DPIA untuk AI, Machine Learning, dan IoT: Risiko Data Pribadi yang Perlu Dinilai

Mengapa teknologi ini disorot

Kecerdasan buatan, pembelajaran mesin, dan perangkat IoT sama-sama mengolah data dalam jumlah besar secara terus-menerus. Hasilnya dapat memengaruhi keputusan yang menyangkut orang.

Karena dampaknya luas dan sering tidak terlihat oleh pengguna, ulasan menyebut ketiganya sebagai contoh pemrosesan yang perlu DPIA sebelum dijalankan.

Perhatian pada teknologi ini bukan berarti teknologi dilarang. Pesannya, inovasi boleh berjalan selama risikonya dinilai dan dikelola sejak awal, bukan setelah ada korban. Pada akhirnya, DPIA adalah alat berpikir: apa yang bisa salah, siapa yang dirugikan, dan apa yang bisa kita lakukan sekarang untuk mencegahnya.

Risiko pada AI dan pembelajaran mesin

Sistem ini belajar dari data, sehingga data pelatihan yang bias dapat menghasilkan keputusan yang tidak adil. Data pribadi yang dipakai melatih model juga bisa bocor atau dipakai untuk tujuan lain.

Bagi orang awam, contohnya sistem yang menolak pengajuan pinjaman tanpa penjelasan. Orang itu berhak bertanya mengapa, dan organisasi sebaiknya siap menjawab.

• Keputusan otomatis yang sulit dijelaskan kepada orang yang terdampak.
• Data pelatihan yang diambil tanpa dasar yang sah.
• Kesimpulan keliru tentang seseorang, misalnya skor kelayakan.

Risiko pada IoT

Perangkat IoT seperti kamera pintar, jam tangan kesehatan, atau sensor rumah merekam data terus-menerus, sering tanpa disadari pemakainya.

Perangkat yang keamanannya lemah mudah diretas. Data lokasi, kebiasaan, dan kesehatan yang bocor dapat membahayakan pemiliknya.

Pengguna sering membeli perangkat tanpa membaca pengaturan privasinya. Karena itu, pengaturan awal yang protektif jauh lebih adil daripada bergantung pada kehati-hatian pengguna.

Menjalankan DPIA untuk layanan seperti ini

Mulailah dengan menggambar aliran data: dari perangkat atau pengguna, ke sistem, ke pihak ketiga, dan ke tempat penyimpanan. Gambar itu memperlihatkan titik rawan.

Lalu nilai kebutuhan: apakah semua data yang dikumpulkan benar-benar diperlukan? Kurangi data yang tidak penting sebagai langkah mitigasi paling murah.

Menggambar aliran data juga membantu menemukan transfer ke luar negeri yang mungkin tidak disadari, misalnya penyimpanan awan atau analitik oleh pihak ketiga. Hasil penggambaran sebaiknya disimpan bersama RoPA.

Langkah mitigasi yang lazim

Beberapa langkah umum untuk mengurangi risiko dapat dipertimbangkan. Ini praktik umum, bukan ketentuan PP.

Langkah mitigasi harus dicatat bersama pemilik tanggung jawab dan tenggat. Mitigasi yang tidak punya penanggung jawab biasanya tidak pernah selesai.

• Mengurangi jenis dan jumlah data.
• Menyamarkan atau menghilangkan identitas bila mungkin.
• Menyediakan peninjauan manusia atas keputusan penting.
• Mengamankan perangkat dan jalur pengiriman data.

Transparansi kepada pengguna

Pengguna perlu tahu bahwa datanya diproses oleh sistem otomatis dan untuk tujuan apa. Penjelasan dengan bahasa sederhana membantu pengguna memahami haknya.

Hak subjek data dalam UU PDP, seperti mengakses dan mengajukan keberatan atas pemrosesan tertentu, perlu dipertimbangkan dalam rancangan layanan.

Prinsip transparansi juga membantu organisasi sendiri. Pengguna yang paham cara kerja layanan cenderung lebih percaya dan lebih sedikit mengajukan keluhan. Contoh yang baik adalah penjelasan singkat di aplikasi tentang data yang dipakai dan cara mematikannya.

Menunggu pedoman lembaga

Pedoman DPIA didelegasikan ke peraturan lembaga yang belum terbit. Kriteria rinci untuk AI dan IoT mungkin akan diatur di sana. Sampai saat itu, organisasi dapat memakai pendekatan hati-hati: anggap layanan berbasis AI atau IoT berisiko tinggi, lalu lakukan DPIA.

Pantau pengumuman pemerintah tentang peraturan lembaga. Begitu pedoman terbit, bandingkan dengan DPIA yang sudah ada dan lakukan penyesuaian seperlunya.

Terakhir, libatkan pemangku kepentingan di luar tim teknis, misalnya perwakilan pengguna atau bagian layanan pelanggan, karena mereka sering mengenali dampak nyata yang luput dari pandangan teknisi.

Contoh kasus

Contoh: Sebuah perusahaan perangkat rumah pintar mengembangkan kamera dengan fitur pengenalan wajah anggota keluarga. Sebelum produk dijual, tim menilai dampak: wajah termasuk data biometrik yang sensitif, rekaman terkirim ke penyimpanan awan, dan tamu yang terekam tidak pernah memberi persetujuan. Tim memutuskan memproses wajah di perangkat saja, mengenkripsi rekaman, dan memberi pemilik pengaturan yang mudah untuk mematikan fitur tersebut. Hasil penilaian kemudian dibawa ke rapat direksi sebelum produk diluncurkan, dan dijadwalkan ditinjau ulang bila fitur baru ditambahkan. Tim hukum menyimpan seluruh dokumen sebagai bukti kesiapan bila suatu saat ditanya oleh Lembaga atau pelanggan besar yang menjadi mitra. Mereka juga melatih staf layanan pelanggan untuk menjawab pertanyaan pengguna tentang cara kamera memproses data, supaya penjelasan yang diberikan konsisten dengan hasil penilaian. Pimpinan memberi catatan bahwa setiap perubahan fitur harus melalui penilaian ulang sebelum dirilis kepada pelanggan.

Hal yang sering keliru

• Mengira DPIA hanya untuk perusahaan teknologi raksasa, padahal siapa pun yang memakai teknologi berisiko tinggi dapat terkena, sebab pemakai wajib menilai risiko dari layanan yang dipakainya.
• Mengira vendor teknologi yang menanggung semua risiko, padahal pengendali yang memakai sistem tetap bertanggung jawab, karena pengendali tetap harus menjawab kepada subjek data.
• Mengira DPIA cukup satu kali, padahal perubahan fitur atau data dapat mengubah tingkat risiko, sehingga penilaian ulang perlu dilakukan pada tiap perubahan penting.

Dasar hukum

• Peraturan Pemerintah Nomor 33 Tahun 2026, Pasal 120 sampai 122 (menurut KRES.ID)
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• DPIA Menurut PP 33/2026: Kapan Penilaian Dampak Wajib Dilakukan
• DPO Internal atau Eksternal: Pilihan Menurut PP 33/2026 dan Cara Memilihnya
• UU Satu Data Indonesia dan Bantuan Sosial: Skenario Dampak bagi Penyaluran dan Data Penerima

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.