Apa Itu Kebijakan AI yang Bertanggung Jawab?

Oleh Brian Tr · Diperbarui 6 Oktober 2026

Kebijakan AI yang bertanggung jawab adalah dokumen tertulis tempat perusahaan yang membangun produk AI menyatakan prinsip yang dianutnya dan kontrol yang diterapkannya saat merancang, menguji, merilis, dan mengoperasikan produk tersebut. Dokumen ini menjawab satu pertanyaan bagi pelanggan, regulator, dan staf perusahaan sendiri: apa yang Anda janjikan, siapa yang bertanggung jawab melaksanakannya, dan bagaimana orang lain bisa tahu jika Anda tidak melaksanakannya?

Dokumen ini penting secara komersial karena pembeli AI memintanya. Tinjauan keamanan dan pengadaan di perusahaan besar sering meminta posisi tertulis tentang risiko AI sebelum menandatangani kontrak, dan regulator di beberapa kawasan kini mengaitkan kewajiban hukum dengan cara sistem AI dibangun dan digunakan. Kebijakan yang singkat, jujur, dan jelas pemiliknya lebih mudah dipertahankan dalam tinjauan daripada kebijakan megah yang tidak diikuti siapa pun.

Halaman ini mendefinisikan istilah tersebut, membedakannya dari dua hal yang sering tertukar dengannya, mendaftar komponen yang umumnya ada dalam kebijakan, dan memetakannya ke empat kerangka acuan yang paling sering dikutip. Ini adalah materi referensi, bukan nasihat hukum. Untuk sisi penjualan dari kepercayaan, lihat menjual AI kepada pembeli yang skeptis.

Apa Itu Kebijakan AI yang Bertanggung Jawab

Kebijakan AI yang bertanggung jawab adalah pernyataan prinsip tingkat organisasi beserta aturan yang membuat prinsip itu operasional. "AI yang bertanggung jawab" adalah istilah umum untuk mengembangkan dan menerapkan AI dengan cara yang mengelola risiko bagi manusia, pelanggan, dan bisnis. Kebijakan adalah tempat niat umum itu menjadi spesifik: penggunaan mana yang masuk cakupan, apa yang diuji sebelum rilis, kapan manusia harus bisa melakukan intervensi, dan apa yang terjadi ketika ada yang salah.

Tiga hal membuat kebijakan berguna dan bukan sekadar hiasan.

• Cukup spesifik untuk diperiksa. "Kami menjunjung keadilan" tidak bisa diaudit. "Setiap rilis model dievaluasi terhadap set uji terdokumentasi sebelum dirilis" bisa.
• Memiliki pemilik yang disebutkan. Seseorang bertanggung jawab atas setiap komitmen, berdasarkan peran.
• Dipelihara. Ada tanggal tinjauan, riwayat versi, dan tautan ke proses yang menjalankannya.

Bagi perusahaan yang menjual AI, kebijakan ini menghadap ke luar sekaligus ke dalam. Ini adalah dokumen yang bisa Anda serahkan kepada tim risiko pelanggan, dan yang dipakai insinyur Anda sendiri untuk memutuskan apa yang dapat diterima.

Perbedaannya dengan Kebijakan Penggunaan yang Dapat Diterima dan Program Tata Kelola

Tiga istilah yang berkaitan sering dikaburkan, dan kekaburan itu menimbulkan kebingungan nyata dalam kuesioner keamanan. Ketiganya menjawab pertanyaan yang berbeda.

Versi singkatnya: kebijakan penggunaan yang dapat diterima mengatur cara staf memakai AI. Kebijakan AI yang bertanggung jawab mengatur apa yang perusahaan lepaskan ke dunia. Program tata kelola adalah mesinnya (pemilik, forum, catatan, dan tinjauan) yang menjaga keduanya tetap jujur.

Startup dengan sepuluh orang mungkin hanya memiliki kebijakan satu halaman dan satu pemilik sebagai seluruh "program"-nya. Itu tidak masalah, selama komitmen dalam kebijakan benar-benar dijalankan tim.

Komponen Standar

Kebijakan berbeda-beda dalam panjang dan nada, tetapi sebagian besar mengambil dari daftar bagian yang sama. Bagian di bawah ini menjelaskan masing-masing komponen dan apa yang dicari peninjau.

Prinsip

Pernyataan nilai pembuka, biasanya tiga hingga delapan butir singkat. Tema yang lazim adalah keadilan, privasi, keselamatan, transparansi, akuntabilitas, dan pengawasan manusia. Prinsip adalah bagian yang paling sulit diperiksa, sehingga sisa dokumen ada untuk mengubahnya menjadi aturan. Banyak perusahaan meminjam rumusan dari OECD AI Principles, yang dibahas di bawah.

