Kebijakan AI di perusahaan: bagaimana mempersiapkan organisasi Anda untuk Undang-Undang AI Uni Eropa
Kecerdasan buatan (AI) berkembang dengan kecepatan tinggi dan telah tertanam dalam operasional bisnis sehari-hari. Mulai dari alat AI generatif dan chatbot hingga sistem yang digunakan untuk perekrutan, analisis pelanggan, dan pengambilan keputusan, semakin banyak organisasi yang bergantung pada sistem AI, seringkali tanpa kejelasan penuh tentang kewajiban hukum dan organisasi yang menyertainya.
Dengan adanya UU AI Uni Eropa , hal itu berubah secara mendasar. Organisasi diharapkan membuat pilihan yang tepat mengenai penggunaan AI dan secara aktif mengelola risiko yang terkait. Artikel ini menjelaskan cara mengembangkan kebijakan AI yang praktis, dapat diterapkan, dan kuat secara hukum, sehingga organisasi Anda siap menghadapi UU AI Uni Eropa dan terus mematuhi peraturan yang ada seperti Peraturan Perlindungan Data Umum (GDPR).
Apa itu kebijakan AI dan mengapa kebijakan ini diperlukan?
Kebijakan AI adalah seperangkat aturan internal yang mendefinisikan bagaimana, mengapa, dan dalam kondisi apa AI dapat digunakan di dalam organisasi. Kebijakan ini memberikan panduan bagi karyawan dan membantu manajemen mempertahankan pengawasan dan kontrol seiring perkembangan teknologi.
AI tidak lagi terbatas pada departemen TI atau perusahaan teknologi besar. Banyak fitur AI yang terintegrasi ke dalam perangkat lunak yang sudah ada, seperti sistem CRM, alat SDM, dan platform pemasaran. Karyawan juga sering bereksperimen dengan alat AI publik atas inisiatif mereka sendiri. Tanpa batasan yang jelas, hal ini dapat menyebabkan pelanggaran privasi, diskriminasi, kurangnya transparansi, atau pengambilan keputusan yang salah.
Undang-Undang AI Uni Eropa dan GDPR menetapkan tanggung jawab yang jelas bagi organisasi. Ini termasuk kewajiban yang berkaitan dengan manajemen risiko, penggunaan data, pengawasan manusia, dan transparansi. Kebijakan AI yang dirancang dengan baik membantu menerjemahkan persyaratan tersebut ke dalam praktik sehari-hari.
Kerangka hukum: UU AI Uni Eropa, GDPR, dan hukum ketenagakerjaan
Undang-Undang AI Uni Eropa mengikuti pendekatan berbasis risiko. Sistem AI diklasifikasikan ke dalam berbagai kategori, mulai dari risiko minimal hingga risiko yang tidak dapat diterima. Untuk penggunaan AI berisiko tinggi, seperti sistem untuk perekrutan dan seleksi, penilaian kredit, atau keputusan lain yang berdampak signifikan pada individu, berlaku persyaratan yang ketat.
Persyaratan ini mencakup, antara lain, manajemen risiko dan dokumentasi, kualitas dan asal usul data, transparansi mengenai cara kerja sistem dan keterbatasannya, serta pengawasan manusia yang efektif dengan kemampuan untuk melakukan intervensi. Praktik AI tertentu dilarang secara langsung, termasuk bentuk-bentuk AI manipulatif tertentu dan penilaian sosial.
Selain itu, GDPR tetap berlaku sepenuhnya. Jika sistem AI memproses data pribadi, prinsip-prinsip inti seperti minimalisasi data, legalitas, keamanan, dan pembatasan pengambilan keputusan otomatis sangat relevan. Hukum ketenagakerjaan dan peraturan perlindungan konsumen juga dapat berlaku, misalnya dalam AI yang terkait dengan SDM atau aplikasi AI yang berinteraksi langsung dengan pelanggan. Kebijakan AI menghubungkan persyaratan hukum ini dengan operasional bisnis sehari-hari.
Tujuan dan cakupan kebijakan AI yang kuat
Kebijakan AI yang efektif bukanlah dokumen teoretis; melainkan kompas praktis bagi siapa pun yang bekerja dengan AI. Kebijakan tersebut harus menjelaskan mengapa organisasi menggunakan AI, apa yang ingin dicapai, risiko apa yang muncul, dan bagaimana karyawan diharapkan menggunakan alat AI secara bertanggung jawab.
