AI Berisiko Tinggi di Uni Eropa: Apa yang Harus Disiapkan Penyedia sebelum 2027

Intinya ada pada jadwalnya: kewajiban penuh Uni Eropa (UE) untuk sistem AI berisiko tinggi telah ditunda, bukan sudah berlaku secara umum. Sistem mandiri yang tercantum dalam Annex III dijadwalkan tunduk pada persyaratan tersebut mulai 2 Desember 2027. Untuk AI berisiko tinggi yang menjadi bagian dari produk tertentu yang sudah diatur secara khusus, tanggal berlakunya adalah 2 Agustus 2028. 18

Bagi perusahaan yang berniat menempatkan sistem semacam ini di pasar UE, waktu tambahan itu bukan berarti bebas dari pekerjaan kepatuhan. Penyedia perlu membangun proses yang dapat membuktikan keamanan, keterlacakan, dan akuntabilitas sebelum produk diluncurkan.

Sistem AI seperti apa yang tergolong berisiko tinggi?

Kategori AI berisiko tinggi mencakup dua kelompok utama:

• Sistem AI yang dipakai sebagai komponen keselamatan pada produk yang diatur oleh hukum produk UE tertentu, apabila produk tersebut wajib menjalani penilaian kesesuaian oleh pihak ketiga.
• Sistem AI dalam bidang penggunaan tertentu yang tercantum pada Annex III, dengan mempertimbangkan kualifikasi dan pengecualian yang diatur dalam UU AI UE. 15

Penetapan kategori ini penting karena status berisiko tinggi memicu kewajiban sepanjang siklus hidup sistem yang jauh lebih ketat dibandingkan alat AI biasa.

Kewajiban kepatuhan yang perlu disiapkan penyedia

Sebelum sistem AI berisiko tinggi dapat ditempatkan di pasar UE, pengendalinya harus dirancang sebagai bagian dari pengembangan produk—bukan baru disusun ketika regulator meminta penjelasan.

Manajemen risiko dan tata kelola data

Penyedia wajib menerapkan langkah penilaian serta mitigasi risiko. Mereka juga harus menggunakan dataset dengan mutu memadai guna mengurangi risiko keluaran yang diskriminatif. Kerangka AI berisiko tinggi menekankan data pelatihan, validasi, dan pengujian yang relevan, representatif, serta dikelola secara layak. 115

Dokumentasi dan keterlacakan

Sistem AI berisiko tinggi harus menyimpan log aktivitas untuk mendukung keterlacakan. Penyedia juga wajib memiliki dokumentasi teknis terperinci mengenai sistem dan tujuan penggunaannya. Bukti tersebut memungkinkan otoritas menilai kepatuhan sistem terhadap aturan. 1

Pengawasan manusia dan ketahanan operasional

Aturan UE mewajibkan pengawasan manusia yang sesuai, serta tingkat akurasi, ketahanan, dan keamanan siber yang tinggi. Penyedia harus memberi informasi yang jelas dan memadai kepada pihak yang menggunakan sistem agar sistem dipakai sesuai tujuan, termasuk dengan pemahaman atas keterbatasannya. 1

Penilaian kesesuaian, pendaftaran, dan pemantauan

Penyedia harus menyelesaikan penilaian kesesuaian yang berlaku sebelum sistem AI berisiko tinggi dipasarkan. Jika diwajibkan, sistem perlu didaftarkan; kinerjanya harus dipantau setelah dirilis; dan insiden serius mesti dilaporkan. Artinya, kepatuhan adalah fungsi operasional berkelanjutan, bukan sekadar persetujuan sekali saat produk diluncurkan. 115

Daftar periksa kesiapan menuju 2027 dan 2028

Organisasi yang mempersiapkan tenggat tersebut sebaiknya dapat menjawab pertanyaan berikut:

1. Apakah sistem ini benar-benar berisiko tinggi? Petakan kasus penggunaannya terhadap kategori Annex I dan Annex III.
2. Siapa yang bertanggung jawab? Tetapkan pemilik tanggung jawab untuk keamanan produk, kepatuhan hukum, dokumentasi, dan respons insiden.
3. Apakah risiko dapat dibuktikan dan dimitigasi? Jalankan proses manajemen risiko yang berulang, lengkap dengan pengujian dan catatan keputusan.
4. Apakah pengendalian data dapat dipertanggungjawabkan? Dokumentasikan relevansi dataset, keterwakilan, pemeriksaan kualitas, dan keterbatasan yang diketahui.
5. Apakah sistem siap diaudit? Simpan log, berkas teknis, dan petunjuk penggunaan yang menjelaskan tujuan serta batasan sistem.
6. Apakah pengawasan manusia benar-benar bekerja? Tentukan kapan manusia dapat campur tangan, mengesampingkan keluaran, atau menghentikan penggunaan sistem.
7. Apakah pemantauan pascapemasaran sudah siap dijalankan? Siapkan proses pemantauan kinerja, tindakan korektif, dan pelaporan insiden.

Potensi denda dalam EU AI Act

EU AI Act menetapkan denda berdasarkan nominal euro dan persentase omzet tahunan global. Tingkat paling berat, untuk praktik AI yang dilarang, dapat mencapai €35 juta atau 7% dari omzet tahunan global. Untuk bentuk ketidakpatuhan lain, denda dapat mencapai €15 juta atau 3% dari omzet tahunan global. 3

Besarnya risiko finansial ini membuat program kepatuhan AI berisiko tinggi tidak cukup hanya ditangani tim hukum. Tim produk, keamanan, data science, pengadaan, kepatuhan, dan operasional perlu memiliki bukti bahwa pengamanan tersebut benar-benar berjalan.

Mengapa penundaan tenggat tetap penting sekarang?

Perubahan tanggal memang memberi perusahaan waktu tambahan, tetapi substansi kewajibannya tetap luas. Penyedia yang baru bergerak menjelang akhir 2027 masih harus membangun sistem dokumentasi, menyesuaikan praktik pengembangan model, menerapkan logging, menguji mekanisme pengawasan, dan menyiapkan alur pelaporan pascapemasaran.

Pendekatan yang paling berguna adalah memperlakukan EU AI Act sebagai standar tata kelola produk: identifikasi penggunaan berisiko tinggi sejak dini, kumpulkan bukti selama sistem dikembangkan, lalu jadikan keamanan, keterlacakan, dan kendali manusia sebagai bagian dari proses rilis sejak awal. 115