Setiap teknologi baru punya fase panik.
Dulu internet. Media sosial. Crypto. Sekarang AI.
Begitu ada satu kasus buruk, reflex publik sering sama: “kenapa nggak dilarang aja?”
Masalahnya, AI bukan satu produk.
AI adalah keluarga teknologi yang bisa dipakai untuk hal sangat berbeda.
Membantu mahasiswa memahami materi. Mendeteksi fraud. Membuat deepfake. Meringkas dokumen. Membantu dokter. Spam. Coding. Bansos.
Kalau kita mencoba mengatur “AI” sebagai satu benda, regulasinya akan terlalu kasar.
Lebih masuk akal mengatur berdasarkan risiko penggunaan.
Pendekatan ini bukan ide baru.
EU AI Act secara eksplisit memakai risk-based approach.
Sistem dengan risiko minimal diperlakukan berbeda dari high-risk system.
Ada juga praktik yang dilarang.
Indonesia tidak harus copy-paste.
Tapi logikanya relevan.
Regulasi harus bertanya: apa dampak use case ini terhadap manusia?
Bukan: apakah ada AI di dalamnya?
Kenapa larangan teknologi terlalu broad?
Bayangin pemerintah melarang generative AI karena deepfake.
Akibatnya: developer kehilangan coding assistant. Designer kehilangan tool. UMKM kehilangan translation. Research terhambat.
Harm dari deepfake belum tentu berkurang.
Aktor jahat bisa pakai model dari luar negeri.
Jadi blanket ban menghukum user legit tetapi belum tentu menghentikan misuse.
Lebih baik target perilaku.
Fraud dilarang. Impersonation berbahaya diatur. Deepfake tertentu wajib disclosure. High-impact decision punya safeguard.
Teknologi tetap bisa berkembang.
Risk-based regulation membedakan consequence
Contoh sederhana.
AI membuat rekomendasi playlist.
Kalau salah, user skip.
AI menentukan apakah seseorang layak menerima bantuan.
Kalau salah, orang bisa kehilangan hak.
Tidak logis dua sistem punya kewajiban sama.
Yang kedua mungkin butuh: impact assessment, human oversight, logging, appeal, audit.
Yang pertama tidak.
Ini efisiensi regulasi.
Regulator punya resource terbatas.
Fokus ke high-impact.
Jangan audit jutaan chatbot ringan.
Risk-based regulation juga lebih ramah UMKM
Indonesia punya jutaan UMKM.
Banyak akan pakai AI untuk caption, customer reply, translation.
Kalau setiap penggunaan harus daftar regulator, adoption mati atau compliance diabaikan.
Low-risk use case perlu jalur ringan.
Guideline. Literacy. Data protection.
Bukan audit mahal.
Sebaliknya, kalau UMKM memakai AI untuk memberikan pinjaman atau keputusan high impact, ukurannya kecil tidak otomatis membuat risikonya kecil.
Risk based means use case first.
Bukan company size saja.
Larangan tetap punya tempat
Risk-based bukan berarti semua boleh.
Ada penggunaan yang mungkin unacceptable.
Misalnya AI untuk manipulation yang mengeksploitasi vulnerability tertentu.
Mass social scoring oleh negara.
Beberapa bentuk biometric surveillance.
EU AI Act punya daftar prohibited practices.
Indonesia perlu debat sendiri.
Nilai hukum dan sosial berbeda.
Yang penting larangan diarahkan ke harm spesifik.
Bukan teknologi generik.
“AI dilarang” terlalu vague.
“AI tidak boleh digunakan untuk X dalam kondisi Y” lebih enforceable.
Kategori high-risk perlu fleksibel
Daftar high-risk jangan beku.
Teknologi berubah.
Use case baru muncul.
Regulator perlu review.
EU bahkan punya mekanisme annual review atas daftar high-risk dan prohibited uses untuk menjaga relevansi.
Indonesia bisa mengambil prinsip itu.
List living.
Bukan lampiran yang tidak disentuh 10 tahun.
Regulator melihat incident.
Update.
Ini membuat risk-based framework adaptif.
Risk tidak hanya safety fisik
Orang kadang mengira high risk berarti robot bisa melukai manusia.
Fundamental rights juga risk.
Diskriminasi. Privasi. Kebebasan berekspresi. Akses layanan.
AI hiring bisa tidak membahayakan fisik.
