Kerangka tata kelola AI yang dapat dijalankan usaha kecil

Apa itu kerangka tata kelola AI?

Kerangka tata kelola AI adalah sistem pengelolaan di balik kebijakan AI Anda: kerangka ini menjelaskan siapa yang dapat menyetujui alat atau penggunaan AI, apa yang harus dicatat, bagaimana risiko diperiksa, dan kapan keputusan ditinjau kembali. Kebijakan penggunaan yang diperbolehkan memberi tahu karyawan apa yang harus dilakukan; tata kelola menentukan isi kebijakan tersebut dan menjaganya tetap akurat.

Sebagian besar kerangka kerja yang diterbitkan ditulis untuk organisasi besar yang membangun sistem AI. Perusahaan dengan 5 hingga 200 orang yang menggunakan asisten siap pakai memerlukan logika yang sama dalam skala yang jauh lebih kecil. Tujuannya adalah agar setiap penggunaan yang disetujui memiliki penanggung jawab, alasan, dan tanggal peninjauan, serta agar tidak ada yang perlu menebak siapa pengambil keputusannya.

Halaman ini berisi informasi umum, bukan nasihat hukum. Jika Anda mengintegrasikan AI ke dalam produk, mengotomatiskan keputusan tentang orang, atau bekerja di sektor yang diatur secara khusus, Anda memerlukan tinjauan ahli yang melampaui uraian di sini.

Bagaimana Kerangka Manajemen Risiko AI NIST diterapkan pada perusahaan kecil?

Kerangka Manajemen Risiko AI NIST adalah kerangka sukarela yang dirilis pada 26 Januari 2023 dan mengelompokkan pekerjaan terkait risiko AI ke dalam empat fungsi: Tata Kelola, Pemetaan, Pengukuran, dan Pengelolaan. NIST menyatakan bahwa kerangka ini dimaksudkan untuk digunakan secara sukarela, tidak khusus untuk sektor tertentu, dan tidak terikat pada kasus penggunaan tertentu, sehingga memberi fleksibilitas bagi organisasi dari berbagai ukuran. NIST juga menyatakan bahwa pengguna dapat memilih kategori sesuai sumber daya dan kemampuan mereka, dan itulah yang sebaiknya dilakukan oleh tim kecil.

Tata kelola mencakup seluruh aspek: budaya, kebijakan, peran, dan akuntabilitas. Pemetaan menetapkan konteks penggunaan sistem beserta risiko dalam konteks tersebut. Pengukuran menganalisis dan memantau risiko itu dengan metode kualitatif atau kuantitatif. Pengelolaan mengalokasikan sumber daya untuk menangani risiko yang ditemukan serta mencakup rencana respons dan pemulihan setelah insiden. Halaman NIST menyebutkan bahwa kerangka tersebut sedang direvisi, jadi periksa versi terkini sebelum mengutipnya.

Tabel di bawah adalah adaptasi kami untuk tim kecil. Ini bukan profil resmi NIST dan penggunaannya tidak membuat perusahaan memenuhi persyaratan kepatuhan apa pun.

Siapa yang sebaiknya bertanggung jawab atas tata kelola AI di usaha kecil?

Satu orang yang ditunjuk harus bertanggung jawab atas tata kelola AI, dengan alur persetujuan yang jelas untuk keputusan yang tidak dapat diambilnya sendiri. Dalam praktiknya, di perusahaan dengan jumlah karyawan di bawah 50 orang, peran ini sering dipegang oleh pendiri atau direktur operasional; di perusahaan yang lebih besar, oleh kepala operasional atau TI yang melapor kepada pimpinan. Panduan Tata Kelola NIST mencakup tanggung jawab pimpinan eksekutif atas keputusan tentang risiko AI, serta penetapan peran dan jalur komunikasi.

