JAKARTA, CILACAP.INFO – Tata kelola AI di Indonesia bergeser dari sekadar panduan menjadi penegakan pada tahun ini. Masa transisi Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) berakhir pada Oktober 2024. Regulator kini aktif melakukan audit, dan sanksi denda hingga 2 persen dari pendapatan tahunan, ditambah ancaman pidana hingga enam tahun penjara, berlaku bagi setiap organisasi yang memproses data pribadi di Indonesia, tanpa memandang sektor.
Sektor jasa keuangan memikul pengawasan sektoral tambahan di atas ketentuan tersebut. Pada April 2025, Otoritas Jasa Keuangan (OJK) menerbitkan AI Governance Handbook bagi perbankan Indonesia, yang menetapkan siklus hidup AI dalam enam tahap dan menilainya berdasarkan tiga prinsip: akuntabilitas, pengawasan manusia, dan keandalan. Peraturan OJK Nomor 1 Tahun 2026 tentang tata kelola teknologi informasi bagi bank umum mulai berlaku pada Maret lalu. Sementara itu, rancangan Peraturan Presiden tentang Etika dan Keamanan AI, yang diperkirakan ditandatangani tahun ini dan berlaku lintas sektor ekonomi, akan memperkenalkan registri model AI nasional serta kewajiban penilaian risiko bagi sistem berisiko tinggi. Bank Indonesia mengawasi penggunaan AI pada sistem pembayaran, Komdigi menegakkan kewajiban pendaftaran PSE dan aturan lokalisasi data berdasarkan PP 71/2019, dan BSSN menetapkan standar keamanan siber.
Hasilnya, setiap perusahaan memikul eksposur UU PDP, sementara lembaga keuangan berhadapan dengan sedikitnya empat regulator tambahan yang masing-masing memiliki kewenangan penegakan tersendiri atas sistem AI yang sama.
Pada saat yang sama, eksposurnya sudah berskala besar. BSSN mencatat 3,64 miliar serangan siber dan lebih dari 56 juta data terekspos yang berdampak pada 461 organisasi. Secara global, 68 persen perusahaan melaporkan keberadaan Shadow AI, yaitu penggunaan perangkat AI oleh karyawan tanpa persetujuan tim IT, dan sebagian besar di antaranya tidak mampu menyediakan jejak audit yang sewaktu-waktu diminta regulator.
Perusahaan kini menghadapi kesenjangan dua sisi yang juga terlihat di negara lain di kawasan, dan diperuncing oleh lanskap multiregulator Indonesia. Di satu sisi, mereka tidak dapat membuktikan kepada Komdigi, atau bagi perbankan juga kepada OJK dan Bank Indonesia, bahwa sistem AI mereka memenuhi standar yang diharapkan masing-masing otoritas. Di sisi lain, mereka tidak dapat melihat risiko AI yang terbentuk di dalam perimeter mereka sendiri dengan cukup cepat untuk mendahului tenggat notifikasi insiden 72 jam.
Tampilkan Semua
