Regulasi AI di seluruh dunia: Di mana posisi ISO 42001

Jika Anda bertanya mengenai status regulasi kecerdasan buatan (AI), jawabannya akan berbeda-beda di setiap benua. Uni Eropa (UE) memiliki undang-undang komprehensif dengan jadwal penerapan yang jelas. Korea Selatan telah memberlakukan undang-undang serupa. Amerika Serikat (AS) tidak memiliki undang-undang federal, melainkan serangkaian hukum negara bagian yang berkembang pesat. Inggris (UK) lebih mengandalkan prinsip-prinsip dan badan pengawas daripada undang-undang khusus AI. Sebagian besar negara di Asia mengatur AI melalui panduan, peraturan administratif, atau legislasi yang lebih mengutamakan pengembangan.

Kesimpulan yang masuk akal adalah bahwa tata kelola AI global perlu disesuaikan dengan persyaratan di setiap pasar, dengan setiap program mengikuti aturan mainnya masing-masing. Namun dalam praktiknya, berbagai sistem regulasi ini memiliki lebih banyak kesamaan daripada yang digambarkan oleh berita-berita utama. Perbedaan antar regulator lebih terletak pada mekanisme daripada substansinya; jika aspek teknis hukum dikesampingkan, tuntutan yang muncul di berbagai yurisdiksi sebenarnya serupa:

• metode yang jelas dan dapat diulang untuk mengidentifikasi serta menangani risiko AI
• transparansi mengenai lokasi penggunaan AI, disertai dokumentasi pendukung
• penetapan akuntabilitas yang jelas dan pengawasan manusia yang bermakna
• tata kelola data yang menjadi landasan pengembangan AI
• mekanisme untuk melaporkan dan menangani insiden
• kejelasan mengenai tanggung jawab dalam skema pengadaan atau penyediaan AI

ISO 42001, standar internasional pertama yang dapat disertifikasi untuk sistem manajemen AI, meresmikan poin-poin tersebut. Meskipun aturan mainnya berbeda, tata kelola yang mendasarinya tetap sama. Membangun tata kelola tersebut sekali saja—sesuai dengan standar yang dapat disertifikasi—kemudian menyesuaikan aspek-aspek pendukungnya, merupakan pendekatan yang jauh lebih praktis dibandingkan menjalankan program kepatuhan yang terpisah untuk setiap yurisdiksi. Oleh karena itu, artikel ini meninjau lanskap regulasi AI berdasarkan mekanisme yang digunakan, bukan berdasarkan pembagian wilayah geografis.

Hukum yang Mengikat beserta Jadwal Penerapannya

Saat ini, terdapat dua kerangka regulasi AI komprehensif yang telah berlaku dan mengikat secara hukum.

EU AI Act (Undang-Undang AI Uni Eropa) merupakan kerangka regulasi yang paling berkembang. Ketentuan mengenai praktik yang dilarang dan kewajiban literasi AI telah berlaku, sementara kewajiban transparansi mulai berlaku sejak 2 Agustus 2026. Setelah penerapan Digital Omnibus, kewajiban utama untuk sistem AI berisiko tinggi mulai berlaku pada 2 Desember 2027, sedangkan kewajiban untuk sistem AI berisiko tinggi yang terintegrasi dalam produk yang diatur secara khusus mulai berlaku pada 2 Agustus 2028. Sanksi atas praktik yang dilarang dapat mencapai tujuh persen dari total omzet tahunan global.
Apa yang dapat dan tidak dapat dibuktikan melalui sertifikat ISO 42001 berdasarkan undang-undang ini memerlukan pembahasan tersendiri. Artikel pendamping dari tulisan ini mengulas setiap kewajiban tersebut secara terperinci. Singkatnya, sertifikasi tidak secara otomatis membuktikan kesesuaian terhadap persyaratan regulasi, tetapi menjadi fondasi tata kelola yang mendukung pembuktian kesesuaian tersebut.

