LEXmedia. Kewajiban hukum perusahaan menggunakan AI di Indonesia kini tidak lagi berada di wilayah abu-abu. Memang, Indonesia belum memiliki undang-undang khusus kecerdasan artifisial. Namun, sejumlah regulasi yang berlaku sudah membebankan tanggung jawab konkret kepada perusahaan pengembang maupun pengguna AI.
Artikel ini menganalisis lima instrumen hukum utama yang membentuk kerangka tersebut. Selain itu, artikel ini menawarkan langkah kepatuhan praktis yang perlu perusahaan siapkan sebelum 16 Januari 2027.
Mengapa Kewajiban Hukum Perusahaan AI Mendesak?
Perusahaan kini memakai AI untuk menyaring pelamar kerja, menilai kelayakan kredit, hingga melayani konsumen lewat chatbot. Setiap fungsi itu menyentuh data pribadi dan hak orang lain. Oleh karena itu, satu kesalahan algoritma dapat berujung pada gugatan, sanksi administratif, atau krisis reputasi.
Selain itu, Pemerintah tengah menyusun Rancangan Peraturan Presiden tentang Etika Kecerdasan Artifisial. Artinya, arah regulasi bergerak menuju kewajiban yang lebih ketat. Perusahaan yang menunda persiapan akan menanggung biaya penyesuaian lebih besar.
UU ITE: AI sebagai Sistem Elektronik
Hukum Indonesia memandang AI sebagai bagian dari Sistem Elektronik. Konsekuensinya, perusahaan yang mengoperasikan AI berkedudukan sebagai Penyelenggara Sistem Elektronik (PSE).
Pasal 15 dan Pasal 21 UU No. 11/2008
Pasal 15 ayat (1) UU ITE mewajibkan setiap PSE menyelenggarakan sistem secara andal dan aman. PSE juga bertanggung jawab atas beroperasinya sistem sebagaimana mestinya. Dengan demikian, perusahaan tidak dapat berdalih bahwa kesalahan berasal dari algoritma, bukan dari manajemen.
Pasal 21 ayat (2) huruf c memperkuat prinsip tersebut. Jika transaksi berjalan melalui Agen Elektronik, penyelenggara agen menanggung segala akibat hukumnya. Menurut pandangan penulis, chatbot transaksional dan mesin rekomendasi otomatis masuk kategori ini. Meski begitu, Pasal 21 ayat (5) membuka pengecualian untuk keadaan memaksa atau kelalaian pengguna.
Pasal 40A UU No. 1/2024
Perubahan kedua UU ITE menambahkan Pasal 40A. Pasal ini memberi Pemerintah wewenang memerintahkan PSE menyesuaikan sistemnya atau mengambil tindakan tertentu. PSE wajib mematuhi perintah tersebut. Sebaliknya, pelanggaran membuka risiko teguran tertulis, denda administratif, penghentian sementara, hingga pemutusan akses. Bagi perusahaan AI, ketentuan ini menjadi dasar intervensi Pemerintah atas sistem yang berisiko.
UU PDP: Data Pribadi sebagai Bahan Bakar Kewajiban Hukum Perusahaan AI
Hampir semua model AI bisnis mengolah data pribadi. Karena itu, UU No. 27/2022 tentang Pelindungan Data Pribadi (UU PDP) menjadi rezim yang paling relevan.
Hak Menolak Keputusan Otomatis
Pasal 10 ayat (1) UU PDP memberi Subjek Data hak menolak keputusan berbasis pemrosesan otomatis semata. Hak ini juga mencakup pemrofilan yang menimbulkan akibat hukum atau dampak signifikan. Contohnya, penolakan kredit oleh sistem penilaian otomatis. Akibatnya, perusahaan perlu menyediakan jalur peninjauan oleh manusia.
Penilaian Dampak, Notifikasi, dan Sanksi
Pasal 34 UU PDP mewajibkan Pengendali Data melakukan penilaian dampak untuk pemrosesan berisiko tinggi. Daftarnya mencakup keputusan otomatis, pemrosesan skala besar, penskoran, dan penggunaan teknologi baru. Hampir setiap proyek AI memenuhi setidaknya satu kriteria tersebut.
