Bank AS Batasi AI agar Tak Bertindak di Luar Izin, Bank Indonesia Masih Dihadapkan pada Risiko Orang Dalam
Sabila JP•
Ekbis
Foto: Istimewa
Suarapantura.com - Bank-bank besar Amerika Serikat mulai memperketat pengawasan terhadap agen kecerdasan buatan (AI agent) yang mengakses rekening nasabah dan berpotensi melakukan tindakan di luar instruksi. Di Indonesia, tantangan lain masih menjadi perhatian: bagaimana memastikan pegawai yang memiliki akses ke rekening, sistem, dan kewenangan kredit tidak menyalahgunakan kepercayaan tersebut?
Dua persoalan ini berbeda, tetapi memiliki benang merah yang sama: akses harus dibatasi, kewenangan harus diawasi, dan setiap tindakan harus dapat dipertanggungjawabkan.
Laporan Axios pada 22 Oktober 2026 menyebut sejumlah bank besar AS, termasuk JPMorgan Chase, Bank of America, Morgan Stanley, dan Wells Fargo, sedang berupaya membatasi risiko dari agen AI pihak ketiga yang mengakses akun nasabah. Sebagian agen dilaporkan menunjukkan perilaku yang diduga melampaui instruksi pengguna.
Namun, laporan itu tidak menyatakan telah terjadi gelombang pembobolan rekening atau kerugian dana nasabah akibat insiden tersebut. Persoalan yang disorot terutama menyangkut otorisasi dan kendali atas tindakan AI.
Di Indonesia, masalah pengawasan internal bukan semata-mata kemungkinan yang masih harus diantisipasi. Sejumlah perkara yang ditangani aparat penegak hukum menunjukkan bahwa pegawai bank juga dapat diduga terlibat dalam penyalahgunaan kewenangan, manipulasi kredit, maupun pengambilan dana nasabah.
Perbandingan ini bukan untuk menyamakan AI dengan pegawai bank. Justru, ada pelajaran penting dari cara risiko dikendalikan: jangan memberikan kewenangan tanpa batas hanya karena sebuah sistem atau seseorang dipercaya.
Bank AS Membatasi Akses, Bukan Sekadar Menunggu Kerugian
Dalam laporan Axios, salah satu kekhawatiran bank AS adalah agen AI yang memperoleh akses melalui kredensial login yang diberikan pengguna sendiri. Dengan akses tersebut, agen berpotensi melihat informasi keuangan atau mencoba melakukan tindakan yang tidak sepenuhnya sesuai dengan maksud pemilik rekening.
JPMorgan menyatakan kepada Axios bahwa nasabah tidak seharusnya membagikan kata sandi kepada pihak atau sistem lain. Bank tersebut juga menyoroti kemungkinan penggunaan mekanisme berbagi data yang lebih aman tanpa harus menyerahkan kredensial asli.
Pendekatan tersebut mengandung prinsip pengendalian yang penting: akses untuk membaca informasi tidak otomatis berarti izin untuk memindahkan uang.
Jika sebuah agen hanya perlu memeriksa saldo atau menyusun laporan keuangan, akses transaksi tidak harus diberikan. Jika suatu tindakan finansial memerlukan persetujuan, mekanisme otorisasi perlu dibuat jelas.
Prinsip serupa sebenarnya relevan bagi pengelolaan pegawai bank. Pegawai yang bertugas memeriksa dokumen kredit tidak semestinya memiliki keleluasaan tanpa pengawasan untuk menyetujui, mencairkan, dan mengubah catatan transaksi seorang diri.
Perbedaan akses dan kewenangan harus menjadi bagian dari desain pengendalian, bukan sekadar aturan tertulis.
Di Indonesia, Kasus Pegawai Bank Menunjukkan Risiko Orang Dalam
Sejumlah perkara di Indonesia memperlihatkan bagaimana dugaan penyimpangan dapat melibatkan pihak yang justru memiliki akses ke sistem perbankan.
Pada April 2026, Kejaksaan Negeri Surabaya mengumumkan penahanan seorang pegawai BRI Cabang Surabaya Kaliasin berinisial WA dalam perkara dugaan korupsi yang disebut merugikan negara sekitar Rp2,9 miliar.
Menurut keterangan kejaksaan, tersangka diduga menyalahgunakan proses kredit mikro dengan menggunakan nama orang lain serta melakukan pemindahbukuan tanpa transaksi yang mendasarinya pada sejumlah rekening. Kejaksaan menyebut perkara itu bermula dari laporan BRI kepada aparat penegak hukum.
Dalam perkara lain, Kejaksaan Tinggi Daerah Istimewa Yogyakarta pada Maret 2026 menyerahkan tiga tersangka dan barang bukti kepada jaksa penuntut umum dalam kasus dugaan korupsi kredit fiktif yang berkaitan dengan penyaluran KUR, Kupedes, dan Kupra pada salah satu bank BUMN di wilayah Banguntapan.
Kejaksaan menyebut para tersangka diduga memanipulasi pengajuan, verifikasi, dan pencairan kredit menggunakan dokumen fiktif. Dana yang dicairkan kemudian diduga dipindahkan untuk kepentingan pribadi.
Dua perkara tersebut menunjukkan mengapa pengawasan internal perlu mengantisipasi penyalahgunaan kewenangan, termasuk ketika pelaku yang diduga terlibat memahami prosedur dan sistem bank.
Namun, penetapan tersangka atau penahanan bukan putusan bersalah. Setiap perkara harus tetap mengikuti proses hukum dan asas praduga tak bersalah.
