> Jawaban singkat: UU Pelindungan Data Pribadi (UU PDP) sudah berlaku penuh sejak Oktober 2024 dan mengikat semua pengendali data, termasuk UMKM yang memakai chatbot atau AI agent untuk melayani pelanggan. Begitu AI Anda menyimpan atau memproses nomor telepon, alamat, riwayat pembelian, atau data pribadi lain, bisnis Anda wajib punya dasar hukum pemrosesan, kontrol akses yang jelas, dan cara merespons kalau pelanggan minta datanya dihapus.
Banyak bisnis buru-buru memasang AI agent di WhatsApp, CRM, atau customer service tanpa berhenti sejenak memikirkan sisi kepatuhan datanya. Padahal begitu AI menyentuh data pelanggan, UU PDP otomatis berlaku, bukan cuma soal mencegah kebocoran data, tapi soal bagaimana data itu dikumpulkan, disimpan, dan dipakai oleh sistem AI di baliknya.
Apa itu UU PDP dan kenapa berkaitan langsung dengan AI di bisnis?
UU PDP adalah UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, berlaku penuh sejak 17 Oktober 2024 setelah masa transisi dua tahun sejak diundangkan. AI agent atau chatbot pada dasarnya adalah sistem yang memproses data: membaca pesan masuk, menyimpan riwayat percakapan, kadang mengirim data itu ke API pihak ketiga untuk diproses model bahasa. Begitu prosesnya menyentuh data pribadi pelanggan, sistem itu otomatis masuk kategori "pemrosesan data pribadi" yang diatur undang-undang ini.
Apakah UMKM juga wajib patuh, bukan cuma perusahaan besar?
Ya, UU PDP berlaku bagi setiap pengendali data tanpa membedakan skala usaha, selama data yang diproses adalah data pribadi warga negara Indonesia. Sayangnya kesadaran ini belum merata. Survei Kominfo pada 2023 menemukan sekitar 65% pelaku UMKM mengaku belum sepenuhnya memahami ketentuan UU PDP. Akibatnya kepatuhan sering baru dipikirkan setelah ada keluhan pelanggan atau insiden data, bukan sejak awal AI dipasang.
Data apa saja yang dianggap "data pribadi" ketika diproses AI?
Cakupannya lebih luas dari yang biasanya dibayangkan pemilik bisnis. Yang termasuk data pribadi antara lain:
- Nama lengkap, nomor telepon atau WhatsApp, dan alamat email
- Alamat pengiriman dan riwayat transaksi pembelian
- Rekaman suara, kalau bisnis Anda memakai voice bot atau AI penerima telepon
- Data yang lebih sensitif seperti kondisi kesehatan, data keuangan, atau data biometrik, yang diatur dengan syarat lebih ketat
Bahkan data yang terasa "biasa saja" seperti nomor WhatsApp tetap termasuk data pribadi begitu tersimpan dan bisa dikaitkan ke satu orang tertentu.
Apa risikonya kalau AI agent bisnis Anda mengakses data pelanggan tanpa kontrol?
Risikonya bertingkat. Yang paling umum terjadi: data pelanggan ikut terkirim ke API pihak ketiga tanpa perjanjian pemrosesan data yang jelas, log percakapan tersimpan tanpa batas waktu, atau staf yang tidak berkepentingan bisa membuka riwayat chat pelanggan begitu saja. Kalau bisnis Anda sudah menjalankan CS WhatsApp AI untuk membalas pelanggan sepanjang hari, pertanyaan yang sama pentingnya dengan kecepatan respons adalah ke mana saja data percakapan itu mengalir setelah pesan masuk. Ini bukan hanya risiko hukum, tapi risiko kepercayaan pelanggan yang sulit dipulihkan begitu rusak.
Kapan bisnis wajib menunjuk Data Protection Officer (DPO)?
Kewajiban menunjuk DPO berlaku untuk pengendali data yang memproses data dalam skala besar, memproses data pribadi yang bersifat khusus atau sensitif, melakukan pemantauan teratur atas data pribadi dalam skala besar, atau menjalankan pelayanan publik. UMKM kecil dengan volume percakapan terbatas biasanya belum masuk kategori ini. Tapi begitu AI agent Anda memproses ribuan percakapan pelanggan per bulan secara rutin, ambang "skala besar" itu bisa terlampaui tanpa disadari, apalagi kalau bisnis sedang dalam fase pertumbuhan cepat.
Apa sanksi yang mengintai kalau bisnis melanggar UU PDP?
Sanksinya cukup berat untuk diabaikan. Sanksi administratif bisa mencapai maksimal 2% dari pendapatan tahunan untuk pelanggaran tertentu, di luar potensi gugatan perdata dari pihak yang dirugikan. Untuk sanksi pidana, denda perorangan bisa sampai Rp4 miliar hingga Rp6 miliar, dan kalau pelakunya korporasi dendanya bisa dikalikan sepuluh, sehingga jual-beli data pribadi ilegal berpotensi didenda hingga Rp50 miliar dan pemalsuan data hingga Rp60 miliar.