Cakupan

Apa yang dicakup kebijakan: produk, model, fitur, sistem internal, dan model pihak ketiga yang mana. Cakupan harus menyatakan apakah kebijakan berlaku untuk AI yang dibangun perusahaan, AI yang disematkan dari penyedia, atau keduanya. Kebijakan yang diam-diam mengecualikan komponen yang diperhatikan pelanggan akan mengundang pertanyaan sulit.

Klasifikasi risiko

Metode untuk memilah penggunaan AI berdasarkan potensi bahaya, dengan kontrol berbeda di tiap tingkat. Pola yang umum adalah sejumlah kecil tingkatan (misalnya rendah, sedang, tinggi) dengan kriteria seperti apakah sistem memengaruhi akses seseorang ke pekerjaan, kredit, perumahan, atau kesehatan, apakah sistem bertindak secara otonom, dan data apa yang disentuhnya. Tingkat risiko EU AI Act, yang dijelaskan di bawah, adalah model eksternal yang paling dikenal.

Pengawasan manusia

Titik-titik tempat seseorang dapat meninjau, mengoreksi, menghentikan sementara, atau menimpa sistem, dan siapa orang itu. Ini mencakup jalur eskalasi dan kondisi ketika sistem harus menyerahkan kendali. Pengawasan dijelaskan per kasus penggunaan, karena asisten penulisan yang menyusun draf lalu menunggu persetujuan membutuhkan jauh lebih sedikit daripada sistem yang memicu tindakan sendiri.

Penggunaan data

Data apa yang masuk ke pelatihan, penyetelan, evaluasi, dan prompt; apakah data pelanggan dipakai untuk melatih model; berapa lama data disimpan; dan bagaimana data dihapus. Pembeli membaca bagian ini lebih dulu. Isinya harus sama persis dengan kontrak dan dokumentasi privasi Anda, karena ketidakcocokan lebih buruk daripada celah.

Pengujian dan evaluasi

Apa yang diuji sebelum dan sesudah rilis: akurasi pada kasus representatif, ketangguhan, pemeriksaan bias atau disparitas bila relevan, pengujian keamanan, dan pemeriksaan regresi setelah perubahan model atau prompt. Kebijakan sebaiknya menyebutkan bukti yang dihasilkan (set uji, laporan, persetujuan) tanpa menjanjikan angka akurasi tertentu.

Transparansi

Apa yang disampaikan kepada pengguna dan pelanggan: bahwa mereka berinteraksi dengan AI, apa yang bisa dan tidak bisa dilakukan sistem, keterbatasan yang diketahui, dan bagaimana keluaran dihasilkan bila hal itu memungkinkan. Bagian ini juga mencakup dokumentasi yang Anda sediakan bagi pelanggan atas permintaan.

Respons insiden

Bagaimana kegagalan khusus AI dideteksi, dipilah, diperbaiki, dan dikomunikasikan: keluaran berbahaya, paparan data, kegagalan model yang material, penyalahgunaan. Bagian ini menyatakan siapa yang menentukan tingkat keparahan, seberapa cepat pelanggan diberi tahu, dan bagaimana pelajarannya dicatat. Bagian ini sebaiknya terhubung ke proses insiden keamanan yang sudah ada, bukan menciptakan proses paralel.

Akuntabilitas dan pemilik

Peran yang disebutkan untuk setiap komitmen: siapa yang menyetujui peluncuran berisiko tinggi, siapa yang memiliki evaluasi, siapa yang menangani keluhan, siapa yang dapat menghentikan rilis. Di perusahaan kecil satu orang mungkin memegang beberapa peran. Intinya adalah tidak ada komitmen yang dibiarkan tanpa pemilik.

Siklus tinjauan

Seberapa sering kebijakan ditinjau dan apa yang memicu tinjauan lebih awal: kategori produk baru, perubahan model besar, undang-undang baru, insiden. Kebijakan tanpa tanggal dan tanpa versi adalah tanda bahwa kebijakan itu tidak lagi dipelihara.

Kerangka Acuan yang Dipetakan oleh Kebijakan

Anda tidak perlu menciptakan kategori sendiri. Empat acuan eksternal muncul berulang kali dalam kuesioner pembeli dan tinjauan hukum. Masing-masing menjalankan tugas yang berbeda, dan tidak satu pun menggantikan yang lain.

OECD AI Principles

OECD AI Principles diadopsi pada 2019 dan diperbarui pada Mei 2024. Prinsip ini menetapkan lima prinsip berbasis nilai: pertumbuhan inklusif, pembangunan berkelanjutan, dan kesejahteraan; hak asasi manusia dan nilai demokrasi, termasuk keadilan dan privasi; transparansi dan keterjelasan; ketangguhan, keamanan, dan keselamatan; serta akuntabilitas. Prinsip ini juga memberikan lima rekomendasi yang ditujukan kepada pembuat kebijakan. Bagi perusahaan, kelima prinsip tersebut adalah struktur siap pakai untuk bagian "Prinsip".