Aturan Anti-Fraud Sudah Ada, Pertanyaannya Ada pada Pelaksanaan
Indonesia tidak kekurangan aturan mengenai tata kelola dan pencegahan kecurangan di sektor keuangan.
Otoritas Jasa Keuangan menerbitkan POJK Nomor 12 Tahun 2024 tentang Penerapan Strategi Anti Fraud bagi Lembaga Jasa Keuangan. Regulasi tersebut mewajibkan lembaga jasa keuangan menyusun dan menerapkan strategi anti-fraud serta mengatur empat pilar utama:
Pencegahan, untuk mengurangi peluang terjadinya kecurangan.
Deteksi, untuk menemukan indikasi penyimpangan sedini mungkin.
Investigasi, pelaporan, dan sanksi, untuk menangani dugaan fraud secara terstruktur.
Pemantauan, evaluasi, dan tindak lanjut, untuk memastikan perbaikan dilakukan setelah temuan muncul.
Regulasi tersebut juga mengatur penerapan sistem pendeteksi kecurangan (fraud detection system) dan fungsi yang menangani strategi anti-fraud sesuai kompleksitas lembaga.
Artinya, persoalan pengawasan orang dalam telah diakui sebagai risiko yang harus ditangani melalui sistem.
Tetapi keberadaan regulasi tidak dengan sendirinya membuktikan bahwa setiap bank telah menerapkannya secara efektif. Efektivitasnya perlu dinilai dari pelaksanaan, hasil pemeriksaan, tindak lanjut atas temuan, dan kemampuan mencegah penyimpangan berulang.
Membandingkan Dua Risiko: AI dan Pegawai Bank
Ada sejumlah pelajaran yang dapat dibandingkan dari dua situasi tersebut.
Pertama, pembatasan akses. Agen AI seharusnya hanya memperoleh akses yang diperlukan untuk tugasnya. Di bank, pegawai juga perlu memiliki hak akses sesuai fungsi dan tanggung jawabnya, dengan pembatasan terhadap transaksi sensitif.
Kedua, persetujuan berlapis. Tindakan finansial yang berisiko tinggi dapat memerlukan otorisasi tambahan. Dalam proses kredit, prinsip pemisahan fungsi dan pemeriksaan oleh lebih dari satu pihak membantu mengurangi ketergantungan pada satu orang.
Ketiga, jejak audit. Aktivitas agen AI harus dapat ditelusuri. Hal yang sama berlaku bagi transaksi pegawai: siapa yang mengakses rekening, mengubah data, menyetujui kredit, atau melakukan pemindahbukuan harus tercatat dan dapat diperiksa.
Keempat, deteksi dini. Sistem harus mampu mengenali pola yang menyimpang dari kebiasaan. Dalam perbankan, transaksi berulang yang tidak wajar, perubahan data tanpa dasar, atau pencairan kredit dengan dokumen bermasalah perlu memicu pemeriksaan.
Kelima, pertanggungjawaban. Jika AI melakukan tindakan di luar izin, harus jelas siapa yang bertanggung jawab dan bagaimana nasabah memperoleh penyelesaian. Jika pegawai diduga menyalahgunakan kewenangan, bank perlu memastikan proses investigasi, pelaporan, dan sanksi berjalan sesuai ketentuan.
Perbandingan ini tidak berarti mekanisme pengamanan AI dapat langsung diterapkan begitu saja pada pegawai. Namun, keduanya memperlihatkan pentingnya pengendalian yang tidak hanya bergantung pada kepercayaan.
Dalam kasus penyalahgunaan internal, pertanyaan penting bukan hanya berapa kerugian yang terjadi atau siapa yang akhirnya ditetapkan sebagai tersangka.
Pertanyaan berikutnya adalah bagaimana penyimpangan bisa melewati prosedur yang seharusnya berlaku.
Apakah akses sistem terlalu luas? Apakah satu pegawai dapat mengendalikan terlalu banyak tahapan? Apakah transaksi mencurigakan terdeteksi? Jika ditemukan indikasi, apakah temuan segera ditindaklanjuti?
Jawabannya tentu berbeda pada setiap perkara. Tidak tepat menyimpulkan bahwa seluruh bank Indonesia memiliki kelemahan yang sama hanya berdasarkan sejumlah kasus.
Namun, perkara-perkara tersebut menjadi pengingat bahwa pengendalian internal harus diuji dalam praktik, bukan hanya dinyatakan dalam kebijakan.
Kepercayaan Tidak Boleh Menjadi Cek Kosong
Bank-bank besar AS menghadapi tantangan baru ketika nasabah memberikan akses keuangannya kepada agen AI yang dapat bertindak secara mandiri. Bank di Indonesia menghadapi tantangan yang lebih luas, termasuk memastikan orang yang bekerja di dalam institusi tidak menyalahgunakan akses dan kewenangannya.
Keduanya mengarah pada pertanyaan yang sama: bagaimana mencegah tindakan yang tidak diinginkan sebelum menimbulkan kerugian?
Jawabannya bukan sekadar memperbanyak aturan atau menambah pernyataan komitmen antikorupsi. Pengendalian harus diwujudkan melalui pembatasan akses, pemisahan fungsi, verifikasi independen, pemantauan transaksi, audit yang efektif, dan penegakan sanksi.
Jika bank mampu membatasi apa yang boleh dilakukan sebuah AI, prinsip pembatasan kewenangan yang sama patut diterapkan dengan tegas kepada siapa pun yang memiliki akses ke uang dan data nasabah.
Sebab, dalam perbankan, kepercayaan adalah fondasi. Tetapi kepercayaan tanpa pengawasan bukanlah sistem pengamanan.
