RUU Tata Kelola AI Malaysia: Tiga Tingkat Risiko dan Dampaknya bagi Bisnis Indonesia
RUU Tata Kelola AI Malaysia adalah rancangan undang-undang pertama Malaysia yang khusus mengatur kecerdasan buatan secara lintas sektor, dirilis untuk konsultasi publik oleh National AI Office (NAIO) pada 10 Juli 2026. Sederhananya, Malaysia sedang menyiapkan satu aturan payung yang membagi sistem AI ke dalam tiga tingkat risiko dan mewajibkan pelaporan insiden. Tulisan ini membahas isi RUU tersebut, siapa saja yang terkena, tiga tingkat risiko dan lima prinsipnya, mekanisme lapor insiden dan sandbox, hingga langkah yang perlu disiapkan perusahaan Indonesia.
TLDR
Apa Isi RUU Tata Kelola AI Malaysia?
RUU ini menjadi kerangka hukum horizontal pertama Malaysia untuk AI, dengan pendekatan berbasis risiko dan satu Otoritas AI Pusat.
Siapa yang Terkena, Termasuk Perusahaan Asing?
Developer dan deployer sistem AI yang dipasarkan, dikembangkan, atau dipakai di Malaysia, di mana pun sistemnya di-hosting.
Tiga Tingkat Risiko dan Lima Prinsip Tata Kelola
Sistem AI dibagi menjadi risiko tidak dapat diterima, tinggi, dan rendah, dengan lima prinsip yang wajib diperhatikan sepanjang siklus hidupnya.
Lapor Insiden AI dan Sandbox, Dua Alat Utama
Insiden, termasuk nyaris celaka (near miss), wajib dilaporkan, sementara sandbox memberi ruang uji coba yang diawasi.
Apa Artinya bagi Bisnis Indonesia?
Perusahaan Indonesia yang melayani pasar Malaysia perlu memetakan perannya, menilai risiko, dan menyiapkan prosedur insiden sejak sekarang.
Kesimpulan
Aturan Malaysia masih rancangan, tetapi arah kewajibannya sudah jelas dan sejalan dengan kewajiban penilaian dampak di UU PDP Indonesia.
Banyak perusahaan teknologi Indonesia menjadikan Malaysia pasar ekspansi pertama karena bahasa, budaya, dan pola bisnisnya mirip. Chatbot layanan pelanggan, sistem penilaian kredit, sampai aplikasi rekrutmen berbasis AI kini dijual lintas negara dengan mudah lewat API. Masalahnya, aturan main AI di Asia Tenggara bergerak cepat dan tidak seragam. Setelah Vietnam mengesahkan undang-undang AI, Malaysia kini menyusun aturannya sendiri. Pertanyaan bagi pelaku usaha Indonesia sederhana: apakah produk AI yang dipakai pelanggan di Kuala Lumpur akan ikut terkena, dan apa yang perlu disiapkan dari sekarang?
Apa Isi RUU Tata Kelola AI Malaysia?
RUU Tata Kelola AI (Artificial Intelligence Governance Bill) adalah rancangan aturan umum AI pertama Malaysia. Kementerian Digital Malaysia melalui NAIO merilis dokumen konsultasinya pada 10 Juli 2026. Isinya mencakup cakupan hukum, Otoritas AI Pusat, lima prinsip tata kelola, tiga tingkat risiko, pelaporan insiden, dan sandbox AI.
Dalam siaran persnya tertanggal 10 Juli 2026, Kementerian Digital Malaysia menulis, "This Bill will become Malaysia's first horizontal legal framework specifically dedicated to AI governance." Artinya, RUU ini akan menjadi kerangka hukum horizontal pertama Malaysia yang khusus didedikasikan untuk tata kelola AI. Kata horizontal penting di sini, karena aturan ini berlaku lintas sektor dan melengkapi undang-undang sektoral yang sudah ada, bukan menggantikannya.
Menteri Digital Malaysia Gobind Singh Deo, saat berbicara di parlemen pada 24 Juni 2026, menegaskan bahwa RUU ini tidak akan mengatur keluaran AI secara langsung. Konten ilegal yang dihasilkan AI tetap ditangani lewat undang-undang dan kerangka regulasi yang sudah berlaku. Fokus RUU ini adalah cara sistem AI dikembangkan dan dioperasikan, bukan isi jawabannya.
Konsultasi publik dibuka lewat portal Unified Public Consultation dan menerima masukan tertulis hingga 31 Juli 2026, menurut firma hukum Rahmat Lim and Partners (2026). Firma yang sama mencatat RUU ini diperkirakan diajukan ke parlemen pada 2026. Sebelumnya, Malaysia hanya punya pedoman nasional tata kelola dan etika AI yang tidak mengikat, terbit pada September 2024.
