Regulasi AI di Indonesia: Etika Komdigi dan UU PDP

Regulasi AI di Indonesia saat ini bukan satu undang-undang, melainkan kumpulan aturan yang saling melengkapi: pedoman etika dari kementerian, Undang-Undang Pelindungan Data Pribadi (UU PDP), dan pedoman sektor seperti dari OJK. Per 4 November 2026, aturan setingkat Peraturan Presiden khusus AI masih dalam tahap menunggu penetapan.

Yang dipertaruhkan bila bisnis salah membaca situasi ini cukup besar. Banyak yang mengira "belum ada aturan AI, jadi bebas". Padahal hampir setiap pemakaian AI di bisnis menyentuh data pribadi, dan UU PDP sudah berlaku penuh dengan kewajiban serta sanksi yang nyata. Ringkasan di bawah diambil dari dokumen resmi dan bukan nasihat hukum. Untuk kasus spesifik, konsultasikan dengan penasihat hukum.

Aturan apa saja yang berlaku saat ini?

Surat Edaran Etika Kecerdasan Artifisial

Surat Edaran Menteri Komunikasi dan Informatika Nomor 9 Tahun 2023 tentang Etika Kecerdasan Artifisial ditetapkan pada 19 Desember 2023. Di JDIH Kementerian Komunikasi dan Digital (Komdigi), statusnya tercatat berlaku. Surat edaran ini ditujukan kepada pelaku usaha aktivitas pemrograman berbasis kecerdasan artifisial (KBLI 62015) serta penyelenggara sistem elektronik lingkup publik dan privat.

Isinya memuat sembilan nilai etika: inklusivitas, kemanusiaan, keamanan, aksesibilitas, transparansi, kredibilitas dan akuntabilitas, pelindungan data pribadi, pembangunan berkelanjutan dan lingkungan, serta kekayaan intelektual. Pelaku usaha diminta menyusun kebijakan internal tentang data dan etika AI.

Ada juga tanggung jawab yang disebut secara khusus, antara lain melindungi masyarakat terutama terkait pemakaian data, mencegah rasisme dan hal yang merugikan manusia, serta memastikan AI tidak diselenggarakan sebagai penentu kebijakan atau pengambil keputusan yang menyangkut kemanusiaan.

Sebagai surat edaran, sifatnya pedoman. Meski begitu, isinya menunjukkan arah yang diharapkan pemerintah, dan banyak nilainya sejalan dengan kewajiban di UU PDP.

UU Pelindungan Data Pribadi

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi diundangkan dan berlaku sejak 17 Oktober 2022, dengan masa penyesuaian paling lama dua tahun bagi pengendali dan prosesor data. Masa penyesuaian itu sudah lewat, sehingga kewajibannya kini berlaku penuh.

Beberapa ketentuan yang paling dekat dengan pemakaian AI:

• Penilaian dampak. Pengendali data wajib melakukan penilaian dampak pelindungan data bila pemrosesan berisiko tinggi. Yang termasuk risiko tinggi antara lain pengambilan keputusan otomatis yang berakibat hukum atau berdampak signifikan, pemrosesan skala besar, evaluasi atau penskoran yang sistematis, dan penggunaan teknologi baru.
• Hak keberatan atas keputusan otomatis. Subjek data berhak mengajukan keberatan atas keputusan yang semata-mata didasarkan pada pemrosesan otomatis, termasuk profiling, yang berakibat hukum atau berdampak signifikan.
• Pemberitahuan kegagalan pelindungan. Bila terjadi kebocoran atau kegagalan pelindungan data, pengendali wajib memberi tahu secara tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga.
• Pejabat pelindungan data. Wajib ditunjuk antara lain bila kegiatan inti menuntut pemantauan rutin dan sistematis terhadap data pribadi berskala besar.

