PP 33/2026: Dampak untuk Proyek AI

Peraturan Pemerintah Nomor 33 Tahun 2026 adalah aturan pelaksana UU Pelindungan Data Pribadi (UU No. 27/2022). PP ini diundangkan 16 Juli 2026 dan mulai berlaku 16 Januari 2027. Bagi system integrator, software house, dan AI builder, dampaknya langsung terasa: klien akan mulai menanyakan DPIA, daftar sub-prosesor, lokasi pemrosesan data, dan jalur tinjauan manusia di setiap proyek AI.

Artikel ini untuk tim yang membangun solusi AI bagi klien enterprise di Indonesia, seperti chatbot layanan pelanggan, pemrosesan dokumen, computer vision, scoring, atau agen AI internal. Tujuannya praktis: menyiapkan jawaban sebelum pertanyaan itu muncul di RFP berikutnya.

Apa itu PP 33/2026 dan kapan mulai berlaku?

PP 33/2026 berisi 225 pasal dalam 12 bab. Isinya mengoperasionalkan kewajiban UU PDP: dasar pemrosesan, hak subjek data, penilaian dampak pelindungan data (DPIA), pejabat pelindungan data pribadi (PPDP), transfer data ke luar negeri, hingga sanksi administratif. Pasal 225 menetapkan PP ini berlaku enam bulan setelah diundangkan, yaitu 16 Januari 2027.

UU PDP menetapkan apa yang wajib dilakukan. PP 33/2026 mengatur bagaimana kewajiban itu dijalankan dan bagaimana organisasi membuktikannya. Untuk proyek AI, kata kuncinya adalah pembuktian: dokumen, catatan pemrosesan, dan jejak keputusan yang bisa diperiksa.

Mengapa ini urusan system integrator, bukan hanya tim legal klien?

Dalam kerangka UU PDP, klien berperan sebagai Pengendali Data Pribadi. Saat sebuah tim membangun dan mengoperasikan sistem AI yang memproses data pelanggan atau karyawan klien, posisinya umumnya adalah Prosesor Data Pribadi. Setiap layanan pihak ketiga dalam arsitektur, misalnya API model bahasa, vector database berbasis SaaS, layanan observability, atau penyedia GPU cloud, dapat berperan sebagai sub-prosesor.

PP 33/2026 membuat hubungan ini lebih formal. Perjanjian penunjukan prosesor wajib memuat sejumlah muatan minimum, dan penggunaan sub-prosesor memerlukan persetujuan tertulis dari pengendali (Pasal 14 dan 15). Prosesor juga wajib melaporkan kegagalan pelindungan data kepada pengendali pada kesempatan pertama.

Artinya, pilihan arsitektur yang dulu dianggap keputusan teknis internal tim kini harus bisa dijelaskan, disetujui, dan didokumentasikan bersama klien.

Lima pertanyaan yang akan muncul di RFP proyek AI

1. Apakah proyek ini memerlukan DPIA?

Kemungkinan besar, ya. UU PDP Pasal 34 mewajibkan penilaian dampak untuk pemrosesan berisiko tinggi. PP 33/2026 merinci keadaan yang tergolong berisiko tinggi (Pasal 120 sampai 122), antara lain keputusan otomatis yang berdampak signifikan, pemrosesan skala besar, profiling atau scoring, dan penggunaan teknologi baru. Bagian Penjelasan PP menyebut kecerdasan buatan dan machine learning sebagai contoh teknologi baru.

DPIA adalah kewajiban pengendali, tetapi isinya bergantung pada informasi dari tim pembangun: data apa yang masuk ke model, di mana diproses, berapa lama disimpan, dan kontrol apa yang berlaku. Tim yang bisa menyerahkan informasi itu dalam format rapi akan lebih cepat lolos evaluasi.

2. Siapa saja sub-prosesor dalam arsitektur?

Buat daftarnya sekarang, sebelum klien memintanya. Satu aplikasi RAG sederhana bisa melibatkan banyak layanan: penyimpanan dokumen, model embedding, vector database, model bahasa, logging, monitoring, dan backup. Setiap layanan perlu tercatat, termasuk lokasi pemrosesannya.

