AI Governance Bukan Tugas Tim IT Saja

Ada satu pola yang cukup sering kejadian ketika perusahaan atau instansi pemerintah mulai serius pakai AI.

Begitu muncul pertanyaan soal risiko, semua mata otomatis melihat tim IT.

“Coba dicek security-nya.” “Data aman nggak?” “Modelnya pakai apa?” “Bikin policy sekalian.”

Padahal AI governance tidak mungkin selesai kalau dilempar ke tim IT saja.

IT memang penting. Mereka paham infrastruktur, akses, integrasi, identity, logging, dan security. Tapi banyak risiko AI justru lahir di luar domain teknis.

AI bisa memengaruhi hiring. Bisa memengaruhi layanan pelanggan. Bisa membaca kontrak. Bisa membuat rekomendasi kredit. Bisa membantu keputusan pemerintah. Bisa menulis komunikasi publik.

Setiap use case punya konsekuensi hukum, operasional, reputasi, dan manusia.

Jadi AI governance harus lintas fungsi.

Ini juga sejalan dengan arah pemerintah Indonesia pada 2026 yang berkali-kali menekankan tata kelola AI sebagai isu lintas sektor, bukan proyek teknologi semata. Pembahasan RPerpres Etika AI dan Peta Jalan AI Nasional melibatkan banyak kementerian dan lembaga. Pemerintah juga menekankan bahwa AI perlu aman, transparan, akuntabel, dan tetap berada dalam kendali manusia.

Kalau negara saja membahasnya lintas institusi, aneh kalau perusahaan menganggap AI governance cukup dikerjakan administrator sistem.

IT tahu sistem, tapi tidak selalu tahu dampak bisnis

Bayangin perusahaan pakai AI untuk menyaring CV.

Tim IT bisa memastikan: API aman, akses dibatasi, data terenkripsi, vendor punya sertifikasi.

Semua bagus.

Tapi pertanyaan governance belum selesai.

Apakah kriterianya adil? Apakah ada bias? Apakah kandidat tahu AI dipakai? Apakah hasil bisa direview manusia? Apakah data kandidat boleh dipakai untuk tujuan lain?

Pertanyaan itu lebih dekat ke HR, legal, compliance, dan ethics.

Atau AI dipakai customer service.

IT bisa mengatur system integration.

Tapi siapa menentukan apakah AI boleh menawarkan refund?

Customer experience. Finance. Legal. Operations.

Kalau AI memberi jawaban salah ke customer, dampaknya bukan cuma technical incident.

Bisa jadi consumer issue.

Governance harus mengikuti fungsi bisnis.

Legal tidak boleh datang paling akhir

Pola klasik project teknologi: bangun dulu, launch hampir selesai, baru kirim ke legal.

“Cuma review terms ya.”

Untuk AI, itu terlalu terlambat.

Legal perlu masuk sejak desain.

Apakah data boleh diproses? Apakah ada automated decision? Apakah kontrak vendor cukup? Apakah disclosure perlu? Apakah output menyentuh hak cipta?

Kalau legal baru masuk setelah architecture terkunci, pilihan perbaikannya sempit.

Akhirnya cuma dua: launch dengan risiko, atau bongkar ulang.

Keduanya mahal.

Legal by design lebih efisien.

Bukan legal approval di ujung.

HR punya peran besar

AI masuk ke workforce cepat.

Recruitment. Performance review. Training. Meeting notes. Productivity assistant.

HR harus menentukan boundary.

Apakah karyawan boleh pakai AI untuk review kandidat? Apakah manager boleh meminta AI menilai performance? Apakah meeting recorder selalu aktif? Bagaimana consent?

Ada juga masalah workforce transition.

Kalau agent mengambil sebagian pekerjaan, job description berubah.

Siapa retrain? Siapa mengukur impact? Apakah target kerja naik?

AI governance bukan cuma safety model.

Ia juga governance manusia yang bekerja bersama AI.

Finance perlu menghitung risiko dan economics

AI punya biaya yang dinamis.

Token. API. Compute. License. Human review.

Agent bisa looping dan membakar biaya.

Finance perlu masuk.

Bukan cuma untuk budget.

Tapi risk exposure.

Kalau AI melakukan transaksi, berapa limit? Siapa approve? Apakah ada fraud control?

Finance juga membantu menentukan ROI.

Use case aman tapi tidak menghasilkan value juga seharusnya dihentikan.

Governance harus menanyakan: apakah sistem layak diteruskan?

Bukan cuma: apakah boleh?

