Copilot dan EU AI Act

By Mirko Peters · 2025-11-21 · Updated 2026-07-22

Memahami tanggung jawab Copilot dan EU AI Act, termasuk kewajiban deployer, tata kelola, manajemen risiko, transparansi, dan pengawasan manusia.

Automatically translated with AI from the original post. Read the English original

Anda mungkin berpikir bahwa Compliant by Design berarti Anda bisa bersantai. Padahal, pemikiran ini bisa membahayakan grup Anda. EU AI Act memberi Anda tanggung jawab yang nyata. Vendor bukan satu-satunya pihak yang bertanggung jawab. Banyak pemimpin TI dan kepatuhan khawatir tentang asisten AI. Mereka menganggap AI mungkin menampilkan data kepada orang yang seharusnya tidak berhak melihatnya. Microsoft Copilot 365 menggunakan kontrol akses berbasis peran yang kuat. Fitur-fitur ini membantu, tetapi hanyalah awal. Bayangkan seorang pengguna meminta Copilot merangkum file rahasia. Apakah Anda yakin pengaturan Anda sudah menjaga semua data tetap aman?

Poin Penting

• Pelajari tangga risiko EU AI Act. Kasus penggunaan AI Anda menentukan tingkat kepatuhan yang harus dipenuhi. Vendor tidak menentukan hal ini untuk Anda.

• Manfaatkan fitur kepatuhan Copilot. Pastikan Anda mengaturnya dengan benar. Pengaturan default mungkin tidak sesuai dengan aturan EU.

• Catat setiap langkah saat Anda menggunakan AI. Pencatatan yang baik membantu Anda membuktikan bahwa Anda mematuhi aturan. Hal ini dapat membantu Anda menghindari denda besar.

• Latih tim Anda tentang keamanan dan kepatuhan AI. Semua orang sebaiknya tahu apa yang harus dilakukan. Mereka juga perlu memahami aturan penggunaan alat AI.

• Periksa dan perbarui rencana kepatuhan Anda secara berkala. Ikuti terus aturan baru. Hal ini membantu Anda tetap mematuhi hukum.

Penjelasan Tangga Risiko EU AI Act

Kategori Risiko dan Kasus Penggunaan

Anda perlu memahami tangga risiko EU AI Act sebelum menerapkan alat AI apa pun. Undang-undang ini membagi sistem AI ke dalam empat tingkat risiko. Setiap tingkat memiliki aturan berbeda yang harus Anda ikuti. Berikut tabel sederhana yang menunjukkan cara kerja tangga risiko:

Kewajiban Anda meningkat seiring Anda naik ke tingkat yang lebih tinggi pada tangga. Jika Anda menggunakan Copilot atau ChatGPT untuk tugas sederhana seperti menyusun email, Anda termasuk dalam kategori risiko minimal atau terbatas. Jika Anda menggunakan alat ini untuk perekrutan, penilaian kredit, atau saran kesehatan, Anda masuk ke wilayah risiko tinggi. Anda harus mematuhi lebih banyak aturan dan menyimpan catatan yang lebih lengkap.

Mengapa Kasus Penggunaan Lebih Penting daripada Vendor

Anda mungkin berpikir vendor atau model menentukan risiko Anda. Itu tidak benar. Cara Anda menggunakan AI yang menentukan tingkat risiko Anda. Anda harus menyusun kasus penggunaan dan persyaratan yang jelas. Anda perlu mendokumentasikan masalah yang ingin dipecahkan dan memeriksa apakah AI memang solusi yang tepat. Anda juga sebaiknya menilai risiko keluaran serta kontrol kualitasnya. Tanyakan pada diri Anda bagaimana hasil AI akan digunakan dan apa yang bisa salah.

Berikut beberapa contohnya:

• Jika Anda menggunakan Copilot untuk merangkum catatan rapat, Anda menghadapi risiko terbatas.

• Jika Anda menggunakan ChatGPT untuk membantu memutuskan siapa yang mendapat pinjaman, Anda menghadapi risiko tinggi.

• Jika Anda membangun AI sendiri untuk penilaian sosial, Anda menghadapi risiko tidak dapat diterima.

Anda harus berfokus pada kasus penggunaan, bukan hanya merek atau model. Fitur Compliant by Design membantu, tetapi Anda tetap perlu menyesuaikan penggunaan AI dengan tingkat risiko yang tepat dan mematuhi aturan.

