Bagaimana Usaha Kecil Memakai AI Tanpa Melanggar UU PDP?

Perusahaan kecil boleh memakai AI, tetapi wajib memenuhi UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) sejak masa transisi berakhir pada 17 Oktober 2024. Sebelum data pelanggan, gaji karyawan, atau dokumen keuangan dimasukkan ke alat AI, pemilik usaha harus memetakan data, menghapus kolom sensitif, menutup akses, dan mencatat setiap pemakaian.

Apa Itu Kepatuhan Data Pribadi Saat Memakai AI dan Dasar Hukumnya

Kepatuhan data pribadi saat memakai AI adalah kemampuan perusahaan menjelaskan, membuktikan, dan mempertanggungjawabkan setiap kali data orang lain diproses oleh sistem otomatis. Bukan sekadar soal izin memakai aplikasi. Yang dinilai adalah apakah ada dasar pemrosesan yang sah, apakah data yang masuk memang seperlunya, dan apakah perusahaan bisa menunjukkan jejaknya ketika ditanya.

Dasar hukumnya berlapis, dan tiga lapis yang paling sering terlewat oleh pemilik usaha adalah berikut ini.

Pertama, UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi. Pasal 4 ayat (2) memasukkan data keuangan pribadi sebagai data pribadi yang bersifat spesifik, yaitu kategori yang menuntut perlindungan lebih ketat. Artinya nomor rekening pelanggan, slip gaji karyawan, dan bukti transfer yang sering ditempel ke chat AI tidak berada di kategori data biasa. Pasal 4 ayat (3) juga menyebut data pribadi yang bersifat umum, termasuk nama lengkap dan data yang dikombinasikan untuk mengidentifikasi seseorang. Kombinasi nama, nomor telepon, dan riwayat pembelian sudah cukup untuk mengidentifikasi satu orang tertentu.

Kedua, sanksi administratifnya nyata. Pasal 57 ayat (2) menyebut empat bentuk sanksi: peringatan tertulis, penghentian sementara kegiatan pemrosesan data pribadi, penghapusan atau pemusnahan data pribadi, dan denda administratif. Pasal 57 ayat (3) menetapkan denda administratif paling tinggi 2% dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran. Untuk usaha dengan omzet Rp10 miliar setahun, angka itu setara Rp200 juta. Bagi warung atau toko dengan omzet Rp2 miliar, eksposurnya Rp40 juta, dan itu biasanya lebih besar daripada margin bersih satu bulan.

Ketiga, Surat Edaran Menteri Komunikasi dan Informatika No. 9 Tahun 2023 tentang Etika Kecerdasan Artifisial. Surat edaran ini ditetapkan 19 Desember 2023 dan menyebut sejumlah nilai etika, termasuk transparansi, akuntabilitas, dan perlindungan data pribadi. Sifatnya pedoman, bukan undang-undang, sehingga tidak menciptakan sanksi sendiri. Namun acuan hukum di belakangnya tetap UU PDP dan UU Informasi dan Transaksi Elektronik, jadi pelanggaran tetap bisa diproses lewat kedua undang-undang tersebut. Bagi pemilik usaha, artinya sederhana: tidak ada zona bebas aturan hanya karena alatnya bernama AI.

Yang paling sering disalahpahami adalah anggapan bahwa kewajiban ini hanya berlaku untuk perusahaan teknologi. UU PDP tidak membedakan bentuk usaha. Yang dihitung adalah peran: perusahaan yang menentukan tujuan dan cara pemrosesan data berperan sebagai pengendali data pribadi, sedangkan penyedia alat AI umumnya berperan sebagai prosesor. Justru pihak yang menentukan tujuan, yaitu pemilik usaha, yang memikul tanggung jawab utama.

Ada satu konsekuensi praktis yang jarang dibahas. Ketika karyawan menempelkan data ke alat AI publik, perusahaan kehilangan kendali atas lokasi penyimpanan dan masa retensi data tersebut. Sebagian layanan memang menyatakan data tidak dipakai untuk pelatihan model pada paket berbayar, tetapi pernyataan itu tidak otomatis menjadi bukti kepatuhan perusahaan. Yang dibutuhkan pengawas adalah catatan internal: data apa yang diproses, untuk tujuan apa, siapa yang menyetujui, dan bagaimana data itu dihapus.

Karena itu, urutan kerja yang benar bukan dimulai dari memilih aplikasi, melainkan dari memetakan data. Aplikasi bisa diganti dalam satu hari. Pemetaan data yang tidak pernah dibuat akan terus menjadi celah, apa pun alat yang dipakai.

