Di Luar Ruang Lingkup Bukan Berarti Bebas Risiko: Revisi Risiko Model 2026 Meninggalkan Model yang Justru Dipakai Bank

Lima belas tahun doktrin risiko model ditulis ulang pada April, dan paragraf yang paling menentukan adalah paragraf yang menyebut apa yang tidak dicakup panduan itu. Pada 17 April 2026 Federal Reserve, OCC dan FDIC menerbitkan panduan pengawasan hasil revisi tentang manajemen risiko model, menggantikan kerangka 2011 yang menjadi acuan penataan industri selama satu setengah dekade. Revisi ini cermat, berbasis risiko dan sebagian besar patut disambut. Panduan itu juga menyatakan secara harfiah bahwa model AI generatif dan AI agentik berada di luar ruang lingkupnya — dengan permintaan masukan yang akan menyusul. Bank karenanya berada di masa antara: menerapkan model yang justru dikecualikan kerangka itu, di bawah kerangka yang belum ditulis.

Ringkasan Eksekutif

Kesepakatan 2011 dipensiunkan. SR 26-2 dan OCC Bulletin 2026-13, keduanya bertanggal 17 April 2026, menggantikan panduan pengawasan 2011 yang berlaku lama beserta pelengkapnya dari 2021. Arsitektur tiga pilar — pengembangan yang sehat, uji tanding yang efektif, pemantauan berkelanjutan — tetap dibawa maju.

Proporsionalitas kini eksplisit. Otoritas menyatakan panduan ini diperkirakan paling relevan bagi organisasi perbankan dengan total aset di atas USD 30 miliar, sekaligus tetap relevan bagi institusi lebih kecil yang memikul risiko model signifikan. Itu perubahan penekanan yang berarti, bukan pengecualian.

Pertanyaan AI ditunda, bukan dijawab. AI generatif dan agentik dikecualikan dari panduan ini, dengan permintaan masukan yang akan menyusul membahas manajemen risiko model secara umum dan penggunaan AI oleh bank secara khusus.

Penundaan bukan izin. Pembacaan yang tepat adalah bahwa otoritas belum memutuskan cara mengawasi model-model ini — hal yang secara material berbeda dari memutuskan bahwa model itu tidak butuh tata kelola.

Apa yang Sebenarnya Diubah Otoritas

Singkirkan komentar publik, dan revisi April melakukan tiga hal.

Revisi ini memensiunkan kesepakatan 2011. Panduan pengawasan hasil revisi menggantikan panduan risiko model yang terbit pada 2011 beserta pelengkapnya dari 2021, menutup babak lima belas tahun ketika SR 11-7 menjadi rujukan global de facto bagi tata kelola model, jauh melampaui institusi yang terikat olehnya.

Revisi ini membuat proporsionalitas eksplisit. Panduan diperkirakan paling relevan bagi organisasi perbankan dengan total aset di atas USD 30 miliar, dan tetap relevan bagi organisasi lebih kecil dengan eksposur signifikan terhadap risiko model karena banyaknya dan kompleksitas model atau aktivitas mereka di luar perbankan komunitas tradisional. Tingkat kecanggihan harus mengikuti ukuran, kompleksitas dan profil risiko.

Revisi ini mempertahankan arsitekturnya. Kelayakan konseptual dalam pengembangan, uji tanding yang efektif melalui telaah independen, dan pemantauan berkelanjutan terhadap ambang yang terdokumentasi semuanya bertahan. Institusi yang membangun dengan baik di atas kerangka 2011 tidak sedang memulai dari nol.

Tabel 1: Apa yang berubah, dan apa yang dibawa maju

Elemen	Kerangka 2011	Panduan hasil revisi 2026
Status	SR 11-7 dan pelengkapnya dari 2021	Digantikan dan diganti, 17 April 2026
Arsitektur inti	Pengembangan, validasi, tata kelola	Dibawa maju hampir utuh
Proporsionalitas	Implisit, diterapkan lewat pengawasan	Eksplisit: disesuaikan dengan ukuran, kompleksitas dan profil risiko
Relevansi yang dinyatakan	Luas	Paling relevan di atas total aset USD 30 miliar; tetap relevan di bawahnya bila risiko model signifikan
AI generatif dan agentik	Mendahului pertanyaannya	Secara tegas di luar ruang lingkup, dengan permintaan masukan menyusul

Kalimat yang Menentukan

Sebagian besar revisi ini bersifat evolusioner. Satu bagian tidak:

Model AI generatif dan AI agentik bersifat baru dan berkembang pesat. Karena itu, model-model tersebut tidak termasuk dalam ruang lingkup panduan ini.

