AI di Sistem Pembayaran: PBI 10/2025, Risiko Fraud, dan Cara Penyelenggara Bersiap
Ketika volume transaksi pembayaran digital Indonesia mencapai 18,09 miliar pada kuartal III 2026, penyelenggara pembayaran menghadapi dua tekanan sekaligus: aturan main baru dari Bank Indonesia dan penipuan yang makin rapi. Sederhananya, AI mempercepat pembayaran sekaligus mempertajam risiko fraud, dan aturan Bank Indonesia menentukan siapa yang menanggungnya. Tulisan ini membahas isi PBI 10/2025, posisi AI di dalamnya, TIKMI, risiko fraud, ujian QRIS dan judi online, deteksi transaksi, risiko model dan vendor, hingga langkah persiapan.
TLDR
Apa Isi PBI 10/2025 tentang Pengaturan Industri Sistem Pembayaran?
Aturan yang berlaku sejak 31 Maret 2026 ini menata struktur industri dengan satu prinsip: aktivitas yang sama, risiko yang sama, aturan yang sama.
Apakah PBI 10/2025 Mengatur AI Secara Langsung?
Ringkasan resmi Bank Indonesia tidak menyebut AI, jadi AI dinilai lewat kewajiban tata kelola, manajemen risiko, dan keamanan siber yang sudah ada.
Apa Itu TIKMI dan Mengapa Penyelenggara Pengguna AI Perlu Peduli?
TIKMI adalah lima kriteria penilaian yang menentukan izin, klasifikasi, dan persetujuan pengembangan produk, termasuk produk berbasis AI.
Seberapa Besar Risiko Fraud dan Scam di Sistem Pembayaran Digital?
Gubernur Bank Indonesia menyebut adopsi AI dan otomasi meningkatkan risiko siber, penyalahgunaan data, fraud, dan scam, sementara volume transaksi tumbuh 39,24 persen.
Mengapa Kasus QRIS dan Judi Online Jadi Ujian Pengawasan BI?
Bank Indonesia mengancam pembatasan, penghentian, hingga pencabutan izin penyelenggara yang terbukti memfasilitasi transaksi ilegal lewat QRIS.
Di Mana AI Paling Berguna untuk Mendeteksi Transaksi Mencurigakan?
AI paling berguna untuk membaca pola yang menyimpang dari profil nasabah atau merchant, lalu menyerahkan kasus yang layak ke pemeriksa manusia.
Apa Risiko Hukum dan Operasional Jika Model AI Salah atau Bermitra dengan Vendor?
Tanggung jawab tetap di penyelenggara, sehingga kontrak vendor, uji tuntas, dan pengawasan direksi menjadi pagar utama.
Bagaimana Penyelenggara dan Merchant Menyiapkan Diri Sebelum Batas Transisi?
Mulai dari inventaris sistem AI, pemetaan ke paket aktivitas, sampai kontrak vendor dan latihan skenario, dengan batas transisi paling lama 3 tahun.
Kesimpulan
AI belum punya pasal sendiri di PBI 10/2025, tetapi seluruh dampaknya sudah tercakup, jadi kesiapan harus dibuktikan lewat tata kelola.
Anda mungkin pernah menerima notifikasi pembayaran yang tiba-tiba ditahan karena dianggap janggal, atau sebaliknya, mendengar kasus saldo yang terkuras tanpa sempat dicegah. Di balik dua pengalaman itu ada keputusan yang makin sering dibuat mesin. Pertanyaan yang kini muncul di ruang rapat penyelenggara pembayaran sederhana: kalau mesin itu keliru, siapa yang menjawab ke regulator? Tulisan ini mencoba menjawabnya dengan merujuk dokumen dan pernyataan resmi Bank Indonesia, bukan dugaan.
Apa Isi PBI 10/2025 tentang Pengaturan Industri Sistem Pembayaran?
PBI 10/2025 adalah aturan Bank Indonesia yang menata struktur industri sistem pembayaran nasional. Bank Indonesia menerbitkannya bersama PADG 32/2025 pada 24 Desember 2025, dan aturan itu mulai berlaku pada 31 Maret 2026. Intinya, penyelenggara dinilai memakai lima kriteria bernama TIKMI, bukan hanya berdasarkan jenis izin yang dipegang.
