Menggunakan ChatGPT dan Claude di Kantor: Apa Kata UU PDP dan OJK?
Menggunakan ChatGPT dan Claude di kantor sudah jadi hal biasa: merangkum dokumen, membalas email, menulis kode, sampai menganalisis data. Pertanyaannya, apakah boleh memasukkan data perusahaan atau data pelanggan ke AI? Di Indonesia, jawabannya bergantung pada UU Pelindungan Data Pribadi (UU PDP), aturan turunannya PP 33 Tahun 2026, serta pedoman OJK bagi perusahaan di sektor jasa keuangan. Artikel ini membahas aturan yang berlaku per November 2026, data apa yang aman dan tidak aman dimasukkan ke AI, serta contoh kebijakan penggunaan AI untuk kantor.
Catatan: artikel ini adalah panduan umum dari sudut pandang IT dan compliance, bukan nasihat hukum. Untuk keputusan spesifik, konsultasikan dengan tim legal atau konsultan hukum perusahaan.
Kenapa Penggunaan AI di Kantor Perlu Diatur?
Saat karyawan menempelkan teks ke ChatGPT atau Claude, data itu dikirim ke server penyedia layanan, yang umumnya berada di luar negeri. Kalau teks tersebut berisi data pelanggan, kontrak rahasia, atau source code, perusahaan bisa menghadapi beberapa risiko:
- Kebocoran data pribadi yang berujung sanksi UU PDP.
- Bocornya rahasia dagang, seperti strategi bisnis, harga, atau kode program.
- Data dipakai untuk melatih model AI, terutama pada akun gratis atau personal dengan pengaturan default.
- Pelanggaran aturan sektor, misalnya ketentuan OJK soal penyedia jasa TI dan penempatan data.
Contoh yang sering dikutip adalah kasus Samsung pada 2023. Beberapa engineer menempelkan source code internal ke ChatGPT untuk membantu debugging. Setelah kejadian itu, Samsung sempat melarang penggunaan AI generatif di perangkat kantor.
Apa Kata UU PDP dan PP 33/2026?
UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi berlaku penuh sejak Oktober 2024. Aturan teknisnya, PP Nomor 33 Tahun 2026, ditetapkan pada 16 Juli 2026 dan mulai berlaku 16 Januari 2027. Jadi perusahaan punya waktu sampai awal 2027 untuk menyesuaikan diri.
UU PDP dan PP-nya tidak menyebut ChatGPT atau Claude secara khusus. Namun beberapa kewajiban di dalamnya langsung berlaku ketika data pribadi dimasukkan ke layanan AI:
| Kewajiban | Kaitannya dengan penggunaan AI |
|---|---|
| Dasar pemrosesan yang sah dan tujuan yang jelas | Memasukkan data pelanggan ke AI harus punya dasar hukum dan sesuai tujuan awal pengumpulan data. |
| Minimalisasi data | Hanya data yang benar-benar dibutuhkan yang boleh diproses. Nama, NIK, atau nomor rekening jarang diperlukan untuk sekadar merangkum dokumen. |
| Catatan aktivitas pemrosesan (ROPA) | Layanan AI pihak ketiga yang menerima data pribadi perlu dicatat sebagai penerima data. |
| Penilaian dampak (DPIA) | PP 33/2026 menyebut teknologi baru seperti AI dan machine learning sebagai pemicu kewajiban DPIA. |
| Transfer data ke luar negeri | Sebagian besar layanan AI berada di luar Indonesia. Transfer hanya boleh lewat penilaian kecukupan negara tujuan, perlindungan yang memadai (seperti klausul kontrak standar), atau persetujuan yang sangat terbatas. |
| Larangan klausul pembebasan tanggung jawab | Syarat layanan vendor perlu ditinjau agar tidak mengurangi kewajiban perusahaan sebagai pengendali data. |
| Notifikasi kegagalan pelindungan data | Wajib dalam 3x24 jam sejak kegagalan dipastikan. Data pribadi yang dimasukkan ke AI tanpa izin berpotensi dinilai sebagai insiden. |
Sanksi administratifnya tidak main-main: denda hingga 2% dari pendapatan tahunan. Penjelasan PP 33/2026 mendefinisikan pendapatan sebagai pendapatan kotor, bukan laba bersih.
Lembaga pengawas PDP memang belum beroperasi per September 2026. Namun PP 33/2026 menegaskan pemrosesan tetap harus sesuai aturan, jadi menunggu lembaga terbentuk bukan alasan untuk menunda persiapan.
Apa Kata OJK untuk Sektor Jasa Keuangan?
Bagi bank, fintech, asuransi, dan lembaga jasa keuangan lain, ada lapisan aturan tambahan dari OJK:
- Tata Kelola Kecerdasan Artifisial Perbankan Indonesia (April 2025). Panduan bagi bank umum untuk mengembangkan dan menerapkan AI secara bertanggung jawab di seluruh siklus hidupnya, dengan penekanan pada manajemen risiko dan prinsip kehati-hatian. Dalam berbagai kesempatan, OJK juga mendorong bank membentuk komite AI.
