ISO/IEC 42001: Standar Tata Kelola AI dan Cara Perusahaan Indonesia Meraihnya
ISO/IEC 42001 adalah standar internasional pertama untuk sistem manajemen kecerdasan buatan (AI management system atau AIMS). Sederhananya, standar ini meminta perusahaan membuktikan, lewat audit pihak ketiga, bahwa pemakaian dan pengembangan AI di dalamnya punya aturan, penanggung jawab, dan kontrol risiko yang benar-benar berjalan. Tulisan ini membahas pengertian standar ini, isi klausul dan 38 kontrolnya, siapa saja yang sudah tersertifikasi, kaitannya dengan UU PDP dan EU AI Act, hingga langkah menuju sertifikasi.
TLDR
Apa Itu ISO/IEC 42001 dan Siapa yang Membutuhkannya?
Standar sukarela untuk membangun dan mengaudit tata kelola AI, berlaku bagi penyedia, pengembang, dan pengguna AI.
Isi Standar, dari Klausul Manajemen hingga 38 Kontrol Annex A
Kerangkanya meniru ISO/IEC 27001, dengan 38 kontrol dalam sembilan domain yang dipilih lewat Statement of Applicability.
Siapa Saja yang Sudah Tersertifikasi, dari Anthropic hingga Lintasarta?
Anthropic dan Microsoft sudah tersertifikasi, sementara di Indonesia Zentara dan Lintasarta mengumumkan sertifikasi pada 2026.
Kaitan ISO/IEC 42001 dengan UU PDP, PP 33/2026, dan EU AI Act
Standar ini bukan kewajiban hukum, tetapi membantu menyiapkan bukti kepatuhan menjelang PP 33/2026 berlaku pada 16 Januari 2027.
Langkah Menuju Sertifikasi ISO/IEC 42001 untuk Perusahaan
Mulai dari inventaris AI, penilaian risiko, Statement of Applicability, audit internal, lalu audit sertifikasi dua tahap.
Kesimpulan
ISO/IEC 42001 paling berguna bila dipakai untuk merapikan tata kelola AI yang sudah berjalan, bukan sekadar mengejar sertifikat.
Coba hitung berapa banyak alat AI yang dipakai di kantor Anda hari ini. Ada chatbot layanan pelanggan, asisten penulisan di laptop karyawan, model penilai kredit, sampai fitur AI yang diam-diam ikut di aplikasi vendor. Saat klien besar atau auditor bertanya siapa yang bertanggung jawab atas semua itu, banyak perusahaan kesulitan menjawab. Pertanyaan semacam ini makin sering muncul dalam tender perbankan, pemerintahan, dan infrastruktur. Salah satu jawaban yang mulai dipakai perusahaan di Indonesia adalah sertifikasi ISO/IEC 42001. Lalu, apa sebenarnya isi standar ini, dan seberapa perlu perusahaan Anda mengejarnya?
Apa Itu ISO/IEC 42001 dan Siapa yang Membutuhkannya?
ISO/IEC 42001 adalah standar internasional yang menetapkan persyaratan untuk membangun, menerapkan, memelihara, dan terus memperbaiki sistem manajemen AI di dalam organisasi. Standar ini terbit dengan kode tahun 2023, bersifat sukarela, dan bisa dipakai oleh organisasi yang menyediakan, mengembangkan, maupun sekadar menggunakan produk atau layanan berbasis AI.
Standar ini disusun bersama oleh International Organization for Standardization (ISO) dan International Electrotechnical Commission (IEC). Menurut Microsoft (2026) dalam halaman kepatuhannya, sistem manajemen AI adalah kumpulan elemen organisasi yang saling terkait untuk menetapkan kebijakan, sasaran, dan proses terkait pengembangan, penyediaan, atau penggunaan sistem AI secara bertanggung jawab.
Perbedaannya dengan pedoman etika AI cukup jelas. Pedoman etika biasanya berhenti di prinsip, seperti adil, transparan, dan aman. ISO/IEC 42001 meminta bukti bahwa prinsip itu dijalankan, misalnya ada daftar risiko AI yang diperbarui, ada komite yang benar-benar rapat, dan ada catatan keputusan. Bukti itu kemudian diperiksa auditor independen dari lembaga sertifikasi terakreditasi.
Siapa yang paling membutuhkannya? Penyedia layanan AI dan cloud yang melayani klien di sektor ketat aturan merasakan manfaatnya lebih dulu, karena sertifikat menjadi bukti tata kelola yang bisa dilampirkan saat tender. Perusahaan pengguna AI, seperti bank, rumah sakit, dan perusahaan asuransi, juga bisa memakainya untuk menata risiko internal, walaupun belum tentu perlu mengejar sertifikat dalam waktu dekat.
