EU AI Act untuk Perusahaan: Kewajiban, Tenggat, dan Checklist Praktis

Untuk pembaca Indonesia, aturan ini paling relevan bila bisnis Anda mengembangkan, menawarkan, atau memakai AI dalam konteks pasar dan operasi Uni Eropa. Artikel ini bukan nasihat hukum, tetapi dapat menjadi peta awal untuk berdiskusi dengan tim legal, compliance, IT, produk, dan unit bisnis.

Apa yang berubah bagi perusahaan

EU AI Act menggeser cara perusahaan melihat AI. Pertanyaannya bukan lagi sekadar, 'Boleh tidak memakai AI?' melainkan, 'Use case AI ini masuk kategori apa?'

Contohnya, alat internal untuk merangkum dokumen tidak bisa disamakan dengan sistem yang menyaring kandidat kerja, menilai performa karyawan, atau membantu mengambil keputusan yang berdampak pada seseorang. Sumber yang tersedia menggambarkan AI Act sebagai pendekatan bertahap: dimulai dari praktik AI yang dilarang, lalu kewajiban untuk model General-Purpose AI atau GPAI, kemudian sebagian besar kewajiban untuk sistem AI berisiko tinggi, dan setelah itu sejumlah sistem AI dalam produk yang sudah diatur oleh rezim produk tertentu.

Tiga pertanyaan praktis yang perlu dijawab perusahaan adalah:

1. Use case: AI melakukan apa, memakai data apa, dan seberapa besar pengaruhnya terhadap keputusan?
2. Peran perusahaan: Apakah Anda pengguna operasional atau deployer, penyedia sistem AI, atau penyedia model GPAI?
3. Risiko: Apakah penggunaan tersebut berpotensi masuk praktik terlarang, GPAI, AI berisiko tinggi, atau kategori yang lebih rendah risikonya?

Tenggat utama yang perlu masuk kalender

Ringkasan ini tidak menggantikan telaah hukum, tetapi membantu perusahaan menyusun prioritas.

Uji awal: use case, peran, risiko

1. Mulai dari fungsi, bukan nama alat

Jangan mulai dari merek atau nama produknya. Mulailah dari tujuan penggunaan. Fakta bahwa sebuah produk memakai AI belum cukup untuk menentukan kewajiban perusahaan.

Yang perlu dilihat adalah apakah AI tersebut menilai manusia, memengaruhi akses ke kesempatan atau layanan, mengendalikan proses yang menyangkut keselamatan, atau hanya membantu pekerjaan internal yang dampaknya terbatas.

Perusahaan sebaiknya memeriksa lebih awal penggunaan AI di area sensitif. Sumber yang tersedia menyebut biometrik, infrastruktur kritis, pendidikan, ketenagakerjaan, dan layanan publik sebagai area yang dapat menimbulkan pertanyaan terkait AI berisiko tinggi.

2. Pastikan peran perusahaan dalam setiap use case

Satu perusahaan bisa punya peran berbeda untuk aplikasi AI yang berbeda. Saat memakai alat AI yang dibeli dari vendor, perusahaan Anda mungkin terutama bertindak sebagai pengguna operasional atau deployer. Jika Anda memasarkan produk sendiri dengan fitur AI, kewajiban sebagai penyedia sistem AI bisa menjadi relevan. Jika Anda mengembangkan atau menyediakan model General-Purpose AI, ada isu GPAI yang perlu diperiksa secara khusus.

Klasifikasi peran ini penting karena kewajiban tidak hanya ditentukan oleh risiko sistem, tetapi juga oleh posisi perusahaan: menyediakan, mengoperasikan, atau menjadi penyedia model.

3. Petakan tingkat risiko secara bertahap

Sebagai pemeriksaan awal, gunakan empat langkah berikut:

1. Singkirkan risiko praktik terlarang. Jika use case masuk kategori terlarang, ini bukan urusan kepatuhan untuk nanti; ini sudah kritis sejak awal.
2. Periksa hubungan dengan GPAI. Apakah perusahaan Anda menyediakan model GPAI sendiri, atau hanya memakai model pihak lain dalam aplikasi tertentu?
3. Periksa potensi AI berisiko tinggi. Apakah use case berada di area sensitif atau memengaruhi keputusan tentang seseorang?
4. Periksa rezim produk. Apakah AI tertanam dalam produk yang sudah diatur, sehingga mungkin memiliki masa transisi khusus?

Yang sebaiknya mulai dibangun sekarang

Buat AI register

Langkah praktis pertama adalah membuat AI register atau daftar inventaris AI. Jangan hanya mencatat proyek AI besar. Masukkan juga alat bantu internal, fitur AI dalam SaaS yang dibeli, otomatisasi, fitur produk buatan sendiri, dan model yang digunakan.

AI register yang berguna setidaknya memuat:

• nama alat atau sistem;
• tujuan penggunaan dan unit kerja pemilik;
• apakah sistem disediakan secara internal atau eksternal;
• jenis data yang digunakan;
• orang atau kelompok yang terdampak;
• pengaruh AI terhadap keputusan;
• vendor, pemilik internal, dan tim yang bertanggung jawab;
• penilaian awal: apakah ada risiko praktik terlarang, hubungan dengan GPAI, potensi AI berisiko tinggi, atau risiko lebih rendah.

Inventarisasi ini menjadi dasar untuk memeriksa peran dan kategori risiko per use case secara dapat ditelusuri.