Siapa yang Terkena, Termasuk Perusahaan Asing?
RUU ini menyasar dua pihak, yaitu developer dan deployer sistem AI. Cakupannya luas: sistem AI yang dipasarkan atau dioperasikan di Malaysia, dirancang atau dikembangkan atau dipakai di Malaysia, atau dipakai oleh deployer yang berkedudukan di Malaysia, di mana pun sistem itu di-hosting. Perusahaan asing pun bisa ikut terjangkau.
Menurut ringkasan Baker McKenzie (Juli 2026), developer adalah siapa saja yang secara material membentuk kemampuan, fungsi, kinerja, batasan, atau risiko sistem AI. Definisi ini mencakup pihak yang melatih, mengadaptasi, mengintegrasikan, atau memodifikasi sistem setelah dipasang. Deployer adalah pihak yang membuat sistem AI beroperasi di dunia nyata dan memutuskan di mana, bagaimana, serta dalam kondisi apa sistem itu dipakai.
Satu perusahaan bisa berperan ganda. Contohnya, software house Indonesia yang menyetel model bahasa untuk klien bank di Malaysia berperan sebagai developer, sementara bank tersebut berperan sebagai deployer. Jika software house itu juga mengoperasikan chatbot atas nama klien, perannya bisa bertambah menjadi deployer.
Baker McKenzie menilai cakupan ini sengaja dibuat luas dan dapat menjangkau organisasi asing. Definisi sistem AI juga mencakup sistem yang diakses lewat API. Pengecualiannya hanya dua, yaitu pemakaian pribadi (urusan pribadi, keluarga, atau rumah tangga) dan sistem yang dipakai semata untuk pertahanan atau keamanan nasional.
Tiga Tingkat Risiko dan Lima Prinsip Tata Kelola
RUU Malaysia memakai tiga tingkat risiko: tidak dapat diterima, tinggi, dan rendah. Penilaiannya bertumpu pada empat kategori bahaya, yaitu kematian, cedera fisik, perampasan kebebasan dasar secara melawan hukum, dan pelanggaran undang-undang tertulis. Developer dan deployer juga wajib memperhatikan lima prinsip tata kelola sepanjang siklus hidup AI.
Pembagian tingkatnya berbeda dari Uni Eropa yang mendasarkan kelas risiko pada daftar penggunaan. Menurut ringkasan Hogan Lovells (Juli 2026) dan Rahmat Lim and Partners (2026), Malaysia menekankan niat dan potensi bahaya:
Tingkat 1, tidak dapat diterima. Sistem yang dikembangkan atau dipakai dengan niat menimbulkan bahaya. Sistem ini dilarang.
Tingkat 2, tinggi. Sistem tanpa niat jahat tetapi menimbulkan risiko bahaya. Kewajibannya meliputi penilaian risiko, dokumentasi, kontrol internal, pengawasan manusia, pemantauan, dan mitigasi.
Tingkat 3, rendah. Sistem tanpa bahaya material yang dapat diperkirakan. Kewajibannya lebih ringan, cukup tanggung jawab dasar dan praktik yang baik.
Tingkat risiko dinilai dari tiga faktor, yaitu kemungkinan terjadinya bahaya, tingkat keparahan dan skalanya termasuk jumlah orang terdampak, serta durasi dan kemungkinan pemulihannya. Lima prinsip yang wajib diperhatikan adalah martabat manusia, transparansi dan keterjelasan, akuntabilitas, keselamatan dan keamanan, serta tata kelola data yang bertanggung jawab.
Prinsip akuntabilitas patut dicatat: tanggung jawab harus melekat pada orang yang dapat diidentifikasi, bukan pada sistem AI. Firma ZICO Law (Juli 2026) mencatat penerapannya dirancang bertahap, dimulai dari dokumen sukarela lalu bergerak ke kewajiban yang dikodifikasi seiring matangnya ekosistem.
Lapor Insiden AI dan Sandbox, Dua Alat Utama
Dua alat utama RUU ini adalah pelaporan insiden AI dan sandbox AI. Developer dan deployer yang mengendalikan sistem wajib melaporkan insiden, termasuk kegagalan, penyalahgunaan, efek tak terduga, dan kejadian nyaris celaka. Sandbox menyediakan lingkungan uji yang diawasi agar inovasi bisa diuji sebelum dipakai luas.