Selanjutnya, Pasal 46 mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam jika terjadi kegagalan pelindungan data. Pemberitahuan itu wajib sampai kepada Subjek Data dan lembaga. Kemudian, Pasal 57 menetapkan denda administratif paling tinggi dua persen dari pendapatan atau penerimaan tahunan.
PP No. 33/2026: Aturan Pelaksana yang Menentukan
Pemerintah menetapkan PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU PDP pada 16 Juli 2026. Menurut Pasal 225, PP ini mulai berlaku enam bulan sejak pengundangan, yakni 16 Januari 2027.
PP ini mengoperasionalkan kewajiban yang sebelumnya masih bersifat umum. Pertama, ketentuan penilaian dampak dalam Pasal 120–122 beserta penjelasannya menyebut kecerdasan buatan dan machine learning sebagai contoh teknologi baru. Kedua, Pasal 142 mewajibkan penunjukan Pejabat Pelindungan Data Pribadi bagi organisasi yang melakukan pemantauan sistematis berskala besar. Ketiga, PP ini merinci variabel penghitungan denda dan mewajibkan Lembaga mengumumkan keputusan sanksi.
Dalam praktik, kewajiban hukum perusahaan AI yang paling nyata justru lahir dari PP ini. Setiap inisiatif AI yang mengolah data pribadi praktis harus melewati penilaian dampak sebelum beroperasi. Namun, banyak pedoman teknis masih menunggu Peraturan Lembaga. Meski demikian, ketentuan peralihan tetap menuntut perusahaan mematuhi PP selama aturan turunan belum terbit.
PP No. 71/2019: Rezim Agen Elektronik
PP No. 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik menjabarkan kewajiban PSE secara lebih teknis. Pasal 3 menegaskan kembali kewajiban keandalan, keamanan, dan tanggung jawab. Selain itu, Pasal 6 mewajibkan PSE melakukan pendaftaran sebelum pengguna memakai sistemnya.
Bagian paling relevan bagi AI adalah ketentuan Agen Elektronik. Pasal 36 ayat (3) memberlakukan kewajiban PSE secara mutatis mutandis kepada penyelenggara agen. Kemudian, Pasal 37 mewajibkan penyelenggara menyampaikan informasi minimum kepada pengguna. Informasi itu mencakup identitas penyelenggara, kelayakan agen, jaminan privasi, dan nomor pengaduan. Pasal yang sama juga mewajibkan fitur koreksi, pembatalan perintah, dan konfirmasi. Terakhir, Pasal 39 menuntut prinsip kehati-hatian dan pelindungan konsumen.
SE Menkominfo No. 9/2023: Etika sebagai Standar Perilaku
Surat Edaran Menteri Komunikasi dan Informatika (kini Komdigi) No. 9 Tahun 2023 mengatur Etika Kecerdasan Artifisial. SE ini menyasar pelaku usaha serta PSE publik dan privat yang menjalankan kegiatan berbasis AI. Isinya memuat nilai etika, antara lain inklusivitas, kemanusiaan, keamanan, transparansi, akuntabilitas, pelindungan data pribadi, dan kekayaan intelektual.
Secara hukum, SE bukan peraturan perundang-undangan yang mengikat umum. SE berfungsi sebagai pedoman kebijakan tanpa sanksi. Akan tetapi, regulator dan hakim dapat memakai SE ini sebagai tolok ukur kepatutan. Dengan kata lain, perusahaan yang mengabaikan etika AI melemahkan posisinya sendiri saat sengketa muncul.
Analisis Celah dan Arah Regulasi Kewajiban Hukum Perusahaan AI
Menurut penilaian penulis, kerangka hukum AI Indonesia saat ini masih bersifat tambal-sulam. UU ITE dan PP 71/2019 mengatur sistemnya. UU PDP dan PP 33/2026 mengatur datanya. Sementara itu, SE 9/2023 mengatur etikanya tanpa daya paksa.
Celah terbesar terletak pada akuntabilitas output AI yang tidak menyentuh data pribadi. Contohnya, informasi keliru dari AI generatif atau bias pada sistem nonpersonal. Untuk situasi itu, korban masih harus bertumpu pada Pasal 15 dan 21 UU ITE serta gugatan perbuatan melawan hukum. Oleh karena itu, pelaku usaha patut memantau perkembangan RPerpres Etika Kecerdasan Artifisial secara serius.
