Sektor Jasa Keuangan dan Korporasi Indonesia Terancam Denda 2 Persen dari Pendapatan Saat Aturan AI Mulai Ditegakkan. Sebagian Besar Belum Mampu Membuktikan Apa yang Dikerjakan AI Mereka

JAKARTA. Tata kelola AI di Indonesia bergeser dari sekadar panduan menjadi penegakan pada tahun ini. Masa transisi Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) berakhir pada Oktober 2024. Regulator kini aktif melakukan audit, dan sanksi denda hingga 2 persen dari pendapatan tahunan, ditambah ancaman pidana hingga enam tahun penjara, berlaku bagi setiap organisasi yang memproses data pribadi di Indonesia, tanpa memandang sektor.

Sektor jasa keuangan memikul pengawasan sektoral tambahan di atas ketentuan tersebut. Pada April 2025, Otoritas Jasa Keuangan (OJK) menerbitkan AI Governance Handbook bagi perbankan Indonesia, yang menetapkan siklus hidup AI dalam enam tahap dan menilainya berdasarkan tiga prinsip: akuntabilitas, pengawasan manusia, dan keandalan. Peraturan OJK Nomor 1 Tahun 2026 tentang tata kelola teknologi informasi bagi bank umum mulai berlaku pada Maret lalu. Sementara itu, rancangan Peraturan Presiden tentang Etika dan Keamanan AI, yang diperkirakan ditandatangani tahun ini dan berlaku lintas sektor ekonomi, akan memperkenalkan registri model AI nasional serta kewajiban penilaian risiko bagi sistem berisiko tinggi. Bank Indonesia mengawasi penggunaan AI pada sistem pembayaran, Komdigi menegakkan kewajiban pendaftaran PSE dan aturan lokalisasi data berdasarkan PP 71/2019, dan BSSN menetapkan standar keamanan siber.

Hasilnya, setiap perusahaan memikul eksposur UU PDP, sementara lembaga keuangan berhadapan dengan sedikitnya empat regulator tambahan yang masing-masing memiliki kewenangan penegakan tersendiri atas sistem AI yang sama.

Pada saat yang sama, eksposurnya sudah berskala besar. BSSN mencatat 3,64 miliar serangan siber dan lebih dari 56 juta data terekspos yang berdampak pada 461 organisasi. Secara global, 68 persen perusahaan melaporkan keberadaan Shadow AI, yaitu penggunaan perangkat AI oleh karyawan tanpa persetujuan tim IT, dan sebagian besar di antaranya tidak mampu menyediakan jejak audit yang sewaktu-waktu diminta regulator.

Perusahaan kini menghadapi kesenjangan dua sisi yang juga terlihat di negara lain di kawasan, dan diperuncing oleh lanskap multiregulator Indonesia. Di satu sisi, mereka tidak dapat membuktikan kepada Komdigi, atau bagi perbankan juga kepada OJK dan Bank Indonesia, bahwa sistem AI mereka memenuhi standar yang diharapkan masing-masing otoritas. Di sisi lain, mereka tidak dapat melihat risiko AI yang terbentuk di dalam perimeter mereka sendiri dengan cukup cepat untuk mendahului tenggat notifikasi insiden 72 jam.

Veranthios menjawab keduanya. Platform ini menemukan perangkat dan agen AI yang beroperasi di seluruh organisasi, baik yang telah disetujui maupun tidak. Seiring perusahaan mengadopsi AI agentik, Veranthios dirancang untuk menata kelolanya pada lapisan protokol (MCP dan A2A) sehingga dapat membakukan apa yang sebenarnya dikerjakan setiap agen, koneksi yang dimilikinya, dan topologi multiagen yang terbentuk di antaranya: melampaui pemeriksaan lapisan identitas yang selama ini menjadi batas sebagian besar perangkat tata kelola. Setiap klaim kepatuhan dibuktikan melalui bukti berpenanda kriptografis yang mengungkap setiap upaya manipulasi, bukan sekadar log yang masih dapat diubah. Veranthios memetakan bukti tersebut langsung ke AI Governance Handbook OJK dan UU PDP, di samping cakupan bawaan untuk kerangka utama lain di kawasan: MAS FEAT (Singapura), IMDA AI Verify (Singapura), BNM RMiT (Malaysia), panduan METI/FSA Jepang, ISO/IEC 42001, dan EU AI Act. Dengan demikian, satu paket bukti dapat memenuhi kebutuhan seluruh regulator tempat perusahaan melapor di kawasan Asia Pasifik.

Tata kelola tidak berhenti pada tahap penerapan. Veranthios menjalankan pemantauan risiko berkelanjutan atas setiap sistem dan agen AI di lingkungan produksi: deteksi drift secara real-time, observabilitas saat runtime, serta guardrail otomatis yang menilai risiko secara terus-menerus, bukan hanya pada satu titik waktu audit. Ketika perilaku, akses data, atau koneksi protokol suatu agen bergeser keluar dari batas yang disetujui, Veranthios menandai dan mendokumentasikannya saat itu juga. Paket bukti pun sudah tersusun dan siap disampaikan kepada regulator jauh sebelum tenggat notifikasi insiden 72 jam yang diwajibkan UU PDP, bukan disusun terburu-buru setelah kejadian.

Untuk menghadirkan solusi ini bagi perusahaan Indonesia, Veranthios menggandeng PT Digivla Indonesia yang berbasis di Jakarta Selatan, memadukan platform tata kelola Veranthios dengan keahlian Digivla di bidang regulasi dan implementasi di pasar jasa keuangan dan korporasi Indonesia.

"Arah regulasi di Indonesia kini sudah sangat jelas. Tantangannya bukan lagi memahami apa yang diwajibkan aturan, melainkan membuktikan, kapan pun diminta, bahwa sistem AI perusahaan berjalan secara berkelanjutan di dalam koridor tersebut. Banyak organisasi masih belum memiliki visibilitas menyeluruh atas penggunaan AI, terlebih ketika AI agentik makin banyak dipakai. Kemitraan kami dengan Veranthios memungkinkan perusahaan Indonesia menerapkan tata kelola AI dengan bukti yang dapat diverifikasi, sehingga memperkuat kepatuhan, menekan risiko operasional, dan mempercepat adopsi AI yang bertanggung jawab," ujar Reza Maulana, Direktur Utama PT Digivla Indonesia.

Veranthios kini tersedia di Indonesia melalui PT Digivla Indonesia.