Bukan Hanya Startup AI: Kapan Pabrik, Rumah Sakit, dan Bank yang Pakai AI Perlu ISO 42001?

Sebagian besar pembahasan ISO 42001 di internet berbicara tentang startup, fintech, atau perusahaan teknologi yang mengembangkan model AI. Wajar, karena standar ini lahir di tengah ledakan industri AI. Tapi ISO 42001 tidak pernah dibuat hanya untuk mereka yang membangun AI.

Standar ini mengatur dua kategori organisasi sekaligus: yang membangun sistem AI (producer/provider) dan yang menggunakannya (user atau deployer). Pabrik tekstil yang memasang sistem inspeksi cacat berbasis computer vision, rumah sakit yang memakai AI untuk membaca hasil CT scan, dan bank yang mengandalkan credit scoring otomatis semuanya masuk kategori kedua. Kewajiban mereka berbeda dari perusahaan teknologi, tapi tidak bisa diabaikan.

Dalam ISO 42001, Siapa yang Disebut Pengguna AI?

ISO 42001 membagi peran menjadi producer (yang melatih model), provider (yang menawarkan sistem AI ke pihak lain), dan user (yang mengoperasikan sistem AI yang dibuat orang lain). Pabrik, rumah sakit, atau bank yang membeli dan menjalankan sistem AI dari vendor termasuk kategori user, dan standar ini berlaku untuk mereka.

Peran-peran ini tidak saling mengunci. Sebuah perusahaan bisa memegang lebih dari satu peran sekaligus. Bank yang membeli model credit scoring dari vendor (user) tapi kemudian melatih ulang modelnya dengan data historis sendiri mulai bergerak ke peran producer. Kedua peran itu membawa kewajiban Annex A yang berbeda, dan keduanya harus dipenuhi.

Yang lebih penting dipahami: menggunakan AI dari vendor tidak memindahkan kewajiban ke vendor. ISO 42001 mengenal prinsip shared responsibility, yaitu kewajiban dibagi, bukan dialihkan. Vendor bertanggung jawab atas desain dan pelatihan model. Perusahaan yang menggunakan model itu bertanggung jawab atas bagaimana model dioperasikan, siapa yang mengawasi outputnya, dan apa yang dilakukan ketika model salah.

Baca juga: Perbedaan ISO 42001 dengan ISO 27001: Mana yang Wajib Diterapkan?

Empat Sektor Non-Teknologi yang Perlu Bersiap

Manufaktur, kesehatan, perbankan, dan logistik adalah empat sektor yang paling aktif mengadopsi AI di Indonesia dalam tiga tahun terakhir. Keempatnya kini menghadapi pertanyaan yang sama: apakah sistem AI yang mereka gunakan sudah dikelola sesuai standar, dan siapa yang bertanggung jawab jika sistem itu salah?

Manufaktur: AI di Lini Inspeksi dan Prediksi

Pabrik yang memakai kamera berbasis computer vision untuk mendeteksi cacat produksi, atau sistem AI untuk memprediksi kebutuhan pemeliharaan mesin, sudah beroperasi sebagai pengguna AI. Risikonya nyata: jika sistem inspeksi gagal mendeteksi cacat, produk cacat lolos ke konsumen. Jika prediksi pemeliharaan salah, mesin rusak di tengah jadwal produksi.

Dalam ISO 42001, pabrik sebagai pengguna AI harus mendokumentasikan prosedur override manusia, yaitu kapan dan bagaimana operator bisa mengesampingkan keputusan sistem AI. Kewajiban ini masuk dalam kontrol A.8.4 Annex A standar, yang secara spesifik mengatur mekanisme intervensi manusia.

Kesehatan: AI Pembaca Radiologi dan Pendukung Klinis

Penggunaan AI untuk membaca citra radiologi (CT scan, MRI, X-ray) sudah masuk ke beberapa rumah sakit besar di Indonesia. Risikonya langsung menyentuh keselamatan pasien: diagnosis yang tertunda atau keliru bisa berakibat fatal.

Untuk rumah sakit yang menggunakan AI dalam konteks klinis, ada beberapa kewajiban kunci yang diatur ISO 42001:

• AI System Impact Assessment (AIIA): penilaian dampak terhadap pasien, komunitas, dan masyarakat sebelum sistem digunakan secara operasional.
• Human override: dokter tetap punya otoritas final; prosedur tertulis harus menjelaskan kapan output AI boleh dikesampingkan.
• Pemantauan model drift: akurasi model AI bisa menurun seiring waktu jika pola data berubah.
• Audit internal berkala: bukan hanya sistem IT, tapi efektivitas pengawasan manusia terhadap output AI.

Perbankan dan Keuangan: Credit Scoring dan Deteksi Fraud

Bank yang menggunakan AI untuk credit scoring atau deteksi fraud mengambil keputusan yang berdampak langsung pada nasabah: kredit disetujui atau ditolak, transaksi diblokir atau diloloskan. Jika model bias, konsekuensinya bisa diskriminatif secara sistemik.

ISO 42001 mensyaratkan pengguna AI di sektor ini untuk mendokumentasikan supply chain AI mereka: vendor mana yang menyediakan model, data apa yang digunakan untuk melatihnya, dan mekanisme apa yang tersedia untuk audit. Kontrak dengan vendor AI harus mencakup klausul notifikasi insiden dan disclosure perubahan model.

Baca juga: ISO 42001 untuk Fintech dan Bank: Roadmap AI yang Bisa Diaudit

Logistik: Optimasi Rute dan Prediksi Permintaan

Perusahaan logistik yang memakai AI untuk optimasi rute pengiriman atau prediksi permintaan sudah menjadi bagian dari ekosistem AI. Jika model salah memprediksi permintaan, kelebihan atau kekurangan stok bisa terjadi secara masif dan sistemik di seluruh jaringan distribusi.

Baca juga: IMS 2025: Integrasi ISO 9001, 14001, 45001, 27001, dan 42001

Tiga Pertanyaan untuk Menentukan Apakah Perusahaan Anda Perlu ISO 42001

Jika sistem AI yang digunakan perusahaan Anda memengaruhi keputusan yang berdampak pada orang lain, keputusan itu tidak bisa diaudit dengan mudah, atau ada regulasi sektor yang mulai menyebut tata kelola AI, perusahaan sudah berada di posisi yang perlu mempersiapkan diri terhadap ISO 42001.

Langkah pertama adalah mendefinisikan peran dengan tepat dalam dokumen scope ISO 42001 (Klausul 4.3). Tanpa pemetaan peran yang jelas, perusahaan tidak tahu Annex A control mana yang berlaku untuk mereka.

Tiga pertanyaan pemicu yang bisa dipakai sebagai titik awal:

1. Apakah output AI memengaruhi keputusan yang berdampak pada orang lain? Credit scoring yang menentukan nasabah dapat kredit atau tidak, AI yang menyarankan diagnosis, atau sistem yang menentukan apakah produk lolos inspeksi adalah contoh nyata. Jika jawabannya ya, sistem ini masuk kategori berisiko tinggi dan butuh governance yang terdokumentasi.
2. Apakah ada orang yang bertanggung jawab jika sistem AI salah? Jika tidak ada prosedur tertulis tentang siapa yang merespons ketika model memberi output salah, dan apa langkah eskalasinya, perusahaan belum memiliki governance AI yang memadai, terlepas dari apakah mereka berniat sertifikasi ISO 42001 atau tidak.
3. Apakah vendor AI Anda memberikan disclosure yang cukup? Kontrak dengan vendor AI yang tidak mencakup notifikasi perubahan model, hak audit, atau pembatasan data dapat menempatkan perusahaan dalam posisi sulit ketika ada masalah. ISO 42001 Annex A.10 mengatur ketentuan kontrak minimum yang perlu ada.

Jika dua dari tiga pertanyaan ini jawabannya tidak pasti, itu tanda bahwa risk assessment AI yang lebih terstruktur sudah diperlukan.