Bagaimana cara menerapkan AI yang tetap patuh UU PDP di bisnis Anda?
Kepatuhan tidak harus rumit kalau ditata sejak awal, bukan ditambal belakangan. Dalam praktik yang kami jalankan saat memasang AI agent untuk layanan pelanggan klien, langkah pertama bukan langsung konfigurasi AI-nya, melainkan memetakan dulu alur datanya: data apa saja yang akan disentuh AI, ke server atau API mana data itu mengalir, dan siapa saja di tim klien yang benar-benar perlu mengakses riwayat percakapan. Dari peta itu baru ditentukan batas retensi log, apakah data sensitif perlu disamarkan sebelum dikirim ke model AI, dan siapa yang bertanggung jawab kalau pelanggan minta datanya dihapus. Pendekatan ini jauh lebih murah dibanding membongkar ulang sistem setelah masalah muncul. Kalau bisnis Anda belum yakin mulai dari mana, artikel kami tentang cara memilih vendor AI automation bisa jadi titik awal untuk menilai vendor mana yang serius soal keamanan data, bukan cuma soal fitur.
Apakah pakai ChatGPT, Claude, atau AI luar negeri otomatis melanggar UU PDP?
Tidak otomatis melanggar, tapi juga tidak otomatis aman. Yang menentukan adalah bagaimana data diperlakukan sebelum dan sesudah dikirim ke penyedia AI tersebut. Perhatikan apakah vendor punya perjanjian pemrosesan data yang jelas, apakah ada opsi supaya data percakapan tidak dipakai untuk melatih model publik, dan apakah data sensitif bisa disaring atau disamarkan dulu sebelum sampai ke API. Untuk bisnis skala UMKM yang baru mulai, artikel AI untuk UMKM membahas langkah bertahap menerapkan AI tanpa harus langsung menyerahkan seluruh data pelanggan ke pihak ketiga tanpa kendali.
Pertanyaan yang Sering Diajukan
Apakah bisnis kecil yang baru pakai chatbot AI langsung kena sanksi UU PDP? Tidak langsung. Penegakan biasanya dipicu laporan atau insiden nyata, bukan pemeriksaan acak. Tapi risikonya tetap ada selama data pelanggan diproses tanpa dasar hukum dan kontrol yang jelas.
Apakah percakapan WhatsApp pelanggan termasuk data yang diatur UU PDP? Ya. Isi percakapan yang memuat nama, nomor telepon, alamat, atau riwayat pesanan termasuk data pribadi begitu tersimpan dan bisa dikaitkan ke satu pelanggan tertentu.
Berapa lama data percakapan pelanggan boleh disimpan? UU PDP tidak menetapkan angka pasti untuk semua kasus, tapi prinsipnya data hanya boleh disimpan selama masih diperlukan untuk tujuan pemrosesan awal. Praktik yang aman adalah menetapkan batas retensi eksplisit, lalu menghapus atau mengarsipkan log setelahnya.
Apakah UMKM wajib punya kebijakan privasi tertulis kalau pakai AI agent? Sangat disarankan. Kebijakan privasi tertulis membantu bisnis menunjukkan dasar hukum pemrosesan data ke pelanggan maupun ke otoritas kalau suatu saat diminta, dan biasanya jadi hal pertama yang ditanyakan kalau ada keluhan.
Siapa yang bertanggung jawab kalau AI agent bocorkan data karena kesalahan vendor pihak ketiga? Tanggung jawab bisa dibagi tergantung perjanjian pemrosesan data antara bisnis dan vendor, tapi pengendali data (bisnis Anda) tetap punya kewajiban memastikan vendor yang dipilih memenuhi standar keamanan yang memadai sejak awal.
Apakah Aijen Teknologi Indonesia membantu bisnis menata kepatuhan data saat implementasi AI? Aijen Teknologi Indonesia membantu klien memetakan alur data dan menata kontrol akses sebagai bagian dari proses implementasi AI agent, bukan sebagai layanan hukum terpisah. Untuk kepastian hukum penuh, kepatuhan tetap perlu dikonsultasikan dengan penasihat hukum yang menangani UU PDP.
Sumber
- https://it.proxsisgroup.com/panduan-lengkap-implementasi-uu-pdp-di-indonesia-strategi-dan-tantangannya/
- https://prolegal.id/kewajiban-perusahaan-dalam-uu-pdp-dan-konsekuensinya/
- https://appdi.or.id/pentingnya-peran-data-protection-officer-dalam-suatu-perusahaan/
- https://djkpm.komdigi.go.id/berita/artikel/35/era-baru-perlindungan-data-pribadi