Kalau ada dari tim Anda yang bertanya “bolehkah kita pakai ChatGPT atau Copilot untuk menyaring ratusan CV pelamar?”, jawaban adalah: tidak ada satu pasal pun di Indonesia yang secara eksplisit dapat menjawab pertanyaan itu.
Indonesia belum memiliki undang-undang khusus yang meregulasi penggunaan AI untuk proses lamaran kerja. Yang ada adalah tiga lapisan aturan dengan kekuatan hukum yang berbeda. Justru, ketimpangan ini yang paling sering disalahpahami tim HR dan legal di banyak perusahaan.
Bagaimana panduan kepatuhan AI yang ideal untuk HR? Kami akan membahasnya di artikel berikut ini.
Tiga Lapisan Aturan yang Jadi Panduan
Lapisan pertama adalah UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) yang sudah berlaku penuh dan mengikat sejak 17 Oktober 2024.
Ini merupakan undang-undang yang sudah berjalan dengan sanksi sungguhan, tapi tidak satu pun pasalnya menyebut kata “kecerdasan artifisial”. UU PDP mengatur data pribadi, bukan teknologi yang memprosesnya, sehingga penerapannya ke AI harus diturunkan sendiri oleh setiap perusahaan.
Lapisan kedua, Surat Edaran Menkominfo No. 9 Tahun 2023 tentang Etika Kecerdasan Artifisial, secara eksplisit membahas AI. Namun sifatnya surat edaran, bukan undang-undang atau peraturan pemerintah, sehingga secara hukum tidak mengikat sehingga hanya berupa panduan etika, bukan kewajiban yang bisa dituntutkan.
Lapisan ketiga, Rancangan Peraturan Presiden (Perpres) tentang Etika Kecerdasan Artifisial, adalah aturan yang benar-benar dirancang untuk mengisi kekosongan ini secara mengikat.
Konsepnya sudah dipublikasikan Komdigi untuk konsultasi publik sejak Agustus 2025, pembahasan lintas kementerian sudah dirampungkan Mei 2026, dan drafnya bahkan sudah direvisi lagi pertengahan 2026 setelah masukan dari asosiasi bisnis internasional. Tapi, Perpres tersebut masih menunggu tanda tangan Presiden dan belum resmi berlaku.
Jadi posisi dari banyak perusahaan di Indonesia saat ini adalah: satu-satunya kewajiban hukum yang benar-benar mengikat soal AI-in-HR datang dari undang-undang yang tidak dirancang untuk AI, sementara aturan yang dirancang khusus untuk AI belum punya kekuatan memaksa.
Inilah yang membuat kepatuhan AI di HR terasa membingungkan dan inilah alasan panduan ini disusun sebagai panduan sederhana untuk mengambil keputusan di tengah ketidakpastian tersebut.
Sekilas Angka yang Perlu Anda Ketahui
- 2% dari pendapatan tahunan — denda administratif maksimal UU PDP (Pasal 57 ayat 2), di luar sanksi pidana yang bisa mencapai penjara 6 tahun dan denda hingga Rp6 miliar untuk pelanggaran berat seperti penggunaan data tanpa izin.
- 3 x 24 jam — batas waktu wajib bagi pengendali data untuk memberi tahu subjek data dan lembaga pengawas jika terjadi kegagalan pelindungan data pribadi (Pasal 46 UU PDP) — termasuk jika kebocoran terjadi lewat vendor AI pihak ketiga yang Anda pakai.
- 443 orang — jumlah anggota Gugus Tugas lintas pemerintah, akademisi, industri, komunitas, dan media yang menyusun draft Perpres Etika KA — menunjukkan aturan ini digarap serius meski belum berlaku.
- 56,42% vs 84,66% — tingkat partisipasi angkatan kerja perempuan versus laki-laki di Indonesia (Sakernas 2025), angka yang relevan karena mesin rekrutmen berbasis AI di berbagai negara terbukti mewarisi bias gender dari data historis pelamar kerja jika tidak diaudit.
