Audit hukum dan panduan praktis AIGEO.ID — 26 Oktober 2026. Apakah aman memasukkan foto KTP, nomor induk kependudukan (NIK), daftar pelanggan, hasil pemeriksaan kesehatan, berkas rekrutmen, atau dokumen perusahaan ke ChatGPT dan layanan kecerdasan buatan lainnya? Pertanyaan itu kini muncul di kantor pemerintah, bank, rumah sakit, sekolah, media, usaha kecil, hingga percakapan keluarga. Jawaban yang bertanggung jawab bukan “semuanya dilarang” dan bukan “aman selama aplikasi terkenal”. Jawabannya bergantung pada jenis data, dasar hukum, tujuan, pengelola layanan, alur transfer, serta kontrol teknis yang benar-benar tersedia.
AIGEO.ID menelaah naskah asli Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) dan mengubah pasal-pasal kuncinya menjadi matriks keputusan yang bisa digunakan ulang. Kami juga menyusun simulasi besaran denda administratif yang sering salah dipahami. Fokusnya bukan menuduh satu platform melanggar hukum, melainkan menilai kapan organisasi di Indonesia boleh memproses data dengan artificial intelligence (AI), atau kecerdasan buatan, dan bagaimana membuktikan kepatuhannya.
Temuan utama: memakai AI bukan pengecualian terhadap UU PDP
Pasal 1 mendefinisikan data pribadi sebagai informasi tentang orang yang teridentifikasi atau dapat diidentifikasi, baik berdiri sendiri maupun setelah digabungkan dengan informasi lain. Jadi, menghapus nama saja belum tentu menghilangkan status data pribadi. Kombinasi tanggal lahir, alamat kecil, jabatan, dan riwayat transaksi masih mungkin mengidentifikasi seseorang. Perlu dibedakan antara anonimisasi yang efektif—tidak lagi dapat mengidentifikasi seseorang secara wajar—dengan pseudonimisasi, yakni mengganti identitas langsung dengan kode tetapi tetap memungkinkan pencocokan melalui informasi tambahan.
Pasal 16 juga mendefinisikan pemrosesan secara luas: pengumpulan, analisis, penyimpanan, penampilan, penyebarluasan, transfer, hingga penghapusan. Mengunggah dokumen ke model AI pihak ketiga untuk diringkas dapat mencakup lebih dari satu tahap tersebut. Karena itu, pertanyaan paling penting bukan “apakah model ini pintar?”, tetapi “siapa menentukan tujuan pemrosesan, siapa menjadi penyedia/prosesor, apa dasar pemrosesannya, data bergerak ke mana, dan bagaimana penghapusannya dibuktikan?”
Peta pasal UU PDP yang benar-benar relevan
| Ketentuan primer | Isi yang perlu diuji | Implikasi ketika memakai AI |
|---|---|---|
| Pasal 4 | Data umum dan data spesifik | Data kesehatan, biometrik, genetika, catatan kejahatan, data anak, serta keuangan pribadi memerlukan perlindungan lebih cermat. |
| Pasal 16, 20–22 | Prinsip tujuan, dasar pemrosesan, dan persetujuan jika dipakai | Tidak cukup sekadar mempunyai akun AI; tujuan dan dasar hukum harus jelas sebelum mengunggah data orang lain. |
| Pasal 27–29, 35–37 | Pembatasan tujuan, akurasi, keamanan, kerahasiaan, pengawasan pihak terkait | Organisasi perlu pembatasan input, kontrol akses, verifikasi hasil, dan pengawasan vendor. |
| Pasal 34 | Penilaian dampak untuk pemrosesan berisiko tinggi | Skoring otomatis, data spesifik, skala besar, dan penggunaan teknologi baru adalah pemicu penting penilaian dampak. |
| Pasal 46 | Pemberitahuan kegagalan pelindungan data paling lambat 3 × 24 jam | Perlu deteksi insiden, prosedur eskalasi, dokumentasi, dan pemberitahuan sesuai ketentuan. |
| Pasal 51 dan 56 | Tanggung jawab pengendali/prosesor dan transfer lintas negara | Kontrak vendor serta lokasi/ketentuan transfer harus dapat ditelusuri. |
| Pasal 57 | Sanksi administratif; batas denda tertinggi 2% dari pendapatan/penerimaan tahunan | Batas tersebut bukan denda otomatis dan bukan ukuran pasti kerugian insiden. |
Tabel adalah pemetaan editorial AIGEO.ID, bukan pengganti teks UU atau penetapan status hukum sebuah sistem. Pemeriksaan juga harus memperhitungkan kontrak, aturan sektoral, klasifikasi rahasia perusahaan/negara, kewajiban profesi, dan ketentuan pelaksanaan yang berlaku saat proyek dijalankan. Tautan sumber primer di akhir artikel membuka naskah untuk setiap pemeriksaan lebih lanjut.
