Checklist Audit Tata Kelola AI di OPD: Data Pribadi, Verifikasi Jawaban, dan Human Review
Bukan sekadar memakai AI untuk audit, melainkan menilai bagaimana unit pemerintah mengendalikan risiko penggunaan AI.
Teknologi dapat membantu pekerjaan pengawasan, tetapi manfaatnya baru nyata apabila tujuan pemeriksaan, kualitas data, batas kewenangan, dan cara memeriksa hasil dijelaskan dengan baik. Panduan ArrezaMP ini memakai ilustrasi sintetis agar pembaca dapat memahami prinsipnya tanpa memakai informasi instansi atau dokumen pemeriksaan yang bersifat terbatas.
AI sebagai alat bantu audit berbeda dari AI sebagai objek audit
Sebuah Inspektorat dapat memakai AI untuk merangkum dokumen publik atau membantu menyusun daftar pertanyaan. Tetapi ketika sebuah OPD menggunakan chatbot untuk menjawab warga, AI untuk membantu memilah permohonan, atau layanan generatif untuk memproses naskah, muncul pertanyaan baru: siapa bertanggung jawab atas jawaban AI, data apa yang dikirim, dan bagaimana kekeliruan diperbaiki?
Artikel ini berfokus pada tata kelola penggunaan AI oleh organisasi yang diawasi, bukan panduan prompt untuk auditor. NIST AI RMF 1.0 dan profil AI generatif NIST AI 600-1 adalah kerangka referensi sukarela untuk mengelola risiko. Keduanya tidak otomatis menjadi kewajiban regulasi Indonesia. Ketentuan yang relevan secara hukum, termasuk pelindungan data pribadi, perlu dinilai sesuai penggunaan, kewenangan, dan yurisdiksi.
Langkah pertama: inventarisasi penggunaan AI
Kesalahan umum adalah langsung bertanya “apakah AI akurat?” tanpa mengetahui apa yang digunakan. Inventaris sederhana memuat nama aplikasi, pemilik proses, tujuan, kelompok pengguna, sumber data, penyedia, lokasi pemrosesan, keputusan yang dipengaruhi, pengawas manusia, dan tanggal persetujuan.
Penggunaan AI untuk merapikan materi publik berbeda risikonya dengan penggunaan AI yang menyaring permohonan berisi data pribadi. Inventaris membantu menentukan mana yang perlu penilaian prioritas tanpa menyamaratakan semua AI sebagai berbahaya atau aman.
Empat skenario OPD fiktif untuk latihan
| Kode | Use case fiktif | Data dan kontrol | Keputusan latihan |
|---|---|---|---|
| A01 | Meringkas materi edukasi publik | Dokumen publik, editor manusia dan sumber ditelusuri | Pilot terkontrol |
| A02 | Merangkum berkas pegawai | Data pribadi, dasar/proses persetujuan belum dipastikan | TUNDA |
| A03 | Chatbot jawaban layanan | Basis pengetahuan belum diverifikasi, jalur koreksi tidak ada | TUNDA |
| A04 | Menerjemahkan poster publik | Materi publik, reviewer bahasa dan pemilik konten | Pilot terkontrol |
Hasil latihan: dua contoh “TUNDA” dan dua “Pilot terkontrol”. Ini bukan klasifikasi risiko resmi. Dalam penggunaan nyata, keputusan dapat berubah setelah pengujian teknis, penilaian hukum, persetujuan pemilik proses, perjanjian vendor, dan pengendalian yang memadai.
Checklist 12 pertanyaan untuk diskusi audit tata kelola AI
| Area | Pertanyaan pemeriksaan | Bukti yang mungkin diperlukan |
|---|---|---|
| Inventaris | 1. Apakah semua use case AI terdaftar dan punya pemilik? | Register aplikasi/use case, penanggung jawab |
| Tujuan | 2. Masalah apa yang benar-benar diselesaikan AI? | Justifikasi kebutuhan, alternatif non-AI |
| Data | 3. Data apa yang diunggah, disimpan, atau dibagikan ke vendor? | Peta aliran data dan klasifikasi |
| Privasi | 4. Apa dasar dan kontrol pemrosesan data pribadi yang relevan? | Penilaian kepatuhan, kebijakan dan perjanjian |
| Vendor | 5. Bagaimana retensi, lokasi, dan penggunaan ulang data oleh penyedia? | Ketentuan layanan, kontrak dan konfigurasi |
| Akses | 6. Siapa boleh mengubah model, prompt sistem, atau sumber jawaban? | Matriks role, persetujuan perubahan |
| Akurasi | 7. Bagaimana jawaban diuji terhadap sumber yang sah? | Set uji, penilaian manusia, catatan salah jawab |
| Bias | 8. Apakah dampak keliru pada kelompok pengguna dipertimbangkan? | Analisis risiko dan pengujian kasus batas |
| Manusia | 9. Keputusan mana wajib diperiksa/dapat dibatalkan manusia? | Alur approval dan eskalasi |
| Transparansi | 10. Apakah pengguna diberi tahu peran AI dan keterbatasannya? | Informasi layanan dan kanal koreksi |
| Log | 11. Apakah keputusan, versi prompt/model, dan perubahan tercatat secara proporsional? | Log terotorisasi dan kebijakan retensi |
| Insiden | 12. Apa prosedur saat AI memberi jawaban salah atau membocorkan data? | SOP respons, tiket, dokumentasi pemulihan |
Ini daftar pertanyaan edukatif yang dapat disesuaikan, bukan instrumen audit wajib atau bukti kepatuhan dengan sendirinya. Pencatatan log juga harus memperhatikan minimisasi data; jangan menyimpan semua prompt selamanya tanpa dasar.
