ISO 42001 dan Undang-Undang AI Uni Eropa: Apa Saja yang Dicakup

Sangat mudah untuk berasumsi bahwa sertifikat ISO 42001 berarti suatu organisasi telah tercakup dalam Undang-Undang Kecerdasan Buatan Uni Eropa (EU AI Act). Keduanya saling terkait erat, istilah-istilah yang digunakan tumpang tindih, dan asumsi terse

Manajer Produk Teknis (Keamanan Informasi), sertifikasi ISO 42001 sendiri tidak secara otomatis membuat suatu organisasi patuh terhadap Undang-Undang AI Uni Eropa. Yang dilakukannya adalah menetapkan dan memverifikasi secara independen landasan tata kelola yang menjadi dasar setiap upaya kepatuhan terhadap Undang-Undang AI tersebut. Hal itu sangat berharga. Sertifikasi merupakan bukti paling jelas yang tersedia bahwa suatu organisasi mengelola AI secara terencana, bukan sekadar berniat melakukannya, dan ini merupakan bagian dari pekerjaan yang paling lama untuk diimplementasikan. Organisasi yang memilikinya tidak memulai dari nol. Mereka memulai dari bagian tersulit yang telah diselesaikan.

Artikel ini menjelaskan apa saja yang dicakup oleh sertifikasi berdasarkan Undang-Undang tersebut, apa yang tidak dicakup, dan di mana sertifikat tersebut memiliki bobot pembuktian yang sesungguhnya.

ISO 42001 secara singkat

ISO 42001, yang diterbitkan pada Desember 2023, merupakan standar pertama yang dapat disertifikasi secara internasional untuk sistem manajemen kecerdasan buatan (AIMS). Standar ini menetapkan persyaratan untuk menetapkan, menerapkan, memelihara, dan terus meningkatkan tata kelola AI di seluruh organisasi, serta didukung oleh serangkaian kontrol Lampiran A yang mencakup bidang-bidang termasuk kebijakan AI, organisasi internal, sumber daya, penilaian dampak, siklus hidup sistem AI, data, informasi untuk pihak-pihak yang berkepentingan, penggunaan sistem AI, dan hubungan dengan pihak ketiga. Standar ini diadopsi sebagai Standar Eropa, EN ISO 42001:2026, pada Maret 2026, tanpa perubahan pada persyaratan teknisnya.

Mengapa sertifikasi saja tidak berarti kepatuhan

Undang-Undang AI Uni Eropa (EU AI Act) memberikan penghargaan pada satu hal spesifik: standar Eropa yang terharmonisasi. Standar-standar ini disusun atas permintaan Komisi Eropa untuk mendukung undang-undang tersebut, yang kemudian dikutip dalam Jurnal Resmi Uni Eropa. Jika Anda memenuhi salah satu standar tersebut, Anda memperoleh anggapan kepatuhan. Dalam praktiknya, hal ini membalikkan beban pembuktian. Pihak regulator yang menantang Anda harus membuktikan bahwa standar tersebut tidak terpenuhi, bukan Anda yang harus membuktikan sebaliknya.

ISO 42001 tidak pernah ditugaskan untuk tujuan tersebut. Standar ini tidak memiliki Lampiran ZA, yaitu lampiran yang mengaitkan standar yang diselaraskan dengan teks hukum, dan tidak memberikan anggapan kepatuhan.

Standar yang disusun untuk tujuan tersebut adalah EN 18286, yang diterbitkan pada Juli 2026 sebagai standar Eropa pertama yang mendukung Undang-Undang tersebut. Standar tersebut belum dikutip dalam Jurnal Resmi, sehingga untuk saat ini tidak ada standar yang memberikan asumsi kepatuhan kepada siapa pun.

Terdapat tiga batasan tambahan yang perlu diketahui.

Undang-Undang tersebut mengatur sistem, bukan organisasi. Dokumentasi, pencatatan, pengawasan, dan akurasi harus dibuktikan untuk setiap sistem berisiko tinggi yang Anda pasarkan. Sistem manajemen mendukung pekerjaan tersebut. Sistem tersebut tidak menggantikannya.

Larangan tetaplah larangan. Sistem bersertifikat yang mendokumentasikan dengan cermat suatu kasus penggunaan yang dilarang tetap merupakan kasus penggunaan yang dilarang.

Penilaian kesesuaian merupakan langkah hukum terpisah yang tidak dipenuhi oleh sertifikasi.

Referensi cakupan: per kewajiban

Tabel di bawah ini menjabarkan, untuk setiap kewajiban utama, kontribusi apa yang diberikan oleh ISO 42001 dan hal-hal apa saja yang masih belum tercakup. Seluruh kewajiban dalam Undang-Undang AI Uni Eropa diambil dari teks terpadu Peraturan (UE) 2024/1689; sedangkan kontribusi ISO 42001 diambil dari standar itu sendiri.

