Toolkit Risiko AI Inggris 2026: Cara Kerja dan Pelajaran bagi Perusahaan Indonesia
AI Risk Management Toolkit adalah panduan manajemen risiko kecerdasan buatan yang diterbitkan Department for Science, Innovation and Technology (DSIT) Inggris pada 8 September 2026 untuk tim yang merancang, membeli, atau menjalankan produk berbasis AI. Sederhananya, toolkit ini adalah daftar periksa, rumus skor, dan workbook untuk mencatat risiko AI dari awal proyek sampai sistem dipensiunkan. Tulisan ini membahas isi toolkit, sembilan kategori risikonya, cara menghitung skor, empat pilihan penanganan, kaitannya dengan aturan Indonesia, hingga langkah penerapannya di perusahaan.
TLDR
Apa Itu AI Risk Management Toolkit dari Pemerintah Inggris?
Panduan gratis DSIT berisi pedoman, bank pertanyaan, workbook, dan dashboard untuk mengelola risiko AI sepanjang siklus hidup sistem.
Sembilan Kategori Risiko AI yang Perlu Dipetakan
Toolkit memecah risiko AI menjadi sembilan kategori, dari keuangan dan kepatuhan hukum sampai keamanan dan dampak ke manusia serta lingkungan.
Cara Menghitung Skor Risiko AI dengan Skala 1 sampai 5
Skor risiko adalah hasil kali kemungkinan dan dampak, masing-masing bernilai 1 sampai 5, dengan pita peluang yang jelas untuk tiap level.
Empat Pilihan Penanganan Risiko dan Peran Risk Appetite
Risiko ditangani dengan menghindari, membatasi, mengalihkan, atau menerima, setelah dibandingkan dengan selera risiko organisasi.
Kaitan Toolkit dengan UU PDP dan SE Menkominfo 9/2023
Pasal 34 UU 27/2022 mewajibkan penilaian dampak untuk pemrosesan berisiko tinggi, dan toolkit ini bisa menjadi kerangka kerjanya.
Langkah Menerapkan Toolkit Ini di Perusahaan Indonesia
Mulai dari menunjuk penanggung jawab, membentuk tim lintas fungsi, mencatat register risiko, lalu meninjau ulang secara berkala.
Kesimpulan
Toolkit Inggris memberi perusahaan Indonesia cara kerja siap pakai untuk memenuhi kewajiban yang sudah ada di hukum nasional.
Banyak perusahaan di Indonesia sudah memakai chatbot layanan pelanggan, model penilaian kredit, atau asisten AI untuk karyawan. Pertanyaan yang sering muncul justru datang setelah sistem berjalan: siapa yang bertanggung jawab saat AI salah menjawab, bagaimana mengukur seberapa besar risikonya, dan dokumen apa yang perlu disiapkan bila regulator bertanya. Indonesia belum punya undang-undang khusus AI, sehingga banyak tim bingung harus mulai dari mana. Panduan terbaru pemerintah Inggris menawarkan jawaban yang praktis, lengkap dengan rumus dan format pencatatan yang bisa langsung ditiru.
Apa Itu AI Risk Management Toolkit dari Pemerintah Inggris?
AI Risk Management Toolkit adalah panduan resmi DSIT Inggris yang terbit 8 September 2026 untuk membantu siapa pun yang terlibat dalam merancang, mengoperasikan, membeli, atau menyerahkan produk berbasis AI. Isinya empat komponen: pedoman penilaian risiko, bank pertanyaan kritis, workbook pencatatan risiko, dan dashboard pemantauan profil risiko.
Toolkit ini disusun untuk sektor publik Inggris dan diselaraskan dengan Orange Book, buku pedoman manajemen risiko pemerintah Inggris. Secara khusus, toolkit menjalankan Section D Orange Book yang berisi empat proses: identifikasi dan penilaian risiko, penanganan risiko, pemantauan risiko, dan pelaporan risiko. Toolkit juga dirancang bekerja bersama Cyber Assessment Framework (CAF) untuk urusan keamanan siber.
