EU AI Act dan Persiapan Bisnis Indonesia

Pembuka: regulasi AI mulai menjadi urusan bisnis, bukan hanya urusan legal

Beberapa tahun terakhir, banyak bisnis di Indonesia mulai memakai AI untuk hal yang sangat praktis: membuat konten, merangkum dokumen, melayani pelanggan, menyaring kandidat, menganalisis data penjualan, sampai mengotomasi alur kerja internal.

Di tahap awal, diskusinya sering berhenti di pertanyaan teknis: model apa yang dipakai, biayanya berapa, dan hasilnya seberapa cepat. Namun EU AI Act menunjukkan arah baru: AI tidak lagi hanya dilihat sebagai alat produktivitas, tetapi juga sebagai sistem yang perlu dikelola risikonya.

Artikel ini bukan menyatakan bahwa EU AI Act berlaku langsung di Indonesia. Fokusnya adalah membaca sinyal regulasi dari Uni Eropa dan menyiapkan langkah awal yang masuk akal bagi perusahaan, profesional, UMKM, dan bisnis Indonesia yang memakai atau membangun sistem AI.

Fakta dari sumber: apa itu EU AI Act?

Menurut halaman resmi European Commission tentang AI Act, EU AI Act atau Regulation (EU) 2024/1689 adalah kerangka hukum komprehensif untuk AI yang menggunakan pendekatan berbasis risiko. Tujuannya adalah mendorong AI yang dapat dipercaya, melindungi keselamatan, hak fundamental, dan tetap mendukung inovasi.

Pendekatannya tidak menganggap semua AI berbahaya. Justru regulasi ini membedakan tingkat risiko: ada penggunaan AI yang dilarang, ada sistem berisiko tinggi yang harus memenuhi kewajiban ketat, ada kewajiban transparansi untuk kasus tertentu, dan ada sistem risiko rendah yang relatif lebih ringan.

Dari FAQ resmi Navigating the AI Act, cakupan EU AI Act juga tidak hanya menyasar aktor di dalam Uni Eropa. Aturan ini dapat relevan bagi aktor publik maupun privat di luar Uni Eropa jika mereka menempatkan sistem AI atau model general-purpose AI di pasar Uni Eropa, atau menggunakan sistem AI dalam konteks Uni Eropa.

Dengan kata lain, dampaknya bisa bersifat ekstrateritorial dalam skenario tertentu.

Timeline penting EU AI Act secara ringkas

Berikut garis besar timeline yang perlu dipantau bisnis Indonesia, terutama jika memiliki pelanggan, mitra, investor, pengguna, atau operasi yang bersinggungan dengan Uni Eropa:

Waktu	Perkembangan yang perlu diperhatikan
2024	EU AI Act menjadi kerangka hukum AI komprehensif Uni Eropa melalui Regulation (EU) 2024/1689.
2 Februari 2025	Sejumlah praktik AI yang dianggap tidak dapat diterima mulai dilarang, termasuk bentuk manipulasi berbahaya, eksploitasi kerentanan, social scoring, dan beberapa penggunaan biometrik tertentu.
2 Agustus 2025	Kewajiban tertentu untuk general-purpose AI mulai menjadi perhatian, terutama bagi penyedia model berskala besar.
2 Agustus 2026	Banyak kewajiban utama mulai berlaku lebih luas, termasuk kewajiban transparansi tertentu untuk konten AI sebagaimana dibahas dalam Article 50.
2 Agustus 2027	Beberapa kewajiban untuk kategori high-risk tertentu berlanjut sesuai klasifikasi dan konteks penggunaannya.

Timeline ini penting bukan karena semua bisnis Indonesia otomatis masuk cakupan, melainkan karena regulasi besar biasanya memengaruhi standar kontrak, due diligence, procurement, dan ekspektasi pasar global.

