa persetujuan. Catat fungsi masing-masing sistem, siapa yang menggunakannya, dan data apa yang diaksesnya.
   Hasil: Inventaris AI.
2. Klasifikasikan setiap kasus penggunaan berdasarkan risiko. Nilai setiap sistem berdasarkan dampak buruk yang dapat ditimbulkannya, menggunakan skema seperti tingkatan risiko dalam EU AI Act. Misalnya, alat yang menetapkan premi asuransi jiwa tergolong berisiko tinggi menurut undang-undang tersebut, sedangkan alat yang merangkum rapat internal tidak.
   Hasil: Register risiko.
3. Petakan kontrol ke aturan yang berlaku. Buat daftar hukum, standar, dan kebijakan internal yang berlaku untuk setiap sistem, serta kontrol yang memenuhi setiap persyaratan kepatuhan. Misalnya, peninjauan manusia yang terdokumentasi membantu memenuhi persyaratan pengawasan manusia dalam EU AI Act untuk sistem berisiko tinggi serta anjuran NIST AI RMF tentang proses pengawasan manusia yang terdokumentasi.
   Hasil: Peta kontrol.
4. Tetapkan pemilik dan titik pengawasan manusia. Tunjuk pemilik untuk setiap sistem dan tentukan pada tahap mana seseorang meninjau output-nya. Misalnya, tim hukum dan kepatuhan bertanggung jawab atas kewajiban, tim keamanan atas kontrol teknis, pemilik bisnis atas kasus penggunaan mereka, dan satu eksekutif bertanggung jawab secara keseluruhan. Pastikan orang-orang di seluruh organisasi mengetahuinya dan bangun jalur komunikasi yang jelas.
   Hasil: Pemilik yang ditunjuk untuk setiap sistem.
5. Dokumentasikan setiap sistem. Catat tujuan, data pelatihan, pengujian, dan keterbatasan yang diketahui dari setiap sistem dalam format seperti kartu model (model card) dan penilaian dampak. Penyedia sistem berisiko tinggi juga wajib menyiapkan dokumentasi teknis sebagaimana diatur dalam Lampiran IV EU AI Act.
   Hasil: Seperangkat dokumentasi sistem.
6. Pantau, catat log, dan simpan bukti. Rancang log sebagai bukti audit sejak awal untuk menunjukkan apa yang dilakukan sistem dan siapa yang meninjaunya. EU AI Act mewajibkan sistem berisiko tinggi untuk mencatat peristiwa secara otomatis sepanjang masa pakainya. Jejak audit harus merekam:
   • Model dan versi yang digunakan
   • Input dan output, atau sampel tertentu yang telah ditentukan darinya
   • Data pelatihan atau fine-tuning
   • Titik peninjauan manusia beserta hasilnya
   • Tindakan yang dilakukan agen dan izin yang digunakannya
   • Berapa lama setiap catatan disimpan

Hasil: Catatan pemantauan dan jejak audit.

Alat kepatuhan AI khusus, seperti IBM watsonx.governance dan OneTrust AI Governance, dapat mengambil alih sebagian program ini, termasuk inventaris AI, penilaian risiko berdasarkan EU AI Act, dan dokumentasi.

Cara menyetujui alat AI yang dapat digunakan karyawan

Sebelum menyetujui alat AI, periksa empat hal berikut:

• Akses data: File, sistem, dan basis pengetahuan terhubung mana yang dapat dibaca oleh alat tersebut, dan apakah semuanya menyimpan data pribadi yang dapat terekspos olehnya.
• Pelatihan dengan input: Apakah vendor menggunakan prompt, file, atau output untuk melatih modelnya, dan apakah kontrak Anda dengan vendor melarang hal tersebut.
• Retensi: Berapa lama vendor menyimpan prompt, file, dan riwayat percakapan, serta apakah Anda dapat mempersingkatnya.
• Hosting dan transfer: Di mana vendor menyimpan dan memproses data, termasuk transfer ke luar wilayah Anda.

Kontrol kepatuhan untuk agen AI

Agen AI memerlukan lebih banyak kontrol dibandingkan alat chat karena agen menentukan langkahnya sendiri dan bertindak melalui alat serta izin yang diberikan kepadanya. Tiga kontrol berikut menjaganya tetap terkendali:

• Akses dengan hak istimewa minimum (least privilege): Berikan agen hanya alat dan izin yang dibutuhkan tugasnya. Excessive Agency, yaitu kondisi ketika agen dapat melakukan lebih dari yang dibutuhkan tugasnya, merupakan salah satu risiko keamanan teratas menurut OWASP Top 10 for LLM Applications 2026.
• Log untuk setiap tindakan: Catat setiap panggilan alat, data yang diakses, dan izin yang digunakan, untuk menelusuri apa yang dilakukan agen dan untuk siapa.
• Persetujuan manusia untuk tindakan berdampak tinggi: Wajibkan seseorang untuk mengonfirmasi langkah yang mengirim data ke luar organisasi, memindahkan uang, atau tidak dapat dibatalkan.

