Penggunaan AI generatif seperti ChatGPT, LLM, dan AI copilots kini meluas di sektor keuangan dan korporasi, menghadirkan peluang besar untuk inovasi dan efisiensi.

Namun, perkembangan ini juga membawa risiko signifikan, termasuk bias algoritma, kebocoran data sensitif, hallucination, serangan siber, dan tantangan kepatuhan terhadap regulasi.

Untuk mengelola risiko ini dengan disiplin, ISACA mendorong penggunaan COBIT sebagai kerangka AI governance. Dengan pendekatan ini, perusahaan dapat menghindari trial-and-error, menjaga keamanan, dan memastikan AI generatif memberikan nilai bisnis yang optimal.

Artikel ini akan membahas 6 langkah praktis berbasis COBIT agar implementasi AI generatif tetap aman, patuh regulasi, dan dapat dipercaya oleh semua pemangku kepentingan.

Mengapa COBIT Relevan untuk AI Governance?

COBIT adalah framework global yang digunakan untuk IT governance, dengan fokus utama pada keselarasan antara tujuan bisnis dan teknologi informasi, pengelolaan risiko, serta kontrol internal. Framework ini sudah terbukti membantu organisasi besar mengelola TI secara terstruktur dan aman.

Penggunaan AI generatif seperti ChatGPT dan model besar lainnya menghadirkan risiko baru yang unik, termasuk bias, kebocoran data sensitif, dan potensi kesalahan dalam pengambilan keputusan. Risiko-risiko ini memerlukan kerangka kerja yang terbukti, bukan hanya pendekatan trial-and-error.

Prinsip COBIT seperti Value Delivery, Risk Optimization, dan Resource Optimization dapat diterapkan untuk AI. Artinya, perusahaan bisa memastikan bahwa penerapan AI memberikan manfaat bisnis, mengelola risiko secara efektif, dan mengoptimalkan penggunaan sumber daya tanpa mengorbankan keamanan atau kepatuhan.

Dengan demikian, COBIT bukan hanya relevan, tapi menjadi fondasi strategis bagi organisasi untuk mengatur AI governance secara disiplin dan terpercaya.

Baca juga : 7 Alasan COBIT Penting untuk Tata Kelola AI di 2025

Risiko Utama Model Generatif di Produksi

Penggunaan AI generatif di lingkungan produksi membawa berbagai risiko yang harus diperhatikan oleh perusahaan. Salah satunya adalah hallucination atau keluaran yang tidak akurat, yang dapat menyebabkan keputusan bisnis salah dan merusak reputasi organisasi.

Selain itu, bias dan diskriminasi dalam model AI bisa menimbulkan masalah etika dan hukum, terutama jika keputusan otomatis memengaruhi pelanggan atau karyawan. Risiko ini menjadi perhatian utama bagi regulator dan auditor.

Kebocoran data sensitif atau IP leakage juga menjadi ancaman nyata. Data training atau hasil model yang tidak terlindungi dengan baik dapat tersebar, merugikan perusahaan dan individu terkait.

Serangan siber juga meningkat, termasuk prompt injection dan data poisoning, yang dapat merusak integritas model atau mengekspos informasi internal.

Terakhir, kepatuhan terhadap regulasi seperti GDPR, UU PDP Indonesia, OJK IT Risk, dan EU AI Act menjadi faktor penting. Tanpa pengelolaan yang tepat, organisasi berisiko terkena sanksi hukum dan kehilangan kepercayaan stakeholder.

Prinsip COBIT yang Bisa Diterapkan untuk AI

COBIT menyediakan kerangka kerja yang struktur dan komprehensif untuk mengatur AI governance. Dengan prinsip-prinsipnya, perusahaan bisa mengelola risiko AI secara sistematis dan memastikan operasional tetap aman.

1. EDM (Evaluate, Direct, Monitor) memastikan dewan atau manajemen puncak secara aktif mengawasi strategi dan implementasi AI, termasuk risiko dan kepatuhan.
2. APO (Align, Plan, Organize) membantu organisasi menyusun kebijakan AI dan strategi manajemen risiko, sehingga proyek AI selaras dengan tujuan bisnis dan regulasi.
3. BAI (Build, Acquire, Implement) menetapkan standar dalam pengembangan dan implementasi AI, mulai dari desain model hingga deployment, termasuk kontrol kualitas dan validasi.
4. DSS (Deliver, Service, Support) fokus pada keamanan operasional AI, termasuk monitoring, pemeliharaan, dan respons terhadap insiden.
5. MEA (Monitor, Evaluate, Assess) mendukung audit dan evaluasi risiko AI secara berkelanjutan, sehingga setiap penyimpangan atau potensi risiko bisa segera ditangani.

Dengan menerapkan prinsip-prinsip ini, COBIT menjadi fondasi yang kuat untuk AI governance, membantu organisasi tetap patuh regulasi, aman, dan menghasilkan nilai bisnis.