3. Di mana data diproses, termasuk prompt dan log?

Pertanyaan ini paling sering dijawab terlalu cepat. Data sumber mungkin tersimpan di Jakarta, tetapi prompt yang berisi data pelanggan bisa dikirim ke API model di luar negeri, dan log percakapan bisa masuk ke layanan monitoring di region lain.

UU PDP Pasal 56 mengatur transfer data pribadi ke luar wilayah hukum Indonesia. PP 33/2026 menetapkan mekanisme berjenjang (Pasal 165): negara tujuan dengan tingkat pelindungan setara, lalu pelindungan yang memadai dan mengikat seperti klausul kontrak standar, lalu persetujuan subjek data dengan syarat ketat. Sebelum transfer, pengendali wajib melakukan penilaian risiko (Pasal 162 sampai 164).

Per akhir September 2026, Lembaga Pelindungan Data Pribadi belum terbentuk. Daftar negara setara, klausul kontrak standar, dan panduan penilaian risikonya belum tersedia. Memakai API model di luar negeri tidak otomatis melanggar aturan, tetapi jalur kepatuhannya saat ini paling banyak mengandung ketidakpastian. Memproses data di dalam negeri adalah opsi dengan pertanyaan terbuka paling sedikit. Untuk gambaran praktis sebelum menghubungkan data pelanggan ke LLM, baca juga Memakai LLM untuk data pelanggan, apa kata UU PDP.

4. Bagaimana keputusan otomatis bisa ditinjau manusia?

UU PDP Pasal 10 memberi subjek data hak mengajukan keberatan atas keputusan yang semata-mata didasarkan pada pemrosesan otomatis. PP 33/2026 memperjelas prosedur keberatannya, termasuk pemulihan berupa campur tangan manusia. Jika sistem memberi skor kredit, menyaring kandidat, atau menyetujui klaim, klien membutuhkan jalur eskalasi ke manusia yang benar-benar berfungsi, bukan sekadar tombol di antarmuka.

Untuk klien perbankan, prinsip ini sejalan dengan Tata Kelola Kecerdasan Artifisial Perbankan Indonesia dari OJK, yang menekankan akuntabilitas, pengawasan manusia, dan keandalan di sepanjang siklus hidup AI.

5. Jika terjadi insiden, seberapa cepat bisa dilaporkan?

UU PDP Pasal 46 mewajibkan pengendali memberi tahu subjek data dan Lembaga paling lambat 3 x 24 jam setelah terjadi kegagalan pelindungan data pribadi. Karena pengendali bergantung pada laporan tim prosesor, runbook insiden harus bergerak lebih cepat dari itu. Pastikan log akses, jejak prompt, dan catatan perubahan konfigurasi tersedia dan bisa ditelusuri.

Keputusan arsitektur dan kewajiban yang terkait

Keputusan arsitektur	Kewajiban yang terkait	Yang perlu disiapkan
Memilih API model bahasa	Sub-prosesor, transfer lintas negara	Lokasi pemrosesan, persetujuan tertulis klien
Menyimpan dokumen dan embedding	Keamanan data, retensi	Lokasi penyimpanan, kebijakan retensi, enkripsi
Mencatat prompt dan respons	Catatan pemrosesan, penanganan insiden	Masa simpan log, kontrol akses, lokasi log
Memakai AI untuk keputusan atas individu	Hak keberatan, DPIA	Jalur tinjauan manusia, dokumentasi logika keputusan
Memakai layanan monitoring SaaS	Sub-prosesor, transfer lintas negara	Data apa yang dikirim dan ke mana

Apa yang masih belum pasti?

PP 33/2026 mendelegasikan sejumlah ketentuan teknis kepada Peraturan Lembaga, termasuk pedoman DPIA dan klausul kontrak standar untuk transfer data. Lembaganya sendiri belum beroperasi. Namun ketentuan peralihan PP (Pasal 223) menegaskan bahwa sebelum Peraturan Lembaga terbit, pemrosesan tetap tunduk pada PP ini.

