EU AI Act: Kategori Risiko, Tanggal Penting dan Dampaknya bagi Vendor Anda
CyberRank Research
EU AI Act (Regulasi (EU) 2024/1689) adalah undang-undang Uni Eropa berbasis risiko untuk kecerdasan artifisial: melarang sejumlah praktik AI, menetapkan kewajiban ketat untuk sistem berisiko tinggi, dan menambah kewajiban transparansi untuk sebagian lainnya. Sebagian besar organisasi terdampak melalui AI yang mereka beli dari vendor. Sinyal penggunaan AI CyberRank (Beta) menunjukkan vendor mana yang memakai AI.
Intisari
- AI Act membagi AI ke empat level: dilarang, berisiko tinggi, risiko terbatas (transparansi) dan risiko minimal.
- Larangan dan kewajiban literasi AI berlaku sejak 2 Februari 2025; kewajiban AI tujuan umum sejak 2 Agustus 2025.
- Setelah Digital Omnibus 2026, kewajiban berisiko tinggi untuk area Annex III berlaku mulai 2 Desember 2027 dan untuk AI dalam produk teregulasi mulai 2 Agustus 2028.
- Jika Anda memakai AI berisiko tinggi milik vendor, Anda adalah deployer dengan kewajiban sendiri: pengawasan manusia, pemantauan, log dan pemberitahuan kepada pihak terdampak.
- Sinyal penggunaan AI CyberRank (Beta) menunjukkan vendor yang memakai AI dan memberi indikasi kandidat level risiko untuk dikonfirmasi tim Anda.
Apa itu EU AI Act?
AI Act mengatur sistem AI berdasarkan risikonya terhadap kesehatan, keselamatan dan hak fundamental, serta menetapkan kewajiban untuk setiap peran dalam rantai pasok AI.
Regulasi (EU) 2024/1689 mulai berlaku pada 1 Agustus 2024 dan diterapkan bertahap. Regulasi ini menjangkau organisasi di luar UE ketika mereka memasarkan sistem AI di pasar UE atau ketika output AI mereka digunakan di UE.
Bagaimana CyberRank membantu: level risiko di CyberRank adalah kandidat berdasarkan bukti publik; tim Anda mengonfirmasi level untuk setiap vendor, karena klasifikasi hukumnya bergantung pada cara Anda menggunakan sistem tersebut.
| Level risiko | Contoh | Yang diwajibkan | Bagaimana CyberRank membantu |
|---|---|---|---|
| Dilarang | ContohSocial scoring, teknik manipulatif yang merugikan, scraping wajah tanpa target, pengenalan emosi di tempat kerja atau sekolah (dengan pengecualian) | Yang diwajibkanDilarang sejak 2 Februari 2025 | Bagaimana CyberRank membantuMenandai vendor yang penggunaan AI-nya masuk area kandidat terlarang untuk ditinjau (Beta) |
| Berisiko tinggi | ContohAI untuk rekrutmen, pendidikan, layanan esensial, penegakan hukum, infrastruktur kritis dan area Annex III lainnya; komponen keselamatan AI dalam produk teregulasi | Yang diwajibkanManajemen risiko, tata kelola data, dokumentasi, logging, pengawasan manusia, akurasi dan keamanan, penilaian kesesuaian | Bagaimana CyberRank membantuMenandai kandidat berisiko tinggi ketika industri dan deskripsi vendor cocok dengan area Annex III (Beta) |
| Risiko terbatas (transparansi) | ContohChatbot, konten buatan atau manipulasi AI, pengenalan emosi di luar konteks terlarang | Yang diwajibkanMemberi tahu orang bahwa mereka berinteraksi dengan AI; menandai konten sintetis | Bagaimana CyberRank membantuMencatat penggunaan AI agar Anda dapat menanyakan pengungkapannya |
| Risiko minimal | ContohFilter spam, AI dalam gim, sebagian besar analitik internal | Yang diwajibkanTidak ada kewajiban baru; kode sukarela | Bagaimana CyberRank membantuDicatat sebagai penggunaan AI dengan kandidat level risiko minimal (Beta) |
Apa saja tanggal penting AI Act setelah Omnibus 2026?