Pembagian tanggung jawab yang dapat diterapkan pada Kestrel Systems, perusahaan perangkat lunak fiktif dengan 60 orang: direktur operasional bertanggung jawab atas daftar penggunaan AI dan menyetujui alat baru; penanggung jawab pelindungan data menyetujui setiap penggunaan yang melibatkan data pribadi; setiap kepala departemen menyetujui alur kerja dan meninjau hasil di bidangnya; direktur utama menyetujui tinjauan tahunan. Empat nama mencakup semuanya, dan setiap orang tahu pertanyaan mana yang menjadi tanggung jawabnya.

Apa yang perlu dicatat dalam daftar penggunaan AI?

Daftar AI harus mencatat setiap alat dan penggunaan yang disetujui, beserta paket layanan, tugas yang diizinkan, informasi yang diperbolehkan, penanggung jawab, peninjau, dan tanggal peninjauan. Panduan tata kelola NIST mencakup mekanisme untuk menginventarisasi sistem AI, dengan sumber daya yang dialokasikan sesuai prioritas risiko; untuk perusahaan kecil, lembar kerja bersama sudah cukup.

Catat juga detail pihak ketiga, karena hampir setiap sistem AI yang digunakan perusahaan kecil dimiliki oleh penyedia. Materi tata kelola NIST mencakup kebijakan untuk risiko AI pihak ketiga dan proses penanganan darurat ketika sistem pihak ketiga gagal. Dalam daftar pencatatan, cantumkan: ketentuan penyedia tentang pelatihan model, penyimpanan dan penghapusan data, kapan terakhir kali Anda memeriksanya, serta apa yang akan Anda lakukan jika alat tidak lagi tersedia atau ketentuannya berubah.

Contoh baris untuk Kestrel: "Alat: ruang kerja bisnis [asisten]. Penggunaan: menyusun draf dokumen internal dan merangkum riset publik. Informasi: hanya informasi publik dan internal. Penanggung jawab: direktur operasional. Peninjau: atasan langsung penulis untuk apa pun yang ditujukan ke pihak eksternal. Ketentuan penyedia diperiksa: [tanggal]. Alternatif cadangan: menyusun draf tanpa AI. Peninjauan berikutnya: [tanggal]."

Bagaimana sebaiknya penggunaan baru AI mendapatkan persetujuan?

Penggunaan AI yang baru harus mendapat persetujuan melalui permohonan tertulis singkat yang menjawab lima pertanyaan, agar penanggung jawab dapat memutuskan dengan cepat dan keputusan tersebut tercatat. Sebagian besar permohonan di perusahaan kecil berisiko rendah dan seharusnya cukup ditangani dalam sehari, tanpa rapat komite. Proses yang lambat mendorong orang untuk melewatinya.

Formulir permintaan Kestrel terdiri dari lima baris. Jika ada jawaban yang melibatkan data pribadi atau keputusan tentang seseorang, permintaan tersebut harus melalui pengesahan penggunaan data sebelum disetujui.

Prinsip apa yang seharusnya menjadi dasar kebijakan tata kelola AI?

Tidak ada satu daftar prinsip tata kelola AI yang disepakati bersama; setiap kerangka menggunakan prinsip yang berbeda, jadi pilih sejumlah kecil prinsip yang dapat diterapkan tim Anda. NIST mencantumkan karakteristik AI yang dapat dipercaya: valid dan andal, aman, terlindungi dan tangguh, dapat dipertanggungjawabkan dan transparan, dapat dijelaskan dan ditafsirkan, menjaga privasi dengan lebih baik, serta adil dengan pengelolaan bias yang merugikan. Panduan AI pemerintah Inggris, yang diterbitkan pada Februari 2025 untuk pegawai negeri, menetapkan sepuluh prinsip, dimulai dengan memahami apa itu AI dan keterbatasannya, serta mencakup kendali manusia yang bermakna pada tahap yang tepat.

Bagi usaha kecil, biasanya ada tiga prinsip kerja yang cukup untuk menjadi pedoman: setiap penggunaan memiliki penanggung jawab yang jelas; informasi hanya dimasukkan ke tempat yang diizinkan; dan seseorang memeriksa serta bertanggung jawab atas setiap keluaran yang digunakan. Jika usulan penggunaan tidak dapat memenuhi ketiganya, usulan tersebut belum siap disetujui.

