PP 33 Tahun 2026: Kewajiban Perusahaan yang Memakai AI untuk Olah Data Pribadi
Peraturan Pemerintah Nomor 33 Tahun 2026 adalah aturan pelaksana Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi yang mulai berlaku 16 Januari 2027. Sederhananya, PP ini mengubah kewajiban umum UU PDP menjadi prosedur yang bisa diaudit, termasuk untuk sistem AI yang mengolah data pelanggan dan karyawan. Tulisan ini membahas isi dan jadwal PP 33/2026, alasan proyek AI masuk kategori berisiko tinggi, hak menolak keputusan otomatis, risiko kebocoran dan denda, hingga langkah persiapan perusahaan.
TLDR
Apa Itu PP 33 Tahun 2026 dan Kapan Mulai Berlaku?
PP 33/2026 diundangkan 16 Juli 2026 dan berlaku 16 Januari 2027, menjabarkan cara menjalankan kewajiban UU PDP secara teknis.
Mengapa Sistem AI Perusahaan Termasuk Pemrosesan Berisiko Tinggi?
Pasal 34 UU PDP mewajibkan penilaian dampak untuk keputusan otomatis, penskoran, skala besar, dan teknologi baru, kategori yang hampir selalu disentuh proyek AI.
Hak Menolak Keputusan Otomatis, Apa Artinya bagi Chatbot dan Skoring AI?
Pelanggan berhak keberatan atas keputusan yang hanya dibuat mesin, sehingga perusahaan perlu jalur peninjauan oleh manusia.
Kebocoran Data dan Denda 2 Persen, Risiko Nyata Proyek AI
Kegagalan pelindungan data wajib dilaporkan dalam 3 x 24 jam, dan denda administratif bisa mencapai 2 persen pendapatan tahunan.
Langkah Menyiapkan Proyek AI Sebelum 16 Januari 2027
Perusahaan perlu memetakan data, menjalankan penilaian dampak, merapikan kontrak vendor AI, dan menyiapkan prosedur insiden.
Kesimpulan
Sisa waktu kurang dari tiga bulan sebaiknya dipakai untuk membuat proyek AI bisa dipertanggungjawabkan, bukan untuk menunda.
Banyak perusahaan di Indonesia sudah memakai AI untuk menjawab pelanggan, menyaring lamaran kerja, menilai kelayakan kredit, atau merangkum data penjualan. Hampir semua kegiatan itu menyentuh data pribadi. Selama dua tahun terakhir, kewajiban UU PDP terasa umum karena aturan teknisnya belum ada, sehingga banyak tim memilih menunggu. Penantian itu sudah selesai. Pemerintah menerbitkan PP 33/2026 dengan tenggat berlaku yang tinggal hitungan minggu. Pertanyaan yang kini muncul di ruang rapat cukup praktis: bagian mana dari aturan ini yang menyentuh proyek AI, dan apa yang harus dibereskan lebih dulu?
Apa Itu PP 33 Tahun 2026 dan Kapan Mulai Berlaku?
PP 33/2026 adalah peraturan pelaksanaan UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Menurut Katadata (2026), Presiden Prabowo Subianto meneken aturan ini pada 16 Juli 2026, dan Pasal 225 menetapkan masa berlaku enam bulan sesudah diundangkan, yaitu 16 Januari 2027. Isinya menjabarkan cara teknis menjalankan kewajiban UU PDP.
UU PDP sendiri diundangkan pada 17 Oktober 2022 dan memberi masa penyesuaian paling lama dua tahun, sesuai Pasal 74. Artinya, kewajiban dasar seperti persetujuan, keamanan data, dan pemberitahuan kebocoran sudah mengikat sejak Oktober 2024. Menurut DDS Law Office (2026), enam bulan menjelang PP berlaku bukan periode ketika kewajiban baru dimulai, melainkan waktu untuk menyesuaikan prosedur dengan aturan yang lebih rinci.