6 Langkah Menggunakan COBIT untuk AI Governance

1. Penetapan Tata Kelola dan Akuntabilitas

Mulailah dengan membentuk komite AI governance yang bertanggung jawab atas seluruh penggunaan AI di organisasi. Tentukan peran kunci seperti Chief Data Officer (CDO), Chief Information Officer (CIO), dan Chief AI Ethics Officer untuk memastikan kepatuhan, etika, dan keberlanjutan AI secara menyeluruh.

2. Identifikasi dan Penilaian Risiko AI

Lakukan pemetaan risiko menggunakan risk taxonomy, mencakup bias, privasi data, kepatuhan regulasi, dan ancaman siber. Gunakan NIST AI Risk Management Framework (2023) untuk menilai dan mengontrol risiko secara sistematis.

3. Integrasi Kebijakan dan Prosedur AI

Kembangkan prosedur operasi standar (SOP) untuk penggunaan AI di produksi, memastikan setiap proses konsisten dan aman. Terapkan kebijakan data dan keamanan untuk melindungi informasi sensitif dan mencegah kebocoran.

4. Kontrol Teknis dan Operasional

Pastikan model AI divalidasi secara berkala dan gunakan pendekatan human-in-the-loop untuk keputusan kritis. Terapkan proteksi terhadap serangan, termasuk prompt injection dan data poisoning.

5. Monitoring, Audit, dan Transparansi

Lakukan audit rutin untuk menilai akurasi, fairness, dan kepatuhan model AI terhadap regulasi. Sediakan dashboard yang dapat diakses manajemen dan regulator untuk memantau performa AI secara real-time.

6. Continuous Improvement dan Learning

Ciptakan mekanisme feedback loop untuk memperbarui model, mitigasi bias, dan mendokumentasikan insiden. Benchmark praktik AI terhadap standar global agar organisasi selalu mengikuti best practice terkini.

Tren Terkini AI Governance di Industri

Industri global semakin fokus pada regulasi dan praktik governance AI. Salah satu yang paling menonjol adalah AI Act Eropa 2025, yang menetapkan aturan ketat bagi AI berisiko tinggi (high-risk AI) untuk melindungi konsumen dan mencegah penyalahgunaan.

Audit AI juga berkembang menjadi lebih otomatis melalui pipeline MLOps, yang memungkinkan perusahaan melakukan continuous AI audit tanpa mengganggu operasional. Pendekatan ini membantu memantau performa, akurasi, dan kepatuhan model secara berkelanjutan.

Selain itu, Explainable AI (XAI) menjadi kebutuhan bagi regulator dan investor. Model AI yang transparan dan dapat dijelaskan meningkatkan kepercayaan pengguna serta mempermudah audit.

Muncul juga AI Assurance Services, yaitu layanan audit independen yang menilai risiko, akurasi, dan kepatuhan model AI. Tren ini menunjukkan bahwa governance AI kini tidak hanya tanggung jawab internal, tetapi juga diperkuat melalui pihak eksternal profesional.

Studi Kasus Penerapan COBIT untuk AI Governance

Beberapa organisasi global telah berhasil menggunakan COBIT untuk mengelola risiko AI generatif. Sebagai contoh, bank internasional menerapkan COBIT untuk memastikan compliance pada chatbot AI yang digunakan dalam layanan nasabah, sehingga interaksi tetap aman dan sesuai regulasi.

Di sektor fintech, beberapa perusahaan memanfaatkan EDM dan APO COBIT untuk menilai risiko AI generatif yang digunakan dalam scoring kredit. Dengan pendekatan ini, risiko bias, kesalahan keputusan, dan kebocoran data dapat diminimalkan.

Pelajaran utama dari studi kasus ini adalah bahwa tanpa governance yang jelas, penggunaan AI dapat menimbulkan kerugian reputasi dan hukum yang signifikan. Penerapan COBIT memberikan kerangka yang disiplin untuk mitigasi risiko sekaligus memastikan nilai bisnis dari AI tetap optimal.

Kuasai Tata Kelola AI dengan COBIT 2019

Pelajari cara mengaplikasikan kerangka kerja COBIT 2019 untuk mengelola risiko dan memaksimalkan nilai AI generatif di organisasi Anda. Pelajari Selengkapnya tentang Pelatihan COBIT 2019

Checklist Persiapan AI Governance untuk Board & Manajemen

Sebelum mengimplementasikan AI generatif, penting bagi board dan manajemen untuk memastikan beberapa aspek governance telah terpenuhi.

• Apakah perusahaan memiliki AI governance policy yang formal dan terdokumentasi? Kebijakan ini menjadi dasar seluruh keputusan terkait AI.
  
• Apakah risiko AI sudah dimasukkan ke Enterprise Risk Management (ERM)? Integrasi ini memastikan risiko AI dipantau bersama risiko bisnis lainnya.
  
• Apakah dilakukan audit AI berkala sesuai standar COBIT dan ISACA? Audit rutin membantu menjaga akurasi, fairness, dan kepatuhan model.
  
• Apakah vendor AI telah dievaluasi dalam konteks third-party risk management? Evaluasi ini mengurangi risiko dari pihak eksternal.
  