NIST AI Risk Management Framework

NIST AI Risk Management Framework (AI RMF 1.0) dirilis pada 26 Januari 2023 dan dimaksudkan untuk penggunaan sukarela. Intinya memiliki empat fungsi: Govern, Map, Measure, dan Manage. Teks kerangka menggambarkan Govern sebagai fungsi lintas bidang yang memungkinkan tiga fungsi lainnya. Subkategorinya mencakup bahwa persyaratan hukum dan regulasi terkait AI dipahami, dikelola, dan didokumentasikan, bahwa peran dan tanggung jawab terdokumentasi dan jelas, serta bahwa praktik organisasi mendukung pengujian AI, identifikasi insiden, dan berbagi informasi. Itu hampir menjadi daftar periksa untuk bagian akuntabilitas, pengujian, dan insiden dalam kebijakan. Karena bersifat sukarela, Anda dapat menyelaraskan diri dengannya, tetapi jangan mengklaim "patuh NIST" atau "bersertifikat NIST".

NIST juga menerbitkan Generative AI Profile pada Juli 2024 untuk risiko yang khusus pada sistem generatif.

ISO/IEC 42001

ISO/IEC 42001 adalah standar internasional untuk sistem manajemen AI, yaitu seperangkat kebijakan, peran, dan proses di seluruh organisasi untuk mengelola AI secara bertanggung jawab. Berbeda dengan kerangka NIST, standar sistem manajemen adalah jenis standar yang dapat diaudit oleh pihak ketiga terakreditasi, itulah sebabnya pembeli kadang bertanya apakah vendor "bersertifikat ISO 42001". Kebijakan biasanya menjadi salah satu masukan bagi sistem semacam itu, bersama proses risiko, audit internal, dan tinjauan manajemen. Periksa edisi terkini dan cakupan sertifikasi kepada ISO atau auditor Anda sebelum membuat klaim apa pun tentangnya.

Tingkat risiko EU AI Act

EU AI Act adalah hukum yang mengikat, bukan kerangka sukarela. Ikhtisar AI Act dari Komisi Eropa menjelaskan empat tingkat risiko: risiko yang tidak dapat diterima (dilarang), risiko tinggi (kewajiban ketat sebelum dan sesudah masuk pasar), risiko transparansi (kewajiban pengungkapan seperti memberi tahu orang bahwa mereka berinteraksi dengan AI), dan risiko minimal atau tanpa risiko. Halaman yang sama menyebutkan bahwa Act ini mulai berlaku pada 1 Agustus 2024, dengan praktik terlarang dan kewajiban literasi AI berlaku sejak 2 Februari 2025, serta aturan tata kelola dan kewajiban AI tujuan umum sejak 2 Agustus 2025.

Jadwal untuk sistem berisiko tinggi telah disesuaikan. Halaman Komisi menyatakan bahwa, menyusul AI Omnibus, aturan untuk sistem berisiko tinggi di bidang seperti biometrik, infrastruktur kritis, pendidikan, ketenagakerjaan, dan migrasi berlaku mulai 2 Desember 2027, dan untuk AI yang terintegrasi dalam produk seperti lift atau mainan mulai 2 Agustus 2028. Karena tanggal dan kewajiban masih dapat bergeser, perlakukan halaman Komisi sebagai sumber rujukan utama dan minta penasihat hukum mengonfirmasi apa yang berlaku untuk produk Anda.

Meskipun Anda tidak menjual di UE, gagasan tingkatan ini tetap berguna. Ini cara yang dapat dipertahankan untuk menyusun bagian klasifikasi risiko dalam kebijakan Anda sendiri.

Mengapa Pembeli dan Regulator Memintanya

Pembeli memakai kebijakan sebagai penyaring cepat. Kebijakan memberi tahu tim pengadaan atau keamanan apakah Anda sudah memikirkan risiko khusus AI sebelum mereka menghabiskan berminggu-minggu untuk tinjauan. Mereka sering memintanya bersama dokumentasi keamanan dan ketentuan penanganan data. Cara pertanyaan-pertanyaan itu masuk dalam sebuah kesepakatan dibahas di komite pembelian AI, dan cara mengubah uji coba menjadi ketentuan yang ditandatangani ada di dari pilot AI menjadi kontrak.

