Sistem AI berisiko tinggi menjadi fokus utama Regulasi AI Eropa ( Regulation (EU) 2024/1689 ), yang biasa disebut sebagai Undang-Undang AI, yang memperkenalkan kerangka kerja berbasis risiko untuk mengembangkan, memasok, dan menggunakan sistem kecerdasan buatan (AI). Semakin tinggi risiko terhadap kesehatan, keselamatan, dan hak-hak dasar, semakin berat pula kewajibannya.
Oleh karena itu, bagi organisasi, kepatuhan tidak dimulai dengan penyusunan dokumentasi teknis, tetapi dengan klasifikasi yang benar. Pertama, tetapkan sistem AI mana yang dikembangkan, dibeli, atau digunakan di dalam organisasi. Kemudian, nilai apakah suatu sistem dilarang , berisiko tinggi, tunduk pada kewajiban transparansi, atau berada di luar kewajiban khusus apa pun.
Artikel ini menjelaskan kapan suatu sistem AI dapat dikategorikan sebagai berisiko tinggi, kewajiban apa yang berlaku bagi penyedia dan pengimplementasikan, dan langkah-langkah apa yang dapat diambil organisasi saat ini. Artikel ini juga mencakup garis waktu terkini, termasuk perubahan dalam proses Digital Omnibus. Tanggal referensi untuk artikel ini adalah 25 Juli 2026.
Kapan suatu sistem AI dianggap berisiko tinggi?
Penilaian sistem AI berisiko tinggi pada prinsipnya dilakukan berdasarkan Pasal 6 dan Lampiran I dan III UU AI. Terdapat dua jalur.
Jalur pertama menyangkut sistem AI yang merupakan bagian dari produk yang tercakup dalam peraturan produk Eropa yang tercantum dalam Lampiran I dan memerlukan penilaian kesesuaian pihak ketiga. Contohnya adalah perangkat medis tertentu, mesin, lift, dan mainan. Untuk sistem-sistem ini, Undang-Undang AI didasarkan pada prosedur penilaian kesesuaian yang sudah ada.
Jalur kedua berkaitan dengan sistem AI yang digunakan dalam domain yang tercantum dalam Lampiran III: biometrik, infrastruktur kritis, pendidikan dan pelatihan kejuruan, ketenagakerjaan dan manajemen tenaga kerja, akses ke layanan swasta dan publik yang penting, penegakan hukum, migrasi, suaka dan kontrol perbatasan, serta administrasi peradilan dan proses demokrasi. Tidak setiap penggunaan dalam domain tersebut secara otomatis mengakibatkan klasifikasi sebagai sistem AI berisiko tinggi: fungsi spesifik sistem dan kondisi Pasal 6 juga harus dinilai.
Pengecualian dalam Pasal 6(3)
Suatu sistem yang termasuk dalam domain Lampiran III tidak secara otomatis dianggap sebagai sistem AI berisiko tinggi: klasifikasi tersebut dikecualikan jika sistem tersebut tidak menimbulkan risiko signifikan terhadap kesehatan, keselamatan, atau hak-hak dasar seseorang dan tidak secara material memengaruhi hasil pengambilan keputusan. Hal ini mungkin terjadi jika sistem tersebut hanya melakukan tugas prosedural yang sempit, hanya meningkatkan aktivitas yang sudah dilakukan oleh manusia, hanya menandai penyimpangan dari pengambilan keputusan manusia sebelumnya tanpa menggantikan penilaian tersebut, atau hanya melakukan tugas persiapan.
Penggunaan pengecualian ini harus dipertimbangkan dan didokumentasikan dengan cermat. Organisasi mencatat tidak hanya kesimpulan, tetapi juga fakta dan penilaian yang mendasari kesimpulan tersebut. Penyedia yang menganggap bahwa sistem Lampiran III tidak termasuk dalam sistem AI berisiko tinggi harus mendokumentasikan penilaian tersebut sebelum sistem tersebut dipasarkan atau dioperasikan, dan juga tunduk pada kewajiban pendaftaran dalam Pasal 49(2).
Dalam satu hal, Peraturan ini bersifat mutlak. Pasal 6 ayat (3) menyatakan bahwa sistem AI yang disebutkan dalam Lampiran III selalu dianggap sebagai sistem AI berisiko tinggi jika melakukan pembuatan profil orang. Pengecualian tidak dapat diterapkan dalam kasus tersebut.
Apa peran organisasi Anda?
Undang-Undang AI membedakan beberapa peran dalam rantai tersebut. Dua di antaranya penting bagi sebagian besar organisasi. Pihak yang mengembangkan sistem AI, atau memasarkannya dengan nama atau merek dagang sendiri, memenuhi syarat sebagai penyedia. Pihak yang menggunakan sistem AI dalam menjalankan bisnisnya sendiri tanpa mengembangkannya umumnya memenuhi syarat sebagai pengimplementasikan.
Pembagian peran tersebut tidaklah statis. Sebuah organisasi yang secara substansial memodifikasi sistem yang dibeli, memasoknya kembali dengan nama atau merek dagangnya sendiri, atau mengubah tujuan awalnya, masih dapat dianggap sebagai penyedia dan karenanya berada di bawah serangkaian kewajiban yang lebih berat. Tetapkan peran mana yang Anda penuhi untuk setiap sistem, dan catat penilaian tersebut.
Kewajiban utama
Penyedia sistem AI berisiko tinggi tunduk pada kewajiban termasuk yang tercantum dalam Pasal 8 hingga 17, 43 dan 47 hingga 49:
- Sistem manajemen risiko yang mencakup seluruh siklus hidup.
- Tata kelola data, termasuk mendeteksi dan mengoreksi bias dalam data yang digunakan, termasuk data pelatihan, validasi, dan pengujian.
- dokumentasi teknis sesuai dengan Lampiran IV, dan pencatatan peristiwa
- petunjuk penggunaan yang jelas untuk para penyebar
- desain yang memungkinkan pengawasan manusia yang efektif
- persyaratan pada akurasi, ketangguhan, dan keamanan siber
- Sistem manajemen mutu, penilaian kesesuaian, deklarasi kesesuaian UE, penandaan CE, dan pendaftaran dalam basis data UE.
Untuk sistem AI berisiko tinggi yang digunakan untuk identifikasi biometrik jarak jauh sebagaimana dimaksud dalam Lampiran III, poin 1(a), Pasal 14(5) memberlakukan persyaratan tambahan pada pengawasan manusia: tidak ada tindakan atau keputusan yang dapat diambil berdasarkan identifikasi tersebut kecuali telah diverifikasi dan dikonfirmasi secara terpisah oleh setidaknya dua orang yang memiliki kompetensi, pelatihan, dan wewenang yang diperlukan. Hal ini dikenal sebagai prinsip empat mata.
Pihak yang menerapkan sistem tersebut tunduk pada kewajiban yang lebih ringan namun tidak kalah penting sebagaimana tercantum dalam Pasal 26 dan 27: penggunaan sesuai dengan petunjuk penggunaan, pengawasan manusia yang kompeten, pemantauan pengoperasian sistem, pelaporan risiko dan insiden serius, serta penyimpanan log setidaknya selama enam bulan. Karyawan yang akan bekerja dengan sistem tersebut, dan orang-orang yang menjadi sasaran penerapannya, harus diinformasikan terlebih dahulu.
Pihak-pihak yang menerapkan sistem tertentu juga wajib melaksanakan penilaian dampak hak-hak fundamental, yaitu Penilaian Dampak Hak-Hak Fundamental berdasarkan Pasal 27. Hal ini berlaku dalam hal apa pun untuk badan-badan yang diatur oleh hukum publik, penyedia layanan publik swasta, dan pihak-pihak yang menerapkan sistem penilaian kredit atau penilaian risiko asuransi dalam asuransi jiwa dan kesehatan.
