RWI Consulting memandang tata kelola AI sebagai mekanisme perusahaan untuk memastikan penggunaan artificial intelligence memiliki tujuan bisnis yang jelas, pemilik yang bertanggung jawab, aturan penggunaan, penilaian risiko, internal control, proses persetujuan, monitoring, dan jalur eskalasi yang dapat digunakan secara nyata.

Tata Kelola AI

Photo by Noval Gani on Pexels

Fokus artikel ini adalah penerapan tata kelola AI dalam organisasi, terutama bagaimana perusahaan membangun struktur peran, RACI, kebijakan, workflow, klasifikasi use case, approval, pengendalian, dan monitoring. Pembahasan ini menjadi pendalaman dari artikel AI Governanceyang membahas kerangka AI governance secara lebih luas.

Materi internal RWI mengenai GRC menunjukkan bahwa tata kelola yang matang membutuhkan tone from the top, tujuan organisasi yang jelas, pengelolaan risiko yang melekat pada strategi, definisi struktur dan tugas, pengembangan kompetensi, sistem informasi, monitoring, serta komunikasi yang mendukung koordinasi.

Materi internal mengenai pengendalian digital juga menempatkan role-based access, workflow, risk-control mapping, approval, evidence, testing, remediation, dashboard, user log, dan audit trail sebagai komponen penting ketika proses pengendalian didigitalisasi.

Prinsip tersebut dapat diterapkan pada penggunaan AI agar perusahaan tidak hanya memiliki aturan tertulis, tetapi juga operating model yang dapat dijalankan.

Baca juga: Internal Control Software: Sistem Digital untuk Mengelola Kontrol, Evidence, Audit Trail,…

Apa yang Dimaksud dengan Tata Kelola AI?

Photo by Matheus Bertelli on Pexels

Tata kelola AI adalah sistem pengaturan mengenai siapa yang dapat menggunakan AI, untuk tujuan apa, dengan data apa, pada tingkat risiko apa, melalui approval apa, serta bagaimana hasil penggunaannya dimonitor dan dievaluasi.

Tata kelola AI perlu menjawab pertanyaan praktis:

• apakah perusahaan mengetahui seluruh AI use case yang digunakan;
• siapa business owner setiap use case;
• siapa yang menilai risikonya;
• siapa yang menyetujui penggunaan berisiko tinggi;
• data apa yang boleh dan tidak boleh digunakan;
• kapan output harus diverifikasi manusia;
• apa yang terjadi jika output salah;
• bagaimana incident dilaporkan;
• bagaimana perubahan use case dikendalikan;
• bagaimana management memperoleh laporan.

Tata kelola yang baik menghasilkan accountability dan traceability.

Baca juga: Risiko Adalah: Definisi Resmi, Makna Praktis, dan Dampaknya ke RKAP serta Tata Kelola

Mengapa Tata Kelola AI Tidak Bisa Hanya Diserahkan kepada Pengguna?

Photo by Matheus Bertelli on Pexels

Pengguna akhir memahami pekerjaan mereka, tetapi belum tentu memiliki pandangan lengkap mengenai risk appetite, data classification, compliance, internal control, third-party dependency, atau reputational exposure.

Apabila setiap pengguna membuat keputusan sendiri, perusahaan dapat menghadapi:

• penggunaan AI yang tidak diketahui management;
• data sensitif digunakan tanpa review;
• output menjadi dasar keputusan tanpa validasi;
• supplier atau aplikasi eksternal digunakan tanpa assessment;
• kualitas hasil berbeda antarunit;
• tidak ada evidence atas approval;
• incident sulit diinvestigasi;
• use case penting tidak masuk risk register.

Karena itu, tata kelola AI perlu menggabungkan user responsibility dengan oversight yang proporsional.

