Di banyak perusahaan, AI sudah masuk ke pekerjaan harian tanpa banyak rapat. Tim layanan pelanggan meminta ChatGPT merapikan balasan, bagian HR merangkum CV pelamar, dan staf keuangan menempelkan daftar tagihan untuk dicek. Hampir semua data itu berisi data pribadi: nama, nomor telepon, alamat, NIK, sampai riwayat transaksi.
Karena itu, UU PDP dan penggunaan AI perlu dibahas bersama. Undang-Undang Pelindungan Data Pribadi (UU No. 27 Tahun 2022) tidak melarang AI. Namun aturan tentang cara data pribadi diproses tetap berlaku, apa pun alat yang dipakai. Artikel ini membahas prinsip umumnya, contoh penerapan di kantor, dan checklist yang bisa Anda mulai jalankan. Tulisan ini bersifat umum dan tidak menggantikan nasihat hukum.
Kenapa UU PDP relevan untuk AI
UU PDP mengatur pemrosesan data pribadi secara luas, mulai dari pengumpulan, penyimpanan, analisis, hingga penghapusan. Ketika staf mengirim data pelanggan ke layanan AI, itu juga termasuk pemrosesan. Perusahaan tetap bertanggung jawab atas data tersebut, meskipun prosesnya berjalan di server penyedia AI.
Ada pola yang sering terjadi. Penggunaan AI tumbuh dari bawah. Staf mencoba sendiri, merasa terbantu, lalu menjadikannya kebiasaan. Manajemen baru sadar ketika ada pertanyaan dari klien atau auditor. Jadi langkah pertama biasanya pemetaan: siapa yang memakai AI, untuk pekerjaan apa, dan data apa yang ikut terkirim.
Prinsip pelindungan data yang paling terasa
Secara umum, ada lima prinsip yang dampaknya paling terasa pada penggunaan AI di perusahaan.
Dasar pemrosesan dan persetujuan
Data pribadi perlu diproses atas dasar yang sah. Persetujuan pemilik data adalah salah satunya, dan ada dasar lain seperti pelaksanaan kontrak. Pertanyaan praktisnya sederhana. Saat pelanggan memberikan datanya, apakah mereka mendapat penjelasan bahwa data itu bisa diproses dengan bantuan layanan pihak ketiga, termasuk AI? Periksa lagi kebijakan privasi dan formulir persetujuan Anda.
Pembatasan tujuan
Data dikumpulkan untuk tujuan tertentu dan sebaiknya dipakai sesuai tujuan itu. Data pasien klinik yang dikumpulkan untuk pelayanan, misalnya, tidak otomatis boleh dipakai untuk menyusun profil pemasaran dengan AI. Sebelum memulai proyek AI baru, tuliskan tujuannya, lalu cocokkan dengan tujuan awal data itu dikumpulkan.
Minimisasi data
Kirim hanya data yang memang diperlukan. Untuk merangkum keluhan pelanggan, AI tidak perlu tahu NIK atau nomor rekening. Untuk menyusun draf perjanjian, nama para pihak bisa diganti sementara dengan label seperti Pihak A dan Pihak B. Kebiasaan kecil ini menurunkan risiko tanpa mengurangi manfaat AI.
Keamanan
Perusahaan diharapkan menjaga data pribadi dengan langkah keamanan yang layak. Dalam konteks AI, artinya memakai akun perusahaan, mengatur hak akses, memeriksa pengaturan riwayat percakapan, dan memastikan integrasi AI tidak membuka data lebih luas dari kebutuhan tugasnya.
Akuntabilitas
Perusahaan perlu bisa menunjukkan apa yang dilakukan terhadap data. Catatan sederhana sudah sangat membantu: layanan AI yang dipakai, siapa penggunanya, untuk proses apa, dan data apa yang diproses. Untuk integrasi AI di aplikasi internal, log akses menjadi bukti yang jauh lebih kuat daripada pengakuan lisan.
Contoh penerapan di kantor
Sebuah distributor yang memakai AI untuk merangkum percakapan WhatsApp pelanggan bisa mulai dengan menghapus nomor telepon dan alamat sebelum teks diproses. Ringkasannya tetap berguna bagi tim sales, sementara data yang keluar jauh lebih sedikit.
Kantor notaris yang memakai AI untuk membaca akta bisa membatasi akses per berkas, sehingga AI hanya membaca dokumen klien yang sedang ditangani. Klinik yang memakai AI untuk menjawab pertanyaan jadwal cukup memberi akses ke jadwal dokter, tanpa rekam medis.
Polanya sama di hampir semua kasus. Tentukan tugasnya dengan jelas, kemudian batasi data yang masuk ke AI sesuai tugas itu.
Memeriksa ketentuan penyedia AI
Sebelum memilih layanan atau vendor, baca syarat penggunaan dan kebijakan datanya. Cari tahu apakah data yang dikirim dipakai untuk melatih model dan apakah ada pengaturan untuk menonaktifkannya. Perhatikan berapa lama riwayat percakapan dan file disimpan, serta cara menghapusnya. Akun bisnis dan akses API sering punya ketentuan data yang berbeda dari akun pribadi, jadi jangan menyamakan keduanya.
Lokasi pemrosesan juga perlu dicatat. Sebagian besar layanan AI memproses data di luar Indonesia, dan UU PDP turut mengatur pengiriman data pribadi ke luar wilayah Indonesia. Ini salah satu bagian yang paling layak dibahas dengan penasihat hukum Anda.
Checklist UU PDP untuk penggunaan AI
Daftar berikut bisa menjadi titik awal. Sesuaikan dengan ukuran dan jenis usaha Anda.
- Petakan penggunaan AI di setiap divisi, termasuk yang masih memakai akun pribadi.
- Tetapkan layanan AI yang disetujui perusahaan dan pindahkan pemakaian ke akun perusahaan.
- Kelompokkan data menjadi tiga kategori: boleh dikirim ke AI, boleh setelah disamarkan, dan tidak boleh sama sekali.
- Tinjau kebijakan privasi dan formulir persetujuan agar mencakup pemrosesan oleh pihak ketiga.
- Tuliskan tujuan setiap proses yang memakai AI dan cocokkan dengan tujuan awal pengumpulan data.
- Aktifkan pencatatan akses untuk setiap integrasi AI di sistem internal.
- Tunjuk penanggung jawab, jadwalkan peninjauan berkala, dan siapkan langkah jika terjadi insiden data.
- Minta penasihat hukum meninjau kebijakan sebelum diberlakukan.
Checklist ini tidak harus selesai dalam sebulan. Yang penting ada pemiliknya dan kemajuannya bisa dilihat.
Mengatur akses AI ke dokumen
Untuk kantor yang banyak bekerja dengan dokumen klien, sebagian checklist di atas bisa dijalankan lewat sistem. Folders memberi Anda kendali atas folder yang boleh diakses Claude atau ChatGPT lewat MCP, mencatat setiap akses di log audit, dan menyamarkan NIK serta NPWP sebelum dokumen dibaca AI. Detailnya ada di halaman Folders.