Cara AI digunakan dalam pekerjaan kepatuhan

Tim kepatuhan dan manajemen risiko menggunakan AI untuk memantau kontrol, menilai risiko, melacak perubahan regulasi, meninjau dokumen, dan memilah peringatan kejahatan keuangan.

Dalam survei Compliance Week tahun 2026 terhadap 193 pemimpin bidang kepatuhan, etika, risiko, dan audit, lebih dari 83% menyatakan menggunakan AI, dan hampir 40% menyatakan perusahaan mereka telah menerapkannya untuk penilaian dan pemantauan risiko.

Kasus penggunaan AI yang umum dalam kepatuhan meliputi:

• Pemantauan kepatuhan berkelanjutan dan pengumpulan bukti: AI menjalankan pemeriksaan dan mengumpulkan bukti bahwa pemeriksaan tersebut berjalan efektif (misalnya, inspeksi keselamatan peralatan yang terlambat di sebuah pabrik).
• Penilaian dan prioritisasi risiko: AI memeringkat unit bisnis atau pihak ketiga berdasarkan risiko (misalnya, pemasok dengan paparan sanksi atau litigasi baru).
• Pemantauan perubahan regulasi: AI melacak publikasi regulator dan merangkum perubahannya (misalnya, revisi pedoman antisuap yang menurunkan batas nilai hadiah dalam kebijakan pengeluaran).
• Peninjauan dokumen dan kebijakan: AI membandingkan kontrak dan kebijakan dengan persyaratan (misalnya, kontrak pemasok tanpa klausul hak audit).
• Penyaringan kejahatan keuangan: AI memilah peringatan pemantauan transaksi dan pemeriksaan pelanggan (misalnya, kecocokan nama dalam daftar sanksi yang ternyata merujuk pada orang lain).

AI yang digunakan untuk kepatuhan memerlukan tata kelola yang sama seperti sistem AI lainnya. Seperti yang dinyatakan Financial Conduct Authority Inggris pada Oktober 2026, “perusahaan bertanggung jawab atas sistem AI yang mereka kembangkan, beli, dan terapkan – termasuk output dan hasilnya”, dan otoritas tersebut memperingatkan agar peninjauan manusia tidak dijadikan “sekadar formalitas ‘centang kotak’”.

Dalam praktiknya, alat AI dapat menangani tugas rutin seperti pengumpulan bukti atau penandaan perubahan regulasi, tetapi tidak untuk keputusan yang membawa tanggung jawab hukum, seperti memutuskan apakah akan melaporkan aktivitas mencurigakan atau cara merancang kebijakan.

Kontrol data di Perplexity Enterprise

Perplexity Enterprise memberi administrator kontrol atas pelatihan pada input, akses data, dan retensi:

• Tidak ada pelatihan dengan data Anda: Perplexity tidak pernah menggunakan konten perusahaan untuk melatih model AI-nya, dan perjanjiannya dengan penyedia model pihak ketiga melarang mereka melatih model dengan konten tersebut.
• Kontrol akses: SSO, SCIM, dan izin berbasis peran menentukan siapa yang dapat mengunggah file dan membagikan jawaban.
• Retensi dan log audit: File yang dilampirkan ke sesi dihapus setelah tujuh hari. Organisasi dengan 50 lisensi atau lebih, atau setidaknya satu lisensi Enterprise Max, juga dapat mengatur retensi sesi dan menerima log audit aktivitas pengguna.
• Sertifikasi: Perplexity bersertifikat SOC 2 Type II, mematuhi GDPR, dan mengizinkan penggunaan dengan informasi kesehatan yang dilindungi hanya berdasarkan Business Associate Agreement yang telah ditandatangani.

Untuk panduan mengenai kontrol ini, hubungi tim Penjualan kami untuk menjadwalkan demo yang dipersonalisasi.

Pertanyaan yang sering diajukan

Apa itu kepatuhan AI Uni Eropa?

Kepatuhan AI Uni Eropa berarti memenuhi kewajiban EU AI Act sesuai peran Anda (penyedia atau penerap) dan tingkat risiko setiap sistem. Kewajiban tersebut berlaku secara bertahap, dengan kewajiban untuk sistem berisiko tinggi mulai berlaku pada 2 Desember 2027.

Apa itu AI yang patuh HIPAA?

AI yang patuh HIPAA adalah alat yang digunakan sesuai perlindungan HIPAA untuk informasi kesehatan yang dilindungi. Jika vendor menyimpan atau memproses informasi tersebut, Departemen Kesehatan dan Layanan Kemanusiaan AS mewajibkan Business Associate Agreement yang ditandatangani terlebih dahulu.

Apakah EU AI Act berlaku untuk perusahaan AS?

Ya. AI Act mencakup perusahaan AS yang menempatkan sistem AI di pasar Uni Eropa dan perusahaan yang output AI-nya digunakan di Uni Eropa.

Bisakah AI menggantikan petugas kepatuhan?

AI tidak dapat menggantikan petugas kepatuhan. Organisasi bertanggung jawab atas pekerjaan mereka, dan teknologi AI dapat membuat kesalahan, sehingga petugas kepatuhan tetap perlu memeriksa dengan cermat dan menyetujui output AI.