NIK, KTP, catatan medis, dan gaji: statusnya tidak sama
Pasal 4 ayat (2) menyebut secara eksplisit data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi sebagai data yang bersifat spesifik. Nama lengkap, agama, jenis kelamin, status perkawinan, dan sejumlah pengenal lain merupakan data pribadi yang bersifat umum menurut ayat (3), atau dapat menjadi data pribadi ketika digabungkan. NIK tidak perlu disebut satu per satu dalam daftar pasal agar tetap termasuk informasi yang dapat mengidentifikasi seseorang. Tetapi jangan mengklaim bahwa UU PDP secara eksplisit menggolongkan setiap NIK sebagai data spesifik; konteks, risiko, dan aturan lain ikut menentukan pengamanannya.
Contoh praktis: dokumen kebijakan publik yang telah dipublikasikan resmi, tanpa identitas personal yang relevan, biasanya memiliki risiko lebih rendah dibanding rekam medis pasien. Namun tersedia di internet tidak otomatis berarti bebas diproses untuk tujuan apa pun. Data publik tetap dapat terkait dengan hak cipta, privasi, kewajiban tujuan, dan ketentuan akses sumbernya. Sementara itu, hasil analisis AI yang mengandung identitas baru, dugaan penyakit, atau penilaian calon pegawai juga harus dinilai sebagai data yang diproses, bukan dianggap aman karena mesin yang menyusunnya.
Apakah persetujuan selalu wajib? Membaca Pasal 20 tanpa menyederhanakan
Pasal 20 mewajibkan pengendali memiliki dasar pemrosesan dan memuat beberapa dasar hukum: persetujuan eksplisit yang sah untuk tujuan tertentu; kebutuhan kontrak; kewajiban hukum; kepentingan vital; pelaksanaan tugas kepentingan umum/pelayanan publik atau kewenangan sesuai hukum; serta kepentingan sah lain dengan penyeimbangan hak subjek data. Dengan demikian, slogan bahwa setiap penggunaan data untuk AI pasti harus meminta persetujuan ulang tidak tepat. Sebaliknya, slogan “semua boleh demi kepentingan bisnis” juga salah.
Persetujuan tidak dapat dijadikan jalan pintas untuk mengabaikan prinsip pembatasan tujuan, keamanan, atau kewajiban lain. Apabila pemrosesan didasarkan pada persetujuan, Pasal 21 meminta informasi tentang legalitas, tujuan, jenis data, rentang penyimpanan/pemrosesan, dan hak pemilik data; Pasal 22 mengatur bentuk persetujuan. Dalam organisasi, staf yang memperoleh data karena menangani administrasi belum tentu berwenang menggunakannya lagi untuk eksperimen dengan platform eksternal. Pemilik data dan pemilik proses harus teridentifikasi.