Proses terbitnya sempat menuai kritik. Kompas (29 Agustus 2026) melaporkan salinan PP ini lebih dulu beredar di kalangan industri sebelum disebarluaskan lewat kanal resmi. Parasurama Pamungkas, Research Associate Catalyst Policy Works, mempertanyakan hal itu. "Bagaimana mungkin sebuah peraturan yang sudah diundangkan lebih dari satu bulan lalu hingga kini belum resmi disebarluaskan kepada publik?" ujarnya kepada Kompas.
Menurut Hukumonline (2 September 2026), kerangka baru ini menempatkan Lembaga Pelindungan Data Pribadi sebagai pengawas kepatuhan sekaligus pihak yang menjatuhkan sanksi administratif. Masalahnya, lembaga itu belum jelas wujudnya. Wakil Menteri Komunikasi dan Digital Nezar Patria pada 21 Juli 2026 menyebut lembaga tersebut akan bekerja independen dan melapor kepada Presiden melalui Kemkomdigi. Bagi perusahaan, ketidakpastian ini bukan alasan menunggu, karena kewajiban di dalam PP tetap berlaku pada tanggalnya.
Mengapa Sistem AI Perusahaan Termasuk Pemrosesan Berisiko Tinggi?
Pasal 34 UU PDP mewajibkan pengendali data melakukan penilaian dampak pelindungan data untuk pemrosesan berisiko tinggi. Daftarnya mencakup keputusan otomatis, penskoran, pemrosesan skala besar, penggabungan data, dan penggunaan teknologi baru. Sistem AI yang mengolah data pelanggan hampir selalu memenuhi satu atau lebih kategori itu, sehingga penilaian dampak menjadi kewajiban.
Bunyi Pasal 34 ayat (2) UU PDP memuat tujuh kategori. Untuk proyek AI, yang paling relevan adalah huruf a tentang "pengambilan keputusan secara otomatis yang memiliki akibat hukum atau dampak yang signifikan terhadap Subjek Data Pribadi", huruf d tentang "evaluasi, penskoran, atau pemantauan yang sistematis", dan huruf f tentang "penggunaan teknologi baru dalam pemrosesan Data Pribadi".
Contohnya mudah ditemukan. Model skoring kredit di perusahaan pembiayaan masuk kategori penskoran. Sistem penyaring CV yang otomatis menolak pelamar masuk kategori keputusan otomatis. Chatbot layanan pelanggan yang menyimpan riwayat percakapan jutaan orang masuk kategori skala besar. Proyek yang menggabungkan data transaksi dengan data perilaku aplikasi untuk menebak minat pelanggan masuk kategori penggabungan data.
Penilaian dampak juga harus terdokumentasi. Pasal 34 ayat (3) UU PDP menyerahkan rincian penilaian dampak kepada Peraturan Pemerintah, dan PP 33/2026 kini mengisinya, sehingga hasil penilaian harus bisa ditunjukkan saat diperiksa. Dalam praktik, dokumen ini menjawab empat hal: data apa yang dipakai, untuk tujuan apa, risiko apa yang muncul bagi pemilik data, dan kontrol apa yang dipasang untuk menekan risiko itu. Penilaian sebaiknya dilakukan sebelum model dipasang ke produksi, bukan sesudah ada keluhan.
Hak Menolak Keputusan Otomatis, Apa Artinya bagi Chatbot dan Skoring AI?
Pasal 10 ayat (1) UU PDP memberi pemilik data hak mengajukan keberatan atas keputusan yang hanya didasarkan pada pemrosesan otomatis. Hak ini berlaku jika keputusan itu menimbulkan akibat hukum atau berdampak signifikan. Artinya, perusahaan yang memakai AI untuk memutuskan sesuatu tentang orang perlu menyediakan jalur peninjauan oleh manusia.