Dibaca bersama komitmen menerbitkan permintaan masukan yang membahas manajemen risiko model secara umum, dan penggunaan AI oleh bank termasuk AI generatif dan agentik secara khusus, maknanya cukup jelas. Otoritas tidak menyatakan sistem ini berisiko rendah. Mereka menyatakan belum menuntaskan cara mengawasinya, dan lebih memilih berkonsultasi ketimbang menetapkan kerangka yang akan disalip teknologi cepat gerak dalam satu siklus.

Itu kerajinan regulasi yang bisa dipertahankan. Itu juga posisi yang canggung bagi bank yang sudah menjalankan AI generatif di produksi.

Sebab pertanyaan praktis yang diajukan komite risiko bukan "apakah ini masuk ruang lingkup panduan April?" melainkan "kalau ini salah, kami akan ditanya apa?" Dan jawaban atas pertanyaan kedua tidak berubah.

Di Luar Ruang Lingkup Bukan Berarti Bebas Risiko

Salah baca paling mahal yang tersedia pada 2026 adalah menganggap pengecualian dari panduan risiko model berarti pengecualian dari pengawasan. Tidak begitu. Model yang jatuh di luar kerangka yang satu ini tetap duduk tepat di dalam beberapa kerangka lain.

Tabel 2: Ke mana sistem GenAI di luar ruang lingkup tetap jatuh

Model melakukan ini	Kerangka yang tetap mengikatnya	Pertanyaan yang akan diajukan kepada Anda
Berjalan di atas foundation model vendor	Risiko pihak ketiga dan alih daya	Bisakah Anda membuktikan uji tuntas, jalur keluar dan analisis konsentrasi atas penyedia itu?
Menyentuh keputusan kredit atau penetapan harga	Perlindungan konsumen dan pemberian kredit yang adil	Bisakah Anda menunjukkan hasilnya tidak diskriminatif, dan merekonstruksi alasan hasil itu dicapai?
Berada dalam proses yang menghadap nasabah atau operasional	Risiko operasional dan resiliensi	Apa yang terjadi ketika kinerjanya menurun, dan siapa yang menyadarinya?
Menghasilkan keluaran yang diandalkan staf	Tata kelola dan akuntabilitas senior	Siapa pemilik sistem ini, dan apa yang diberitahukan kepada mereka tentang batasnya?
Diterapkan di Uni Eropa atau Inggris	EU AI Act; PRA SS1/23	Jawaban ruang lingkupnya berbeda di sini — lihat di bawah

Tidak satu pun dari itu kewajiban baru. Justru itu intinya: panduan April mempersempit apa yang dicakup panduan itu sendiri, dan tidak memindahkan apa pun keluar dari kerangka lain.

Ada pula asimetri ekspektasi pengawas yang layak disebut terus terang. Ketika sebuah kerangka diam, pemeriksa tidak ikut diam. Mereka kembali pada ekspektasi umum keamanan dan kesehatan usaha, yang lebih luas dan kurang terprediksi ketimbang standar risiko model tertulis. Berada di luar ruang lingkup aturan spesifik kerap berarti dinilai dengan aturan yang lebih kabur.

Perpecahan Transatlantik yang Kini Harus Dijalankan Bank Grup

Bagi institusi yang beroperasi di kedua sisi Atlantik, keputusan April menciptakan divergensi yang nyata.

Pernyataan pengawasan Inggris tentang prinsip manajemen risiko model untuk bank, SS1/23, berlaku sejak 17 Mei 2024. Pernyataan itu dibangun di atas lima prinsip — identifikasi dan inventaris model, tata kelola, pengembangan dan implementasi serta penggunaan, validasi independen, dan mitigasi bagi model yang memiliki kelemahan — dan sengaja dibuat netral teknologi. Kecerdasan buatan dan machine learning tidak dikecualikan; keduanya justru diperhitungkan.