Baca juga: Compliance Risk Management Software: Fitur Teknis, Implementasi, dan Output untuk Perusahaan…

Tata Kelola AI Bukan Larangan Menggunakan AI

Photo by Anna Shvets on Pexels

Governance yang terlalu restriktif dapat mendorong penggunaan tersembunyi.

Sebaliknya, governance yang terlalu longgar membuat perusahaan kehilangan control.

Pendekatan berbasis risiko dapat membagi penggunaan menjadi:

• penggunaan yang diperbolehkan secara umum;
• penggunaan yang memerlukan control tertentu;
• penggunaan yang memerlukan formal assessment;
• penggunaan yang memerlukan senior approval;
• penggunaan yang tidak diperbolehkan.

Tujuannya adalah membuat aturan sebanding dengan exposure.

Tata Kelola AI dan Tata Kelola Perusahaan

Photo by Ann H on Pexels

AI governance sebaiknya terhubung dengan governance perusahaan.

Struktur existing seperti:

• Direksi;
• komite risiko;
• komite digital atau teknologi;
• fungsi GRC;
• risk management;
• compliance dan legal;
• information security;
• internal audit;
• unit bisnis;

dapat digunakan untuk mengelola AI sepanjang role dan decision rights diperjelas.

Perusahaan tidak selalu perlu membentuk organisasi baru.

Struktur Tata Kelola AI

Photo by Google DeepMind on Pexels

1. Direksi dan Executive Sponsor

Peran Direksi dapat mencakup:

• menetapkan arah;
• menyetujui risk appetite;
• menyetujui penggunaan dengan exposure material;
• menetapkan resource;
• meninjau incident material;
• melakukan management review.

2. AI Governance Forum

Forum dapat berupa komite khusus atau perluasan forum existing.

Fungsinya dapat mencakup:

• review high-risk use case;
• memberikan recommendation;
• menilai exception;
• memonitor risk;
• membahas incident;
• meninjau policy;
• menentukan improvement.

3. Business Owner

Business owner bertanggung jawab atas tujuan dan penggunaan.

Tanggung jawab dapat mencakup:

• business rationale;
• use case description;
• process integration;
• output use;
• human oversight;
• risk treatment;
• monitoring.

4. Technology Owner

Technology owner memastikan aspek teknis dikelola sesuai kebutuhan.

Area dapat mencakup:

• access;
• integration;
• availability;
• change management;
• logging;
• technical support;
• security control.

5. Data Owner

Data owner menentukan:

• data classification;
• permitted use;
• quality requirement;
• access;
• retention;
• evidence.

6. Risk Management

Risk function dapat membantu:

• menyusun risk criteria;
• melakukan challenge;
• mengintegrasikan AI risk ke ERM;
• mengembangkan KRI;
• melakukan risk reporting.

7. Compliance dan Legal

Fungsi ini dapat menilai kewajiban, contractual issue, internal policy, dan compliance exposure yang terkait use case.

8. Internal Audit

Internal audit memberikan assurance independen atas governance, control, monitoring, dan evidence.

RACI Tata Kelola AI

Photo by JURIADI PADDO on Pexels

RACI membantu membedakan Responsible, Accountable, Consulted, dan Informed.

Contoh indikatif:

Aktivitas: AI use case proposal

Accountable: Business Head

Responsible: Business Owner

Consulted: Technology

Aktivitas: Risk assessment

Accountable: Risk Owner

Responsible: Business Owner

Consulted: Risk, Data, Security

Aktivitas: High-risk approval

Accountable: Senior Management

Responsible: Governance Forum

Consulted: Risk, Legal, Technology

Aktivitas: Data approval

Accountable: Data Owner

Responsible: Data Custodian

Consulted: Security, Business

Aktivitas: Monitoring

Accountable: Business Head

Responsible: Business Owner

Consulted: Risk, Technology

Aktivitas: Assurance

Accountable: Audit Committee

Responsible: Internal Audit

Consulted: Process Owner

Struktur aktual perlu disesuaikan dengan organisasi.