Compliant by Design – Kerangka Kepatuhan Copilot

Fitur Bawaan untuk Kepatuhan

Ketika Anda menggunakan Copilot di Microsoft 365, Anda mendapatkan awal yang kuat. Platform ini menyediakan banyak alat untuk membantu menjaga keamanan data Anda. Alat-alat ini bekerja bersama untuk membantu Anda mematuhi aturan. Anda dapat melihat alat utama pada tabel di bawah ini:

Alat-alat ini membantu Copilot mendukung cara kerja Compliant by Design. Anda mendapat bantuan untuk mengelola data, mengontrol siapa yang dapat melihatnya, dan memantau apa yang terjadi. Anda tidak perlu membangun semuanya sendiri. Anda dapat menggunakan alat ini sebagai dasar untuk rencana kepatuhan Anda.

Tips: Copilot tidak menggunakan prompt atau jawaban Anda untuk melatih modelnya. Hal ini menjaga data Anda tetap privat dan menurunkan risiko.

Yang Masih Perlu Anda Konfigurasi sebagai Deployer

Anda tidak bisa hanya menggunakan pengaturan default. Anda perlu melakukan perubahan agar Copilot mengikuti aturan EU AI Act. Compliant by Design membantu Anda memulai, tetapi Anda harus menyelesaikan pekerjaannya. Regulator menginginkan bukti, bukan sekadar janji.

Berikut langkah-langkah untuk memperkuat kepatuhan Anda:

1. Periksa dan perbaiki izin di SharePoint, OneDrive, dan Teams sebelum Anda mengaktifkan Copilot. Hapus akses yang tidak dibutuhkan orang.

2. Terapkan prinsip least privilege. Periksa daftar grup dan pengaturan berbagi. Hanya izinkan orang melihat apa yang mereka butuhkan.

3. Pertimbangkan lisensi E5 jika Anda menginginkan perlindungan data yang lebih baik untuk pengguna yang memiliki data privat.

4. Ajari pengguna Anda. Beri tahu mereka bahwa Copilot mengikuti aturan data Anda. Pastikan semua orang memahami apa yang dapat dan tidak dapat dilakukan Copilot.

Anda harus menetapkan label sensitivitas Purview dan aturan DLP untuk Copilot. Anda perlu mengatur berapa lama data disimpan dan memeriksa log audit. Anda sebaiknya membatasi pencarian SharePoint untuk mencegah terlalu banyak berbagi. Anda harus mendokumentasikan pemeriksaan risiko dan menyimpan catatan atas apa yang Anda lakukan.

Compliant by Design tidak berarti pekerjaan Anda sudah selesai. Anda harus menunjukkan bagaimana Anda menggunakan alat-alat ini dalam pengaturan Anda sendiri. Regulator ingin melihat bukti. Anda perlu menunjukkan bahwa Anda telah melakukan pengaturan, memantau, dan mencatat langkah-langkah kepatuhan Anda.

ChatGPT dan Azure OpenAI – Bring Your Own Governance

Celah Kepatuhan pada ChatGPT Publik

Menggunakan ChatGPT publik merupakan tantangan besar. Copilot memiliki kontrol bawaan, sedangkan ChatGPT tidak. Anda harus membuat aturan dan pemeriksaan keamanan sendiri. Banyak organisasi belajar hal ini dengan cara yang sulit.

Simak kasus pemerintah kota Tromsø. Para pejabat menggunakan AI untuk menulis sebagian besar laporan. Tidak ada yang memeriksa apakah fakta-faktanya benar sebelum laporan dibagikan. Laporan tersebut berisi informasi palsu. Kesalahan ini merusak reputasi mereka dan menimbulkan masalah dalam pekerjaan. Kontrol dengan mudah hilang jika Anda tidak memiliki aturan yang kuat.

Berikut beberapa masalah umum yang perlu Anda perbaiki:

• Tidak ada catatan otomatis atas prompt atau jawaban.

• Tidak ada cara bawaan untuk mencegah kebocoran data atau memberi label pada data sensitif.

• Tidak ada peringatan atau label untuk konten yang dibuat AI.

• Tidak ada pemeriksaan manusia untuk hasil yang penting.

• Tidak ada cara yang jelas untuk membatasi akses atau mengontrol lokasi penyimpanan data.

Anda harus memperbaiki masalah-masalah ini sendiri. EU AI Act mengharuskan Anda menunjukkan cara Anda menangani risiko, mendokumentasikan pilihan Anda, dan menyimpan catatan.

Azure OpenAI sebagai Jalan Tengah

Azure OpenAI memberi Anda kontrol yang lebih besar dibandingkan ChatGPT publik. Anda dapat menggunakan akun kerja, menentukan siapa yang boleh menggunakannya, dan memantau aktivitas pengguna. Anda mendapatkan catatan yang lebih baik dan dapat menjaga data tetap berada di dalam organisasi Anda. Alat-alat ini membantu Anda memenuhi sebagian aturan EU AI Act.

