Problem/setup
Laporan The Register menyebut pemerintah Inggris menolak usulan anggota House of Lords untuk memasukkan vendor AI ke dalam cakupan Cyber Security and Resilience (Network and Information Systems) Bill. Dalam laporan itu, Baroness Lloyd of Effra berargumen bahwa memasukkan penyedia layanan AI dan pengembang frontier model ke dalam bill tersebut tidak akan mencegah penyalahgunaan produk oleh aktor bermusuhan.
Pemerintah Inggris juga disebut mengambil jalur lain untuk keamanan AI, termasuk mendukung AI Security Institute atau AISI yang menguji keamanan model sebelum rilis. Ini adalah laporan media tentang posisi pemerintah dan perdebatan bill, bukan konfirmasi bahwa aturan tersebut berlaku di Indonesia, dan bukan dasar untuk menyimpulkan bahwa vendor AI bebas dari seluruh kewajiban keamanan.
Bagi bisnis Indonesia, pelajaran praktisnya sederhana: jangan menunggu aturan asing berlaku. Jika AI sudah dipakai untuk finance, sales, customer support, reporting, atau operasi, maka AI harus diperlakukan sebagai bagian dari sistem bisnis yang punya pemilik proses, kontrol akses, audit trail, pengujian, dan rollback.
Bagian berikut adalah interpretasi praktis untuk Business Process Optimization melalui software engineering dan automation.
Prasyarat
Sebelum menerapkan workflow AI yang lebih aman, siapkan hal berikut:
- Daftar proses bisnis yang memakai AI atau automation, misalnya chatbot support, ringkasan laporan, klasifikasi lead, drafting invoice, atau analisis transaksi.
- Daftar vendor, model, API, plugin, dan tools yang dipakai.
- Peta data yang masuk ke AI, termasuk data pelanggan, data keuangan, data internal, dan data operasional.
- Penanggung jawab proses, bukan hanya penanggung jawab teknis.
- Platform eksekusi workflow, misalnya n8n, Laravel queue/job, backend API internal, atau automation script lain.
- Sistem logging, minimal database audit log atau centralized logging.
- Mekanisme approval manusia untuk tindakan berisiko.
- Rencana rollback bila vendor, model, prompt, atau integrasi berubah.
Langkah demi langkah
1. Buat inventaris workflow AI
Mulai dari tabel sederhana. Tujuannya bukan dokumentasi sempurna, tetapi membuat penggunaan AI terlihat oleh bisnis.
| Area | Workflow AI | Data yang dipakai | Output | Pemilik proses | Risiko |
|---|---|---|---|---|---|
| Finance | Draft rekonsiliasi | Transaksi, invoice | Draft laporan | Finance lead | Salah klasifikasi |
| Sales | Skoring lead | CRM, histori interaksi | Prioritas follow-up | Sales manager | Bias keputusan |
| Support | Jawaban otomatis | Tiket, knowledge base | Balasan pelanggan | Support lead | Jawaban keliru |
| Reporting | Ringkasan KPI | Data operasional | Executive summary | Operations manager | Angka disalahartikan |
Prinsipnya: setiap workflow AI harus punya owner. Jika tidak ada owner, workflow itu belum siap dijadikan bagian dari proses bisnis penting.
2. Pisahkan izin read, write, dan execute
Jangan berikan satu API key atau satu service account yang bisa melakukan semua hal. Pisahkan akses berdasarkan tindakan.
Contoh pemisahan:
| Jenis izin | Boleh dilakukan | Tidak boleh dilakukan |
|---|---|---|
| Read | Membaca data tiket, CRM, laporan | Mengubah status, mengirim email, membuat pembayaran |
| Write | Membuat draft, memberi tag, menyimpan rekomendasi | Menjalankan transaksi final tanpa approval |
| Execute | Mengirim notifikasi, membuat task, menjalankan job | Menjalankan aksi finansial berisiko tanpa kontrol |
Jika memakai Laravel, pola sederhananya adalah membuat scope atau policy berbeda untuk setiap automation service. Jika memakai n8n, pisahkan credential untuk node yang hanya membaca data dan node yang dapat menulis atau mengeksekusi aksi.
