Aturan AI Hong Kong 2026: Panduan Agentic AI PCPD dan Pelajaran bagi Bisnis Indonesia
Hong Kong tidak punya undang-undang AI khusus, tetapi regulatornya bergerak cepat lewat panduan, pemeriksaan kepatuhan, dan sandbox. Sederhananya, aturan AI di Hong Kong ditegakkan lewat hukum perlindungan data dan pengawasan sektor yang sudah ada. Tulisan ini membahas cara Hong Kong mengatur AI, isi panduan agentic AI dari PCPD, temuan pemeriksaan terhadap 60 organisasi, langkah regulator keuangan, hingga pelajarannya bagi perusahaan Indonesia di bawah UU PDP.
TLDR
Bagaimana Hong Kong Mengatur AI Tanpa Undang-Undang Khusus?
Hong Kong memakai Personal Data (Privacy) Ordinance dan aturan tiap regulator sektor, bukan satu undang-undang AI.
Apa Isi Panduan Agentic AI PCPD Agustus 2026?
PCPD menerbitkan sembilan rekomendasi pada 25 Agustus 2026 agar agen AI tidak mengambil data berlebihan dan tetap bisa diaudit.
Temuan Pemeriksaan Kepatuhan AI di 60 Organisasi
Sebanyak 95 persen organisasi yang diperiksa sudah memakai AI, dan 79 persen pengguna data pribadi melakukan penilaian dampak privasi.
Sandbox++ dan Surat Edaran SFC untuk Sektor Keuangan
Empat regulator keuangan memilih 36 uji coba agentic AI, sementara SFC meminta perusahaan efek memperkuat pertahanan siber terhadap serangan berbantu AI.
Apa Artinya bagi Perusahaan Indonesia di Bawah UU PDP?
Pasal 34 UU PDP sudah mewajibkan penilaian dampak untuk teknologi baru, jadi daftar periksa Hong Kong bisa langsung dipakai sebagai acuan praktik.
Kesimpulan
Model Hong Kong menunjukkan tata kelola AI bisa berjalan tanpa undang-undang baru selama aturan data yang ada ditegakkan dengan disiplin.
Banyak perusahaan Indonesia menunggu satu regulasi AI nasional sebelum menyusun tata kelola. Padahal agen AI sudah dipasang untuk membalas email, memproses klaim, sampai menjalankan pembayaran. Hong Kong memberi contoh yang menarik untuk dipelajari. Kota itu belum punya undang-undang AI, tetapi otoritas perlindungan datanya sudah memeriksa puluhan organisasi dan menerbitkan panduan khusus agentic AI. Regulator keuangannya membuka sandbox dengan komputasi GPU gratis. Pertanyaannya, apa saja isi aturan itu, dan bagian mana yang relevan bagi perusahaan Indonesia yang tunduk pada UU Pelindungan Data Pribadi?
Bagaimana Hong Kong Mengatur AI Tanpa Undang-Undang Khusus?
Hong Kong mengatur AI lewat hukum yang sudah ada, terutama Personal Data (Privacy) Ordinance (Cap. 486) atau PDPO, ditambah surat edaran dan panduan dari tiap regulator sektor. Tidak ada undang-undang AI tunggal. Kepatuhan diukur dari cara organisasi mengumpulkan, memakai, dan menyimpan data pribadi saat memakai sistem AI.
Lembaga yang paling aktif adalah Office of the Privacy Commissioner for Personal Data (PCPD). Lembaga ini menerbitkan "Artificial Intelligence: Model Personal Data Protection Framework" sebagai kerangka umum, lalu "Checklist on Guidelines for the Use of Generative AI by Employees" untuk penggunaan AI generatif oleh karyawan. Menurut PCPD (2026), kedua dokumen itu menjadi tolok ukur saat lembaga tersebut memeriksa organisasi.
Di sektor keuangan, pengawasan dibagi ke empat regulator, yaitu Hong Kong Monetary Authority (HKMA) untuk perbankan, Securities and Futures Commission (SFC) untuk pasar modal, Insurance Authority (IA) untuk asuransi, dan Mandatory Provident Fund Schemes Authority (MPFA) untuk dana pensiun. Masing-masing mengeluarkan surat edaran yang mengikat lembaga di bawahnya.
Pendekatan ini mirip dengan posisi Indonesia saat ini. Indonesia juga belum punya undang-undang AI, tetapi sudah punya UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi yang berlaku sejak 17 Oktober 2022. Bedanya, Hong Kong sudah menerjemahkan aturan data itu menjadi daftar periksa khusus AI yang sangat operasional.
Apa Isi Panduan Agentic AI PCPD Agustus 2026?
Pada 25 Agustus 2026, PCPD menerbitkan panduan "Protecting Personal Data Privacy in the Use of Agentic AI". Panduan ini memuat sembilan rekomendasi agar agen AI yang bekerja mandiri tidak mengakses data berlebihan, tidak memakai data untuk tujuan baru tanpa persetujuan, dan tetap bisa ditelusuri serta diaudit.