- Panduan Kode Etik AI yang Bertanggung Jawab dan Terpercaya, yang diperbarui pada Desember 2025. Prinsip utamanya diperkuat pada aspek pelindungan konsumen, keandalan model dan data, inklusi keuangan, serta pelindungan data dan ketahanan siber.
- Ketentuan penyelenggaraan teknologi informasi. Aturan OJK tentang penggunaan penyedia jasa TI dan penempatan sistem atau data di luar negeri juga relevan, karena layanan AI berbasis cloud pada dasarnya adalah penyedia jasa TI pihak ketiga.
Dalam praktik audit, pertanyaan yang mulai sering muncul adalah: "Apakah karyawan memakai AI generatif? Data apa yang dimasukkan? Apakah ada kebijakan dan kontrolnya?" Perusahaan yang tidak bisa menjawab berisiko mendapat temuan, walaupun belum ada insiden.
Regulasi AI Nasional: Masih Menunggu Perpres
Pemerintah menyiapkan dua Peraturan Presiden: Perpres Peta Jalan Kecerdasan Artifisial dan Perpres Etika Kecerdasan Artifisial. Per September 2026, keduanya disebut sudah di tahap akhir dan tinggal menunggu tanda tangan Presiden.
Rancangan Perpres Etika AI membagi pemanfaatan AI ke dalam tiga tingkat risiko: rendah, tinggi (misalnya AI yang memakai data pribadi spesifik atau berdampak signifikan pada hak asasi dan layanan publik), dan tidak dapat diterima. Kementerian dan lembaga, termasuk regulator sektor, nantinya diminta menurunkan aturan teknis masing-masing. Artinya, aturan penggunaan AI di kantor kemungkinan akan makin detail dalam waktu dekat.
Data Apa yang Aman dan Tidak Aman Dimasukkan ke AI?
| Kategori | Contoh | Boleh di AI publik? |
|---|---|---|
| Informasi publik | Artikel berita, dokumentasi produk yang sudah dipublikasikan, regulasi | Boleh |
| Internal umum | Draf email tanpa data pribadi, kerangka presentasi, ide konten | Boleh, sebaiknya dengan akun bisnis |
| Rahasia perusahaan | Strategi bisnis, laporan keuangan belum rilis, source code inti, kontrak | Hanya di layanan AI yang disetujui perusahaan |
| Data pribadi umum | Nama, email, nomor telepon pelanggan atau karyawan | Hindari; anonimkan dulu atau gunakan layanan yang disetujui |
| Data pribadi spesifik | Data kesehatan, data keuangan pribadi, data anak, biometrik, catatan kejahatan | Jangan |
| Kredensial | Password, API key, token, private key | Jangan, dalam kondisi apa pun |
Prinsip praktisnya sederhana: kalau tidak boleh dikirim lewat email ke pihak luar, jangan ditempel ke AI, kecuali layanan AI tersebut sudah disetujui dan dikontrak resmi oleh perusahaan.
Akun Personal vs Akun Bisnis: Bedanya Penting
ChatGPT dan Claude menyediakan paket konsumen (gratis atau berbayar perorangan) dan paket bisnis (Team, Enterprise, atau API). Perbedaannya sangat berpengaruh untuk compliance:
- Pelatihan model. Pada paket konsumen, percakapan dapat dipakai untuk melatih model tergantung pengaturan akun. Paket bisnis umumnya tidak memakai data pelanggan untuk pelatihan secara default.
- Kontrak dan perjanjian pemrosesan data. Paket bisnis biasanya menyediakan perjanjian pemrosesan data (DPA) yang dibutuhkan untuk memenuhi kewajiban transfer dan pemrosesan data.
- Kontrol admin. Paket bisnis menyediakan SSO, pengelolaan pengguna, pengaturan retensi, dan log audit.
Selalu cek kebijakan privasi dan syarat layanan terbaru dari masing-masing penyedia, karena pengaturannya bisa berubah. Untuk penggunaan resmi di kantor, akun bisnis yang dikelola perusahaan jauh lebih mudah dipertanggungjawabkan daripada akun pribadi karyawan.
Contoh Kebijakan Penggunaan AI di Kantor
Berikut kerangka singkat yang bisa diadaptasi menjadi kebijakan internal:
- Tujuan dan ruang lingkup. Berlaku untuk semua karyawan, kontraktor, dan perangkat yang mengakses data perusahaan.
- Tools yang disetujui. Daftar layanan AI yang boleh dipakai beserta jenis akunnya, misalnya hanya akun bisnis yang dikelola perusahaan.
- Klasifikasi data. Merujuk tabel di atas: data apa yang boleh, harus dianonimkan, atau dilarang.
