Cari kata “kecerdasan artifisial” di dalam Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Tidak ada. Cari “algoritma”, “pembelajaran mesin”, atau “model”. Juga tidak ada.
Bagi sebagian tim, ketiadaan itu terbaca sebagai kabar baik — seolah aturannya belum menjangkau apa yang sedang mereka bangun. Pembacaan itu terbalik, dan mahal.
Yang diatur adalah datanya, bukan mesinnya
UU PDP mengatur data pribadi dan apa yang boleh dilakukan terhadapnya. Ia tidak peduli teknologi apa yang melakukannya. Menyalin data karyawan ke spreadsheet, mengirimkannya ke vendor, atau memasukkannya ke sebuah model bahasa — ketiganya adalah pemrosesan data pribadi, dan ketiganya tunduk pada kewajiban yang sama.
Justru karena undang-undangnya netral terhadap teknologi, penerapannya pada AI tidak datang jadi. Tidak ada pasal berjudul “Kecerdasan Artifisial” yang bisa dibaca dan dicentang. Setiap perusahaan harus menurunkannya sendiri, dari kewajiban umum ke keadaan konkret sistemnya. Itulah pekerjaan yang sebenarnya, dan itulah yang paling sering dilewati.
Undang-undang ini mengikat penuh sejak 17 Oktober 2024, setelah masa transisi dua tahun. Pasal 57 menyediakan sanksi administratif berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan, penghapusan atau pemusnahan data pribadi, sampai denda paling tinggi dua persen dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran.
Empat kewajiban yang jadi lebih sulit karena AI
Kewajibannya tidak bertambah ketika AI masuk. Yang berubah adalah tingkat kesulitan memenuhinya — dan pada empat titik ini perubahannya tajam.
1. Dasar pemrosesan jadi pertanyaan yang lebih tajam
Setiap pemrosesan data pribadi memerlukan dasar. Persetujuan hanyalah salah satunya, dan sering bukan yang paling tepat — terutama dalam hubungan kerja, tempat kedudukan kedua pihak tidak setara sehingga “persetujuan” karyawan sulit disebut benar-benar bebas.
Yang membuat AI menajamkan pertanyaan ini: dasar pemrosesan terikat pada tujuan. Data yang dikumpulkan untuk memproses lamaran kerja punya tujuan yang jelas. Memasukkan data yang sama ke sebuah model untuk membuat peringkat kandidat adalah tujuan yang berbeda, dan tujuan baru menuntut dasar yang diperiksa ulang — bukan diwarisi begitu saja dari formulir yang sudah ditandatangani setahun lalu.
2. Penilaian dampak berhenti jadi formalitas
UU PDP mewajibkan penilaian dampak pelindungan data ketika pemrosesan berpotensi mengancam hak subjek data secara signifikan. Pemrosesan yang memberi skor, memeringkat, atau menyaring orang adalah contoh paling lugas dari keadaan itu.
Penilaian dampak yang jujur untuk sistem AI menanyakan hal-hal yang tidak nyaman: apa yang terjadi bila modelnya salah, siapa yang paling dirugikan, bagaimana orang yang dirugikan mengetahuinya, dan apa jalan keluarnya. Dokumen yang tidak menjawab keempatnya belum menjadi penilaian dampak; ia baru menjadi berkas.
3. Pemberitahuan kebocoran 3×24 jam mengandaikan Anda tahu
Pasal 46 mewajibkan pengendali data memberi tahu subjek data terdampak dan lembaga pengawas dalam waktu 3×24 jam sejak mengetahui adanya pelanggaran data pribadi. Pemberitahuannya harus memuat data apa yang terungkap, kapan dan bagaimana kebocoran terjadi, serta penanganan yang sudah dilakukan.
Ketiga hal itu mudah dituliskan bila kebocorannya terjadi di sistem Anda sendiri. Menjadi jauh lebih sulit bila terjadi di rantai penyedia — aplikasi Anda memanggil satu penyedia, penyedia itu memanggil penyedia lain. Pertanyaan yang perlu dijawab sebelum ada insiden, bukan sesudahnya: dari mana Anda akan tahu, dan berapa lama kabarnya sampai?
Jam 3×24 itu berjalan sejak Anda mengetahui. Rantai penyedia yang tidak berkewajiban memberi tahu Anda dengan cepat tidak menghentikan jam itu; ia hanya membuat Anda terlambat memulainya.
4. Kewajiban menunjuk pejabat pelindungan data bisa ikut terpicu
Pasal 53 mewajibkan penunjukan pejabat pelindungan data pada tiga keadaan: pemrosesan untuk kepentingan pelayanan publik; kegiatan inti yang sifatnya menuntut pemantauan sistematis terhadap data pribadi secara berskala besar; dan pemrosesan data pribadi spesifik.
Keadaan kedua itu layak dibaca pelan-pelan oleh siapa pun yang sedang menerapkan AI secara luas. Sistem yang terus-menerus menilai kandidat, pelanggan, atau karyawan bukan pemrosesan sesekali — ia pemantauan sistematis, dan skalanya justru yang menjadi alasan AI dipakai sejak awal.
Dan satu lagi yang paling sering terlewat
Sebagian besar model AI yang dipakai perusahaan Indonesia berjalan di luar negeri. Memanggilnya berarti memindahkan data pribadi ke luar wilayah hukum Indonesia, dan Pasal 56 mengatur perpindahan itu lewat tiga syarat berjenjang. Karena peraturan pelaksananya belum terbit, syarat pertamanya belum bisa dipakai siapa pun hari ini — persoalan yang dibahas terpisah di tulisan tentang data yang keluar dari Indonesia.
Yang tidak dikatakan undang-undang ini
UU PDP tidak melarang AI. Ia tidak melarang data pribadi diproses, tidak melarang keputusan dibantu mesin, dan tidak melarang data dikirim ke luar negeri. Yang diaturnya adalah syarat, catatan, dan tanggung jawab.
Karena itu jawaban “kalau begitu jangan pakai AI dulu” bukan kepatuhan, melainkan penundaan yang menyamar. Perusahaan yang menundanya tetap memproses data pribadi setiap hari dengan cara lain, di bawah kewajiban yang sama persis.
Yang membedakan bukan memakai AI atau tidak, melainkan apakah pemakaiannya dirancang dengan pertanyaan ini terjawab sejak awal atau dibiarkan muncul belakangan. Menjawabnya di tahap perancangan jauh lebih murah daripada menyusunnya ulang setelah sistemnya berjalan setahun — dan itu bagian dari cara kami mengembangkan solusi AI, bukan lampiran di akhir proyek.
Tiga pertanyaan untuk dijawab minggu ini
- Data pribadi apa saja yang saat ini masuk ke sistem AI kami, dan atas dasar apa?
- Bila penyedia kami mengalami kebocoran, dari mana kami akan tahu, dan dalam berapa lama?
- Sudahkah ada penilaian dampak untuk pemrosesan yang memberi skor atau memeringkat orang?
Ketiganya tidak menuntut penasihat hukum untuk mulai dijawab. Ketiganya juga tidak bisa dijawab oleh siapa pun di luar perusahaan Anda.
Batas tulisan ini
Ini penjelasan, bukan nasihat hukum. Kami membangun solusi AI dan berhadapan dengan pertanyaan-pertanyaan ini di hampir setiap proyek, tetapi penerapan UU PDP pada keadaan spesifik perusahaan Anda perlu ditimbang bersama penasihat hukum Anda. Naskah lengkap Undang-Undang Nomor 27 Tahun 2022 tersedia di JDIH resmi, dan layak dibaca oleh siapa pun yang menandatangani perjanjian penyedia AI.