Bunyi lengkap pasalnya tegas: "Subjek Data Pribadi berhak untuk mengajukan keberatan atas tindakan pengambilan keputusan yang hanya didasarkan pada pemrosesan secara otomatis, termasuk pemrofilan, yang menimbulkan akibat hukum atau berdampak signifikan pada Subjek Data Pribadi." Ayat (2) pasal yang sama menyerahkan tata caranya kepada Peraturan Pemerintah, dan PP 33/2026 adalah jawabannya.
Menurut FWP (9 Oktober 2026), PP 33/2026 memperjelas mekanisme penerimaan keberatan atas pemrosesan otomatis, termasuk prosedur keberatan dan bentuk pemulihan dengan bantuan manusia. Jadi, tombol "ajukan keberatan" saja tidak cukup. Harus ada petugas yang berwenang meninjau ulang keputusan, mengubahnya bila perlu, dan mencatat prosesnya.
Tidak semua chatbot terkena aturan ini. Chatbot yang hanya menjawab pertanyaan jam buka toko tidak memutuskan apa pun tentang pelanggan. Lain halnya dengan asisten AI yang menolak klaim asuransi, menurunkan limit kartu kredit, atau menandai akun sebagai penipuan. Keputusan seperti itu berdampak langsung pada hidup seseorang, sehingga perlu bisa dijelaskan dan diperiksa ulang oleh manusia.
Raditya Kosasih, praktisi hukum pelindungan data pribadi, mengingatkan soal waktu. Menurutnya kepada Kompas (2026), pelaksanaan hak subjek data hanya diberi waktu 3 x 24 jam, padahal pengendali wajib memverifikasi identitas pemohon lebih dulu. Tim yang memakai AI perlu menyiapkan alur ini sejak awal, bukan saat permohonan pertama masuk.
Kebocoran Data dan Denda 2 Persen, Risiko Nyata Proyek AI
Pasal 46 UU PDP mewajibkan pengendali data memberi tahu pemilik data dan lembaga secara tertulis paling lambat 3 x 24 jam setelah terjadi kegagalan pelindungan data. Pasal 57 menetapkan denda administratif paling tinggi 2 persen dari pendapatan tahunan. PP 33/2026 merinci tata cara keduanya, sehingga risiko proyek AI kini terukur.
Proyek AI membuka jalur kebocoran baru. Data pelanggan bisa terkirim ke layanan AI pihak ketiga lewat prompt karyawan, tersimpan di log percakapan chatbot, atau terbawa dalam data latih model. Pemberitahuan tertulis menurut Pasal 46 ayat (2) minimal memuat data yang terungkap, kapan dan bagaimana data itu terungkap, serta upaya penanganan dan pemulihannya. Tanpa pencatatan aktivitas sistem AI, ketiga hal itu sulit dijawab dalam tiga hari.
Sanksi administratif dalam Pasal 57 ayat (2) UU PDP ada empat jenis: peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data, dan denda administratif. Menurut DDS Law Office (2026), angka 2 persen adalah batas tertinggi, bukan tarif otomatis. Besarnya ditentukan antara lain oleh dampak pelanggaran, durasi, jenis data, jumlah korban, tingkat kerja sama, skala usaha, dan riwayat kepatuhan.
Bagi proyek AI, sanksi penghentian sementara pemrosesan bisa lebih mahal daripada denda. Bayangkan chatbot penjualan atau mesin rekomendasi harus dimatikan selama pemeriksaan. Karena itu, kontrol keamanan dan pencatatan perlu dibangun bersamaan dengan modelnya.
Langkah Menyiapkan Proyek AI Sebelum 16 Januari 2027
Perusahaan pengguna AI sebaiknya mulai dari inventaris: sistem AI apa saja yang memproses data pribadi, di mana data itu disimpan, dan siapa vendornya. Dari situ, susun penilaian dampak, perbarui kontrak vendor, siapkan jalur keberatan, dan uji prosedur insiden sebelum PP 33/2026 berlaku pada 16 Januari 2027.
