Tata Kelola AI: NIST AI RMF, Cyber AI Profile, dan ISO/IEC 42001

ISO 42001 (ISO/IEC 42001:2023) adalah standar sistem manajemen AI dari ISO yang dapat dipakai untuk sertifikasi pihak ketiga, dan kini berdampingan dengan NIST AI RMF serta draf Cyber AI Profile dari NIST sebagai titik awal tata kelola AI. Artikel ini memetakan ketiganya per 29 Oktober 2026, apa bedanya, dan bagaimana organisasi di Indonesia bisa memulai tanpa menunggu regulasi.

Apa yang berubah dalam tata kelola AI

Pemakaian AI di organisasi tumbuh lebih cepat daripada aturan internalnya. Karyawan memakai asisten AI, tim produk menanam model ke aplikasi, dan vendor menambahkan fitur AI tanpa pemberitahuan. Tata kelola AI (AI governance) adalah jawaban terstruktur atas pertanyaan sederhana: siapa yang boleh memakai AI untuk apa, dengan data apa, dan siapa yang bertanggung jawab bila salah. Tiga rujukan yang paling sering disebut saat ini bersifat sukarela, tetapi dapat dipakai sebagai acuan dalam pengadaan dan audit pelanggan.

Dua rujukan NIST: AI RMF dan Cyber AI Profile

NIST AI RMF: kerangka risiko yang fleksibel

NIST AI Risk Management Framework 1.0 dirilis pada 26 Januari 2023. Kerangka ini tidak bisa disertifikasi. Ia memberi struktur untuk mengelola risiko AI melalui empat fungsi: Govern, Map, Measure dan Manage. Menurut halaman resmi NIST, AI RMF 1.0 sedang direvisi sebagai bagian dari Rencana Aksi AI Gedung Putih, dan halaman itu belum mencantumkan draf maupun jadwal revisinya. Pendamping yang sudah ada adalah Generative AI Profile (NIST-AI-600-1) tertanggal 26 Juli 2024, serta sebuah concept note untuk profil AI tepercaya di infrastruktur kritis pada 7 April 2026.

Cyber AI Profile (NIST IR 8596): sisi keamanan sibernya

Pada 16 Desember 2025, NCCoE di NIST merilis draf awal NIST IR 8596, "Cybersecurity Framework Profile for Artificial Intelligence", dengan masa komentar hingga 30 Januari 2026 (pengumuman NIST). Profil ini terbagi dalam tiga area fokus:

• Secure: mengamankan komponen sistem AI.
• Defend: memakai AI untuk pertahanan siber.
• Thwart: menangkal serangan yang memanfaatkan AI.

NIST juga menyebut proyek overlay kontrol SP 800-53 untuk mengamankan sistem AI (COSAiS). Dokumen 16 Desember 2025 itu berstatus initial preliminary draft; NIST menggelar sesi kerja virtual pada April dan Mei 2026, dan per 29 Oktober 2026 halaman resminya belum memuat initial public draft maupun versi final. Jadi perlakukan isinya sebagai draf yang masih bisa berubah. Untuk memahami ancaman konkretnya, baca OWASP Top 10 untuk Agentic AI dan LLM.

ISO/IEC 42001: standar yang bisa disertifikasi

ISO/IEC 42001 terbit pada 18 Desember 2023 dan menetapkan persyaratan sistem manajemen AI (AIMS) dengan pola sistem manajemen ISO yang akrab bagi pengguna ISO 27001: konteks, kepemimpinan, perencanaan risiko, operasi, evaluasi, dan perbaikan berkelanjutan. Tanggal terbit 42001, 42005 dan 42006 di bawah ini sesuai katalog resmi ISO, sedangkan status lainnya menurut rangkuman GAICC, lembaga pelatihan tata kelola AI, yang diperbarui 12 Oktober 2026:

• ISO/IEC 42001 adalah satu-satunya standar yang dapat disertifikasi dalam keluarga ini.
• ISO/IEC 42005:2025 (asesmen dampak sistem AI, terbit 28 Mei 2025) adalah panduan, bukan standar sertifikasi.
• ISO/IEC 42006:2025 (persyaratan lembaga sertifikasi, terbit 7 Juli 2025) mengatur badan yang menerbitkan sertifikat.
• ISO/IEC 42105 (pengawasan manusia) dan 24970 (pencatatan log sistem AI) memasuki pemungutan suara tahap akhir (FDIS) yang dibuka akhir Agustus 2026 dan belum terbit.
• Adopsi Eropa, EN ISO/IEC 42001:2026, disetujui CEN pada 13 Maret 2026 tanpa modifikasi teks.