Namun, sebagian besar pekerjaan tetap ada di tangan Anda. Anda perlu:

1. Melakukan Data Protection Impact Assessment untuk setiap cara penggunaannya.

2. Menyimpan Records of Processing Activities.

3. Menyiapkan aturan untuk mencegah kebocoran data dan menentukan berapa lama data disimpan.

4. Memeriksa log dan meninjau hasilnya.

5. Mengajari pengguna cara menggunakan AI dengan aman dan mematuhi aturan.

Azure OpenAI membantu Anda memulai, tetapi Anda harus menyelesaikan pekerjaannya. Anda perlu menunjukkan bukti dengan catatan dan pemeriksaan yang jelas. EU AI Act tidak menerima janji. Anda harus menunjukkan apa yang sudah Anda lakukan.

Survival Kit Deployer untuk EU AI Act

Anda memerlukan rencana sederhana untuk mengikuti aturan EU AI Act. Kit ini membantu Anda tetap terorganisasi. Kit ini menyediakan langkah-langkah mudah, alat, dan tips untuk Copilot, ChatGPT, dan Azure OpenAI. Gunakan kit ini untuk menjaga keamanan organisasi Anda dan menunjukkan kepada regulator bahwa Anda serius terhadap kepatuhan.

Klasifikasi Risiko dan Dokumentasi

Mulailah dengan membuat daftar sistem AI Anda dan cara penggunaannya. Anda harus tahu di mana AI digunakan dan apa fungsi setiap sistem. Ikuti langkah-langkah berikut untuk mengelompokkan dan mendokumentasikan risiko:

1. Catat setiap alat dan model AI yang digunakan, dibuat, didatangkan, atau dijual organisasi Anda di Eropa.

2. Tentukan apakah organisasi Anda adalah provider, deployer, importer, atau distributor untuk setiap sistem.

3. Periksa apakah EU AI Act mencakup setiap sistem atau model.

4. Berikan setiap kasus penggunaan AI tingkat risiko: tidak dapat diterima, tinggi, terbatas, atau minimal.

5. Tinjau kontrak dan periksa detail layanan AI.

6. Buat atau perbarui rencana tata kelola AI Anda agar sesuai dengan aturan EU AI Act.

7. Catat setiap perubahan yang Anda buat pada sistem atau model AI.

Anda harus mencatat setiap langkah yang Anda ambil. Jika catatan Anda tidak memadai, Anda bisa dikenai denda besar.

Deployer yang tidak mencatat apa yang mereka lakukan untuk EU AI Act dapat menghadapi masalah serius, misalnya denda €7,5 juta karena tidak memberikan informasi lengkap kepada regulator, meskipun pilihan risiko mereka sudah tepat.

Mengonfigurasi Purview, DLP, dan Akses

Anda harus menerapkan kontrol yang kuat untuk menjaga keamanan data Anda. Gunakan Purview, Pencegahan Kehilangan Data (DLP), dan kontrol akses untuk memenuhi aturan EU AI Act. Tabel di bawah ini menunjukkan apa yang Anda perlukan:

Kelompokkan aturan DLP Anda agar mencakup kebutuhan umum. Pastikan aturan Anda menggunakan tindakan paling ketat terlebih dahulu. Periksa log audit dan laporan DLP secara rutin untuk memastikan Anda mematuhi aturan.

Pencatatan, Transparansi, dan Pengawasan Manusia

Anda harus melacak penggunaan AI dan menjaga kejelasan. Regulator ingin melihat bagaimana Anda mengendalikan dan memantau sistem Anda. Gunakan praktik terbaik berikut:

Beri label yang jelas pada semua konten yang dibuat AI. Gunakan footer atau watermark untuk menunjukkan kapan AI membantu membuat file atau pesan. Pastikan orang memeriksa keputusan penting, terutama untuk hal seperti perekrutan atau penilaian kredit.

Pelatihan dan Kebijakan Internal

Anda harus melatih tim Anda untuk menggunakan AI secara aman. Susun kebijakan dan pelatihan yang kuat untuk semua orang. Pastikan semua karyawan memahami tugas dan aturan mereka.

• Berikan pelatihan sesuai dengan peran setiap orang, misalnya pengguna bisnis, admin, dan staf kepatuhan.

• Bagikan aturan tentang penggunaan AI yang diperbolehkan dan yang tidak diperbolehkan.

• Gunakan prompt dan pengaturan yang mendukung kepatuhan, misalnya meminta Copilot menampilkan sumber atau menambahkan catatan tinjauan.

• Perbarui aturan Anda seiring perubahan EU AI Act.

Anda dapat menggunakan alat bawaan untuk membantu pengguna memahami pekerjaan mereka. Sediakan panduan yang menjelaskan perbedaan antara model AI tujuan umum dan sistem. Tawarkan paket awal dengan templat dan daftar periksa untuk mendukung kepatuhan.