Kewajiban berdasarkan Undang-Undang AI Uni Eropa	Kontribusi ISO 42001	Hal-hal apa saja yang tidak tercakup dalam sertifikasi ini
Pasal 4: Literasi Kecerdasan Buatan	Persyaratan kompetensi, pelatihan, dan kesadaran yang diterapkan di seluruh organisasi	Literasi yang disesuaikan dengan peran tertentu, yang disesuaikan dengan tugas-tugas penyedia atau pelaksana yang sebenarnya dijalankan oleh organisasi tersebut
Pasal 5: Praktik-praktik yang dilarang	Penilaian dampak dan pengendalian siklus hidup yang membantu mengidentifikasi penggunaan yang dilarang sejak dini	Tidak ada. Larangan tersebut bersifat mutlak dan tidak dipengaruhi oleh status sertifikasi
Pasal 9: sistem manajemen risiko	Penyelarasan struktural yang ketat: metodologi penilaian risiko, penanganan, evaluasi, dan peningkatan berkelanjutan	Penerapan terhadap setiap sistem berisiko tinggi secara individual sepanjang siklus hidupnya, sebagai kewajiban pada tingkat produk
Pasal 10: data dan tata kelola data	Lampiran A: Pengendalian data untuk sistem kecerdasan buatan (AI), termasuk asal-usul, kualitas, dan persiapan data	Pemeriksaan pada tingkat kumpulan data untuk sistem tertentu, termasuk pemeriksaan bias dan pengujian representativitas
Pasal 11: dokumentasi teknis	Disiplin pengelolaan informasi yang terdokumentasi, pengendalian versi, dan praktik penyimpanan	Isi Lampiran IV yang ditetapkan, yang disusun berdasarkan sistem dan selalu diperbarui
Pasal 12: Penyelenggaraan pencatatan dan pencatatan log	Tata kelola terkait retensi dan keterlacakan	Fitur pencatatan otomatis yang terintegrasi dalam sistem, yang memenuhi persyaratan penyimpanan yang ditetapkan
Pasal 13: transparansi dan petunjuk penggunaan	Lampiran A: Ketentuan mengenai informasi bagi pihak-pihak yang berkepentingan	Petunjuk penggunaan yang memenuhi persyaratan isi yang ditetapkan, yang disertakan bersama setiap sistem
Pasal 14: Pengawasan oleh manusia	Lampiran A mengatur penggunaan sistem kecerdasan buatan (AI) dan menetapkan pertanggungjawaban	Langkah-langkah pengawasan yang dirancang dalam sistem masing-masing dan telah terbukti efektif
Pasal 15: akurasi, ketahanan, dan keamanan siber	Tata kelola yang mewajibkan agar hal-hal ini ditangani	Pengujian kinerja teknis, metrik, dan tingkat akurasi yang dinyatakan untuk setiap sistem
Pasal 17: sistem manajemen mutu	Terdapat tumpang tindih yang signifikan dalam hal organisasi, dan kedua dokumen tersebut secara resmi dipetakan satu sama lain dalam EN 18286	Kesetaraan. Pasal 17 diatur dalam EN 18286, bukan dalam ISO 42001
Pasal 26 dan 27: Kewajiban penyedia layanan dan penilaian dampak terhadap hak-hak dasar	Metodologi penilaian dampak dan pengendalian operasional	Penilaian dampak terhadap hak-hak dasar sebagai instrumen hukum tersendiri dengan isi yang telah ditetapkan
Pasal 43 dan Pasal 47 sampai dengan 49: penilaian kesesuaian, pernyataan, penandaan CE, dan pendaftaran	Kesiapan audit dan kedisiplinan dalam pencatatan	Prosedur-prosedur itu sendiri, yang merupakan langkah-langkah hukum terpisah yang dalam beberapa kasus melibatkan lembaga yang ditunjuk
Pasal 72: pemantauan pasca-pasaran	Pemantauan, pengukuran, audit internal, dan siklus perbaikan	Rencana pemantauan pasca-pasaran yang disesuaikan dengan masing-masing sistem berisiko tinggi
Pasal 73: Pelaporan insiden serius	Proses manajemen insiden dan tindakan korektif	Melaporkan kepada otoritas pengawasan pasar sesuai dengan batas waktu yang ditetapkan undang-undang

Polanya konsisten. Sertifikasi membangun kerangka kerja: proses, akuntabilitas, kompetensi, dan jejak bukti yang diasumsikan oleh Undang-Undang sudah dimiliki oleh suatu organisasi. Undang-Undang tersebut kemudian meminta hasil yang spesifik bagi sistem dari kerangka kerja tersebut. Organisasi yang memandang sertifikasi sebagai tujuan akhir baru menyadari kesenjangan tersebut terlambat; sedangkan organisasi yang memandangnya sebagai landasan menjalankan pekerjaan di tingkat sistem secara paralel dan menyajikan bukti, bukan sekadar niat.

