Setiap tahapan tersebut melibatkan pemrosesan data pribadi yang berpotensi memiliki dasar pemrosesan yang berbeda. Perbedaan tersebut dapat membawa perbedaan pada prinsip pelindungan data yang berbeda pula.
Misalnya, pengumpulan data dapat didasarkan pada pelaksanaan perjanjian atau kewajiban hukum. Pelatihan model mungkin memerlukan analisis kompatibilitas tujuan. Implementasi model untuk menghasilkan keputusan otomatis memunculkan isu hak subjek data. Monitoring sistem bisa masuk dalam kerangka kepentingan yang sah atau kewajiban tata kelola risiko. Dengan demikian, diskursus pelindungan data pribadi mengenai “legal basis untuk AI” secara umum cenderung menyederhanakan realitas normatif yang kompleks.
Prinsip Pembatasan Tujuan dan Risiko Function Creep
Salah satu aspek penting dalam pemanfaatan AI adalah prinsip pembatasan tujuan (purpose limitation). UU PDP menegaskan bahwa pemrosesan data pribadi harus dilakukan untuk tujuan tertentu dan sah. Data tersebut tidak boleh diproses secara tidak sesuai dengan tujuan tersebut.
Dalam konteks AI, tantangan utama muncul pada tahap pelatihan model (model training). Data yang dikumpulkan untuk menyediakan layanan tertentu seringkali digunakan kembali untuk meningkatkan model atau mengembangkan fitur baru. Di sinilah muncul risiko terjadinya pergeseran atau perluasan penggunaan data yang melampaui tujuan awal.
Pertanyaan hukumnya kini bukan lagi apakah data diperoleh secara sah, melainkan apakah penggunaan lanjutan tersebut kompatibel atau masih sejalan dengan tujuan awal pengumpulan.
GDPR mengatur isu kompatibilitas secara eksplisit dalam Article 6(4). Jika pengendali data ingin memproses data pribadi untuk tujuan yang berbeda dari tujuan awal pengumpulan, maka ia wajib melakukan compatibility assessment.
Dalam asesmen kompatibilitas tersebut Pengendali wajib mempertimbangkan:
- Hubungan antara tujuan awal dan tujuan baru
- Konteks pengumpulan data, termasuk relasi antara subjek data dan pengendali
- Sifat data pribadi, terutama apakah termasuk kategori khusus (sensitive data)
- Kemungkinan konsekuensi bagi subjek data
- Adanya safeguard yang memadai, seperti enkripsi atau pseudonimisasi