Sikap yang masuk akal adalah membangun fondasinya sekarang dan menyesuaikan detailnya saat aturan turunan terbit. Menunggu kepastian penuh berarti baru mulai bersiap setelah tenggat lewat.

Checklist tim delivery sebelum 16 Januari 2027

1. Inventarisasi semua proyek AI aktif yang memproses data pribadi klien.
2. Petakan alur data per proyek, termasuk prompt, embedding, log, dan backup.
3. Susun daftar sub-prosesor beserta lokasi pemrosesannya, lalu minta persetujuan tertulis klien.
4. Siapkan paket informasi DPIA untuk klien: tujuan, jenis data, lokasi, masa simpan, dan kontrol keamanan.
5. Bangun jalur tinjauan manusia untuk setiap keputusan otomatis yang berdampak pada individu.
6. Tulis runbook insiden dengan target pelaporan ke klien jauh di bawah 3 x 24 jam.
7. Perbarui template proposal dan kontrak agar pertanyaan di atas sudah terjawab sejak awal.

Di mana IONext berperan

IONext adalah infrastruktur AI berdaulat yang di-host di Indonesia. Untuk proyek yang memproses data pribadi, IONext menyediakan komputasi GPU, managed inference melalui API yang kompatibel dengan OpenAI, dan hosting model open-weight, dengan pemrosesan dan penyimpanan di Jakarta. PT Data Awan Nusantara, operator IONext, bersertifikat ISO/IEC 27001:2022 dari TÜV NORD (Nomor Sertifikat 01 07 E 26000410). Detail sertifikasi dan posisi IONext terkait UU PDP tersedia di halaman Keamanan dan Kepatuhan.

Batasnya perlu disampaikan dengan jujur. Infrastruktur di dalam negeri menyederhanakan pertanyaan tentang lokasi dan transfer data, tetapi tidak membuat proyek otomatis patuh. Kewajiban DPIA, dasar pemrosesan, dan pemenuhan hak subjek data tetap berada pada pengendali dan harus dijalankan dengan benar. Tim bisa mendaftar dan mencoba ORBIT, workspace untuk membangun dan memantau infrastruktur AI, bersama IONA, lapisan operational intelligence yang membaca kondisi produksi dan merekomendasikan langkah berikutnya. System integrator yang membawa proyek seperti ini ke klien perbankan, BUMN atau pemerintah bisa bekerja sama lewat Program Mitra IONext untuk system integrator.

Pertanyaan yang sering diajukan

Kapan PP 33/2026 mulai berlaku? 16 Januari 2027, enam bulan setelah diundangkan pada 16 Juli 2026.

Apakah memakai API LLM di luar negeri dilarang? Tidak otomatis dilarang. Transfer data pribadi ke luar negeri diizinkan dengan syarat, tetapi instrumen pendukungnya, seperti daftar negara setara dan klausul kontrak standar, belum diterbitkan karena Lembaga PDP belum terbentuk.

Apakah sertifikasi ISO/IEC 27001 cukup untuk memenuhi PP 33/2026? Tidak. ISO/IEC 27001 memperkuat keamanan informasi, tetapi kepatuhan PDP juga mencakup dasar pemrosesan, hak subjek data, DPIA, dan dokumentasi yang harus dipetakan tersendiri.

Sumber

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
• PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022 (Lembaran Negara RI Tahun 2026 Nomor 88)
• OJK, Tata Kelola Kecerdasan Artifisial Perbankan Indonesia
• Kompas.id, Peraturan Pelaksana UU PDP Akhirnya Terbit, Lembaga Pengawas Masih Dinanti
• CNBC Indonesia, Data Warga RI Banyak Disimpan di Luar Negeri, Pakar Ingatkan Soal Ini

Artikel ini merupakan penjelasan umum dan bukan nasihat hukum. Untuk kebutuhan kepatuhan, rujuk naskah resmi peraturan dan konsultasikan dengan penasihat hukum.