Yang Wajib Diperhatikan Perusahaan soal UU PDP dan AI

Pakai AI untuk mengolah data pelanggan? Ini kewajiban UU PDP yang terkait: dasar pemrosesan, minimisasi data, transfer ke luar negeri, DPIA, dan kebocoran.

Ditulis olehTheresia Candiawan

Terbit 7 November 2026 6 menit baca

Jawaban singkat

UU 27/2022 berlaku untuk AI seperti sistem lain: dasar pemrosesan, data secukupnya, syarat transfer ke luar negeri, hak keberatan atas keputusan otomatis, penilaian dampak untuk pemrosesan berisiko tinggi, dan notifikasi kebocoran 3x24 jam. PP 33/2026 berlaku 16 Januari 2027.

Daftar isi

Chatbot yang membaca riwayat pesanan, model yang menyaring lamaran kerja, alat yang merangkum email pelanggan: semuanya memproses data pribadi. Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) berlaku untuk kegiatan itu, sama seperti untuk database atau spreadsheet biasa.

UU PDP tidak punya bab khusus tentang AI. Yang ada adalah kewajiban umum bagi pengendali data, dan semuanya ikut berlaku ketika alatnya berupa model AI. Aturan pelaksananya, Peraturan Pemerintah Nomor 33 Tahun 2026, ditetapkan 16 Juli 2026 dan mulai berlaku 16 Januari 2027, jadi sekarang waktu yang tepat untuk menata pemakaian AI di perusahaan. Artikel ini bukan nasihat hukum; untuk kasus spesifik, libatkan konsultan hukum.

Langkah memetakan kewajiban UU PDP ke pemakaian AI

1. Catat setiap pemakaian AI yang menyentuh data pribadi

Buat daftar sederhana: fitur atau proses apa, data pribadi apa yang masuk, model atau penyedia apa yang dipakai, dan di negara mana data diproses. Termasuk pemakaian oleh karyawan lewat akun pribadi, yang sering tidak tercatat sama sekali, seperti dibahas di shadow AI. Tanpa daftar ini, langkah berikutnya tidak bisa dikerjakan.

2. Pastikan ada dasar pemrosesan yang sah

UU PDP (Pasal 20) mengenal enam dasar pemrosesan: persetujuan eksplisit, pelaksanaan perjanjian, kewajiban hukum, kepentingan vital, tugas publik, dan kepentingan sah. Pertanyaannya: apakah tujuan awal data dikumpulkan mencakup pemrosesan dengan AI? Data pelanggan yang dikumpulkan untuk mengirim pesanan belum tentu boleh dipakai untuk profil pemasaran otomatis. Bila tujuannya berubah, dasarnya perlu ditinjau ulang.

3. Kirim data secukupnya ke model

Prinsip pemrosesan yang terbatas dan sesuai tujuan berarti model AI hanya boleh menerima data yang memang dibutuhkan. Dalam praktik:

Hapus atau samarkan nama, nomor HP, NIK, dan alamat bila tugas AI tidak memerlukannya.
Untuk analisis tren, pakai data agregat, bukan data per orang.
Atur masa simpan log percakapan AI, karena log itu sendiri berisi data pribadi.

4. Periksa transfer data ke luar negeri

Banyak layanan AI memproses data di luar Indonesia. UU PDP (Pasal 56) membolehkan transfer ke luar wilayah hukum Indonesia dengan syarat bertingkat: negara tujuan punya tingkat pelindungan setara atau lebih tinggi; bila tidak, harus ada pelindungan yang memadai dan mengikat; bila keduanya tidak ada, perlu persetujuan subjek data. Per 4 November 2026, penilaian kesetaraan dan standar penerapannya masih bergantung pada lembaga pelindungan data pribadi yang belum beroperasi, sehingga perjanjian pemrosesan data (DPA) dengan penyedia menjadi pegangan penting. Bila data sangat sensitif, pertimbangkan model yang dijalankan di server sendiri, seperti dibahas di API model AI vs self-hosted.

5. Hormati hak atas keputusan otomatis

UU PDP (Pasal 10) memberi subjek data hak mengajukan keberatan atas pengambilan keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk profiling, yang menimbulkan akibat hukum atau berdampak signifikan. Contohnya penolakan kredit, penyaringan pelamar kerja, atau penetapan harga per orang oleh model. Siapkan jalur peninjauan oleh manusia dan cara menjelaskan dasar keputusan bila diminta.

