UU PDP Sudah Berlaku, Lembaganya Belum Ada. Apa Artinya bagi Pemakaian AI?

Per pertengahan September 2026, menurut laporan Bisnis.com, Peraturan Pemerintah Nomor 33 Tahun 2026 sebagai aturan pelaksana UU Pelindungan Data Pribadi sudah berlaku. Badan PDP yang diamanatkan undang-undang belum terbentuk. Selama masa transisi, pengawasan dijalankan Kementerian Komunikasi dan Digital, yang mengimbau lembaga dan pelaku usaha melakukan audit internal dan menata ulang sistem pemrosesan datanya. Seorang pengamat kebijakan bahkan memperkirakan badan itu baru efektif paling cepat 2028.

Mudah tergoda untuk menunggu. Saya justru melihat masa ini sebagai kesempatan: organisasi bisa menata pemakaian AI dengan tenang, sebelum ada pengawas yang menanyakannya.

Di mana AI bersinggungan dengan data pribadi

Setiap kali karyawan menempel teks ke AI, organisasi sedang memproses data, dan sering kali mengirimkannya ke pihak ketiga di luar negeri. Surat penagihan berisi nama dan nomor identitas. Rekap SDM berisi gaji dan penilaian kinerja. Draf kontrak berisi pihak-pihak dan nilai transaksi. Pertanyaannya bukan apakah ini terjadi, tetapi apakah organisasi tahu dan mengendalikannya.

Lima kelas data

Kebijakan AI sering gagal karena satu aturan dipakai untuk semua data. Kerangka yang saya pakai lebih sederhana:

| Kelas | Contoh | Perlakuan saat memakai AI |
| --- | --- | --- |
| K1 | Informasi publik, siaran pers | Bebas |
| K2 | Dokumen internal biasa | Boleh, lewat gerbang penyamaran |
| K3 | Data pribadi, keuangan internal | Disamarkan lebih dulu; model dan penyedia dibatasi |
| K4 | Informasi material, rahasia dagang tertentu | Disamarkan ketat atau ditahan |
| K4-merah | Data yang tidak boleh keluar sama sekali | Ditahan oleh sistem, tidak sampai ke AI |

Yang menentukan kelas adalah pemilik prosesnya, misalnya kepala SDM untuk data karyawan atau kepala keuangan untuk angka anggaran. Tim TI memastikan aturannya berjalan.

Menyamarkan, bukan melarang

Untuk kelas K2 sampai K4, ada jalan tengah antara melarang dan membiarkan: menyamarkan data sebelum dikirim, lalu memulihkannya setelah jawaban kembali. Nama diganti kode, nomor identitas diganti kode lain. AI tetap memahami maksud tulisan tanpa pernah melihat nilai aslinya.

Penyamaran otomatis tidak pernah sempurna, dan siapa pun yang menjanjikan 100% sebaiknya dicurigai. Karena itu ketepatannya perlu diukur pada contoh data milik organisasi sendiri, bukan pada data uji vendor.

Tiga langkah selama masa tunggu

1. Petakan pekerjaan yang paling sering memakai AI dan kelas data di dalamnya.
2. Tetapkan perlakuan per kelas, lalu tuliskan dalam satu halaman yang dibaca semua karyawan.
3. Sediakan jalur AI resmi yang menyamarkan dan mencatat pemakaian, sehingga bila kelak ditanya, organisasi punya jawaban dan buktinya.

Aturan sudah ada. Pengawasnya menyusul. Organisasi yang memakai waktu ini dengan baik akan menyambut badan PDP tanpa panik.

Bacaan: Pembentukan Badan PDP Dipercepat, Implementasi UU PDP Dinilai Belum Efektif (Bisnis.com, 13 September 2026)