3. Tambahkan human approval untuk tindakan berisiko
AI boleh memberi rekomendasi, tetapi tindakan berisiko sebaiknya melewati approval manusia.
Contoh aturan:
- AI boleh membuat draft balasan pelanggan, tetapi agent manusia yang mengirim.
- AI boleh menandai transaksi mencurigakan, tetapi finance lead yang memblokir atau menindaklanjuti.
- AI boleh membuat draft laporan, tetapi owner proses yang menyetujui angka final.
- AI boleh menyarankan perubahan pipeline sales, tetapi sales manager yang mengubah status deal penting.
Contoh desain workflow:
- Trigger masuk, misalnya tiket baru atau laporan harian.
- Sistem mengambil data dengan izin read.
- AI membuat rekomendasi atau draft.
- Output disimpan sebagai draft dengan status pending_review.
- Manusia menyetujui, menolak, atau mengubah.
- Sistem menjalankan aksi write atau execute hanya setelah approval.
- Semua langkah dicatat dalam audit log.
4. Wajibkan audit trail pada setiap keputusan AI
Minimal, simpan informasi berikut:
| Field | Tujuan |
|---|---|
| workflow_id | Mengetahui proses yang memanggil AI |
| owner | Mengetahui penanggung jawab bisnis |
| input_reference | Menautkan ke data sumber tanpa selalu menyimpan data sensitif mentah |
| model_or_vendor | Mengetahui vendor atau model yang dipakai |
| prompt_version | Melacak perubahan instruksi |
| output_summary | Ringkasan hasil AI |
| human_approval | Status approved, rejected, atau edited |
| action_taken | Aksi final yang benar-benar dijalankan |
| timestamp | Waktu kejadian |
| rollback_id | Rujukan bila perlu membatalkan perubahan |
Untuk implementasi awal, tabel database sederhana sudah cukup. Yang penting, keputusan AI tidak menjadi kotak hitam.
5. Versikan prompt, policy, dan workflow
Banyak tim memperlakukan prompt sebagai catatan informal. Itu berbahaya ketika AI mulai memengaruhi keputusan bisnis.
Gunakan versioning untuk:
- Prompt system.
- Template instruksi.
- Mapping field data.
- Policy approval.
- Konfigurasi model atau vendor.
- Workflow automation.
Contoh format versi:
support_reply_prompt_v1.3
Catat perubahan seperti:
- Apa yang berubah.
- Siapa yang menyetujui.
- Kapan mulai dipakai.
- Workflow apa yang terdampak.
- Cara rollback ke versi sebelumnya.
6. Uji workflow sebelum masuk produksi
Pengujian tidak harus rumit. Mulai dengan test case dari skenario bisnis nyata.
Contoh test case:
| Skenario | Input | Output yang diharapkan | Kontrol |
|---|---|---|---|
| Tiket komplain pelanggan | Keluhan produk | Draft empatik dan tidak menjanjikan kompensasi otomatis | Review agent |
| Lead bernilai tinggi | Data CRM | Rekomendasi follow-up | Approval sales manager |
| Laporan finance | Data transaksi | Ringkasan tanpa mengubah angka sumber | Review finance lead |
| Vendor model berubah | Output model baru | Tidak langsung mengganti keputusan final | Canary atau staging |
Jalankan pengujian ulang ketika vendor, model, prompt, field data, atau workflow berubah.
7. Siapkan rollback sejak awal
Rollback bukan hanya urusan deploy aplikasi. Dalam workflow AI, rollback juga berarti membatalkan atau menghentikan dampak proses otomatis.
Siapkan mekanisme berikut:
- Tombol disable workflow.
- Fallback ke proses manual.
- Versi prompt sebelumnya.
- Vendor atau model alternatif bila dibutuhkan.
- Daftar aksi yang sudah dilakukan automation.
- Cara mengirim koreksi ke pelanggan atau tim internal bila output AI keliru.
Untuk n8n, ini bisa berupa workflow flag di database atau environment variable yang dicek sebelum node eksekusi. Untuk Laravel, gunakan feature flag pada job atau service yang memanggil AI API.