Di mana sertifikasi memang memiliki bobot

Semua hal ini tidak mengurangi arti dari apa yang ditunjukkan oleh sebuah sertifikat.

Sertifikat ISO 42001 yang terakreditasi merupakan bukti yang diverifikasi secara independen bahwa tata kelola AI suatu organisasi benar-benar berfungsi. Risiko dievaluasi berdasarkan metode yang telah ditetapkan. Akuntabilitas telah ditetapkan. Kompetensi terjaga. Pemasok dikelola. Seluruh sistem diaudit dan ditingkatkan.

Itu bukanlah bukti kepatuhan terhadap pasal tertentu mana pun, dan tidak boleh dipromosikan sebagai hal tersebut. Ini adalah sesuatu yang lebih praktis. Sertifikat ini menghilangkan keraguan apakah tata kelola yang mendasarinya benar-benar ada, yang merupakan pertanyaan yang biasanya mendominasi keterlibatan regulasi, pengadaan, uji tuntas pelanggan, dan jaminan dewan direksi.

Akreditasi adalah hal yang membuat bukti tersebut memiliki nilai. LRQA adalah lembaga sertifikasi yang terakreditasi UKAS untuk ISO 42001, yang berarti kompetensi dan imparsialitas kami telah dinilai secara independen.

Jadwalnya telah berubah, namun arahnya tetap sama

Digital Omnibus tentang AI, yang diusulkan oleh Komisi Eropa pada November 2025, mulai berlaku pada 27 Juli 2026. Peraturan ini menunda kewajiban berisiko tinggi untuk sistem mandiri Lampiran III, yang mencakup bidang-bidang seperti biometrik, ketenagakerjaan dan perekrutan, penilaian kredit, pendidikan, serta infrastruktur kritis, hingga 2 Desember 2027, dan untuk AI berisiko tinggi yang tertanam dalam produk-produk yang diatur dalam Lampiran I hingga 2 Agustus 2028.

Beberapa kewajiban tidak ditunda. Persyaratan transparansi Pasal 50 berlaku mulai Agustus 2026, dengan perpanjangan singkat hingga Desember 2026 untuk persyaratan penandaan digital (watermarking) yang berlaku bagi sistem yang sudah beredar di pasar. Larangan-larangan dan kewajiban literasi AI tetap berlaku, dan Omnibus menambahkan larangan tambahan pada Pasal 5 yang mencakup gambar intim yang dihasilkan AI tanpa persetujuan dan materi pelecehan seksual anak.

Sanksi yang dikenakan tetap berat: hingga tiga puluh lima juta euro atau tujuh persen dari total omzet tahunan global untuk praktik-praktik yang dilarang, dan hingga lima belas juta euro atau tiga persen untuk pelanggaran lainnya.

Perpanjangan ini memberikan waktu yang lebih memadai untuk menyusun dokumentasi dan tata kelola. Hal ini bukanlah alasan untuk menunda pekerjaan.

Bagi organisasi yang telah bersertifikat ISO 27001

ISO 42001 disusun berdasarkan struktur terpadu yang ditetapkan dalam Lampiran SL dari Pedoman ISO/IEC, yaitu kerangka kerja umum berisikan sepuluh klausul dan terminologi bersama yang dianut oleh standar sistem manajemen ISO. ISO 27001 menggunakan struktur yang sama, sehingga kedua standar tersebut mudah dioperasikan sebagai satu sistem terintegrasi, bukan sebagai sistem yang berjalan secara paralel.

Oleh karena itu, organisasi yang telah memiliki sistem manajemen keamanan informasi yang mapan pada dasarnya sudah memiliki sebagian besar infrastruktur yang diperlukan: proses yang terdokumentasi, siklus tinjauan manajemen, program audit internal, dan catatan kompetensi. Berdasarkan pengalaman kami, memperluas sistem yang sudah ada ke dalam cakupan AIMS lebih cepat dan tidak terlalu memakan sumber daya dibandingkan membangun dari nol, dan audit terintegrasi dapat mengurangi beban administrasi sertifikasi yang berkelanjutan.

Pekerjaan pada tingkat sistem yang tercantum dalam tabel di atas tetap bersifat tambahan dan memerlukan jadwal tersendiri. Pekerjaan ini tidak perlu dimulai dari nol.

Tata kelola AI yang dapat dibuktikan, bukan sekadar janji

Organisasi yang akan berada dalam posisi terkuat pada Desember 2027 bukanlah yang memiliki sertifikat terbanyak. Melainkan organisasi yang dapat menunjukkan, baik di tingkat organisasi maupun sistem, bahwa tata kelola mereka berfungsi dengan baik dan telah diverifikasi oleh pihak independen. ISO 42001, yang diselenggarakan melalui lembaga sertifikasi terakreditasi UKAS, merupakan titik awal bukti tersebut.

Pelajari lebih lanjut tentang layanan ISO 42001 kami