Ditolak AI? Bukan Dukun yang Bertindak

Ditolak AI? Bukan Dukun yang Bertindak

Penggunaan Artificial Intelligence (AI) di organisasi untuk layanan semakin luas, misalnya AI untuk proses rekrutmen, penilaian kredit, deteksi fraud, asuransi, layanan kesehatan, dan penentuan harga di aplikasi shopping.

Ketika AI sudah ikut terlibat dalam menentukan nasib seseorang, persoalannya bukan lagi sekadar apakah model bekerja, tetapi apakah keputusan tersebut dapat dijelaskan, dipertanyakan kebenarannya, dan dipertanggungjawabkan.

Hal ini tertulis jelas dalam Pasal 93–96 PP No. 33 Tahun 2026, Peraturan Pelaksanaan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.

Keempat pasal tersebut membentuk serangkaian tata kelola:

Pasal 93 memberikan hak untuk keberatan. Pasal 94 mewajibkan mekanisme respons dan alternatif. Pasal 95 membatasi alasan penolakan keberatan. Pasal 96 membuka ruang pengaturan teknis lebih lanjut.

Hak untuk Menolak Keputusan yang Sepenuhnya Otomatis

Pasal 93 menjelaskan hak kepada Subjek Data Pribadi untuk mengajukan keberatan terhadap keputusan yang hanya didasarkan pada pemrosesan otomatis, termasuk pemrofilan, apabila keputusan tersebut menimbulkan akibat hukum atau dampak signifikan.

Beberapa contoh keputusan otomatis di antaranya:

• kandidat ditolak dalam proses rekrutmen;
• permohonan kredit tidak disetujui;
• premi asuransi ditetapkan lebih tinggi;
• transaksi atau akun diblokir;
• seseorang tidak memperoleh layanan atau bantuan tertentu.

Pasal ini tidak melarang seluruh penggunaan AI dalam pengambilan keputusan. Akan tetapi, organisasi sudah tidak dapat memperlakukan hasil keluaran AI sebagai keputusan final yang tidak dapat dijelaskan, dipertanyakan, dan dipertanggungjawabkan.

Keberatan Harus Ditangani melalui Mekanisme dan Prosedur yang Jelas

Pasal 94 mengharuskan Pengendali Data Pribadi memiliki mekanisme untuk menanggapi keberatan. Organisasi juga harus memberikan informasi yang memadai dan cukup mengenai teknologi yang digunakan dan konsekuensi yang akan dialami Subjek Data Pribadi.

Informasi yang memadai bukan berarti harus membuka seluruh source code atau rahasia perusahaan. Tidak cukup hanya mengatakan:

“Keputusan ini dihasilkan oleh sistem.”

Subjek Data setidaknya perlu memahami:

• peran sistem otomatis;
• faktor utama yang memengaruhi keputusan;
• konsekuensi keputusan;
• keterbatasan sistem; dan
• cara mengajukan keberatan.

Apabila keberatan telah diverifikasi dan diterima, organisasi harus menyediakan alternatif pemrosesan yang melibatkan manusia dan/atau tidak didasarkan pada hasil pemrosesan otomatis.

Keterlibatan manusia ini tidak boleh sekadar formalitas. Reviewer (penelaah) harus memiliki kompetensi, informasi, waktu, dan kewenangan untuk menilai kembali serta mengubah keputusan.

Jika manusia hanya menekan tombol “approve” terhadap rekomendasi AI, mekanisme tersebut belum tentu dapat dianggap sebagai meaningful human oversight atau human review.

Kapan Organisasi Dapat Menolak Pengajuan Keberatan?

Pasal 95 memberikan ruang bagi Pengendali Data Pribadi untuk menolak keberatan, tetapi dengan persyaratan yang sangat ketat dan kumulatif:

• tidak terdapat akibat hukum dan/atau dampak signifikan bagi Subjek Data Pribadi; dan
• sistem memiliki akurasi yang sangat baik serta sistem mitigasi untuk menghindari dampak.

Di sinilah muncul pertanyaan interpretatif yang menarik. Pasal 93 berbicara tentang keputusan yang menimbulkan akibat hukum atau dampak signifikan, sementara Pasal 95 memungkinkan penolakan apabila dampak tersebut tidak ditemukan.

Ketentuan ini dapat dibaca sebagai kewajiban bagi organisasi untuk menguji apakah dampak yang dipermasalahkan benar-benar memenuhi batas/ambang akibat hukum atau dampak signifikan.

Kesimpulan tersebut tidak boleh dibuat hanya berdasarkan persepsi internal organisasi. Penilaiannya harus kontekstual, terdokumentasi, dan didukung berbagai bukti.

Dalam kasus rekrutmen, misalnya, kehilangan kesempatan kerja sangat mungkin merupakan dampak signifikan. Karena syarat Pasal 95 bersifat kumulatif, organisasi tidak dapat menolak keberatan hanya dengan menunjukkan bahwa model AI yang digunakan sangat akurat.

Jika syarat pertama tidak terpenuhi, tingginya akurasi tidak menyelamatkan keputusan tersebut.

Apa Arti “Akurasi Sistem yang Sangat Baik”?