Jadi model generatif yang sama, diterapkan dalam grup yang sama, pada lini bisnis yang sama, berada di dalam perimeter risiko model Inggris dan di luar perimeter Amerika Serikat yang baru direvisi. Tambahkan kewajiban EU AI Act untuk penerapan di Eropa dan jumlahnya menjadi tiga jawaban, bukan dua.

Institusi hanya punya dua respons yang koheren.

Jalankan satu kerangka pada standar paling ketat. Kelola AI generatif seolah ia masuk ruang lingkup di mana pun, karena ia memang masuk ruang lingkup di suatu yurisdiksi dan akan masuk lebih luas begitu permintaan masukan tuntas. Ini lebih mahal sekarang dan bisa dipertahankan di setiap yurisdiksi.

Jalankan perimeter yang benar-benar terpisah. Secara hukum mungkin, secara operasional menyiksa. Artinya dua inventaris, dua standar validasi dan dua set bukti untuk satu model — plus eksposur reputasi karena harus menjelaskan, setelah insiden, bahwa versi kendali yang seharusnya menangkapnya adalah versi yang diterapkan di yurisdiksi sebelah.

Yang pertama adalah jawaban benar bagi hampir setiap institusi yang cukup besar sehingga hal ini menjadi pertanyaan. Yang kedua adalah yang terjadi secara default ketika tidak ada yang memutuskan.

Apa yang Harus Dilakukan pada Masa Antara

Permintaan masukan akan datang. Jendela antara sekarang dan kerangka yang mapan adalah bagian yang harus dikelola secara sengaja, karena itulah periode ketika penerapan terus berjalan sementara dokumentasi tidak.

Tiga komitmen membuat masa antara itu bisa dilalui.

Inventarisasi sekarang, klasifikasi belakangan. Artefak paling bernilai adalah daftar lengkap tentang di mana sistem generatif dan agentik benar-benar berjalan — termasuk yang dibeli sebagai fitur di dalam produk SaaS, yang justru menjadi tempat sebagian besar di antaranya bersembunyi. Apakah masing-masing secara formal adalah "model" menurut definisi masa depan adalah pertanyaan yang bisa Anda jawab setelah Anda tahu keberadaannya. Anda tidak bisa mengklasifikasi apa yang belum Anda temukan.

Tulis pendekatan validasi yang siap Anda pertahankan. Backtesting tradisional tidak berpindah mulus ke sistem nondeterministik, dan justru karena itulah otoritas menunda. Itu bukan alasan untuk tidak punya pendekatan sama sekali. Pengujian generasi terhadap kasus yang disisihkan, pelacakan pembatalan oleh manusia, analisis hasil paralel terhadap proses eksisting, dan ambang penerimaan yang terdokumentasi semuanya tersedia hari ini dan semuanya terbaca oleh pengawas.

Jawab permintaan masukan itu. Institusi yang sudah membangun pendekatan kerja pada masa antara punya sesuatu yang konkret untuk disampaikan, dan konsultasi adalah tempat standar akhirnya dibentuk. Perusahaan yang diam mewarisi apa pun yang dinegosiasikan pihak yang bersuara.

Buku Panduan Operasional

Tetapkan ulang basis terhadap panduan hasil revisi sekarang. Pastikan model eksisting mana yang bergeser di bawah bahasa proporsionalitas eksplisit, ke kedua arah. Sebagian akan butuh lebih sedikit; sebagian akan butuh lebih banyak.
Jangan keluarkan apa pun dari inventaris model karena pengecualian AI. Penghapusan adalah keputusan yang akan terbaca sangat buruk di kemudian hari, dan penemuan ulang lebih mahal ketimbang mempertahankan.
Tandai setiap sistem generatif dan agentik dalam inventaris sebagai menunggu klasifikasi. Buat masa antara terlihat di dalam daftar, bukan absen darinya.
Petakan masing-masing ke kerangka yang memang mengikatnya — pihak ketiga, operasional, perlindungan konsumen, pemberian kredit yang adil — dan pastikan tiap kerangka punya pemilik bernama.
Adopsi standar transatlantik yang lebih ketat sebagai kebijakan grup. Satu inventaris, satu ambang validasi, satu paket bukti.
Siapkan tanggapan atas permintaan masukan. Itu pengaruh termurah yang tersedia atas standar yang kelak akan dipakai memeriksa Anda.