Halaman publikasi GOV.UK menyediakan workbook dalam format Excel berukuran 280 KB dan versi OpenDocument 18,5 KB, sehingga tim bisa langsung mengisi register risiko tanpa membangun format sendiri. Panduan HTML-nya memuat empat lampiran: pertanyaan identifikasi risiko, definisi level selera risiko, daftar dampak potensial, dan saran penanganan risiko.
Firma hukum TLT dalam AI Brief edisi Oktober 2026 mencatat bahwa toolkit ini menetapkan sembilan kategori risiko AI. TLT juga menilai kerangka yang awalnya dibuat untuk sektor publik ini kemungkinan menarik bagi perusahaan swasta yang ingin memperkuat tata kelola AI. Pendekatan Inggris memang lebih memilih alat praktis dan kerangka manajemen risiko ketimbang regulasi AI yang preskriptif.
Prinsip dasarnya tegas. Panduan DSIT menulis, "AI systems change and evolve during their lifetime, so there is no 'final version' to validate against." Artinya, sistem AI terus berubah sepanjang umurnya, sehingga tidak ada versi final yang cukup diuji sekali lalu dilupakan. Manajemen risiko harus berjalan dari identifikasi kasus penggunaan sampai sistem dipensiunkan.
Sembilan Kategori Risiko AI yang Perlu Dipetakan
Toolkit DSIT 2026 membagi risiko AI ke dalam sembilan kategori: keuangan, kepatuhan hukum dan regulasi, transparansi dan keterjelasan, keadilan, akuntabilitas dan tata kelola, hak menggugat dan pemulihan, ketangguhan teknis, keamanan, serta risiko terhadap manusia dan lingkungan. Tiap kategori dilengkapi daftar pertanyaan di Lampiran 1.
Berikut ringkasan sembilan kategori itu dan contoh pertanyaan yang bisa langsung dipakai tim Anda:
Keuangan. Apakah biaya operasional dan biaya skala setelah pilot sudah dihitung, termasuk biaya memperbaiki sistem yang salah?
Kepatuhan hukum dan regulasi. Aturan apa yang berlaku, mulai dari pelindungan data, hak kekayaan intelektual, sampai aturan AI negara mitra dagang seperti EU AI Act?
Transparansi dan keterjelasan. Apakah pengguna tahu mereka sedang berinteraksi dengan AI, dan bisakah keputusan model dijelaskan?
Keadilan. Apakah ada variabel data yang menjadi proksi karakteristik tertentu sehingga hasilnya bias terhadap kelompok tertentu?
Akuntabilitas dan tata kelola. Siapa satu orang yang akhirnya bertanggung jawab atas sistem AI dan keluarannya?
Hak menggugat dan pemulihan. Bisakah orang yang dirugikan menggugat hasil AI dan mendapat pemulihan?
Ketangguhan teknis. Apakah model tetap berfungsi saat menghadapi data tak terduga dan model drift?
Keamanan. Apakah ada perlindungan dari data poisoning, kebocoran data, dan serangan siber?
Manusia dan lingkungan. Apakah sistem bisa membahayakan kesehatan fisik, kesehatan mental, atau infrastruktur kritis?
Daftar ini berguna karena memaksa tim melihat risiko di luar sisi teknis. Banyak proyek AI di perusahaan hanya diuji akurasinya, padahal masalah yang paling mahal sering datang dari kategori lain, misalnya pelanggan yang tidak bisa menggugat keputusan otomatis atau kontrak vendor yang tidak mengatur tanggung jawab saat model gagal.
Cara Menghitung Skor Risiko AI dengan Skala 1 sampai 5
Dalam toolkit DSIT, setiap risiko diberi skor kemungkinan dan skor dampak dengan skala 1 sampai 5. Skor risiko adalah hasil kali keduanya, sehingga nilai tertinggi 25. Skor 1 pada kemungkinan berarti sangat kecil terjadi, sedangkan skor 5 pada dampak berarti katastrofik bagi organisasi.
Agar penilaian tidak asal tebak, toolkit memberi pita peluang untuk tiap level kemungkinan:
Level 1, Rare. Sangat kecil kemungkinan terjadi, peluang di bawah 5 persen.
Level 2, Unlikely. Kecil tetapi mungkin, peluang 5 sampai 20 persen.
Level 3, Possible. Mungkin terjadi pada suatu waktu, peluang 20 sampai 50 persen.