Kewajiban bertahap: dari risiko sampai transparansi

1. Praktik yang dilarang

Sumber resmi European Commission menyebut bahwa EU AI Act melarang sejumlah praktik AI yang dianggap menjadi ancaman jelas terhadap keselamatan, kehidupan, dan hak manusia. Contohnya mencakup manipulasi atau penipuan berbasis AI yang merugikan, eksploitasi kerentanan, social scoring, serta beberapa penggunaan pengenalan emosi atau identifikasi biometrik dalam konteks tertentu.

Bagi bisnis Indonesia, poin ini dapat menjadi panduan etis awal: jika sebuah fitur AI memanipulasi pengguna, menyamarkan keputusan sensitif, atau mengeksploitasi kelompok rentan, risikonya bukan hanya teknis, tetapi juga reputasi dan kepatuhan.

2. Sistem AI berisiko tinggi

EU AI Act memberikan perhatian khusus pada sistem high-risk. Contoh yang sering relevan secara bisnis adalah AI untuk rekrutmen, akses layanan penting, evaluasi kelayakan, pendidikan, atau keputusan yang dapat berdampak besar pada kehidupan seseorang.

Jika perusahaan Indonesia membangun produk seperti AI screening CV, scoring kandidat, sistem penilaian kredit, atau otomasi keputusan layanan, sebaiknya sejak awal menyiapkan dokumentasi, pengawasan manusia, pencatatan keputusan, dan evaluasi risiko.

3. General-purpose AI dan model generatif

FAQ resmi EU AI Act membedakan antara sistem AI dan general-purpose AI model. Model general-purpose dapat digunakan untuk banyak tujuan, termasuk menjadi fondasi layanan generatif seperti chatbot, asisten coding, atau generator konten.

Untuk banyak perusahaan Indonesia, posisi paling umum mungkin bukan sebagai pembuat model besar, tetapi sebagai pengguna atau integrator. Meski begitu, perusahaan tetap perlu memahami vendor yang dipakai: model apa yang digunakan, data apa yang diproses, lokasi pemrosesan, mekanisme keamanan, dan apakah output AI dapat diaudit.

4. Transparansi konten AI

Halaman resmi Code of Practice on Transparency of AI-Generated Content menjelaskan bahwa kewajiban transparansi terkait Article 50 mencakup penandaan dan pelabelan konten yang dihasilkan atau dimanipulasi AI. Kewajiban ini ditujukan untuk mengurangi risiko penipuan, manipulasi, dan gangguan integritas informasi.

Sumber tersebut juga menyebut bahwa kewajiban transparansi Article 50 berlaku mulai 2 Agustus 2026. Code of Practice bersifat sukarela sebagai alat bantu kepatuhan, tetapi kewajiban transparansinya tetap merupakan kewajiban hukum dalam konteks EU AI Act.

Untuk bisnis Indonesia, ini relevan bagi tim marketing, media, edukasi, e-commerce, customer support, dan produk digital yang menggunakan konten sintetis, deepfake, avatar AI, atau teks publikasi yang dibuat dengan AI.

Dampak potensial bagi perusahaan Indonesia

EU AI Act tidak otomatis menjadi hukum nasional Indonesia. Namun dampaknya dapat terasa lewat empat jalur.

Pertama, perusahaan Indonesia yang menjual produk AI ke pelanggan Uni Eropa dapat diminta memenuhi standar EU AI Act. Ini bisa terjadi melalui klausul kontrak, procurement, audit vendor, atau due diligence.

Kedua, perusahaan yang menggunakan layanan AI untuk memproses data pengguna Uni Eropa perlu lebih berhati-hati. Risiko tidak hanya muncul dari model AI, tetapi juga dari alur data, dokumentasi consent, lokasi pemrosesan, dan kemampuan menjelaskan penggunaan AI.

Ketiga, profesional Indonesia seperti software engineer, product manager, data scientist, AI consultant, dan freelancer bisa terkena ekspektasi baru dari klien internasional. Klien mungkin meminta AI risk assessment, dokumentasi model, log penggunaan, atau bukti human oversight.