Menurut ringkasan di situs Bank Indonesia, aturan ini diterbitkan untuk menata industri sistem pembayaran agar konsolidatif dan berdaya tahan sesuai Blueprint Sistem Pembayaran Indonesia (BSPI) 2030. Landasan hukumnya adalah Undang-Undang Nomor 4 Tahun 2023 tentang Pengembangan dan Penguatan Sektor Keuangan, yang lazim disebut UU P2SK. Prinsip kuncinya berbunyi same activities, same risk, and same regulation.
Pihak yang diatur luas. Ketentuannya berlaku bagi Bank Indonesia, Penyelenggara Jasa Sistem Pembayaran (PSP) yang terdiri atas Penyedia Jasa Pembayaran (PJP), Penyelenggara Infrastruktur Sistem Pembayaran (PIP), dan Bank Umum, lalu Penyelenggara Penunjang, peserta infrastruktur, pihak terhubung, serta pihak lain seperti pihak yang bekerja sama dengan PSP. Pada 22 Januari 2026, Bank Indonesia menyosialisasikannya kepada pimpinan dari 203 PSP dan penyelenggara penunjang.
Ruang lingkup pengaturannya mencakup sepuluh hal yang saling berkaitan:
Aktivitas, produk, skema harga, dan inovasi teknologi. Termasuk produk, model bisnis, dan inovasi teknologi lainnya.
Struktur industri dan infrastruktur. Mencakup infrastruktur sistem pembayaran dan infrastruktur datanya.
Tata kelola dan manajemen risiko. Kewajiban dasar bagi PSP dan peserta.
Praktik pasar, perilaku pelaku industri, dan pelindungan konsumen. Termasuk pertukaran informasi tentang pihak yang merugikan.
Data dan informasi, pengawasan, pengakhiran, serta koordinasi. Pengakhiran meliputi pencabutan izin.
Empat aktivitas inti yang dinilai Bank Indonesia adalah penatausahaan sumber dana, penerusan transaksi, kliring, dan penyelesaian akhir atau setelmen. Pelaksanaan di lapangan dipandu Petunjuk Teknis Nomor 1 Tahun 2026. Analis Departemen Kebijakan Sistem Pembayaran Bank Indonesia, Aldo Ersan Mangasi, menjelaskan alasannya pada 29 Juli 2026: "Reformasi pengaturan dilakukan untuk memastikan industri sistem pembayaran tetap lincah beradaptasi dengan perkembangan digitalisasi."
Struktur kepemilikan industri juga ikut dikunci. PJP atau PIP berbentuk lembaga selain bank dilarang melakukan aksi korporasi yang mengubah pemegang saham 25 persen atau lebih selama 5 tahun sejak izin pertama diberikan. PSP juga dilarang membuat kerja sama eksklusif untuk layanan umum yang menghambat masuknya PSP lain. Ketentuan ini menunjukkan bahwa PBI bukan sekadar soal teknologi, melainkan juga soal siapa yang boleh menguasai jalur pembayaran.
Dalam siaran pers 22 Januari 2026, Gubernur Bank Indonesia Perry Warjiyo menyebut volume transaksi digital diprakirakan mencapai 147,3 miliar transaksi pada 2030. Ia juga mengakui bahwa peningkatan transaksi diikuti kompleksitas risiko, termasuk risiko operasional dan siber. Dua pernyataan itu menjelaskan mengapa regulator memilih menata struktur industri lebih dulu sebelum urusan teknologi spesifik.
Apakah PBI 10/2025 Mengatur AI Secara Langsung?
Menurut ringkasan resmi di situs Bank Indonesia, PBI 10/2025 tidak menyebut kecerdasan artifisial secara eksplisit. Aturan ini bekerja dengan prinsip same activities, same risk, and same regulation: siapa pun yang menjalankan aktivitas pembayaran, dengan AI atau tanpa AI, tunduk pada kewajiban yang sama.
Catatan penting soal batas bacaan: tulisan ini bersandar pada ringkasan resmi Bank Indonesia, siaran pers, dan pemberitaan, bukan pada seluruh pasal PBI dan PADG. Dalam penelusuran untuk tulisan ini juga tidak ditemukan peraturan Bank Indonesia yang khusus mengatur AI bagi penyelenggara jasa pembayaran. Tim hukum perusahaan tetap perlu membaca teks lengkap sebelum mengambil keputusan.
