Pemanfaatan kecerdasan buatan berkembang cepat dalam layanan pelanggan, analisis data, rekrutmen, produksi, pemasaran, keamanan, dan pengambilan keputusan. Namun AI juga membawa risiko seperti bias, kualitas data, privasi, keamanan, kurangnya transparansi, ketergantungan vendor, dan dampak terhadap pengguna. ISO/IEC 42001:2023 menyediakan persyaratan untuk membangun sistem manajemen AI yang bertanggung jawab dan dapat diperbaiki secara berkelanjutan.
Apa itu sistem manajemen AI?
Sistem manajemen AI adalah kerangka kebijakan, tujuan, proses, peran, pengendalian, dan evaluasi yang digunakan organisasi untuk mengelola pengembangan, penyediaan, atau penggunaan sistem AI. Fokusnya bukan hanya teknologi, tetapi juga tata kelola, risiko, dampak, data, kompetensi, dan pengawasan.
Organisasi yang hanya membeli aplikasi AI tetap mempunyai tanggung jawab. Pengguna perlu memahami tujuan, batasan, sumber data, kondisi kegagalan, dan cara hasil AI digunakan dalam keputusan.
Mengapa ISO/IEC 42001 semakin relevan?
Pelanggan dan regulator semakin menanyakan bagaimana AI digunakan. Organisasi harus mampu menjelaskan apakah AI memproses data pribadi, apakah keputusan dapat ditinjau manusia, bagaimana bias diuji, siapa yang bertanggung jawab, dan apa yang dilakukan saat terjadi insiden.
Kerangka standar membantu menghindari pendekatan yang terpisah-pisah. Kebijakan AI, keamanan informasi, privasi, pengadaan, manajemen risiko, dan pengembangan sistem dapat dihubungkan dalam satu sistem yang konsisten.
Area utama yang perlu dikelola
Konteks dan tujuan penggunaan AI
Tentukan sistem AI yang masuk ruang lingkup, tujuan bisnis, pengguna, pihak terdampak, serta keputusan yang dipengaruhi.
Penilaian risiko dan dampak
Identifikasi risiko terhadap keamanan, privasi, bias, keselamatan, kualitas, hak pengguna, reputasi, dan kepatuhan. Tindakan harus proporsional dengan tingkat dampak.
Data dan kualitas informasi
Sumber data, kualitas, representativitas, pembatasan, retensi, dan perlindungan data perlu dikendalikan.
Transparansi dan akuntabilitas
Organisasi harus menetapkan siapa yang menyetujui, mengoperasikan, memantau, mengubah, dan menghentikan sistem AI.
Human oversight
Tentukan kapan hasil AI harus ditinjau manusia, bagaimana pengguna mengajukan keberatan, dan apa yang dilakukan jika sistem menghasilkan keluaran yang tidak tepat.
Monitoring dan perbaikan
Kinerja AI dapat berubah akibat data, konteks, atau model. Monitoring, incident handling, review, dan continual improvement menjadi penting.
Hubungan dengan ISO/IEC 27001
ISO/IEC 27001 berfokus pada sistem manajemen keamanan informasi, sedangkan ISO/IEC 42001 berfokus pada pengelolaan AI. Keduanya dapat saling melengkapi. Risiko akses, data, vendor, insiden, perubahan, dan keamanan model dapat dikelola secara terintegrasi.
Organisasi yang telah menerapkan ISO/IEC 27001 mempunyai fondasi seperti risk assessment, kontrol akses, pengelolaan pemasok, incident management, audit internal, dan tinjauan manajemen. Fondasi tersebut dapat membantu, tetapi tetap diperlukan penilaian khusus terhadap dampak AI.
Dokumen yang sebaiknya disiapkan
Dokumen awal dapat mencakup inventaris sistem AI, tujuan penggunaan, ruang lingkup, kebijakan AI, penilaian risiko dan dampak, peran, prosedur data, pengadaan vendor, pengembangan/perubahan, validasi, monitoring, penanganan insiden, transparansi kepada pengguna, serta evaluasi efektivitas.