Keempat, UMKM yang memakai AI untuk pemasaran, katalog produk, chatbot, atau otomasi operasional mungkin belum terkena kewajiban berat. Namun mereka tetap perlu membangun kebiasaan dasar: jangan mengunggah data sensitif sembarangan, beri label jika konten sangat bergantung pada AI, dan simpan catatan penggunaan alat AI yang penting.

Indonesia sebaiknya tidak menunggu sampai regulasi datang

Saya melihat bahwa cepat atau lambat, aturan mengenai AI, automation, dan computer use kemungkinan akan diterapkan lebih luas di berbagai pemerintahan, termasuk Indonesia. Ini bukan klaim bahwa EU AI Act sudah berlaku di Indonesia, melainkan refleksi dari arah global.

Saat teknologi mulai mengambil peran dalam keputusan, pembuatan konten, pelayanan publik, rekrutmen, kredit, pendidikan, dan administrasi, regulator akan menanyakan hal yang sama: siapa yang bertanggung jawab, data dari mana, keputusan dibuat bagaimana, apakah manusia masih mengawasi, dan apakah ada jejak audit?

Karena itu, memulai persiapan lebih awal adalah langkah terbaik. Bukan untuk membuat bisnis menjadi lambat, tetapi agar adopsi AI tetap bisa tumbuh tanpa meninggalkan risiko hukum, keamanan, dan reputasi.

Checklist persiapan awal untuk bisnis Indonesia

1. Buat AI inventory

Catat semua penggunaan AI di perusahaan. Mulai dari yang sederhana seperti ChatGPT untuk drafting email, Copilot untuk coding, AI image generator untuk marketing, sampai model internal untuk scoring atau rekomendasi.

Minimal catat:

nama tools atau model;
pemilik proses bisnis;
tujuan penggunaan;
jenis data yang dimasukkan;
output yang dihasilkan;
apakah output memengaruhi keputusan penting;
vendor atau platform yang digunakan.

AI inventory adalah fondasi governance. Tanpa inventaris, perusahaan tidak tahu risiko mana yang harus dikendalikan.

2. Bangun data provenance

Data provenance berarti mengetahui asal-usul data: dari mana data diperoleh, siapa yang boleh menggunakannya, untuk tujuan apa, dan apakah ada batasan lisensi atau privasi.

Ini penting untuk training data, prompt, dokumen internal yang diunggah ke AI tools, dataset customer, serta konten yang dipakai untuk fine-tuning.

Prinsip praktisnya: jika asal data tidak jelas, jangan masukkan ke proses AI yang kritikal.

3. Terapkan human oversight

Untuk proses yang berdampak pada manusia, AI sebaiknya tidak menjadi pengambil keputusan tunggal. Harus ada manusia yang meninjau, memahami konteks, dan bisa membatalkan atau mengoreksi hasil AI.

Contoh area yang perlu pengawasan manusia:

screening kandidat kerja;
rekomendasi kredit atau kelayakan layanan;
moderasi akun pengguna;
diagnosis atau saran kesehatan;
keputusan administratif yang berdampak pada hak pengguna.

4. Siapkan logging dan audit trail

Logging bukan hanya urusan teknis. Dalam konteks AI governance, log membantu menjawab: input apa yang diberikan, model apa yang digunakan, output apa yang muncul, siapa yang menyetujui, dan kapan keputusan dibuat.

Untuk sistem internal, logging dapat dimulai dari level sederhana: versi model, timestamp, user ID internal, prompt atau ringkasan input, output, dan tindakan lanjutan.

Audit trail akan berguna saat ada komplain pengguna, audit klien, investigasi insiden, atau evaluasi kualitas model.

5. Buat aturan disclosure

Disclosure berarti memberi tahu pengguna ketika mereka berinteraksi dengan AI atau ketika konten tertentu dibuat/dimodifikasi oleh AI, terutama jika berpotensi menyesatkan.

Contoh sederhana:

label “dibantu AI” pada artikel atau gambar tertentu;
pemberitahuan bahwa chatbot bukan manusia;
penjelasan bahwa rekomendasi bersifat otomatis dan dapat ditinjau;
label untuk konten sintetis atau deepfake.

