Data Pribadi untuk Melatih AI: Apa Hak Kita Menurut UU PDP?
Tulisan dari Yolansyah Sultan tidak mewakili pandangan dari redaksi kumparan
PerbesarData pribadi untuk melatih AI kini menjadi bahan baku utama perusahaan teknologi. Unggahan media sosial, foto, ulasan produk, sampai percakapan dengan chatbot bisa dipakai untuk membuat model AI makin pintar. Wakil Menteri Komunikasi dan Digital Nezar Patria pada September 2026 menyebut platform global seperti Google, Meta, dan TikTok mengumpulkan dan mengolah data dalam skala besar.
Pertanyaannya, apakah pengguna di Indonesia punya hak untuk menolak? Jawabannya ada di Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) dan aturan pelaksananya yang baru terbit.
Dasar hukum pemrosesan data pribadi
UU PDP tidak menyebut AI secara khusus, tetapi semua kegiatan yang mengolah data pribadi termasuk pemrosesan. Pasal 20 UU PDP mengatur bahwa pemrosesan harus punya dasar yang sah, misalnya persetujuan yang eksplisit dari pemilik data, pemenuhan perjanjian, atau kepentingan sah lainnya. Perusahaan yang memakai data pribadi untuk melatih AI wajib bisa menunjukkan dasar mana yang ia pakai.
Penggunaan teknologi baru seperti AI juga termasuk pemrosesan berisiko tinggi. Untuk pemrosesan semacam ini, pengendali data wajib melakukan penilaian dampak pelindungan data pribadi sebelum pemrosesan dimulai.
Hak pemilik data saat data pribadi untuk melatih AI
UU PDP memberi pemilik data serangkaian hak yang bisa dipakai untuk menghadapi praktik ini:
Hak mengakhiri pemrosesan dan menghapus data (Pasal 8). Anda bisa meminta pengendali data berhenti memproses dan menghapus data tentang diri Anda.
Hak menarik kembali persetujuan (Pasal 9). Kalau Anda pernah menyetujui pemakaian data, persetujuan itu bisa ditarik.
Hak keberatan atas keputusan otomatis (Pasal 10). Anda bisa mengajukan keberatan atas keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk pemrofilan, yang menimbulkan akibat hukum atau berdampak signifikan bagi Anda.
Hak menunda atau membatasi pemrosesan (Pasal 11).
Hak menggugat dan menerima ganti rugi (Pasal 12) kalau data Anda diproses dengan melanggar hukum.
Pelanggaran terhadap kewajiban pengendali data bisa dikenai sanksi administratif, termasuk denda paling tinggi 2 persen dari pendapatan tahunan.
Aturan pelaksana sudah terbit, lembaganya belum ada
Pemerintah sudah menerbitkan Peraturan Pemerintah Nomor 33 Tahun 2026 sebagai aturan pelaksana UU PDP. PP ini memberi masa transisi enam bulan, sehingga kepatuhan penuh diwajibkan mulai pertengahan Januari 2027. Salah satu isinya mewajibkan pengendali data menyediakan mekanisme keberatan, menjelaskan logika pemrosesan, dan membuka kemungkinan campur tangan manusia untuk keputusan otomatis.
Masalahnya, lembaga pengawas PDP belum terbentuk. Rancangan Peraturan Presiden tentang badan ini sudah diajukan kepada Presiden pada Mei 2026. Direktur Eksekutif Catalyst Policy Works Wahyudi Djafar memperkirakan lembaga itu paling cepat baru bisa berjalan efektif pada 2028. Selama masa ini, Kementerian Komunikasi dan Digital masih menerima aduan dugaan pelanggaran data pribadi.
Data publik juga data pribadi
Banyak orang mengira unggahan yang sudah publik bebas dipakai siapa saja. Anggapan itu keliru. Nama, foto wajah, dan suara dalam unggahan publik tetap data pribadi menurut UU PDP. Foto wajah bahkan bisa termasuk data biometrik, yang tergolong data pribadi yang bersifat spesifik dan mendapat perlindungan lebih ketat. Status publik sebuah unggahan tidak menghapus kewajiban perusahaan untuk punya dasar pemrosesan yang sah.
Kalau datanya dibawa ke luar negeri
Sebagian besar perusahaan AI besar memproses data di server luar negeri. Pasal 56 UU PDP membolehkan transfer data pribadi ke luar wilayah Indonesia dengan syarat. Negara tujuan harus punya tingkat pelindungan yang setara atau lebih tinggi. Kalau tidak, harus ada pelindungan yang memadai dan mengikat. Kalau kedua syarat itu tidak terpenuhi, pengendali data wajib mendapat persetujuan dari pemilik data. Karena itu, perusahaan yang membawa data pengguna Indonesia ke luar negeri untuk melatih AI tetap terikat aturan ini.
Hal yang sama berlaku untuk percakapan dengan chatbot. Apa pun yang Anda ketik, termasuk nama, alamat, atau cerita tentang orang lain, bisa menjadi data pribadi yang ikut diproses.
Langkah yang bisa dilakukan pengguna
Periksa pengaturan privasi di setiap aplikasi. Sebagian platform dan chatbot menyediakan pilihan agar data atau percakapan Anda tidak dipakai melatih model AI. Cari menu seperti “privasi”, “data untuk AI”, atau “tingkatkan model”, lalu matikan kalau Anda tidak setuju.
Jangan memasukkan data sensitif ke chatbot, seperti nomor identitas, data kesehatan, atau dokumen kerja yang rahasia. Begitu data masuk, Anda sulit memastikan ke mana data itu mengalir.
Gunakan hak Anda secara tertulis. Kirim permintaan penghapusan atau keberatan lewat kanal resmi platform, simpan bukti pengirimannya, dan tunggu jawabannya. Kalau tidak ditanggapi, ajukan aduan ke Kementerian Komunikasi dan Digital, dan pertimbangkan gugatan ganti rugi berdasarkan Pasal 12 UU PDP.
Pemakaian data pribadi untuk melatih AI tidak otomatis melanggar hukum, tetapi juga tidak boleh dilakukan sesuka hati. UU PDP sudah memberi hak yang cukup jelas. Tantangannya sekarang adalah memastikan hak itu bisa ditegakkan sebelum lembaga pengawasnya benar-benar bekerja.