--- title: "Tata Kelola AI di Perusahaan: Panduan Lengkap" description: "Susun kebijakan AI internal, klasifikasi data, kepatuhan UU PDP, penilaian vendor, register risiko, dan log audit, dengan acuan EU AI Act, NIST, ISO 42001." url: "https://nivelva.com/insight/panduan-tata-kelola-ai-perusahaan" category: "AI \u0026 Otomasi" tags: ["tata kelola ai","kebijakan ai","uu pdp","iso 42001","nist ai rmf","eu ai act"] author: "Theresia Candiawan" published: "2026-11-07T12:06:00+07:00" updated: "2026-11-07T12:06:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Tata Kelola AI di Perusahaan: Panduan Lengkap > **Jawaban singkat:** Tata kelola AI adalah aturan dan proses yang memastikan AI di perusahaan dipakai dengan aman, sah, dan bisa dipertanggungjawabkan. Intinya: kebijakan pemakaian, klasifikasi data, kepatuhan UU PDP, penilaian vendor, register risiko, pengawasan manusia, dan log audit. Tata kelola AI adalah kumpulan aturan, peran, dan proses yang menentukan bagaimana perusahaan memilih, memakai, dan mengawasi sistem AI. Tujuannya bukan memperlambat inovasi, tetapi memastikan setiap pemakaian AI aman bagi data, sah di mata hukum, dan jelas siapa yang bertanggung jawab ketika ada yang salah. Panduan ini untuk direksi, tim legal dan kepatuhan, kepala IT, serta manajer yang mendapati stafnya sudah memakai AI setiap hari, sering tanpa aturan tertulis. Isinya mencakup kebijakan internal, klasifikasi data, kewajiban UU Pelindungan Data Pribadi, penilaian vendor, register risiko, pengawasan manusia, log audit, dan rujukan kerangka global. Panduan ini bukan nasihat hukum; untuk keputusan kepatuhan yang spesifik, libatkan penasihat hukum perusahaan. ## Kenapa perusahaan butuh tata kelola AI sekarang? Pemakaian AI di kantor biasanya tumbuh dari bawah. Seorang staf mencoba asisten AI untuk merangkum laporan, lalu temannya ikut memakai untuk membalas email pelanggan, lalu ada yang menempelkan data penjualan untuk dianalisis. Semua itu terjadi sebelum ada yang bertanya: data apa yang boleh keluar, dan siapa yang memeriksa hasilnya? Tanpa tata kelola, risikonya nyata: data pelanggan masuk ke layanan yang tidak dinilai keamanannya, keputusan diambil berdasarkan jawaban AI yang keliru, dan perusahaan tidak bisa menjelaskan kepada regulator atau pelanggan bagaimana keputusan itu dibuat. Tata kelola yang baik justru mempercepat adopsi, karena staf tahu batasnya dan tidak perlu menebak-nebak. ## Komponen utama tata kelola AI Sebelum masuk ke detail, berikut peta komponennya. | Komponen | Pertanyaan yang dijawab | Pemilik yang umum | |:--|:--|:--| | Kebijakan pemakaian | Alat apa yang boleh dipakai, untuk apa, dengan data apa? | Manajemen + IT + legal | | Klasifikasi data | Data mana yang boleh masuk ke sistem AI? | Pemilik data + keamanan informasi | | Kepatuhan hukum | Kewajiban apa yang berlaku, termasuk UU PDP? | Legal / pejabat pelindungan data | | Penilaian vendor | Apakah penyedia AI memenuhi standar keamanan dan kontrak kita? | Pengadaan + IT + legal | | Register risiko | Risiko apa saja dari setiap sistem AI dan bagaimana dikendalikan? | Manajemen risiko | | Pengawasan manusia | Kapan manusia wajib memeriksa atau memutuskan? | Pemilik proses bisnis | | Log dan audit | Bisakah kita menelusuri apa yang terjadi? | IT + audit internal | ## Apa isi kebijakan pemakaian AI internal? Kebijakan pemakaian adalah dokumen pertama yang sebaiknya ada. Tidak perlu panjang, tetapi harus jelas dan mudah dibaca semua staf. Isi minimal yang perlu dicakup: - **Alat yang disetujui.** Daftar layanan atau aplikasi AI yang boleh dipakai untuk pekerjaan, beserta jenis akunnya (misalnya akun perusahaan, bukan akun pribadi). - **Pemakaian yang dilarang.** Contohnya memasukkan data rahasia ke layanan yang belum disetujui, atau memakai AI untuk keputusan tentang karyawan dan pelanggan tanpa pemeriksaan manusia. - **Aturan data.