Ini sejalan dengan arah transparansi yang terlihat dalam EU AI Act, terutama terkait konten AI-generated.

6. Tulis SOP penggunaan AI

SOP tidak perlu rumit di awal. Yang penting jelas dan bisa dipakai tim.

SOP minimal dapat mencakup:

data apa yang boleh dan tidak boleh dimasukkan ke AI tools;
use case yang perlu approval;
kewajiban review manusia;
aturan penggunaan output AI untuk publikasi;
mekanisme eskalasi jika AI menghasilkan output berbahaya;
standar keamanan akun dan akses vendor.

7. Lakukan vendor assessment

Banyak bisnis tidak membangun model sendiri, tetapi memakai API atau SaaS AI. Karena itu, vendor assessment menjadi penting.

Pertanyaan awal untuk vendor:

apakah data pelanggan dipakai untuk training;
di mana data diproses dan disimpan;
apakah ada retention policy;
apakah tersedia log dan export data;
apakah vendor mendukung kontrol akses;
apakah ada dokumentasi keamanan dan kepatuhan;
bagaimana vendor menangani insiden.

8. Klasifikasikan risiko use case

Tidak semua penggunaan AI perlu kontrol yang sama. Membuat draft caption media sosial jelas berbeda dengan AI yang menyaring kandidat kerja.

Buat klasifikasi sederhana:

risiko rendah: brainstorming, drafting internal, ringkasan non-sensitif;
risiko menengah: konten publik, chatbot customer support, rekomendasi operasional;
risiko tinggi: keputusan yang berdampak pada hak, akses layanan, pekerjaan, keuangan, kesehatan, atau keselamatan.

Dengan klasifikasi ini, perusahaan bisa fokus pada area yang benar-benar penting.

Penutup: persiapan kecil hari ini bisa menghindari biaya besar besok

EU AI Act memberi sinyal bahwa masa depan AI bukan hanya soal performa model. Bisnis akan semakin ditanya tentang tata kelola, transparansi, asal data, pengawasan manusia, dan jejak audit.

Untuk perusahaan Indonesia, langkah terbaik bukan panik atau menunda adopsi AI. Langkah terbaik adalah mulai membangun kebiasaan governance sejak awal: inventarisasi AI, pahami data, dokumentasikan keputusan, nilai vendor, dan beri ruang bagi manusia untuk mengawasi sistem otomatis.

Regulasi mungkin datang bertahap. Tetapi saat regulasi datang, perusahaan yang sudah punya fondasi akan bergerak lebih tenang daripada perusahaan yang baru sadar bahwa AI mereka tidak pernah dicatat, tidak pernah diaudit, dan tidak jelas siapa yang bertanggung jawab.

Referensi

Judul: AI Act
Media/Penerbit: European Commission — Shaping Europe’s Digital Future
URL: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
Tanggal publish: Tidak terverifikasi dari cuplikan sumber.
Judul: Navigating the AI Act
Media/Penerbit: European Commission — Shaping Europe’s Digital Future
URL: https://digital-strategy.ec.europa.eu/en/faqs/navigating-ai-act
Tanggal publish: Tidak terverifikasi dari cuplikan sumber.
Judul: Code of Practice on Transparency of AI-Generated Content
Media/Penerbit: European Commission — Shaping Europe’s Digital Future
URL: https://digital-strategy.ec.europa.eu/en/policies/code-practice-ai-generated-content
Tanggal publish sumber: 10 Juni 2026.
Judul: Digital Omnibus on AI Regulation Proposal
Media/Penerbit: European Commission — Shaping Europe’s Digital Future
URL: https://digital-strategy.ec.europa.eu/en/library/digital-omnibus-ai-regulation-proposal
Tanggal publish sumber: 19 Januari 2026.
Judul: Regulation (EU) 2024/1689 — Artificial Intelligence Act
Media/Penerbit: EUR-Lex / Official Journal of the European Union
URL: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
Tanggal publish sumber: 12 Juli 2024.