Kerangka regulasi kedua berasal dari Korea Selatan. AI Basic Act (Undang-Undang Dasar AI) beserta Peraturan Pelaksanaannya mulai berlaku pada 22 Januari 2026. Undang-undang ini menetapkan kewajiban bagi sistem AI berdampak tinggi dan AI generatif, termasuk penilaian risiko, penilaian dampak, transparansi, serta pelabelan konten yang dihasilkan oleh AI.
Peraturan ini juga berlaku secara ekstrateritorial terhadap sistem AI yang memengaruhi pasar Korea Selatan dan mewajibkan operator asing berskala besar untuk menunjuk perwakilan di dalam negeri. Kementerian Sains dan Teknologi Informasi dan Komunikasi (Ministry of Science and ICT atau MSIT) telah menetapkan masa tenggang setidaknya selama satu tahun. Selama periode tersebut, investigasi untuk mengumpulkan fakta dan pengenaan denda administratif pada umumnya ditangguhkan, kecuali dalam kasus yang menyebabkan kerugian serius. Namun, kewajiban yang ditetapkan dalam undang-undang tersebut tetap berlaku sejak tanggal pemberlakuannya.

Aturan yang terus berkembang

Amerika Serikat tidak memiliki undang-undang federal yang komprehensif mengenai AI. Kebijakan di tingkat federal ditetapkan melalui tindakan eksekutif, termasuk Executive Order 14365 pada Desember 2025, yang mendorong pengutamaan hukum federal atas undang-undang AI di tingkat negara bagian (federal preemption); dampaknya masih harus ditentukan oleh pengadilan. Kewajiban yang mengikat sektor swasta sebagian besar diatur dalam undang-undang negara bagian, dan peraturan di tingkat negara bagian terus mengalami perubahan. Pada tahun 2024, Colorado menjadi negara bagian pertama yang mengesahkan undang-undang AI yang komprehensif. Setelah dua kali penundaan, undang-undang tersebut dicabut dan digantikan pada Mei 2026 sebelum sempat berlaku; aturan pengganti dengan cakupan yang lebih terbatas dijadwalkan mulai berlaku pada 1 Januari 2027. Texas Responsible Artificial Intelligence Governance Act (TRAIGA) mulai berlaku pada Januari 2026, dengan cakupan yang jauh lebih terbatas dibandingkan rancangan awalnya. California memiliki serangkaian peraturannya sendiri, mulai dari transparansi bagi pengembang AI terdepan (frontier developers) hingga aturan pengambilan keputusan otomatis yang diterapkan secara bertahap hingga tahun 2027. Banyaknya regulasi merupakan indikasi paling jelas bahwa perubahan lebih lanjut akan terjadi: hingga Maret 2026, para legislator negara bagian telah mengajukan 1.561 rancangan undang-undang terkait AI di 45 negara bagian.

Semua ini bukanlah alasan untuk menunggu hingga situasi menjadi lebih jelas. Sebaliknya, ini merupakan alasan untuk berhenti membangun sistem kepatuhan yang hanya berfokus pada ketentuan satu undang-undang, yang dapat menjadi usang dalam satu periode legislatif. Investasi yang berkelanjutan adalah sistem tata kelola yang menghasilkan bukti yang diwajibkan oleh berbagai versi undang-undang tersebut (inventarisasi, penilaian risiko dan dampak, prosedur pengungkapan informasi, serta pengawasan manusia) dan mampu menyesuaikan diri seiring dengan perubahan undang-undang.

Acuan utama di Amerika Serikat adalah AI Risk Management Framework (AI RMF) dari National Institute of Standards and Technology (NIST), sebuah metodologi sukarela yang telah digunakan oleh banyak tim manajemen risiko di Amerika. Kerangka kerja ini tidak dapat disertifikasi dan memiliki keselarasan yang erat dengan ISO 42001; NIST menerbitkan panduan pemetaan (crosswalk) antara keduanya. Dalam praktiknya, kerangka kerja tersebut membantu mengatur aktivitas manajemen risiko, sedangkan standar ISO memungkinkan aktivitas tersebut diverifikasi oleh pihak independen.

Prinsip, panduan, dan aturan administratif

Inggris menerapkan pendekatan berbasis prinsip: prinsip-prinsip lintas sektor yang diterapkan melalui regulator yang sudah ada, bukan melalui satu undang-undang khusus AI. Undang-undang AI Jepang tahun 2025 berorientasi pada pengembangan, dengan kewajiban yang sebagian besar tidak bersifat menghukum. Singapura menawarkan model kerangka tata kelola dan perangkat pengujian sukarela. Tiongkok mengatur AI melalui ketentuan administratif, termasuk persyaratan pelabelan untuk AI generatif. Di setiap pasar, regulator sektoral di bidang seperti jasa keuangan, kesehatan, dan ketenagakerjaan telah menggunakan kewenangan yang ada untuk mengatur AI, tanpa menunggu undang-undang khusus AI.