Lalu di mana AI masuk? Jawabannya ada di bab inovasi teknologi. PBI mendefinisikan inovasi teknologi sistem pembayaran sebagai mencakup produk, aktivitas, model bisnis, dan inovasi teknologi lainnya. Bank Indonesia dapat memfasilitasinya lewat ruang uji coba, kegiatan market intelligence, atau pusat inovasi teknologi. Sistem deteksi fraud berbasis model, chatbot layanan, hingga penilaian risiko merchant secara otomatis jelas masuk kategori inovasi teknologi.
Bank Indonesia sendiri juga pengguna AI. Dalam forum Islamic Development Bank di Jeddah, Gubernur Perry Warjiyo mengatakan, "Ke depan, Bank Indonesia terus melangkah menuju Integrated Digital Central Bank melalui pemanfaatan data dan kecerdasan artifisial (Artificial Intelligence), digitalisasi proses pengambilan keputusan, serta penguatan tata kelola dan budaya kerja digital." Pernyataan yang dilaporkan detikFinance pada 20 Februari 2026 itu menunjukkan regulator tidak anti terhadap AI, hanya menuntut tata kelola.
Konsekuensi praktisnya begini. Tidak ada kategori izin khusus untuk AI, sehingga tidak ada pula pengecualian bagi AI. Pengawasan Bank Indonesia menurut ringkasan PBI mencakup penerapan tata kelola dan manajemen risiko, keamanan dan keandalan sistem informasi dan siber, praktik pasar, perilaku pelaku industri, serta pelindungan konsumen. Model AI yang ikut memutuskan transaksi akan diperiksa lewat pintu-pintu tersebut.
Ada satu bab yang akan makin relevan bagi pengguna AI, yaitu infrastruktur data. Menurut ringkasan PBI, Bank Indonesia bertindak sebagai penyelenggara infrastruktur data sistem pembayaran untuk mengidentifikasi pengguna jasa secara unik, mengidentifikasi dan mengukur integritas transaksi, serta mempertukarkan dan menyimpan data sistem pembayaran. Model deteksi fraud yang kelak terhubung ke infrastruktur ini perlu dirancang dengan asumsi bahwa kualitas data dan jejak keputusannya bisa diperiksa regulator.
Perlu dibedakan juga dua hal yang sering tertukar. Pertama, aturan yang mengatur sistem pembayaran, yaitu PBI ini. Kedua, kerangka etika dan peta jalan AI nasional yang masih disiapkan pemerintah dalam bentuk rancangan peraturan presiden. Untuk penyelenggara pembayaran hari ini, yang mengikat adalah yang pertama.
Apa Itu TIKMI dan Mengapa Penyelenggara Pengguna AI Perlu Peduli?
TIKMI adalah akronim lima kriteria penilaian penyelenggara pembayaran dalam PBI 10/2025: transaksi, interkoneksi, kompetensi, manajemen risiko, dan infrastruktur teknologi informasi. Bank Indonesia memakainya untuk perizinan, penetapan, persetujuan, akses kepesertaan, pengawasan, hingga pengakhiran penyelenggaraan.
Lima kriteria itu bukan formalitas. Ringkasan Bank Indonesia menyebut TIKMI menjadi acuan untuk menilai kinerja dan menetapkan klasifikasi PSP. Berikut cara membacanya dari sisi penyelenggara yang memakai AI:
Transaksi. Skala dan volume yang diproses. Makin besar volume, makin besar dampak jika model keliru menolak atau meloloskan transaksi.
Interkoneksi. Keterhubungan dengan infrastruktur lain, misalnya BI-FAST dan QRIS, yang ikut menentukan risiko penularan masalah.
Kompetensi. Kemampuan sumber daya manusia. Tim yang tidak paham cara kerja modelnya sulit membuktikan kendali.
Manajemen risiko. Kebijakan, prosedur, fungsi, dan pengendalian internal yang nyata, bukan sekadar dokumen.
Infrastruktur teknologi informasi. Tempat model berjalan, data mengalir, dan log tersimpan.
