Satu problem besar regulasi AI adalah mismatch kecepatan.
Model AI bisa berubah dalam hitungan minggu.
Regulasi bisa butuh tahun.
Hari ini model fokus chat. Besok tool use. Lalu agent. Lalu multimodal. Lalu memory. Lalu arsitektur baru.
Kalau aturan mengejar nama produk, pasti kalah.
Indonesia sadar problem ini.
Pada Mei 2026, Wakil Menteri Komunikasi dan Digital Nezar Patria menegaskan regulasi AI tidak boleh dibuat secara reaksioner karena teknologi terus mencari bentuk di berbagai sektor.
Ini prinsip yang tepat.
Tapi pertanyaan lanjutannya lebih susah: bagaimana membuat aturan yang adaptif tanpa menjadi terlalu vague?
Jangan atur nama model
Kalau regulasi bilang: “Model generatif tipe X wajib Y,” umur aturan pendek.
Lebih baik atur fungsi.
Apakah sistem membuat keputusan? Apakah memengaruhi hak? Apakah menghasilkan konten? Apakah mengambil action? Apakah memproses data sensitif?
Function-based regulation lebih tahan.
Model berubah.
Dampak tetap.
Hari ini LLM.
Besok mungkin architecture berbeda.
Kalau efeknya sama, rule tetap relevan.
Atur risk, bukan parameter
Jumlah parameter dulu dianggap indikator besar.
Sekarang tidak selalu.
Model kecil bisa powerful.
Model besar bisa distill.
MoE.
Edge.
Parameter count bukan legal category yang stabil.
Risk lebih meaningful.
Siapa terdampak? Seberapa besar? Apakah reversible?
Sistem high impact perlu obligation tinggi.
Low impact ringan.
Ini membuat regulation lebih future-proof.
Gunakan layered regulation
Undang-undang tidak perlu mengatur semuanya.
Level atas: principles, rights, accountability, authority.
Level bawah: technical standard, benchmark, guideline.
Technical standard bisa update cepat.
Misalnya regulator mengubah evaluation requirement tanpa amend UU.
Ini model yang common di sektor teknis.
Keuangan.
Telekomunikasi.
Keselamatan.
AI juga perlu.
Kalau semua technical detail dikunci di UU, cepat outdated.
Kalau semua diserahkan guidance non-binding, enforcement lemah.
Layering memberi balance.
Regulator butuh technical capacity
Adaptive regulation tidak bekerja kalau regulator lambat memahami teknologi.
Mereka butuh lab.
Engineer. Data scientist. Red team.
Bukan hanya lawyer.
Kalau model baru keluar, regulator bisa test.
Bukan menunggu berita.
Ini mahal.
Tapi perlu.
Indonesia harus investasi regulator capacity.
Kalau tidak, kita bergantung pada vendor explanation.
Regulator asymmetry.
Perusahaan tahu teknologi jauh lebih banyak.
Policy tertinggal.
Technical unit bisa mengurangi gap.
Sandbox membantu belajar
Regulator tidak harus tahu semuanya sebelum teknologi dipakai.
Bisa sandbox.
Use case dibatasi.
Data dibatasi.
Monitoring tinggi.
Dari sana regulator belajar.
Banking sudah familiar sandbox.
AI bisa pakai konsep serupa.
Misalnya health AI.
Uji di beberapa fasilitas.
Lihat error.
Baru buat rule.
Evidence-based regulation lebih baik.
Jangan mengatur dari fear.
Incident data membuat aturan adaptif
Kalau regulator punya AI incident database, update bisa berdasarkan pattern.
Misalnya prompt injection meningkat.
Guideline security diperbarui.
Deepfake fraud naik.
Disclosure requirement diperkuat.
Tanpa incident data, adaptation jadi rumor-driven.
Headline viral mendorong panic rule.
Data memberi proportion.
Indonesia perlu feedback loop.
Regulation -> deployment -> incident -> evaluation -> update.
Bukan linear.
Versioning regulasi juga penting
Guideline AI akan berubah.
Organisasi perlu tahu versi mana berlaku.
Tanggal. Transition period. Change log.
Jangan upload PDF baru diam-diam.
Versioning membantu compliance.
Perusahaan bisa trace: saat incident terjadi, rule apa berlaku?
Ini basic.
Tapi sering tidak dilakukan.
Digital regulation harus diperlakukan seperti software.
Release notes.
Update.
Backward compatibility.
Consultation.
Bukan dokumen statis.
Regulasi harus tech-neutral tapi tidak tech-blind
Ada bahaya terlalu umum.
Misalnya: “AI harus aman.”
