Undang-Undang AI Uni Eropa: apa yang berlaku sekarang dan apa yang ditunda

Undang-Undang AI Uni Eropa, Peraturan (EU) 2024/1689 , telah diterapkan secara bertahap sejak mulai berlaku pada 1 Agustus 2024: larangan, aturan untuk model AI tujuan umum, dan kewajiban transparansi untuk chatbot dan konten yang dihasilkan AI sudah berlaku. Rezim yang paling ketat, untuk AI berisiko tinggi, telah ditunda oleh AI Omnibus hingga 2 Desember 2027 untuk sistem yang tercantum dalam Lampiran III dan hingga 2 Agustus 2028 untuk AI dalam produk yang diatur.

Peraturan AI Omnibus, Regulation (EU) 2026/1744, diterbitkan dalam Jurnal Resmi pada Juli 2026 dan sekarang telah berlaku. Oleh karena itu, tanggal penundaan tersebut merupakan hukum yang telah ditetapkan, bukan asumsi perencanaan.

Apa yang dimaksud dengan Undang-Undang AI UE?

Undang-Undang AI adalah peraturan Uni Eropa berbasis risiko: semakin tinggi risiko yang ditimbulkan oleh sistem AI, semakin berat kewajibannya. Peraturan ini berlaku langsung di Belanda, tanpa memerlukan undang-undang pelaksana Belanda untuk aturan intinya.

Undang-undang tersebut mendefinisikan sistem AI secara luas, sejalan dengan pendekatan OECD. Sistem ini berbasis mesin yang beroperasi dengan tingkat otonomi tertentu, dapat beradaptasi setelah diimplementasikan, dan dari masukan yang diterimanya, menyimpulkan cara menghasilkan keluaran seperti prediksi, konten, rekomendasi, atau keputusan yang dapat memengaruhi lingkungan fisik atau virtual. Perangkat lunak berbasis aturan sederhana yang hanya mengikuti instruksi yang ditulis oleh manusia umumnya berada di luar cakupan definisi ini.

Apakah Undang-Undang AI berlaku untuk organisasi Anda?

Kemungkinan besar, jika Anda mengembangkan, menjual, atau menggunakan sistem AI dalam konteks profesional di Uni Eropa. Undang-undang ini juga menjangkau perusahaan di luar Uni Eropa ketika sistem mereka ditempatkan di pasar Uni Eropa atau hasil keluarannya digunakan di Uni Eropa.

Oleh karena itu, perusahaan AS atau Inggris yang melayani pelanggan Eropa dapat termasuk dalam cakupan undang-undang ini. Undang-undang ini membedakan beberapa peran, masing-masing dengan tugasnya sendiri:

• Para penyedia mengembangkan sistem AI atau model AI serbaguna dan memasarkannya atau menggunakannya dengan nama atau merek dagang mereka sendiri. Mereka memikul kewajiban terberat.
• Pihak yang menerapkan sistem AI menggunakan sistem tersebut di bawah wewenang mereka dalam konteks profesional, misalnya seorang pemberi kerja yang menggunakan alat AI untuk menyaring pelamar kerja. Penggunaan pribadi semata, yang bukan untuk tujuan profesional, berada di luar kewajiban ini.
• Importir dan distributor membawa sistem pihak ketiga ke pasar Uni Eropa atau menyediakannya lebih jauh di rantai pasokan, dan harus memeriksa bahwa penyedia tersebut telah memenuhi kewajibannya.
• Produsen produk dan, dalam beberapa kasus, perwakilan resmi dari penyedia non-UE dapat memikul kewajiban sebagai penyedia.

Peran Anda dapat berubah. Pihak yang melakukan deployment dan memodifikasi sistem berisiko tinggi secara substansial, atau memasarkannya dengan nama sendiri, menjadi penyedia dan memikul tanggung jawab yang lebih ketat. Periksa hal ini sebelum Anda melakukan kustomisasi pada sistem yang dibeli dari vendor.