Mekanismenya berjenjang. PSP wajib melakukan self-assessment TIKMI sesuai paket aktivitas, memenuhi nilai ambang batas, dan menyusun rencana tindak jika belum memenuhi ambang. Bank Indonesia menetapkan klasifikasi PSP sebagai PSP Utama atau PSP selain utama. Selain TIKMI, Bank Indonesia dapat memakai kriteria lain berupa ukuran, keterhubungan, kompleksitas, dan kemungkinan penggantian.
Bank Indonesia dapat mempertimbangkan hasil asesmen mandiri PSP, dan dapat bekerja sama atau menunjuk pihak lain untuk melakukan penilaian TIKMI. Artinya, penilaian bisa datang dari luar, sehingga dokumen internal perlu siap diperiksa orang yang tidak ikut membangun sistemnya.
Paket aktivitas PJP dibagi menjadi paket 1, 2, dan 3. Paket 1 memuat penatausahaan sumber dana dan penerusan transaksi, dan sub-paket 1A hanya boleh diselenggarakan PSP Utama. Karena izin dan kewajiban melekat pada paket, penyelenggara perlu tahu persis sistem AI mereka bekerja pada paket yang mana.
Ada satu ketentuan yang menyentuh produk AI langsung. PSP dan peserta wajib memperoleh persetujuan Bank Indonesia atas rencana pengembangan aktivitas, produk, atau kerja sama yang berdampak pada tahapan pemrosesan transaksi: inisiasi, otorisasi, kliring, dan setelmen. Persetujuan diberikan lewat Rencana Bisnis Sistem Pembayaran (RBSP). Membaca ketentuan itu, sistem AI yang menyentuh otorisasi transaksi kemungkinan besar perlu tercantum dalam RBSP. Ini tafsir, dan penyelenggara sebaiknya mengonfirmasinya langsung ke Bank Indonesia.
Seberapa Besar Risiko Fraud dan Scam di Sistem Pembayaran Digital?
Risikonya besar dan tumbuh bersama volume. Gubernur Bank Indonesia Destry Damayanti menyatakan bahwa pesatnya adopsi AI dan otomasi meningkatkan risiko siber, penyalahgunaan data, fraud, dan scam. Pada saat yang sama, volume transaksi pembayaran digital tumbuh 39,24 persen secara tahunan pada kuartal III 2026.
Pernyataan Destry disampaikan pada acara Fekdi x IFSE 2026 di Jakarta, Kamis, 24 September 2026. Kutipan lengkapnya, seperti dilaporkan JawaPos: "Tentunya kita juga tahu bahwa pesatnya adopsi AI dan otomasi yang sekarang ini terjadi itu juga meningkatkan resiko cyber, penyalahgunaan data, serta fraud dan juga scam." Ia merujuk data Asosiasi Penyelenggara Jasa Internet Indonesia (APJII) tentang potensi kerugian serangan siber yang disebut mencapai miliaran dolar AS, dengan angka USD 6,2 miliar untuk 2026. Angka rupiah dalam laporan itu tidak konsisten dengan kurs, sehingga tidak dikutip di sini.
Sisi volume memperlihatkan mengapa permukaan serangan melebar. Menurut data yang disampaikan Destry dan dilaporkan JawaPos, volume transaksi pembayaran digital mencapai 18,09 miliar pada kuartal III 2026, tumbuh 39,24 persen. Transaksi mobile payments tumbuh 45,55 persen dan internet payments tumbuh 14,26 persen secara tahunan.
Bank Indonesia juga menekankan sisi kewajiban industri. Dalam siaran pers 22 Januari 2026, bank sentral menyatakan bahwa penguatan struktur industri perlu diiringi penguatan kompetensi, manajemen risiko, dan infrastruktur teknologi informasi oleh pelaku industri. Dengan kata lain, regulator tidak menunggu insiden untuk menuntut kesiapan, dan kesiapan itu diukur lewat kriteria yang sama dengan TIKMI.
QRIS mencatat pertumbuhan volume 75,80 persen secara tahunan, dengan 70,6 juta pengguna dan 49,4 juta merchant. Pada infrastruktur ritel, BI-FAST memproses 1.631 juta transaksi atau tumbuh 31,78 persen, dengan nilai Rp4.049 triliun atau tumbuh 33,91 persen. Setiap jalur yang tumbuh secepat itu menarik lebih banyak percobaan penipuan.