- Kewajiban review manusia. Hasil AI wajib diperiksa sebelum dipakai untuk keputusan, dikirim ke pelanggan, atau di-deploy ke produksi.
- Larangan. Tidak boleh memasukkan kredensial, data pribadi spesifik, dan data nasabah ke layanan AI yang tidak disetujui.
- Transparansi. Konten atau keputusan yang dihasilkan AI untuk pelanggan perlu diungkapkan sesuai ketentuan yang berlaku.
- Pelaporan insiden. Jika data sensitif terlanjur dimasukkan ke AI, segera laporkan ke tim IT Security atau DPO.
- Pelatihan dan peninjauan. Sosialisasi berkala dan peninjauan kebijakan setidaknya setahun sekali, atau saat ada regulasi baru seperti Perpres AI.
Langkah Praktis untuk Tim IT dan Compliance
- Inventarisasi penggunaan AI. Cari tahu tools AI apa saja yang sudah dipakai karyawan, termasuk yang tidak resmi (shadow AI). Log proxy atau DNS bisa membantu.
- Sediakan alternatif resmi. Melarang total tanpa solusi biasanya justru mendorong karyawan memakai akun pribadi diam-diam.
- Masukkan layanan AI ke ROPA dan lakukan DPIA sebelum 16 Januari 2027.
- Tinjau kontrak vendor AI: DPA, lokasi data, retensi, pelatihan model, dan klausul tanggung jawab.
- Pasang kontrol teknis seperti DLP (data loss prevention) atau pemblokiran layanan AI yang tidak disetujui di perangkat kantor.
- Siapkan bukti untuk audit: kebijakan, daftar tools yang disetujui, materi pelatihan, dan log penggunaan.
Baca juga artikel lain seputar keamanan dan kepatuhan di kategori Cyber Security dan AI.
FAQ Seputar Penggunaan AI di Kantor
Apakah memakai ChatGPT di kantor melanggar UU PDP?
Tidak otomatis melanggar. Pelanggaran bisa terjadi jika data pribadi dimasukkan tanpa dasar pemrosesan yang sah, melebihi kebutuhan, atau ditransfer ke luar negeri tanpa memenuhi syarat. Menggunakan ChatGPT untuk tugas tanpa data pribadi umumnya aman dari sisi UU PDP.
Kapan PP 33/2026 tentang pelindungan data pribadi mulai berlaku?
PP 33 Tahun 2026 ditetapkan pada 16 Juli 2026 dan mulai berlaku pada 16 Januari 2027.
Apakah OJK melarang penggunaan AI generatif?
Tidak. OJK justru menerbitkan panduan tata kelola AI untuk perbankan dan kode etik AI untuk industri jasa keuangan. Yang ditekankan adalah manajemen risiko, pelindungan konsumen, pelindungan data, dan pengawasan manusia.
Apakah data yang dimasukkan ke ChatGPT atau Claude dipakai untuk melatih AI?
Tergantung jenis akun dan pengaturannya. Pada paket konsumen, data bisa dipakai untuk pelatihan sesuai pengaturan akun. Paket bisnis seperti Team, Enterprise, dan API umumnya tidak memakai data untuk pelatihan secara default. Selalu cek kebijakan terbaru penyedia layanan.
Apa sanksi jika terjadi kebocoran data pribadi lewat AI?
Berdasarkan PP 33/2026, sanksi administratif bisa mencapai denda 2% dari pendapatan tahunan, di samping kewajiban notifikasi kegagalan pelindungan data dalam 3x24 jam dan potensi sanksi lain sesuai UU PDP.
Kesimpulan
Menggunakan ChatGPT dan Claude di kantor tidak dilarang, tetapi perlu aturan main yang jelas. UU PDP dan PP 33/2026 menuntut perusahaan memastikan data pribadi tidak diproses sembarangan, termasuk ketika dikirim ke layanan AI di luar negeri. Bagi sektor jasa keuangan, pedoman OJK menambah tuntutan tata kelola dan manajemen risiko.
Dengan tenggat PP 33/2026 pada Januari 2027 dan Perpres AI yang segera terbit, sekarang waktu yang tepat untuk menyusun kebijakan penggunaan AI, menyediakan tools resmi, dan melatih karyawan. Tujuannya bukan melarang AI, tetapi memastikan produktivitasnya tidak dibayar dengan kebocoran data.
Sumber
- SIP Law Firm: PP 33/2026 tentang Pelindungan Data Pribadi
- Bisnis.com: UU dan PP Sudah Ada, Aturan PDP Belum Efektif Tanpa Lembaga
- OJK: Peluncuran Tata Kelola Kecerdasan Artifisial Perbankan Indonesia
- Kontan: OJK Perbarui Pedoman Kode Etik AI
- Kontan: Dua Perpres AI Tinggal Tunggu Tanda Tangan Prabowo
- Katadata: Dua Perpres AI Atur Tiga Tingkatan Risiko
Join the conversation