Bisakah Anda Membela Apa yang Baru Saja Dilakukan AI Anda?

Batas Waktu Regulasi untuk AI Terus Terlambat, tetapi Kebutuhan akan Akuntabilitas AI Tetap Ada 

Selama dua tahun, percakapan regulasi seputar AI perusahaan telah diatur berdasarkan batas waktu. Ketentuan risiko tinggi dalam EU AI Act dijadwalkan berlaku pada 2 Agustus. Undang‑undang AI pertama di negara bagian Colorado dijadwalkan berlaku pada 30 Juni. Washington akhirnya akan menyelesaikan pertanyaan siapa yang berhak mengatur apa.

Jadi, apakah kita melihat kemajuan terhadap batas waktu tersebut? Semacam. 

Dalam rentang sekitar enam minggu musim semi ini, UE setuju menunda kewajiban risiko tinggi Annex III hingga Desember 2027, dan sistem risiko tinggi yang terintegrasi dalam produk hingga 2 Agustus 2028. Di Colorado, perintah pengadilan federal menghentikan jaksa agung negara bagian dari menegakkan undang‑undang asli, menggantinya dengan kerangka kerja berbasis pemberitahuan yang lebih sempit efektif 1 Januari 2027. Pada 2 Juni, Gedung Putih menandatangani perintah eksekutif AI yang mengambil sikap pro‑inovasi secara sengaja, lebih mengutamakan kolaborasi sukarela dengan pengembang terdepan daripada persyaratan lisensi wajib atau prapersetujuan untuk model AI. 

Garis Waktu yang Terlambat dan Ilusi Keringanan Regulasi

Poin penting bagi perusahaan adalah bahwa perubahan batas waktu tidak membuat akuntabilitas AI menghilang. Di Eropa, meskipun beberapa persyaratan risiko tinggi dipindahkan, kewajiban terkait transparansi, literasi AI, konten sintetis, dan penegakan terus berkembang. Colorado menceritakan kisah serupa: pembuat undang‑undang menghapus beberapa persyaratan kepatuhan paling memberatkan, namun tetap mempertahankan hal‑hal mendasar seperti mengungkapkan ketika AI terlibat, menjelaskan keputusan merugikan, memperbaiki data buruk, dan menyediakan jalur tinjauan manusia.

Itu adalah sinyal berguna tentang ke mana regulasi pada akhirnya dapat berkumpul. Pembuat kebijakan dapat tidak sepakat mengenai penilaian dampak, rezim lisensi, dan tingkat pemerintahan yang harus menetapkan aturan. Namun kemampuan menjelaskan apa yang dilakukan sistem AI, mendokumentasikan bagaimana ia mencapai hasil, dan memberikan orang hak untuk menuntut kembali terbukti jauh lebih sulit untuk dihilangkan melalui legislasi. Sebuah bank masih harus menjelaskan keputusan pinjaman yang dipengaruhi AI. Sebuah rumah sakit masih memerlukan catatan bagaimana rekomendasi yang dibantu AI dicapai. Sebuah perusahaan masih harus mengetahui apa yang terjadi ketika sistem otomatis menghasilkan hasil yang harus dibela.

Jika ada, semakin banyaknya model terbuka membuat tanggung jawab itu menjadi lebih penting. Semakin banyak kontrol yang dimiliki perusahaan atas cara dan tempat model dijalankan, semakin sulit memperlakukan akuntabilitas sebagai masalah orang lain. Jika sebuah organisasi tidak dapat merekonstruksi, menjelaskan, dan membela apa yang dilakukan sistem AI-nya, penundaan regulasi hanya memberikan keringanan sementara.

Jika Anda adalah Chief AI Officer, Kepala Manajemen Risiko Model, atau memiliki tanggung jawab lain terkait penggunaan AI dalam industri yang diatur, dan telah melewati era inovasi dan regulasi lainnya, Anda tahu bahwa yang pertama selalu melampaui yang kedua – dan akuntabilitas nyata ditentukan oleh apa yang organisasi Anda lakukan dalam penerapan, baik dengan atau tanpa persyaratan regulasi.

