Sistem AI medis tidak selesai diuji ketika model menghasilkan jawaban atau prediksi sesuai spesifikasi. Rumah sakit juga perlu membuktikan cara data diproses, hasil ditelusuri, dan keputusan diawasi. Di Indonesia, lapisan hukum umum mencakup UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang tercatat berstatus berlaku. Pemeriksaan sebelum peluncuran harus menghubungkan kewajiban itu dengan bukti teknis yang bisa diuji.

Dinding yang tersusun dari banyak balok kecil sebagai gambaran kontrol pada platform data kesehatan (ilustrasi)

Log audit tidak boleh menjadi salinan data pasien

Log audit dibutuhkan untuk mengetahui siapa menjalankan proses, kapan proses terjadi, dan hasil kontrol apa yang muncul. Nilai audit itu hilang bila catatan justru membuka permukaan kebocoran baru. OWASP menyarankan data kesehatan, pengenal pemerintah, token akses, kata sandi, dan kunci enkripsi tidak dicatat langsung. Data tersebut perlu dihapus, disamarkan, diacak, dibuat pseudonim, atau dienkripsi sesuai kebutuhan.

Tim pengembang perlu menetapkan skema log sebelum alur AI menerima data produksi. Catatan bisa memuat identitas proses, waktu, versi aturan, status pemeriksaan, dan pengenal transaksi yang aman. Uji peluncuran harus memasukkan contoh kesalahan, permintaan gagal, dan keluaran debug. Tujuannya memastikan jalur tidak normal juga tidak mencetak rekam medis atau kredensial.

Petugas memeriksa catatan audit dan aturan pemrosesan AI medis (ilustrasi)

Deidentifikasi harus diuji sebagai pengendalian risiko

Menghapus nama dan nomor identitas bukan bukti bahwa kumpulan data sudah aman dibagikan. Kombinasi usia, lokasi, waktu layanan, dan atribut lain masih bisa mengarah kepada seseorang. NIST SP 800-188 meminta tujuan, model berbagi, dan risiko identifikasi ulang dinilai sebelum data hasil deidentifikasi dilepas. Panduan itu juga membedakan publikasi terbuka, data sintetis, antarmuka kueri, dan lingkungan terlindungi nonpublik.

Arsitektur karena itu perlu dimulai dari arus data, bukan nama teknik. Pengelola harus memetakan data yang tetap berada di fasilitas, bagian yang dikirim ke penyedia, dan pihak yang memegang tabel penghubung. Pengujian identifikasi ulang perlu memakai kondisi penerima yang realistis. Klaim deidentifikasi tanpa ukuran risiko hanya menjelaskan proses, bukan tingkat perlindungan.

Pemisahan data asli, data terdeidentifikasi, dan layanan komputasi dalam sistem kesehatan (ilustrasi)

Versi model, aturan, dan sumber jawaban harus tercatat

Keluaran AI bisa berubah ketika model, instruksi, basis pengetahuan, atau aturan penyaringan diperbarui. Audit yang hanya menyimpan jawaban akhir tidak menjelaskan kondisi sistem saat keputusan dibuat. NIST AI RMF meminta batas pengetahuan, cara keluaran diawasi manusia, metrik pengujian, dan kinerja produksi didokumentasikan. Kerangka itu juga menempatkan pemantauan sebagai kegiatan sepanjang siklus hidup sistem.

Setiap transaksi perlu dihubungkan dengan versi komponen yang benar-benar dipakai. Untuk sistem berbasis pencarian, catatan juga harus menunjukkan dokumen sumber dan waktu pengambilannya. Keterlacakan membantu tim mengulang pemeriksaan setelah insiden atau perubahan aturan. Namun, keberadaan tautan sumber belum membuktikan bahwa ringkasan model akurat.