Semua setuju.
Tapi tidak actionable.
Tech-neutral berarti tidak terikat vendor.
Bukan berarti tidak teknis.
Aturan bisa mengatakan: sistem yang mengambil action harus punya authorization control.
Itu teknis secara fungsi.
Tidak menyebut model tertentu.
Atau: high-impact automated decision harus punya audit trail.
Specific enough.
Future-proof.
Ini art regulatory drafting.
Sulit.
Model update harus menjadi compliance event
Kalau vendor mengganti model, apakah organisasi perlu review ulang?
Tergantung materiality.
Tidak setiap patch.
Tapi major change seharusnya.
Perubahan capability. Data handling. Safety. Tool behavior.
Vendor perlu notify.
Organization re-test.
Regulasi bisa mendorong change management.
Ini lebih adaptif daripada sertifikasi sekali.
Sistem tidak “approved forever.”
Approval mengikuti version.
Seperti obat atau pesawat punya lifecycle monitoring.
AI perlu post-deployment oversight.
Benchmark juga harus update
Model cepat saturate benchmark.
Kalau regulator mewajibkan satu benchmark permanen, industri akan optimize.
Goodhart’s Law.
Maka standard evaluation harus refresh.
Bisa ada independent body.
Dataset tertutup.
Sector-specific eval.
Bahasa Indonesia.
Bahasa daerah.
Benchmark adaptif.
Ini infrastructure regulasi.
Bukan hanya rule.
Tanpa eval, enforcement sulit.
Adaptive regulation perlu sunset clause
Beberapa aturan experimental sebaiknya punya expiry.
Misalnya temporary restriction.
Setelah dua tahun review.
Apakah masih perlu?
Sunset mencegah policy darurat menjadi permanen.
AI berubah.
Rule yang masuk akal 2026 mungkin tidak 2029.
Sunset atau mandatory review menjaga relevance.
Tidak semua norma.
Basic rights tetap.
Tapi technical requirement bisa.
International interoperability penting
Model global beroperasi lintas negara.
Kalau Indonesia punya requirement totally unik, cost naik.
Vendor mungkin malas masuk.
Jadi harmonisasi penting.
Belajar dari EU. OECD. ASEAN. UN.
Indonesia pada Juli 2026 ikut forum global tata kelola AI dan memperkuat partisipasi internasional.
Ini membantu.
Tapi harmonisasi bukan copy-paste.
Local context tetap.
Bahasa. UMKM. Capacity.
Tujuannya interoperable.
Bukan identical.
Regulasi jangan memaksa inovasi underground
Kalau aturan terlalu cepat dan berat, perusahaan kecil bypass.
Shadow AI.
Developer pakai personal API.
Tidak lapor.
Governance malah hilang.
Adaptive regulation perlu proportional enforcement.
Sediakan safe path.
Low-risk registration sederhana.
Guidance.
Sandbox.
Bantu compliance.
Jangan semua treated as bank.
Safety dan innovation tidak zero-sum.
Regulasi yang bagus membuat jalur aman lebih mudah daripada jalur liar.
Update regulasi butuh mekanisme institusional
Siapa yang decide update?
Komdigi? Regulator sektoral? Multi-stakeholder board?
Harus jelas.
Kalau setiap perubahan perlu koordinasi 30 lembaga, terlalu lambat.
Mungkin central technical standard body membantu.
Dengan representation sektor.
Mereka bisa update guidance.
Framework legal memberi mandat.
Institutional design menentukan agility.
Tidak cukup bilang “adaptive.”
Harus ada mesin adaptation.
Public consultation juga harus lebih cepat
Konsultasi tradisional bisa lama.
Untuk technical update, gunakan online consultation.
Draft. 30 hari feedback. Public response.
Transparan.
Perusahaan bisa siap.
Civil society ikut.
Fast tidak berarti closed.
Digital policymaking bisa lebih modern.
Regulasi juga harus machine-readable
Ini idea menarik.
Kalau compliance rule bisa diakses terstruktur, perusahaan bisa automate check.
API regulation.
Structured requirement.
Bukan cuma PDF.
Misalnya daftar model risk category.
Update machine-readable.
Compliance tools bisa consume.
Ini masa depan.
Regulator dan software lebih terhubung.
Mengurangi gap implementasi.
Indonesia punya kesempatan leapfrog.
Jangan hanya digitize dokumen.
Digitize governance.
Pada akhirnya, regulasi AI tidak akan pernah secepat model.
Dan tidak perlu.
Tujuannya bukan mengejar setiap release.
Tujuannya membuat framework yang tetap valid ketika release berubah.
