Seorang staf menempelkan komplain pelanggan, lengkap dengan nama, nomor telepon, dan riwayat pesanan, ke ChatGPT untuk menyusun balasan yang sopan. Tidak ada yang menandainya, tidak ada yang menyetujuinya, dan ini terjadi sepuluh kali sehari di hampir semua UKM yang saya tangani. Privasi data pelanggan saat memakai AI bukan lagi kekhawatiran teoretis di Indonesia. Menurut Undang-Undang Perlindungan Data Pribadi (UU PDP), tindakan menempel itu adalah peristiwa pemrosesan data, dan jika itu terjadi di tools AI publik tanpa perjanjian pemrosesan data, Anda mungkin baru saja melanggar kewajiban Anda sendiri sebagai pengendali data.
Kebanyakan pemilik bisnis mengira privasi adalah masalah perusahaan besar, urusan bank dan rumah sakit. Itu sudah tidak berlaku lagi. Jika Anda menyimpan nama pelanggan, nomor telepon, alamat, atau riwayat transaksi, dan semakin sering menggunakan AI untuk memprosesnya, UU PDP berlaku untuk Anda terlepas dari ukuran perusahaan. Kabar baiknya, kepatuhan di sini sebagian besar soal kebiasaan, bukan tooling mahal.
Panduan ini membahas apa yang dianggap data pribadi menurut hukum Indonesia, apa yang tidak boleh masuk ke tools AI publik, dan kebijakan satu halaman yang bisa langsung Anda bagikan ke staf minggu ini.
Apa Saja yang Termasuk Data Pribadi Menurut UU PDP?
Data pribadi menurut UU PDP terbagi menjadi dua tingkat, umum dan spesifik, dan tingkat inilah yang menentukan seberapa hati-hati Anda harus menanganinya. Data umum mencakup identitas sehari-hari seperti nama dan nomor telepon, sementara data spesifik mencakup rekam medis, biometrik, dan detail finansial yang membutuhkan persetujuan lebih ketat serta membawa risiko yang jauh lebih berat kalau bocor.
Data pribadi umum: nama lengkap, nomor telepon, email, alamat, jenis kelamin, riwayat transaksi, preferensi pembelian. Ini yang paling sering ditangani UKM sehari-hari.
Data pribadi spesifik: rekam medis, data biometrik, detail rekening finansial, data anak, catatan kriminal, data genetik. Tingkat ini membutuhkan persetujuan dan penanganan yang lebih ketat, dan kebocoran di sini membawa risiko yang jauh lebih berat.
Jika bisnis Anda adalah klinik, perusahaan pembiayaan, atau layanan yang bersinggungan dengan fintech, Anda hampir pasti menangani data spesifik. Bisnis retail atau F&B umumnya menangani data umum, tapi program loyalitas, nomor keanggotaan, dan detail pembayaran tetap termasuk di dalamnya.
Hukum mensyaratkan dasar pemrosesan yang sah untuk data apa pun, dan persetujuan adalah dasar yang paling umum dipakai UKM. Jika Anda belum pernah bertanya ke pelanggan apakah data mereka boleh digunakan untuk analisis atau pemrosesan berbantuan AI, Anda belum punya dasar itu.
Data Apa yang Tidak Boleh Ditempel ke Tools AI Publik?
Data pelanggan yang bisa mengidentifikasi orang tertentu, baik itu nama yang digabung dengan nomor telepon, alamat, maupun riwayat pesanan, tidak boleh sama sekali ditempel ke tools AI publik tanpa perjanjian pemrosesan data tingkat enterprise. Inilah inti praktis dari privasi data pelanggan saat memakai AI, dan di sinilah sebagian besar kebocoran benar-benar terjadi, bukan karena peretas, tapi karena staf yang berniat baik ingin bekerja lebih cepat.
Jangan pernah menempel ke ChatGPT, tier gratis Claude, tier gratis Gemini, atau tools AI mana pun tanpa perjanjian pemrosesan data tingkat enterprise:
- Nama lengkap pelanggan yang digabung dengan nomor telepon, alamat, atau riwayat pesanan
- Detail pembayaran, sekalipun hanya sebagian nomor kartu atau nomor rekening bank
- Nomor identitas (KTP, NPWP) dalam bentuk apa pun
- Informasi kesehatan atau medis tentang pelanggan atau karyawan
- Data HR internal, informasi gaji, penilaian kinerja karyawan
- Dataset apa pun yang diekspor langsung dari CRM atau POS tanpa anonimisasi
Yang umumnya aman untuk ditempel: data yang sudah dianonimkan atau diagregasi ("minggu lalu kami punya 340 transaksi dengan rata-rata Rp85.000"), draf teks dengan nama placeholder, pertanyaan umum soal proses atau redaksi kalimat.