Pasal 95 tidak menentukan angka akurasi secara eksplisit. Karena itu, akurasi 95% atau 99% tidak otomatis menjadi legal safe harbor.

Misalkan sebuah sistem rekrutmen dengan akurasi keseluruhan 99%, tetapi akurasinya hanya 56% untuk kandidat penyandang disabilitas. Apakah sistem tersebut masih dapat disebut memiliki akurasi yang sangat baik?

Dalam hal ini, satu angka agregat jelas tidak cukup dalam menjelaskan “sangat baik”.

Organisasi perlu menilai:

• jenis kesalahan;
• performa pada berbagai kelompok data;
• false acceptance dan false rejection;
• kualitas serta keterwakilan data;
• ketidakpastian model;
• kondisi penggunaan yang jelas; dan
• konsekuensi dari setiap kesalahan yang dihasilkan oleh model/sistem AI.

Definisi “sangat baik” juga seharusnya ditentukan sebelum sistem digunakan dan sebelum keberatan muncul, bukan dibuat setelah insiden terjadi agar tidak seolah-olah melakukan pembenaran terhadap keputusan yang sudah diambil.

Dengan demikian, akurasi bukan hanya persoalan matematika. Ia merupakan keputusan governance (tata kelola) yang menghubungkan metrik teknis dengan konteks, hak individu, dan tingkat risiko yang dapat diterima.

Mitigasi Harus Benar-Benar Bekerja, Bukan Hanya Terdokumentasi

Pasal 95 juga mensyaratkan adanya sistem mitigasi untuk menghindari dampak bagi Subjek Data Pribadi.

Mitigasi bukan sekadar SOP, model card, atau tombol override yang tidak pernah diuji secara nyata. Organisasi perlu menunjukkan bahwa mitigasi benar-benar diterapkan dan efektif, misalnya melalui:

• pengujian model dan data sebelum deployment;
• pengujian performa berbagai representasi kelompok;
• pembatasan penggunaan sistem;
• human review dan override;
• monitoring error, bias, dan data drift;
• penghentian otomatis ketika performa melewati ambang;
• kanal keberatan yang mudah diakses;
• koreksi keputusan dan pemulihan bagi pihak terdampak; dan
• audit trail atas model, data, threshold, dan keputusan.

Bahkan ketika keberatan ditolak, Pasal 95 tetap mempertahankan hak Subjek Data untuk menarik kembali persetujuan apabila pemrosesan tersebut memang didasarkan pada persetujuan.

Pengendali juga wajib memberitahukan penolakan kepada Subjek Data.

Artinya, penolakan tidak boleh dilakukan secara diam-diam atau sembunyi-sembunyi oleh sistem.

Bukan Dukun yang Dibutuhkan Organisasi, tapi AI Governance

Pasal 93–96 menunjukkan bahwa kepatuhan tidak dapat dibebankan hanya kepada data scientist, vendor teknologi, atau DPO.

Organisasi membutuhkan tata kelola AI untuk menetapkan:

• sistem AI apa saja yang digunakan;
• siapa yang menjadi pemilik risiko dan keputusan;
• penggunaan mana yang memiliki dampak tinggi;
• kapan impact assessment dan DPIA diperlukan;
• metrik dan ambang performa yang harus dipenuhi;
• siapa yang melakukan validasi independen;
• kapan human review wajib diberikan;
• kapan sistem harus dibatasi, dihentikan, atau diperbaiki; dan
• bukti apa yang harus disimpan untuk menunjukkan akuntabilitas.

Pendekatan tersebut sejalan dengan prinsip yang terdapat dalam ISO/IEC 42001 mengenai sistem manajemen AI, ISO/IEC 23894 mengenai manajemen risiko AI, ISO/IEC 42005 mengenai AI system impact assessment, serta NIST AI Risk Management Framework melalui fungsi govern, map, measure, dan manage.

Penerapan standar tidak otomatis membuktikan kepatuhan terhadap Pasal 93–96. Standar membantu organisasi membangun proses dan bukti. Penilaian hukumnya tetap bergantung pada sistem, konteks penggunaan, dan dampak yang dialami oleh manusia.

Pasal 96 menyatakan bahwa ketentuan lebih lanjut mengenai pemrosesan otomatis akan diatur dalam Peraturan Lembaga. Tetapi organisasi seharusnya tidak menunggu untuk membangun governance (tata kelola) yang baik.

Pertanyaan yang Perlu Kita Lontarkan Saat Ini

Pertanyaan yang perlu kita lontarkan saat ini bukan lagi hanya:

“Apakah model AI kita akurat?”

Namun:

“Jika keputusan otomasi ini dipertanyakan, apakah organisasi mampu menjelaskan teknologinya, membuktikan kinerjanya, menyediakan intervensi manusia, menunjukkan efektivitas mitigasi, dan mempertanggungjawabkan dampaknya?”

Di situlah AI governance (Tata Kelola AI) berubah dari best practice menjadi sebuah kebutuhan bagi organisasi.

#AIGovernance #ResponsibleAI #PelindunganDataPribadi #DataProtection #AIImpactAssessment #AIRiskManagement #AIAccountability #HumanOversight #TataKelolaAI #DataGovernance #DigitalGovernance #ArtificialIntelligence #APDATIKNAS