Tapi bisa mengurangi kesempatan kerja.
AI credit bisa memengaruhi ekonomi.
AI education placement bisa memengaruhi masa depan siswa.
Jadi risk taxonomy harus luas.
Health. Safety. Rights. Economic harm. Democratic harm.
Tapi jangan semua dimasukkan high risk.
Harus ada materiality.
Autonomy menaikkan risiko
AI yang memberi suggestion beda dengan AI yang langsung bertindak.
Misalnya AI mendeteksi invoice suspicious.
Suggestion: finance review.
Automatic: payment diblok.
Yang kedua impact lebih besar.
Jadi risk assessment perlu melihat autonomy.
Tool access. Transaction. External communication.
Agentic AI membuat ini makin penting.
Model yang sama bisa low risk sebagai chatbot.
High risk ketika diberi akses menghapus data.
Regulasi masa depan harus melihat capability plus permission.
Data juga menentukan risk
Model recruitment yang memakai data sensitif punya risk.
Model yang membaca public job description lebih rendah.
Health AI memakai medical record.
High sensitivity.
Data anak.
Biometric.
Financial.
Risk classification harus mempertimbangkan data category.
UU PDP tetap jalan.
AI framework menambah layer.
Jangan duplikasi.
Risk-based regulation memungkinkan sandbox
Use case baru belum jelas.
Daripada langsung dilarang, masuk sandbox.
Scope kecil. User terbatas. Monitoring. No irreversible action.
Regulator belajar.
Perusahaan juga belajar.
Kalau aman, scale.
Kalau harm muncul, stop.
Ini lebih cerdas daripada regulation by headline.
Indonesia sudah punya pengalaman sandbox di sektor keuangan.
Konsep serupa bisa dipakai untuk AI tertentu.
Risk assessment jangan menjadi form mati
Kalau framework berbasis risiko, assessment harus berkualitas.
Bukan: “apakah sistem aman? yes.”
Perlu scenario.
Siapa terdampak? Worst case? Likelihood? Data? Autonomy? Fallback?
Result menentukan control.
Low risk. Proceed.
Medium. Mitigation.
High. Formal approval.
Unacceptable. Do not deploy.
Assessment harus bisa diaudit.
Bukan self-label semua “low”.
Conflict of interest obvious.
Independent review mungkin perlu untuk high impact.
Regulator perlu standard minimum.
Risk-based approach butuh enforcement
Kalau perusahaan bebas menentukan kategori sendiri tanpa oversight, semua akan bilang low risk.
Perlu regulator.
Sampling. Audit. Penalty.
High-risk list.
Guidance.
Whistleblower.
Incident.
Risk-based bukan soft regulation.
Justru lebih targeted.
Resource diarahkan ke sistem yang benar-benar matter.
Transparansi juga berbasis risiko
Chatbot customer service: beri tahu user AI.
High-risk decision: lebih detail.
Model internal: mungkin tidak perlu public disclosure.
Deepfake: label kuat.
Ini lebih sensible.
Jangan paksa perusahaan membuka source code untuk semua AI.
Transparansi harus sesuai audience.
User butuh notice.
Auditor butuh dokumentasi.
Regulator butuh access.
Public butuh summary.
Layered.
Risk-based approach juga bagus untuk innovation
Developer punya clarity.
Kalau build low-risk tool, compliance ringan.
Kalau masuk healthcare, tahu requirement lebih tinggi.
Regulatory certainty membantu investasi.
Daripada semua AI berada di grey area.
Investor bisa assess.
Insurance juga.
Procurement.
Market mature.
Regulasi yang baik tidak hanya melarang.
Ia menciptakan jalur legal.
Ada risiko regulatory arbitrage
Perusahaan bisa mendesain use case agar terlihat low risk.
Misalnya: “kami cuma memberi recommendation.”
Tapi manusia selalu mengikuti.
Secara practical automated.
Regulator harus lihat function nyata.
Bukan label marketing.
“Decision support” bisa sebenarnya decision-making.
Human oversight harus meaningful.
Kalau reviewer cuma klik approve, jangan pretend.
Substance over form.
Indonesia perlu risk taxonomy lokal
Jangan copy Annex EU lalu selesai.
Konteks kita beda.
Bansos. Digital lending. Pendidikan. Pemerintah daerah. Bahasa lokal.
Kita perlu incident evidence.
Use case nasional.
Maybe transport.
E-commerce.
Civil registry.
Health.
Kategori high risk harus reflect society Indonesia.
Academic research bisa membantu.
Civil society.
Industry.
Government.
Multi-stakeholder.
Risk-based regulation juga harus menjaga kelompok rentan
Anak. Lansia. Disabilitas. Low digital literacy.
AI bisa berdampak berbeda.
Sistem yang aman untuk adult tech-savvy belum tentu safe untuk child.
Risk assessment perlu affected population.
Bukan one-size.
Indonesia sudah punya PP TUNAS untuk perlindungan anak digital.
AI regulation harus sinkron.
Jangan bikin rule conflict.
Regulasi berbasis risiko lebih masuk akal daripada melarang teknologinya karena teknologi bukan moral actor.
Use case yang menentukan harm.
AI bisa membantu.
AI bisa merugikan.
Sama tool.
Different context.
Tugas regulator bukan memilih “pro AI” atau “anti AI”.
Tugas regulator membuat sistem di mana innovation rendah risiko bisa berkembang cepat, sementara penggunaan high impact diawasi ketat dan penggunaan unacceptable dibatasi.
Itu jauh lebih sulit daripada slogan larangan.
Tapi jauh lebih efektif.
Karena dunia nyata tidak punya tombol: AI ON. AI OFF.
Ada satu keuntungan lain dari pendekatan berbasis risiko: regulasi bisa mengikuti lifecycle. Sistem tidak dinilai hanya saat launch. Ketika autonomy naik, data berubah, atau user base meluas, kategori bisa berubah.
Misalnya agent awalnya hanya membuat draft invoice. Low risk.
Enam bulan kemudian agent diberi permission mengirim invoice dan memproses refund. Risk naik.
Framework berbasis risiko menangkap perubahan ini. Blanket ban tidak.
Kita juga perlu membedakan inherent risk dan residual risk. Inherent risk adalah dampak sebelum kontrol. Residual risk setelah mitigation. High-impact system tetap membutuhkan governance kuat meskipun residual risk sudah turun.
Kenapa?
Karena control bisa gagal.
Human review bisa menjadi rubber stamp.
Logging bisa mati.
Model update bisa mengubah behavior.
Jadi status high-risk bukan hukuman. Ia reminder bahwa sistem perlu pengawasan terus.
Regulator juga perlu memberi contoh konkret. Perusahaan lebih mudah patuh kalau guidance berbunyi: “AI recruitment yang meranking kandidat secara otomatis termasuk high impact” dibanding kalimat abstrak 20 halaman.
Case library akan sangat membantu Indonesia.
Use case. Risk. Control. Decision.
Dengan contoh, UMKM dan startup tidak perlu selalu menyewa lawyer hanya untuk mengetahui apakah eksperimen sederhana masuk kategori tertentu.
Pendekatan berbasis risiko baru efektif kalau bahasanya bisa dipahami operator, bukan cuma regulator.
Risk-based regulation juga membuat komunikasi publik lebih sehat. Daripada mengatakan “AI berbahaya”, regulator bisa menjelaskan jenis penggunaan mana yang perlu kontrol lebih tinggi dan kenapa. Publik jadi paham bahwa risiko datang dari konteks, bukan dari kata AI itu sendiri.
Ini penting untuk mencegah moral panic. Kalau masyarakat melihat semua AI sebagai ancaman, adoption produktif ikut tertahan. Sebaliknya, kalau semua use case dianggap aman karena teknologi dianggap inevitable, harm dibiarkan.
Framework risiko memberi bahasa tengah.
Kita bisa bilang: use case ini rendah risiko, lanjut dengan guardrail dasar.
Yang ini high impact, perlu assessment.
Yang ini unacceptable, jangan deploy.
Bahasa seperti itu jauh lebih useful untuk perusahaan, regulator, dan masyarakat daripada debat ideologis pro atau anti AI.
Dan yang paling penting, organisasi tahu kontrol minimum sebelum teknologi menyentuh manusia secara langsung.
Yang ada jutaan keputusan kecil tentang bagaimana teknologi dipakai.
Regulasi yang bagus harus mampu membedakan mana yang worth worrying about.
Bacaan terkait
Artikel ini berada dalam AI Governance & Regulation dan mengikuti metodologi editorial Undercover.id. Format terkait tersedia di Reports dan analisis mendalam.