Uji yang saya berikan ke klien: jika data itu akan memalukan Anda atau melanggar kepercayaan pelanggan seandainya muncul di screenshot yang beredar di media sosial, jangan masukkan ke tools AI publik.
Bagaimana Memilih Vendor AI dengan Ketentuan Pemrosesan Data yang Jelas?
Memilih vendor AI yang aman berarti mengecek dua hal utama: apakah vendor itu punya perjanjian pemrosesan data (DPA) yang sebenarnya, dan apakah data Anda secara default dipakai untuk melatih model mereka. Tidak semua tools AI membawa risiko yang sama, dan vendor yang bisa menjawab jelas kedua hal ini yang layak dipercaya untuk memegang data pelanggan Anda.
Sebelum mengadopsi tools AI apa pun yang akan menyentuh data pelanggan, periksa tiga hal berikut.
- Apakah ada tier enterprise atau bisnis dengan DPA? Tier gratis konsumen dari sebagian besar produk AI, secara default, bisa menggunakan input Anda untuk melatih model. Tier bisnis biasanya membuat Anda opt-out dan menawarkan ketentuan kontraktual.
- Di mana data diproses dan disimpan? Tanyakan langsung. Jika vendor tidak bisa menjawab, itu sudah jadi jawabannya.
- Bisakah Anda menghapus data atas permintaan? Anda butuh ini untuk memenuhi hak pelanggan Anda sendiri di bawah UU PDP jika mereka meminta datanya dihapus.
Jika Anda sedang membangun alur kerja AI custom alih-alih berlangganan tools generik, di sinilah perbandingan AI siap pakai vs alur kerja AI custom menjadi relevan. Alur kerja custom yang dibangun di atas infrastruktur Anda sendiri memberi Anda kendali jauh lebih besar atas ke mana sebenarnya data pelanggan mengalir.
Kebijakan Satu Halaman yang Bisa Dipakai Minggu Ini
Anda tidak butuh dokumen kepatuhan 40 halaman. Anda butuh sesuatu yang benar-benar akan dibaca staf. Berikut struktur yang saya berikan ke klien UKM.
| Bagian | Isi |
|---|---|
| Apa itu data pribadi | Nama, nomor telepon, alamat, nomor identitas, info pembayaran, data kesehatan |
| Jangan pernah ditempel ke AI publik | Semua data di atas, tanpa disamarkan, dalam bentuk chat AI apa pun |
| Aman untuk digunakan | Ringkasan yang dianonimkan, angka agregat, contoh dengan placeholder |
| Tools yang disetujui | Sebutkan tools AI spesifik dengan DPA tingkat bisnis yang sudah disetujui perusahaan |
| Siapa yang harus ditanya | Satu orang yang ditunjuk (pemilik, manajer operasional) untuk hal yang belum jelas |
| Apa yang dilakukan jika ragu | Jangan ditempel. Tanya dulu. |
Cetak, taruh di grup WhatsApp yang benar-benar dipakai staf, dan tinjau ulang setiap kuartal. Kebijakan yang hanya hidup di Google Doc yang tidak pernah dibuka tidak akan berfungsi.
Persetujuan dan Sistem yang Berhadapan dengan Pelanggan
Jika Anda mengumpulkan data pelanggan lewat website, program loyalitas, atau sistem POS, periksa apakah Anda punya mekanisme persetujuan yang jelas di titik pengumpulan data. Sebuah checkbox saat pendaftaran yang menyatakan bagaimana data akan digunakan, termasuk apakah tools AI memprosesnya, melindungi Anda secara hukum sekaligus membangun kepercayaan. Jika sistem Anda saat ini belum memikirkan hal ini sama sekali, ada baiknya membaca tujuh tanda bisnis Anda sudah melampaui spreadsheet, karena daftar pelanggan berbasis spreadsheet biasanya adalah tempat data paling tidak terkontrol dan paling sulit diaudit.
Kesimpulan Praktis
Privasi data pelanggan saat memakai AI bermuara pada tiga kebiasaan: tahu data mana yang sensitif, jangan pernah biarkan data itu masuk ke tools AI publik tanpa perjanjian tingkat bisnis, dan tuliskan aturannya agar staf tidak menerka-nerka. Semua ini tidak membutuhkan tim legal atau proyek kepatuhan bernilai ratusan juta, yang dibutuhkan hanya satu sore untuk menyusun kebijakan dan satu rapat untuk menjelaskan kenapa ini penting. Bisnis yang akhirnya kena masalah bukan yang berniat jahat, melainkan yang tidak pernah melakukan percakapan ini.
Bisnis yang akhirnya kena masalah bukan yang berniat jahat, melainkan yang tidak pernah melakukan percakapan ini. Ervandra Halim