Matriks keputusan AIGEO.ID: lima contoh unggahan
| Kasus penggunaan | Risiko awal | Saran tindakan sebelum unggah |
|---|---|---|
| Meminta AI merangkum peraturan pemerintah yang sudah terbuka | Relatif rendah bila tak memuat data nonpublik | Cantumkan tautan sumber, periksa keakuratan dan ketentuan akses; hindari lampiran personal tidak perlu. |
| Meringkas notula rapat internal tanpa nama | Menengah; bisa mengandung rahasia bisnis atau reidentifikasi | Hapus identitas/kode proyek, nilai kerahasiaan, gunakan layanan yang disetujui organisasi. |
| Menafsirkan foto KTP atau daftar NIK pelanggan | Tinggi | Jangan gunakan layanan publik tanpa dasar, persetujuan/otorisasi relevan, pembatasan tujuan, serta kontrol vendor dan keamanan. |
| Menganalisis rekam medis atau data anak | Sangat tinggi | Lakukan penilaian dampak bila memenuhi kategori Pasal 34; utamakan lingkungan yang dikendalikan, pembatasan akses, dan verifikasi profesional. |
| Menilai otomatis calon penerima bantuan atau pelamar kerja | Tinggi; keputusan dapat berdampak signifikan | Periksa Pasal 10 dan 34; cegah keputusan otomatis tanpa mekanisme keberatan, pemeriksaan manusia, dan audit bias. |
Klasifikasi di atas adalah penilaian awal berdasarkan sifat data dan dampak, bukan kelas risiko resmi yang ditetapkan pemerintah. Risiko berubah menurut skala, lokasi hosting, kontrak, frekuensi, tujuan sekunder, kemungkinan reidentifikasi, serta orang yang mempunyai akses. Pertanyaan “boleh atau tidak” harus didokumentasikan per skenario, bukan diputuskan sekali untuk semua penggunaan model AI.
Tujuh pertanyaan wajib kepada vendor AI
- Siapa mengendalikan data? Minta kejelasan peran pengendali dan prosesor untuk fitur serta paket layanan yang digunakan, termasuk subprosesor.
- Untuk apa input, output, dan log digunakan? Periksa apakah dipakai untuk penyediaan layanan, moderasi keamanan, peningkatan model, pelatihan model, analitik, atau tujuan lainnya; bedakan kebijakan tiap produk.
- Berapa lama data disimpan? Telusuri retensi konten, log, salinan cadangan, kebijakan penghapusan, dan prosedur permintaan akses.
- Di negara mana diproses? Petakan alur transfer dan syarat Pasal 56, termasuk perlindungan setara, jaminan mengikat, atau dasar lain yang tersedia menurut undang-undang.
- Apa kontrol aksesnya? Cari bukti autentikasi kuat, pembatasan hak pengguna, pencatatan aktivitas, enkripsi, isolasi ruang kerja, dan pembatasan unggahan.
- Bagaimana respons insidennya? Pastikan kontrak menetapkan batas pemberitahuan vendor yang cukup cepat agar pengendali mampu menjalankan kewajiban Pasal 46.
- Bisakah hasil diverifikasi? Minta jejak sumber, proses tinjauan manusia, evaluasi kesalahan, dan prosedur untuk memperbaiki atau menarik keputusan.
Jangan menganggap istilah pemasaran seperti “enterprise”, “private”, “compliant”, atau “zero retention” otomatis membuktikan seluruh kewajiban hukum. Periksa kontrak, fitur yang benar-benar diaktifkan, arsitektur alur data, dan hasil uji. Kebijakan penyedia dapat berbeda antara aplikasi konsumen, antarmuka pemrograman (API), dan paket institusi serta dapat berubah dari waktu ke waktu. Artikel ini tidak mengklaim retensi atau kebijakan pelatihan spesifik ChatGPT, Gemini, Claude, atau penyedia lain tanpa memeriksa kontrak produk masing-masing.
Audit khusus: transfer data lintas negara tidak dilarang secara mutlak
Pasal 56 justru menyediakan kerangka pemindahan data pribadi ke luar wilayah hukum Indonesia. Pengendali harus memastikan negara penerima memiliki tingkat perlindungan setara atau lebih tinggi; jika syarat itu tidak terpenuhi, perlu perlindungan memadai yang mengikat; jika keduanya tidak terpenuhi, aturan memuat dasar persetujuan subjek data. Ketentuan rinci juga bergantung pada peraturan pelaksanaan yang relevan. Yang keliru adalah menganggap semua pemrosesan pada server luar negeri pasti dilarang atau, kebalikannya, sepenuhnya bebas karena sudah ada tombol persetujuan aplikasi.
Lokasi server bukan satu-satunya variabel. Misalkan layanan menyimpan data di pusat data Indonesia, tetapi tim dukungan di negara lain dapat mengakses log berisi data pribadi. Organisasi tetap perlu menelaah sifat akses jarak jauh, ruang lingkup pengungkapan, kontrak, dan potensi transfer yang terjadi. Sebaliknya, data yang telah dianonimkan secara sungguh-sungguh dan tidak dapat diidentifikasi ulang perlu dinilai sesuai karakter aslinya, bukan hanya karena berkas diberi nama “anonymous.csv”.