- 1 dari 4 pekerja — proporsi pekerja global di pekerjaan yang terekspos generative AI, menurut riset ILO yang dipaparkan dalam forum kebijakan AI dan ketenagakerjaan di Jakarta, November 2025.
Tiga lapisan aturan, dibedah satu per satu
1. UU PDP: mengikat, tapi Anda yang harus menerjemahkannya ke konteks AI
UU PDP tidak bicara soal AI secara langsung, tapi hampir semua penggunaan AI di HR pasti melibatkan pemrosesan data pribadi — dan di situlah UU PDP berlaku penuh. Beberapa kewajiban yang paling relevan untuk AI-in-HR:
- Dasar pemrosesan dan persetujuan (Pasal 20). Data CV, riwayat kerja, atau data absensi yang dikumpulkan untuk tujuan administrasi kepegawaian tidak otomatis boleh “disuapkan” ke tool AI pihak ketiga untuk tujuan lain (misalnya scoring atau training model) tanpa dasar hukum atau persetujuan tambahan yang sesuai.
- Pembatasan tujuan (Pasal 28–29). Kalau data pelamar dikumpulkan untuk proses rekrutmen tertentu, memakainya untuk melatih model AI vendor secara umum berpotensi melanggar prinsip ini — kecuali ada klausul kontraktual yang jelas melarang vendor melakukan itu.
- Data spesifik yang butuh perlindungan lebih ketat. UU PDP membedakan data umum dan data spesifik (kesehatan, biometrik, keuangan, catatan kejahatan, data anak). Absensi berbasis wajah, data cuti sakit, dan riwayat BPJS Kesehatan karyawan semuanya masuk kategori data spesifik yang menuntut pengamanan lebih tinggi ketika diproses oleh sistem AI.
- Kewajiban penunjukan DPO (Pasal 54) untuk pengendali data yang memproses data dalam skala besar atau data spesifik — kondisi yang hampir pasti terpenuhi oleh HRIS enterprise mana pun.
- Notifikasi kebocoran 3×24 jam (Pasal 46) yang tetap berlaku meski kebocoran terjadi di sisi vendor AI, bukan sistem internal Anda — artinya Data Processing Agreement dengan vendor AI harus secara eksplisit mengatur siapa yang bertanggung jawab memberi tahu siapa, dan dalam waktu berapa lama vendor wajib melapor ke Anda agar tenggat 3×24 jam itu masih bisa dipenuhi.
2. SE Menkominfo 9/2023
SE ini ditetapkan Desember 2023 dan berlaku untuk seluruh pelaku usaha serta penyelenggara sistem elektronik, publik maupun privat, lokal maupun asing. Ada satu poin dalam SE ini yang paling relevan untuk HR: salah satu dari tujuh tanggung jawab yang dibebankan ke penyelenggara AI adalah memastikan AI tidak dijadikan sebagai penentu tunggal kebijakan atau pengambilan keputusan yang menyangkut kemanusiaan. Ini secara efektif adalah prinsip human-in-the-loop — dan meskipun SE ini tidak mengikat secara hukum, ia menunjukkan arah yang sangat jelas: kalau keputusan penerimaan, promosi, atau pemutusan hubungan kerja karyawan Anda ditentukan sepenuhnya oleh algoritma tanpa tinjauan manusia, itu berlawanan dengan arah kebijakan yang jelas-jelas sedang dibangun regulator, bahkan sebelum aturan yang lebih keras terbit.