Orang terkadang bertanya tentang tiga pilar tata kelola AI. Tidak ada rumusan baku. Cara praktis untuk memahaminya adalah melalui orang (siapa yang mengambil keputusan dan siapa yang dilatih), proses (bagaimana penggunaan disetujui dan ditinjau), serta catatan (daftar pencatatan dan keputusan di dalamnya).

Seberapa sering keputusan tata kelola AI sebaiknya ditinjau ulang?

Tinjau seluruh daftar setidaknya sekali setahun, dan setiap entri ketika penyedia mengubah ketentuannya, paket berubah, kontrak klien menambahkan ketentuan AI, atau masalah yang dilaporkan menunjukkan bahwa suatu alur kerja tidak berjalan semestinya. Panduan tata kelola NIST mencakup pemantauan berkelanjutan dan peninjauan berkala atas proses pengelolaan risiko.

Setengah jam setiap triwulan sering kali cukup untuk perusahaan kecil: penanggung jawab membaca catatan masalah, memeriksa dua atau tiga ketentuan penyedia, menanyakan kepada kepala departemen apakah ada penggunaan yang berubah, dan menghentikan penggunaan alat yang tidak dipakai siapa pun. Menghentikan penggunaan alat yang tidak terpakai merupakan bagian dari tata kelola; panduan Tata Kelola NIST mencakup proses untuk menonaktifkan sistem AI dengan aman.

Apa peran pelatihan dalam tata kelola AI?

Pelatihan adalah bagian dari tata kelola yang membuat aturan dapat diterapkan. Panduan tata kelola NIST mencakup pelatihan manajemen risiko AI bagi personel. Untuk Uni Eropa, tanya jawab Komisi Eropa tentang literasi AI mengenai Pasal 4 Undang-Undang AI menyatakan bahwa tidak ada satu pendekatan yang cocok untuk semua, sertifikat tidak diwajibkan, dan catatan pelatihan internal sudah cukup.

Catat siapa yang telah mengikuti pelatihan dan materi yang dipelajari, serta fokuskan pelatihan pada tugas yang benar-benar mereka kerjakan. Tosheo.ai sedang dikembangkan untuk menyediakan latihan berbasis peran, dengan tampilan bagi manajer untuk memantau perkembangan keterampilan dan penyelesaian pelatihan; Tosheo.ai bukan platform tata kelola dan tidak mengelola daftar pencatatan Anda.

Kapan perusahaan kecil membutuhkan lebih dari ini?

Anda membutuhkan lebih dari sekadar kerangka kerja sederhana jika Anda mengembangkan sistem AI, mengintegrasikan AI ke dalam produk, menggunakan AI untuk membuat atau mendukung keputusan penting tentang seseorang, memproses data kategori khusus dalam skala besar, atau bekerja di sektor yang diatur secara ketat. Kasus-kasus tersebut mungkin memerlukan penilaian risiko atau dampak secara formal, sistem manajemen yang dapat disertifikasi, dan tinjauan hukum.

Perangkat lunak khusus untuk tata kelola AI sudah tersedia, sebagian besar ditujukan bagi organisasi yang lebih besar. Untuk tim yang menggunakan beberapa asisten saja, daftar pencatatan dalam lembar kerja, kebijakan singkat, dan tanggal peninjauan biasanya sudah cukup serta lebih mudah diperbarui.

Sumber dan cakupan

NIST, Kerangka Manajemen Risiko AI 1.0 (NIST AI 100-1), January 2023 ↗

NIST, halaman ikhtisar Kerangka Manajemen Risiko AI, diperiksa 16 October 2026 ↗

Panduan Praktis Kerangka Manajemen Risiko AI NIST: Tata Kelola, diperiksa 16 October 2026 ↗

GOV.UK, Panduan Praktis AI untuk Pemerintah Inggris, 10 Februari 2025 ↗

Komisi Eropa, Literasi AI - Tanya Jawab, terakhir diperbarui 27 July 2026 ↗