Menentukan ruang lingkup sangat penting. Kebijakan tersebut harus menentukan departemen mana yang tercakup, seperti SDM, pemasaran, layanan pelanggan, keuangan, operasional, dan penelitian dan pengembangan. Kebijakan tersebut juga harus memperjelas jenis sistem apa yang termasuk dalam cakupannya, termasuk perangkat lunak AI yang dibeli, model internal, alat AI generatif, chatbot, alat penilaian, dan sistem rekomendasi. Terakhir, kebijakan tersebut harus membahas apakah dan dalam kondisi apa eksperimen individual dengan alat AI publik diperbolehkan.
Komponen-komponen kunci dari kebijakan AI
Kebijakan AI harus dimulai dengan definisi yang jelas, selaras dengan konsep luas AI berdasarkan Undang-Undang AI Uni Eropa, tetapi ditulis dalam bahasa yang dapat dipahami oleh karyawan. Staf harus dapat mengenali kapan mereka menggunakan sistem AI yang sesuai dengan kebijakan tersebut. Contoh praktis berdasarkan domain, seperti SDM, interaksi pelanggan, dan proses internal, membantu menghidupkan hal ini.
Kebijakan tersebut kemudian harus membedakan antara penggunaan AI yang diizinkan, penggunaan terbatas yang tunduk pada syarat, dan penggunaan yang dilarang. Penggunaan yang dilarang mencakup praktik AI yang diklasifikasikan sebagai risiko yang tidak dapat diterima berdasarkan Undang-Undang AI Uni Eropa. Untuk kasus penggunaan dengan risiko terbatas, kebijakan tersebut dapat memberlakukan syarat-syarat seperti kewajiban transparansi atau persetujuan sebelumnya. Penggunaan yang diizinkan dapat dikaitkan dengan perlindungan seperti penilaian risiko, DPIA, dan langkah-langkah teknis dan organisasi tambahan.
Tata kelola merupakan elemen inti lainnya. Kebijakan tersebut harus secara jelas mendefinisikan siapa yang pada akhirnya bertanggung jawab atas kepatuhan AI, siapa yang berwenang untuk memilih atau mengimplementasikan aplikasi AI baru, dan siapa yang mengawasi kepatuhan dan penanganan insiden. Pemilihan vendor dan manajemen pemasok juga penting. Organisasi harus menilai apakah penyedia dapat memenuhi persyaratan Undang-Undang AI Uni Eropa dan memastikan kewajiban tersebut tercermin dengan benar dalam kontrak.
Data, privasi, keamanan, dan transparansi
Karena AI bergantung pada data, kebijakan tersebut harus mendefinisikan data apa yang boleh atau tidak boleh diproses melalui sistem AI. Kebijakan tersebut harus membahas minimalisasi data, anonimisasi atau pseudonimisasi jika sesuai, periode penyimpanan, dan pemisahan data pelatihan dari data produksi. Untuk sistem berisiko tinggi, seringkali diperlukan penilaian gabungan yang mempertimbangkan baik Undang-Undang AI Uni Eropa maupun GDPR.
Sistem AI dan data yang menjadi dasarnya harus diamankan dengan benar. Kebijakan tersebut harus menjelaskan bagaimana hak akses diatur, bagaimana penggunaan dicatat dan dipantau, serta bagaimana insiden dan pelanggaran data ditangani.
Undang-Undang AI Uni Eropa mewajibkan transparansi ketika individu berinteraksi dengan sistem AI atau ketika konten dihasilkan oleh AI. Oleh karena itu, kebijakan tersebut dapat mewajibkan agar karyawan, pelanggan, dan pemangku kepentingan lainnya diberi informasi setiap kali AI digunakan, termasuk karakteristik dan keterbatasan utamanya.
Pengawasan manusia, bias, dan kualitas keputusan
Untuk sistem AI yang berdampak signifikan pada individu, pengawasan manusia sangat penting. Kebijakan tersebut harus menentukan kapan pengawasan manusia atau pengambilan keputusan oleh manusia wajib dilakukan dan bagaimana pengawasan ini diimplementasikan dalam praktik. Disarankan juga untuk secara berkala menguji sistem AI terhadap bias, tingkat kesalahan, dan konsekuensi yang tidak diinginkan, terutama di bidang seperti SDM dan proses pendaftaran pelanggan.