Kebijakan Tata Kelola AI

Kebijakan AI perlu menjelaskan prinsip dan batas.

Komponen yang dapat dimasukkan:

• tujuan kebijakan;
• scope;
• definisi penggunaan AI;
• roles;
• permitted use;
• restricted use;
• prohibited use;
• data handling;
• risk assessment;
• human review;
• approval;
• incident reporting;
• monitoring;
• review period.

Kebijakan sebaiknya diterjemahkan menjadi prosedur dan workflow.

AI Use Case Register

Register membantu perusahaan mengetahui apa yang sedang digunakan.

Field dapat mencakup:

• use case ID;
• business unit;
• business owner;
• description;
• purpose;
• technology;
• data category;
• provider;
• risk level;
• control;
• approval;
• go-live date;
• review date;
• status.

Register menjadi sumber untuk dashboard dan periodic review.

Screening Awal Use Case AI

Tidak seluruh use case perlu assessment panjang.

Screening awal dapat menanyakan:

• apakah AI memproses data terbatas atau sensitif;
• apakah output memengaruhi keputusan penting;
• apakah digunakan untuk pelanggan;
• apakah digunakan pada proses finansial;
• apakah terintegrasi dengan system;
• apakah menggunakan provider eksternal;
• apakah kegagalannya mengganggu layanan;
• apakah penggunaan dapat menimbulkan reputational impact.

Jawaban screening menentukan jalur governance.

Klasifikasi Risiko Penggunaan AI

Perusahaan dapat menggunakan beberapa level.

Low Risk

Penggunaan untuk aktivitas internal dengan dampak terbatas dan human review penuh.

Medium Risk

AI memengaruhi proses, data, atau output yang digunakan lebih luas.

High Risk

AI memengaruhi keputusan, pelanggan, transaksi, atau aktivitas penting.

Critical Use

Kegagalan atau misuse dapat menghasilkan exposure material terhadap organisasi.

Kriteria perlu selaras dengan enterprise risk criteria.

Risk Assessment Tata Kelola AI

Risk assessment dapat melihat beberapa dimensi.

Business Risk

Apakah output dapat memengaruhi keputusan atau target.

Data Risk

Apakah data yang digunakan sesuai klasifikasi dan tujuan.

Operational Risk

Apakah kesalahan AI dapat mengganggu proses.

Technology Risk

Apakah terdapat availability, integration, access, atau change risk.

Third-Party Risk

Apakah perusahaan tergantung kepada provider.

Compliance Risk

Apakah penggunaan terkait kewajiban, kontrak, policy, atau aturan internal.

Reputation Risk

Apakah output dapat berdampak pada stakeholder atau publik.

Risk assessment perlu menghasilkan risk owner, control, residual risk, treatment, dan monitoring.

Internal Control Tata Kelola AI

Materi internal RWI mengenai sistem pengendalian digital menempatkan keterkaitan process-risk-control, control owner, testing, evidence, monitoring, remediation, dan audit trail sebagai elemen penting pengendalian.

Dalam tata kelola AI, control dapat mencakup:

• access approval;
• input restriction;
• data masking atau sanitization sesuai kebutuhan;
• human review;
• second-level approval;
• output validation;
• sampling;
• change control;
• incident reporting;
• periodic reassessment.

Control perlu memiliki owner dan evidence.

Human-in-the-Loop sebagai Tata Kelola

Human review bukan sekadar meminta seseorang menekan tombol approve.

Reviewer perlu memahami:

• apa yang diperiksa;
• kriteria validasi;
• kapan output ditolak;
• kapan issue dieskalasikan;
• apa evidence yang disimpan.

Human oversight perlu disesuaikan dengan risk level.

Approval Matrix Penggunaan AI

Approval dapat dibedakan berdasarkan risk.