Otoritas melakukan sesuatu yang masuk akal pada April: mereka menolak menulis aturan bagi teknologi yang belum cukup mereka pahami untuk dibatasi. Tindakan yang sepadan masuk akalnya bagi bank adalah menolak memperlakukan itu sebagai izin.

Pertanyaan yang Sering Diajukan

Apakah panduan April 2026 berarti AI generatif tidak diatur dalam perbankan Amerika Serikat?
Tidak. Artinya model AI generatif dan agentik berada di luar ruang lingkup panduan spesifik itu. Sistem tersebut tetap tunduk pada manajemen risiko pihak ketiga, risiko operasional, perlindungan konsumen, pemberian kredit yang adil dan ekspektasi umum keamanan serta kesehatan usaha. Otoritas juga telah berkomitmen menerbitkan permintaan masukan yang membahas penggunaan AI oleh bank, termasuk AI generatif dan agentik.

Apa persisnya yang digantikan?
Panduan pengawasan hasil revisi, yang diterbitkan 17 April 2026 oleh Federal Reserve, OCC dan FDIC, menggantikan panduan manajemen risiko model 2011 beserta pelengkapnya dari 2021. Arsitektur intinya — pengembangan yang sehat, uji tanding yang efektif, pemantauan berkelanjutan — tetap dibawa maju.

Apakah ambang USD 30 miliar berarti bank yang lebih kecil boleh mengabaikannya?
Tidak. Panduan menyatakan dirinya diperkirakan paling relevan bagi organisasi di atas ukuran itu, dan menambahkan bahwa ia dapat pula relevan bagi organisasi lebih kecil dengan eksposur signifikan terhadap risiko model karena banyaknya dan kompleksitas model mereka, atau aktivitas di luar perbankan komunitas tradisional. Itu pernyataan proporsionalitas, bukan garis pengecualian.

Bagaimana interaksinya dengan SS1/23 di Inggris?
Ia menyimpang darinya. SS1/23, berlaku 17 Mei 2024, bersifat netral teknologi dan tidak mengecualikan AI maupun machine learning. Bank grup yang menjalankan model sama di kedua yurisdiksi kini menghadapi jawaban ruang lingkup yang berbeda, dan karena itu mengelola menurut standar yang lebih ketat adalah rute praktisnya.

Haruskah kami mengeluarkan perangkat AI generatif dari inventaris model kami sekarang setelah berada di luar ruang lingkup?
Tidak — dan ini keputusan yang paling mungkin disesali. Kelengkapan inventaris murah dipelihara dan mahal dibangun ulang. Tandai sistem tersebut sebagai menunggu klasifikasi, sehingga daftar mencerminkan apa yang benar-benar diterapkan ketika kerangkanya tiba.

Referensi

Board of Governors of the Federal Reserve System, 2026. SR 26-2: Revised Guidance on Model Risk Management. Washington, DC: Federal Reserve. Tersedia di: Board of Governors of the Federal Reserve System, 2026..
Office of the Comptroller of the Currency, 2026. OCC Bulletin 2026-13, Model Risk Management: Revised Guidance. Washington, DC: OCC. Tersedia di: Office of the Comptroller of the Currency, 2026..
Prudential Regulation Authority, 2023. SS1/23, Model risk management principles for banks. London: Bank of England. Tersedia di: Prudential Regulation Authority, 2023..
European Parliament and Council of the European Union, 2024. Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Brussels: Official Journal of the European Union. Tersedia di: European Parliament and Council of the European Union, 2024..

Terakhir ditinjau 2026-08-08.

Terbitkan ulang artikel ini

Di Luar Ruang Lingkup Bukan Berarti Bebas Risiko: Revisi 2026 — Sebastien Rousseau

Revisi risiko model April 2026 menempatkan AI generatif dan agentik secara tegas di luar ruang lingkup. Di luar ruang lingkup bukan berarti bebas risiko.

Artikel ini berlisensi Creative Commons Attribution 4.0 International. Penerbitan ulang memerlukan atribusi ke URL kanonis.

Di Luar Ruang Lingkup Bukan Berarti Bebas Risiko: Revisi 2026 — Sebastien Rousseau

Revisi risiko model April 2026 menempatkan AI generatif dan agentik secara tegas di luar ruang lingkup. Di luar ruang lingkup bukan berarti bebas risiko.

Originally published at https://sebastienrousseau.com/id/2026-07-30-model-risk-management-generative-ai-out-of-scope-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER