UU Satu Data dan UU PDP Saat AI Memproses Data Pribadi: Mana yang Berlaku?

Dua aturan, dua fokus

UU Satu Data Indonesia berfokus pada tata kelola data pemerintah: standar, interoperabilitas, lembaga, keamanan, dan sanksi. UU Pelindungan Data Pribadi (UU 27 Tahun 2022) berfokus pada hak subjek data dan kewajiban pengendali serta prosesor data. Pemisahan ini membantu mencegah kebingungan ketika dua aturan bersinggungan.

Sumber yang kami baca menyatakan UU SDI menyentuh perlindungan data pribadi, tetapi tidak menjelaskan relasi rincinya.

Kami karena itu tidak mengklaim UU SDI mengubah UU PDP. Bagi pembaca awam, cara mudah mengingatnya adalah SDI untuk tata kelola data pemerintah, PDP untuk hak dan kewajiban atas data pribadi.

Kapan AI memakai data pribadi

AI sering belajar dan bekerja dengan data pribadi, misalnya identitas, lokasi, atau riwayat transaksi. Ketika itu terjadi, pemrosesan tunduk pada UU PDP, dengan dasar pemrosesan seperti persetujuan atau kewajiban hukum. Pengendali data harus menentukan dasar yang dipakai sebelum memulai pemrosesan.

Dasar pemrosesan dalam UU PDP umumnya meliputi persetujuan, perjanjian, kewajiban hukum, dan beberapa lainnya. Pasal rincinya perlu dicek pada naskah undang-undang.

Instansi pemerintah yang memakai AI untuk data pribadi tetap perlu dasar pemrosesan yang sah. Persetujuan pun harus memenuhi syarat tertentu agar sah, dan syarat itu perlu dicek, termasuk soal kejelasan tujuan penggunaan data.

DPIA dan risiko tinggi

Menurut KRES.ID, PP 33/2026 mengharuskan penilaian dampak pelindungan data pribadi (DPIA) sebelum pemrosesan berisiko tinggi, dengan contoh AI, machine learning, dan IoT. Pasal yang dirujuk adalah 120 sampai 122.

Pedoman DPIA menurut KRES.ID didelegasikan kepada peraturan lembaga yang belum terbit. Lembaga pengawas data pribadi juga belum jelas.

Karena itu, perusahaan dan instansi perlu mengikuti perkembangannya dengan cermat. Dokumentasi DPIA juga bermanfaat sebagai bukti itikad baik bila di kemudian hari ada pemeriksaan atau pengaduan dari pihak yang merasa dirugikan.

• Menilai risiko sebelum pemrosesan.
• Mencatat tujuan dan dasar hukum.
• Menentukan langkah mitigasi.
• Menyimpan dokumentasi untuk pemeriksaan.

Pengawasan manusia dan keputusan otomatis

UU SDI menurut pemberitaan memuat syarat pengawasan manusia untuk AI dalam tata kelola data. Syarat ini sejalan dengan keinginan agar keputusan penting tidak sepenuhnya diserahkan kepada mesin. Dokumentasi peran manusia dalam keputusan juga membantu bila ada keberatan.

UU PDP juga memberi hak tertentu terkait keputusan yang diambil semata-mata melalui pemrosesan otomatis. Pasal dan cakupan hak itu perlu dicek.

Bagaimana kedua ketentuan bekerja bersama belum dijelaskan. Kami tidak menyimpulkan bahwa salah satunya menggantikan yang lain. Dalam praktik, organisasi sebaiknya menunjuk orang yang berwenang membatalkan atau mengoreksi hasil sistem, dan mencatat setiap koreksi tersebut.

Kebocoran data dan notifikasi

Menurut pemberitaan, UU SDI mewajibkan pelaporan insiden keamanan data paling lambat 1x24 jam. Menurut KRES.ID, PP 33/2026 mewajibkan notifikasi kebocoran data pribadi tertulis paling lambat 3x24 jam kepada subjek data dan Lembaga.

Dua batas waktu ini berasal dari aturan berbeda dan dapat berlaku pada pihak serta konteks berbeda. Cakupan masing-masing belum jelas dari sumber.

Praktik aman: menyiapkan prosedur yang dapat memenuhi batas waktu paling ketat. Selain batas waktu, isi laporan, penerima laporan, dan bentuk pemberitahuan kepada korban juga penting dan perlu dipelajari dari naskah masing-masing aturan.

Transfer data lintas negara

Menurut pemberitaan, akses atau transfer Data Tertutup ke luar yurisdiksi Indonesia wajib persetujuan DPR RI. Menurut KRES.ID, PP 33/2026 mengatur transfer data pribadi lintas negara dengan tiga jenjang. Pertimbangan keamanan dan kedaulatan sering saling terkait.

Dua pengaturan ini berbeda objeknya: Data Tertutup menurut klasifikasi SDI dan data pribadi menurut UU PDP. Irisannya belum dijelaskan.

Pelatihan atau penggunaan AI di luar negeri dengan data demikian memerlukan kajian hukum khusus. Banyak layanan awan dan model AI dijalankan di luar negeri, sehingga isu ini sangat nyata bagi pengembang dan instansi pengguna.

Panduan praktis

Bila Anda mengelola AI dengan data pribadi, mulailah dari pemetaan data, dasar pemrosesan, DPIA, dan keamanan. Bila datanya berasal dari instansi pemerintah, periksa klasifikasi dan syarat penggunaannya.

Bila Anda warga, gunakan hak Anda untuk bertanya dan memperbaiki data sesuai UU PDP.

Untuk kasus nyata, konsultasikan dengan penasihat hukum yang memahami perlindungan data. Selama lembaga pengawas dan aturan turunan belum lengkap, kehati-hatian dan dokumentasi yang baik adalah bekal paling aman.

Contoh kasus

Contoh: Sebuah dinas fiktif memakai AI untuk mengelompokkan keluhan warga. Sebelum dimulai, tim menilai risiko, menghapus nama dan nomor kontak dari data latih, dan menunjuk petugas untuk memeriksa hasil. Warga yang keberatan dapat menghubungi dinas. Ini ilustrasi praktik baik, bukan prosedur wajib. Hasil klasifikasi itu ditinjau petugas sebelum dipakai untuk mengambil keputusan.

Hal yang sering keliru

• Mengira UU SDI menghapus kewajiban UU PDP, padahal sumber tidak menyebut perubahan itu.
• Mengira AI boleh memakai data pribadi tanpa dasar pemrosesan, padahal pemrosesan data pribadi memerlukan dasar yang sah.
• Mengira batas lapor 1x24 jam dan 3x24 jam adalah aturan yang sama, padahal batas waktu berasal dari aturan berbeda.

Dasar hukum

• Undang-Undang Satu Data Indonesia (disahkan DPR 6 Oktober 2026; nomor menyusul)
• Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi
• Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Pelindungan Data Pribadi

Dalam kategori yang sama

• UU Satu Data Indonesia dan PP 33/2026 tentang Pelindungan Data Pribadi: Mana yang Berlaku bagi Apa
• UU Satu Data Indonesia dan UU ITE: Keamanan Sistem, Pidana Siber, dan Batasnya
• UU Satu Data Indonesia dan UU Keterbukaan Informasi Publik: Hubungannya

Ada masukan atau pendapat lain? Kirim lewat WhatsApp atau telepon 0813-3040-8000.