Bagaimana Undang-Undang AI mengklasifikasikan risiko?

Undang-undang ini menggunakan empat tingkatan risiko: praktik terlarang, risiko tinggi, risiko terbatas dengan kewajiban transparansi, dan risiko minimal. Tingkat risiko bergantung pada tujuan penggunaan sistem tersebut, bukan pada teknologi di baliknya.

Praktik terlarang

Beberapa penggunaan dilarang secara langsung berdasarkan Pasal 5, dan larangan tersebut telah berlaku sejak 2 Februari 2025. Larangan tersebut mencakup teknik manipulatif atau menipu yang secara material mendistorsi perilaku dan menyebabkan kerugian yang signifikan, serta mengeksploitasi kerentanan yang berkaitan dengan usia, disabilitas, atau situasi sosial ekonomi. Yang juga dilarang adalah penilaian sosial, pengambilan data wajah tanpa target untuk membangun basis data pengenalan, pengenalan emosi di tempat kerja dan di bidang pendidikan (kecuali untuk alasan medis atau keselamatan), dan kategorisasi biometrik yang menyimpulkan karakteristik sensitif seperti agama atau orientasi seksual.

Identifikasi biometrik jarak jauh secara real-time di ruang publik untuk penegakan hukum dilarang, dengan pengecualian terbatas dan perlindungan tertentu. AI Omnibus menambahkan larangan baru pada sistem AI yang menghasilkan materi pelecehan seksual anak atau gambar intim tanpa persetujuan dari orang yang dapat diidentifikasi.

Berisiko tinggi

Sistem berisiko tinggi diizinkan tetapi diatur secara ketat. Terdapat dua kelompok. Lampiran I mencakup AI yang merupakan komponen keselamatan dari, atau merupakan produk itu sendiri, yang sudah diatur oleh undang-undang produk Uni Eropa, seperti perangkat medis, mesin, lift, dan mainan. Lampiran III mencantumkan penggunaan mandiri di area sensitif: biometrik, infrastruktur kritis, pendidikan, pekerjaan dan manajemen pekerja, akses ke layanan publik dan swasta penting seperti kredit dan asuransi, penegakan hukum, migrasi dan kontrol perbatasan, serta administrasi peradilan dan proses demokrasi.

Suatu sistem yang tercantum dalam Lampiran III tidak dianggap berisiko tinggi jika hanya melakukan tugas prosedural atau persiapan yang terbatas dan tidak secara material memengaruhi hasil suatu keputusan. Pengecualian tersebut dibuat dengan ketat, dan penyedia yang mengandalkannya harus mendokumentasikan penilaiannya.

Risiko terbatas: transparansi

Beberapa sistem tidak berisiko tinggi tetapi dapat menyesatkan orang. Sistem-sistem tersebut memiliki kewajiban transparansi berdasarkan Pasal 50. Masyarakat harus diberitahu ketika mereka berinteraksi dengan chatbot, konten yang dihasilkan atau dimanipulasi oleh AI harus diungkapkan dan ditandai, dan masyarakat harus diinformasikan ketika mereka terpapar pengenalan emosi atau kategorisasi biometrik yang diizinkan.

Resiko minimal

Sebagian besar AI, seperti filter spam, mesin rekomendasi, dan AI dalam permainan video, termasuk dalam kategori ini. Undang-undang ini tidak menetapkan kewajiban khusus di sini, meskipun kode etik sukarela dianjurkan, dan kewajiban literasi AI umum dalam Pasal 4 masih berlaku.

Kapan kewajiban tersebut berlaku?

Undang-undang ini berlaku secara bertahap. Larangan, kewajiban literasi AI, aturan untuk AI tujuan umum, dan kewajiban transparansi sudah berlaku; aturan risiko tinggi akan menyusul pada Desember 2027 dan Agustus 2028.