Komisioner Privasi Hong Kong, Ada Chung Lai-ling, menjelaskan alasannya. "Berbeda dengan chatbot AI konvensional, agentic AI dapat beroperasi dengan tingkat otonomi tinggi dan menjalankan tugas bertahap atas nama pengguna, mulai dari mengelola email dan membuat reservasi hingga memproses pembayaran," ujarnya dalam pernyataan resmi PCPD.
Panduan ini disusun bersama Digital Policy Office dan Hong Kong Applied Science and Technology Research Institute sebagai lembaga pendukung. PCPD juga merujuk pedoman keamanan agen AI yang diterbitkan Komite Teknis Nasional 260 Standardization Administration of China pada Juli 2026. Risiko utama yang disorot ada tiga, yaitu akses yang terlalu luas, perluasan fungsi di luar tujuan awal, dan data yang tidak akurat.
Beberapa rekomendasi yang paling berdampak bagi tim TI:
Batasi akses sejak awal. Agen AI hanya boleh menyentuh informasi dan sistem yang diperlukan untuk satu tujuan, dengan hak akses paling minim.
Tetapkan masa simpan. Data pribadi di riwayat percakapan, cache, dan memori jangka panjang agen wajib punya batas waktu dan dihapus tepat waktu.
Hati-hati dengan plugin dan skill. Gunakan versi resmi terbaru, pasang plugin dengan selektif, dan siapkan jejak audit untuk tiap tindakan agen.
Libatkan manusia untuk keputusan besar. Pendekatan human-in-the-loop dipakai untuk keputusan yang berdampak signifikan bagi individu.
Panduan ini juga dilengkapi Security Checklist yang membagi langkah praktis ke lima tahap, yaitu evaluasi, persiapan, penerapan, penggunaan, dan penghentian pemakaian agen AI.
Temuan Pemeriksaan Kepatuhan AI di 60 Organisasi
PCPD memeriksa 60 organisasi sejak Januari 2026 dan merilis hasilnya pada 19 Mei 2026. Sebanyak 57 organisasi atau 95 persen sudah memakai AI dalam operasi harian, naik 15 poin persentase dibanding pemeriksaan 2025. PCPD tidak menemukan pelanggaran PDPO selama proses pemeriksaan tersebut.
Cakupan sektornya luas, dari perbankan, asuransi, layanan medis, ritel, telekomunikasi, sampai logistik dan pengelolaan properti. Dari 57 organisasi pengguna AI, 45 organisasi atau sekitar 79 persen sudah memakai AI lebih dari setahun, dan 29 organisasi atau sekitar 51 persen memakai tiga sistem AI atau lebih.
Angka yang paling relevan untuk tim kepatuhan datang dari 24 organisasi yang mengumpulkan atau memakai data pribadi lewat AI, menurut PCPD (2026):
Uji sebelum dipasang. Sebanyak 23 organisasi atau sekitar 96 persen menguji keandalan dan keadilan sistem AI sebelum diterapkan.
Penilaian dampak privasi. Sebanyak 19 organisasi atau sekitar 79 persen melakukan privacy impact assessment sebelum implementasi.
Rencana insiden khusus AI. Sebanyak 22 organisasi punya rencana respons kebocoran data, tetapi hanya 9 di antaranya atau sekitar 41 persen yang memuat skenario insiden akibat AI.
Kebijakan AI generatif untuk karyawan. Sebanyak 17 organisasi atau sekitar 71 persen sudah punya kebijakan internal, dan 5 organisasi lain masih menyusunnya.
Ada Chung Lai-ling menyimpulkan bahwa AI masuk ke operasi berbagai sektor dengan kecepatan yang terus naik. Ia meminta organisasi menyusun strategi AI yang menyeluruh, melakukan penilaian risiko dan dampak privasi, serta meninjau sistem AI secara berkala.
Sandbox++ dan Surat Edaran SFC untuk Sektor Keuangan
Regulator keuangan Hong Kong memakai dua jalur sekaligus. Jalur pertama mendorong inovasi lewat GenA.I. Sandbox++ yang diluncurkan 5 Maret 2026. Jalur kedua menekan risiko lewat surat edaran SFC tanggal 2 Juni 2026 tentang serangan siber yang dipercepat model AI frontier.
Sandbox++ diluncurkan bersama oleh HKMA, SFC, IA, dan MPFA dengan Cyberport. Peserta mendapat bimbingan pengawas, dukungan teknis, dan akses gratis ke GPU di AI Supercomputing Centre milik Cyberport. Fokusnya tiga bidang, yaitu manajemen risiko, antipenipuan, dan pengalaman nasabah, dengan strategi "AI vs AI" untuk mengawasi risiko AI memakai AI.