Pelatihan dan literasi AI
Undang-Undang AI Uni Eropa mewajibkan organisasi untuk mempromosikan literasi AI. Oleh karena itu, kebijakan AI harus mencakup kerangka pelatihan dengan tingkat dasar untuk semua karyawan dan pelatihan yang lebih lanjut untuk peran spesifik seperti SDM, TI, tim data, dan manajemen. Pembaruan berkala diperlukan untuk mengikuti perkembangan teknologi dan hukum.
Dari inventaris awal hingga kebijakan AI yang matang
Kebijakan AI yang efektif biasanya dikembangkan secara bertahap. Pertama, organisasi mengidentifikasi aplikasi AI apa yang sedang digunakan, termasuk fitur AI yang tertanam dalam perangkat lunak dan alat yang diadopsi oleh karyawan. Selanjutnya, aplikasi-aplikasi ini diklasifikasikan berdasarkan risiko. Penilaian risiko hukum dan organisasi kemudian dilakukan, setelah itu kebijakan AI dirancang dan diselaraskan dengan kerangka kerja privasi, keamanan informasi, dan SDM yang ada. Kebijakan tersebut kemudian diimplementasikan dalam proses, kontrak, dan sistem. Terakhir, pelatihan, komunikasi, pemantauan, dan pembaruan berkala memastikan kebijakan tersebut tetap efektif dari waktu ke waktu.
Kesimpulan
Undang-Undang AI Uni Eropa memperjelas bahwa eksperimen ad hoc atau tidak terstruktur dengan AI tidak lagi berkelanjutan. Organisasi yang berinvestasi sejak dini dalam kebijakan AI yang dirancang dengan baik mengurangi risiko hukum dan membangun kepercayaan dengan karyawan, pelanggan, dan regulator.
Apakah Anda ingin mengetahui apakah organisasi Anda sudah siap menghadapi Undang-Undang AI Uni Eropa, atau apakah Anda memerlukan dukungan dalam menyusun atau mengimplementasikan kebijakan AI? Hubungi kami. Law & MoreKami dengan senang hati membantu.
FAQ (Pertanyaan Umum)
Apakah kebijakan AI diwajibkan berdasarkan Undang-Undang AI Uni Eropa?
Undang-Undang AI Uni Eropa tidak secara eksplisit mewajibkan organisasi untuk memiliki dokumen berjudul “kebijakan AI”. Namun, dalam praktiknya, kebijakan AI sangat penting untuk menunjukkan kepatuhan terhadap kewajiban yang diberlakukan oleh Undang-Undang AI dan GDPR, seperti manajemen risiko, pengawasan manusia, transparansi, dan literasi AI.
Organisasi mana saja yang tunduk pada Undang-Undang AI Uni Eropa?
Undang-Undang AI Uni Eropa berlaku untuk hampir semua organisasi yang mengembangkan, memasarkan, atau menggunakan sistem AI di Uni Eropa. Ini termasuk tidak hanya perusahaan teknologi, tetapi juga pemberi kerja, penyedia layanan, dan organisasi yang menggunakan AI dalam SDM, pemasaran, interaksi pelanggan, keuangan, atau proses pengambilan keputusan.
Apakah Undang-Undang AI Uni Eropa berlaku jika kita hanya menggunakan perangkat lunak standar yang tersedia di pasaran?
Ya. Bahkan jika fungsi AI tertanam dalam perangkat lunak pihak ketiga, organisasi yang menggunakan sistem tersebut tetap bertanggung jawab atas penggunaannya. Bergantung pada vendor tidak menghilangkan kewajiban pengguna berdasarkan Undang-Undang AI Uni Eropa dan GDPR.
Apa perbedaan antara sistem AI berisiko rendah, berisiko terbatas, dan berisiko tinggi?
Undang-Undang AI Uni Eropa mengklasifikasikan sistem AI berdasarkan tingkat risiko yang ditimbulkannya terhadap hak dan kepentingan mendasar individu. AI berisiko tinggi mencakup sistem yang digunakan untuk perekrutan dan seleksi, evaluasi karyawan, penilaian kelayakan kredit, atau akses ke layanan penting. Sistem-sistem ini tunduk pada persyaratan yang jauh lebih ketat.
Apakah semua aplikasi AI perlu dinilai terlebih dahulu?