** Mengacu ke klasifikasi data perusahaan: kelas mana yang boleh, yang boleh dengan syarat, dan yang dilarang. - **Kewajiban memeriksa.** Hasil AI adalah draf. Pengguna tetap bertanggung jawab atas apa yang dikirim atau diputuskan. - **Keterbukaan.** Kapan pelanggan atau pihak luar perlu diberi tahu bahwa konten atau layanan dibantu AI. - **Cara melapor.** Saluran untuk melaporkan insiden, misalnya data terkirim ke tempat yang salah atau AI memberi jawaban berbahaya. > **Tips:** > > Lampirkan contoh konkret di kebijakan: "Boleh: merangkum notulen rapat internal di alat yang disetujui. Tidak boleh: menempelkan daftar pelanggan beserta nomor HP ke chatbot publik." Contoh jauh lebih mudah diingat daripada definisi. ## Data apa yang boleh masuk ke sistem AI? Klasifikasi data adalah fondasi semua aturan lain. Banyak perusahaan sudah punya klasifikasi untuk keamanan informasi; yang perlu dilakukan adalah menambahkan aturan khusus AI. Contoh pembagian yang umum dipakai: 1. Publik: informasi yang sudah atau boleh dipublikasikan. Boleh dipakai di alat AI yang disetujui. 2. Internal: informasi kerja sehari-hari yang tidak untuk publik. Boleh di alat AI yang sudah dinilai dan punya ketentuan data yang memadai. 3. Rahasia: strategi, kontrak, kode sumber, data keuangan sensitif. Hanya di sistem AI yang dikendalikan perusahaan atau dengan kontrak khusus. 4. Data pribadi: data yang mengidentifikasi orang, terutama data pribadi yang bersifat spesifik. Tunduk pada UU PDP dan butuh dasar pemrosesan yang sah. Untuk data rahasia, sebagian perusahaan memilih menjalankan antarmuka chat dan model AI di server sendiri agar data tidak keluar dari lingkungan yang mereka kendalikan. Contoh pendekatannya dibahas di [Open WebUI: chat AI di server sendiri](https://nivelva.com/insight/open-webui-chatgpt-sendiri). ## Kewajiban UU PDP yang menyentuh AI Di Indonesia, pemrosesan data pribadi diatur Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang ditetapkan dan diundangkan pada 17 Oktober 2022. Undang-undang ini memberi masa penyesuaian dua tahun bagi pengendali dan prosesor data, yang berakhir pada Oktober 2024. Beberapa hal yang paling sering bersinggungan dengan AI: - **Peran pengendali dan prosesor.** Perusahaan yang menentukan tujuan pemrosesan adalah pengendali. Vendor AI yang memproses data atas perintahmu umumnya berperan sebagai prosesor. Peran ini perlu jelas dalam kontrak. - **Data pribadi yang bersifat spesifik.** UU PDP menggolongkan antara lain data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi sebagai data spesifik. Memakai data jenis ini dalam sistem AI butuh kehati-hatian ekstra. - **Penilaian dampak.** UU PDP mewajibkan penilaian dampak pelindungan data pribadi untuk pemrosesan yang berisiko tinggi, termasuk pengambilan keputusan otomatis yang berdampak hukum atau signifikan bagi subjek data. - **Hak subjek data.** Subjek data punya sejumlah hak, termasuk terkait keputusan yang diambil semata-mata berdasarkan pemrosesan otomatis. - **Pemberitahuan kegagalan pelindungan.** Bila terjadi kegagalan pelindungan data pribadi, pengendali wajib menyampaikan pemberitahuan tertulis paling lambat 3x24 jam kepada subjek data dan lembaga yang berwenang. Bagaimana dengan aturan khusus AI di Indonesia? Per informasi resmi JDIH Komdigi tertanggal 6 Mei 2026, pembahasan antarkementerian untuk dua rancangan Peraturan Presiden, yaitu tentang Etika Kecerdasan Artifisial dan Peta Jalan Kecerdasan Artifisial Nasional 2026 sampai 2029, sudah selesai dan akan diajukan kepada Presiden untuk ditetapkan. Per 4 November 2026, belum ada informasi resmi yang memastikan keduanya sudah ditetapkan, jadi cek status terbarunya di JDIH Komdigi. ## Bagaimana menilai vendor AI sebelum dipakai? Setiap layanan AI yang menerima data perusahaan perlu dinilai, sama seperti vendor