Berikut langkah yang bisa dikerjakan dalam sisa waktu kurang dari tiga bulan:
Petakan semua pemakaian AI. Catat chatbot, model skoring, alat rekrutmen, dan layanan AI yang dipakai karyawan, termasuk yang dibeli per divisi tanpa lewat tim TI.
Jalankan penilaian dampak. Dahulukan sistem yang memutuskan sesuatu tentang orang, memproses data spesifik seperti kesehatan dan keuangan, atau mengolah data dalam skala besar.
Rapikan kontrak vendor AI. Menurut FWP (2026), PP 33/2026 menetapkan 11 klausul minimum dalam perjanjian penunjukan prosesor data, termasuk pengawasan, audit, dan inspeksi. Penyedia API model bahasa umumnya berperan sebagai prosesor.
Periksa lokasi server. Pasal 56 UU PDP mewajibkan negara penerima data punya pelindungan setara atau lebih tinggi. Jika tidak, harus ada pelindungan yang mengikat, dan jika itu pun tidak ada, perusahaan wajib meminta persetujuan pemilik data. Banyak layanan AI populer memproses data di luar Indonesia.
Sediakan jalur keberatan. Tunjuk petugas yang bisa meninjau ulang keputusan AI dan catat setiap peninjauan.
Uji prosedur insiden. Latih tim menyusun pemberitahuan kebocoran dalam 3 x 24 jam, termasuk skenario data bocor lewat layanan AI.
Pasal 53 UU PDP juga mewajibkan penunjukan pejabat pelindungan data untuk organisasi yang melayani publik, memantau data skala besar secara sistematis, atau memproses data spesifik dalam skala besar. Banyak perusahaan yang memakai AI di layanan pelanggan termasuk kategori ini.
Untuk perusahaan yang baru membangun sistem AI, langkah paling hemat adalah memasukkan prinsip pelindungan data sejak desain. Data yang tidak dibutuhkan model sebaiknya tidak dikirim sama sekali. Data identitas bisa disamarkan sebelum diproses, dan log percakapan bisa diberi batas umur simpan. Perubahan seperti ini jauh lebih murah dikerjakan sekarang daripada sesudah pemeriksaan dimulai.
Kesimpulan
PP 33/2026 tidak melarang perusahaan memakai AI. Aturan ini meminta pemakaian AI yang menyentuh data pribadi bisa dijelaskan, diperiksa, dan dipertanggungjawabkan. Penilaian dampak, hak keberatan atas keputusan otomatis, tenggat 3 x 24 jam, dan denda hingga 2 persen pendapatan tahunan sudah tertulis di UU PDP, dan PP ini mengubahnya menjadi prosedur yang bisa diaudit.
Lembaga pengawasnya memang belum jelas, tetapi tanggal berlakunya sudah pasti. Mulailah dari inventaris sistem AI pekan ini, dahulukan sistem yang memutuskan sesuatu tentang orang, lalu bereskan kontrak vendor sebelum 16 Januari 2027. Perusahaan yang rapi lebih awal akan lebih leluasa mengembangkan AI tanpa dibayangi risiko pemeriksaan.
(Burung Hantu Infratek / Berbagai Sumber)
⚠️ Artikel ini seluruhnya diriset, ditulis, dan dikembangkan oleh AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Sumber dan Referensi
[1] Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi - JDIH Kemkomdigi
[2] Beredar Peraturan Pelaksana UU Perlindungan Data Pribadi - Kompas.id
[3] PP Pelindungan Data Pribadi Berlaku Januari 2027, Ini Aturan Baru Data Anak - Katadata
[5] PP 33 Tahun 2026 tentang Pelindungan Data Pribadi dan Kewajiban Penting Perusahaan - DDS Law Office
[6] Peraturan Pelaksana UU PDP Terbit: Ketentuan Penting PP 33 Tahun 2026 - FWP