Mengendalikan AI Sebelum Memakainya

Generative AI bukan lagi eksperimen di sudut divisi IT. Teknologi ini sudah masuk ke email, laporan keuangan, penulisan kode, sampai keputusan layanan pelanggan. Yang menjadi soal, kecepatan adopsinya tidak diimbangi kecepatan yang sama dalam membangun pagar pengaman di sekelilingnya.

Pola yang berulang di banyak organisasi terlihat serupa: hampir semua pimpinan meyakini karyawannya sudah memakai AI, namun hanya sebagian kecil yang benar-benar memiliki kebijakan resmi, rencana respons insiden yang teruji, atau dewan direksi yang memahami risikonya secara memadai. Kesenjangan inilah yang membuat pertanyaan tentang cara mengendalikan AI jauh lebih mendesak dibanding pertanyaan tentang AI apa yang sebaiknya dipakai.

Ketika ditanya teknologi apa yang paling memengaruhi pekerjaan mereka tahun ini, hampir semua organisasi menempatkan AI di posisi teratas. Namun begitu pertanyaannya diganti menjadi seberapa siap mereka mengelola risikonya, nadanya langsung berubah jauh lebih hati-hati. Prioritas dan kesiapan bergerak dengan kecepatan yang berbeda, dan selisih itulah yang menjadi inti persoalannya.

Pola yang sama terlihat lintas kawasan, bukan hanya di satu negara. Penggunaan Generative AI oleh staf terus meningkat dari tahun ke tahun, sementara jumlah organisasi yang memiliki kebijakan AI formal tumbuh jauh lebih lambat. Padahal manfaatnya sudah terasa nyata berupa peningkatan produktivitas, efisiensi proses, dan penghematan waktu. Justru manfaat yang cepat terasa inilah yang sering membuat organisasi tergoda melompati tahap governance.

Sistem TI konvensional bersifat deterministik: input yang sama menghasilkan output yang sama, dan jejak auditnya bisa ditelusuri baris demi baris. Generative AI tidak bekerja seperti itu. Sifatnya probabilistik, terus berevolusi, dan hasilnya bisa terdengar meyakinkan meski keliru pada saat bersamaan. Itulah sebabnya governance TI yang biasa dipakai selama ini tidak otomatis cukup untuk menanganinya.

Kekhawatiran ini juga terlihat jelas di level dewan direksi. Hambatan terbesar terhadap Generative AI di ruang rapat direksi umumnya bukan soal biaya, melainkan soal kepercayaan: seberapa akurat datanya, sebesar apa risiko reputasi bila outputnya keliru di hadapan publik, dan sekuat apa pertahanan siber organisasi ketika permukaan serangannya melebar.

Sementara itu, ancaman yang mengintai justru semakin berat. Serangan siber berbantuan AI dan penyalahgunaan deepfake kini menempati urutan teratas daftar kekhawatiran praktisi keamanan, melampaui banyak isu keamanan konvensional yang selama ini menjadi fokus utama.

Bagi organisasi di Indonesia, kesenjangan governance ini punya dimensi tambahan. Regulasi AI nasional sedang dalam proses penyelesaian, dan organisasi yang menunggu aturan resmi terbit sebelum mulai membangun kendali internal berisiko tertinggal saat aturan itu benar-benar berlaku.

Kementerian Komunikasi dan Digital (Komdigi) telah menyiapkan dua Rancangan Peraturan Presiden terkait AI, yaitu peta jalan kecerdasan artifisial nasional dan etika penggunaan AI. Kedua draf ini merupakan penyempurnaan dari Surat Edaran Menteri Komunikasi dan Informatika Nomor 9 Tahun 2023 yang sebelumnya menjadi pedoman etika AI yang bersifat imbauan. Komdigi akan berperan sebagai otoritas koordinator utama, sementara regulator sektoral seperti OJK untuk sektor keuangan tetap mengawasi penerapan AI di bidang masing-masing. Mekanisme penegakannya nanti mencakup peringatan administratif, perintah perbaikan, hingga penghentian sementara layanan bagi pelanggaran yang serius.