Contoh pengujian jawaban AI yang dapat dipelajari pemula
Gunakan tiga pertanyaan buatan tentang layanan fiktif dengan basis pengetahuan yang sudah disetujui. Misalnya: (1) jam operasional contoh, (2) biaya layanan contoh, (3) cara koreksi bila dokumen tidak lengkap. Tuliskan jawaban referensi dari sumber simulasi dan bandingkan dengan jawaban AI.
- Definisikan sumber rujukan. Siapkan teks contoh yang jelas; jangan mengandalkan ingatan model.
- Catat prompt dan konfigurasi. Versi tanggal, konteks sumber, serta batas data sintetis yang digunakan.
- Periksa isi jawaban. Beri label SESUAI, TIDAK SESUAI, atau TIDAK DAPAT DIVERIFIKASI; lampirkan kalimat sumber yang relevan.
- Uji ketidakpastian. Beri pertanyaan yang jawabannya tidak terdapat pada sumber. Respons aman menyatakan keterbatasan atau merujuk petugas, bukan mengarang prosedur.
- Dokumentasikan dampak dan tindak lanjut. Bedakan salah format dari jawaban yang dapat merugikan pengguna; pertimbangkan penghentian atau eskalasi apabila risiko tidak terkendali.
Tanpa menjalankan model dan membandingkan hasil aktual dengan set uji, jangan menulis “AI lulus pengujian”. Artikel ini hanya menyediakan rancangan metode uji. Pengujian pada sistem OPD yang sebenarnya memerlukan persetujuan tersendiri.
Siapa bertanggung jawab saat AI membuat kesalahan?
Organisasi tetap membutuhkan peran yang jelas: pemilik layanan, pengelola data, petugas yang memverifikasi, administrator teknologi, fungsi risiko/kepatuhan, dan mekanisme pengaduan. Tanggung jawab tidak hilang hanya karena jawaban dihasilkan vendor atau model generatif. Desain kontrol sebaiknya mempertimbangkan risiko nyata, bukan hanya slogan “human in the loop”.
Pengawasan manusia perlu berarti sesuatu yang dapat ditunjukkan: reviewer mendapat sumber, wewenang mengoreksi atau menolak, waktu cukup, dan jejak keputusan. Tombol “Setuju” tanpa materi pendukung tidak otomatis menghasilkan validasi bermutu.
FAQ audit tata kelola AI di OPD
Apakah penggunaan AI di OPD selalu dilarang?
Tidak dapat disimpulkan demikian. Penilaian harus berdasarkan tujuan, jenis data, kontrol, kewenangan, ketentuan layanan, dan regulasi yang berlaku.
Apakah NIST AI RMF adalah aturan wajib di Indonesia?
Tidak. NIST menyatakan AI RMF merupakan kerangka sukarela. Ia dapat menjadi inspirasi tata kelola, tetapi pemeriksaan kepatuhan hukum memerlukan rujukan Indonesia yang relevan.
Apakah hasil AI dapat langsung menjadi bukti audit?
Jangan mengandalkan output AI tanpa asal sumber, pemeriksaan manusia, keterlacakan, dan prosedur pembuktian yang sesuai mandat audit.
Referensi resmi dan bacaan terkait
Peraturan berikut digunakan untuk memahami konteks hukum yang relevan, sedangkan panduan internasional dipakai sebagai rujukan konsep teknis dan tidak otomatis menjadi kewajiban bagi seluruh OPD. Periksa perubahan regulasi dan keputusan lembaga berwenang sebelum penerapan pada kegiatan nyata.
- NIST AI Risk Management Framework 1.0
Kerangka kerja sukarela, bukan hukum Indonesia - NIST AI 600-1 — Generative AI Profile (2024)
Panduan teknis sukarela, bukan hukum Indonesia - UU Nomor 27 Tahun 2022 — Pelindungan Data Pribadi
Regulasi nasional - Peraturan BSSN Nomor 4 Tahun 2021 — Manajemen Keamanan Informasi SPBE
Regulasi nasional
Pelajari juga di ArrezaMP
Diteliti pada 12 November 2026. Semua contoh angka, akun, dokumen, transaksi, dan organisasi bersifat sintetis. Penghitungan ekspektasi diperiksa secara statis; tidak ada uji runtime Excel, akses aplikasi pemerintahan, audit operasional atau publikasi yang dilakukan ketika menyiapkan draf ini.
Belajar teknologi pengawasan tanpa melompati verifikasi, privasi, dan kewenangan. Kunjungi Knowledge Hub Inspektorat & PPUPD untuk membaca materi dasar dan lanjutan.
0 Komentar