Sejak 2 Agustus 2026, kewajiban transparansi berlaku sepenuhnya; hanya sistem AI generatif yang sudah ada di pasaran sebelum tanggal tersebut yang memiliki waktu hingga 2 Desember 2026 untuk penandaan yang dapat dibaca mesin. Waktu tambahan untuk AI berisiko tinggi adalah penangguhan, bukan pengecualian: membangun berkas teknis, manajemen risiko, dan pengawasan manusia membutuhkan waktu berbulan-bulan.

Apa yang harus dilakukan oleh penyedia, penyebar, dan importir?

Penyedia sistem berisiko tinggi memikul beban utama dan harus membuktikan kesesuaian sebelum sistem tersebut dipasarkan. Pengimplementasikan harus menggunakan sistem dengan benar, mengawasinya, dan memberi informasi kepada orang-orang yang terdampak.

Penyedia sistem berisiko tinggi harus membangun sistem manajemen risiko yang mencakup seluruh siklus hidup, menerapkan tata kelola data, menyimpan dokumentasi teknis, membangun pencatatan otomatis dan pengawasan manusia, serta mencapai akurasi, ketahanan, dan keamanan siber yang memadai. Sebelum peluncuran ke pasar, mereka menyelesaikan penilaian kesesuaian, deklarasi kesesuaian UE, penandaan CE, dan pendaftaran dalam basis data UE, dan setelah itu mereka memantau sistem dan melaporkan insiden serius.

Pihak yang menerapkan sistem berisiko tinggi harus menggunakan sistem tersebut sesuai dengan instruksi penyedia, menugaskan pengawasan manusia kepada staf yang kompeten, memastikan data masukan relevan, memantau pengoperasian, dan menyimpan catatan log. Jika diperlukan, mereka harus memberi tahu orang-orang yang terdampak. Badan publik dan pihak swasta tertentu yang menerapkan sistem tersebut, misalnya dalam penilaian kredit dan penetapan harga asuransi, harus melakukan penilaian dampak hak-hak dasar. Pemberi kerja harus memberi tahu pekerja dan perwakilan mereka sebelum mereka menggunakan sistem berisiko tinggi di tempat kerja.

Kewajiban literasi AI dalam Pasal 4 berlaku untuk semua penyedia dan pengimplementasikan. AI Omnibus telah melunakkan redaksinya: organisasi sekarang harus mengambil langkah-langkah untuk mendukung tingkat literasi AI yang memadai di antara staf mereka. Harapan bahwa orang-orang yang bekerja dengan AI memahami apa yang dilakukannya dan di mana kesalahan dapat terjadi tetap ada.

Apa yang berlaku untuk model AI tujuan umum?

Penyedia model AI tujuan umum (GPAI) memiliki kewajiban tersendiri sejak 2 Agustus 2025. Model dengan risiko sistemik menghadapi kewajiban tambahan.

Berdasarkan Pasal 53 hingga 55, semua penyedia GPAI (General Purpose AI) harus memelihara dokumentasi teknis, menerbitkan ringkasan yang cukup rinci tentang konten yang digunakan untuk pelatihan, memiliki kebijakan untuk mematuhi hukum hak cipta Uni Eropa, dan memberikan informasi kepada perusahaan yang membangun model tersebut. Penyedia model dengan risiko sistemik juga harus mengevaluasi model mereka, termasuk pengujian adversarial, menilai dan mengurangi risiko sistemik, melacak dan melaporkan insiden serius, dan memastikan keamanan siber yang kuat. Mengikuti Kode Praktik AI Tujuan Umum resmi adalah cara yang diakui untuk menunjukkan kepatuhan. Kantor AI Komisi Eropa mengawasi penyedia ini secara langsung.

Kewajiban transparansi mana yang berlaku saat ini?

