Risiko AI dalam perusahaan, di Swiss

Risiko AI dalam bisnis tidak bersifat tunggal. Risiko-risiko tersebut terbagi dalam empat kelompok berbeda, masing-masing dengan penyebab, konsekuensi, dan cara pengendaliannya sendiri. Memahami peta ini adalah langkah pertama sebelum melakukan penerapan apa pun.

Swiss belum memiliki undang-undang khusus mengenai AI. Pendekatan yang dipilih adalah netralitas teknologi: undang-undang yang ada tetap berlaku. Artinya, ada tiga corpus hukum yang secara langsung mengatur penggunaan AI dalam bisnis.

Undang-Undang Federal tentang Perlindungan Data yang baru (nLPD, berlaku sejak September 2023) berlaku langsung untuk pemrosesan oleh AI. Undang-undang ini mewajibkan transparansi mengenai tujuan dan sumber data, analisis dampak dalam kasus risiko tinggi, serta hak atas peninjauan manusia atas keputusan otomatis (art. 21 nLPD). Sanksi dapat mencapai 250'000 CHF dan menimbulkan tanggung jawab pribadi bagi para pemimpin perusahaan.

Kitab Undang-Undang Perikatan (art. 41 CO) mewajibkan perusahaan pengguna untuk mengganti setiap kerugian yang disebabkan oleh sistem AI yang dioperasikannya. Perusahaanlah yang bertanggung jawab, bukan sistemnya. Undang-Undang Federal tentang Tanggung Jawab Produk (LRFP) juga dapat berlaku apabila AI dikualifikasikan sebagai komponen yang cacat.

AI Act Eropa, yang diadopsi pada Maret 2024 dan mulai berlaku secara bertahap hingga 2026, berdampak langsung pada perusahaan Swiss yang beroperasi di pasar Eropa atau yang sistem AI-nya diterapkan di UE. AI Act mengklasifikasikan AI ke dalam empat tingkat risiko (tidak dapat diterima, tinggi, terbatas, minimal) dan mewajibkan dokumentasi, audit, dan penandaan CE untuk sistem berisiko tinggi.

AI generatif menghasilkan keluaran yang secara statistik memiliki probabilitas tinggi, namun tidak selalu akurat. Fenomena halusinasi, di mana model menghasilkan informasi palsu yang disajikan dengan penuh keyakinan, telah terdokumentasi pada semua model besar saat ini. Dalam konteks profesional, hal ini dapat berujung pada kontrak yang buruk redaksinya, analisis keuangan yang keliru, respons pelanggan yang salah, atau keputusan medis yang gagal.

Ketergantungan operasional adalah risiko yang sering diremehkan. Ketika proses kritis sepenuhnya bergantung pada sistem AI dari vendor eksternal, gangguan layanan, perubahan syarat penggunaan, atau kenaikan harga dapat mengguncang operasional bisnis. Tanpa rencana kelangsungan, kerentanan bersifat struktural.

Model yang dilatih pada data historis mewarisi bias dari data tersebut. Dalam konteks rekrutmen, pemberian kredit, penetapan harga asuransi, atau penilaian kinerja, algoritma yang bias dapat menghasilkan keputusan yang bersifat diskriminatif menurut hukum Swiss dan Eropa, bahkan tanpa ada niat untuk merugikan.

Absennya pengawasan manusia atas keputusan-keputusan ini memperburuk risiko: diskriminasi tidak terlihat dalam proses, melainkan hanya tampak pada hasilnya. Di Swiss, nLPD mewajibkan bahwa keputusan otomatis yang memiliki dampak hukum signifikan terhadap seseorang harus tunduk pada hak peninjauan manusia.

Sebagian besar alat AI konsumen (ChatGPT, Copilot, Gemini) memproses data di server yang berlokasi di Amerika Serikat. Ketika seorang karyawan memasukkan informasi rahasia, data pelanggan, rahasia dagang, atau data pribadi ke dalam alat-alat ini, data tersebut meninggalkan batas perusahaan dan berpotensi keluar dari yurisdiksi Swiss dan Eropa.