6. Lakukan penilaian dampak untuk pemrosesan berisiko tinggi

UU PDP (Pasal 34) mewajibkan penilaian dampak pelindungan data pribadi (DPIA) bila pemrosesan berpotensi berisiko tinggi, termasuk pengambilan keputusan otomatis yang berakibat hukum, pemrosesan data spesifik, pemrosesan skala besar, evaluasi atau pemantauan sistematis, dan penggunaan teknologi baru. Banyak penerapan AI masuk setidaknya satu kategori ini. DPIA mencatat tujuan, risiko bagi subjek data, dan langkah mitigasinya.

7. Siapkan prosedur kebocoran 3x24 jam

Bila terjadi kegagalan pelindungan data pribadi, UU PDP (Pasal 46) mewajibkan pemberitahuan tertulis paling lambat 3x24 jam kepada subjek data dan lembaga. Untuk sistem AI, skenario kebocoran bisa berupa chatbot yang menampilkan data pelanggan lain, log percakapan yang terekspos, atau akun penyedia AI yang dibobol. Chatbot yang dibelokkan penyerang lewat prompt injection sampai membocorkan data juga termasuk. Masukkan skenario ini ke prosedur respons insidenmu.

Kewajiban	Dasar di UU PDP	Contoh penerapan pada AI
Dasar pemrosesan	Enam dasar yang sah	Tinjau ulang bila data dipakai untuk tujuan AI baru
Minimisasi data	Prinsip pemrosesan terbatas dan sesuai tujuan	Samarkan identitas sebelum dikirim ke model
Transfer ke luar negeri	Pasal 56	DPA dengan penyedia AI, cek lokasi pemrosesan
Hak atas keputusan otomatis	Pasal 10	Jalur banding dan peninjauan manusia
Penilaian dampak (DPIA)	Pasal 34	Wajib untuk scoring, profiling, skala besar
Notifikasi kebocoran	Pasal 46, 3x24 jam	Skenario kebocoran AI masuk prosedur insiden

Bagaimana status penegakannya per November 2026?

Masa penyesuaian dua tahun UU PDP berakhir Oktober 2024. PP 33/2026 kini memerinci kewajiban tersebut dan mulai berlaku 16 Januari 2027. Lembaga pengawas yang diamanatkan UU PDP belum beroperasi per 4 November 2026; pada Juli 2026 Komdigi menyatakan pemerintah sedang memfinalisasi pembentukan otoritas yang bekerja secara independen. Belum adanya lembaga tidak menghapus kewajiban, dan UU PDP sendiri mengatur sanksi administratif hingga denda paling tinggi 2 persen dari pendapatan tahunan. Konteks aturan AI nasional lainnya ada di regulasi AI di Indonesia.

Pertanyaan yang sering diajukan

Apakah memakai ChatGPT atau Claude untuk merangkum email pelanggan termasuk pemrosesan data pribadi?

Ya, bila email itu memuat data yang bisa mengidentifikasi orang, misalnya nama dan nomor HP. Perusahaanmu tetap pengendali datanya, dan penyedia AI berperan sebagai prosesor atau pihak ketiga sesuai perjanjiannya.

Apakah usaha kecil juga terkena UU PDP?

UU PDP berlaku untuk setiap orang dan badan yang memproses data pribadi, tidak dibatasi ukuran usaha. Skala kewajibannya bisa berbeda, misalnya penunjukan pejabat pelindungan data pribadi hanya wajib untuk kondisi tertentu.

Apakah data yang sudah dianonimkan masih diatur?

Data yang benar-benar tidak bisa lagi dikaitkan dengan seseorang pada umumnya bukan data pribadi. Hati-hati dengan data yang hanya disamarkan sebagian, karena kombinasi beberapa kolom bisa kembali mengidentifikasi orang.

Siapa yang menilai apakah negara tujuan transfer setara pelindungannya?

Menurut UU PDP, penilaian ini dilakukan oleh lembaga pelindungan data pribadi. Selama lembaga itu belum beroperasi, perusahaan umumnya mengandalkan perjanjian yang mengikat dengan penyedia dan, bila perlu, persetujuan subjek data.

Checklist singkat

Daftar pemakaian AI yang menyentuh data pribadi sudah dibuat.
Setiap pemakaian punya dasar pemrosesan yang tercatat.
Data yang dikirim ke model sudah diminimalkan atau disamarkan.
Perjanjian pemrosesan data dengan penyedia AI sudah ditandatangani.
Keputusan otomatis yang berdampak punya jalur peninjauan manusia.
DPIA sudah dibuat untuk pemrosesan berisiko tinggi.
Prosedur kebocoran 3x24 jam mencakup skenario AI.
Aturan internal untuk karyawan sudah terbit, misalnya dengan kerangka kebijakan penggunaan AI.