8. Tetapkan review berkala atas vendor dan model
Laporan The Register menunjukkan bahwa perdebatan governance tidak selalu hanya berpusat pada vendor. Namun bagi bisnis, vendor tetap harus diinventarisasi dan dievaluasi.
Review berkala sebaiknya mencakup:
- Vendor atau model apa yang dipakai.
- Data apa yang dikirim.
- Apakah output masuk ke proses read-only, write, atau execute.
- Apakah ada perubahan model, endpoint, kebijakan, atau konfigurasi.
- Apakah workflow masih sesuai dengan kebutuhan bisnis.
- Apakah kontrol approval dan logging masih aktif.
Jangan mengasumsikan vendor AI selalu stabil. Dokumentasikan apa yang terjadi ketika vendor atau model berubah.
Expected result
Setelah langkah di atas diterapkan, bisnis akan memiliki:
- Inventaris workflow AI yang jelas.
- Pemilik proses untuk setiap penggunaan AI.
- Pemisahan izin read, write, dan execute.
- Human approval untuk tindakan berisiko.
- Audit trail yang bisa diperiksa saat terjadi kesalahan.
- Test case untuk perubahan prompt, model, vendor, atau integrasi.
- Mekanisme rollback jika workflow AI menghasilkan dampak yang tidak diinginkan.
Hasil akhirnya bukan sekadar kepatuhan, tetapi proses bisnis yang lebih tahan gangguan, lebih mudah diaudit, dan lebih aman untuk diskalakan.
Troubleshooting
Workflow AI sudah berjalan, tetapi tidak ada dokumentasi
Mulai dari inventaris minimum: nama workflow, data yang dipakai, output, owner, dan aksi final. Jangan menunggu dokumentasi lengkap untuk mulai memperbaiki kontrol.
Tim bisnis ingin AI langsung mengeksekusi keputusan
Pisahkan rekomendasi dan eksekusi. Untuk keputusan berisiko, jadikan AI sebagai pembuat draft atau pemberi rekomendasi, bukan pengambil keputusan final.
Satu API key dipakai untuk semua workflow
Buat credential terpisah berdasarkan area dan izin. Minimal pisahkan credential read-only dari credential yang bisa menulis atau mengeksekusi aksi.
Vendor atau model berubah dan output ikut berubah
Aktifkan staging test, bandingkan output lama dan baru, lalu rilis bertahap. Jangan langsung mengubah workflow produksi tanpa test case dan rollback.
Audit log terlalu banyak menyimpan data sensitif
Simpan referensi input, ringkasan output, hash, atau metadata yang cukup untuk audit. Hindari menyimpan data sensitif mentah bila tidak diperlukan.
Ringkasan praktik terbaik
- Perlakukan AI sebagai bagian dari sistem bisnis, bukan fitur eksperimental yang berjalan tanpa owner.
- Dokumentasikan workflow AI, data yang dipakai, keputusan yang boleh diotomatisasi, dan batasan tindakan.
- Pisahkan izin read, write, dan execute.
- Gunakan human approval untuk aksi yang berdampak pada uang, pelanggan, kontrak, akses, atau reputasi.
- Simpan audit trail untuk input, output, versi prompt, vendor atau model, approval, dan aksi final.
- Uji ulang ketika vendor, model, prompt, data source, atau workflow berubah.
- Siapkan rollback dan fallback manual.
- Jangan menyimpulkan bahwa perkembangan legislasi Inggris otomatis berlaku di Indonesia.
Referensi
- Judul: UK cyber bill targets AI users, not the vendors building it
- Publisher: The Register
- URL: https://www.theregister.com/security/2026/09/02/uk-cyber-bill-targets-ai-users-not-the-vendors-building-it/5293738
- Tanggal publikasi sumber: 02 September 2026
Catatan: halaman resmi Cyber Security and Resilience (Network and Information Systems) Bill di UK Parliament disebut sebagai konteks resmi, tetapi tidak dapat diverifikasi langsung dalam sesi riset karena akses HTTP 403 challenge. Karena itu, artikel ini tidak mengklaim detail status hukum di luar fakta yang tersedia dari laporan The Register.