Sejak 2 Agustus 2026, Pasal 50 mewajibkan masyarakat untuk mengetahui kapan mereka berurusan dengan AI. Hal ini berlaku untuk chatbot, konten yang dihasilkan AI dan deepfake, serta pengenalan emosi dan kategorisasi biometrik.

Penyedia chatbot dan agen percakapan harus menjelaskan dengan jelas bahwa pengguna berinteraksi dengan mesin, kecuali jika hal itu sudah jelas. Penyedia sistem yang menghasilkan audio, gambar, video, atau teks sintetis harus menandai output dalam format yang dapat dibaca mesin sehingga dapat dideteksi sebagai buatan. Penyebar yang menerbitkan deepfake harus mengungkapkan bahwa konten tersebut dihasilkan atau dimanipulasi secara artifisial, dan penyebar yang menerbitkan teks yang dihasilkan AI tentang masalah kepentingan publik harus mengungkapkan hal ini kecuali jika seseorang telah meninjaunya dan memikul tanggung jawab editorial. Penyebar pengenalan emosi atau kategorisasi biometrik yang diizinkan harus memberi tahu orang-orang yang terpapar hal tersebut.

Apa saja denda yang dikenakan berdasarkan Undang-Undang AI?

Besaran denda bergantung pada jenis pelanggaran dan diatur dalam Pasal 99. Untuk setiap kategori, berlaku besaran denda yang lebih tinggi antara jumlah tetap dan persentase omset.

• Praktik terlarang (Pasal 5): hingga EUR 35 juta atau 7% dari omset tahunan di seluruh dunia, mana pun yang lebih tinggi.
• Pelanggaran terhadap sebagian besar kewajiban lainnya, termasuk persyaratan risiko tinggi dan kewajiban transparansi: hingga EUR 15 juta atau 3% dari omset tahunan di seluruh dunia.
• Memberikan informasi yang salah, tidak lengkap, atau menyesatkan kepada badan atau otoritas yang berwenang: hingga EUR 7.5 juta atau 1% dari omset tahunan di seluruh dunia.

Untuk UKM dan perusahaan rintisan, denda dibatasi pada jumlah yang lebih rendah antara jumlah tetap dan persentase. AI Omnibus memperluas sejumlah keringanan ini ke perusahaan kecil dan menengah. Denda bukanlah satu-satunya instrumen: otoritas pengawasan pasar dapat meminta tindakan korektif, membatasi atau melarang penyediaan suatu sistem, dan memerintahkan penarikan atau pengembaliannya.

Bagaimana Undang-Undang AI berkaitan dengan GDPR dan Cyberbeveiligingswet?

Undang-Undang AI ini hadir sebagai tambahan terhadap hukum yang sudah ada. Jika sistem AI Anda memproses data pribadi, GDPR berlaku sepenuhnya, dan jika Anda menyediakan layanan penting atau esensial, hukum keamanan siber Belanda juga berlaku.

Berdasarkan GDPR, Anda memerlukan dasar hukum, Anda harus menghormati batasan tujuan dan hak subjek data, dan Anda seringkali harus melakukan penilaian dampak perlindungan data (DPIA). Penilaian dampak hak fundamental berdasarkan Undang-Undang AI dan DPIA saling tumpang tindih, sehingga efisien untuk melaksanakannya bersama-sama.

Undang-Undang Keamanan Siber (Cyberbeveiligingswet), yang mengimplementasikan Arahan NIS2 Uni Eropa, telah berlaku di Belanda sejak 15 Agustus 2026. Undang-undang ini menambahkan kewajiban tentang manajemen risiko dan pelaporan insiden untuk entitas penting dan esensial, yang memperkuat persyaratan Undang-Undang AI tentang ketangguhan dan keamanan.

Siapa yang menegakkan Undang-Undang AI di Belanda?

Model AI umum diawasi oleh Kantor AI di Brussels; sedangkan yang lainnya diatur oleh otoritas pengawasan pasar nasional. Di Belanda, undang-undang yang menetapkan otoritas tersebut masih dalam proses legislatif.