Ada kontras menarik di data yang sama. Nilai transaksi BI-RTGS, jalur untuk transfer bernilai besar, mencapai Rp53.817 triliun dengan volume 2,79 juta transaksi, tumbuh 1,31 persen dalam volume dan sedikit terkontraksi 4,62 persen dalam nilai. Jalur ritel yang berisi transaksi kecil dan sangat sering justru yang tumbuh puluhan persen. Bagi sistem deteksi, itulah tantangannya: jumlah keputusan yang harus dibuat per detik makin besar, sementara nilai tiap transaksi kecil sehingga biaya pemeriksaan manual tidak masuk akal.
Perlu hati-hati membaca hubungan sebab akibatnya. Pernyataan Destry adalah penilaian regulator, bukan hasil studi yang memisahkan kontribusi AI dari faktor lain seperti rekayasa sosial atau kebocoran data. Namun arah pesannya jelas dan relevan untuk perusahaan: penyelenggara yang memakai AI harus menganggap risiko fraud sebagai bagian dari desain sistem, bukan urusan tim keamanan semata.
Mengapa Kasus QRIS dan Judi Online Jadi Ujian Pengawasan BI?
Kasus QRIS dan judi online menguji apakah penyelenggara benar-benar mengenal merchant mereka. Pada 22 Oktober 2026, Bank Indonesia menegaskan akan menjatuhkan sanksi pembatasan kegiatan, penghentian kegiatan, hingga pencabutan izin terhadap PJP yang terbukti memfasilitasi transaksi ilegal.
Deputi Gubernur Bank Indonesia Filianingsih Hendarta menyampaikannya dalam konferensi pers Rapat Dewan Gubernur. Ia berkata, "kita tidak segan-segan melakukan pembatasan kegiatan atau penghentian kegiatan bahkan pencabutan izin daripada PJP yang memang terbukti dia melakukan transaksi ilegal." Kalimat itu dikutip RMOL pada 22 Oktober 2026 dan menunjukkan bahwa ancaman pengakhiran di PBI 10/2025 bukan pasal yang tidur.
Bank Indonesia menyebut beberapa langkah. Pengawasan terhadap PJP dan merchant aggregator diperkuat, termasuk penerapan prinsip know your customer untuk memastikan identitas, bidang usaha, profil bisnis, legalitas, dan jenis transaksi merchant. Selain verifikasi awal, PJP wajib melakukan customer due diligence secara berkelanjutan dengan memantau aktivitas transaksi merchant. Bank Indonesia juga akan memasukkan merchant yang terindikasi menyalahgunakan QRIS ke daftar hitam.
Contoh yang dipakai Filianingsih mudah dibayangkan. Transaksi QRIS pada pedagang cilok patut dicurigai bila berlangsung berulang kali pada tengah malam, saat usaha itu seharusnya sudah tutup, apalagi bila nominalnya sama terus-menerus. Contoh ini menarik karena persis jenis pola yang bisa ditangkap sistem berbasis data, dan sulit ditangkap pemeriksa manusia ketika volume mencapai jutaan transaksi.
Filianingsih menutup penjelasannya dengan pesan bahwa Bank Indonesia menjaga integritas ekosistem, bukan sekadar memperluas penggunaan QRIS, dan memastikan QRIS tetap andal serta memberi pelindungan bagi konsumen. Bagi penyelenggara, pesan itu mengubah cara menghitung keberhasilan: pertumbuhan jumlah merchant yang tidak diiringi kualitas verifikasi kini dapat berbalik menjadi liabilitas.
Daftar hitam merchant yang disebut Bank Indonesia juga punya konsekuensi bisnis. Merchant yang masuk daftar kehilangan akses ke QRIS, dan penyelenggara yang mengaktifkannya dapat dimintai penjelasan mengapa verifikasinya lolos. Karena itu, kualitas proses onboarding merchant menjadi sama pentingnya dengan kualitas model yang memantau transaksi sesudahnya.