Studi Kasus Indonesia: Ketika Data yang Bocor Bukan Data Milik Sendiri

Contoh paling keras datang dari sektor publik, dan pelajarannya langsung berlaku untuk usaha kecil. Pada 20 Juni 2024, Pusat Data Nasional Sementara (PDNS) 2 di Surabaya terkena serangan ransomware Brain Cipher, varian dari Lockbit 3.0. Kementerian Komunikasi dan Informatika mencatat 282 tenant atau layanan terdampak, dan menurut keterangan BSSN, fitur keamanan Windows Defender pada server tersebut sempat dinonaktifkan sejak 17 Juni 2024 sebelum aktivitas berbahaya berjalan pada 20 Juni 2024. Layanan keimigrasian, perizinan, dan pengadaan publik ikut terganggu selama berhari-hari.

Angka 282 itu bukan sekadar statistik. Di dalam satu insiden, ratusan organisasi kehilangan kendali atas data yang mereka kumpulkan dari orang lain, dan sebagian data tidak dapat dipulihkan karena tidak ada salinan cadangan yang memadai. Peretas dilaporkan meminta tebusan sekitar 8 juta dolar Amerika Serikat, dan pemerintah menegaskan tidak membayar.

Perhatikan pola penyebabnya. Insiden itu tidak dimulai dari kecerdasan buatan yang cerdas melewati pengamanan. Insiden itu dimulai dari kontrol dasar yang tidak berjalan: fitur keamanan dimatikan, akses tidak dibatasi, dan cadangan data tidak teruji. Pola yang sama persis muncul di usaha kecil yang memakai AI, hanya dalam skala yang lebih kecil dan tanpa liputan media.

Bayangkan sebuah distributor alat tulis dengan 12 karyawan dan omzet Rp18 miliar setahun. Manajer penjualan memakai asisten AI untuk merangkum keluhan pelanggan, lalu menempelkan ekspor chat pelanggan selama satu bulan ke dalam percakapan. Ekspor itu berisi nama, nomor telepon, alamat pengiriman, nomor rekening untuk pengembalian dana, dan keluhan satu pelanggan tentang tagihan yang salah. Tidak ada yang terlihat berubah. Penjualan tetap jalan. Tetapi perusahaan sekarang punya tiga masalah yang belum terlihat.

Pertama, data keuangan pribadi pelanggan telah diproses di sistem pihak ketiga tanpa dasar pemrosesan yang dicatat, padahal Pasal 4 ayat (2) UU PDP menempatkannya sebagai data spesifik. Kedua, tidak ada bukti persetujuan untuk penggunaan selain keperluan pengiriman barang. Ketiga, jika terjadi insiden di sisi penyedia layanan, perusahaan tidak punya catatan untuk menunjukkan data apa yang sebenarnya dikirim, sehingga tidak bisa menilai dampaknya.

Hitung eksposurnya dengan Pasal 57 ayat (3): 2% dari Rp18 miliar adalah Rp360 juta. Bandingkan dengan nilai pekerjaan yang diselesaikan: merangkum keluhan pelanggan, mungkin menghemat 6 sampai 10 jam kerja per bulan. Secara ekonomi, risikonya tidak sebanding sama sekali. Itulah alasan kepatuhan data tidak boleh diperlakukan sebagai formalitas yang ditunda sampai ada waktu luang.

Contoh lain yang lebih dekat ke operasional harian adalah pemakaian AI untuk menyusun deskripsi lowongan atau menyeleksi pelamar. Data pelamar termasuk data pribadi, dan sebagian di antaranya bisa masuk kategori data spesifik. Menyimpan berkas lamaran selama bertahun-tahun tanpa tujuan yang jelas adalah bentuk pengumpulan berlebihan. Perbaikannya tidak mahal: tetapkan masa simpan, misalnya enam bulan setelah proses seleksi selesai, lalu hapus secara terjadwal.

Di sisi perpajakan, kehati-hatian yang sama berlaku. Data pada faktur pajak dan bukti potong memuat identitas pihak lain. Memasukkannya ke alat AI publik untuk mencari format yang benar adalah kebiasaan yang tampak efisien, tetapi memindahkan data pihak ketiga ke luar kendali perusahaan. Untuk pekerjaan seperti itu, gunakan data contoh yang sudah dianonimkan, bukan dokumen asli.

5 Langkah Menerapkan AI yang Patuh Data Pribadi di Usaha Kecil

Lima langkah berikut bisa dijalankan tanpa konsultan dan tanpa perangkat lunak tambahan. Satu orang yang bertanggung jawab, satu spreadsheet, dan satu kebijakan tertulis sudah cukup untuk memulai.

Langkah 1: Petakan data yang boleh dan tidak boleh masuk ke alat AI. Buat daftar tiga kolom: jenis data, sumbernya, dan tujuan pemakaian. Kategorikan setiap baris sebagai boleh, boleh dengan anonimisasi, atau dilarang. Data keuangan pribadi, data kesehatan, data biometrik, dan data anak masuk kategori dilarang sesuai Pasal 4 ayat (2) UU PDP, kecuali sudah dianonimkan dan tidak bisa dilacak kembali ke orang tertentu. Batasi daftar ini maksimal satu halaman agar benar-benar dibaca tim.