Digital Omnibus on AI, Regulasi (EU) 2026/1744, mulai berlaku pada 27 Juli 2026 dan memundurkan tanggal kewajiban berisiko tinggi. Tanggal lainnya tetap.
Omnibus juga menambah kategori terlarang baru. Periksa teks konsolidasi bersama tim hukum Anda sebelum mengandalkan suatu tanggal untuk sistem tertentu.
Bagaimana CyberRank membantu: CyberRank memberi Anda daftar vendor yang perlu ditinjau sebelum setiap tanggal, bukan analisis hukumnya.
| Tanggal | Yang berlaku | Bagaimana CyberRank membantu |
|---|---|---|
| 2 Feb 2025 | Yang berlakuPraktik terlarang (Pasal 5) dan literasi AI (Pasal 4) | Bagaimana CyberRank membantuTanda kandidat terlarang menunjukkan vendor yang perlu diperiksa lebih dulu |
| 2 Agu 2025 | Yang berlakuKewajiban model AI tujuan umum (GPAI); kerangka tata kelola dan sanksi | Bagaimana CyberRank membantuMenunjukkan vendor yang materi publiknya menyebut model GPAI atau fitur AI |
| 2 Agu 2026 | Yang berlakuKewenangan penegakan Komisi untuk GPAI; kewajiban transparansi Pasal 50 (sistem generatif yang sudah beredar punya waktu hingga 2 Des 2026 untuk penandaan konten) | Bagaimana CyberRank membantuMencatat penggunaan AI di profil vendor untuk pertanyaan transparansi |
| 2 Des 2027 | Yang berlakuKewajiban berisiko tinggi untuk area Annex III | Bagaimana CyberRank membantuKandidat area Annex III menunjukkan vendor mana yang perlu ditanyai soal risiko tinggi sebelum tanggal ini |
| 2 Agu 2028 | Yang berlakuKewajiban berisiko tinggi untuk AI dalam produk yang dicakup hukum produk UE di Annex I | Bagaimana CyberRank membantuTidak spesifik untuk hukum keselamatan produk |
Area mana yang berisiko tinggi menurut Annex III?
Annex III mencantumkan delapan area di mana AI berisiko tinggi bila digunakan untuk tujuan yang dijelaskannya.
Sistem di area Annex III dapat berada di luar kategori berisiko tinggi jika tidak memengaruhi keputusan secara material, misalnya tugas prosedural yang sempit. Karena itu CyberRank memperlakukan kecocokan Annex III sebagai kandidat, bukan kesimpulan.
Bagaimana CyberRank membantu: kecocokan Annex III juga menambah bobot kelemahan terkait AI dalam risiko vendor tersebut, sehingga vendor ini naik ke urutan teratas tinjauan Anda.
| Area Annex III | Contoh penggunaan oleh vendor | Bagaimana CyberRank membantu |
|---|---|---|
| Biometrik | Contoh penggunaan oleh vendorIdentifikasi jarak jauh, kategorisasi biometrik | Bagaimana CyberRank membantuKecocokan kandidat berdasarkan industri dan deskripsi vendor (Beta) |
| Infrastruktur kritis | Contoh penggunaan oleh vendorKomponen keselamatan AI di energi, air, transportasi atau infrastruktur digital | Bagaimana CyberRank membantuSama; juga menampilkan temuan keamanan vendor yang biasa |
| Pendidikan dan pelatihan vokasi | Contoh penggunaan oleh vendorPenerimaan, penilaian, pengawasan ujian | Bagaimana CyberRank membantuKecocokan kandidat (Beta) |
| Ketenagakerjaan dan manajemen pekerja | Contoh penggunaan oleh vendorPenyaringan CV, keputusan promosi atau pemutusan kerja, pembagian tugas | Bagaimana CyberRank membantuKecocokan kandidat (Beta) |
| Akses ke layanan esensial | Contoh penggunaan oleh vendorPenilaian kelayakan kredit, bantuan publik, penetapan harga asuransi jiwa dan kesehatan, triase panggilan darurat | Bagaimana CyberRank membantuKecocokan kandidat (Beta) |
| Penegakan hukum | Contoh penggunaan oleh vendorPenilaian risiko, evaluasi bukti | Bagaimana CyberRank membantuKecocokan kandidat (Beta) |
| Migrasi, suaka dan pengawasan perbatasan | Contoh penggunaan oleh vendorPenilaian permohonan, penyaringan risiko | Bagaimana CyberRank membantuKecocokan kandidat (Beta) |
| Administrasi peradilan dan proses demokrasi | Contoh penggunaan oleh vendorMendukung putusan pengadilan, memengaruhi pemilu | Bagaimana CyberRank membantuKecocokan kandidat (Beta) |
Penyedia atau deployer: kewajiban siapa?