Dalam praktiknya, ya. Organisasi harus menginventarisasi dan menilai aplikasi AI sebelum diterapkan dan mengklasifikasikannya berdasarkan risiko. Untuk AI berisiko tinggi, diperlukan penilaian menyeluruh, yang seringkali dikombinasikan dengan Penilaian Dampak Perlindungan Data berdasarkan GDPR.
Bagaimana kebijakan AI berkaitan dengan GDPR?
Undang-Undang AI Uni Eropa dan GDPR saling melengkapi. Undang-Undang AI berfokus pada tata kelola, manajemen risiko, dan fungsi sistem AI, sedangkan GDPR mengatur pemrosesan data pribadi. Kebijakan AI yang efektif mengintegrasikan kedua kerangka kerja tersebut dan memastikan kepatuhan yang konsisten.
Apakah Penilaian Dampak Perlindungan Data selalu diperlukan saat menggunakan AI?
Tidak selalu, tetapi sering kali. Jika sistem AI memproses data pribadi dan kemungkinan besar akan menimbulkan risiko tinggi bagi individu, DPIA (Penilaian Dampak Perlindungan Data) wajib dilakukan berdasarkan GDPR. Dalam kasus AI berisiko tinggi berdasarkan Undang-Undang AI Uni Eropa, DPIA seringkali tidak dapat dihindari dalam praktiknya.
Bisakah sistem AI membuat keputusan otonom tentang karyawan atau pelanggan?
Hanya dengan syarat yang ketat. GDPR membatasi pengambilan keputusan yang sepenuhnya otomatis, dan Undang-Undang AI Uni Eropa mensyaratkan pengawasan manusia yang berarti untuk sistem AI berisiko tinggi. Dalam banyak kasus, manusia harus dapat campur tangan, meninjau, atau mengesampingkan keputusan yang didorong oleh AI.
Bisakah kebijakan AI membatasi penggunaan alat AI publik oleh karyawan?
Ya. Salah satu tujuan utama kebijakan AI adalah untuk menentukan apakah dan dalam kondisi apa karyawan dapat menggunakan alat AI publik. Ini biasanya mencakup aturan tentang memasukkan informasi rahasia, data pribadi, atau informasi bisnis yang sensitif.
Siapa yang bertanggung jawab atas kepatuhan terhadap kebijakan AI?
Kebijakan AI harus secara jelas mengalokasikan tanggung jawab untuk kepatuhan AI. Tanggung jawab utama biasanya berada di tangan manajemen senior atau dewan direksi, dengan peran penting bagi bagian hukum, kepatuhan, TI, dan SDM. Tanpa tata kelola yang jelas, pengawasan yang efektif kemungkinan besar tidak akan terjadi.
Apa saja risiko yang mungkin terjadi jika suatu organisasi tidak memiliki kebijakan AI?
Ketiadaan kebijakan AI meningkatkan risiko ketidakpatuhan terhadap Undang-Undang AI Uni Eropa dan GDPR. Hal ini dapat mengakibatkan denda besar, tindakan penegakan hukum, kerusakan reputasi, dan potensi tanggung jawab perdata. Selain itu, hal ini juga mempersulit pembuktian tata kelola AI yang bertanggung jawab kepada regulator.
Seberapa sering kebijakan AI perlu ditinjau?
Kebijakan AI tidak boleh dianggap sebagai dokumen statis. Tinjauan berkala diperlukan, terutama ketika sistem AI baru diperkenalkan, undang-undang atau pedoman peraturan berubah, atau terjadi insiden. Tinjauan tahunan sering dianggap sebagai persyaratan minimum.
Apakah literasi AI diperlukan untuk semua karyawan?
Undang-Undang AI Uni Eropa mewajibkan organisasi untuk mengambil langkah-langkah guna meningkatkan literasi AI. Ini tidak berarti setiap karyawan harus menjadi ahli teknis, tetapi mereka harus memahami apa itu AI, bagaimana AI digunakan dalam organisasi, dan apa saja risiko yang terkait.
Kapan sebaiknya mencari nasihat hukum?
Konsultasi hukum sangat dianjurkan ketika menerapkan sistem AI berisiko tinggi, ketika ada ketidakpastian tentang legalitas aplikasi tertentu, atau ketika muncul pertanyaan mengenai penegakan hukum, audit, atau tanggung jawab. Peninjauan hukum sejak dini dapat mencegah tindakan korektif yang mahal di kemudian hari.
