Ketika tim rekrutmen Anda menempelkan CV kandidat ke sebuah asisten AI untuk diringkas, atau tim legal mengirim isi kontrak ke model bahasa untuk dicari klausulnya, terjadi sesuatu yang hampir tidak pernah muncul di dokumen proyek: data pribadi meninggalkan wilayah hukum Indonesia.
Bukan kiasan. Sebagian besar model bahasa yang dipakai perusahaan Indonesia hari ini berjalan di pusat data di Amerika Serikat, Singapura, atau Eropa. Memanggilnya lewat API berarti mengirim isi permintaan itu ke sana. Dan sejak 17 Oktober 2024, ketika masa transisi dua tahun UU No. 27 Tahun 2022 berakhir, perpindahan itu adalah peristiwa yang diatur undang-undang.
Tulisan ini menjelaskan apa yang undang-undang itu minta, kenapa syarat pertamanya sulit dipenuhi hari ini karena alasan yang berada di luar kendali perusahaan mana pun, dan apa yang bisa dikerjakan sementara itu.
Yang berpindah bukan cuma “prompt”
Kekeliruan yang paling sering kami temui bukan soal hukum, melainkan soal cara membayangkan apa yang dikirim. Dalam kepala banyak tim, yang dikirim ke model adalah “pertanyaan”. Pada praktiknya yang dikirim adalah seluruh bahan yang dipakai untuk menjawab pertanyaan itu.
Sebuah asisten yang menjawab pertanyaan tentang kandidat mengirimkan riwayat kerja, pendidikan, nomor telepon, dan alamat kandidat itu. Sebuah asisten yang meringkas keluhan pelanggan mengirimkan nama, nomor kontrak, dan kadang keluhan medis atau keuangan yang termasuk data pribadi spesifik. Sebuah asisten dokumen yang mencari klausul di kontrak mengirimkan seluruh isi kontrak, termasuk identitas para pihak.
Ukurannya sederhana: apa pun yang perlu dibaca model untuk bisa menjawab, itulah yang berpindah.
Apa yang diminta Pasal 56
UU PDP tidak melarang data pribadi keluar dari Indonesia. Ia mensyaratkannya. Pasal 56 menyusun syarat itu berjenjang: bila jenjang pertama tidak terpenuhi, barulah jenjang berikutnya berlaku.
Jenjang pertama: tingkat pelindungan negara tujuan
Pengendali data wajib memastikan negara tempat penerima data berkedudukan memiliki tingkat pelindungan data pribadi yang setara atau lebih tinggi daripada yang diatur UU PDP. Ini jalur yang paling bersih: bila negara tujuan memenuhinya, transfer boleh berjalan tanpa perangkat tambahan.
Jenjang kedua: pelindungan yang memadai dan mengikat
Bila jenjang pertama tidak terpenuhi, transfer tetap dimungkinkan sepanjang ada pelindungan data pribadi yang memadai dan bersifat mengikat. Dalam praktik internasional, bentuk yang paling lazim adalah klausul kontraktual baku — perjanjian yang mengikat penerima di luar negeri pada kewajiban yang setara dengan hukum negara asal data.
Jenjang ketiga: persetujuan eksplisit subjek data
Bila kedua jenjang di atas tidak terpenuhi, transfer memerlukan persetujuan yang diberikan secara sah dan eksplisit oleh subjek data — orang yang datanya dikirim.
Perhatikan bahwa jenjang ketiga adalah yang paling lemah secara operasional, bukan yang paling mudah. Persetujuan harus spesifik, dapat ditarik, dan dapat dibuktikan. Persetujuan yang dikumpulkan lewat satu kotak centang di formulir lamaran hampir pasti tidak memenuhi syarat “eksplisit” untuk sebuah transfer lintas negara yang tidak pernah disebutkan kepada pelamar.
Kenapa jenjang pertama belum bisa dipakai hari ini
Di sinilah letak persoalan yang jarang dibicarakan, dan yang membuat kepatuhan terasa membingungkan bahkan bagi perusahaan yang beritikad baik.
Untuk memakai jenjang pertama, seseorang harus menetapkan negara mana yang tingkat pelindungannya setara atau lebih tinggi. Penetapan semacam itu bukan pekerjaan yang bisa dilakukan sendiri oleh masing-masing perusahaan — ia butuh peraturan pelaksana dan sebuah lembaga yang berwenang menilai.
Keduanya belum ada. Peraturan Pemerintah pelaksana UU PDP telah dirancang tetapi belum ditandatangani. Lembaga pengawas pelindungan data pribadi yang diamanatkan undang-undang belum terbentuk; rancangan Peraturan Presiden pembentukannya masih dalam tahap harmonisasi. Untuk sementara, pengawasan ditangani Kementerian Komunikasi dan Digital lewat Peraturan Menteri Komdigi 1/2025.