Soft law tetap menuntut adanya bukti. Regulator yang menerapkan prinsip-prinsip mengajukan pertanyaan mendasar yang sama seperti yang diajukan berdasarkan undang-undang: tunjukkan kepada kami bagaimana Anda mengelola tata kelola AI.

Pembeli sebagai regulator

Bagi sebagian besar organisasi, pihak pertama yang meminta bukti bukanlah pemerintah, melainkan pelanggan. Klausul tata kelola AI dan kuesioner uji tuntas kini lebih cepat menyebar dalam proses pengadaan perusahaan dibandingkan peraturan perundang-undangan mana pun. Ketentuan ini mencakup aspek yang serupa di berbagai pasar dan tidak memberikan masa tenggang. Dewan direksi dan pihak asuransi pun mengajukan pertanyaan yang sama dari sudut pandang berbeda. Saat ini, proses pengadaan merupakan satu-satunya sistem yang memiliki jangkauan global; di sinilah sertifikat terakreditasi memegang peranan paling krusial, karena mampu menjawab sebagian besar poin dalam kuesioner tersebut melalui satu bukti yang telah diverifikasi secara independen.

Inti bersama dan apa yang dibuktikan oleh sertifikasi

Tabel di bawah ini menjabarkan tema-tema persyaratan yang muncul berulang dalam berbagai kerangka kerja yang disebutkan di atas, serta kontribusi sistem manajemen ISO 42001 terhadap masing-masing tema tersebut. Semua referensi mengenai ISO 42001 merujuk pada standar itu sendiri.

Kolom sebelah kanan merupakan mekanisme organisasional, bukan kesesuaian secara hukum. Perbedaan tersebut menjadi pokok bahasan dalam artikel pendampingnya, dan prinsip ini berlaku di mana pun, tidak hanya di Eropa.

Apa yang bisa dan tidak bisa diperoleh melalui sertifikasi di pasar mana pun

Sertifikat apa pun tidak serta-merta membuat organisasi mematuhi ketentuan hukum atau regulasi tertentu, dan tidak boleh diklaim demikian. Sertifikat ISO 42001 yang terakreditasi memberikan bukti yang telah diverifikasi secara independen bahwa fondasi tata kelola telah ada dan berfungsi: risiko dinilai menggunakan metode yang ditetapkan, akuntabilitas dialokasikan, kompetensi dijaga, pemasok dikelola, serta keseluruhan sistem diaudit dan ditingkatkan. Dalam konteks kepatuhan regulasi, pengadaan, uji tuntas pelanggan, maupun jaminan bagi dewan direksi, hal ini menjawab keraguan mendasar yang sering muncul: apakah pernyataan kebijakan tersebut benar-benar memiliki landasan nyata atau tidak.

Logika penentuan waktunya serupa di mana pun; hanya tanggalnya yang berbeda. Proses sertifikasi biasanya memakan waktu enam hingga dua belas bulan, dan sistem manajemen harus sudah ada sebelum audit dilakukan. Di Eropa, tenggat waktunya adalah Desember 2027. Di Korea, masa tenggang untuk investigasi dan denda berakhir paling cepat Januari 2027. Di Amerika Serikat, tenggat waktunya bergantung pada undang-undang mana yang lebih dulu berlaku bagi Anda, atau yang lebih mungkin terjadi, saat muncul kuesioner dari pelanggan. Jika Anda menghitung mundur dari tanggal yang relevan bagi organisasi Anda, maka waktu untuk memulai adalah sekarang. Kalender itu sendiri yang menunjukkan urgensinya.

Bukti yang dapat digunakan di berbagai konteks

Satu sistem manajemen, satu jejak audit, satu sertifikat. Karena tuntutan dasarnya sangat mirip, bukti yang disusun dengan cara ini dapat digunakan di Brussels, Seoul, dalam penyelidikan oleh jaksa agung negara bagian di AS, maupun dalam kuesioner pemasok. LRQA adalah lembaga sertifikasi untuk ISO 42001 yang terakreditasi oleh UKAS; ini berarti kompetensi dan imparsialitas kami telah dinilai secara independen.

LRQA ISO 42001 Readiness Pack dari LRQA menjelaskan apa saja yang tercakup dalam sertifikasi, apa yang dituntut dari organisasi Anda, dan bagaimana langkah awalnya.

Untuk mendiskusikan sertifikasi tata kelola AI, silakan hubungi tim ISO 42001 LRQA.

Pelajari lebih lanjut mengenai layanan ISO 42001 kami