Pedoman sektor

Sektor tertentu punya pedoman sendiri. Contohnya, OJK menerbitkan Tata Kelola Kecerdasan Artifisial Perbankan Indonesia pada 29 April 2025 sebagai panduan bagi bank, yang disebut dapat menjadi acuan minimal dalam mengembangkan dan menerapkan sistem AI. Bila usahamu berada di sektor yang diawasi regulator, cek pedoman dari regulator tersebut.

Aturan apa yang sedang disiapkan?

Menurut berita resmi JDIH Komdigi tertanggal 6 Mei 2026, Komdigi bersama kementerian lintas sektor telah selesai membahas Rancangan Peraturan Presiden tentang Etika Kecerdasan Artifisial dan Rancangan Peraturan Presiden tentang Peta Jalan Kecerdasan Artifisial Nasional 2026 sampai 2029. Rapat finalisasi digelar 5 Mei 2026, menandai selesainya pembahasan lintas kementerian sebelum kedua rancangan diajukan kepada Presiden untuk ditetapkan.

Per 4 November 2026, kami belum menemukan penetapan kedua Perpres itu di kanal resmi. Isi akhirnya baru bisa dipastikan setelah ditetapkan, jadi jangan mengandalkan ringkasan draf dari pihak ketiga untuk keputusan kepatuhan.

Ringkasan aturan dan dampaknya ke bisnis

Apa yang perlu bisnis lakukan sekarang?

Tidak perlu menunggu Perpres untuk mulai rapi. Sebagian besar langkah berikut sudah diminta oleh aturan yang berlaku.

Petakan pemakaian AI. Catat alat AI apa saja yang dipakai, oleh tim mana, untuk tugas apa, dan data apa yang dimasukkan. Pemetaan ini juga memperlihatkan apakah ada data pelanggan yang ditempel ke chatbot gratis tanpa aturan yang jelas.

Tandai pemrosesan berisiko tinggi. Penyaringan pelamar kerja, penilaian kredit, penskoran pelanggan, atau pemantauan karyawan termasuk jenis yang disebut UU PDP sebagai berisiko tinggi. Untuk pemrosesan seperti ini, lakukan penilaian dampak dan pastikan ada manusia yang meninjau keputusan. Contoh penerapannya di rekrutmen ada di AI untuk rekrutmen.

Pilih layanan AI dengan ketentuan data yang jelas. Baca apakah data dipakai untuk melatih model, di mana disimpan, dan berapa lama. Untuk data sensitif, pertimbangkan model yang dijalankan di infrastruktur sendiri, seperti dibahas di chatbot AI dari dokumen perusahaan.

Siapkan prosedur insiden. Tenggat 3 x 24 jam terasa singkat bila prosedurnya belum ada. Tentukan siapa yang memutuskan, siapa yang menghubungi subjek data, dan bagaimana bukti dikumpulkan. Pemantauan keamanan dan uji celah dibahas di SOC, vulnerability scan, dan pentest.

Jujur pada pengguna. Beri tahu bila pelanggan sedang berbicara dengan chatbot, atau bila video memakai presenter buatan AI. Ini sejalan dengan nilai transparansi di surat edaran, dan aturan platform seperti dibahas di video avatar AI.

Kapan cukup kebijakan internal, kapan perlu langkah lebih?

Bila AI hanya dipakai untuk pekerjaan internal yang tidak menyentuh data pribadi, misalnya menyusun draf materi pemasaran atau merangkum dokumen publik, kebijakan internal yang jelas biasanya sudah memadai. Isinya cukup: alat yang boleh dipakai, data yang tidak boleh dimasukkan, dan kewajiban memeriksa hasil.

Bila AI ikut memproses data pelanggan, karyawan, atau pelamar dalam jumlah besar, atau hasilnya memengaruhi keputusan tentang orang, langkahnya perlu lebih jauh: penilaian dampak, peninjauan manusia, dokumentasi, dan mungkin pejabat pelindungan data. Di sektor yang diawasi seperti perbankan, ikuti juga pedoman regulator sektornya.