Kapasitas komputasi global masih sangat terkonsentrasi di Amerika Serikat, menempatkan Eropa dalam ketergantungan struktural pada hyperscaler Amerika. Kenyataan ini menciptakan risiko kedaulatan yang tidak lagi bisa diabaikan oleh perusahaan-perusahaan Swiss, terutama di sektor yang diregulasi (keuangan, kesehatan, asuransi, administrasi publik).

Penyimpanan data adalah kriteria keamanan, bukan sekadar kenyamanan. Ada alternatif yang tersedia, khususnya model open source yang dihosting pada infrastruktur Eropa, yang memungkinkan pemrosesan data sensitif tanpa mentransfernya ke luar UE.

Banyak perusahaan Swiss telah mengadopsi AI, namun strategi mereka sering tertinggal. Adopsi tanpa tata kelola adalah risiko tersendiri: penggunaan berkembang tanpa koordinasi, tanggung jawab tetap kabur, dan tidak ada kerangka yang mendefinisikan data apa yang dapat dibagikan kepada alat apa.

Lock-in vendor adalah bentuk ketergantungan strategis. Ketika proses perusahaan bergantung pada alat AI proprietary, berpindah ke alternatif lain menjadi mahal, berisiko, dan kompleks secara teknis. Pada akhirnya, vendor memiliki kekuatan pasar yang mengikis kemampuan negosiasi perusahaan.

Kurangnya kompetensi internal adalah salah satu hambatan utama menuju adopsi yang terstruktur. UKM umumnya tidak dapat membangun tim tata kelola AI sendiri. Pendampingan eksternal, baik konsultasi, pelatihan, maupun penyedia teknis, oleh karena itu merupakan faktor pengurangan risiko, bukan kemewahan.

Swiss memilih pendekatan netralitas teknologi: tidak ada satu undang-undang AI, namun undang-undang sektoral yang ada tetap berlaku. Secara konkret, pada 2025-2026, teks-teks berikut berlaku langsung untuk penggunaan AI dalam bisnis:

PFPDT (otoritas federal perlindungan data) telah menegaskan bahwa nLPD berlaku langsung untuk pemrosesan oleh AI, tanpa ambiguitas. Otoritas ini secara khusus memantau kasus pengenalan wajah, pemantauan perilaku, dan pemrosesan data sensitif oleh sistem otomatis.

Bagi perusahaan yang terekspos ke UE, AI Act menambah lapisan regulasi. Larangan pertama (tingkat risiko tidak dapat diterima) mulai berlaku pada Februari 2025. Kewajiban untuk sistem berisiko tinggi berlaku secara bertahap hingga Agustus 2026.

Pengelolaan risiko AI tidak memerlukan penghentian semua aktivitas atau pengulangan dari awal. Hal ini membutuhkan pendekatan terstruktur yang proporsional dengan ukuran dan sektor organisasi. Berikut adalah langkah-langkah prioritas yang diidentifikasi oleh para praktisi Swiss di bidang ini.

Untuk perusahaan Swiss yang ingin menerapkan alat AI bisnis, portal pelanggan, perangkat lunak internal, atau agen AI tanpa mentransfer data mereka ke hyperscaler Amerika, Kleap menawarkan pendekatan berdasarkan tiga prinsip.

Prinsip pertama: infrastruktur Eropa. Penerapan didasarkan pada Hetzner (Jerman, bersertifikat ISO 27001) dan model open source yang datanya tidak meninggalkan UE dan tidak digunakan ulang untuk melatih model pihak ketiga.

Prinsip kedua: pendampingan. Kleap tidak menjual alat, melainkan menawarkan hasil yang diserahkan oleh sebuah tim. Tiga jalur tersedia: pembangunan turnkey melalui agen mitra Lionscreative, penghubungan dengan penyedia spesialis, atau penerapan Kleap Enterprise dalam mode terpandu.

Prinsip ketiga: keterlacakan. Tindakan sistem AI yang diterapkan dapat diaudit. Para pemimpin dapat mendokumentasikan keputusan untuk memenuhi persyaratan nLPD dan mempersiapkan kepatuhan AI Act.