Bayangkan seorang karyawan di bagian personalia menyalin daftar gaji dan Nomor Induk Kependudukan (NIK) karyawan ke ChatGPT untuk membuat laporan kompensasi dengan cepat. Tanpa sengaja, data sensitif itu kini telah meninggalkan lingkungan aman perusahaan dan tersimpan di server pihak ketiga .

Kejadian seperti ini bukanlah cerita fiksi—ini nyata dan sudah terjadi di berbagai perusahaan. Pertanyaan besarnya: siapa yang bertanggung jawab secara hukum jika ini terjadi?

Jawaban singkatnya: Perusahaanlah yang memikul tanggung jawab utama, bukan karyawan yang memasukkan data, dan bukan pula penyedia AI seperti OpenAI atau Google.

Mari kita bedah mengapa demikian.

1. AI Bukan Subjek Hukum

Hukum di Indonesia dan negara lain sepakat bahwa AI bukanlah subjek hukum. AI hanyalah sebuah alat, instrumen teknologi yang digunakan manusia untuk memproses data .

Undang-Undang Informasi dan Transaksi Elektronik (UU ITE) di Indonesia mengkategorikan AI sebagai “agen elektronik”—bukan entitas yang bisa dimintai pertanggungjawaban di pengadilan . Begitu pula di Inggris dan Eropa, AI tidak bisa digugat secara independen karena ia bukan “orang” di mata hukum .

Akibatnya, jika terjadi kebocoran data karena kesalahan AI atau kelalaian pengguna, tanggung jawab tidak bisa dilimpahkan ke mesin.

2. Prinsip “Respondeat Superior”: Majikan Bertanggung Jawab atas Bawahannya

Hukum perdata Indonesia menganut prinsip tanggung gugat majikan (Pasal 1367 KUH Perdata). Artinya, segala kerugian atau pelanggaran hukum akibat kelalaian karyawan menjadi beban perusahaan selaku pemberi kerja .

Dengan kata lain:

Jika karyawan memasukkan data rahasia ke AI publik dan terjadi kebocoran, perusahaanlah yang harus bertanggung jawab secara hukum—bukan karyawan yang mengetikkan prompt, dan bukan penyedia AI.

Prinsip yang sama berlaku di negara-negara dengan perlindungan data seperti Inggris dan Eropa .

3. Tanggung Jawab Berlapis: Perusahaan Sebagai Pengendali Data

Di Indonesia, UU Perlindungan Data Pribadi (UU PDP) No. 27 Tahun 2022 menegaskan bahwa tanggung jawab berada di pihak yang menentukan tujuan dan cara pemrosesan data—yaitu perusahaan sebagai pengendali data .

Yang menjadi objek pengaturan UU PDP adalah aktivitas pemrosesan data, bukan teknologi AI-nya . Jika AI digunakan untuk memproses data pribadi tanpa dasar hukum yang sah, perusahaan yang melanggar aturan.

Sanksi UU PDP:

  • Denda administratif hingga miliaran rupiah

  • Potensi sanksi pidana 

Di Eropa, EU AI Act bahkan mengenakan denda hingga €35 juta atau 7% dari omzet global untuk pelanggaran tertentu .

4. Bagaimana dengan Tanggung Jawab Penyedia AI?

Banyak orang keliru mengira bahwa penyedia AI seperti OpenAI atau Google harus bertanggung jawab jika data bocor. Faktanya, dalam perjanjian layanan (Terms of Service) mereka, hampir seluruh tanggung jawab operasional dan hukum dialihkan ke pengguna atau perusahaan yang mengintegrasikan model AI mereka .

Yang penting diketahui:

  • Penyedia hanya memberikan kompensasi terbatas untuk akun Enterprise/API—itu pun hanya untuk pelanggaran hak kekayaan intelektual .

  • Halusinasi AI, kebocoran data, dan kesalahan faktual tidak tercakup dalam perjanjian layanan .

  • Perusahaan tidak bisa mengaudit model dasar AI, tidak punya akses ke dokumentasi teknis internal yang dibutuhkan untuk kepatuhan, dan tidak bisa menegosiasikan klausul tanggung jawab bersama .

Kesimpulannya: Perusahaan tidak bisa begitu saja menyalahkan penyedia AI jika terjadi insiden.

5. Tanggung Jawab Jajaran Direksi

Dari perspektif manajemen perusahaan, jajaran direksi tidak bisa berlindung di balik “Business Judgment Rule” jika terjadi kerugian material akibat kelalaian pengawasan penggunaan AI .

Doktrin “Culpa in Vigilando” (kelalaian dalam pengawasan) dapat membatalkan perlindungan bagi direktur jika mereka terbukti pasif dan membiarkan penggunaan AI publik tanpa kebijakan internal yang memadai . Artinya, jika perusahaan tidak memiliki aturan jelas tentang penggunaan AI dan terjadi kebocoran, direksi bisa dianggap lalai.

6. Kewajiban Perusahaan: Memberikan Literasi AI

Regulasi internasional, seperti EU AI Act Pasal 4, mewajibkan perusahaan untuk memastikan semua personel yang terlibat dalam pengoperasian AI memiliki literasi AI yang memadai—pengetahuan, keterampilan, dan pemahaman tentang risiko AI (termasuk potensi halusinasi ChatGPT) .

Kewajiban ini berlaku untuk semua penggunaan AI, apapun tingkat risikonya, dan mulai berlaku sejak 2 Februari 2025 .

Pesan penting: Perusahaan harus:

  • Melakukan pelatihan bagi karyawan tentang risiko penggunaan AI publik

  • Menyediakan aturan yang jelas tentang AI apa yang boleh digunakan

  • Menyediakan alternatif AI internal yang aman 

7. Bagaimana Jika Karyawan Melanggar Aturan?

Meskipun perusahaan menanggung beban hukum utama, karyawan yang melanggar kebijakan internal tetap bisa dikenai sanksi—mulai dari teguran hingga pemutusan hubungan kerja, tergantung kebijakan perusahaan .

Namun secara hukum, tanggung jawab terhadap regulator dan pihak yang dirugikan tetap berada di pundak perusahaan .

Kesimpulan: Perusahaan Tidak Bisa Pura-Pura Tidak Tahu

Di era AI, ketidaktahuan atau kelalaian perusahaan bukanlah alasan yang sah. Jika data rahasia masuk ke AI publik karena karyawan tidak teredukasi atau karena perusahaan tidak memiliki kebijakan yang jelas, perusahaanlah yang akan membayar—secara finansial dan reputasi.

Langkah-langkah yang harus segera diambil perusahaan:

  1. Buat kebijakan AI yang tegas—larang penggunaan AI publik untuk data sensitif .

  2. Sediakan alternatif aman—seperti AI internal dengan perlindungan data .

  3. Edukasi seluruh karyawan—jelaskan risiko dan aturan mainnya .

  4. Aktifkan alat pengawasan—seperti Data Loss Prevention (DLP) untuk mencegah data sensitif keluar .

Related Posts: