EU AI Act Compliance: Apa yang Perlu Diketahui

Bayangkan sebuah perusahaan teknologi finansial di Jerman menerima surat teguran dari regulator. Sistem penilaian kredit berbasis AI yang mereka pakai ternyata masuk kategori berisiko tinggi, dan mereka belum punya satu pun dokumen kepatuhan.

Situasi seperti ini bukan skenario rekaan. Ribuan perusahaan di Eropa, maupun mitra dagangnya di luar kawasan itu, kini menghadapi tekanan serupa menjelang tenggat penerapan aturan AI paling ketat di dunia.

Menurut riset Gartner, belanja perusahaan global untuk platform tata kelola AI diproyeksikan mencapai 492 juta dolar AS pada 2026 dan menembus 1 miliar dolar AS pada 2030. Lonjakan ini didorong oleh regulasi AI yang pada 2030 diperkirakan menjangkau 75 persen perekonomian dunia.

Salah satu regulasi yang paling banyak dibicarakan adalah EU AI Act. Artikel ini membahas EU AI Act compliance secara menyeluruh, mulai dari definisi, klasifikasi risiko, kewajiban utama, timeline, hingga sanksinya.

Apa Itu EU AI Act?

EU AI Act adalah regulasi Uni Eropa yang mengatur pengembangan, penjualan, dan penggunaan sistem kecerdasan buatan di wilayah Eropa. Regulasi ini resmi berlaku sejak 1 Agustus 2024 dan menjadi kerangka hukum pertama di dunia yang secara khusus mengatur AI dari hulu ke hilir, mulai dari tahap pengembangan sampai penggunaannya di pasar.

Yang membedakan aturan ini dari regulasi teknologi lain adalah pendekatan berbasis risiko. Bukan semua sistem AI diperlakukan sama; tingkat kewajiban ditentukan oleh seberapa besar potensi bahayanya terhadap keselamatan, hak asasi, atau kepentingan publik.

Ada satu poin yang sering luput dari perhatian pelaku bisnis di luar Eropa: EU AI Act berlaku ekstrateritorial. Artinya, perusahaan di Jakarta atau Singapura pun tetap wajib patuh selama produk AI mereka dipakai atau berdampak pada pengguna di pasar Eropa.

Contohnya begini. Sebuah perusahaan e-commerce Indonesia yang memakai chatbot AI untuk melayani pelanggan di Jerman tetap terkena kewajiban transparansi, meski kantor pusatnya berada jauh dari Brussels.

Siapa yang Wajib Patuh terhadap EU AI Act?

Kewajiban dalam EU AI Act tidak dibebankan secara sama ke semua pihak. Ada empat peran utama yang diatur, dan masing-masing punya tanggung jawab berbeda tergantung posisinya dalam rantai nilai AI.

• Provider (penyedia): pihak yang mengembangkan sistem AI atau menugaskan pengembangannya, lalu memasarkannya. Contohnya perusahaan software HR yang membangun tool rekrutmen berbasis AI dan menjualnya ke klien korporat.
• Deployer (penerap): organisasi yang memakai sistem AI dalam operasional sehari-hari. Contohnya bank yang mengimplementasikan chatbot AI dari vendor lain untuk layanan nasabah.
• Importer: pihak yang membawa produk AI dari luar Uni Eropa masuk ke pasar Eropa. Contohnya distributor Asia yang menjual software AI buatan perusahaan Amerika ke klien di Prancis.
• Distributor: pihak yang menyediakan produk AI di pasar tanpa mengubah karakteristiknya. Contohnya marketplace software B2B yang menjual lisensi tool AI milik pihak ketiga.

Klasifikasi Risiko dalam EU AI Act

Empat peran di atas kemudian dihadapkan pada klasifikasi risiko yang berjenjang. Semakin tinggi potensi bahaya sebuah sistem AI terhadap keselamatan atau hak fundamental, semakin berat pula kewajiban yang menyertainya.

Risiko Tidak Dapat Diterima

Kategori ini mencakup praktik AI yang dilarang total di Uni Eropa sejak 2 Februari 2025. Termasuk di dalamnya sistem social scoring oleh pemerintah, manipulasi bawah sadar, dan pengenalan biometrik real-time di ruang publik tanpa pengecualian ketat.

Contohnya, aplikasi yang diam-diam menganalisis emosi karyawan lewat kamera kantor untuk menilai produktivitas termasuk praktik yang dilarang sepenuhnya.

Risiko Tinggi

Sistem AI dalam kategori ini dipakai di sektor yang berdampak langsung pada keselamatan atau hak seseorang, seperti rekrutmen, kredit, pendidikan, atau penegakan hukum. Provider wajib menjalani penilaian kesesuaian, menyusun dokumentasi teknis, dan mendaftarkan sistem ke database Uni Eropa sebelum dipasarkan.