Menurut Rahmat Lim and Partners (2026), laporan insiden diharapkan memuat sifat insiden, bahaya yang dapat diperkirakan, langkah penahanan, akar masalah bila ada, dan langkah pemulihan. Masyarakat juga dapat mengadu langsung lewat kanal yang dikelola Otoritas AI Pusat. Otoritas kemudian membangun repositori catatan teknis, mengawasi investigasi, dan menerbitkan temuan resmi.
Otoritas AI Pusat menjalankan tiga fungsi, yaitu keselamatan AI, investigasi dan penegakan, serta pemberdayaan AI. Otoritas dapat menunjuk regulator sektoral sebagai pemimpin sektor, misalnya untuk perbankan atau kesehatan, dan mendelegasikan kewenangan menerbitkan pedoman serta kode praktik khusus sektor. Mekanisme pelaporan yang sudah ada di sektor tertentu tetap dipakai, bukan diganti.
Sandbox dapat dijalankan secara terpusat oleh Otoritas atau tersebar melalui infrastruktur pemimpin sektor. Baker McKenzie (Juli 2026) menilai sandbox ini terutama membantu startup dan usaha kecil menengah, karena mereka bisa bereksperimen tanpa langsung menanggung seluruh kewajiban regulasi. Sampai dokumen konsultasi dirilis, belum ada rincian sanksi, denda, atau tenggat pelaporan insiden.
Apa Artinya bagi Bisnis Indonesia?
Bagi perusahaan Indonesia, RUU Malaysia berarti produk AI yang dipakai klien atau pengguna di Malaysia bisa terkena kewajiban baru, walaupun server dan kantornya ada di Jakarta. Langkah paling aman adalah memetakan peran sebagai developer atau deployer, menilai tingkat risiko produk, dan menyiapkan prosedur lapor insiden sejak sekarang.
Kabar baiknya, sebagian pekerjaan ini sudah diwajibkan di dalam negeri. Pasal 34 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data melakukan penilaian dampak pelindungan data pribadi untuk pemrosesan berisiko tinggi, termasuk pengambilan keputusan secara otomatis yang memiliki akibat hukum atau dampak signifikan. Dokumen penilaian dampak ini bisa menjadi bahan awal penilaian risiko AI versi Malaysia.
Berikut langkah praktis yang bisa dimulai tim produk dan legal:
Petakan peran per proyek. Catat di setiap kontrak apakah perusahaan Anda developer, deployer, atau keduanya, beserta siapa yang mengendalikan konfigurasi dan pemantauan sistem.
Kelompokkan produk menurut risiko. Produk yang memengaruhi kredit, pekerjaan, atau kesehatan kemungkinan masuk tingkat tinggi dan butuh dokumentasi serta pengawasan manusia.
Siapkan buku catatan insiden. Rekam kegagalan dan kejadian nyaris celaka dengan format sifat insiden, dampak, penahanan, akar masalah, dan pemulihan.
Tunjuk penanggung jawab bernama. Prinsip akuntabilitas menuntut orang yang jelas, bukan sekadar tim atau sistem.
Indonesia sendiri sedang menyiapkan aturan AI nasional, termasuk peta jalan AI yang diproses menjadi Perpres. Perusahaan yang sudah menyesuaikan diri dengan pola Malaysia akan lebih siap ketika aturan serupa berlaku di dalam negeri.
Kesimpulan
RUU Tata Kelola AI Malaysia masih berupa rancangan, dan rincian penting seperti sanksi serta tenggat pelaporan belum diumumkan. Meski begitu, kerangkanya sudah terang: tiga tingkat risiko, lima prinsip, kewajiban lapor insiden, dan cakupan yang menjangkau sistem AI asing yang dipakai di Malaysia.
Perusahaan Indonesia yang menjual atau mengoperasikan AI untuk pasar Malaysia sebaiknya tidak menunggu RUU disahkan. Mulailah dari penilaian dampak yang sudah diwajibkan UU PDP, petakan peran dan risiko tiap produk, lalu bangun kebiasaan mencatat insiden. Pekerjaan yang sama akan berguna di Malaysia, Vietnam, dan kelak di Indonesia.
(Burung Hantu Infratek / Berbagai Sumber)
⚠️ Artikel ini seluruhnya diriset, ditulis, dan dikembangkan oleh AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Sumber dan Referensi
[2] Malaysia: Public Consultation on the AI Governance Bill - Baker McKenzie
[4] Malaysia Consults on AI Governance Bill - Hogan Lovells
[5] Consultation Alert: Public Consultation on Malaysia's AI Governance Bill - ZICO Law
[6] UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi - JDIH BPK