Pembahasan ISO/IEC 42001 sering dimulai dari pertanyaan tentang sertifikasi. Bagi organisasi yang sedang membangun kemampuan AI, pertanyaan awal yang lebih mendasar adalah bagaimana penggunaan AI dikelola secara konsisten. Siapa menetapkan tujuan, bagaimana risiko ditelaah, dan apa yang terjadi ketika praktik tidak sesuai kebijakan? Sistem manajemen membantu menghubungkan pertanyaan tersebut dengan tanggung jawab serta proses organisasi. Disiplin pengelolaan perlu dibangun sebelum mengejar pengakuan formal. Sertifikasi, jika relevan dan dipilih, menjadi keputusan tersendiri setelah ruang lingkup, kesiapan, dan kebutuhan organisasi dipahami.
Pahami tujuan dan batas standar
ISO menjelaskan ISO/IEC 42001:2023 sebagai standar persyaratan untuk membentuk, menerapkan, memelihara, dan memperbaiki sistem manajemen AI [1]. Edisi pertama diterbitkan pada 2023. Fokusnya adalah cara organisasi mengelola AI, bukan persetujuan otomatis untuk setiap aplikasi atau keluaran. Rekomendasi editorial kami adalah memulai dari tujuan penerapan: konsistensi pengawasan, kejelasan tanggung jawab, atau kebutuhan penilaian tertentu. Hindari menganggap sebuah sertifikat dapat menggantikan pengujian sistem, penilaian dampak, dan pemeriksaan hukum. Pembahasan rinci persyaratan memerlukan akses pada standar resmi; artikel ini memberi orientasi manajerial dan tidak menyajikan daftar lengkap klausul atau panduan audit sertifikasi.
Tentukan ruang lingkup yang dapat dikelola
Organisasi perlu memahami penggunaan AI yang hendak masuk ruang lingkup, unit terkait, serta hubungan dengan penyedia. Ruang lingkup yang terlalu luas dapat mengaburkan pemilik dan bukti pelaksanaan. Ruang lingkup terlalu sempit dapat mengabaikan keterkaitan antarpekerjaan penting seperti data, keputusan pengguna, atau layanan pihak ketiga. Petakan bagaimana kebijakan AI berhubungan dengan pengelolaan risiko, keamanan informasi, pengadaan, dan operasi yang sudah ada. Gunakan mekanisme internal yang masih relevan sebelum menambah forum baru. Pimpinan perlu mengetahui sumber daya serta perubahan kebiasaan kerja yang diperlukan, sehingga penerapan tidak berhenti pada dokumentasi yang sulit dijalankan.
Cari bukti bahwa kebijakan dijalankan
Rancangan kebijakan perlu diterjemahkan menjadi kegiatan yang dapat ditelusuri. Misalnya, ketika penggunaan baru diusulkan, ada pemilik kebutuhan, penilaian risiko, persetujuan, dan alasan keputusan. Ketika sistem berubah, ada catatan perubahan serta peninjauan kontrol. Ketika terjadi kesalahan, ada penanganan, tindak lanjut, dan pembelajaran. Ini merupakan contoh rekomendasi editorial tentang bukti praktik, bukan daftar persyaratan standar yang lengkap. Dokumen kosong atau template yang belum digunakan tidak menunjukkan pengelolaan telah berjalan. Wawancarai pengguna dan pemilik proses untuk memahami apakah tanggung jawab diketahui serta hambatan dapat disampaikan. Ketidaksesuaian yang ditemukan perlu mempunyai pemilik perbaikan dan waktu peninjauan.
Hubungkan risiko teknis dengan keputusan manajemen
Kualitas model, penggunaan data, perubahan penyedia, dan ketergantungan operasional memerlukan pembahasan lintas fungsi. NIST AI RMF menyediakan perspektif pengelolaan risiko melalui govern, map, measure, dan manage [2]. Kedua acuan memiliki fungsi berbeda dan perlu dipilih sesuai kebutuhan; menyebut keduanya tidak membuktikan bahwa suatu sistem memenuhi seluruh persyaratan. Buat informasi risiko dapat dipakai pimpinan: jelaskan dampak, bukti, pemilik, pilihan mitigasi, dan risiko tersisa. Tim teknis tetap perlu memeriksa sistem sesuai konteksnya. Jika data pribadi diproses, fungsi hukum menelaah kewajiban yang relevan. Sistem manajemen memperjelas alur tanggung jawab, tetapi tidak menggantikan keahlian penilaian tersebut.
Pisahkan kesiapan dari keputusan sertifikasi
Tanyakan alasan organisasi mempertimbangkan sertifikasi, ruang lingkup yang diinginkan, serta sumber daya untuk menjaga praktik setelah penilaian. Kebutuhan tersebut berbeda dari menyusun kebijakan awal. Sertifikasi, bila dipilih, melibatkan lembaga sertifikasi sesuai prosesnya; konsultansi tidak menjamin hasil atau kepatuhan hukum. Langkah awal yang dapat dilakukan adalah membuat inventori penggunaan, memeriksa kepemilikan, dan mengumpulkan contoh bukti pelaksanaan yang sudah tersedia. Layanan Tata Kelola & Risiko AI membantu merancang peran, kebijakan, kontrol, daftar risiko, dan mekanisme pengawasan dengan ISO/IEC 42001 sebagai salah satu acuan relevan. Pelaksanaan sistem manajemen serta pemeliharaan berkelanjutan tetap membutuhkan tanggung jawab organisasi.