Isi Standar, dari Klausul Manajemen hingga 38 Kontrol Annex A
ISO/IEC 42001 terdiri dari klausul sistem manajemen yang wajib dipenuhi dan Annex A berisi 38 kontrol dalam sembilan domain, bernomor A.2 sampai A.10. Perusahaan memilih kontrol yang relevan dengan risikonya, lalu mencatat alasan setiap pilihan dalam dokumen bernama Statement of Applicability (SoA).
Menurut SureCloud (2026), struktur ISO/IEC 42001 meminjam kerangka ISO/IEC 27001, standar keamanan informasi yang sudah banyak dipakai perusahaan Indonesia. Kedua standar memakai format Annex A yang sama, tetapi sasarannya berbeda. ISO/IEC 27001 menjaga kerahasiaan, keutuhan, dan ketersediaan data, sementara ISO/IEC 42001 mengurus risiko khas AI seperti bias model, minimnya penjelasan, dan lemahnya pengawasan manusia.
Sembilan domain kontrol itu mencakup kebijakan AI, organisasi internal, sumber daya, penilaian dampak, siklus hidup sistem AI, data untuk AI, informasi bagi pihak berkepentingan, penggunaan sistem AI, serta hubungan dengan pihak ketiga dan pelanggan. Domain terakhir penting bagi perusahaan Indonesia yang banyak memakai model buatan vendor asing.
Dokumen SoA, yang diatur dalam Klausul 6.1.3, menjadi titik uji utama. SureCloud (2026) mencatat auditor kerap menemukan kebijakan AI yang rapi, tetapi separuh kontrol Annex A ditandai "tidak berlaku" tanpa bukti pendukung. Kontrol yang dikecualikan tanpa alasan kuat akan menjadi temuan audit. Dengan kata lain, standar ini lentur soal kontrol mana yang dipakai, tetapi ketat soal alasan dan buktinya.
Siapa Saja yang Sudah Tersertifikasi, dari Anthropic hingga Lintasarta?
Di tingkat global, Anthropic mengumumkan sertifikasi ISO/IEC 42001 pada 13 Januari 2025 dan Microsoft juga sudah tersertifikasi untuk sistem AI-nya. Di Indonesia, Zentara Technologies mengumumkan sertifikasinya pada Mei 2026, lalu Lintasarta menyusul pada Oktober 2026 lewat audit TÜV SÜD Indonesia.
Menurut Anthropic (2025), sertifikasinya diterbitkan oleh Schellman Compliance, lembaga sertifikasi yang diakreditasi ANSI National Accreditation Board. Microsoft (2026) menyebut pelanggan boleh memakai sertifikasi Microsoft Copilot dalam penilaian kepatuhan mereka, tetapi tetap harus mendatangkan asesor sendiri untuk menilai kontrol di organisasi pelanggan. Artinya, sertifikat vendor membantu, tetapi tidak menggantikan kewajiban perusahaan pengguna.
Zentara Technologies, perusahaan keamanan siber berbasis di Tangerang, menyebut dirinya perusahaan keamanan siber pertama di Indonesia yang meraih sertifikasi ini. Cakupannya meliputi komponen AI di platform SIEM miliknya serta infrastruktur cloud pendukung di AWS dan Google Cloud Platform. Sertifikat ini melengkapi ISO/IEC 27001 yang sudah dimiliki perusahaan itu sebelumnya.
Lintasarta, menurut TÜV SÜD Indonesia, menjadi perusahaan ICT nasional pertama yang meraih sertifikasi ISO/IEC 42001:2023. Cakupannya meliputi GPU Services, LLM Services, serta pengembangan dan pengoperasian asisten virtual berbasis AI untuk layanan pelanggan. Audit berlangsung dua tahap, yaitu readiness review dan certification audit, dan berakhir tanpa temuan minor maupun major.
"Governance bukan untuk menghambat inovasi. Justru governance yang baik memberikan pagar pengaman agar inovasi AI dapat berkembang lebih terarah dan terukur," kata Armand Hermawan, President Director dan CEO Lintasarta, dalam keterangan tertulis pada 9 Oktober 2026, seperti dikutip Olenka.
Kaitan ISO/IEC 42001 dengan UU PDP, PP 33/2026, dan EU AI Act
ISO/IEC 42001 bukan kewajiban hukum di Indonesia. Namun, standar ini membantu perusahaan menyiapkan bukti kepatuhan terhadap UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi dan aturan pelaksananya, PP Nomor 33 Tahun 2026, yang mulai berlaku 16 Januari 2027.
UU PDP disahkan di Jakarta pada 17 Oktober 2022, menurut naskah di JDIH Komdigi. Menurut Katadata (2026), PP 33/2026 diteken Presiden Prabowo Subianto pada 16 Juli 2026 dan berlaku enam bulan sejak diundangkan. Pasal 36 PP itu mewajibkan pengendali data memiliki bukti atas persetujuan yang diberikan sebagai bagian dari akuntabilitas pemrosesan data.
