Building AI Apps Under Indonesia’s Personal Data Protection Law: A Practical Checklist

Aplikasi AI makan data. Nama pelanggan, nomor WhatsApp, riwayat pesanan, isi percakapan, kadang foto KTP. Sejak Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) berlaku penuh pada Oktober 2024, semua itu punya aturan main. Kabar baiknya, aturan ini tidak melarang AI. Ia meminta kamu tahu data apa yang dipakai, untuk apa, disimpan di mana, dan siapa yang bertanggung jawab.

Artikel ini checklist praktis dari sisi pembuat aplikasi, bukan nasihat hukum. Untuk kasus yang spesifik, libatkan konsultan hukum.

Kenapa aplikasi AI butuh perhatian ekstra

• Data berpindah tangan. Setiap pertanyaan ke model AI berarti data dikirim ke penyedia model, sering kali ke server di luar negeri.
• Percakapan tersimpan. Log chat dan riwayat prompt berisi data pribadi yang jarang dipikirkan saat merancang aplikasi.
• Salinan tersembunyi. Chatbot yang membaca dokumen menyimpan potongan dokumen itu di database vektor. Kalau dokumennya berisi data pribadi, salinannya juga.
• Keputusan otomatis. AI yang menilai, menyaring, atau memberi skor orang masuk wilayah yang diatur khusus.

Tiga istilah yang perlu kamu kenal

Pengendali Data Pribadi adalah pihak yang menentukan tujuan pemrosesan. Dalam aplikasi AI untuk bisnismu, itu biasanya bisnismu sendiri. Prosesor Data Pribadi adalah pihak yang memproses atas nama pengendali: developer, penyedia cloud, dan penyedia model AI. Subjek Data Pribadi adalah orang yang datanya diproses, yaitu pelanggan atau karyawanmu.

UU PDP juga membedakan data pribadi umum dan data pribadi spesifik. Yang spesifik, seperti data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi, butuh perlakuan lebih ketat.

Checklist sebelum aplikasi AI dirilis

1. Petakan aliran data. Dari formulir atau chat, ke database, ke penyedia model AI, ke log. Satu halaman diagram sederhana sudah cukup untuk memulai.
2. Tentukan dasar pemrosesan. Pasal 20 UU PDP menyebut beberapa dasar, antara lain persetujuan eksplisit, pelaksanaan perjanjian, kewajiban hukum, dan kepentingan yang sah. Persetujuan bukan satu-satunya pintu, tapi dasar yang dipilih harus bisa dijelaskan.
3. Kirim data seperlunya ke model. Samarkan nama, NIK, dan nomor telepon sebelum dikirim bila AI tidak membutuhkannya untuk menjawab. Kebanyakan tugas tidak butuh identitas asli.
4. Periksa syarat penyedia model. Gunakan layanan API atau paket bisnis yang tidak memakai datamu untuk melatih model, dan catat berapa lama penyedia menyimpan data.
5. Perhatikan transfer ke luar negeri. Pasal 56 mengatur transfer data pribadi ke luar wilayah Indonesia: negara penerima harus punya pelindungan yang setara atau lebih tinggi, atau ada pelindungan yang memadai dan mengikat, atau ada persetujuan dari subjek data.
6. Beri jalur manusia untuk keputusan otomatis. Pasal 10 memberi hak untuk mengajukan keberatan atas keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk pemrofilan, bila berakibat hukum atau berdampak signifikan. Untuk seleksi kerja, kredit, atau penilaian orang, pastikan ada manusia yang meninjau.
7. Lakukan penilaian dampak (DPIA) bila berisiko tinggi. Pasal 34 mewajibkannya antara lain untuk keputusan otomatis yang berdampak signifikan, pemrosesan data spesifik, pemrosesan skala besar, pemantauan sistematis, dan penggunaan teknologi baru. Banyak aplikasi AI menyentuh setidaknya satu dari daftar ini.
8. Siapkan hak subjek data. Orang berhak mengakses, memperbaiki, dan meminta penghapusan datanya. Pastikan penghapusan menjangkau database utama, log percakapan, dan database vektor.
9. Tetapkan masa simpan. Berapa lama log chat disimpan? Beberapa bulan sering cukup untuk evaluasi. Selamanya hampir tidak pernah perlu.
10. Siapkan rencana insiden. Bila terjadi kegagalan pelindungan data, Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga pengawas.
11. Tulis perjanjian dengan prosesor. Developer, penyedia cloud, dan penyedia AI perlu terikat perjanjian soal kerahasiaan, keamanan, dan penghapusan data.
12. Cek kewajiban petugas pelindungan data. Pasal 53 mewajibkan penunjukan pejabat atau petugas pelindungan data pribadi antara lain untuk pemrosesan demi pelayanan publik, pemantauan sistematis berskala besar, atau pemrosesan data spesifik berskala besar.

Apa risikonya kalau diabaikan

UU PDP mengenal sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan denda administratif yang besarnya dihitung dari pendapatan tahunan. Ada juga ancaman pidana bagi pihak yang memperoleh, mengungkapkan, atau menggunakan data pribadi orang lain secara melawan hukum. Tapi bagi kebanyakan bisnis, risiko terbesar bukan denda. Risikonya adalah kepercayaan pelanggan yang hilang dalam satu tangkapan layar.

Bangun sejak awal, bukan ditambal belakangan

Di proyek aplikasi AI, WHITE memasukkan hal-hal ini ke rencana kerja sejak awal: peta aliran data, penyamaran data sebelum dikirim ke model bila memungkinkan, masa simpan log, dan panel admin untuk permintaan penghapusan data. Bukan karena kami pengacara, tapi karena jauh lebih murah membangunnya sejak awal daripada menambalnya setelah rilis. Pertanyaan yang sama sebaiknya kamu ajukan ke vendor mana pun; daftarnya ada di panduan memilih software house AI.

Mau aplikasi AI yang cerdas dan tetap tenang soal data? Lihat jasa pembuatan aplikasi AI WHITE atau tanya lewat WhatsApp. Semuanya dimulai #withWHITE.

Pertanyaan yang sering diajukan

Apakah aplikasi AI wajib mematuhi UU PDP?

Ya, bila aplikasi memproses data pribadi, misalnya nama, nomor telepon, atau isi percakapan pelanggan. UU PDP berlaku untuk pemrosesan data pribadi apa pun teknologinya, termasuk AI.

Bolehkah mengirim data pelanggan ke ChatGPT atau Gemini?

Boleh bila ada dasar pemrosesan yang sah, data yang dikirim seperlunya, syarat penyedia model sudah diperiksa, dan ketentuan transfer data ke luar negeri dipenuhi. Hindari memakai akun chat pribadi untuk data pelanggan; gunakan API atau paket bisnis dengan pengaturan data yang jelas.

Apa itu DPIA dalam UU PDP?

DPIA atau penilaian dampak pelindungan data pribadi adalah analisis risiko yang wajib dilakukan sebelum pemrosesan berisiko tinggi, misalnya keputusan otomatis yang berdampak signifikan, pemrosesan data spesifik, pemrosesan skala besar, atau pemakaian teknologi baru.