Atur dampak.
Atur tanggung jawab.
Atur hak.
Biarkan detail teknis hidup di standard yang bisa diperbarui.
Kalau model berubah setiap beberapa bulan, regulation harus punya memory dan update mechanism.
Bukan panik setiap ada model baru.
Indonesia sudah memberi sinyal ingin menghindari regulasi reaksioner.
Ada satu cara lain agar aturan tidak cepat basi: gunakan obligation berbasis outcome. Misalnya daripada mewajibkan teknik keamanan tertentu, aturan bisa meminta organisasi membuktikan bahwa akses tidak sah dicegah dan diuji secara periodik. Tekniknya boleh berubah. Tujuannya tetap.
Pendekatan outcome-based memberi ruang innovation, tetapi ada syarat. Regulator harus punya kemampuan menguji bukti. Kalau tidak, perusahaan bisa memberi laporan bagus tanpa kontrol nyata. Jadi fleksibilitas harus datang bersama auditability.
Perubahan model juga perlu materiality framework. Vendor tidak mungkin melaporkan setiap tuning kecil. Tapi perubahan yang memengaruhi capability, data handling, tool access, atau safety seharusnya dianggap material. Deployer lalu menilai apakah perlu retest.
Konsep ini familiar di regulated industry. Perubahan besar pada sistem tidak diperlakukan sama dengan bugfix kecil. AI bisa mengadopsi change classification serupa.
Regulator juga perlu membedakan model risk dan application risk. Foundation model mungkin punya capability luas, tetapi dampak akhir ditentukan use case. Satu model dipakai untuk menulis draft dan untuk menilai kredit. Regulation harus bisa melihat dua level.
Di level model, fokus pada transparency, safety evaluation, cybersecurity, dan capability tertentu. Di level application, fokus pada context, data, human oversight, dan impact.
Kalau semua beban diletakkan pada model provider, deployer bisa lepas tangan. Kalau semua diletakkan deployer, provider yang tahu technical limitation bisa lolos. Shared responsibility lebih realistis.
Indonesia juga perlu mekanisme rapid advisory. Kalau muncul vulnerability baru pada agentic AI, regulator tidak perlu menunggu revisi Perpres. Keluarkan advisory teknis. Misalnya temporary restriction pada permission tertentu sampai mitigasi tersedia.
Advisory bisa bersifat non-binding untuk low risk dan mandatory melalui kewenangan sektoral untuk high impact. Struktur seperti ini memberi kecepatan.
Kemudian ada masalah open-source. Model terbuka bisa diunduh dan dimodifikasi. Regulasi berbasis penyedia layanan saja tidak cukup. Kita perlu membedakan developer open model, distributor, dan organisasi yang deploy. Jangan memaksa komunitas riset memikul kewajiban seperti hyperscaler, tetapi jangan juga mengabaikan risiko penggunaan downstream.
Aturan adaptif juga perlu data tentang biaya compliance. Kalau requirement baru membuat startup kecil mengeluarkan biaya tidak proporsional tanpa benefit safety jelas, review. Regulation punya externality ekonomi. Monitor.
Ini alasan regulatory impact assessment harus ongoing, bukan hanya sebelum aturan dibuat.
Yang juga penting adalah legal certainty. Adaptif bukan berarti aturan berubah setiap minggu tanpa notice. Perusahaan butuh waktu menyesuaikan. Technical guidance boleh cepat, tetapi material obligation harus punya transition period.
Ada tension antara agility dan predictability. Regulasi yang bagus menjaga keduanya.
Regulator bisa mengumumkan roadmap update. Misalnya standard evaluation akan direvisi enam bulan lagi. Industri siap. Public consultation dilakukan. Perubahan tidak datang tiba-tiba.
Terakhir, adaptive regulation memerlukan willingness untuk mencabut aturan yang gagal. Pemerintah sering mudah menambah kewajiban, sulit menghapus. Padahal teknologi berubah. Rule yang tidak lagi memberi manfaat sebaiknya dipensiunkan.
Regulasi AI harus punya kemampuan belajar seperti sistem yang diaturnya.
Bukan machine learning secara literal.
Institutional learning.
Mengumpulkan evidence, mengubah policy, dan mengakui ketika pendekatan lama tidak lagi bekerja.
Sekarang tantangannya adalah membuat sistem hukum yang benar-benar punya agility.
Bukan sekadar menyebut kata “adaptif” dalam dokumen.
Bacaan terkait
Artikel ini berada dalam AI Governance dan mengikuti metodologi editorial Undercover.id. Format terkait tersedia di Reports dan analisis mendalam.