Analisis biaya kepatuhan: contoh batas denda 2% sering keliru dikutip
Pasal 57 ayat (3) menetapkan denda administratif paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran. Ini batas dalam undang-undang, bukan otomatis 2% setiap kali dokumen salah terunggah. Besaran aktual, apakah suatu perbuatan terbukti melanggar, proses penegakan, dan basis perhitungannya ditentukan melalui mekanisme hukum yang berlaku. Artikel ini tidak menaksir kemungkinan perusahaan tertentu dijatuhi sanksi.
| Pendapatan tahunan hipotetis | Perhitungan 2% | Batas numerik ilustratif |
|---|---|---|
| Rp2 miliar | Rp2.000.000.000 × 0,02 | Rp40 juta |
| Rp12 miliar | Rp12.000.000.000 × 0,02 | Rp240 juta |
| Rp100 miliar | Rp100.000.000.000 × 0,02 | Rp2 miliar |
| Rp1 triliun | Rp1.000.000.000.000 × 0,02 | Rp20 miliar |
Simulasi tersebut menunjukkan mengapa tata kelola data berhubungan dengan risiko bisnis. Namun ia bukan cadangan akuntansi, nilai gugatan korban, atau estimasi denda riil. Selain sanksi administratif, insiden dapat menimbulkan biaya investigasi, layanan pemulihan, gangguan operasi, kehilangan kepercayaan, konsekuensi kontrak, maupun risiko pidana bila unsur tindak pidana terpenuhi. Menggabungkan semua risiko ini menjadi angka tunggal tanpa data adalah spekulasi, bukan analisis.
SOP minimal 10 langkah bagi kantor, sekolah, rumah sakit, dan UMKM
- 1. Inventarisasi seluruh alat AI yang digunakan staf, termasuk penggunaan akun pribadi untuk pekerjaan organisasi.
- 2. Daftarkan setiap kasus penggunaan: tujuan, dataset, pemilik proses, pengguna, hasil yang diharapkan, dan penerima output.
- 3. Klasifikasikan input sebagai publik, internal rahasia, data pribadi umum, atau data pribadi spesifik; tambahkan penggolongan menurut aturan sektor.
- 4. Catat dasar pemrosesan Pasal 20; bila persetujuan dipakai, simpan bukti dan informasinya sesuai Pasal 21–22.
- 5. Terapkan minimisasi: kirim hanya kolom, baris, potongan dokumen, atau agregat yang benar-benar dibutuhkan.
- 6. Uji apakah anonimisasi efektif: kombinasi umur, alamat, jabatan, dan transaksi bisa mengungkap identitas kembali.
- 7. Periksa kontrak vendor, lokasi pemrosesan, penggunaan untuk pelatihan, retensi, subprosesor, akses log, dan skenario penghapusan.
- 8. Lakukan penilaian dampak ketika pemrosesan memenuhi karakter risiko tinggi Pasal 34; libatkan penanggung jawab hukum, keamanan, dan pemilik proses.
- 9. Wajibkan verifikasi manusia terhadap setiap output yang dapat memengaruhi hak, uang, kesehatan, atau reputasi seseorang.
- 10. Siapkan jejak audit, jalur penghentian layanan, dan SOP eskalasi insiden agar tenggat pemberitahuan menurut hukum dapat dipenuhi.
Untuk organisasi kecil, SOP tersebut tidak harus langsung menjadi proyek teknologi mahal. Formulir satu halaman berisi tujuan, kelas data, vendor, dasar hukum, PIC, lama simpan, dan bukti persetujuan dapat menjadi titik awal. Untuk lembaga berskala besar atau pelayanan publik, dokumentasi tentu harus lebih mendalam, meliputi peran pejabat/petugas pelindungan data sebagaimana diatur Pasal 53, pembatasan akses berdasarkan tugas, dan penilaian dampak yang benar.
Apa yang dilakukan bila staf terlanjur mengunggah data sensitif?