Pada 27 Agustus 2026, regulator mengumumkan kohort pertama. Dari hampir 100 proposal, terpilih 36 kasus penggunaan yang melibatkan 30 lembaga keuangan dan 27 mitra teknologi. Kohort ini berfokus pada agentic AI untuk proses menyeluruh seperti pembukaan rekening, pembayaran, dan klaim asuransi. CEO SFC, Julia Leung, menyebut eksplorasi ini sebagai langkah menuju pasar yang "otonomi sistemnya lebih tinggi dan ditopang tata kelola yang baik serta akuntabilitas yang jelas".
Di sisi risiko, menurut ringkasan firma hukum Davis Polk (Juni 2026), surat edaran SFC muncul di tengah kenaikan insiden keamanan siber sebesar 27 persen dibanding tahun sebelumnya. SFC meminta perusahaan efek memperkuat lima area, yaitu patching dan manajemen kerentanan, kontrol akses, deteksi dan pemantauan, risiko rantai pasok pihak ketiga, serta respons insiden. Manajemen senior dan Manager-in-Charge bidang TI ditegaskan tetap bertanggung jawab penuh.
Apa Artinya bagi Perusahaan Indonesia di Bawah UU PDP?
Perusahaan Indonesia tidak perlu menunggu undang-undang AI untuk mulai patuh. Pasal 34 UU Nomor 27 Tahun 2022 sudah mewajibkan penilaian dampak pelindungan data pribadi untuk pemrosesan berisiko tinggi, termasuk keputusan otomatis dan penggunaan teknologi baru. Daftar periksa Hong Kong bisa menjadi cetak biru pelaksanaannya.
Bunyi Pasal 34 ayat (1) UU PDP tegas: "Pengendali Data Pribadi wajib melakukan penilaian dampak Pelindungan Data Pribadi dalam hal pemrosesan Data Pribadi memiliki potensi risiko tinggi terhadap Subjek Data Pribadi." Ayat (2) menyebut contoh risiko tinggi, antara lain pengambilan keputusan secara otomatis, pemrosesan dalam skala besar, dan penggunaan teknologi baru. Agen AI yang membaca email pelanggan hampir pasti masuk kategori ini.
Konsekuensinya nyata. Pasal 57 UU PDP menyebut pelanggaran Pasal 34 ayat (1) dapat dikenai sanksi administratif, dari peringatan tertulis, penghentian sementara pemrosesan, sampai denda paling tinggi 2 persen dari pendapatan tahunan atau penerimaan tahunan terhadap variabel pelanggaran.
Langkah praktis yang bisa diambil dari model Hong Kong:
Inventarisasi agen AI. Catat setiap agen, data yang disentuh, sistem yang bisa diakses, dan siapa pemiliknya di organisasi.
Lakukan penilaian dampak sebelum peluncuran. Jadikan penilaian dampak syarat wajib sebelum agen AI menyentuh data pelanggan atau karyawan.
Atur memori dan masa simpan. Tetapkan kapan riwayat percakapan dan memori agen dihapus, sejalan dengan tujuan pemrosesan.
Tambahkan skenario AI ke rencana insiden. Dalam pemeriksaan PCPD, hanya sekitar 41 persen organisasi yang sudah melakukannya, jadi ini celah yang umum.
Bagi bank dan fintech, pola Sandbox++ juga layak dicermati. Uji coba terkendali dengan pengawasan sejak awal membuat regulator dan pelaku usaha belajar bersama sebelum agen AI dilepas ke nasabah.
Kesimpulan
Hong Kong membuktikan bahwa tata kelola AI bisa berjalan tanpa undang-undang khusus. Kuncinya ada pada aturan data yang ditegakkan secara rutin, panduan yang sangat operasional seperti sembilan rekomendasi agentic AI dari PCPD, dan regulator sektor yang mendorong inovasi sekaligus menekan risiko siber.
Bagi perusahaan Indonesia, pelajarannya sederhana. Kewajiban penilaian dampak di Pasal 34 UU PDP sudah berlaku, dan agen AI termasuk teknologi baru yang berisiko tinggi. Mulailah dari inventarisasi agen, batasi aksesnya, tetapkan masa simpan data, dan siapkan rencana insiden khusus AI sebelum regulator datang memeriksa.
(Burung Hantu Infratek / Berbagai Sumber)
⚠️ Artikel ini seluruhnya diriset, ditulis, dan dikembangkan oleh AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Sumber dan Referensi
[1] Publishes Guidance on Protecting Personal Data Privacy in the Use of Agentic AI - PCPD Hong Kong
[4] First cohort of GenA.I. Sandbox++ - Pemerintah Hong Kong SAR
[6] UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi - JDIH BPK
[7] Personal Data (Privacy) Ordinance (Cap. 486) - Hong Kong e-Legislation