Menilai risiko penggunaan AI dengan NIST AI RMF

Apa yang diputuskan dari penilaian risiko?

Tentukan apakah satu penggunaan AI boleh berjalan, perlu dibatasi, diperbaiki atau dihentikan. Mulai dari tugas dan orang yang terdampak, bukan nama model atau daftar centang yang panjang.

NIST AI RMF 1.0 adalah kerangka sukarela. Empat fungsi—Govern, Map, Measure dan Manage—membantu menghubungkan penanggung jawab, konteks, pemeriksaan dan tindakan. Halaman ini memakai kerangka itu sebagai rujukan teknis, bukan aturan Indonesia, sertifikasi atau formulir penilaian resmi.

Mulai dari satu penggunaan yang jelas

Contoh fiktif: asisten membantu petugas membuat draf jawaban pesanan. Ia boleh mencari artikel bantuan sesuai hak petugas; belum boleh mengirim pesan atau memutuskan refund. Catat tujuan, pengguna, vendor, data, penerima serta izin dalam inventaris AI.

Bandingkan juga pilihan tanpa AI. Bila petugas hanya memerlukan status transaksi, pencarian biasa bisa lebih mudah diperiksa daripada jawaban generatif. Manfaat perlu dinilai bersama kesalahan yang mungkin terjadi.

Tulis skenario dan dampaknya

Gunakan daftar risiko yang sudah tersedia. Satu baris menjelaskan kejadian, kondisi yang memungkinkan, dampak, bukti dan pemilik. Jangan membuat register baru hanya karena ada label AI.

Skenario	Risiko dan pemeriksaan
Sumber pelanggan lain terambil	Data bisa masuk konteks di luar kewenangan. Periksa izin sebelum retrieval dan saat hasil dipakai kembali; nilai jalur cache serta pekerjaan tertunda.
Jawaban menyebut status tanpa sumber	Pelanggan bisa mendapat informasi keliru. Periksa dukungan sumber, keadaan belum diketahui dan jalur petugas; jawaban lancar belum cukup.
Dokumen meminta tindakan tambahan	Agen bisa mengusulkan pengiriman rahasia. Batasi tool di layanan eksekusi; prompt larangan bukan pemberian atau pencabutan hak.
Petugas selalu menerima draf	Kesalahan dapat diteruskan karena tidak sempat memeriksa. Tentukan bahan, waktu, kewenangan dan cara menolak rekomendasi.

Tabel ini bahan penilaian fiktif, bukan daftar lengkap atau kejadian produksi. Pertimbangkan dampak pada pengguna berbeda, aksesibilitas, diskriminasi, pekerjaan pegawai dan kelompok yang sulit mengajukan koreksi. Libatkan pihak yang memahami proses serta orang terdampak.

Bedakan bukti dari asumsi

Lab operasi AI 1.0 dijalankan 2 Oktober 2026 dengan Node 24.21.0. Ia menghitung vektor istilah dan memeriksa batas aplikasi pada tiga dokumen buatan. Peringkat global yang buruk memilih B1 untuk peminta A; penyaringan izin terkini menahan sumber asing pada jalur contoh.

Itu bukti terbatas tentang fungsi contoh, bukan kualitas model, semua jalur akses atau ketahanan prompt injection. Empat label jawaban pada fase evaluasi ditulis manual. Pemrosesan oleh model (inference), embedding terlatih dan review manusia belum dijalankan.

Catat pemeriksaan yang belum tersedia sebagai ketidakpastian. Gunakan evaluasi sebelum rilis untuk kasus dan kriteria. Prioritas memerlukan alasan; angka peluang/dampak buatan tidak menjadi pengesahan otomatis.

Tentukan tindakan dan risiko tersisa

Contoh keputusan yang masih perlu disetujui: hanya draf, sumber berizin, hasil tanpa dasar ditahan dan refund diteruskan ke petugas berwenang. Tulis pemilik perbaikan, batas penggunaan, bukti yang dibutuhkan serta kapan keputusan ditinjau.

Pembatasan akses tidak menghilangkan jawaban salah atau bias. Tinjauan manusia juga perlu diperiksa efektivitasnya. Pihak yang menerima risiko harus memahami batas bukti; tim pengembang tidak boleh mengisi persetujuan orang lain.

Kapan penilaian dibuka kembali?

Tinjau saat tujuan, pengguna, model, vendor, data, izin atau keadaan layanan berubah; gunakan juga keluhan serta insiden. Hubungkan dengan pemantauan perubahan AI.

Kewajiban data pribadi dan bidang usaha dinilai di pemiliknya, misalnya DPIA dan keputusan otomatis. Penilaian teknis ini tidak menggantikan pemeriksaan tersebut atau review bidang klinis, keuangan dan keselamatan.