Risk Level: Low

Contoh Approval: Business owner

Review: Periodic

Risk Level: Medium

Contoh Approval: Business head + relevant function

Review: Risk-based review

Risk Level: High

Contoh Approval: Senior management atau governance forum

Review: Formal monitoring

Risk Level: Critical

Contoh Approval: Top management sesuai authority

Review: Enhanced oversight dan assurance

Approval matrix mencegah seluruh keputusan naik ke level yang sama.

Data Governance untuk AI

Data governance perlu mengatur:

• data owner;
• data classification;
• approved data source;
• restricted information;
• data quality;
• access;
• retention;
• evidence;
• change.

Penggunaan AI dapat memperluas aliran data, sehingga ownership perlu jelas.

Tata Kelola AI untuk Solusi Pihak Ketiga

Assessment pihak ketiga perlu proporsional terhadap criticality.

Area dapat mencakup:

• fungsi layanan;
• data yang diakses;
• service availability;
• support;
• incident notification;
• subcontractor dependency;
• change process;
• termination;
• fallback.

Apabila use case sudah menjadi bagian proses kritikal, dependency pihak ketiga juga perlu masuk continuity analysis.

Tata Kelola Perubahan AI

Use case dapat berubah walaupun nama aplikasinya sama.

Reassessment dapat dipicu oleh:

• perubahan tujuan;
• perubahan input data;
• perubahan user group;
• perubahan output;
• integrasi baru;
• otomatisasi yang lebih tinggi;
• perubahan provider;
• perubahan criticality.

Change process membantu memastikan approval lama tidak digunakan untuk kondisi baru yang berbeda.

Tata Kelola Incident AI

Incident perlu memiliki jalur pelaporan.

Workflow dapat mencakup:

1. reporting;
2. initial classification;
3. containment;
4. impact assessment;
5. escalation;
6. investigation;
7. root cause;
8. corrective action;
9. closure;
10. lesson learned.

Serious issue dapat memerlukan penghentian sementara use case.

Monitoring Tata Kelola AI

Monitoring tidak hanya melihat jumlah use case.

Indikator dapat mencakup:

• jumlah high-risk use cases;
• use case tanpa owner;
• overdue assessment;
• control exceptions;
• incident trend;
• output error;
• user complaint;
• third-party issue;
• overdue corrective action.

KRI dapat digunakan untuk memberikan early warning.

Dashboard Tata Kelola AI

Dashboard management dapat menampilkan:

• AI inventory;
• distribution per unit;
• risk level;
• approval status;
• open issues;
• control effectiveness;
• third-party exposure;
• review status;
• action plan.

Dashboard perlu memiliki drill-down agar status dapat ditelusuri ke use case dan evidence.

Tata Kelola AI dan ERM

AI risk sebaiknya menggunakan enterprise risk management existing.

Integrasi dapat dilakukan melalui:

• risk taxonomy;
• risk criteria;
• risk appetite;
• risk owner;
• risk register;
• treatment;
• KRI;
• risk reporting.

Materi internal RWI mengenai ERM menempatkan risk assessment, prioritization, treatment, governance, KRI, monitoring, reporting, dan roadmap sebagai bagian dari sistem risiko terintegrasi.

Dengan integrasi tersebut, management tidak menerima risk view yang terpisah.

Tata Kelola AI dan GRC

Tata kelola AI dapat menjadi salah satu use case integrated GRC.

Hubungan yang dibangun:

• governance menentukan decision rights;
• risk management menilai exposure;
• compliance mengelola obligation dan policy;
• internal control memastikan proses berjalan;
• internal audit memberikan assurance;
• dashboard memberikan management visibility.

Materi internal GRC RWI menekankan integrasi process, people, tools, risk management, struktur, kompetensi, sistem informasi, dan monitoring sebagai fondasi maturity.

Tata Kelola AI dan Business Continuity

Apabila AI menjadi critical enabler, organisasi perlu menentukan:

• dampak jika AI tidak tersedia;
• manual workaround;
• alternative tool;
• third-party dependency;
• recovery priority;
• fallback decision.