Pertama, hentikan perluasan akses dan simpan bukti kejadian secara aman. Kedua, identifikasi tepatnya data apa yang diunggah, jumlah orang terdampak, jenis layanan, waktu, pengaturan retensi, serta pihak yang mungkin menerima akses. Ketiga, hubungi petugas keamanan dan penanggung jawab data organisasi untuk menilai apakah benar terjadi kegagalan pelindungan data; jangan menyatakan otomatis telah terjadi kebocoran tanpa hasil penilaian. Keempat, gunakan prosedur kontraktual penyedia untuk meminta pembatasan dan penghapusan jika memungkinkan; jangan menganggap menghapus percakapan dari layar berarti semua salinan telah hilang.
Pasal 46 mengatur kewajiban pengendali memberi pemberitahuan tertulis dalam waktu paling lambat 3 × 24 jam ketika terjadi kegagalan pelindungan data pribadi, termasuk isi minimal pemberitahuan. Kewajiban ini perlu dianalisis terhadap fakta insiden dan ketentuan yang berlaku; bukan semua kesalahan ketik dalam aplikasi AI merupakan insiden yang memenuhi unsurnya. Pemulihan juga harus mengurangi bahaya bagi pemilik data, bukan sekadar melindungi reputasi organisasi.
FAQ yang layak disimpan
Bolehkah memasukkan foto KTP sendiri ke ChatGPT?
Untuk penggunaan pribadi atau rumah tangga terdapat pengecualian lingkup pada Pasal 2 ayat (2), tetapi pengecualian itu bukan jaminan keamanan atau izin bagi pihak lain mengolah KTP tanpa dasar. Secara praktis, lebih aman tidak membagikan dokumen penuh bila tugas dapat diselesaikan dengan bagian data yang tidak mengidentifikasi. Periksa kebijakan aplikasi dan tingkat sensitivitas sebelum mengunggah.
Apakah nama yang dihapus membuat data otomatis anonim?
Tidak. UU PDP memasukkan identifikasi tidak langsung melalui kombinasi informasi. Jika kode pelanggan bisa dicocokkan dengan tabel lain, status identifiabilitas belum tentu hilang. Uji reidentifikasi perlu dilakukan sebelum mengklaim dataset anonim.
Apakah AI lokal/on-premise pasti patuh UU PDP?
Tidak. Pemrosesan lokal dapat mengurangi sebagian risiko transfer, tetapi masih ada risiko akses staf, penyimpanan tak aman, data berlebihan, bias, keputusan otomatis, dan ketidakjelasan dasar pemrosesan. Kepatuhan merupakan tata kelola sepanjang siklus hidup data.
Apakah UU PDP mewajibkan izin setiap kali membuka dokumen?
Tidak sesederhana itu. Dasar pemrosesan Pasal 20 lebih luas daripada persetujuan, tetapi kewajiban pembatasan tujuan, keamanan, transparansi, dan hak subjek tetap harus diperhatikan sesuai kasus.
Metode audit dan sumber primer
Analisis ini dibuat dengan membaca naskah UU PDP yang dipublikasikan pada Jaringan Dokumentasi dan Informasi Hukum Kementerian Komunikasi dan Digital, khususnya Pasal 1–4, 10, 16, 20–22, 27–29, 34–37, 46, 51, 53, 56, dan 57. Tabel klasifikasi risiko, checklist vendor, SOP, serta simulasi denda merupakan sintesis analitis AIGEO.ID. Itu bukan kutipan verbatim regulator dan tidak membuktikan kepatuhan atau pelanggaran produk spesifik. Jika peraturan turunan atau putusan berubah, tafsir operasional perlu diperbarui; pembaca sebaiknya memakai teks terkini dan penasihat hukum untuk keputusan yang berisiko tinggi.
Sebagai pelengkap, baca checklist pengadaan AI perusahaan untuk menilai vendor dan ROI, panduan meringkas dokumen secara aman, serta analisis keamanan AI Indonesia. Ketiganya membahas masalah berbeda; audit UU PDP kali ini fokus pada dasar hukum pemrosesan dan pembuktian kontrol.
Kesimpulan. Indonesia tidak perlu memilih antara memanfaatkan kecerdasan buatan dan melindungi warga. Yang diperlukan adalah jalur keputusan berbasis dokumen: kenali data, tetapkan tujuan dan dasar hukum, tinjau vendor, batasi akses dan transfer, uji risiko, serta siapkan respons insiden. AI bisa mempercepat analisis, tetapi tanggung jawab atas data tidak berpindah begitu saja ke mesin ketika seorang pegawai menekan tombol unggah.
Leave a Reply