Level 4, Likely. Mungkin terjadi di banyak keadaan, peluang 50 sampai 80 persen.
Level 5, Almost Certain. Hampir pasti terjadi, peluang di atas 80 persen.
Karena data historis proyek AI masih sedikit, DSIT menyarankan gabungan empat metode untuk menaksir kemungkinan: analisis data historis layanan, analisis model (akurasi, precision, recall, atau BERTScore untuk model bahasa), penilaian ahli, serta eksperimen dan pemantauan pada tahap Alpha dan Beta.
Untuk dampak, toolkit memisahkan dampak yang bisa diukur, seperti kerugian uang, waktu henti operasional, dan jumlah keluhan, dari dampak yang sulit diukur, seperti kemunduran strategi, moral karyawan, dan kepercayaan publik. Bila satu risiko bisa menghasilkan beberapa akibat, tim boleh memberi bobot untuk tiap akibat atau memakai skor dampak tertinggi.
Contoh sederhana: chatbot bank yang salah menyebut suku bunga mungkin bernilai kemungkinan 3 dan dampak 4, sehingga skornya 12. Angka ini lalu dibandingkan dengan batas toleransi yang sudah disetujui manajemen.
Empat Pilihan Penanganan Risiko dan Peran Risk Appetite
Toolkit DSIT menyediakan empat pilihan penanganan risiko AI: menghindari, membatasi, mengalihkan ke pihak ketiga, atau menerima. Pilihan diambil setelah skor risiko dibandingkan dengan risk appetite, yaitu batas risiko yang bersedia ditanggung organisasi dan idealnya disetujui di level direksi atau dewan.
Menghindari cocok bila dampak dan biaya mitigasinya sama-sama terlalu tinggi, misalnya membatalkan fitur AI yang memutuskan penolakan klaim tanpa peninjauan manusia. Membatasi berarti mengambil tindakan agar risiko tetap di rentang yang dapat diterima, seperti menambah human-in-the-loop. Mengalihkan berarti menggeser sebagian tanggung jawab ke pihak yang lebih mampu menanganinya, misalnya lewat kontrak dengan vendor model. Menerima dipilih bila risiko sudah berada di bawah toleransi.
DSIT mengakui bagian ini paling sulit. Panduannya menulis bahwa menentukan risk appetite dianggap sebagai aspek paling menantang dalam kerangka risiko apa pun, terutama di bidang AI yang terus berkembang. Tanpa batas yang jelas dan terukur, tim akan terus bertemu hambatan saat mengelola risiko alat AI baru, dan inovasi akhirnya tersendat.
Toolkit juga mengingatkan satu hal yang sering terlewat, yaitu rencana respons yang jelas saat risiko benar-benar terjadi. Respons cepat setelah insiden terdeteksi dapat menurunkan dampaknya secara signifikan. Bagi perusahaan, ini berarti prosedur insiden AI perlu ditulis sebelum sistem tayang, bukan setelah keluhan pertama masuk.
Kaitan Toolkit dengan UU PDP dan SE Menkominfo 9/2023
Toolkit Inggris tidak mengikat perusahaan Indonesia, tetapi bisa menjadi cara kerja untuk memenuhi kewajiban yang sudah berlaku. Pasal 34 Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan penilaian dampak bila pemrosesan data pribadi memiliki potensi risiko tinggi, termasuk keputusan otomatis.
Bunyi Pasal 34 ayat (1) UU 27/2022 adalah "Pengendali Data Pribadi wajib melakukan penilaian dampak Pelindungan Data Pribadi dalam hal pemrosesan Data Pribadi memiliki potensi risiko tinggi terhadap Subjek Data Pribadi." Ayat (2) menyebut tujuh jenis pemrosesan berisiko tinggi, antara lain pengambilan keputusan secara otomatis yang berakibat hukum atau berdampak signifikan, pemrosesan skala besar, penskoran atau pemantauan sistematis, dan penggunaan teknologi baru.
Hampir semua sistem AI yang menyentuh data pelanggan masuk ke salah satu kategori itu. UU PDP diundangkan pada 17 Oktober 2022 dan Pasal 74 memberi masa penyesuaian 2 tahun, sehingga kewajiban ini sudah berlaku penuh sejak Oktober 2024. Pelanggaran Pasal 34 ayat (1) dapat dikenai sanksi administratif menurut Pasal 57, termasuk denda paling tinggi 2 persen dari pendapatan tahunan.