Regulator peduli pada hal yang berbeda: apakah kewajiban benar-benar dipenuhi. Kebijakan tertulis saja tidak memenuhi undang-undang mana pun, tetapi proses memeliharanya menghasilkan catatan, pemilik, dan pengujian yang cenderung diwajibkan oleh undang-undang dan standar. EU AI Act adalah contoh paling jelas, dan penegakan terhadap klaim menyesatkan di tempat lain menjadi alasan lain untuk memastikan pernyataan publik tentang AI Anda sesuai dengan cara kerja produk.

Tim Anda sendiri juga diuntungkan. Insinyur dan product manager mendapat jawaban yang jelas atas "bolehkah kita merilis ini?", dan tim penjualan mendapat kumpulan pernyataan yang disetujui, bukan pernyataan improvisasi.

Struktur Minimal untuk Memulai

Jika Anda menulis versi pertama, dokumen satu hingga tiga halaman itu realistis. Kerangka ini mencakup komponen di atas tanpa bertele-tele.

1. Tujuan dan cakupan: apa yang dicakup kebijakan dan siapa yang wajib mengikutinya.
2. Prinsip: beberapa komitmen singkat, dipetakan ke prinsip OECD bila berguna.
3. Tingkat risiko: kriteria dan kontrol yang melekat pada tiap tingkat.
4. Penggunaan data: pelatihan, retensi, data pelanggan, penghapusan.
5. Pengujian dan gerbang rilis: apa yang harus lolos sebelum peluncuran dan setelah perubahan.
6. Pengawasan manusia: tempat seseorang meninjau atau menimpa, per kasus penggunaan.
7. Transparansi: apa yang Anda ungkapkan kepada pengguna dan pelanggan.
8. Insiden: deteksi, tingkat keparahan, pemberitahuan, tinjauan.
9. Pemilik: peran yang disebutkan untuk setiap komitmen.
10. Tinjauan: versi, tanggal, siklus tinjauan, dan pemicunya.

Lalu periksa setiap baris terhadap kenyataan. Jika Anda menulis "semua rilis berisiko tinggi memerlukan persetujuan", pastikan ada tempat untuk mencatat persetujuan itu. Untuk kontrol terkait pada sistem berbasis agent, lihat kepatuhan AI agent, guardrail AI agent, dan privasi data AI agent.

Kesalahan Umum

• Menulis aspirasi, bukan aturan. Prinsip tanpa pengujian atau pemilik adalah hal pertama yang disadari pembeli yang cermat.
• Menyalin kebijakan perusahaan lain. Isinya menjelaskan proses yang tidak Anda miliki, dan itu menimbulkan paparan risiko.
• Mengklaim sertifikasi yang tidak Anda pegang. Keselarasan dengan NIST bukan sertifikasi, dan "bersertifikat ISO 42001" memerlukan audit terakreditasi.
• Membiarkannya usang. Kebijakan yang lebih tua dari model dan fitur Anda saat ini salah menggambarkan Anda.
• Memperlakukannya sebagai perisai hukum. Kebijakan mendokumentasikan niat dan proses Anda. Ia tidak menggantikan kepatuhan terhadap hukum.
• Mencampurnya dengan buku aturan karyawan. Kebijakan penggunaan yang dapat diterima untuk staf tidak menjawab pertanyaan pelanggan tentang produk Anda.

Fakta Utama

• Definisi: kebijakan AI yang bertanggung jawab adalah pernyataan tertulis perusahaan tentang prinsip dan kontrol yang diterapkannya saat membangun, menguji, merilis, dan mengoperasikan produk AI.
• Bukan sama dengan: kebijakan penggunaan yang dapat diterima (cara karyawan memakai alat AI) atau program tata kelola (peran dan proses yang menjaga kebijakan tetap berlaku).
• OECD AI Principles: diadopsi pada 2019 dan diperbarui pada Mei 2024, dengan lima prinsip berbasis nilai dari pertumbuhan inklusif hingga akuntabilitas.
• NIST AI RMF: dirilis 26 Januari 2023, sukarela, dengan empat fungsi: Govern, Map, Measure, Manage.
• ISO/IEC 42001: standar internasional sistem manajemen AI, jenis standar yang dapat diaudit oleh lembaga terakreditasi.
• EU AI Act: mulai berlaku 1 Agustus 2024, dengan empat tingkat risiko; aturan berisiko tinggi Annex III kini berlaku mulai 2 Desember 2027 menurut Komisi.

Bacaan Terkait

• Pertanyaan privasi data yang diajukan pembeli AI
• Tinjauan keamanan AI dijelaskan
• Kepercayaan dan evaluasi sebagai aset penjualan
• Menjual AI kepada pembeli yang skeptis
• Komite pembelian AI
• Dari pilot AI menjadi kontrak
• Kepatuhan AI agent
• Guardrail AI agent
• Privasi data AI agent