Ada pula dasar di PBI 10/2025. Bab praktik pasar memperbolehkan PSP dan peserta bertukar data dan informasi tentang pihak yang merugikan, berpotensi merugikan, atau tidak sesuai peruntukan pemrosesan pembayaran, serta mengusulkan pencantuman pihak itu ke daftar hitam kepada Bank Indonesia. Pertukaran informasi semacam ini kelak bersinggungan dengan aturan pelindungan data pribadi, jadi dasar hukum dan batas penggunaannya perlu ditulis jelas di kebijakan internal.
Di Mana AI Paling Berguna untuk Mendeteksi Transaksi Mencurigakan?
AI paling berguna untuk membaca pola yang menyimpang dari profil nasabah atau merchant, lalu menyerahkan kasus yang layak ke pemeriksa manusia. Bank Indonesia sendiri meminta penyelenggara mengenali profil nasabah dan memeriksa lebih dalam transaksi yang tidak sesuai profil tersebut.
Pengawas Eksekutif Kantor Perwakilan Bank Indonesia Provinsi DKI Jakarta, Arif Waluyo Birowo, menyampaikan hal itu pada rangkaian Jakarta Secure Payment Summit (JSPay) 2026, 29 Juli 2026. Menurut kutipan di RRI yang bersumber dari Antara, ia berkata, "Kalau ada transaksi yang di luar kewajaran atau tidak sesuai dengan profilnya, penyelenggara harus melakukan pemeriksaan lebih mendalam." Ia menyebut pola yang perlu diwaspadai: structuring atau smurfing, rekening nominee, dan transaksi lewat pihak yang tidak sesuai profil nasabah.
Dari pola-pola yang disebut regulator, penerapan AI yang paling masuk akal bagi penyelenggara dapat dipetakan sebagai berikut. Pemetaan ini adalah analisis, bukan daftar resmi Bank Indonesia:
Profil dasar per merchant. Model mempelajari jam operasional, rentang nominal, dan frekuensi tiap merchant, sehingga penyimpangan seperti kasus pedagang cilok tengah malam muncul sebagai skor anomali.
Deteksi pemecahan transaksi. Transaksi berulang dengan nominal tertentu untuk menghindari pelaporan adalah pola yang secara alami dicari model berbasis urutan waktu.
Analisis jaringan. Rekening nominee dan merchant yang saling terkait lebih mudah terlihat sebagai gugus dalam graf hubungan daripada sebagai baris tabel.
Prioritas antrean pemeriksa. Model memberi skor dan alasan, pemeriksa manusia memutuskan, dan keputusan itu dicatat sebagai bahan evaluasi model.
Bank Indonesia juga mengingatkan kewajiban lain yang tidak bisa diserahkan ke mesin. Arif meminta penyelenggara rutin memeriksa daftar PUKA BB berizin di situs Bank Indonesia, karena penyelenggara dapat dikenai sanksi bila memfasilitasi transaksi dengan penyelenggara tanpa izin. Pemeriksaan daftar itu bisa diotomatisasi, tetapi tanggung jawabnya tetap manusia.
Satu hal yang sering terlewat adalah dokumentasi keputusan. Karena pengawasan Bank Indonesia menjangkau penerapan tata kelola dan manajemen risiko, penyelenggara sebaiknya menyimpan versi model, ambang skor yang berlaku, dan alasan di balik tiap penahanan transaksi. Dengan catatan itu, pertanyaan pengawas seperti "mengapa transaksi ini ditahan pada tanggal tersebut" bisa dijawab dengan data, bukan dengan ingatan tim.
Batas teknisnya juga perlu jujur. Model deteksi menghasilkan positif palsu, yaitu transaksi sah yang ditahan, dan negatif palsu, yaitu transaksi buruk yang lolos. Karena PBI memasukkan pelindungan konsumen dan perilaku pelaku industri ke dalam objek pengawasan, penyelenggara perlu menyiapkan jalur banding yang cepat bagi pengguna yang transaksinya ditahan, bukan hanya mengejar angka tangkapan.
Apa Risiko Hukum dan Operasional Jika Model AI Salah atau Bermitra dengan Vendor?
Tanggung jawab tetap berada di penyelenggara, bukan di model dan bukan di vendor. PBI 10/2025 mewajibkan PSP dan peserta menerapkan tata kelola yang baik dengan prinsip paling sedikit keterbukaan, akuntabilitas, tanggung jawab, independensi, dan kewajaran, serta manajemen risiko yang nyata.