Operations tahu realitas yang tidak ada di deck

Engineer mungkin desain workflow ideal.

Operations tahu exception.

Customer yang marah. Dokumen rusak. Sistem down. Vendor telat. Data tidak lengkap.

Risk assessment harus mengundang operations.

Mereka tahu di mana proses biasanya patah.

Misalnya AI mengklasifikasikan tiket.

Di demo bagus.

Operations tahu ada kategori khusus yang kalau salah route bisa menunda layanan dua hari.

Informasi itu critical.

Tanpa operational knowledge, model bisa terlihat akurat tetapi tetap merusak proses.

Security tetap vital

Ini bukan berarti tim IT atau security kurang penting.

Justru mereka punya role khusus.

AI memperluas attack surface.

Prompt injection. Data exfiltration. Credential abuse. Tool misuse. Supply chain.

Security perlu menentukan: permission, sandbox, monitoring, incident response.

Tapi security tidak bisa sendirian menentukan apakah output AI adil atau apakah penggunaan datanya sesuai tujuan.

Governance butuh pembagian kerja.

Bukan lempar tanggung jawab.

Product owner harus accountable

Setiap sistem AI perlu owner bisnis.

Ini sering hilang.

Tim AI bilang: “kami cuma menyediakan platform.”

IT bilang: “kami cuma maintain.”

Vendor bilang: “kami cuma penyedia model.”

Akhirnya tidak ada yang punya outcome.

Product owner harus jelas.

Orang atau unit yang bertanggung jawab bahwa use case: punya tujuan, punya metric, punya kontrol, dan tetap layak.

Owner bukan harus ngerti coding.

Tapi harus ngerti konsekuensi.

Kalau incident terjadi, dia koordinasi.

Kalau risiko naik, dia putuskan pause.

Kalau manfaat tidak ada, dia tutup.

AI tanpa owner adalah shadow system.

Leadership menentukan risk appetite

Ada keputusan yang tidak bisa diturunkan ke engineer.

Misalnya model punya 3 persen error.

Apakah acceptable?

Tergantung impact.

Untuk internal summary, mungkin iya.

Untuk keputusan kredit, belum tentu.

Risk appetite harus datang dari leadership.

Direksi atau pejabat terkait harus menentukan: area mana boleh eksperimen, area mana butuh kontrol ketat, area mana dilarang.

Kalau tidak, tim teknis dipaksa membuat keputusan kebijakan.

Itu tidak fair.

Engineer seharusnya mengimplementasikan boundary.

Bukan sendirian menentukan boundary.

Communications juga perlu masuk

AI bisa menciptakan reputational incident.

Chatbot ngomong salah. Konten AI ofensif. Deepfake. Disclosure tidak jelas.

Tim komunikasi perlu incident plan.

Kalau terjadi, siapa bicara? Bagaimana menjelaskan? Apakah publik diberi tahu?

Jangan menunggu viral.

AI incident communication harus disiapkan.

Transparency yang buruk bisa memperbesar damage.

Kadang teknis sudah selesai, tapi trust rusak karena komunikasi defensif.

Procurement punya titik kontrol besar

Banyak risiko AI masuk dari vendor.

Procurement bisa meminta: data terms, security, model change notice, audit rights, exit plan.

Kalau procurement hanya mengejar harga, governance lemah.

Kontrak adalah enforcement layer.

Policy internal bilang data tidak boleh dipakai training.

Kalau kontrak vendor justru membolehkan, siapa yang menang?

Terms.

Makanya procurement perlu AI checklist.

Bukan tugas IT sendirian membaca kontrak.

Legal, security, dan data team ikut.

Data team menjadi semakin penting

AI governance tanpa data governance kosong.

Siapa owner data? Kualitasnya bagaimana? Boleh digunakan? Fresh?

Data steward perlu masuk.

Model bisa sangat pintar.

Kalau input salah, outcome salah.

Tim data membantu lineage.

Kalau keputusan dipertanyakan, organisasi bisa trace.

Tanpa lineage, semua menyalahkan AI.

Padahal problem ada di source database.

Governance committee tidak harus birokratis

Begitu bilang lintas fungsi, orang takut: “nanti semua project harus rapat 20 orang.”

Tidak perlu.

Governance harus proportional.

Low-risk use case: checklist singkat.

Medium: review beberapa fungsi.

High-risk: formal assessment.

AI governance board sebaiknya fokus pada kasus material.

Bukan approve caption Instagram.

Kalau semua harus dibawa komite, tim akan bypass.

Governance yang terlalu berat menciptakan shadow AI.