Kesenjangan Verifikasi Kepercayaan AI: Mengapa Risiko Pasar Melampaui Kepatuhan

Akuntabilitas didefinisikan oleh keputusan yang diambil tanpa pengawasan dan berlipat ganda ke dua arah. Meskipun akuntabilitas AI perusahaan sering keliru dianggap sebagai konsep berbasis konsekuensi yang diciptakan regulator, ia tercipta pada saat perusahaan menerapkan, terlepas apakah ada konsekuensi yang dapat ditegakkan atau tidak. Dan penerapan tersebut mempercepat jauh lebih cepat daripada kalender kepatuhan mana pun – kini paling cepat karena agen otonom mulai diproduksi, mengambil tindakan, menyentuh data, dan membuat keputusan dengan kecepatan yang tidak dapat diikuti peninjau manusia. Gartner memperkirakan 40% aplikasi perusahaan akan menyertakan agen AI khusus tugas pada akhir tahun ini, naik dari kurang dari 5% pada 2025.

Itulah mengapa sinyal paling penting dalam AI perusahaan saat ini tidak datang dari regulator – melainkan dari ruang dewan dan ditampilkan pada halaman karier perusahaan di berbagai industri. Pengawasan AI tingkat dewan telah naik 84% dalam pengungkapan perusahaan publik dan Forrester memproyeksikan bahwa 60% Fortune 100 akan menunjuk kepala khusus tata kelola AI tahun ini. Morgan Stanley dan BlackRock telah mulai memasukkan kematangan tata kelola AI ke dalam penilaian nilai perusahaan. Semua itu bukan respons terhadap undang‑undang. Itu respons terhadap risiko yang diakui oleh perusahaan yang sudah mengadopsi AI dalam segala hal mulai dari cara bisnis mereka dikelola dan dioperasikan hingga lowongan pekerjaan mereka.

Stanford AI Index 2026 menemukan bahwa keamanan dan risiko – bukan kualitas model atau biaya – kini menjadi hambatan terbesar untuk memperluas AI agen, dikutip oleh 62% organisasi dan mengungguli keterbatasan teknis serta ketidakpastian regulasi dengan selisih besar. Jarak itu – antara apa yang dilakukan sistem dan apa yang sebenarnya dapat dibuktikan pemiliknya – adalah kesenjangan verifikasi kepercayaan AI, dan tidak akan tertutup pada jadwal regulator.

Pola inovasi yang melampaui regulasi sama dengan yang kami lihat pada adopsi cloud, munculnya enkripsi, dan industri keamanan siber selama tiga dekade terakhir – media meliputnya, regulator mengakuinya, dan setiap industri bergulat dengan implikasi dunia nyata serta skenario unik saat mereka beralih dari keraguan ke percobaan dan akhirnya ke tingkat adopsi perusahaan yang beragam. Dengan komputasi awan, AWS diluncurkan pada 2006, dan perusahaan memigrasikan data sensitif serta sistem inti selama hampir satu dekade sebelum kerangka kepatuhan mengejar. FedRAMP baru muncul pada 2011, industri harus menciptakan “model tanggung jawab bersama” untuk menugaskan akuntabilitas yang tidak ada dalam kontrak, dan GDPR baru memberikan kekuatan nyata pada penanganan data hingga 2018. Keamanan siber mengikuti lengkungan yang sama: PCI DSS tidak diformalkan hingga 2004, jauh setelah data kartu sudah beralih online; undang‑undang pemberitahuan pelanggaran dimulai dengan satu undang‑undang California pada 2003 dan tetap menjadi patchwork negara‑bagian hingga kini; dan SEC baru mewajibkan perusahaan mengungkap insiden siber material hingga 2023. Dalam kedua kasus, akuntabilitas sudah ada jauh sebelum peraturan, dan pasar, pelanggan, auditor, penjamin, serta pelanggaran publik yang sangat terlihat, yang menegakkannya pada perusahaan yang berpura‑pura sebaliknya.

Dari Kapabilitas Pilot ke Kelayakan Membela Hasil dalam Produksi

Kecepatan dan kapabilitaslah yang membawa AI ke pilot perusahaan dan, seperti setiap inovasi teknologi besar lainnya, itu terjadi karena kebutuhan. Namun keduanya tidak cukup untuk menempatkan AI ke produksi di lingkungan yang sangat diatur dengan set data dan alur kerja kompleks – bank, perusahaan asuransi, infrastruktur kritis, program pertahanan – lingkungan di mana pada akhirnya seseorang harus menempatkan keputusan berbasis AI di hadapan regulator, dewan, atau pengacara penggugat dan membelanya. Di ruangan tersebut, “model sangat kapabel” bukan jawaban yang dapat dipertanggungjawabkan.