Manajemen risiko menurut ringkasan PBI mencakup lima unsur: pengawasan aktif direksi dan dewan komisaris atau yang setara, kebijakan dan prosedur beserta struktur organisasi yang memadai, proses dan fungsi manajemen risiko, sumber daya manusia, dan pengendalian internal. Untuk sistem AI, artinya direksi perlu mengetahui apa yang diputuskan model atas nama perusahaan, bukan hanya menerima laporan bahwa sistemnya berjalan.
Sebagian besar sistem AI pembayaran dibangun bersama pihak ketiga, dan PBI mengatur hubungan ini cukup rinci. Kerja sama PSP dengan penyelenggara penunjang atau pihak lain wajib dituangkan dalam perjanjian yang paling sedikit memuat:
Ruang lingkup serta hak dan kewajiban. Siapa memegang keputusan akhir atas transaksi yang ditandai model.
Keamanan dan kerahasiaan. Termasuk perlakuan data transaksi yang dipakai melatih atau mengevaluasi model.
SLA dan monitoring. Waktu respons, ketersediaan, dan cara memantau kualitas model.
Akses pengawasan. Bank Indonesia dapat meminta akses, jadi vendor tidak boleh menutup kotak hitamnya.
Pilihan hukum, penyelesaian sengketa, perubahan, dan pengakhiran. Termasuk skenario vendor berhenti beroperasi.
Sebelum bekerja sama, PSP wajib melakukan uji tuntas. PSP juga wajib menghentikan atau tidak memperpanjang kerja sama bila pihak itu melakukan tindakan yang merugikan atau tidak sesuai peruntukan, atau bila Bank Indonesia memintanya. Bank Indonesia membagi penyelenggara penunjang menjadi kategori kritikal, penting, dan standar. Yang kritikal dan penting wajib terdaftar paling lambat 3 tahun sejak PBI berlaku. Vendor AI yang melayani tahap pemrosesan transaksi kemungkinan masuk kategori yang lebih tinggi, tetapi penetapannya berada di Bank Indonesia.
Cakupan pengawasan juga lebih luas dari yang sering dibayangkan. Ringkasan PBI menyebut Bank Indonesia dapat mengawasi pihak yang bekerja sama dengan PSP dan pihak yang terafiliasi dengan PSP, selain PSP dan penyelenggara penunjang itu sendiri. Vendor AI yang selama ini merasa berada di balik layar karena kontraknya hanya dengan satu penyelenggara dapat saja ikut diperiksa.
Dampak finansialnya juga nyata. Untuk PJP, ongoing capital dihitung dengan rasio paling sedikit 10 persen dari transaksi tertimbang menurut risiko, dan Bank Indonesia dapat menambahkan surcharge 1,5 sampai 2,5 persen. Artinya, kelemahan pengendalian yang tecermin pada skor risiko berpotensi menaikkan beban modal.
Pada ujung terberat, pengakhiran penyelenggaraan dapat berupa pencabutan izin berdasarkan evaluasi, tindak lanjut pengawasan, atau sanksi administratif. Ancaman itu sudah disuarakan Bank Indonesia dalam konteks QRIS dan judi online, sehingga kegagalan sistem deteksi bukan lagi sekadar risiko reputasi.
Bagaimana Penyelenggara dan Merchant Menyiapkan Diri Sebelum Batas Transisi?
Mulailah dari inventaris sistem yang memakai AI atau otomasi dalam pemrosesan pembayaran, lalu petakan ke paket aktivitas dan kriteria TIKMI. Batas transisinya paling lama 3 tahun sejak aturan berlaku, tetapi hasil penilaian TIKMI pertama ditetapkan paling lambat 1 tahun sejak 31 Maret 2026.
Urutan waktunya perlu dibaca teliti. PBI mulai berlaku 31 Maret 2026. Strategic Business Plan (SBP) dan RBSP wajib disampaikan pertama kali paling lambat 30 April 2026. Hasil penilaian TIKMI dan penetapan klasifikasi PSP pertama kali ditetapkan paling lambat 1 tahun sejak berlaku, dan Bank Indonesia menyampaikan hasil evaluasi aktivitas dan klasifikasi paling lambat 1 tahun juga.
