Sektor Jasa Keuangan dan Korporasi Indonesia Terancam Denda 2 Persen dari Pendapatan Saat Aturan AI Mulai Ditegakkan. Sebagian Besar Belum Mampu Membuktikan Apa yang Dikerjakan AI Mereka

Penegakan UU PDP kini berlaku aktif bagi seluruh sektor, OJK telah menyampaikan secara spesifik bagaimana tata kelola AI perbankan akan dinilai, dan Perpres tentang Etika AI nasional diperkirakan ditandatangani tahun ini. BSSN mencatat 3,64 miliar serangan siber dan lebih dari 56 juta data terekspos hingga tahun lalu. Veranthios hadir di Indonesia bersama mitra lokal PT Digivla Indonesia untuk membantu perusahaan menata kelola AI sebelum regulator, atau penyerang, lebih dulu menemukan celahnya.

JAKARTA. Tata kelola AI di Indonesia bergeser dari sekadar panduan
menjadi penegakan pada tahun ini. Masa transisi Undang-Undang Nomor 27 Tahun
2022 tentang Pelindungan Data Pribadi (UU PDP) berakhir pada Oktober 2024.
Regulator kini aktif melakukan audit, dan sanksi denda hingga 2 persen dari
pendapatan tahunan, ditambah ancaman pidana hingga enam tahun penjara, berlaku
bagi setiap organisasi yang memproses data pribadi di Indonesia, tanpa
memandang sektor.

Sektor jasa keuangan memikul pengawasan sektoral tambahan di atas
ketentuan tersebut. Pada April 2025, Otoritas Jasa Keuangan (OJK) menerbitkan
AI Governance Handbook bagi perbankan Indonesia, yang menetapkan siklus hidup
AI dalam enam tahap dan menilainya berdasarkan tiga prinsip: akuntabilitas,
pengawasan manusia, dan keandalan. Peraturan OJK Nomor 1 Tahun 2026 tentang
tata kelola teknologi informasi bagi bank umum mulai berlaku pada Maret lalu.
Sementara itu, rancangan Peraturan Presiden tentang Etika dan Keamanan AI, yang
diperkirakan ditandatangani tahun ini dan berlaku lintas sektor ekonomi, akan
memperkenalkan registri model AI nasional serta kewajiban penilaian risiko bagi
sistem berisiko tinggi. Bank Indonesia mengawasi penggunaan AI pada sistem
pembayaran, Komdigi menegakkan kewajiban pendaftaran PSE dan aturan lokalisasi
data berdasarkan PP 71/2019, dan BSSN menetapkan standar keamanan siber.

Hasilnya, setiap perusahaan memikul eksposur UU PDP, sementara lembaga
keuangan berhadapan dengan sedikitnya empat regulator tambahan yang
masing-masing memiliki kewenangan penegakan tersendiri atas sistem AI yang
sama.

Pada saat yang sama, eksposurnya sudah berskala besar. BSSN mencatat 3,64
miliar serangan siber dan lebih dari 56 juta data terekspos yang berdampak pada
461 organisasi. Secara global, 68 persen perusahaan melaporkan keberadaan
Shadow AI, yaitu penggunaan perangkat AI oleh karyawan tanpa persetujuan tim
IT, dan sebagian besar di antaranya tidak mampu menyediakan jejak audit yang
sewaktu-waktu diminta regulator.

Perusahaan kini menghadapi kesenjangan dua sisi yang juga terlihat di
negara lain di kawasan, dan diperuncing oleh lanskap multiregulator Indonesia.
Di satu sisi, mereka tidak dapat membuktikan kepada Komdigi, atau bagi
perbankan juga kepada OJK dan Bank Indonesia, bahwa sistem AI mereka memenuhi standar
yang diharapkan masing-masing otoritas. Di sisi lain, mereka tidak dapat
melihat risiko AI yang terbentuk di dalam perimeter mereka sendiri dengan cukup
cepat untuk mendahului tenggat notifikasi insiden 72 jam.

Veranthios menjawab keduanya. Platform ini menemukan perangkat dan agen
AI yang beroperasi di seluruh organisasi, baik yang telah disetujui maupun
tidak. Seiring perusahaan mengadopsi AI agentik, Veranthios dirancang untuk
menata kelolanya pada lapisan protokol (MCP dan A2A) sehingga dapat membakukan
apa yang sebenarnya dikerjakan setiap agen, koneksi yang dimilikinya, dan
topologi multiagen yang terbentuk di antaranya: melampaui pemeriksaan lapisan
identitas yang selama ini menjadi batas sebagian besar perangkat tata kelola.
Setiap klaim kepatuhan dibuktikan melalui bukti berpenanda kriptografis yang
mengungkap setiap upaya manipulasi, bukan sekadar log yang masih dapat diubah.
Veranthios memetakan bukti tersebut langsung ke AI Governance Handbook OJK dan
UU PDP, di samping cakupan bawaan untuk kerangka utama lain di kawasan: MAS
FEAT (Singapura), IMDA AI Verify (Singapura), BNM RMiT (Malaysia), panduan
METI/FSA Jepang, ISO/IEC 42001, dan EU AI Act. Dengan demikian, satu paket
bukti dapat memenuhi kebutuhan seluruh regulator tempat perusahaan melapor di
kawasan Asia Pasifik.

Tata kelola tidak berhenti pada tahap penerapan. Veranthios
menjalankan pemantauan risiko berkelanjutan atas setiap sistem dan agen AI di
lingkungan produksi: deteksi drift secara real-time, observabilitas saat
runtime, serta guardrail otomatis yang menilai risiko secara terus-menerus,
bukan hanya pada satu titik waktu audit. Ketika perilaku, akses data, atau
koneksi protokol suatu agen bergeser keluar dari batas yang disetujui,
Veranthios menandai dan mendokumentasikannya saat itu juga. Paket bukti pun
sudah tersusun dan siap disampaikan kepada regulator jauh sebelum tenggat
notifikasi insiden 72 jam yang diwajibkan UU PDP, bukan disusun terburu-buru
setelah kejadian.

Untuk menghadirkan solusi ini bagi perusahaan Indonesia, Veranthios
menggandeng PT Digivla Indonesia yang berbasis di Jakarta Selatan,
memadukan platform tata kelola Veranthios dengan keahlian Digivla di bidang
regulasi dan implementasi di pasar jasa keuangan dan korporasi Indonesia.

“Arah regulasi di Indonesia kini sudah sangat jelas. Tantangannya
bukan lagi memahami apa yang diwajibkan aturan, melainkan membuktikan, kapan
pun diminta, bahwa sistem AI perusahaan berjalan secara berkelanjutan di dalam
koridor tersebut. Banyak organisasi masih belum memiliki visibilitas menyeluruh
atas penggunaan AI, terlebih ketika AI agentik makin banyak dipakai. Kemitraan
kami dengan Veranthios memungkinkan perusahaan Indonesia menerapkan tata kelola
AI dengan bukti yang dapat diverifikasi, sehingga memperkuat kepatuhan, menekan
risiko operasional, dan mempercepat adopsi AI yang bertanggung jawab,”
ujar Reza Maulana, Direktur Utama PT Digivla Indonesia.

Veranthios kini tersedia di Indonesia melalui PT Digivla Indonesia.