Langkah 2: Tetapkan satu dasar pemrosesan yang sah dan catat alasannya. Untuk pelanggan, dasar yang paling mudah dipertahankan adalah persetujuan atau pelaksanaan perjanjian jual beli. Untuk karyawan, umumnya pelaksanaan hubungan kerja. Tulis dasar itu di samping setiap baris pada daftar langkah pertama. Jika sebuah penggunaan tidak punya dasar yang jelas, hentikan penggunaannya sekarang, bukan setelah ada masalah.

Langkah 3: Kurangi data sebelum diproses dan ganti nama sebelum dikirim. Terapkan prinsip seperlunya. Jika hanya perlu menganalisis pola keluhan, hapus kolom nama, nomor telepon, nomor rekening, dan alamat lengkap, lalu ganti dengan kode pelanggan. Satu kebiasaan sederhana: sebelum menempel apa pun ke alat AI, tanyakan apakah data itu benar-benar dibutuhkan untuk menjawab pertanyaan tersebut. Dalam banyak kasus, jawabannya tidak.

Langkah 4: Batasi akses, aktifkan kontrol, dan siapkan jalur penghapusan. Beri akses alat AI hanya kepada peran yang memang membutuhkannya, gunakan akun perusahaan, dan aktifkan autentikasi dua faktor. Matikan izin berbagi ke akun pribadi. Tetapkan masa simpan: riwayat percakapan dihapus berkala, berkas pelanggan disimpan sesuai keperluan, dan data pelamar dihapus setelah proses seleksi berakhir. Ingat pelajaran PDNS 2: kontrol dasar yang dimatikan adalah pintu masuk termurah bagi insiden.

Langkah 5: Catat, uji, dan siapkan prosedur jika terjadi insiden. Simpan catatan singkat berisi tanggal, pengguna, jenis data, tujuan, dan alat yang dipakai. Lakukan uji kecil setiap kuartal: ambil satu proses, telusuri datanya dari awal sampai akhir, dan periksa apakah masih sesuai daftar. Siapkan satu halaman prosedur berisi siapa yang dihubungi, apa yang dihentikan lebih dulu, dan bagaimana data dikunci jika ada kebocoran. Prosedur yang belum pernah diuji biasanya gagal saat dipakai.

Urutan kelima langkah ini bukan kebetulan. Memetakan dulu, baru memilih alat, membuat keputusan pembelian menjadi lebih murah karena kebutuhan sudah jelas. Banyak usaha kecil membeli langganan alat AI lebih dulu, lalu bingung menentukan batasan pemakaian setelah tim terlanjur punya kebiasaan sendiri.

Untuk sisi pencatatan transaksi dan alur kerja yang menjadi sumber sebagian besar data pribadi, langkah penguatan internal bisa dijalankan bersamaan. Panduan seperti cara membuat SOP perusahaan yang efektif membantu memastikan aturan pemakaian AI tidak hanya tersimpan di kepala satu orang. Jika perusahaan mulai memakai beberapa alat sekaligus, pertimbangkan juga cara memilih software keuangan yang tepat untuk UMKM agar data keuangan tidak tersebar di banyak aplikasi tanpa kendali.

Yang perlu ditegaskan: tujuan artikel ini bukan membuat perusahaan berhenti memakai AI. Alat AI bisa memotong waktu penyusunan laporan dan membantu tim kecil bekerja lebih rapi, seperti dijelaskan pada strategi UMKM 2026 menuju bisnis tersistem. Yang perlu diubah adalah kebiasaan memasukkan data tanpa aturan, karena kebiasaan itulah yang menciptakan eksposur.

Pada praktiknya, tiga bidang biasanya paling cepat terdampak: penggajian, penagihan, dan layanan pelanggan. Ketiganya memuat data pribadi dalam jumlah besar dan sering ditangani staf administrasi dengan akses luas. Membatasi akses di tiga area ini memberi hasil terbesar dengan usaha paling kecil. Pembahasan tentang pembagian tugas yang terlalu menumpuk pada satu orang bisa dilihat di cara mengatasi karyawan dengan jobdesk ganda, karena akar masalahnya sering sama: satu orang memegang terlalu banyak data sekaligus.

Kaitan Kepatuhan Data Pribadi dengan Risiko Pajak dan Audit Usaha

Keduanya bertemu di titik yang sama: kualitas catatan. Ketika data pelanggan dan transaksi tercatat rapi, perusahaan lebih mudah menjawab pertanyaan pengawas, baik pertanyaan tentang pelindungan data pribadi maupun pertanyaan dari kantor pajak. Sebaliknya, data yang berserakan di chat pribadi dan folder tanpa nama sulit dipertanggungjawabkan kepada siapa pun.