Desain harus realistis.

Buat RACI

Cara sederhana: Responsible. Accountable. Consulted. Informed.

Contoh AI recruitment.

Responsible: HR operations.

Accountable: Head of HR.

Consulted: Legal, IT, data, security.

Informed: management.

Untuk AI payment agent: responsible finance ops, accountable CFO, consulted security dan legal.

RACI menghilangkan kebingungan.

Tidak semua orang bertanggung jawab atas semuanya.

Tapi semua aspek punya owner.

AI Center of Excellence bisa membantu

Organisasi besar bisa punya central AI team.

Mereka buat: standard, tool approved, evaluation, template risk, training.

Tapi central team jangan mengambil ownership semua use case.

Domain tetap punya owner.

Model federated lebih scalable.

Pusat memberi guardrail.

Unit bisnis menjalankan.

Mirip cybersecurity.

Security team tidak memiliki semua aplikasi.

Tapi mereka memberi standard.

AI governance bisa begitu.

Indonesia butuh pendekatan lintas disiplin

Pemerintah pada 2026 sudah memberi sinyal kuat bahwa tata kelola AI tidak bisa sektoral sempit.

Pembahasan RPerpres melibatkan lebih dari 30 kementerian dan lembaga pada tahap tertentu.

Itu mencerminkan realitas: AI menyentuh ekonomi, hukum, keamanan, pendidikan, kesehatan, dan pemerintahan.

Perusahaan juga harus berpikir sama.

AI bukan fitur IT.

Ia general-purpose technology.

Dampaknya menyebar.

Kalau governance hanya tinggal di departemen teknologi, keputusan penting terjadi tanpa input yang cukup.

IT bisa bilang sistem secure.

Legal bisa bilang compliant.

Operations bisa bilang workable.

HR bisa bilang fair.

Finance bisa bilang economically sensible.

Leadership bisa bilang sesuai risk appetite.

Baru kalau semua perspektif itu bertemu, governance menjadi nyata.

AI Governance Bukan Tugas Tim IT Saja bukan berarti semua orang harus jadi ahli AI.

Justru sebaliknya.

Setiap fungsi membawa expertise masing-masing.

IT menjaga sistem.

Legal menjaga hak dan kewajiban.

Security menjaga attack surface.

Data menjaga kualitas.

Operations menjaga realitas proses.

Leadership menjaga accountability.

AI team menghubungkan semuanya.

Itulah governance yang matang.

Ada satu fungsi lain yang sering terlupakan: internal audit. Tim audit tidak harus ikut setiap project sejak hari pertama, tetapi mereka perlu punya akses terhadap inventory, risk classification, incident, dan evidence bahwa kontrol benar-benar berjalan. Kalau AI sudah masuk proses material, auditor internal bisa menjadi pihak yang relatif independen untuk menantang asumsi tim project.

Misalnya semua orang bilang human review sudah cukup. Audit bisa sampling 100 kasus dan melihat apakah reviewer benar-benar membaca. Kalau 98 kasus disetujui dalam lima detik, mungkin review hanya formalitas. Evidence seperti ini jauh lebih berguna daripada policy yang terlihat rapi.

Untuk organisasi yang memakai puluhan AI tool, governance juga butuh katalog approved use. Bukan sekadar daftar aplikasi yang boleh, tetapi kombinasi tool dan tujuan. Satu platform mungkin aman untuk brainstorming dengan data publik, tetapi tidak boleh untuk data customer. Dengan cara ini kontrol lebih presisi.

Karyawan juga perlu jalur meminta pengecualian. Kadang tool yang belum approved memang sangat berguna. Jangan paksa mereka sembunyi. Buat proses exception yang cepat: jelaskan use case, data, vendor, dan durasi. Tim governance menilai. Jika aman, pilot terbatas.

Ini penting karena governance yang cuma berisi kata “dilarang” biasanya kalah dari kebutuhan kerja nyata. Orang akan mencari jalan sendiri.

Pada level budaya, perusahaan perlu mengubah cara memandang error. Karyawan yang menemukan failure AI dan melaporkannya harus dihargai, bukan dianggap menghambat innovation. Incident dan near miss adalah data. Dari sana organisasi belajar.

AI governance akhirnya bukan struktur organisasi saja. Ia budaya keputusan. Orang terbiasa bertanya sebelum deploy: siapa terdampak, apa data yang masuk, siapa owner, bagaimana kalau salah, dan kapan harus berhenti.

Bukan satu tim menjaga dunia.

Tapi organisasi tahu siapa menjaga apa.