Memakai LLM untuk data pelanggan, apa kata UU PDP

Mengirim data pelanggan ke sebuah LLM, baik lewat chat maupun lewat API, bisa dihitung sebagai pemrosesan data pribadi menurut UU PDP (UU No. 27 Tahun 2022). Kewajibannya tidak hilang hanya karena datanya diproses oleh model AI, bukan oleh aplikasi biasa.

Kapan input ke LLM disebut data pribadi?

Data pribadi adalah data yang dapat mengidentifikasi seseorang, baik langsung (nama, NIK, nomor telepon) maupun tidak langsung (kombinasi data yang bila digabung mengarah ke satu orang). Jika prompt atau dokumen yang dikirim ke model memuat data semacam itu, aturan UU PDP berlaku, terlepas dari seberapa singkat data itu digunakan oleh model.

Ini berarti fitur sekecil apa pun, ringkasan tiket support, draf balasan email pelanggan, ekstraksi data dari dokumen, tetap masuk kategori pemrosesan data pribadi kalau isinya memuat data pelanggan.

Kapan itu dianggap transfer lintas batas?

UU PDP mengatur transfer data pribadi ke luar wilayah hukum Indonesia dengan syarat tambahan bagi pengendali data. Kalau LLM yang dipakai memproses permintaan di server luar negeri, data yang dikirim ke model itu berpindah yurisdiksi pada saat itu juga, meskipun aplikasi yang memanggilnya di-host di Indonesia.

Apakah sudah ada peraturan pelaksana UU PDP?

Sudah. Pemerintah menerbitkan peraturan pelaksana UU PDP, yaitu Peraturan Pemerintah Nomor 33 Tahun 2026, pada 16 Juli 2026, dengan masa transisi enam bulan sebelum berlaku efektif pada 16 Januari 2027. Dua bagian di dalamnya berkaitan langsung dengan pengiriman data pelanggan ke LLM. Pertama, PP ini mengubah prinsip transfer lintas batas di Pasal 56 UU PDP menjadi uji yang konkret: negara atau entitas penerima harus punya tingkat pelindungan yang setara atau lebih tinggi dari Indonesia, dan bila itu tidak bisa ditunjukkan, pengendali perlu perlindungan kontraktual yang mengikat atau persetujuan eksplisit dari subjek data sebagai gantinya. Kedua, penunjukan prosesor, yang terjadi saat perusahaan mengirim data ke penyedia model, sekarang harus melalui perjanjian tertulis yang mencakup ruang lingkup pemrosesan, cara pemrosesan, kategori data yang terlibat, dan hak audit.

Apa yang berubah kalau modelnya di-host di Indonesia?

Menjalankan model di dalam negeri menghapus satu kategori kewajiban: transfer lintas batas. Ini tidak otomatis membuat sebuah implementasi patuh UU PDP secara keseluruhan. Kewajiban lain tetap berlaku: dasar pemrosesan yang sah, informasi ke subjek data, batas retensi, dan keamanan data selama disimpan dan diproses.

Langkah praktis sebelum menghubungkan data pelanggan ke LLM

1. Petakan field mana yang benar-benar masuk ke prompt atau ke dokumen yang diunggah ke model.
2. Cek lokasi pemrosesan penyedia model: di dalam atau di luar Indonesia.
3. Tentukan dasar pemrosesan yang sah untuk use case tersebut sebelum fitur berjalan di produksi.
4. Terapkan retensi: log percakapan dan dokumen yang diunggah ke model perlu masa simpan yang jelas, bukan tersimpan tanpa batas waktu.
5. Minta bukti tertulis dari penyedia model, bukan klaim pemasaran, soal di mana data diproses dan disimpan.
6. Siapkan perjanjian pemrosesan tertulis dengan penyedia, yang mencakup ruang lingkup, cara pemrosesan, kategori data, dan hak audit, syarat yang diwajibkan PP 33/2026 saat menunjuk prosesor.
7. Pastikan seberapa cepat penyedia berkomitmen melaporkan insiden. Pengendali punya waktu 3x24 jam untuk memberi tahu subjek data yang terdampak dan lembaga pengawas setelah terjadi kegagalan pelindungan data pribadi, dan prosesor yang telat melapor mempersempit waktu itu.

Ini bukan nasihat hukum. Tim legal internal atau konsultan UU PDP tetap perlu menilai kasus spesifik.

Di mana IONext membantu?

IONext menjalankan inference dan hosting model open-weight dari data center di Jakarta, sehingga data yang dikirim ke model tidak meninggalkan Indonesia. Ini menghilangkan risiko transfer lintas batas untuk beban kerja yang dijalankan di ORBIT, tetapi tidak menggantikan kajian kepatuhan menyeluruh atas sistem yang dibangun di atasnya. Nomor sertifikat, lokasi data, dan kontrol keamanannya sendiri dipublikasikan di halaman Keamanan dan Kepatuhan, jenis bukti yang diminta poin lima kepada penyedia mana pun. Tim bisa mendaftar dan mencobanya langsung. System integrator yang membawa proyek seperti ini ke klien perbankan, BUMN atau pemerintah bisa bekerja sama lewat Program Mitra IONext untuk system integrator.