Sistem seleksi CV otomatis yang menyaring pelamar kerja adalah contoh nyata kategori ini. Keputusan sistem tersebut secara langsung memengaruhi peluang karier seseorang.

Risiko Terbatas

Kategori ini berlaku untuk sistem AI yang berinteraksi langsung dengan manusia, sehingga kewajibannya lebih mengarah ke transparansi. Pengguna harus tahu bahwa mereka sedang berinteraksi dengan AI, bukan dengan manusia.

Chatbot layanan pelanggan di sebuah website belanja online, misalnya, wajib mencantumkan pemberitahuan bahwa responsnya dihasilkan oleh AI.

Risiko Minimal

Sebagian besar aplikasi AI sehari-hari masuk kategori ini dan nyaris tidak punya kewajiban hukum khusus. Meski begitu, praktik terbaik tetap dianjurkan agar kepercayaan pengguna tetap terjaga.

Filter spam pada email atau fitur rekomendasi produk di aplikasi belanja adalah dua contoh yang lazim ditemui.

Kewajiban Utama untuk Mencapai Compliance

Setelah mengetahui kategori risikonya, langkah berikutnya adalah memenuhi kewajiban konkret yang menyertai sistem berisiko tinggi. Setidaknya ada lima kewajiban inti yang selalu jadi fokus regulator, dan masing-masing punya cakupan kerja yang cukup berbeda satu sama lain.

Sistem Manajemen Risiko

Provider wajib membangun proses yang berjalan terus-menerus untuk mengidentifikasi, mengevaluasi, dan memitigasi risiko sepanjang siklus hidup sistem AI. Proses ini tidak berhenti begitu produk diluncurkan, melainkan berulang setiap kali model diperbarui atau kondisi pasar berubah.

Perusahaan fintech, misalnya, rutin menguji ulang model credit scoring setiap kuartal untuk mendeteksi bias baru yang mungkin muncul dari pola transaksi terkini. Kalau ditemukan penyimpangan, model harus dikalibrasi ulang sebelum kembali dipakai untuk mengambil keputusan.

Tata Kelola Data

Kewajiban ini memastikan data yang dipakai untuk melatih dan menguji sistem AI bebas dari bias yang berarti serta punya kualitas yang terjaga. Sumber data, proses pembersihan, dan representativitasnya harus bisa dijelaskan secara runtut kalau sewaktu-waktu diminta otoritas pengawas.

Rumah sakit yang melatih AI diagnosis, misalnya, wajib memverifikasi bahwa datanya representatif untuk berbagai kelompok usia dan latar belakang pasien. Kalau data pelatihan didominasi satu kelompok usia saja, akurasi diagnosis pada kelompok lain berisiko jauh lebih rendah.

Dokumentasi Teknis

Provider harus mencatat cara kerja sistem, batasan penggunaannya, dan hasil pengujian secara berkelanjutan, bukan sekali jadi di awal. Dokumen ini mencakup arsitektur model, metrik performa, hingga skenario kegagalan yang sudah diantisipasi.

Dokumen semacam ini menjadi rujukan utama saat otoritas pengawas melakukan audit mendadak. Tanpa catatan yang rapi, perusahaan bisa kesulitan membuktikan bahwa sistemnya sudah diuji sesuai standar sejak awal.

Pengawasan Manusia

Regulasi ini mensyaratkan adanya mekanisme intervensi manusia atas keputusan yang dihasilkan AI, terutama untuk sistem berisiko tinggi. Manusia harus tetap punya wewenang untuk menunda, mengoreksi, atau membatalkan keluaran sistem kapan pun diperlukan.

Petugas bank, misalnya, tetap bisa membatalkan keputusan penolakan pinjaman otomatis kalau dianggap keliru setelah ditinjau ulang. Mekanisme semacam ini juga harus terdokumentasi, lengkap dengan siapa yang berwenang mengambil keputusan akhir.

Transparansi dan Pelabelan

Kewajiban terakhir ini mengharuskan pengguna diberi tahu saat mereka berinteraksi dengan AI atau melihat konten buatan AI. Kewajiban ini berlaku baik untuk chatbot, sistem rekomendasi, maupun konten sintetis seperti gambar dan video.

Platform media sosial, misalnya, wajib menandai video hasil deepfake dengan label yang jelas dan mudah dikenali pengguna. Kegagalan memberi label semacam ini termasuk pelanggaran yang bisa dikenai sanksi tersendiri.

Timeline Penerapan EU AI Act yang Perlu Diperhatikan

Regulasi ini tidak berlaku sekaligus, melainkan bertahap sejak resmi disahkan. Memahami urutan tenggatnya penting supaya perusahaan tidak salah menentukan prioritas dalam menyiapkan compliance.