Di tingkat Uni Eropa, Kantor AI Komisi Eropa mengawasi langsung model AI tujuan umum dan bekerja sama dengan Dewan Kecerdasan Buatan Eropa. AI Omnibus memperluas wewenangnya ke sistem AI yang dibangun berdasarkan model GPAI milik penyedia sendiri dan ke AI dalam platform online dan mesin pencari yang sangat besar.

Undang-Undang AI berlaku secara langsung, sehingga bisnis sudah terikat oleh bagian-bagian yang berlaku. Namun, undang-undang Belanda yang menetapkan pengawas dan wewenang mereka belum berlaku, dan alokasi akhir masih dapat berubah. Model yang diusulkan sejauh ini adalah model hibrida. Regulator sektor yang ada menjadi otoritas pengawasan pasar di bidang mereka sendiri, sehingga AI di bidang kesehatan berada di bawah pengawasan inspektorat kesehatan dan AI di tempat kerja berada di bawah pengawasan inspektorat tenaga kerja. Otoritas Perlindungan Data Belanda (Autoriteit Persoonsgegevens, AP) dan Otoritas Infrastruktur Digital Belanda (Rijksinspectie Digitale Infrastructuur, RDI) memiliki peran koordinasi, dengan AP bertindak sebagai pengawas residual untuk sistem berisiko tinggi yang tidak memiliki regulator sektor yang jelas.

Kesalahpahaman apa yang sebaiknya Anda hindari?

Empat kesalahpahaman secara teratur menyebabkan organisasi menghabiskan upaya di tempat yang salah.

Pertama, anggapan bahwa tanda tangan manusia menghilangkan label risiko tinggi adalah salah. Hal itu tidak benar. Pengecualian untuk tugas-tugas prosedural atau persiapan yang sempit ditetapkan dengan ketat. Sebuah alat yang memberi peringkat pelamar kerja atau memilih berkas untuk ditinjau lebih lanjut memengaruhi keputusan meskipun ada orang yang menandatanganinya. Stempel karet bukanlah pengawasan manusia dan tidak mengeluarkan sistem dari Lampiran III.

Kedua, hanya pengembang yang diatur. Kewajiban pihak yang menerapkan sistem itu nyata dan dapat ditegakkan terhadap organisasi yang menggunakan sistem tersebut. Beberapa di antaranya, seperti memberi tahu pekerja dan perwakilan mereka, menugaskan pengawasan yang kompeten, dan menyimpan catatan, tidak dapat dialihkan kepada vendor.

Ketiga, semua yang sudah digunakan dikecualikan. Berdasarkan Pasal 111, sistem berisiko tinggi yang dipasarkan sebelum aturan berisiko tinggi berlaku pada prinsipnya hanya akan tercakup jika desainnya berubah secara signifikan setelahnya. Pengecualian ini lebih sempit dari yang terlihat: pembaruan, pelatihan ulang, dan penggunaan baru adalah jenis perubahan yang membuat sistem kembali tercakup. Sistem yang digunakan oleh otoritas publik harus mematuhi aturan ini paling lambat tanggal 2 Agustus 2030. Jika Anda berencana untuk mengandalkan aturan transisi, dokumentasikan konfigurasi saat ini sekarang.

Keempat, Undang-Undang AI menggantikan hukum yang ada. Undang-Undang ini berada di atasnya. Perlindungan data, hukum perlakuan setara, hukum konsumen, regulasi sektor, hukum ketenagakerjaan, dan hak-hak dewan pekerja (ondernemingsraad) tetap berlaku sepenuhnya. Di Belanda, biasanya salah satu dari hal-hal tersebut, bukan Undang-Undang AI itu sendiri, yang menimbulkan pengaduan konkret pertama. Berdasarkan Pasal 27(1)(l) Undang-Undang Dewan Pekerja (Wet op de ondernemingsraden), misalnya, pengenalan sistem untuk memantau staf memerlukan persetujuan dewan pekerja.

Apa yang harus Anda periksa sebagai penyedia layanan?

• Apakah setiap sistem yang Anda tempatkan di pasar Uni Eropa dilarang, berisiko tinggi, tunduk pada Pasal 50, atau berisiko minimal.
• Untuk AI generatif yang ada di pasaran sebelum 2 Agustus 2026: penandaan output yang dapat dibaca mesin paling lambat 2 Desember 2026.
• Untuk sistem berisiko tinggi: manajemen risiko, tata kelola data, dokumentasi teknis, pencatatan log, dan pengawasan manusia sebelum 2 Desember 2027 (Lampiran III).
• Penilaian kesesuaian, deklarasi kesesuaian UE, penandaan CE, dan pendaftaran dalam basis data UE.
• Jika Anda mengembangkan model tujuan umum: dokumentasi, ringkasan konten pelatihan, dan kebijakan hak cipta berdasarkan Pasal 53 hingga 55.

Apa yang harus Anda periksa sebagai pihak yang melakukan deployment?

• Inventarisasi setiap sistem AI yang Anda gunakan, termasuk AI yang terintegrasi dalam perangkat lunak pihak ketiga, beserta tingkat risikonya.
• Tidak ada penggunaan yang termasuk dalam larangan Pasal 5, seperti pengenalan emosi di tempat kerja.
• Baik Anda menjadi penyedia dengan memodifikasi sistem secara substansial atau memasarkannya dengan nama Anda sendiri.
• Pengungkapan chatbot, deepfake, dan teks yang dihasilkan AI berdasarkan Pasal 50, dan langkah-langkah literasi AI berdasarkan Pasal 4.
• Persetujuan dewan pekerja berdasarkan Pasal 27(1)(l) WOR sebelum memperkenalkan AI yang memantau staf, dan DPIA berdasarkan GDPR.

Apa yang dapat kami lakukan untuk Anda dengan Undang-Undang AI?

Kami memberikan saran kepada penyedia dan pengimplementasikan mengenai kepatuhan terhadap Undang-Undang AI, serta GDPR dan hukum ketenagakerjaan. Indeks panduan hukum TI dan privasi Belanda kami mencantumkan artikel-artikel terkait.

• Kami mengklasifikasikan sistem AI Anda berdasarkan tingkat risiko dan menentukan peran Anda untuk masing-masing sistem.
• Kami meninjau kontrak vendor untuk alokasi kewajiban dan tanggung jawab berdasarkan Undang-Undang AI.
• Kami menyusun pemberitahuan transparansi yang dipersyaratkan berdasarkan Pasal 50.
• Kami menggabungkan penilaian dampak hak-hak fundamental dengan DPIA berdasarkan GDPR.
• Kami menyiapkan permohonan persetujuan dewan pekerja dan melakukan konsultasi.

Ringkasan

• Undang-Undang AI Uni Eropa (Peraturan (EU) 2024/1689) telah berlaku sejak 1 Agustus 2024 dan diterapkan secara bertahap.
• Larangan, literasi AI, aturan GPAI, dan kewajiban transparansi sudah berlaku; pemberian nilai pada output dari sistem generatif yang lebih lama harus dilakukan paling lambat 2 Desember 2026.
• Peraturan AI Omnibus (Peraturan (EU) 2026/1744) telah menunda aturan risiko tinggi hingga 2 Desember 2027 (Lampiran III) dan 2 Agustus 2028 (Lampiran I).
• Denda maksimal mencapai EUR 35 juta atau 7% dari omset global; untuk UKM, jumlah yang lebih rendah berlaku.
• Undang-Undang AI hadir sebagai tambahan dari GDPR, Cyberbeveiligingswet, dan hukum ketenagakerjaan; rencanakan kepatuhan sebagai satu program terpadu.

Pertanyaan yang sering diajukan