Bukti implementasi dapat berupa hasil pengujian, evaluasi bias, review manusia, laporan insiden, persetujuan perubahan, catatan vendor, pelatihan, dan tindak lanjut perbaikan.
Kesalahan umum organisasi saat mengadopsi AI
Menggunakan AI tanpa inventaris, menganggap vendor bertanggung jawab sepenuhnya, tidak menguji output, memakai data yang tidak jelas sumbernya, dan tidak menetapkan pemilik risiko merupakan kesalahan yang sering terjadi.
Kesalahan lain adalah mempromosikan AI sebagai otomatis sepenuhnya tanpa menjelaskan keterbatasan. Transparansi yang tepat membantu menjaga kepercayaan pengguna.
Pertanyaan yang Sering Diajukan
Apakah ISO/IEC 42001 hanya untuk perusahaan teknologi?
Tidak. Organisasi yang menggunakan AI dalam proses bisnis juga dapat membutuhkan tata kelola AI, tergantung skala dan risikonya.
Apakah AI chatbot termasuk ruang lingkup?
Bisa, jika chatbot menggunakan AI dan memengaruhi layanan, data, atau keputusan. Organisasi perlu menilai tujuan, data, risiko, dan pengawasan.
Apa langkah pertama?
Buat inventaris penggunaan AI, tetapkan ruang lingkup, identifikasi pihak terdampak, lalu lakukan penilaian risiko dan dampak.
Langkah Berikutnya Bersama GIS
GIS mengikuti perkembangan standardisasi dan penilaian kesesuaian yang relevan bagi organisasi. Tim GIS dapat membantu mengarahkan kebutuhan awal, menjelaskan layanan yang tersedia, dan menghubungkan kebutuhan tata kelola digital dengan skema sertifikasi yang sesuai seperti ISO/IEC 27001 atau standar sistem manajemen lainnya.
PT Global Inspeksi Sertifikasi (GIS) menyediakan layanan sertifikasi sistem manajemen, sertifikasi produk/SNI, inspeksi, pengujian, serta verifikasi sertifikat. Hubungi GIS melalui halaman Kontak atau Jadwal Diskusi untuk memperoleh arahan awal yang sesuai dengan ruang lingkup organisasi Anda.
Checklist Inventaris AI
Catat nama sistem, pemilik, tujuan, pengguna, sumber data, vendor, model, integrasi, keputusan yang dipengaruhi, pihak terdampak, serta mekanisme penghentian. Inventaris membantu organisasi mengetahui AI mana yang berisiko tinggi dan membutuhkan pengawasan lebih ketat.
Bedakan antara AI yang hanya membantu produktivitas internal dan AI yang memengaruhi hak, layanan, keselamatan, penilaian, atau keputusan terhadap individu. Tingkat pengendalian harus proporsional dengan dampak.
Risiko AI Customer Service
AI customer service perlu dikendalikan agar tidak memberikan janji sertifikasi, harga final, atau keputusan yang bukan kewenangannya. Jawaban harus bersumber dari knowledge base yang disetujui, memiliki jalur eskalasi ke manusia, dan tidak membocorkan data privat.
Log percakapan perlu dikelola dengan prinsip minimisasi data. Informasi sensitif, token sertifikat, dokumen privat, dan kredensial tidak boleh digunakan sebagai bahan pembelajaran tanpa pengendalian.
Promosi Layanan GIS
GIS terus mengembangkan layanan digital, verifikasi sertifikat, dan informasi publik agar pelanggan memperoleh akses yang lebih mudah. Untuk kebutuhan sertifikasi yang tersedia di GIS, AI CS dapat memberi arahan awal dan meneruskan kebutuhan ke admin tanpa menggantikan keputusan profesional.