• 1 Agustus 2024: EU AI Act resmi mulai berlaku (entry into force).
• 2 Februari 2025: larangan praktik AI berisiko tidak dapat diterima dan kewajiban literasi AI mulai berlaku.
• 2 Agustus 2025: aturan tata kelola dan kewajiban untuk model AI tujuan umum (general-purpose AI) mulai berlaku.
• 2 Agustus 2026: kewajiban transparansi menurut Pasal 50 mulai berlaku.
• 2 Desember 2027: kewajiban penuh untuk sistem AI berisiko tinggi mulai berlaku, mundur dari rencana awal Agustus 2026 setelah revisi paket “Digital Omnibus”.
• 2 Agustus 2028: aturan untuk AI yang tertanam pada produk fisik seperti alat medis dan mainan mulai berlaku.

Menurut Komisi Eropa, penundaan tenggat sistem berisiko tinggi terjadi karena standar teknis harmonisasi dari CEN dan CENELEC belum rampung tepat waktu. Perusahaan yang menyediakan sistem HR berisiko tinggi jadi punya tambahan waktu sampai akhir 2027 untuk menyiapkan dokumentasi lengkap, meski kewajiban transparansi tetap mengikat sejak Agustus 2026.

Sanksi bagi Pelanggaran EU AI Act

Semua kewajiban di atas didukung mekanisme penegakan yang tegas. Skema dendanya berjenjang, disesuaikan dengan tingkat keseriusan pelanggaran yang dilakukan.

Pelanggaran terhadap praktik AI yang dilarang bisa dikenai denda hingga 35 juta euro atau 7 persen dari total omzet tahunan global perusahaan, mana pun yang lebih besar. Angka ini jauh melampaui denda maksimal GDPR yang “hanya” 20 juta euro atau 4 persen dari omzet.

Pelanggaran terhadap kewajiban sistem berisiko tinggi didenda hingga 15 juta euro atau 3 persen dari omzet global. Sementara itu, memberi informasi palsu atau menyesatkan kepada otoritas pengawas bisa dikenai denda sampai 7,5 juta euro.

Sebagai gambaran, bayangkan perusahaan multinasional dengan omzet global 2 miliar euro ketahuan menjalankan sistem social scoring ilegal. Dengan skema 7 persen, potensi dendanya mencapai 140 juta euro, jauh di atas batas tetap 35 juta euro.

Langkah Praktis Memulai Persiapan Compliance

Menghadapi aturan sekompleks ini, banyak perusahaan bingung harus mulai dari mana. Berikut lima langkah praktis yang bisa dijadikan pijakan awal.

1. Inventarisasi seluruh sistem AI yang dipakai perusahaan, termasuk yang dibeli dari vendor pihak ketiga. Tim IT sering lupa mendata tool AI kecil seperti plugin penjadwalan otomatis, padahal tetap masuk cakupan regulasi.
2. Klasifikasikan setiap sistem berdasarkan tingkat risikonya. Sistem penilaian kandidat kerja otomatis perlu diperiksa lebih dulu karena berpotensi masuk kategori berisiko tinggi.
3. Susun dokumentasi teknis dan catatan pengujian sejak awal, bukan menjelang audit. Perusahaan yang mendokumentasikan proses pelatihan model sejak hari pertama jauh lebih siap saat regulator meminta bukti.
4. Tunjuk penanggung jawab tata kelola AI, baik lewat peran baru maupun perluasan tugas tim compliance yang sudah ada. Beberapa perusahaan menggabungkan fungsi ini dengan tim Data Protection Officer yang sudah menangani GDPR.
5. Pantau perkembangan regulasi secara berkala karena aturan turunannya masih terus direvisi. Tenggat sistem berisiko tinggi saja sudah bergeser dari Agustus 2026 ke Desember 2027 akibat revisi Digital Omnibus.

Kesimpulan

EU AI Act bukan sekadar regulasi Eropa yang bisa diabaikan perusahaan di luar kawasan itu. Cakupannya ekstrateritorial, dendanya besar, dan tenggatnya terus bergerak, sehingga menunggu sampai aturan benar-benar final justru berisiko lebih mahal di kemudian hari.

Dengan belanja tata kelola AI global diproyeksikan tembus 1 miliar dolar AS pada 2030, arah pasar sudah cukup jelas. Kepatuhan AI bukan lagi biaya sesaat, melainkan bagian permanen dari cara perusahaan beroperasi, dan perusahaan yang membangun fondasi governance sejak sekarang akan lebih siap menghadapi giliran regulasi serupa di kawasan lain, termasuk Indonesia.

Kalau perusahaan Anda masih meraba-raba cara memetakan risiko AI, menyusun dokumentasi, atau melacak status kepatuhan lintas sistem, Adaptist PRIVE dari Accelist Adaptist Consulting bisa jadi titik awal yang tepat. Platform GRC ini membantu memusatkan pemetaan risiko, dokumentasi audit, dan pemantauan kepatuhan dalam satu dashboard, sehingga tim Anda tidak perlu membangun proses governance dari nol saat regulasi seperti EU AI Act mulai menyentuh operasional bisnis.

FAQ