Rekomendasi Kepatuhan Kewajiban Hukum Perusahaan AI
1. Inventarisasi sistem AI. Petakan seluruh model, vendor, dan aliran data pribadi yang terlibat.
2. Jalankan penilaian dampak. Lakukan DPIA sebelum meluncurkan sistem AI berisiko tinggi.
3. Tunjuk Pejabat Pelindungan Data Pribadi. Pastikan pejabat tersebut memiliki akses langsung ke direksi.
4. Sediakan intervensi manusia. Bangun mekanisme keberatan atas keputusan otomatis sesuai Pasal 10 UU PDP.
5. Perbarui dokumen hukum. Revisi kebijakan privasi, syarat layanan, dan perjanjian pemrosesan data dengan vendor AI.
6. Siapkan protokol insiden. Uji kemampuan notifikasi 3 x 24 jam secara berkala.
7. Adopsi kode etik AI internal. Jadikan nilai SE 9/2023 sebagai kebijakan tertulis perusahaan.
8. Pastikan pendaftaran PSE. Periksa status pendaftaran sistem elektronik sebelum peluncuran.
Pada akhirnya, kewajiban hukum perusahaan AI bukan sekadar beban biaya. Sebaliknya, kepatuhan membangun kepercayaan konsumen, investor, dan regulator. Perusahaan yang bersiap sejak sekarang akan memasuki 16 Januari 2027 dengan posisi hukum yang kuat.
FAQ (Frequently Asked Questions)
1. Apakah Indonesia sudah memiliki undang-undang khusus AI?
Belum. Hingga Oktober 2026, Indonesia belum memiliki undang-undang khusus kecerdasan artifisial. Namun, perusahaan tetap terikat UU ITE, UU PDP, PP No. 71/2019, dan PP No. 33/2026. Selain itu, SE Menkominfo No. 9/2023 memberikan pedoman etika. Pemerintah juga sedang menyusun Rancangan Peraturan Presiden tentang Etika Kecerdasan Artifisial sebagai aturan yang lebih spesifik.
2. Kapan PP No. 33/2026 mulai berlaku?
PP No. 33/2026 mulai berlaku pada 16 Januari 2027. Pasal 225 memberikan masa tenggang enam bulan sejak pengundangan pada 16 Juli 2026. Oleh karena itu, perusahaan memiliki waktu terbatas untuk menyesuaikan kebijakan data. Penyesuaian itu mencakup penilaian dampak, penunjukan pejabat pelindungan data, serta pembaruan kontrak dengan vendor teknologi AI.
3. Apa kewajiban hukum perusahaan AI terkait data pribadi?
Perusahaan wajib memproses data pribadi secara sah dan transparan. Selain itu, perusahaan wajib melakukan penilaian dampak untuk pemrosesan berisiko tinggi, termasuk keputusan otomatis. Perusahaan juga wajib melayani keberatan Subjek Data atas keputusan otomatis. Jika terjadi kebocoran, perusahaan wajib memberi tahu Subjek Data dan lembaga paling lambat 3 x 24 jam.
4. Berapa sanksi bagi perusahaan yang melanggar UU PDP?
Pasal 57 UU PDP mengatur sanksi administratif berupa peringatan tertulis, penghentian sementara pemrosesan, penghapusan data, dan denda. Denda administratif paling tinggi mencapai dua persen dari pendapatan atau penerimaan tahunan. Selain itu, UU PDP memuat ancaman pidana untuk perbuatan tertentu. Contohnya, memperoleh atau mengungkapkan data pribadi orang lain secara melawan hukum.
5. Apakah SE Menkominfo No. 9/2023 mengikat secara hukum?
Tidak secara langsung. Surat edaran bukan peraturan perundang-undangan, sehingga tidak memuat sanksi. Namun, SE ini menjadi pedoman resmi Pemerintah tentang etika AI. Dalam praktik, regulator dan pengadilan dapat merujuknya sebagai standar kepatutan. Karena itu, perusahaan sebaiknya mengadopsi nilai-nilai SE ini ke dalam kebijakan internal yang tertulis.