Setiap hasil AI dihubungkan dengan versi model, aturan, dan dokumen sumber (ilustrasi)

Pengawasan manusia memerlukan kewenangan yang nyata

Tombol persetujuan manusia tidak otomatis menciptakan pengawasan. Organisasi perlu menetapkan orang yang menilai keluaran, kompetensi yang dibutuhkan, waktu respons, dan kewenangan menghentikan sistem. WHO menempatkan manusia sebagai pemegang kendali atas sistem kesehatan dan keputusan medis. WHO juga meminta mekanisme pertanggungjawaban dan pemulihan bagi pihak yang dirugikan oleh keputusan berbasis algoritme.

JDIH Kementerian Komunikasi dan Digital (Komdigi) memuat prinsip nasional yang bergerak ke arah yang sama. Surat Edaran Menteri Komunikasi dan Informatika No. 9 Tahun 2023 menempatkan AI sebagai pendukung aktivitas manusia. Dokumen itu juga menyatakan AI tidak menjadi penentu kebijakan atau keputusan yang menyangkut kemanusiaan. Dalam layanan kesehatan, pembagian peran perlu diterjemahkan menjadi prosedur dan jalur eskalasi.

Rahasia sistem harus diuji di jalur kesalahan

Kunci antarmuka pemrograman, token, sertifikat, dan kata sandi bisa bocor melalui pesan kesalahan atau alat pemantauan. Risiko ini sering muncul saat aplikasi gagal terhubung ke layanan lain. Pemeriksaan pola penyamaran perlu mencakup seluruh format rahasia yang dipakai. Tim juga harus menguji keluaran aplikasi, sistem pelacakan, dan dukungan pelanggan.

Rencana respons tidak boleh berhenti pada penghapusan baris log. OWASP meminta kunci yang terpapar segera dicabut, diganti, dan dihapus dari sistem yang terekspos. Riwayat akses dan rotasi perlu tersedia bagi tim penanganan insiden. Uji peluncuran harus membuktikan proses tersebut bekerja tanpa bergantung pada satu orang.

Kunci digital keluar dari celah pada sistem yang seharusnya melindungi data (ilustrasi)

Kepatuhan perlu anggaran, pemilik risiko, dan jadwal ulang

Kontrol teknis memerlukan biaya integrasi, pengujian, penyimpanan log, dan tenaga penelaah. Biaya itu mudah ditunda bila manfaat hanya dihitung sebagai insiden yang tidak terjadi. Keputusan peluncuran perlu mencatat pemilik risiko dan risiko sisa yang diterima. Tinjauan ulang juga harus dipicu oleh perubahan model, data, penyedia, atau fungsi klinis.

Dokumen Indonesia belum menyediakan daftar pemeriksaan teknis final yang mencakup seluruh lapisan tersebut. Badan Kebijakan Pembangunan Kesehatan pada 2026 masih mengkaji kerangka AI kesehatan yang operasional dan terstandar. Pertanyaan kebijakannya mencakup keselamatan pasien, pelindungan data pribadi, dan keandalan hasil AI. Catatan itu menunjukkan proses penyusunan, bukan standar final bagi fasilitas pelayanan kesehatan.

Tim rumah sakit menilai biaya, risiko, dan jadwal pemeriksaan sistem AI (ilustrasi)

Enam bukti harus tersedia sebelum peluncuran

Persetujuan peluncuran membutuhkan enam kelompok bukti. Isinya mencakup sampel log aman, penilaian identifikasi ulang, daftar versi, prosedur pengawasan, uji kebocoran rahasia, dan catatan penerimaan risiko. Satu dokumen kebijakan tidak menggantikan pengujian terhadap sistem produksi. Bukti juga perlu diperbarui setelah komponen atau tujuan penggunaan berubah.

Sampai artikel ini disusun, kami belum menemukan standar final dari lembaga di Indonesia yang merinci seluruh pemeriksaan teknis AI untuk fasilitas kesehatan. Kesenjangan itu tidak berarti fasilitas boleh menunda tata kelola. UU Pelindungan Data Pribadi, pedoman etika Komdigi, prinsip WHO, dan kerangka teknis internasional memberi lapisan acuan yang berbeda. Pengelola tetap perlu mencatat bagian yang belum diatur dan keputusan sementara yang diambil.