ISO 42001 dan Sistem Manajemen yang Sudah Ada

Perusahaan yang sudah memiliki ISO 9001, ISO 27001, atau ISO 45001 tidak perlu membangun sistem manajemen AI dari nol. ISO 42001 memakai struktur Annex SL yang sama, sehingga klausul inti seperti konteks organisasi, kepemimpinan, audit internal, dan tinjauan manajemen bisa diintegrasikan ke dalam sistem yang sudah berjalan.

Organisasi yang sudah tersertifikasi ISO 27001 bisa menggunakan kembali sekitar 50-60% proses yang ada untuk implementasi ISO 42001. Keamanan informasi dan keamanan AI punya banyak irisan, terutama di area penilaian risiko, pengendalian akses, dan manajemen insiden.

Yang perlu ditambahkan secara spesifik untuk AI:

• AI register: inventaris semua sistem AI yang digunakan di organisasi, lengkap dengan nama vendor, fungsi, dan level risikonya.
• AI System Impact Assessment (AIIA): berbeda dari IT risk assessment karena mencakup dampak terhadap manusia dan masyarakat, bukan hanya dampak operasional.
• Statement of Applicability untuk 39 kontrol Annex A: mana yang berlaku, mana yang dikecualikan, dan alasannya.

Baca juga: ISO 42001 vs ISO 42005: Mana yang Dibutuhkan Organisasi AI?

Yang Paling Sering Terlewat: AI Inventory

Sebelum bicara sertifikasi, ada satu langkah paling dasar yang sering dilewati perusahaan non-teknologi: membuat inventaris sistem AI yang mereka gunakan.

Banyak perusahaan tidak menyadari seberapa banyak sistem AI yang sudah beroperasi di dalam organisasi mereka. ERP yang punya fitur prediksi permintaan, platform email dengan filter spam berbasis AI, software SDM dengan rekomendasi kandidat otomatis, kamera CCTV dengan pengenalan wajah, semuanya berpotensi masuk cakupan ISO 42001 tergantung bagaimana mereka digunakan dan apa dampak keputusannya.

Langkah pertama yang paling berguna: buat daftar semua sistem yang secara otomatis menghasilkan rekomendasi atau keputusan yang berdampak pada operasional, karyawan, atau pelanggan. Untuk setiap sistem, identifikasi apakah ada manusia yang secara aktif mengawasi dan bisa mengesampingkan output tersebut.

Dari daftar itu, klasifikasikan berdasarkan tingkat risiko. Sistem AI yang membantu memfilter spam email punya risiko berbeda dengan sistem yang menentukan apakah klaim asuransi disetujui. Tidak semua sistem butuh perlakuan yang sama.

Langkah Praktis Mulai dari AI Inventory

Jika perusahaan Anda sudah memakai AI tapi belum punya governance yang terdokumentasi, urutan berikut bisa dipakai sebagai peta jalan awal:

1. Petakan AI inventory dan klasifikasikan tiap sistem berdasarkan dampak keputusannya.
2. Tetapkan peran (producer, provider, user) dalam dokumen scope sesuai Klausul 4.3.
3. Susun AIIA untuk sistem berisiko tinggi lebih dulu, bukan semua sistem sekaligus.
4. Audit kontrak vendor AI terhadap ketentuan Annex A.10: notifikasi insiden, hak audit, perubahan model.
5. Tetapkan prosedur human oversight dan eskalasi untuk setiap sistem berisiko tinggi.

Perusahaan Anda sudah pakai AI tapi belum punya governance yang terdokumentasi? ICICERT dapat membantu mulai dari pemetaan AI inventory, penilaian kesiapan awal terhadap ISO 42001, hingga jalur sertifikasi yang sesuai dengan profil risiko organisasi Anda.

Diskusikan kesiapan ISO 42001 organisasi Anda dengan tim ICICERT

Baca juga: Sertifikasi ISO/IEC 42001:2023 untuk Organisasi yang Menggunakan AI

Baca juga: Training Awareness ISO/IEC 42001:202

FAQ: ISO 42001 untuk Perusahaan Non-Teknologi