UU PDP dan AI: Yang Perlu Disiapkan Bisnis Anda Sekarang

Tim Anda sudah mengumpulkan bahan untuk alat AI yang akan dicoba bulan ini: ekspor chat WhatsApp berisi nama, nomor, dan alamat pelanggan, file pesanan yang diunduh dari dasbor Shopee dan Tokopedia, serta spreadsheet piutang. Rencananya sederhana. AI membaca semuanya, lalu menandai pelanggan yang layak ditawari promo.

Begitu AI mengolah data pelanggan, bisnis Anda sedang memproses data pribadi yang diatur UU PDP. Sebelum alat itu dinyalakan, selesaikan urutan ini: petakan data dan tujuannya, tetapkan dasar hukumnya, ikat vendor dengan perjanjian, cek kebutuhan penilaian dampak dan pejabat PDP, lalu siapkan jadwal hapus serta prosedur lapor kebocoran. Kewajiban intinya sudah mengikat, sementara aturan pelaksananya, PP 33/2026, menambah rincian mulai 16 Januari 2027 (Sumber: Katadata, 2026).

Apa yang baru, dan siapa yang mengawasi?

PP 33/2026, aturan pelaksana UU 27/2022 tentang Pelindungan Data Pribadi, diteken Presiden pada 16 Juli 2026, dan ketentuan tambahannya berlaku mulai 16 Januari 2027 (Sumber: Katadata, 2026). Tanggal itu bukan tenggat baru bagi kewajiban yang sudah ditetapkan undang-undang induknya. Masa penyesuaian dua tahun sejak undang-undangnya diundangkan pada 17 Oktober 2022 sudah lewat (Sumber: JDIH Kemkomdigi, 2022).

Lembaga pengawas khususnya pun belum ada: per akhir Juli 2026, Perpres pembentukan Badan PDP belum disahkan, dan selama itu pengawasan dipegang Direktorat Jenderal Pengawasan Ruang Digital Komdigi (Sumber: Kompas.com, 2026). Sepanjang Oktober 2024 hingga November 2025, Komdigi mencatat 56 dugaan pelanggaran, dan sebagian besar datang dari laporan penyelenggara sistem elektronik sendiri (Sumber: CNN Indonesia, 2025).

Langkah awal: data, tujuan, dan vendor AI

Mulailah dengan menyusun daftar semua yang akan dibaca AI, termasuk yang tak pernah dianggap sistem: grup WhatsApp dan ponsel staf, ekspor pesanan marketplace, spreadsheet, ekspor CRM, dan berkas HR, lengkap dengan kolomnya. Pasal 4 menggolongkan antara lain data kesehatan, data anak, dan data keuangan pribadi sebagai data spesifik, sedangkan Pasal 31 mewajibkan pengendali merekam setiap kegiatan pemrosesan (Sumber: JDIH Kemkomdigi, 2022). Slip gaji dan catatan pasien klinik memuat data jenis ini.

Untuk setiap pemakaian, tulis tujuannya dan pilih dasar hukum yang tepat. Membalas pertanyaan status pesanan bisa bersandar pada kontrak dengan pembeli, tetapi menandai calon penerima promo adalah tujuan lain yang lebih cocok memakai persetujuan atau kepentingan sah yang ditimbang terhadap hak pelanggan. Pasal 20 menyediakan enam dasar pemrosesan, dan Pasal 22 meminta persetujuan dicatat serta dipisahkan per tujuan dengan bahasa yang sederhana (Sumber: JDIH Kemkomdigi, 2022).

Vendor alat AI Anda berkedudukan sebagai prosesor data. Pasal 51 membatasi prosesor untuk bertindak hanya atas perintah pengendali (Sumber: JDIH Kemkomdigi, 2022). Menurut Veritask, aturan pelaksana yang baru meminta perjanjian keduanya memuat ruang lingkup, jenis data dan tujuan, kategori subjek data, jangka waktu, hak dan kewajiban, serta mekanisme audit, dan sub-prosesor hanya boleh dilibatkan dengan persetujuan tertulis (Sumber: Veritask, 2026). Sebelum tanda tangan, minta kepastian soal hal-hal berikut.

• Negara tempat data disimpan dan diproses.
• Apakah data Anda ikut melatih model mereka, padahal prosesor semestinya hanya bekerja untuk tujuan yang Anda tetapkan.
• Daftar sub-prosesor yang mereka libatkan.
• Kapan dan lewat jalur apa mereka mengabari Anda bila terjadi insiden.

Bila servernya di luar Indonesia, ikuti urutan Pasal 56: negara tujuan harus punya pelindungan setara atau lebih tinggi, bila tidak harus ada pengaman yang memadai dan mengikat, dan bila keduanya tak ada barulah persetujuan subjek data dipakai (Sumber: JDIH Kemkomdigi, 2022). Aturan pelaksananya menambahkan pemetaan dan penilaian risiko sebelum transfer (Sumber: Veritask, 2026).

Kapan UU PDP mewajibkan penilaian dampak dan pejabat PDP?

Sebelum alat dipakai, uji rencana Anda terhadap Pasal 34, yang mewajibkan penilaian dampak pelindungan data pribadi (DPIA) untuk pemrosesan berpotensi risiko tinggi dan menyebut tujuh kondisinya, antara lain keputusan otomatis yang berdampak signifikan, data spesifik, pemrosesan skala besar, penilaian atau pemantauan sistematis, penggabungan kumpulan data, dan penggunaan teknologi baru (Sumber: JDIH Kemkomdigi, 2022).

