Kesenjangan yang Kian Lebar antara Kebijakan AI dan Penegakannya di Dunia Nyata

AI Tidak Diatur oleh Satu Pedoman Saja

AI diterapkan di berbagai industri dan untuk beragam keperluan dengan kecepatan yang melampaui perkembangan kebijakan dan kerangka tata kelola yang diperlukan untuk mengawasinya. Secara historis, penerapan AI umumnya diatur melalui peraturan yang sudah ada mengenai perlindungan konsumen, privasi, dan industri tertentu, serta kebijakan internal masing-masing perusahaan. Kini, pemerintah mulai memperkenalkan persyaratan khusus untuk AI, tetapi persyaratan tersebut masih terfragmentasi dan sering kali hanya memberikan sedikit panduan tentang cara sistem seharusnya beroperasi. Karena itu, perusahaan harus menyelaraskan persyaratan eksternal dengan toleransi risiko, tujuan produk, dan realitas operasional mereka sendiri.

Uni Eropa kini aktif menegakkan sebagian ketentuan AI Act, sementara kebijakan federal AS secara tegas mengutamakan kerangka nasional yang tidak terlalu membebani. Executive Order 14365 berupaya membatasi persyaratan negara bagian yang saling bertentangan, sementara negara-negara bagian memperkenalkan lebih dari 1.000 langkah terkait AI pada 2025. Masing-masing otoritas ini menggambarkan tujuan yang berbeda, dan perusahaan yang membangun serta menerapkan sistem tersebut harus menanggung tugas untuk menyelaraskannya.

Namun, menetapkan persyaratan regulasi hanyalah sebagian dari tantangan. Seiring AI diterapkan dalam semakin banyak aplikasi dan konteks, perusahaan harus menerjemahkan persyaratan umum dan kebijakan internal menjadi kontrol operasional dan keputusan individual yang dibuat AI. Tidak ada kerangka regulasi yang dapat mengantisipasi setiap aplikasi, konteks, atau kompromi yang perlu diambil. Karena itu, organisasi perlu menelusuri jalur dari persyaratan yang mengatur dan kebijakan internal hingga perilaku sistem, hasil yang dapat diukur, serta audit atau peninjauan. NIST AI Risk Management Framework berpandangan serupa dengan menekankan pengukuran dan pengelolaan berkelanjutan, alih-alih memperlakukan tata kelola sebagai kegiatan kepatuhan yang berdiri sendiri. Persyaratan mengalir ke bawah, sementara bukti mengalir kembali ke atas: regulator dan eksekutif dapat menetapkan hasil yang diinginkan, tetapi organisasi harus menunjukkan apakah sistem mereka benar-benar menghasilkan hal tersebut.

Dengan demikian, sebagian besar tanggung jawab praktis atas tata kelola AI berada pada organisasi yang menerapkan sistem-sistem ini.

Tantangan Tata Kelola Muncul pada Tahap Implementasi

Regulasi dan kerangka tata kelola umumnya menetapkan prinsip, kewajiban, dan hasil yang diinginkan. Namun, sistem produksi harus menerjemahkan semua itu menjadi keputusan individual, dan di sinilah tata kelola menjadi sulit. Sebuah kebijakan dapat menyatakan bahwa diskriminasi harus dicegah, pengguna harus dilindungi, transparansi harus diberikan, atau peninjauan manusia yang bermakna harus dimungkinkan. Namun, sistem operasional harus menjawab pertanyaan yang jauh lebih spesifik: pada ambang batas berapa sistem akan bertindak, berdasarkan bukti apa dan dengan tingkat keyakinan berapa, kapan peninjauan manusia diperlukan, apa yang dicatat, dan apa yang terjadi ketika sistem tidak yakin?

Regulator sudah mengharapkan jawaban atas pertanyaan-pertanyaan tersebut. FTC, DOJ, CFPB, dan EEOC menyatakan bersama bahwa mereka akan menegakkan kewenangan yang sudah dimiliki atas sistem otomatis. Artinya, pada akhirnya akan ada pihak yang meminta perusahaan menjelaskan cara sistemnya mengambil keputusan.

Bayangkan sebuah platform yang memiliki kebijakan tegas untuk melarang pelecehan. Pesan yang berisi kata-kata kasar mungkin sekadar candaan yang tidak berbahaya di antara teman, sementara pesan yang tampaknya tidak bermasalah bisa jadi merupakan bagian dari kampanye berkelanjutan untuk menyasar pengguna lain. Sistem harus menentukan konteks apa yang dapat digunakan secara andal, seberapa banyak bukti yang cukup untuk melakukan intervensi, serta intervensi apa yang tepat: memblokir pesan, memperingatkan pengirim, meneruskannya untuk ditinjau manusia, atau tidak mengambil tindakan. Menurunkan ambang deteksi dapat membantu menemukan lebih banyak perilaku berbahaya, tetapi juga dapat membungkam percakapan yang sah. Mewajibkan peninjauan manusia dapat meningkatkan kualitas pertimbangan, tetapi juga menunda intervensi. Tidak satu pun keputusan ini ditentukan oleh kebijakan umum yang melarang pelecehan, tetapi secara bersama-sama semuanya menentukan bagaimana kebijakan tersebut benar-benar ditegakkan.