Poin ini juga digarisbawahi dari sisi ketenagakerjaan global: dalam forum kebijakan AI dan non-diskriminasi di dunia kerja yang digelar ILO di Jakarta pada November 2025, salah satu peneliti senior ILO secara spesifik memperingatkan bahwa AI semestinya tidak dipakai untuk memantau pekerja di luar jam kerja, mengumpulkan data yang mengancam martabat manusia, menyadap komunikasi pekerja (terutama dengan perwakilan serikat), atau memungkinkan pemutusan hubungan kerja berbasis algoritma semata — khususnya yang berbasis penilaian kinerja otomatis. Forum tersebut turut dihadiri praktisi HR dari kalangan korporasi besar dan firma hukum yang menangani ketenagakerjaan, sehingga kekhawatiran ini bukan wacana akademis semata, melainkan sudah jadi perhatian nyata pelaku industri.
3. Draft Perpres Etika KA: akan mengikat, tapi belum
Ini bagian yang paling sering disalahpahami: banyak yang mengira draft ini “sudah jadi aturan” karena sudah melalui konsultasi publik dan pembahasan lintas kementerian sejak pertengahan 2026. Faktanya, per artikel ini ditulis, draft tersebut masih menunggu penetapan oleh Presiden. Pendekatannya dirancang berbasis risiko (risk-based), artinya penggunaan AI di area yang berdampak langsung ke individu — termasuk rekrutmen, evaluasi kinerja, dan keputusan terkait pekerjaan — kemungkinan besar akan masuk kategori risiko lebih tinggi yang menuntut kewajiban tata kelola dan dokumentasi lebih ketat dibanding penggunaan AI yang sifatnya administratif biasa.
Implikasinya untuk Anda: menunggu aturan ini rampung sebelum mulai berbenah bukan strategi yang aman. Justru sebaliknya — perusahaan yang sudah menyiapkan tata kelola AI-in-HR sesuai arah kebijakan ini (human-in-the-loop, dokumentasi risiko, transparansi ke karyawan) akan jauh lebih siap begitu Perpres ini resmi diundangkan, dibanding yang baru mulai bergerak setelah aturan berlaku dan masa transisi kepatuhan sudah berjalan.
Titik rawan spesifik yang paling sering ditanyakan
“Apakah pakai ChatGPT/Copilot untuk screening CV karyawan Indonesia = pelanggaran UU PDP?” Tidak otomatis melanggar, tapi risikonya nyata pada tiga titik: (1) apakah ada dasar hukum yang sah untuk memindahkan data pelamar ke platform pihak ketiga di luar tujuan rekrutmen awal; (2) apakah ada Data Processing Agreement yang mengatur bagaimana vendor AI tersebut memproses, menyimpan, dan (yang paling sering luput) apakah data itu ikut dipakai untuk melatih model mereka secara umum; dan (3) apakah ada transfer data lintas batas negara ke server di luar Indonesia, yang menuntut pemenuhan syarat perlindungan setara sesuai UU PDP. Tanpa DPA yang jelas dan tanpa memastikan data tidak dipakai untuk pelatihan model umum, praktik ini berjalan di area abu-abu yang berisiko tinggi.
“DPA apa yang wajib saya minta dari vendor AI HR?” Minimal DPA tersebut harus secara eksplisit mengatur: batasan tujuan pemrosesan (data hanya dipakai untuk layanan yang disepakati, bukan untuk melatih model umum vendor), lokasi penyimpanan data, kewajiban dan tenggat waktu notifikasi vendor ke Anda jika terjadi insiden keamanan (agar Anda tetap bisa memenuhi tenggat 3×24 jam ke regulator), hak audit Anda terhadap praktik keamanan vendor, serta kejelasan soal penghapusan data begitu kontrak berakhir.
Dampak bisnis kalau ini diabaikan
Risiko yang paling nyata bukan cuma denda administratif 2% pendapatan tahunan — meski untuk perusahaan skala enterprise, angka itu sendiri sudah cukup besar untuk jadi perhatian direksi. Ada tiga lapis dampak lain yang lebih sering luput dari radar:
Pertama, risiko reputasi dan kepercayaan karyawan. Kalau karyawan mengetahui keputusan performance review atau bahkan PHK mereka ditentukan algoritma tanpa keterlibatan manusia yang jelas, dampaknya ke kepercayaan internal — dan berpotensi ke hubungan industrial — jauh lebih sulit dipulihkan dibanding sekadar membayar denda.