Materi internal BIA RWI menekankan pemetaan dependency terhadap aplikasi, proses, unit, resource, teknologi, tenaga kerja, dan third party untuk menentukan recovery requirement.

Kompetensi dalam Tata Kelola AI

Role yang berbeda membutuhkan competence berbeda.

Business user perlu memahami allowed use dan verification.

Business owner perlu memahami risk dan accountability.

Risk function perlu mampu menilai AI risk.

Technology function perlu memahami architecture dan controls.

Internal audit perlu memahami governance dan evidence.

Management perlu memahami exposure dan decision implications.

Program competency building perlu berbasis role.

Roadmap Tata Kelola AI

Fase 1. Discovery

Inventarisasi use case dan existing practice.

Fase 2. Governance Baseline

Menetapkan policy, owner, RACI, dan risk classification.

Fase 3. Risk and Control

Menyusun assessment, control library, dan approval matrix.

Fase 4. Workflow

Membangun proses proposal, review, approval, monitoring, change, dan closure.

Fase 5. Reporting

Menyusun KPI, KRI, dashboard, dan escalation.

Fase 6. Integration

Mengintegrasikan AI dengan ERM, GRC, data governance, IT governance, dan continuity.

Fase 7. Assurance

Melakukan control testing, internal review, dan maturity assessment.

Checklist Tata Kelola AI

Perusahaan dapat menggunakan checklist awal:

• Apakah terdapat daftar use case AI?
• Apakah setiap use case memiliki owner?
• Apakah terdapat klasifikasi risiko?
• Apakah penggunaan data memiliki aturan?
• Apakah high-risk use case memiliki formal approval?
• Apakah human review didefinisikan?
• Apakah control memiliki evidence?
• Apakah perubahan use case direview?
• Apakah incident memiliki jalur eskalasi?
• Apakah management menerima dashboard?
• Apakah internal audit memiliki akses ke evidence?
• Apakah third-party dependency dinilai?

Jika sebagian besar jawabannya belum, organisasi masih berada pada tahap awal governance.

Deliverables Tata Kelola AI

Deliverable dapat mencakup:

• current state assessment;
• AI use case register;
• governance structure;
• AI RACI;
• AI policy;
• use case classification;
• risk assessment template;
• control library;
• approval matrix;
• data governance requirement;
• third-party assessment;
• incident workflow;
• change workflow;
• dashboard design;
• training material;
• roadmap.

Kesalahan Umum dalam Tata Kelola AI

1. Menunggu Sampai Penggunaan AI Sudah Terlalu Luas

Inventory menjadi sulit dilakukan.

2. Membuat Aturan Tanpa Workflow

Pegawai tidak tahu bagaimana memperoleh approval.

3. Seluruh AI Diperlakukan sebagai High Risk

Governance menjadi lambat dan tidak proporsional.

4. Business Owner Tidak Dilibatkan

IT atau risk function menjadi pemilik semu.

5. Data Governance Diabaikan

Penggunaan informasi menjadi sulit dikendalikan.

6. Human Review Tidak Didefinisikan

Approval berubah menjadi formalitas.

7. Third Party Tidak Dinilai

Dependency dan exit risk tidak terlihat.

8. Tidak Ada Change Management

Use case berubah tanpa reassessment.

9. Monitoring Hanya Menghitung Jumlah Use Case

Management tidak melihat risk exposure.

10. Internal Audit Dilibatkan Terlambat

Evidence dan auditability tidak dirancang sejak awal.

Fitur dan Manfaat Tata Kelola AI

Fitur: Struktur dan RACI

Manfaat: Memperjelas accountability.

Fitur: AI policy

Manfaat: Memberikan aturan penggunaan yang konsisten.

Fitur: Use case register

Manfaat: Memberikan visibility.

Fitur: Risk classification

Manfaat: Membuat governance lebih proporsional.