Penyedia membangun sistem AI dan memikul kewajiban kesesuaian; deployer menggunakannya di bawah kewenangannya sendiri dan memikul kewajiban pengawasan, pemantauan dan pemberian informasi.
Jika Anda memasang nama sendiri pada sistem berisiko tinggi milik vendor atau mengubahnya secara substansial, Anda dapat menjadi penyedianya.
Bagaimana CyberRank membantu: mengetahui alat beli mana yang memakai AI adalah langkah pertama untuk mengetahui peran Anda untuk masing-masing alat.
| Peran | Siapa | Kewajiban utama untuk AI berisiko tinggi | Bagaimana CyberRank membantu |
|---|---|---|---|
| Penyedia (provider) | SiapaMengembangkan sistem AI atau memesannya dan memasarkannya atas namanya sendiri | Kewajiban utama untuk AI berisiko tinggiPenilaian kesesuaian, dokumentasi teknis, manajemen mutu, penandaan CE, registrasi, pemantauan pasca-pasar | Bagaimana CyberRank membantuMencari tata kelola AI yang dipublikasikan dan sertifikasi ISO/IEC 42001 atas nama vendor, dilacak seperti sertifikat lain di Certificate Compliance |
| Deployer | SiapaMenggunakan sistem AI di bawah kewenangannya, misalnya perusahaan Anda memakai AI rekrutmen milik vendor | Kewajiban utama untuk AI berisiko tinggiMenggunakan sesuai instruksi, menunjuk pengawas manusia, memantau dan melaporkan insiden, menyimpan log, memberi tahu pekerja dan pihak terdampak; sebagian deployer melakukan penilaian dampak hak fundamental | Bagaimana CyberRank membantuMenunjukkan vendor mana yang menjadikan Anda deployer, sehingga Anda dapat merencanakan kewajiban ini |
| Importir dan distributor | SiapaMembawa sistem penyedia non-UE ke pasar UE atau menjualnya kembali | Kewajiban utama untuk AI berisiko tinggiMemeriksa kesesuaian dan dokumentasi penyedia | Bagaimana CyberRank membantuMenunjukkan lokasi penyedia dan negara hosting |
Apakah AI Act berlaku di luar UE?
Ya, dengan dua cara: penyedia di mana pun yang memasarkan sistem AI di pasar UE tercakup, dan penyedia serta deployer di luar UE tercakup ketika output AI-nya digunakan di UE.
Perusahaan perangkat lunak Indonesia yang menjual alat HR berbasis AI kepada pelanggan Eropa karena itu berstatus penyedia menurut AI Act. Data pribadi yang dipakai AI tersebut juga tunduk pada UU PDP di Indonesia.
Bagaimana CyberRank membantu: pemasok Indonesia dapat menjalankan penilaian organisasi sendiri gratis dari CyberRank (lihat harga) untuk melihat apa yang akan dilihat pelanggannya tentang penggunaan AI dan keamanannya.
Mengapa AI Act termasuk risiko pihak ketiga?