Di sisi etika, Surat Edaran Menteri Komunikasi dan Informatika Nomor 9 Tahun 2023 tentang Etika Kecerdasan Artifisial, ditetapkan 19 Desember 2023, meminta pelaku usaha dan penyelenggara sistem elektronik lingkup publik maupun privat membuat kebijakan internal mengenai data dan etika AI. Surat edaran ini berbentuk pedoman, tetapi menunjukkan arah yang diharapkan pemerintah.
Sembilan kategori DSIT bisa dipakai sebagai kerangka isi penilaian dampak tersebut. Kategori kepatuhan, transparansi, keadilan, dan hak menggugat sejalan dengan hak subjek data di UU PDP, sedangkan kategori keamanan sejalan dengan kewajiban menjaga kerahasiaan data pribadi.
Langkah Menerapkan Toolkit Ini di Perusahaan Indonesia
Perusahaan Indonesia bisa menerapkan toolkit DSIT dalam lima langkah: menunjuk AI governance officer, membentuk tim lintas fungsi, mengisi register risiko dengan sembilan kategori, menetapkan risk appetite yang disetujui direksi, lalu meninjau ulang risiko setiap kali model diperbarui atau sistem naik ke produksi.
Langkah pertama adalah memilih satu orang yang jelas bertanggung jawab. DSIT menyarankan tim manajemen risiko AI dipimpin AI governance officer, didukung pimpinan senior, tim data, praktisi AI, tim keamanan, tim hukum dan kepatuhan, ahli bisnis, serta perwakilan pengguna akhir. Di perusahaan menengah, satu orang boleh memegang beberapa peran sekaligus.
Langkah berikutnya, unduh workbook dari GOV.UK dan sesuaikan kolomnya dengan konteks Indonesia. Ganti rujukan UK GDPR dengan UU PDP, tambahkan kolom penilaian dampak Pasal 34, dan catat vendor model yang dipakai beserta isi kontraknya. Register risiko yang sudah ada di perusahaan juga boleh dipakai, asalkan risiko, mitigasi, dan pemiliknya tercatat serta bisa diperbarui.
Setelah itu, tetapkan jadwal peninjauan. Toolkit menyarankan peninjauan ulang ketika model diperbarui, setelah rilis Alpha dan Beta, dan secara berkelanjutan setelah layanan berjalan, termasuk uji stres. Simpan juga log insiden AI terpusat, mirip anjuran GDS kepada departemen pemerintah Inggris.
Bagi perusahaan yang belum punya tim AI internal, integrator AI lokal dapat membantu menyusun register risiko awal, terutama untuk sistem yang memakai model dari penyedia luar negeri.
Kesimpulan
AI Risk Management Toolkit dari DSIT Inggris menawarkan cara kerja yang konkret: sembilan kategori risiko, skor 1 sampai 25, pita peluang yang jelas, empat pilihan penanganan, dan workbook siap isi. Walau disusun untuk sektor publik Inggris, kerangkanya netral teknologi dan mudah dipakai perusahaan swasta di mana pun.
Bagi perusahaan Indonesia, nilai terbesarnya adalah memberi bentuk pada kewajiban yang sudah ada. Pasal 34 UU PDP menuntut penilaian dampak untuk pemrosesan berisiko tinggi, dan SE Menkominfo 9/2023 meminta kebijakan etika AI internal. Mulailah dengan satu sistem AI yang paling banyak menyentuh pelanggan, isi register risikonya, lalu jadikan hasilnya pola untuk proyek AI berikutnya.
(Burung Hantu Infratek / Berbagai Sumber)
⚠️ Artikel ini seluruhnya diriset, ditulis, dan dikembangkan oleh AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Sumber dan Referensi
[1] AI Risk Management Toolkit - GOV.UK (Department for Science, Innovation and Technology)
[2] AI Risk Management Toolkit: guidance - GOV.UK
[3] AI Risk Management Toolkit - Government Digital Service Architecture
[4] TLT's AI Brief October 2026 - TLT LLP
[5] UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi - JDIH BPK