Fitur: Approval matrix

Manfaat: Memperjelas decision rights.

Fitur: Internal control

Manfaat: Mengurangi risiko penggunaan yang tidak sesuai.

Fitur: Monitoring dan dashboard

Manfaat: Mendukung management oversight.

Fitur: Incident dan change workflow

Manfaat: Meningkatkan responsiveness dan traceability.

Pembeda RWI Consulting

RWI Consulting membangun tata kelola AI sebagai penerapan integrated GRC dan risk management terhadap penggunaan teknologi AI.

Fokusnya bukan hanya menyusun kebijakan, tetapi memastikan policy dapat diterjemahkan menjadi owner, RACI, risk classification, assessment, control, approval, evidence, monitoring, incident, dashboard, dan assurance.

Pendekatan ini menggunakan fondasi metodologi RWI pada governance, risk management, compliance, internal control, business continuity, digital workflow, monitoring, dan maturity assessment.

Internal Link Wheel Tata Kelola AI

Konten Induk

• AI Governance
• GRC Consulting

Konten Setingkat

• GRC Operating Model
• Compliance Framework
• Enterprise Risk Management System

Konten Turunan

• AI Policy
• AI Risk Assessment
• AI Governance RACI
• ISO 42001

FAQ Tata Kelola AI

Apa itu tata kelola AI?

Tata kelola AI adalah sistem pengaturan mengenai penggunaan AI, roles, policy, risk assessment, control, approval, monitoring, incident, dan accountability.

Apa perbedaan tata kelola AI dan AI governance?

Istilahnya merujuk pada konsep yang sama. Artikel ini lebih fokus pada implementasi struktur, RACI, workflow, dan kebijakan dalam konteks perusahaan Indonesia.

Siapa yang bertanggung jawab atas penggunaan AI?

Business owner bertanggung jawab atas use case, dengan oversight dari management, risk, technology, data, compliance, dan fungsi terkait.

Apakah perusahaan membutuhkan komite AI?

Tidak selalu. Mandat dapat ditempatkan pada forum governance existing apabila decision rights dan accountability jelas.

Apa isi kebijakan AI perusahaan?

Policy dapat mengatur scope, allowed use, restricted use, data, risk assessment, human review, approval, incident, dan monitoring.

Apa itu AI use case register?

Register adalah daftar penggunaan AI yang memuat tujuan, owner, data, risk level, control, approval, dan review date.

Bagaimana menentukan risiko penggunaan AI?

Perusahaan dapat menggunakan screening dan risk assessment berdasarkan business impact, data, operation, technology, third party, compliance, dan reputation.

Apakah semua use case memerlukan assessment lengkap?

Tidak. Proses dapat disederhanakan untuk low-risk use case dan diperketat untuk high-risk use case.

Apa peran human oversight?

Human oversight memastikan output atau keputusan material tidak digunakan tanpa review dan challenge yang memadai.

Bagaimana tata kelola AI diintegrasikan dengan ERM?

AI risk menggunakan enterprise risk criteria, risk owner, treatment, KRI, dan risk reporting existing.

Bagaimana monitoring dilakukan?

Monitoring dapat menggunakan inventory status, KRI, incident, control exception, overdue review, dan management dashboard.

Apa output proyek tata kelola AI?

Output dapat berupa governance structure, RACI, policy, AI register, risk assessment, control library, approval matrix, workflow, dashboard, dan roadmap.

Konsultasi Tata Kelola AI

RWI Consulting membantu perusahaan menyusun tata kelola AI mulai dari use case inventory, governance structure, RACI, policy, risk classification, risk assessment, internal control, approval workflow, monitoring, incident management, sampai implementation roadmap.

<strong>Jadwalkan konsultasi Tata Kelola AI bersama RWI Consulting untuk membangun penggunaan AI yang lebih terarah, akuntabel, berbasis risiko, dan terintegrasi dengan governance perusahaan.</strong>