AI biasanya datang melalui vendor, dan setiap fitur AI baru dapat membawa level risiko baru, aliran data baru dan kewajiban hukum baru bagi Anda tanpa kontrak baru.
CRM menambah asisten generatif, platform HR menambah pemeringkatan kandidat, alat keamanan menambah triase AI. Model milik vendor bisa berasal dari penyedia lain, sehingga penyedia GPAI menjadi pihak keempat; rantai ketergantungan ini sama dengan yang dijelaskan dalam artikel kami tentang manajemen risiko pihak ketiga.
AI juga menambah risiko keamanan di atas risiko kepatuhan: prompt injection, kebocoran data ke pelatihan model (jalur menuju kebocoran data) dan kompromi rantai pasok model, di samping kelemahan biasa pada permukaan serangan vendor yang menghadap internet.
Bagaimana CyberRank membantu: penggunaan AI berada di profil yang sama dengan security rating, riwayat kebocoran dan pihak keempat vendor, sehingga risiko AI ditimbang bersama paparan vendor lainnya, berdampingan dengan rating privasi.
Bagaimana menilai AI vendor berdasarkan AI Act?
Temukan AI-nya, klasifikasikan penggunaan Anda bersama tim hukum, minta bukti dari penyedia berisiko tinggi, periksa kewajiban data pribadi, tuangkan perubahan AI dalam kontrak dan terus pantau.
Untuk langkah penemuan yang lebih mendalam, lihat panduan kami tentang penemuan paparan kuantum dan AI. Kesiapan kriptografi adalah pertanyaan terpisah, dibahas dalam artikel kami tentang keamanan kuantum dan kriptografi pasca-kuantum.
Bagaimana CyberRank membantu: CyberRank mengotomatiskan langkah 1 dari bukti publik dan mendukung langkah 3 dan 6 dengan pemeriksaan bukti dan pemantauan.
- Temukan AI-nya. Daftar vendor yang memakai AI dalam layanan yang mereka berikan kepada Anda, termasuk fitur yang ditambahkan setelah kontrak.
- Klasifikasikan penggunaan Anda. Untuk masing-masing, putuskan bersama tim hukum apakah penggunaan Anda terlarang, berisiko tinggi, terbatas atau minimal, dan apakah Anda deployer atau penyedia.
- Minta bukti. Untuk kandidat berisiko tinggi, minta instruksi penggunaan, informasi kesesuaian, kemampuan logging dan langkah pengawasan manusia dari penyedia. ISO/IEC 42001 hanya berguna sebagai bukti jika sertifikat atau entri registrinya atas nama vendor sendiri.
- Periksa data pribadi. Jika AI membuat keputusan otomatis tentang orang, periksa kewajiban Pasal 22 GDPR dan UU PDP bersama DPO Anda.
- Tuangkan dalam kontrak. Pemberitahuan fitur AI baru dan perubahan model, pelaporan insiden, akses log dan hak audit.
- Pantau. Periksa ulang ketika vendor menambah fitur AI atau mengganti model; tinjauan sekali jalan menjadi penilaian point-in-time yang cepat usang.
Bagaimana CyberRank menunjukkan penggunaan AI vendor?
Sinyal penggunaan AI CyberRank masih Beta. CyberRank mendeteksi penggunaan AI dari bukti publik, memberi kandidat level AI Act dan membiarkan tim Anda mengonfirmasinya.
Bagaimana CyberRank membantu: Anda mendapat daftar vendor berperingkat untuk ditanyai sebelum 2 Desember 2027, lengkap dengan bukti di balik setiap tanda.
- Mendeteksi penggunaan AI dari bukti publik dan mencatatnya di profil vendor.
- Memberi kandidat level AI Act (dilarang, berisiko tinggi, terbatas, minimal, atau belum ditentukan) dan, bila relevan, area Annex III yang cocok.
- Membiarkan tim Anda mengonfirmasi atau mengubah level, karena klasifikasinya bergantung pada penggunaan Anda.