Tidak ada dokumen kebijakan yang menetapkan keputusan atas kompromi tersebut sejak awal. Karena itu, seseorang di dalam perusahaan harus mengambil keputusan, mendokumentasikannya, dan meninjaunya kembali. Orang tersebut pada hakikatnya sedang menyusun kebijakan, terlepas dari apakah bagan organisasi menyebutnya demikian.

Hal-Hal yang Sesungguhnya Dibutuhkan oleh AI yang Bertanggung Jawab

Jika orang-orang yang menerapkan sistem pada hakikatnya adalah pihak yang menyusun kebijakan, AI yang bertanggung jawab tidak bisa hanya diwujudkan melalui pernyataan niat. Prinsip tersebut harus tampak dalam perilaku sistem sehari-hari. Artinya, penggunaan, pengukuran, dan perbaikan AI perlu dikelola dari waktu ke waktu, bukan sekadar menyetujui kebijakan atau meluluskan evaluasi awal. Dalam praktiknya, ada tiga gagasan terpenting, dan masing-masing berangkat dari kompromi yang telah dibahas di atas:

• Tingkat tata kelola harus sebanding dengan konsekuensinya. Sistem AI yang memberikan rekomendasi naskah, menyetujui pinjaman, menandai ancaman keamanan, atau mendukung keputusan medis menimbulkan risiko yang sangat berbeda. Organisasi perlu menentukan kapan kontrol, peninjauan, dan pengawasan yang lebih ketat diperlukan berdasarkan potensi konsekuensinya.
• Akurasi saja tidak cukup. Setiap jenis kesalahan menimbulkan dampak yang berbeda. Positif palsu dalam moderasi dapat membungkam ucapan yang sah, sedangkan kesalahan dalam pemberian pinjaman, layanan kesehatan, atau keamanan dapat menimbulkan konsekuensi yang jauh lebih berat. Tata kelola harus mencerminkan dampak nyata suatu keputusan, bukan hanya kinerja model.
• Evaluasi dan umpan balik berkelanjutan sangat penting. Pengesampingan keputusan, banding, insiden, kasus-kasus khusus, dan dampak lanjutan semuanya harus menjadi masukan bagi evaluasi berkelanjutan.

Kerangka Praktis untuk Tata Kelola AI Internal

Untuk menerapkan prinsip-prinsip ini, tata kelola harus menjadi bagian dari cara sistem AI dirancang, diterapkan, dan dikelola. Empat praktik sangat penting:

• Perlakukan persyaratan tata kelola sebagai persyaratan produk dan sistem sejak awal. Kontrol kepatuhan yang ditambahkan setelah penerapan cenderung mahal dan rapuh. Privasi, transparansi, kemampuan untuk diaudit, dan mekanisme peninjauan jauh lebih mudah dirancang ke dalam sistem daripada ditambahkan belakangan.
• Bangun rantai yang dapat diaudit dari kebijakan hingga keputusan. Organisasi harus dapat menghubungkan persyaratan yang berlaku atau kebijakan internal dengan kontrol yang diterapkan dan keputusan yang dihasilkan. Mereka juga memerlukan bukti yang dibutuhkan untuk mengevaluasi keputusan tersebut.
• Tetapkan kepemilikan dan akuntabilitas yang jelas. Tentukan siapa yang bertanggung jawab atas kebijakan, siapa yang menetapkan tingkat risiko yang dapat diterima, dan siapa yang memantau kinerja. Seseorang juga harus berwenang melakukan intervensi ketika sistem berperilaku di luar batas tersebut.
• Bangun infrastruktur tata kelola bersama yang adaptif. Kontrol data, jejak audit, kebijakan yang dapat dikonfigurasi, alur kerja peninjauan, dan pengukuran harus mendukung berbagai persyaratan regulasi dan kasus penggunaan. Kontrol dan ambang batas harus dapat disesuaikan dengan yurisdiksi, penerapan, dan tingkat risiko, sehingga organisasi dapat menanggapi perubahan persyaratan tanpa membangun ulang sistem mereka.

Tata Kelola Harus Berjalan dalam Praktik

Regulasi dapat menetapkan kewajiban dan prinsip, tetapi perusahaan tetap harus menerjemahkannya menjadi sistem yang mengambil keputusan nyata dalam skala besar. Karena itu, tata kelola internal merupakan tanggung jawab operasional, bukan sekadar latihan kepatuhan. Setiap perusahaan yang menerapkan AI dalam skala besar sudah menyusun kebijakan melalui ambang batas, aturan peninjauan, dan jalur eskalasinya; satu-satunya pertanyaan yang belum terjawab adalah apakah hal itu dilakukan dengan sengaja.

Regulator akan terus menentukan hasil yang mereka inginkan, dan mereka tidak selalu sepakat. Karena itu, perusahaan harus memutuskan bagaimana ekspektasi tersebut diwujudkan menjadi kontrol, lalu menunjukkan dengan bukti bahwa kontrol itu berfungsi. Perusahaan yang sekarang membangun kepemilikan yang jelas, kontrol yang terukur, kemampuan audit, dan infrastruktur yang adaptif akan lebih siap seiring terus berkembangnya regulasi.

Saya telah melihat masalah ini dari beberapa sisi: di lingkungan keamanan siber, saat membangun model risiko, dan kini saat mengoperasikan sistem AI dalam skala besar. Dalam setiap konteks, pelajarannya serupa: suatu kerangka hanya berfungsi jika dapat diterjemahkan menjadi keputusan yang jelas, diukur dalam praktik, dan disempurnakan ketika kenyataan menunjukkan kesenjangan.