Prioritaskan use case yang sensitif

Tidak semua penggunaan AI perlu diperlakukan dengan intensitas yang sama. Dahulukan sistem yang menilai manusia, memengaruhi akses terhadap kesempatan atau layanan, atau digunakan di area sensitif seperti biometrik, infrastruktur kritis, pendidikan, ketenagakerjaan, dan layanan publik.

Dalam praktik bisnis, ini bisa mencakup alat HR, penyaringan kandidat, evaluasi performa, aplikasi yang dekat dengan keselamatan, dan sistem yang menyiapkan keputusan tentang seseorang. Namun, apakah sebuah kasus benar-benar termasuk AI berisiko tinggi tetap bergantung pada alur kerja yang konkret dan peran perusahaan Anda.

Siapkan governance dan dokumentasi

Untuk sistem AI berisiko tinggi, sumber yang tersedia menyebut persyaratan seperti manajemen risiko, dokumentasi teknis, dan penilaian kesesuaian. Tugas yang benar-benar jatuh kepada perusahaan Anda bergantung pada peran dan sistem yang digunakan. Untuk sistem AI berisiko tinggi dalam Annex III atau Lampiran III, kerangka kepatuhan penuh mulai relevan pada 2 Agustus 2026.

Persiapan yang masuk akal meliputi:

• menunjuk penanggung jawab dari unit bisnis, IT, data protection, legal, dan compliance;
• membuat proses persetujuan untuk alat AI baru;
• meminta dokumen vendor, dokumentasi teknis, dan komitmen kontraktual;
• mendokumentasikan tujuan, data, risiko, kontrol manusia, dan perubahan sistem;
• meminta penilaian hukum lebih awal untuk kasus abu-abu.

Jangan anggap remeh literasi AI

Literasi AI bukan hanya urusan sistem berisiko tinggi. Salah satu sumber menggambarkan kewajiban AI literacy sebagai kewajiban luas bagi penyedia dan deployer, terlepas dari tingkat risiko sistem AI mereka; bahkan organisasi yang hanya memakai sistem AI berisiko minimal tetap perlu memperhatikan literasi AI dan menghindari praktik yang dilarang.

Secara praktis, karyawan yang memilih, mengonfigurasi, atau memakai AI perlu memahami batas sistem, jenis kesalahan yang umum terjadi, dan kapan hasil AI harus ditinjau manusia.

Tiga skenario yang sering ditemui perusahaan

1. Perusahaan hanya memakai alat AI internal

Kuncinya tetap: dipakai untuk apa? Alat untuk merangkum teks atau membantu riset internal berbeda dari alat yang digunakan dalam HR, penilaian, akses ke layanan, atau proses sensitif lainnya. Meski risikonya tampak rendah, alat seperti ini tetap sebaiknya masuk AI register. Literasi AI dan aturan penggunaan yang jelas juga tetap relevan.

2. Perusahaan membangun produk SaaS dengan fitur AI

Periksa apakah perusahaan Anda dapat dianggap sebagai penyedia sistem AI dan apakah fitur tersebut masuk konteks berisiko tinggi. Untuk sistem AI berisiko tinggi, mulai 2026 akan semakin relevan persyaratan seperti manajemen risiko, dokumentasi teknis, dan penilaian kesesuaian.

3. AI dipakai untuk rekrutmen, scoring, atau layanan pelanggan

Rekrutmen dan konteks ketenagakerjaan perlu diperiksa lebih awal karena ketenagakerjaan disebut dalam sumber sebagai area yang dapat memunculkan isu AI berisiko tinggi. Untuk scoring atau layanan pelanggan, penilaiannya sangat bergantung pada apakah AI hanya membantu staf, atau justru menyiapkan, memengaruhi, atau mengotomatisasi keputusan tentang seseorang. Tanpa gambaran alur kerja yang rinci, klasifikasi yang pasti tidak bisa dibuat secara bertanggung jawab.

Checklist singkat untuk langkah berikutnya

1. Catat semua penggunaan AI: alat, model, fitur produk, dan otomatisasi.
2. Lakukan triase use case: singkirkan praktik terlarang lebih dulu, lalu periksa hubungan dengan GPAI dan kemungkinan AI berisiko tinggi.
3. Tentukan peran perusahaan: untuk setiap aplikasi, klarifikasi apakah Anda deployer, penyedia sistem AI, atau penyedia model GPAI.
4. Dahulukan area sensitif: HR, biometrik, infrastruktur kritis, pendidikan, layanan publik, dan proses yang dekat dengan keputusan tentang seseorang.
5. Periksa vendor: untuk AI yang dibeli, pastikan dokumentasi, informasi risiko, pembaruan, dan komitmen kontraktual yang tersedia.
6. Bangun governance: tetapkan penanggung jawab, alur persetujuan, pelatihan, dan dokumentasi.
7. Rencanakan persiapan AI berisiko tinggi: untuk kemungkinan sistem Annex III, perlakukan 2 Agustus 2026 sebagai titik persiapan utama.

Kesimpulan

Bagi perusahaan, pertanyaan terpenting dalam EU AI Act bukan 'bolehkah kami memakai AI?' melainkan 'use case apa yang sedang kami jalankan, apa peran kami, dan tenggat mana yang berlaku?'

Jika perusahaan hanya memakai beberapa alat AI internal, bebannya mungkin relatif terbatas. Namun AI register, aturan penggunaan, dan literasi AI tetap penting dan dalam beberapa konteks secara eksplisit relevan. Jika perusahaan menggunakan AI di area sensitif, menawarkan produk AI, atau menyediakan model GPAI, pemeriksaan sebaiknya tidak ditunda sampai 2026.