Skenario promo tadi bisa menyentuh beberapa kondisi sekaligus: menyatukan chat WhatsApp dengan ekspor marketplace termasuk penggabungan data, dan menandai pelanggan mirip penilaian sistematis. DPIA-nya tidak harus tebal. Uraikan pemrosesan dan tujuannya, uji apakah memang perlu dan proporsional, nilai risikonya bagi hak pelanggan, lalu tetapkan langkah pengamannya.

Kalau AI ikut memutuskan hal yang berdampak nyata, seperti menyetujui cicilan atau memblokir akun, Pasal 10 memberi orang hak mengajukan keberatan atas keputusan yang sepenuhnya otomatis, jadi pastikan ada staf yang bisa membatalkannya (Sumber: JDIH Kemkomdigi, 2022).

Periksa juga kebutuhan pejabat PDP. Pasal 53 menyebut tiga keadaan: pemrosesan untuk pelayanan publik, kegiatan inti yang butuh pemantauan data pribadi secara teratur dan sistematis dalam skala besar, dan kegiatan inti berupa pemrosesan data spesifik atau data tindak pidana dalam skala besar (Sumber: JDIH Kemkomdigi, 2022). Putusan Mahkamah Konstitusi Nomor 151/PUU-XXII/2024, yang dibacakan 30 Juli 2025, menyatakan kata “dan” di antara dua kriteria terakhir harus dibaca “dan/atau”, sehingga satu kriteria saja sudah cukup (Sumber: pasal.id, 2025).

Apa yang terhitung “skala besar” untuk bisnis Anda masih soal penafsiran, begitu pula apakah peran ini boleh dirangkap atau dialihdayakan. Libatkan konsultan hukum Anda di titik ini, karena pejabat khusus berarti biaya tetap baru.

Jadwal penghapusan dan simulasi pemberitahuan kebocoran

Tetapkan berapa lama setiap kumpulan data disimpan dan sampaikan masa itu kepada pelanggan. Pasal 43 mewajibkan penghapusan ketika data tak lagi diperlukan untuk tujuannya, persetujuan ditarik, subjek data memintanya, atau data diperoleh secara melawan hukum (Sumber: JDIH Kemkomdigi, 2022). Pastikan penghapusan juga menjangkau salinan di dalam alat AI: file unggahan, basis pengetahuan, dan riwayat chat.

Terakhir, latih skenario terburuknya. Jika pelindungan data gagal, Pasal 46 mewajibkan pemberitahuan tertulis kepada subjek data dan lembaga pengawas paling lambat 3 × 24 jam, yang memuat data yang terungkap, waktu dan cara kejadiannya, serta upaya pemulihannya (Sumber: JDIH Kemkomdigi, 2022). Tunjuk sekarang siapa yang menilai insiden dan siapa yang menulis pemberitahuannya. Menurut Robere & Associates, aturan pelaksananya juga meminta prosesor mengabari pengendali pada kesempatan pertama, jadi masukkan kewajiban itu ke kontrak vendor (Sumber: Robere & Associates, 2026).

Setiap langkah ini perlu meninggalkan bukti, karena Pasal 47 mewajibkan pengendali mampu membuktikan pertanggungjawabannya (Sumber: JDIH Kemkomdigi, 2022). Di Finance AI Automation, sebuah keputusan desain menerapkan prinsip serupa: saat tagihan dibukukan, dokumen sumbernya ikut masuk ke platform akuntansi, dan setiap klaim reimburse punya satu jejak dari foto struk sampai entri buku besar. Sistem ini dibangun oleh Agentiq untuk klien yang dianonimkan; semua tampilan layar menggunakan data sampel fiktif.

Apa artinya untuk bisnis Anda

Bagi bisnis yang sudah mapan, urusan ini paling mungkin muncul lewat komplain pelanggan atau insiden yang wajib dilaporkan, bukan lewat inspeksi mendadak. Sanksinya tetap perlu diketahui: Pasal 57 mengatur peringatan tertulis, penghentian sementara pemrosesan, penghapusan data, dan denda administratif (Sumber: JDIH Kemkomdigi, 2022). Menurut Veritask, PP 33/2026 menimbang besaran denda dari faktor seperti dampak, lamanya pelanggaran, jumlah orang terdampak, skala usaha, dan sikap kooperatif (Sumber: Veritask, 2026).

• Susun daftar sumber data untuk AI, termasuk grup WhatsApp dan ponsel staf.
• Tulis tujuan dan dasar hukum setiap pemakaian.
• Kirim pertanyaan soal lokasi data, pelatihan model, sub-prosesor, dan pemberitahuan insiden ke vendor AI Anda.
• Cocokkan rencana otomatisasi dengan kondisi risiko tinggi yang memicu DPIA.
• Simpan daftar data, perjanjian vendor, DPIA, dan catatan simulasi dalam folder bersama dengan penanggung jawab yang jelas.

Jika Anda ingin melihat seperti apa urutan persiapan ini untuk data dan alat AI yang Anda pakai, ceritakan prosesnya lewat halaman kontak kami. Tim Agentiq akan menjawab dengan rekomendasi konkret, bukan template.