Diskursus mengenai Artificial Intelligence (AI) dan pelindungan data pribadi saat ini kerap dimulai dari premis yang kurang tepat: “Apa legal basis untuk AI?” Pertanyaan ini terdengar wajar, tetapi secara konseptual ia keliru sejak awal. Dalam rezim Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP), yang menjadi objek pengaturan bukanlah teknologi, melainkan pemrosesan data pribadi.
AI bukanlah suatu tindakan hukum dan bukan merupakan subjek hukum yang dapat dibebani pertanggunjawaban. Sementara itu AI tidak termasuk dalam aktivitas pemrosesan dalam UU PDP. AI adalah alat, sebuah instrumen teknologi yang dapat digunakan dalam berbagai tahapan pemrosesan data. Dengan demikian, yang membutuhkan dasar hukum bukanlah “AI” itu sendiri, melainkan setiap tindakan pemrosesan data pribadi yang dilakukan dengan bantuan AI.
Perbedaan ini bukan semantik. Ia menentukan arah diskursus, kerangka analisis, dan pada akhirnya, kualitas kepatuhan.
Legal Basis Melekat pada Aktivitas, Bukan Sistem
UU PDP mengenal sejumlah dasar pemrosesan data pribadi. Dasar tersebut berupa persetujuan, pelaksanaan perjanjian, kewajiban hukum, kepentingan vital, tugas kepentingan umum, dan kepentingan yang sah. Masing-masing dirancang untuk memvalidasi atau membenarkan suatu kegiatan pemrosesan dalam konteks tertentu.
Masalah muncul ketika legal basis atau dasar pemrosesan tersebut dilekatkan pada “sistem AI” secara keseluruhan. Dalam praktik, satu sistem AI dapat melibatkan berbagai jenis aktivitas pemrosesan yang secara hukum tidak dapat dipersamakan satu dengan yang lainnya.
Ambil contoh sistem credit scoring berbasis machine learning di sektor keuangan. Dalam siklus hidupnya, setidaknya terdapat beberapa tahapan:
- Pengumpulan data awal nasabah;
- Pelatihan model menggunakan data historis;
- Pengujian dan validasi model;
- Implementasi model untuk menghasilkan skor risiko;
- Monitoring dan perbaikan model secara berkala;
- Penyimpanan dan pengarsipan data serta log keputusan yang diambil.