Satu catatan penting dari sumber yang sama: per September 2026, EN ISO/IEC 42001 belum dirujuk sebagai standar harmonisasi di bawah EU AI Act. Artinya sertifikasi 42001 bersifat sukarela dan tidak otomatis memenuhi kewajiban hukum AI Act. Jadwal terbaru regulasi itu dibahas di EU AI Act 2026.

Cara memilih ISO 42001, NIST AI RMF, dan Cyber AI Profile

Ketiganya tidak saling menggantikan. Cara pandang yang praktis:

• NIST AI RMF cocok sebagai bahasa umum untuk mengidentifikasi dan mengelola risiko, tanpa audit sertifikasi.
• Cyber AI Profile membantu tim keamanan menerjemahkan risiko AI ke kontrol siber yang bisa diaudit.
• ISO 42001 cocok bila pelanggan atau regulator menginginkan bukti pihak ketiga bahwa Anda memiliki sistem manajemen AI yang berjalan.

Yang bisa dilakukan organisasi di Indonesia sekarang

1. Buat inventaris AI. Catat semua pemakaian AI: alat yang dibeli, fitur AI pada produk vendor, model internal, dan pemakaian pribadi karyawan yang menyentuh data kantor.
2. Tetapkan pemilik dan kebijakan. Tentukan penanggung jawab, kebijakan pemakaian yang dapat diterima, dan aturan data yang boleh dikirim ke layanan AI eksternal.
3. Nilai risiko dan dampak. Mulai dari kasus pemakaian berisiko tinggi, seperti keputusan yang memengaruhi orang atau data pribadi. Kaitkan dengan kewajiban pelindungan data pribadi dan pantau status regulasi AI Indonesia.
4. Terapkan kontrol keamanan dasar. Akses berbasis peran, pengelolaan kunci API, pencatatan log, pengujian terhadap prompt injection dan kebocoran data, serta evaluasi vendor.
5. Uji dan tinjau. Lakukan pengujian berkala dan latih tim. Baru setelah itu pertimbangkan sertifikasi ISO 42001 bila ada kebutuhan bisnis yang jelas.

Risiko dan peluang

Risikonya adalah menjadikan sertifikat sebagai tujuan: dokumen lengkap tetapi praktik di lapangan tidak berubah. Peluangnya, organisasi yang sudah memiliki sistem manajemen keamanan informasi dapat memperluasnya ke AI dengan biaya lebih rendah daripada memulai dari nol, dan mendapat bahasa yang sama dengan mitra global.

Kesalahan yang sering terjadi

• Membatasi tata kelola pada tim data. Risiko AI melibatkan hukum, keamanan, SDM, dan unit bisnis, jadi pemilik risikonya tidak boleh hanya satu tim.
• Melupakan AI milik vendor. Fitur AI yang ditambahkan ke aplikasi SaaS yang sudah Anda pakai memperluas aliran data tanpa proses pengadaan baru.
• Mengabaikan pengujian keamanan. Kebijakan yang baik tidak menghentikan prompt injection atau kebocoran kunci API. Keduanya perlu pengujian teknis, seperti yang dibahas di artikel kebocoran kunci API AI.

Pertanyaan yang Sering Diajukan

Apakah ISO 42001 wajib bagi perusahaan di Indonesia?

Tidak. Ini standar sukarela. Yang bisa mewajibkannya adalah pelanggan, mitra, atau pengadaan tertentu, bukan standar itu sendiri.

Apakah NIST AI RMF bisa disertifikasi?

Tidak. Kerangka ini bersifat sukarela dan tidak ada sertifikasinya. Hanya ISO/IEC 42001 yang dapat disertifikasi dalam keluarga standar AI ISO.

Apakah sertifikasi 42001 cukup untuk EU AI Act?

Belum tentu. Menurut rangkuman GAICC, per September 2026 standar itu belum dirujuk sebagai standar harmonisasi AI Act, jadi tidak otomatis memberi praduga kesesuaian.

Kesimpulan

Mulailah dari inventaris dan kepemilikan, pakai NIST AI RMF dan Cyber AI Profile sebagai kerangka risiko, dan ambil ISO 42001 bila Anda butuh sertifikasi. Jika tim Anda perlu membangun kompetensi keamanan AI dan tata kelola, Linuxhackingid menyediakan program pelatihan yang dapat disesuaikan dengan kebutuhan organisasi.