Kedua, eksposur bias yang baru terlihat setelah terlambat. Mesin rekrutmen berbasis AI di berbagai negara terbukti mewarisi bias historis dari data pelamar masa lalu. Dengan kesenjangan partisipasi angkatan kerja perempuan versus laki-laki yang masih lebar di Indonesia, tool screening yang tidak diaudit berisiko memperkuat, bukan mengurangi, ketimpangan tersebut — dan ini menjadi masalah hukum sekaligus reputasi begitu terungkap.
Ketiga, khusus untuk BUMN, eksposur ke audit internal dan pemeriksaan lembaga pengawas. Ketiadaan dokumentasi yang jelas soal bagaimana AI dipakai dalam proses kepegawaian — dasar hukum pemrosesan data, DPA dengan vendor, hasil uji bias — akan menjadi temuan audit yang sulit dijelaskan, terlepas dari apakah ada pelanggaran nyata atau tidak.
Checklist 12 Titik Audit Kepatuhan AI-in-HR
Gunakan checklist ini sebagai audit internal cepat sebelum memperluas penggunaan AI di proses HR mana pun:
- Apakah ada dasar hukum atau persetujuan eksplisit untuk setiap penggunaan data karyawan/pelamar dalam sistem AI?
- Apakah data yang dimasukkan ke tool AI dibatasi hanya pada field yang benar-benar diperlukan (data minimization), bukan seluruh isi database?
- Apakah ada Data Processing Agreement tertulis dengan setiap vendor AI, termasuk larangan eksplisit memakai data Anda untuk melatih model umum vendor?
- Apakah lokasi penyimpanan data (data residency) dari setiap vendor AI sudah diketahui dan terdokumentasi?
- Apakah perusahaan sudah menunjuk DPO/Pejabat Pelindungan Data Pribadi sesuai Pasal 54 UU PDP?
- Apakah sudah dilakukan Penilaian Dampak Pelindungan Data Pribadi (DPIA) untuk penggunaan AI dalam skala besar atau data spesifik (biometrik, kesehatan)?
- Apakah ada mekanisme human-in-the-loop yang terdokumentasi untuk keputusan rekrutmen, promosi, dan pemutusan hubungan kerja — bukan sekadar klaim lisan?
- Apakah tool screening/scoring berbasis AI pernah diuji potensi bias-nya (gender, usia, latar belakang), dan hasilnya didokumentasikan?
- Apakah SOP notifikasi insiden keamanan sudah menjangkau skenario kebocoran dari sisi vendor AI, dengan tenggat internal yang cukup untuk memenuhi batas 3×24 jam ke regulator?
- Apakah ada kebijakan retensi dan penghapusan data yang jelas untuk data yang sempat diproses AI, termasuk saat kontrak vendor berakhir?
- Apakah karyawan/pelamar diberi tahu secara transparan bahwa AI digunakan dalam proses yang memengaruhi mereka, dan diberi jalur untuk mempertanyakan hasilnya?
- Apakah vendor AI yang dipakai memiliki sertifikasi keamanan yang bisa diverifikasi (misalnya ISO 27001), bukan sekadar klaim di materi pemasaran?
(Versi checklist ini tersedia sebagai PDF yang bisa diunduh, dilengkapi template Data Processing Agreement untuk vendor AI HR dan decision-tree “Boleh atau Tidak?” di bagian akhir artikel.)
Decision-tree sederhana: “Boleh atau Tidak?”
Sebelum menyetujui penggunaan tool AI baru dalam proses HR, jalankan alur berikut:
Langkah 1 — Apakah tool ini memproses data pribadi karyawan/pelamar? Jika tidak, risiko UU PDP rendah, tapi tetap cek keselarasan dengan prinsip SE 9/2023. Jika ya, lanjut ke langkah 2.