PSP yang belum memenuhi persyaratan izin atau hasil TIKMI wajib memenuhinya paling lama 3 tahun sejak berlaku, dan Bank Indonesia dapat memberi perpanjangan paling lama 2 tahun. Bila dihitung dari 31 Maret 2026, batas 1 tahun jatuh pada 31 Maret 2027 dan batas 3 tahun jatuh pada 31 Maret 2029. Tanggal-tanggal ini adalah hasil perhitungan dari ketentuan, bukan tanggal yang tertulis di ringkasan.
Diagram jadwal PBI 10/2025 dari terbit hingga batas transisi. Diolah Burung Hantu Infratek dari Bank Indonesia.
Tujuh langkah berikut dapat menjadi titik awal bagi penyelenggara. Urutannya sengaja dimulai dari yang murah:
Inventaris sistem AI dan otomasi. Catat setiap model yang ikut memutuskan menolak, menahan, atau meloloskan transaksi, termasuk yang dibeli dari vendor.
Petakan ke paket aktivitas. Tentukan sistem itu bekerja pada paket 1, 2, atau 3, dan pada tahap inisiasi, otorisasi, kliring, atau setelmen.
Cek RBSP. Pastikan rencana pengembangan produk AI tercantum dan disetujui, atau minta konfirmasi tertulis bila ragu.
Tulis kebijakan keputusan otomatis. Siapa memegang keputusan akhir, kapan manusia wajib turun tangan, dan bagaimana pengguna mengajukan keberatan.
Tinjau kontrak vendor. Cocokkan dengan daftar muatan minimum perjanjian kerja sama, terutama akses pengawasan dan perlakuan data.
Perkuat KYC merchant dan pemantauan berkelanjutan. Bank Indonesia sudah menyebut customer due diligence berkelanjutan sebagai kewajiban.
Latih skenario. Uji apa yang terjadi bila model menahan transaksi sah dalam jumlah besar, atau bila vendor berhenti melayani.
Bagi merchant, pesan Bank Indonesia sederhana: usaha Anda dipantau berdasarkan profilnya. Pastikan data usaha yang didaftarkan ke PJP sesuai kenyataan, jam operasional wajar, dan tidak ada nominal yang berulang tanpa alasan bisnis. Merchant yang jujur tidak perlu takut pada model deteksi, tetapi perlu tahu cara menjelaskan pola transaksinya bila diminta.
Kesimpulan
PBI 10/2025 tidak menyebut AI, tetapi tidak membiarkan AI berada di luar jangkauan. Siapa pun yang memakai model untuk memutuskan transaksi tetap dinilai lewat TIKMI, tata kelola, manajemen risiko, dan keamanan siber, sementara pernyataan Bank Indonesia sepanjang 2026 memperlihatkan bahwa pengawasan akan lebih keras pada penyelenggara yang lalai mengenal merchant dan pengguna.
Arah tindakannya jelas. Anggap batas transisi sebagai jadwal kerja, bukan tenggat yang bisa ditunda: inventarisasi sistem, tata kelola keputusan otomatis, kontrak vendor, dan latihan skenario sebaiknya selesai sebelum penilaian TIKMI pertama ditetapkan. Perusahaan yang bisa menunjukkan siapa memutuskan apa, dan bagaimana kesalahan ditangkap, akan berada di posisi paling aman ketika pengawas mengetuk pintu.
(Burung Hantu Infratek / Berbagai Sumber)
⚠️ Artikel ini seluruhnya diriset, ditulis, dan dikembangkan oleh AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Sumber dan Referensi
[3] BI reformasi aturan industri sistem pembayaran lewat tujuh penguatan - ANTARA News
[4] Sistem Pembayaran Indonesia Diakui Dunia, Bos BI Ungkap Rencana Pakai AI - detikFinance
[5] Risiko AI Meningkat, Bank Indonesia Perkuat Keamanan Sistem Keuangan Digital - JawaPos.com
[6] Volume Transaksi Pembayaran Digital Tembus 18,09 Miliar, QRIS Tumbuh 75,80 % - JawaPos.com
[7] QRIS Dipakai Judol? BI Siap Bekukan hingga Cabut Izin PJP - RMOL.ID
[8] BI DKI Minta Penyelenggara Perkuat Deteksi Dini Transaksi Mencurigakan - RRI