/
Pesan demo
WawasanOleh Nura Linggih

AI Kamu Baca Data Pelanggan Tiap Hari. Aturan Privasinya Mulai Berlaku 16 Januari 2027

Koridor batu dengan sekat kaca buram dan siluet samar dalam cahaya sejuk dan hangat.

Indonesia sebenarnya sudah punya undang-undang pelindungan data sejak Oktober 2022 — UU 27/2022, alias UU PDP. Yang belum ada: mesinnya. Itu berubah pada 16 Juli 2026, saat pemerintah menerbitkan peraturan pelaksananya, PP 33/2026, dan jam mulai berdetak: aturannya berlaku 16 Januari 2027.

Kalau bisnis kamu pakai AI di data pelanggan — bot WhatsApp yang jawab pembeli, asisten yang merangkum dokumen klien, agent yang merekonsiliasi invoice — undang-undang ini tentang kamu. UU PDP mencakup semua tahap pemrosesan AI: pengumpulan, penyimpanan, training, inferensi, dan output.

Sanksinya bukan teori. Denda administratif sampai 2 persen dari pendapatan tahunan, plus larangan pemrosesan dan, untuk kasus terburuk, tanggung jawab pidana. Penegakan saat ini di Komdigi sambil lembaga pengawas khususnya, Lembaga PDP, dibentuk.

Linimasa yang penting

  • Oktober 2022: UU PDP (UU 27/2022) disahkan — prinsipnya ada, mesin penegakannya belum.
  • Januari 2026: Undang-undangnya diubah lewat UU 1/2026.
  • 16 Juli 2026: PP 33/2026, peraturan pelaksananya, diterbitkan — detail operasional yang ditunggu undang-undang aslinya.
  • 16 Januari 2027: Peraturannya berlaku. Sejak tanggal ini, kewajibannya bisa ditegakkan, bukan sekadar imbauan.

Artinya apa saat AI kamu menyentuh data pribadi

Undang-undangnya tidak peduli yang membaca data itu manusia atau model. Kalau asistenmu menelan chat pelanggan, riwayat order, foto KTP, atau bukti pembayaran, kamu sedang memproses data pribadi — dan kamu butuh dasar hukum untuk itu, cara memenuhi permintaan akses dan penghapusan, serta kontrol keamanan yang nyata atas ke mana data itu pergi.

Pola paling berisiko yang kami lihat di bisnis Asia Tenggara: data yang nyebar sembarangan. Percakapan pelanggan diteruskan ke tool AI serbaguna tanpa catatan apa pergi ke mana. Di bawah UU PDP, "kami tempel ke chatbot" itu transfer data yang kamu pertanggungjawabkan.

Pola kedua yang perlu dicek: consent. Menghubungi konsumen tanpa izin lewat kanal otomatis memang sudah dibatasi; peraturan pelaksananya mempertajam kewajiban menunjukkan dasar untuk tiap aktivitas pemrosesan, termasuk yang otomatis.

Empat hal yang harus dibereskan sebelum 16 Januari

  • Petakan di mana data pelanggan ketemu AI. Daftar semua tool yang melihat informasi pelanggan — termasuk yang tidak resmi, yang suka ditempel-tempel staf. Kamu tidak bisa membela alur yang tidak pernah kamu petakan.
  • Pilih tool yang melihat lebih sedikit. Utamakan sistem yang hanya memproses apa yang kamu kirimkan, di lingkungan yang terpisah per bisnis. Rapi, misalnya, dibangun dengan default itu: dia melihat apa yang kamu kirim, percakapan tidak pernah dipakai menjawab orang lain, dan dia tidak pernah minta PIN, OTP, atau kata sandi.
  • Tulis aturan retensinya. Berapa lama catatan chat, dokumen, dan output disimpan, dan siapa yang bisa menghapus? Kebijakan satu halaman lebih baik daripada kebiasaan yang tidak tertulis.
  • Tunjuk penanggung jawabnya. Peraturannya mengharapkan akuntabilitas ada di seseorang. Tetapkan siapa yang menjawab soal pelindungan data sebelum regulator yang bertanya.

Pertanyaan umum

Apakah UU PDP berlaku untuk tool AI?
Ya. UU 27/2022 berlaku untuk semua pemrosesan data pribadi, termasuk sistem AI yang mengumpulkan, menyimpan, melatih, menyimpulkan, atau menghasilkan data pribadi. Yang membaca manusia atau model, secara hukum tidak ada bedanya.
Kapan aturan data baru Indonesia mulai berlaku?
PP 33/2026, peraturan pelaksana UU PDP, diterbitkan 16 Juli 2026 dan mulai berlaku 16 Januari 2027.
Apa sanksi di bawah UU PDP?
Denda administratif sampai 2 persen dari pendapatan tahunan, perintah menghentikan pemrosesan, dan tanggung jawab pidana untuk pelanggaran paling serius. Penegakan saat ini di Komdigi sambil Lembaga PDP dibentuk.
UKM masih boleh pakai asisten AI WhatsApp di bawah UU PDP?
Boleh — undang-undangnya mengatur cara data ditangani, bukan boleh-tidaknya pakai AI. Pilih sistem yang hanya memproses apa yang kamu kirimkan, menjaga tiap bisnis terpisah, memenuhi permintaan penghapusan, dan tidak pernah meminta kredensial pelanggan. Lalu dokumentasikan.
Apa yang harus dibereskan duluan sebelum 16 Januari 2027?
Petakan semua titik data pelanggan bertemu AI, ganti kebiasaan tempel-ke-chatbot dengan sistem yang hanya melihat apa yang dikirim, tulis aturan retensi, dan tunjuk penanggung jawab pelindungan data.