perangkat lunak lain. Pertanyaan yang perlu dijawab vendor: - Apakah data yang dikirim dipakai untuk melatih model, dan bisakah dimatikan? - Berapa lama data dan log disimpan, dan di negara mana? - Sertifikasi atau laporan audit keamanan apa yang dimiliki? - Apakah ada kontrak pemrosesan data yang menjelaskan peran dan kewajiban? - Bagaimana prosedur mereka bila terjadi kebocoran? - Fitur administrasi apa yang tersedia: SSO, pengaturan hak akses, log aktivitas? - Bagaimana cara mengekspor dan menghapus data bila kontrak berakhir? Simpan hasil penilaian dalam satu format yang sama agar mudah dibandingkan. Ulangi penilaian ketika vendor mengubah ketentuan layanannya atau ketika kamu memakai fitur baru yang mengirim lebih banyak data. ## Register risiko dan pengawasan manusia Register risiko AI adalah daftar setiap sistem AI yang dipakai perusahaan, lengkap dengan risiko dan pengendaliannya. Satu baris per sistem sudah cukup untuk memulai. Kolom yang berguna: nama sistem, pemilik, tujuan, jenis data yang diproses, siapa yang terdampak hasilnya, risiko utama (misalnya jawaban keliru, bias, kebocoran, ketergantungan vendor), tingkat risiko, pengendalian yang ada, dan tanggal tinjauan berikutnya. Tingkat risiko menentukan seberapa kuat pengawasan manusia yang dibutuhkan. Sebagai patokan: - **Risiko rendah** (draf konten internal, ringkasan dokumen): pengguna memeriksa sebelum dipakai. - **Risiko sedang** (jawaban ke pelanggan dari basis pengetahuan): pengujian sebelum tayang, pemantauan rutin, jalur serah terima ke manusia. - **Risiko tinggi** (keputusan tentang orang, seperti rekrutmen, kredit, atau penilaian kinerja): manusia yang memutuskan, AI hanya memberi masukan, dengan alasan keputusan yang terdokumentasi. AI agent yang bisa menjalankan aksi sendiri, seperti dibahas di [apa itu AI agent](https://nivelva.com/insight/apa-itu-ai-agent), umumnya perlu ditempatkan setidaknya di tingkat sedang karena dampaknya tidak berhenti pada teks. > **Jangan biarkan AI memutuskan nasib orang sendirian:** > > Untuk keputusan yang berdampak hukum atau signifikan bagi seseorang, pastikan ada manusia yang benar-benar meninjau, bukan sekadar menekan tombol setuju. Catat siapa yang memutuskan dan atas dasar apa. ## Log audit dan pemantauan Ketika ada keluhan atau insiden, pertanyaan pertama selalu sama: apa yang sebenarnya terjadi? Log menjawab pertanyaan itu. Yang sebaiknya dicatat untuk sistem AI internal: siapa pengguna, kapan, model dan versi yang dipakai, sumber dokumen yang diambil (untuk RAG), serta aksi yang dijalankan bila sistem terhubung ke alat lain. Untuk percakapan yang berisi data pribadi, tetapkan masa simpan dan hak akses ke log itu sendiri, karena log juga data yang harus dilindungi. Pemantauan berkala juga perlu: uji ulang kualitas jawaban setelah model atau dokumen berubah, seperti dijelaskan di [cara menguji akurasi chatbot AI](https://nivelva.com/insight/menguji-akurasi-chatbot-ai), dan tinjau register risiko setidaknya beberapa kali setahun. ## Kerangka global yang bisa dijadikan acuan Kamu tidak perlu menyusun semuanya dari nol. Tiga kerangka berikut sering dipakai sebagai rujukan. | Kerangka | Sifat | Isi pokok | Relevansi untuk perusahaan Indonesia | |:--|:--|:--|:--| | EU AI Act (Regulasi (EU) 2024/1689) | Hukum mengikat di Uni Eropa | Pendekatan berbasis risiko: praktik terlarang, sistem berisiko tinggi, kewajiban transparansi, aturan model AI serba guna | Wajib bila menyediakan atau memakai AI yang menyentuh pasar UE; berguna sebagai contoh klasifikasi risiko | | NIST AI RMF 1.0 | Sukarela, dari NIST Amerika Serikat | Empat fungsi: Govern, Map, Measure, Manage; ada profil khusus AI generatif (NIST AI 600-1) | Kerangka praktis untuk menyusun proses manajemen risiko | | ISO/IEC 42001:2023 | Standar internasional sistem manajemen | Persyaratan untuk