- Melaporkan pemeriksaan tata kelola AI sebagai lulus atau gagal hanya jika ada bukti publik, dan sebagai "tidak ditemukan" jika tidak ada, alih-alih menebak.
- Menghitung ISO/IEC 42001 hanya sebagai sertifikat atau daftar registri atas nama vendor, bukan logo di footer situs web.
Bagaimana perbandingannya dengan penyedia security rating lain?
Penyedia security rating seperti SecurityScorecard, Bitsight dan UpGuard mengukur postur keamanan vendor dari luar. Tidak satu pun rating ini, termasuk milik CyberRank, merupakan klasifikasi hukum menurut AI Act; SecurityScorecard, misalnya, menyatakan bahwa platformnya tidak menentukan kepatuhan AI Act.
CyberRank mengambil posisi yang sama. Sinyal penggunaan AI-nya (Beta) memberi kandidat level beserta bukti di baliknya, di profil vendor yang sama dengan rating keamanan dan privasi, dan tim hukum Anda yang menetapkan klasifikasinya.
Di mana CyberRank tidak membantu
CyberRank tidak membuat klasifikasi hukum atas sistem AI apa pun, tidak memutuskan apakah Anda atau vendor patuh terhadap AI Act, dan tidak menjalankan penilaian kesesuaian, penilaian dampak hak fundamental atau pelaporan insiden AI. CyberRank tidak dapat melihat AI yang tidak meninggalkan jejak publik, tidak dapat memeriksa model, data pelatihan atau prompt, dan tidak dapat menguji bias atau akurasi model.
Kandidat level adalah titik awal bagi tim hukum dan risiko Anda, bukan kesimpulan. Anggap tanggal dalam artikel ini sebagai ringkasan; tim hukum Anda perlu memastikannya terhadap teks konsolidasi.
Kesimpulan
Bagi sebagian besar organisasi, AI Act adalah pertanyaan rantai pasok: vendor mana yang membawa AI ke dalam proses Anda, penggunaan mana yang berisiko tinggi, dan apa tanggung jawab Anda karenanya. Tanggalnya kini sudah pasti, dengan kewajiban berisiko tinggi Annex III mulai 2 Desember 2027.
Temukan AI-nya, klasifikasikan penggunaan Anda bersama tim hukum, minta bukti dari penyedia dan masukkan perubahan AI ke dalam kontrak dan pemantauan. Sinyal penggunaan AI CyberRank (Beta) memberi Anda daftar pertama untuk mulai bekerja.
Referensi
Jawaban singkat
Jawaban singkat dan langsung untuk pertanyaan yang muncul dari artikel ini.
Pertanyaan terkait
Jawaban singkat yang menghubungkan artikel ini dengan panduan kami yang lain.
- Jawaban singkatPertanyaan AI dan Kuantum untuk VendorDelapan pertanyaan untuk kuesioner vendor tentang penggunaan AI dan kesiapan pasca-kuantum, dan cara CyberRank memeriksa paparan vendor (Beta).
- Jawaban singkatVendor Mana yang Harus Ditinjau Dulu?Cara mengurutkan tinjauan vendor menurut dampak, data, penggunaan AI, paparan kuantum, dan perangkat lunak, dengan tingkat dan heat map CyberRank.
- Jawaban singkatCara Menemukan Risiko Rantai Pasok TersembunyiTempat risiko rantai pasok bersembunyi: pembaruan perangkat lunak, pemasok vendor, model AI, dan kriptografi, serta cara CyberRank menampilkannya.
- Jawaban singkatTenggat Risiko Vendor AI dan Kuantum, 2026–2035Tanggal AI Act dan pasca-kuantum 2026–2035 dalam satu tabel, apa yang ditanyakan ke vendor sebelumnya, dan cara CyberRank melacak kesiapan vendor.
Pertanyaan yang sering diajukan
Dapatkan rating keamanan gratis Anda
Jalankan rating keamanan CyberRank gratis untuk organisasi mana pun dan lihat sinyal risiko vendor yang sama seperti yang digunakan pelanggan kami.
Dapatkan rating keamanan gratis Anda