Jadi posisi perusahaan Indonesia hari ini ganjil tetapi nyata: kewajibannya sudah mengikat penuh, sementara mekanisme yang akan menjelaskan cara memenuhi jenjang pertamanya belum tersedia. Sanksinya juga sudah berlaku. Pasal 57 mengatur sanksi administratif berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan data pribadi, dan denda paling tinggi dua persen dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran.
Menunggu sampai peraturan pelaksananya terbit bukan posisi yang aman, karena kewajibannya tidak ikut menunggu.
Yang praktis dikerjakan sementara ini
Karena jenjang pertama belum bisa diandalkan, perusahaan yang memakai model AI asing pada praktiknya bersandar pada jenjang kedua — dan memperkuat posisinya dengan mengurangi apa yang perlu dikirim sejak awal.
Kurangi dulu, baru amankan
Langkah paling murah dan paling sering dilewati: periksa apakah data pribadi itu memang perlu ikut terkirim. Banyak kebutuhan sebenarnya selesai tanpa identitas.
- Meringkas keluhan pelanggan jarang memerlukan nama dan nomor kontraknya.
- Menilai kesesuaian kandidat dengan kebutuhan posisi tidak memerlukan alamat dan tanggal lahirnya.
- Mengklasifikasi dokumen sering hanya memerlukan struktur dan istilahnya, bukan identitas para pihak.
Menyaring identitas sebelum data meninggalkan sistem Anda mengubah pertanyaannya: yang berpindah bukan lagi data pribadi. Ini keputusan arsitektur, dan jauh lebih murah diambil saat solusinya dirancang daripada setelah berjalan setahun. Kami membahasnya sebagai bagian dari pengembangan solusi AI.
Ketahui ke mana persisnya data pergi
Banyak perusahaan tidak bisa menjawab pertanyaan sederhana ini: pada permintaan tertentu, data kami mendarat di negara mana. Jawabannya sering berlapis — aplikasi Anda memanggil satu penyedia, penyedia itu memanggil penyedia lain, dan wilayah pemrosesannya bisa berbeda dari kantor pusat penyedia. Tanpa jawaban ini, tidak ada satu pun jenjang Pasal 56 yang bisa diterapkan, karena semuanya bertumpu pada mengetahui tujuan transfernya.
Ikat penerimanya, dan catat
Jenjang kedua menuntut pelindungan yang memadai dan mengikat. Artinya perjanjian, bukan halaman kebijakan privasi penyedia. Sebagian besar penyedia model besar menyediakan adendum pemrosesan data; yang perlu Anda pastikan adalah adendum itu benar-benar ditandatangani untuk akun perusahaan Anda, bukan diasumsikan berlaku.
Sejalan dengan itu, simpan catatan tentang data apa yang dikirim, untuk keperluan apa, dan atas dasar apa. Kewajiban pengendali data untuk dapat menunjukkan bukti pemrosesan tidak hilang hanya karena pemrosesannya dilakukan oleh model AI. Menjaga catatan itu tetap hidup setelah solusinya berjalan adalah bagian dari pengelolaan AI jangka panjang, bukan pekerjaan sekali jadi.
Enam pertanyaan untuk penyedia AI Anda
Bila Anda sedang menimbang sebuah solusi AI, keenam pertanyaan ini memisahkan penyedia yang sudah memikirkan hal ini dari yang belum:
- Pada permintaan biasa, data kami diproses di negara mana? Sebutkan negaranya, bukan nama layanannya.
- Adakah penyedia lain di belakang Anda yang ikut menerima data itu?
- Data kami dipakai untuk melatih model atau tidak, dan bagaimana itu dituangkan dalam perjanjian?
- Berapa lama data kami disimpan di sisi Anda, dan bagaimana cara menghapusnya?
- Bagian mana dari data yang bisa disaring sebelum keluar dari sistem kami?
- Catatan apa yang bisa Anda berikan bila kami diminta menunjukkan bukti pemrosesan?
Penyedia yang menjawab keenamnya dengan tenang biasanya sudah membangun untuk lingkungan yang diatur. Penyedia yang menjawabnya dengan meyakinkan Anda bahwa “datanya aman” belum menjawab satu pun.
Batas tulisan ini
Ini penjelasan, bukan nasihat hukum. Kami membangun solusi AI dan karena itu berhadapan dengan pertanyaan ini di hampir setiap proyek, tetapi penerapan Pasal 56 pada keadaan spesifik perusahaan Anda — jenis datanya, dasar pemrosesannya, rantai penyedianya — perlu ditimbang bersama penasihat hukum Anda. Naskah lengkap UU No. 27 Tahun 2022 tersedia di JDIH resmi, dan layak dibaca oleh siapa pun yang menandatangani perjanjian penyedia AI.
Yang tidak perlu menunggu penasihat hukum adalah pertanyaan pertamanya: pada permintaan tertentu, data perusahaan Anda mendarat di negara mana? Sebagian besar tim belum tahu jawabannya. Mengetahuinya adalah langkah pertama yang murah, dan tanpa itu tidak ada langkah kedua.