Garis waktu dan status terkini
Undang-Undang AI mulai berlaku pada tanggal 1 Agustus 2024 dan berlaku secara bertahap. Dalam praktiknya, penting untuk membedakan antara kewajiban yang sudah berlaku, kewajiban dengan tanggal penerapan di masa mendatang, dan amandemen yang diumumkan yang pemberlakuan resminya belum selesai.
Praktik yang dilarang (Pasal 5): Berlaku sejak 2 Februari 2025
Literasi AI (Pasal 4): Berlaku sejak 2 Februari 2025
Model AI tujuan umum: Berlaku sejak 2 Agustus 2025
Kewajiban transparansi (Pasal 50): Berlaku mulai 2 Agustus 2026; tidak ditangguhkan
Risiko tinggi melalui Lampiran III: Secara resmi masih 2 Agustus 2026; setelah RUU Omnibus berlaku, paling lambat 2 Desember 2027.
Risiko tinggi melalui Lampiran I: Secara resmi masih 2 Agustus 2027; setelah RUU Omnibus berlaku, paling lambat 2 Agustus 2028.
Pada tanggal 19 November 2025, Komisi Eropa menerbitkan paket Digital Omnibus, yang mengusulkan penundaan penerapan kewajiban untuk sistem AI berisiko tinggi. Kesepakatan politik sementara tercapai pada tanggal 7 Mei 2026. Parlemen Eropa memberikan dukungannya pada tanggal 16 Juni 2026 dan Dewan memberikan persetujuan akhirnya pada tanggal 29 Juni 2026.
Namun, pada tanggal penulisan artikel ini, publikasi di Jurnal Resmi Uni Eropa belum selesai. Amandemen tersebut mulai berlaku pada hari ketiga setelah publikasi tersebut. Hingga saat itu, jangka waktu Undang-Undang AI asli tetap menjadi hukum yang berlaku, dengan tanggal 2 Agustus 2026 sebagai tanggal penerapan kewajiban berisiko tinggi berdasarkan Lampiran III. Publikasi sebelum tanggal tersebut secara luas diharapkan, tetapi belum dikonfirmasi.
Penundaan ini juga disusun secara bersyarat. Penerapan kewajiban untuk sistem AI berisiko tinggi dikaitkan dengan keputusan Komisi yang menetapkan bahwa standar harmonisasi dan instrumen pendukung yang diperlukan tersedia, diikuti oleh periode transisi. Tanggal 2 Desember 2027 dan 2 Agustus 2028 berfungsi sebagai tanggal penentu (backstop dates) dan bukan sebagai penundaan sederhana.
Ada dua poin yang perlu mendapat perhatian khusus. Pertama, kewajiban transparansi Pasal 50 dan kewajiban literasi AI Pasal 4 tidak ditunda: keduanya tetap pada jadwal semula. Kedua, paket ini menambahkan larangan baru pada Pasal 5, yang ditujukan pada aplikasi AI yang menghasilkan gambar intim tanpa persetujuan dan pada materi pelecehan seksual anak yang dihasilkan oleh AI.
Bagi organisasi, ini berarti bahwa perencanaan hingga Desember 2027 adalah hal yang masuk akal, tetapi pencatatan untuk saat ini harus diatur seolah-olah Agustus 2026 masih berlaku, sampai Jurnal Resmi menyatakan sebaliknya.
Pengawasan dan sanksi
Di Belanda, legislasi pelaksana untuk Undang-Undang AI masih belum ada pada tanggal penulisan artikel ini. Otoritas Infrastruktur Digital Belanda dan Otoritas Perlindungan Data Belanda diharapkan memainkan peran sentral dan koordinatif, dengan pengawas sektoral tetap bertanggung jawab dalam bidang masing-masing. Namun, alokasi wewenang yang tepat dan dasar hukumnya harus ditentukan berdasarkan legislasi pelaksana akhir di Belanda.
Pasal 99 UU AI mengatur beberapa kategori hukuman maksimum. Tingkat hukuman bergantung pada sifat pelanggaran dan, jika relevan, pada omset tahunan perusahaan di seluruh dunia. Hukuman maksimum tertinggi berlaku untuk pelanggaran praktik terlarang dalam Pasal 5; hukuman maksimum yang lebih rendah berlaku untuk pelanggaran kewajiban lainnya, termasuk kewajiban bagi penyedia dan pengembang sistem AI berisiko tinggi; dan hukuman terendah berlaku untuk penyediaan informasi yang salah, tidak lengkap, atau menyesatkan kepada pihak berwenang. Rezim yang lebih menguntungkan berlaku untuk usaha kecil dan menengah (UKM), termasuk perusahaan rintisan. Hukuman sebenarnya ditentukan dengan mempertimbangkan aturan hukuman yang berlaku dan keadaan kasus tersebut.
Peta jalan praktis
- Buat inventaris semua sistem AI yang dikembangkan, dibeli, atau digunakan oleh organisasi Anda.
- Tetapkan peran apa yang Anda jalankan untuk setiap sistem: penyedia atau penyebar.
- Tentukan kategori risiko untuk setiap sistem dan dokumentasikan penilaian tersebut, termasuk setiap ketergantungan pada pengecualian dalam Pasal 6(3).
- Tetapkan tata kelola AI dan tunjuk petugas yang bertanggung jawab.
- Pastikan staf yang bekerja dengan sistem ini memahami AI; kewajiban itu sudah berlaku.
- Siapkan langkah-langkah transparansi berdasarkan Pasal 50 dengan mempertimbangkan tanggal 2 Agustus 2026.
- Mulailah penyusunan dokumentasi teknis dan, jika diperlukan, penilaian dampak terhadap hak-hak fundamental tepat waktu.
- Tinjau kontrak pemasok terkait alokasi peran, penyediaan informasi, dan hak audit.
- Pantau publikasi paket Omnibus di Jurnal Resmi dan sesuaikan perencanaan Anda accordingly.
Kesimpulan
Undang-Undang AI pada dasarnya memengaruhi cara organisasi mengembangkan, membeli, dan menggunakan AI. Penundaan kewajiban berisiko tinggi yang diumumkan memberikan waktu tambahan, tetapi belum menjadi hukum yang berlaku, dan kewajiban yang sudah berlaku atau mulai berlaku pada 2 Agustus 2026 tidak terpengaruh olehnya. Oleh karena itu, pendekatan yang bijaksana adalah merencanakan berdasarkan tanggal baru sambil tetap bersiap untuk tanggal lama. Untuk gambaran yang lebih luas tentang peraturan tersebut, lihat Panduan Lengkap kami tentang Undang-Undang AI Uni Eropa , yang melengkapi fokus artikel ini pada sistem AI berisiko tinggi.
Law & More Membantu organisasi menginventarisasi dan mengklasifikasikan sistem AI mereka, menentukan peran mereka sebagai penyedia atau penyebar, meninjau dan menyusun kontrak dengan pemasok AI, serta menetapkan tata kelola AI. Apakah Anda ingin mengetahui kewajiban apa yang saat ini berlaku untuk organisasi Anda dan langkah-langkah mana yang harus diprioritaskan? Jangan ragu untuk menghubungi kami untuk diskusi tanpa kewajiban.
Pertanyaan yang sering diajukan
Di bawah ini kami menjawab pertanyaan-pertanyaan yang paling sering diajukan kepada kami mengenai topik ini.
Apa itu Undang-Undang AI?
Peraturan AI Eropa (Peraturan (EU) 2024/1689). Peraturan ini mulai berlaku pada tanggal 1 Agustus 2024 dan diterapkan secara bertahap, dengan kewajiban yang semakin berat seiring meningkatnya risiko yang ditimbulkan oleh sistem AI.
Kapan suatu sistem AI dianggap berisiko tinggi?