Dengan basis pengguna internet yang sangat besar dan digitalisasi layanan publik maupun swasta yang terus meluas, urgensi tata kelola AI di Indonesia bukan isu jangka panjang, melainkan kebutuhan yang sudah di depan mata. Organisasi yang lebih dulu membangun kerangka governance seperti COBIT tidak perlu menunggu regulasi final untuk mulai bergerak. Struktur yang sama, mulai dari kejelasan akuntabilitas hingga dokumentasi penilaian risiko, kemungkinan besar akan menjadi persis apa yang diminta regulator begitu aturan itu resmi berlaku.

COBIT (Control Objectives for Information and Related Technologies) adalah framework tata kelola teknologi informasi yang sudah menjadi rujukan standar selama lebih dari dua dekade. Kekuatan utamanya bukan pada teknologi spesifik yang diatur, melainkan pada cara berpikirnya, yaitu memisahkan dengan tegas antara governance, yang menetapkan arah dan mengevaluasi, dengan management, yang merencanakan, membangun, menjalankan, dan memantau.

Karena sifatnya yang agnostik terhadap teknologi, COBIT tidak perlu ditulis ulang untuk mengatur Generative AI. Framework ini cukup diperluas cakupannya. COBIT 2019 menyusun 40 tujuan governance dan management yang terbagi ke lima domain berbasis kode, ditopang oleh 11 faktor desain yang membuat penerapannya bisa disesuaikan dengan konteks tiap organisasi, serta tujuh komponen governance, dulu disebut enabler, mulai dari proses dan struktur organisasi hingga budaya dan perilaku.

Tentu COBIT bukan satu-satunya pilihan. Dua kerangka lain yang sering disebut berdampingan adalah ISO/IEC 42001, standar sistem manajemen AI yang bisa disertifikasi secara formal, dan NIST AI RMF, kerangka manajemen risiko AI yang sukarela dan berbasis fungsi. Ketiganya sebenarnya saling melengkapi ketimbang bersaing, dan tabel berikut merangkum kapan masing-masing paling relevan dipakai.

Enam manfaat konkret muncul ketika COBIT dipakai untuk mengatur sistem AI, mulai dari keselarasan tujuan AI dengan tujuan bisnis, kejelasan akuntabilitas, manajemen risiko yang terstruktur, transparansi keputusan algoritmik, kepatuhan terhadap regulasi yang terus berubah, hingga pengukuran kinerja yang bisa dipertanggungjawabkan dan bukan sekadar klaim bahwa AI sudah aman. Daftar lengkapnya dibahas lebih jauh di bagian akhir laporan ini.

Kelima domain COBIT bukan daftar checklist yang berdiri sendiri, melainkan siklus kendali yang saling menopang satu sama lain. Klik salah satu domain di bawah untuk melihat bagaimana ia diterjemahkan menjadi tindakan konkret dalam mengendalikan Generative AI.

Karena kelima domain COBIT memang dirancang berurutan secara logis, urutan ini juga bisa dibaca sebagai peta jalan implementasi governance AI, mulai dari penentuan arah strategis hingga pengawasan yang berjalan terus-menerus.

Enam butir di bawah mencerminkan area yang paling sering menjadi titik lemah ketika kesiapan governance AI mulai ditelusuri. Pilih tingkat penerapannya di organisasi Anda, lalu perhatikan indikator kesiapan bergerak. Anggap hasilnya sebagai gambaran awal untuk memulai diskusi internal, bukan audit formal.

Berikut enam manfaat yang paling sering dirasakan organisasi yang mengadopsi COBIT lebih awal untuk mengatur sistem AI-nya.

Ringkasan jawaban atas pertanyaan yang paling sering muncul seputar COBIT dan governance Generative AI.

Generative AI akan terus dipakai di organisasi Anda, terlepas dari ada atau tidaknya kebijakan resmi, karena praktiknya sudah berjalan hari ini. Pertanyaannya bukan lagi apakah kita akan mengendalikan AI, melainkan apakah kendali itu dibangun sebelum insiden pertama terjadi, atau sesudahnya. COBIT tidak menjanjikan jawaban instan, tetapi ia menyediakan bahasa dan struktur yang sama antara dewan direksi, tim risiko, dan tim teknis untuk membuat keputusan itu bersama-sama, sebelum AI benar-benar dipakai secara luas, bukan setelah masalahnya muncul di hadapan publik.