membangun, menerapkan, memelihara, dan terus memperbaiki sistem manajemen AI | Cocok bila perusahaan sudah terbiasa dengan ISO 27001 dan ingin pendekatan yang bisa diaudit | Beberapa tanggal penting per 4 November 2026, menurut halaman resmi Komisi Eropa: EU AI Act berlaku sejak 1 Agustus 2024, larangan praktik tertentu berlaku sejak 2 Februari 2025, aturan model AI serba guna sejak 2 Agustus 2025, dan aturan umum mulai diterapkan 2 Agustus 2026. Lewat paket AI Omnibus yang berlaku 27 Juli 2026, kewajiban sistem berisiko tinggi untuk kasus Annex III digeser ke 2 Desember 2027 dan untuk AI dalam produk teregulasi (Annex I) ke 2 Agustus 2028. NIST merilis AI RMF pada 26 Januari 2023 untuk pemakaian sukarela, dan profil AI generatif NIST AI 600-1 pada 26 Juli 2024. ISO/IEC 42001:2023 adalah edisi pertama standar ini, terbit pada 2023. ## Langkah memulai tata kelola dalam 90 hari Untuk perusahaan yang belum punya apa pun, urutan berikut cukup realistis. **Bulan pertama: lihat apa yang sudah terjadi.** Survei singkat ke semua divisi: alat AI apa yang dipakai, untuk apa, dengan data apa. Tunjuk satu penanggung jawab tata kelola AI. **Bulan kedua: tulis aturan dasar.** Susun kebijakan pemakaian, tambahkan aturan AI ke klasifikasi data, dan nilai vendor AI yang paling banyak dipakai. Siapkan akun perusahaan untuk alat yang disetujui agar staf punya alternatif resmi. **Bulan ketiga: jalankan dan ukur.** Buat register risiko untuk sistem yang ada, sosialisasikan kebijakan dengan contoh konkret, dan buka saluran pelaporan. Jadwalkan tinjauan berikutnya. Konteks lebih luas tentang memilih kasus pakai dan menjalankan pilot ada di [panduan AI untuk bisnis](https://nivelva.com/insight/panduan-lengkap-ai-untuk-bisnis). Bila sistem AI-mu terhubung ke dokumen internal, pahami juga cara kerja RAG di [chatbot AI dari dokumen perusahaan](https://nivelva.com/insight/chatbot-ai-dokumen-perusahaan). ## Pertanyaan yang sering diajukan ### Apakah perusahaan kecil juga perlu tata kelola AI? Perlu, tetapi bentuknya bisa sederhana. Satu halaman kebijakan pemakaian, daftar alat yang disetujui, dan aturan tentang data pelanggan sudah jauh lebih baik daripada tidak ada sama sekali. ### Apakah Indonesia sudah punya undang-undang khusus AI? Per 4 November 2026, belum ada regulasi khusus AI yang penetapannya bisa dipastikan dari sumber resmi. Komdigi menyebut dua rancangan Peraturan Presiden tentang etika dan peta jalan AI sudah selesai dibahas antarkementerian pada Mei 2026. Sementara itu, UU PDP tetap berlaku untuk setiap pemrosesan data pribadi, termasuk oleh sistem AI. ### Apakah EU AI Act berlaku untuk perusahaan Indonesia? Bisa berlaku bila perusahaanmu menyediakan sistem AI di pasar Uni Eropa atau hasil sistem AI-mu dipakai di sana. Untuk perusahaan yang hanya beroperasi di Indonesia, EU AI Act lebih berguna sebagai rujukan cara mengklasifikasikan risiko. ### Mana yang lebih cocok, NIST AI RMF atau ISO 42001? NIST AI RMF bersifat sukarela dan praktis untuk menyusun proses manajemen risiko. ISO/IEC 42001 adalah standar sistem manajemen dengan persyaratan yang bisa diaudit. Sebagian perusahaan memakai NIST sebagai panduan kerja dan ISO 42001 bila butuh pengakuan formal. ### Siapa yang sebaiknya memimpin tata kelola AI? Biasanya kombinasi: satu penanggung jawab dari manajemen, didukung IT, keamanan informasi, legal atau pejabat pelindungan data, dan pemilik proses bisnis. Yang penting ada satu orang yang jelas memegang keputusan akhir. ### Apakah log percakapan AI boleh disimpan? Boleh dan sering perlu untuk audit, tetapi log yang berisi data pribadi tunduk pada UU PDP. Tetapkan tujuan penyimpanan, masa simpan, dan siapa yang boleh mengaksesnya. ## Sumber - - - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/panduan-tata-kelola-ai-perusahaan Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com