• Apakah transparansi model (explainability) telah disiapkan untuk regulator dan stakeholder? Hal ini meningkatkan kepercayaan dan mempermudah audit.
  

Checklist ini membantu memastikan organisasi siap menghadapi risiko AI sekaligus memaksimalkan nilai bisnis dari teknologi generatif.

Peran ITGID dalam Mendukung AI Governance

ITGID menyediakan pelatihan dan sertifikasi yang membantu organisasi menerapkan COBIT dan AI governance secara efektif. Program ini dirancang untuk meningkatkan kapabilitas digital serta mendukung penerapan AI yang aman dan patuh regulasi.

Beberapa pelatihan utama ITGID antara lain:

• COBIT 5 – Fokus pada tata kelola dan manajemen TI.
  
• CISA – Audit sistem informasi untuk memastikan kontrol internal efektif.
  
• CISM – Manajemen keamanan informasi dan mitigasi risiko.
  
• CGEIT – Tata kelola TI tingkat perusahaan untuk strategi jangka panjang.
  
• Cyber Security & IT Risk Management – Pengelolaan risiko TI dan keamanan siber.
  

Dengan mengikuti pelatihan ini, organisasi dapat membangun fondasi AI governance yang kuat, memastikan implementasi AI generatif berjalan aman, transparan, dan berkelanjutan.

Baca juga : TOGAF 10 dan COBIT: Architecture-Runway Security & Compliance

Kesimpulan

AI generatif menghadirkan peluang besar untuk inovasi dan efisiensi bisnis, namun juga menimbulkan risiko serius jika tidak dikelola dengan tepat. Risiko seperti bias, kebocoran data, dan kesalahan keputusan bisa berdampak signifikan terhadap reputasi dan kepatuhan perusahaan.

COBIT menyediakan kerangka kerja yang terbukti efektif untuk AI governance, membantu organisasi mengatur tata kelola, kontrol risiko, dan transparansi penggunaan AI.

Dengan menerapkan 6 langkah berbasis COBIT mulai dari penetapan tata kelola hingga continuous improvement perusahaan dapat memastikan implementasi AI generatif berjalan aman, patuh terhadap regulasi, dan tetap dipercaya oleh stakeholder.

FAQ: Pertanyaan yang Sering Diajukan

1. Apakah COBIT memang dirancang untuk AI governance?

Meskipun COBIT awalnya dibuat untuk IT governance secara umum, prinsip-prinsipnya sangat fleksibel dan dapat diterapkan pada AI. Framework ini membantu organisasi mengelola risiko, menetapkan kontrol, dan memastikan penggunaan AI selaras dengan tujuan bisnis.

2. Apa perbedaan COBIT dengan NIST AI RMF?

COBIT menyediakan kerangka tata kelola dan kontrol TI secara menyeluruh, termasuk strategi, kebijakan, dan pengawasan. Sedangkan NIST AI RMF lebih fokus pada manajemen risiko AI secara teknis, seperti identifikasi risiko model, mitigasi bias, dan pemantauan performa AI. Kedua framework ini saling melengkapi jika diterapkan bersamaan.

3. Bagaimana board memastikan AI governance berjalan efektif?

Board dapat membentuk komite AI governance, menetapkan peran kunci seperti CDO dan CIO, memonitor KPI yang relevan, serta melakukan audit berkala. Langkah-langkah ini memastikan pengawasan, akuntabilitas, dan kepatuhan terhadap regulasi berjalan konsisten.

4. Apa risiko hukum terbesar jika AI generatif tidak diatur?

Risiko utama termasuk pelanggaran privasi, diskriminasi akibat bias model, dan ketidakpatuhan terhadap regulasi seperti GDPR, UU PDP, atau standar AI internasional. Tanpa pengawasan yang tepat, perusahaan bisa menghadapi tuntutan hukum dan kerugian reputasi serius.

5. Apakah audit AI perlu dilakukan oleh pihak ketiga?

Audit pihak ketiga sangat disarankan untuk meningkatkan transparansi dan objektivitas, terutama bagi AI yang dikategorikan high-risk. Layanan independen ini dapat memastikan model AI aman, akurat, dan patuh terhadap regulasi.

6. Bagaimana BPR atau fintech kecil menerapkan COBIT dengan sumber daya terbatas?

Organisasi kecil bisa mengadopsi versi ringan COBIT, fokus pada risiko kritis dan audit internal sederhana. Dengan pendekatan ini, mereka tetap bisa mengelola risiko AI tanpa harus menginvestasikan sumber daya besar.

7. Apa tren global regulasi AI yang perlu dipantau?

Perusahaan perlu mengikuti AI Act Eropa, GDPR, UU PDP, serta regulasi OJK terkait IT Risk. Selain itu, standar internasional seperti OECD AI Principles memberikan panduan praktik AI governance global yang terpercaya.

Regulasi AI semakin ketat. Pastikan organisasi Anda siap dan terlindungi. Tingkatkan kompetensi tim Anda dalam tata kelola dan audit AI bersama kami.

Hubungi Kami untuk Konsultasi Pelatihan Gratis