Melalui dua jalur: sebagai bagian dari produk yang tercakup dalam peraturan produk yang tercantum dalam Lampiran I, atau melalui penggunaan dalam salah satu domain yang tercantum dalam Lampiran III. Dalam kasus terakhir, domain saja tidak menentukan; fungsi spesifik dan ketentuan Pasal 6 juga diperhitungkan.
Mungkinkah sistem Annex III tetap berada di luar kategori berisiko tinggi?
Ya, jika tidak menimbulkan risiko signifikan dan tidak secara material memengaruhi pengambilan keputusan, misalnya jika melakukan tugas prosedural yang sempit atau murni tugas persiapan. Penilaian tersebut harus didokumentasikan. Jika sistem melakukan pembuatan profil terhadap individu, pengecualian ini tidak pernah berlaku.
Apakah saya penyedia atau penyebar?
Anda adalah penyedia jika Anda mengembangkan sistem atau memasarkannya dengan nama atau merek dagang Anda sendiri, dan umumnya adalah penyebar jika Anda menggunakan sistem yang dibeli. Jika Anda memodifikasi secara substansial sistem yang dibeli atau memasoknya lebih lanjut dengan nama Anda sendiri, Anda tetap dapat menjadi penyedia.
Apa saja kewajiban yang berlaku bagi penyedia layanan?
Di antaranya adalah manajemen risiko, tata kelola data, dokumentasi teknis, pencatatan log, petunjuk penggunaan, pengawasan manusia, persyaratan akurasi dan keamanan siber, sistem manajemen mutu, penilaian kesesuaian, penandaan CE, dan pendaftaran dalam basis data Uni Eropa.
Apa saja kewajiban yang berlaku bagi pihak yang melakukan penugasan?
Gunakan sesuai dengan petunjuk, pengawasan manusia yang kompeten, pemantauan, pelaporan risiko dan insiden serius, serta penyimpanan log setidaknya selama enam bulan. Karyawan yang terlibat dan orang-orang yang menjadi sasaran sistem harus diinformasikan terlebih dahulu.
Kapan penilaian dampak hak-hak fundamental harus dilakukan?
Pasal 27 mewajibkan hal ini, antara lain, kepada badan-badan yang diatur oleh hukum publik, penyedia layanan publik swasta, dan pihak yang menggunakan sistem penilaian kredit atau penilaian risiko asuransi dalam asuransi jiwa dan kesehatan.
Apakah kewajiban berisiko tinggi telah ditangguhkan?
Amandemen yang diadopsi menunda penerapan paling lambat hingga 2 Desember 2027 untuk Lampiran III dan 2 Agustus 2028 untuk Lampiran I. Pada tanggal referensi artikel ini, amandemen tersebut belum dipublikasikan dalam Jurnal Resmi, sehingga tanggal asli 2 Agustus 2026 secara resmi masih berlaku.
Apa yang sudah berlaku saat ini?
Praktik terlarang Pasal 5 dan kewajiban literasi AI berlaku sejak 2 Februari 2025, serta aturan untuk model AI tujuan umum berlaku sejak 2 Agustus 2025. Kewajiban transparansi Pasal 50 berlaku efektif pada 2 Agustus 2026 dan tidak ditunda.
Siapa yang mengawasi Undang-Undang AI di Belanda?
Peraturan pelaksana masih belum ada. Otoritas Infrastruktur Digital Belanda dan Otoritas Perlindungan Data Belanda diharapkan memainkan peran sentral dan koordinatif, bersama dengan pengawas sektoral. Alokasi kewenangan akhir akan mengikuti peraturan pelaksana Belanda.
Apa yang harus dilakukan organisasi saya sekarang?
Mulailah dengan membuat inventaris semua sistem AI yang Anda kembangkan, beli, atau gunakan. Catat untuk setiap sistem peran apa yang Anda miliki, kategori risiko apa yang berlaku, dan kewajiban apa yang menyertainya. Selain itu, tetapkan tata kelola AI, pastikan literasi AI, dan tinjau kontrak pemasok mengenai alokasi peran, penyediaan informasi, dan hak audit.