Perbedaan itu telah menjadi garis pemisah yang nyata, dan semakin banyak perusahaan menyadari bahwa itu adalah masalah arsitektur sebelum menjadi masalah kebijakan. Anda tidak dapat mengaudit kotak hitam menjadi akuntabel setelah fakta. Keterjelasan, keterlacakan, dan rantai kepemilikan yang jelas harus dibangun ke dalam sistem atau tidak ada, dan organisasi yang belajar hal ini dengan cara yang sulit adalah mereka yang pertama kali menerapkan dan baru memikirkan akuntabilitas belakangan. Gartner memprediksi bahwa pada 2027, 40% perusahaan akan harus menurunkan atau menghentikan agen otonom khusus karena kesenjangan tata kelola yang mereka temukan hanya setelah sesuatu berjalan salah di produksi.

Kebocoran Klue awal musim panas ini menjadi contoh utama yang semakin instruktif seiring berjalannya waktu. Klue adalah platform intelijen kompetitif berbasis AI, dan penyerang tidak mengalahkan pertahanan yang canggih, melainkan menggunakan satu kredensial integrasi, yang dikeluarkan pada 2022 untuk pilot yang kemudian ditinggalkan dan tidak pernah dicabut, untuk mengautentikasi ke koneksi CRM pelanggan dan menarik catatan melalui kueri otomatis. Apa yang dimulai sebagai beberapa pengungkapan berkembang menjadi melibatkan banyak perusahaan. Bahkan setelah penyerang asli mulai bekerja sama, kelompok kedua muncul mengklaim data yang sama dicuri dan menjalankan kampanye pemerasan mereka sendiri.

Paparan tersebut bukan kegagalan model atau zero‑day yang cerdik; itu adalah jalur akses otomatis yang tepercaya yang tidak ada yang bertanggung jawab secara aktif, dan terus menghasilkan konsekuensi lama setelah insiden dianggap “teratasi.” Saat perusahaan menyalurkan AI dan agennya ke lebih banyak sistem mereka, setiap koneksi menjadi pertanyaan yang sama menunggu untuk diajukan: siapa pemiliknya, siapa yang mengawasinya, dan siapa yang menjawabnya ketika bergerak lebih cepat daripada siapa pun yang dapat mengawasinya?

Regulator menggeser tanggal tepat karena masalah mendasar ini. Bagaimana Anda membuat sistem ini dapat dibaca, diuji, dan akuntabel memang sangat sulit, dan standar serta alatnya belum sepenuhnya matang. Namun itu bukan alasan untuk menunggu, melainkan sinyal paling jelas tentang apa yang harus diprioritaskan segera. Perusahaan yang memperlakukan tambahan waktu sebagai izin untuk menunda akan menghabiskan 2027 melakukan hal yang sama dengan tekanan, sementara pesaing mereka melakukannya sekarang dengan pilihan.

Definisi keberhasilan dalam penerapan AI perusahaan perlu beralih dari kapabilitas pilot ke kemampuan membela hasil. Praktiknya, itu berarti melewati tiga uji pada setiap jalur keputusan yang melibatkan AI: catatan tahan lama tentang apa yang dilakukan sistem, penjelasan yang dapat dipahami non‑insinyur, dan jalur bagi orang yang terdampak untuk menantang hasilnya. Itu bukan kerangka kerja yang diciptakan oleh vendor, melainkan hampir kata per kata apa yang bertahan dari deregulasi Colorado.

Menanyakan apakah AI dapat dipercaya secara abstrak adalah perdebatan filosofis pada 2025. Sekarang dan ke depannya, perusahaan perlu dapat menjawab pertanyaan apakah mereka dapat membela hasil yang diberikan AI, dan membuktikannya setiap kali kepada siapa pun yang menanyakannya.

Batas waktu mungkin ditunda dan lebih banyak perpanjangan mungkin terjadi, tetapi tidak seperti regulator, pasar, dan pelanggan yang pada akhirnya dilayani bisnis Anda, tidak memberikan perpanjangan atau menghibur alasan.