Ada satu kemiripan pola yang layak diperhatikan. Pada kasus PDNS 2, penyebabnya bukan serangan yang canggih, melainkan kontrol dasar yang tidak berjalan. Pada pemeriksaan pajak, masalah yang paling sering muncul juga bukan skema rumit, melainkan selisih pencatatan dan dokumen pendukung yang tidak tersimpan. Keduanya menunjukkan bahwa risiko terbesar usaha kecil biasanya berasal dari kerapian dasar, bukan dari kecanggihan pihak luar.

Karena itu, investasi pertama yang paling menguntungkan bukan alat baru, melainkan satu kebijakan tertulis yang singkat dan satu orang yang bertanggung jawab menjalankannya. Kerangka kerja yang sama bisa dipakai untuk risiko pajak, seperti diuraikan dalam framework manajemen risiko pajak untuk perusahaan yang sedang scaling, dan untuk pengendalian internal, seperti pada cara mengunci celah korupsi internal.

Kesalahan Umum yang Membuat Kepatuhan Data Pribadi Gagal

Kesalahan pertama adalah menganggap kepatuhan sebagai proyek sekali jalan. Kebijakan dibuat, lalu tidak pernah diperbarui ketika tim mulai memakai alat baru. Kesalahan kedua adalah menyerahkan urusan data sepenuhnya ke orang teknis, padahal yang menentukan tujuan pemrosesan adalah pemilik proses bisnis. Kesalahan ketiga adalah menyimpan segalanya karena takut kehilangan bukti, yang justru menciptakan pengumpulan berlebihan.

Kesalahan keempat yang paling mahal: tidak pernah menguji prosedur. Banyak usaha kecil punya dokumen kebijakan data, tetapi tidak pernah mencoba menelusuri satu proses dari awal sampai akhir. Saat insiden benar-benar terjadi, dokumen itu tidak membantu karena tidak ada yang tahu langkah pertamanya.

Kesalahan kelima adalah menunda sampai ada keluhan. Padahal biaya perbaikan paling murah justru pada tahap sebelum data masuk ke sistem mana pun. Setelah data berpindah ke banyak tempat, biaya pemetaan dan penghapusan meningkat berkali-kali lipat.

Pertanyaan yang Sering Diajukan

Apakah usaha kecil wajib mematuhi UU PDP?

Ya. UU No. 27 Tahun 2022 tidak membedakan skala usaha, dan masa transisinya berakhir pada 17 Oktober 2024. Setiap pihak yang memproses data pribadi, termasuk usaha dengan beberapa karyawan, terikat pada ketentuan yang sama. Yang berbeda biasanya intensitas pengawasan, bukan kewajibannya.

Bolehkah menempelkan data pelanggan ke layanan AI publik?

Boleh hanya jika ada dasar pemrosesan yang sah, data yang dikirim seperlunya, dan penggunaannya tercatat. Untuk data keuangan pribadi, sebaiknya dihindari atau dianonimkan lebih dulu. Kebiasaan yang paling aman adalah mengganti identitas dengan kode sebelum data diproses.

Berapa sanksi jika data pribadi tidak dilindungi?

Pasal 57 ayat (2) UU PDP menyebut peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan denda administratif. Pasal 57 ayat (3) menetapkan denda paling tinggi 2% dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran. Untuk omzet Rp10 miliar, eksposurnya mencapai Rp200 juta.

Apakah data pelanggan yang sudah dianonimkan masih dianggap data pribadi?

Jika anonimisasi dilakukan dengan benar sehingga individu tidak lagi dapat diidentifikasi, data itu keluar dari cakupan data pribadi. Masalahnya, banyak yang mengira sudah menganonimkan padahal hanya menghapus nama, sementara nomor telepon dan alamat masih ada. Kombinasi seperti itu masih bisa mengidentifikasi seseorang.

Apakah Surat Edaran Menkominfo No. 9 Tahun 2023 bisa dijadikan dasar sanksi?

Tidak secara langsung, karena sifatnya pedoman etika, bukan peraturan yang memuat sanksi. Namun acuan hukum di belakangnya tetap UU PDP dan UU Informasi dan Transaksi Elektronik, sehingga pelanggaran tetap dapat diproses berdasarkan kedua undang-undang tersebut. Surat edaran itu berguna sebagai kerangka penyusunan kebijakan internal.

Dari mana sebaiknya memulai jika belum punya kebijakan apa pun?

Mulai dari pemetaan satu halaman: data apa yang dimiliki, dari mana asalnya, dan untuk apa dipakai. Setelah daftar itu ada, tentukan data yang dilarang masuk ke alat AI, lalu batasi akses. Langkah kecil ini biasanya cukup untuk menutup celah terbesar dalam hitungan hari, tanpa biaya alat tambahan.