Langkah 2 — Apakah ada dasar hukum/persetujuan yang sah untuk pemrosesan ini di luar tujuan awal data dikumpulkan? Jika tidak ada, berhenti — perlu persetujuan tambahan atau kajian dasar hukum lebih dulu sebelum lanjut.
Langkah 3 — Apakah sudah ada DPA yang mengatur pemrosesan, lokasi data, dan larangan penggunaan untuk training model umum vendor? Jika belum, jangan lanjutkan sampai DPA ditandatangani.
Langkah 4 — Apakah keputusan yang dihasilkan tool ini berdampak langsung ke individu (diterima/ditolak, dipromosikan, dikenai sanksi, diberhentikan)? Jika ya, wajib ada mekanisme human-in-the-loop yang terdokumentasi sebelum keputusan final diambil — tool AI hanya boleh menjadi input, bukan keputusan akhir.
Langkah 5 — Apakah semua di atas sudah terdokumentasi dan bisa ditunjukkan saat audit? Jika ya, tool ini layak dilanjutkan dengan pemantauan berkala. Jika tidak, kembali ke langkah yang belum terpenuhi.
Yang bisa Anda Lakukan saat Ini
Untuk HR Director: mulai dari inventarisasi — daftar semua tool AI yang sudah dipakai tim rekrutmen dan HR ops saat ini, termasuk yang dipakai informal oleh recruiter individu (ChatGPT versi personal, misalnya), karena celah kepatuhan paling sering muncul justru dari penggunaan yang tidak tercatat resmi.
Untuk Head of Legal: prioritaskan review DPA untuk vendor AI yang sudah berjalan, sebelum menyusun kebijakan baru dari nol — banyak kontrak lama tidak mengantisipasi klausul spesifik AI seperti larangan training model.
Untuk Compliance Officer: jadikan checklist 12 titik di atas sebagai template audit triwulanan, dan pastikan hasilnya terdokumentasi — bukan sekadar centang kolom, tapi bukti (DPA, hasil uji bias, catatan human-in-the-loop) yang siap ditunjukkan kalau lembaga pengawas atau auditor internal bertanya.
Kesimpulan
Ketidakpastian regulasi bukan alasan untuk menunda kepatuhan, justru sebaliknya. Selama Perpres Etika KA masih dalam proses menunggu penetapan, satu-satunya hal yang benar-benar mengikat hari ini adalah UU PDP, dan kewajiban itu tidak berhenti hanya karena AI belum punya aturan khususnya sendiri.
Perusahaan yang menunggu kepastian penuh sebelum berbenah akan selalu tertinggal satu langkah dari regulator — sementara perusahaan yang membangun fondasi tata kelola data sejak sekarang (DPA yang jelas, human-in-the-loop yang terdokumentasi, audit trail yang siap ditunjukkan) akan menghadapi aturan baru apa pun nanti dari posisi yang jauh lebih aman.
Masalahnya, sebagian besar dari fondasi ini bukan soal kebijakan di atas kertas, melainkan soal infrastruktur teknis yang mendasarinya: di mana data disimpan, seberapa kuat kontrol aksesnya, dan apakah vendor yang Anda pakai benar-benar bisa diajak bicara soal DPA atau hanya menyodorkan syarat dan ketentuan baku yang tidak bisa dinegosiasikan.
Di sinilah pilihan platform HCM ikut menentukan seberapa berat beban kepatuhan yang harus ditanggung tim legal dan compliance Anda sendiri.
Mekari Talenta menyimpan data di data center Indonesia, sudah tersertifikasi ISO 27001, dan menyediakan Data Processing Agreement sesuai standar UU PDP, sehingga checklist 12 titik di atas tidak harus dimulai dari nol setiap kali ada fitur atau vendor baru yang dievaluasi. Pelajari bagaimana fondasi keamanan dan kepatuhan data ini bekerja di laman Trust Center Mekari Talenta.