Kewajiban menyimpan bukti seperti itu sejalan dengan cara kerja ISO/IEC 42001. Sistem AI yang mengolah data pelanggan, misalnya chatbot atau model penilai kredit, perlu catatan sumber data, persetujuan, dan keputusan yang bisa ditelusuri. Kontrol di domain data untuk AI dan penilaian dampak membantu perusahaan menyusun catatan itu secara teratur, bukan dikumpulkan terburu-buru saat ada pemeriksaan.
Bagi perusahaan yang melayani pasar Eropa, standar ini juga relevan dengan EU AI Act. SureCloud (2026) mencatat tenggat kewajiban sistem AI berisiko tinggi di Uni Eropa bergeser ke 2 Desember 2027 lewat paket Digital Omnibus, tetapi isi kewajibannya tetap sama. Zentara (2026) juga menyebut kerangka pengujian AI Verify milik IMDA Singapura sudah dipetakan ke ISO/IEC 42001, sehingga satu sistem manajemen bisa dipakai untuk menjawab beberapa yurisdiksi sekaligus.
Langkah Menuju Sertifikasi ISO/IEC 42001 untuk Perusahaan
Jalur sertifikasi ISO/IEC 42001 dimulai dari inventaris sistem AI, penilaian risiko dan dampak, penyusunan kebijakan dan Statement of Applicability, audit internal, lalu audit sertifikasi dua tahap oleh lembaga terakreditasi. Perusahaan yang sudah memegang ISO/IEC 27001 biasanya bisa bergerak lebih cepat.
Menurut SureCloud (2026), kesiapan sertifikasi dalam 90 hari masuk akal bagi organisasi yang sudah punya tata kelola ISO/IEC 27001, sedangkan organisasi yang mulai dari nol biasanya butuh empat sampai enam bulan. Berikut urutan kerja yang bisa Anda ikuti:
Buat inventaris AI. Catat semua sistem AI yang dikembangkan, dijual, atau dipakai, termasuk fitur AI di aplikasi vendor dan alat yang dipakai karyawan tanpa izin resmi.
Tentukan peran dan cakupan. Putuskan apakah perusahaan berperan sebagai penyedia, pengembang, pengguna, atau gabungan ketiganya, seperti cakupan yang dipilih Lintasarta.
Nilai risiko dan dampak. Petakan risiko bias, kebocoran data pribadi, dan kesalahan keputusan otomatis, lalu tautkan dengan kewajiban UU PDP.
Susun Statement of Applicability. Pilih kontrol Annex A yang relevan dan tulis alasan untuk setiap kontrol yang dikecualikan.
Jalankan dan kumpulkan bukti. Aktifkan komite tata kelola AI, perbarui daftar risiko, dan simpan catatan rapat serta keputusan.
Audit internal, lalu audit sertifikasi. Uji kesiapan sendiri sebelum mengundang lembaga sertifikasi untuk audit tahap 1 dan tahap 2.
Zentara memberi gambaran wujud bukti yang diminta auditor, yaitu daftar risiko AI, inventaris model, komite tata kelola lintas fungsi, dan integrasi insiden AI ke pusat operasi keamanan 24 jam. "Kami mengambil sertifikasi ini karena klien kami di sektor perbankan, pemerintahan, dan infrastruktur vital perlu mengetahui bahwa AI yang kami hadirkan memiliki tata kelola yang jelas, bukan sekadar improvisasi," kata Darian Kuswanto, President dan Co-founder Zentara Technologies.
Kesimpulan
ISO/IEC 42001 memberi bahasa bersama untuk tata kelola AI, mulai dari 38 kontrol Annex A hingga audit pihak ketiga. Standar ini tidak diwajibkan hukum Indonesia, tetapi makin sering diminta klien di sektor ketat aturan. Sertifikasi Zentara dan Lintasarta pada 2026 menunjukkan perusahaan lokal sudah mulai menempuh jalur ini.
Dengan PP 33/2026 berlaku pada 16 Januari 2027, waktu terbaik untuk mulai adalah sekarang, walaupun sertifikat belum menjadi target. Mulailah dari inventaris AI dan daftar risiko, karena dua dokumen itu berguna untuk kepatuhan data pribadi sekaligus menjadi fondasi bila suatu hari perusahaan Anda memutuskan mengejar sertifikasi.
(Burung Hantu Infratek / Berbagai Sumber)
⚠️ Artikel ini seluruhnya diriset, ditulis, dan dikembangkan oleh AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Sumber dan Referensi
[1] ISO/IEC 42001:2023 Artificial Intelligence Management System Standards - Microsoft Learn
[2] ISO 42001 Annex A Controls: A Practical Guide for 2026 - SureCloud
[3] Anthropic achieves ISO 42001 certification - Anthropic
[5] Lintasarta Raih Sertifikasi ISO/IEC 42001:2023 untuk AI Management System - Olenka
[6] Lintasarta Raih Sertifikasi ISO 42001 untuk Tata Kelola AI - Selular.ID
[7] PP Pelindungan Data Pribadi Berlaku Januari 2027, Ini Aturan Baru Data Anak - Katadata
[8] Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi - JDIH Komdigi