Rencana Tindakan 30/60/90 Hari dan Komunikasi Internal

Anda memerlukan lini masa untuk menyelesaikan pekerjaan kepatuhan. Berikut rencana tindakan yang sederhana:

30 Hari Pertama:

• Daftarkan semua sistem dan kasus penggunaan AI.

• Tetapkan peran dan tingkat risiko.

• Mulai menyusun DPIA dan RoPA.

60 Hari Berikutnya:

• Siapkan Purview, DLP, dan kontrol akses.

• Aktifkan auditing dan pemantauan.

• Mulai pelatihan untuk tim utama.

90 Hari Terakhir:

• Tinjau dan perbarui aturan.

• Uji pemeriksaan manusia dan label yang jelas.

• Siapkan bukti untuk regulator.

Bagikan pesan ini kepada tim Anda:

Kami menggunakan alat AI dengan rencana Compliant by Design. Semua orang wajib mengikuti aturan dan pelatihan baru kami. Kami akan melacak, memeriksa, dan mencatat setiap langkah untuk memenuhi aturan EU AI Act.

Gunakan kit ini untuk menyusun rencana kepatuhan yang kuat. Anda akan menjaga keamanan kelompok Anda dan membantu semua orang menggunakan AI dengan benar.

Anda sebaiknya tidak hanya percaya pada "compliant by design." Anda perlu menunjukkan bukti bahwa Anda mematuhi aturan. EU AI Act memberi Anda tugas yang jelas. Jika Anda tidak mematuhi aturan, Anda bisa dikenai denda besar. Denda dapat mencapai €15 juta atau 3% dari total pendapatan perusahaan Anda.

Tata kelola AI itu penting. Anda perlu memantau cara Anda menggunakan AI. Anda perlu seseorang yang bertanggung jawab dan langkah-langkah yang dapat diulang. Periksa alat AI Anda secara rutin. Siapkan alat kepatuhan Anda dan catat semua yang Anda lakukan. Gunakan aturan untuk membantu orang mempercayai perusahaan Anda dan menjaga AI tetap aman.

Pertanyaan Umum

Apa arti “compliant by design” untuk Copilot?

“Compliant by design” berarti Copilot menyertakan alat bawaan untuk membantu Anda memenuhi aturan. Anda tetap perlu menyiapkan, memeriksa, dan membuktikan kepatuhan Anda. Anda tidak bisa hanya mengandalkan fitur dari vendor.

Apakah saya perlu menjalankan DPIA untuk Copilot atau ChatGPT?

Ya. Anda wajib menjalankan Data Protection Impact Assessment (DPIA) untuk setiap kasus penggunaan AI. Langkah ini membantu Anda menemukan risiko dan menunjukkan kepada regulator bahwa Anda serius menjaga privasi.

Bagaimana cara membuktikan kepatuhan terhadap EU AI Act?

Anda perlu menyimpan catatan, menyiapkan kontrol, dan menunjukkan log. Regulator ingin melihat bukti, bukan sekadar janji. Gunakan audit log, dokumen risiko, dan catatan pelatihan sebagai bukti.

Bisakah saya menggunakan ChatGPT publik untuk tugas berisiko tinggi?

Tidak. ChatGPT publik tidak memiliki kontrol bawaan untuk tugas berisiko tinggi. Anda wajib menambahkan pemeriksaan keamanan sendiri. Untuk penggunaan yang sensitif, pilih alat dengan fitur kepatuhan yang kuat.

Apa kesalahan terbesar yang dilakukan deployer?

Banyak yang mengira alat dari vendor saja sudah membuat mereka patuh. Anda harus mengonfigurasi, memantau, dan mendokumentasikan semuanya. Bukti selalu lebih berharga daripada janji.

Anda Juga Sebaiknya Dengarkan

Jika Anda sedang meneliti EU AI Act dan Microsoft Copilot, episode-episode berikut menambahkan konteks praktis tentang implementasi, arsitektur, keamanan, dan tata kelola:

• Microsoft Teams Governance – The Illusion of Control — Lihat bagaimana kepemilikan, kebijakan, dan keputusan siklus hidup membentuk operasi Microsoft 365 yang andal.
• Microsoft AI Agent Harness – Simply Explained — Pahami orkestrasi, guardrails, evaluasi, dan observabilitas untuk alur kerja yang didukung AI.
• Azure AI Foundry – Simply Explained — Pelajari bagaimana solusi AI perusahaan dibangun, dievaluasi, diterapkan, dan diatur tata kelolanya.
• Microsoft Defender XDR – Simply Explained — Hubungkan pilihan implementasi dengan visibilitas keamanan, investigasi, dan respons.