Rancangan UU AI Indonesia: Apa yang Sebaiknya Diatur dan Apa yang Jangan Terlalu Cepat Diatur

Kalau Indonesia benar-benar bergerak dari Perpres AI menuju Undang-Undang AI, tantangan terbesarnya bukan kekurangan topik.

Justru kebanyakan.

AI menyentuh data pribadi, hak cipta, layanan publik, pekerjaan, kesehatan, pendidikan, keamanan, konsumen, persaingan usaha, sampai pertanggungjawaban ketika agent melakukan tindakan salah.

Kalau semuanya dimasukkan sekaligus ke satu UU dengan detail teknis yang terlalu spesifik, risikonya jelas: aturan bisa sudah tua ketika baru efektif.

Per akhir Juli 2026, pemerintah masih menempatkan dua RPerpres AI sebagai langkah awal dan test case sebelum menuju UU AI yang lebih komprehensif. Jadi belum tepat bicara seolah Indonesia sudah punya RUU AI final dengan pasal yang terkunci.

Yang lebih berguna sekarang adalah membahas arsitekturnya.

Apa yang sebaiknya masuk level undang-undang karena menyangkut hak, tanggung jawab, dan kewenangan?

Dan apa yang justru jangan terlalu cepat dikunci karena teknologinya berubah cepat?

Yang sebaiknya diatur pertama: siapa bertanggung jawab

Ini fondasi.

AI tidak punya rekening bank. Tidak bisa hadir sendiri di pengadilan. Tidak bisa menerima sanksi administratif sebagai entitas mandiri.

Jadi hukum harus tetap menemukan manusia dan organisasi di belakang sistem.

Developer. Provider. Integrator. Deployer. Operator. Pengguna profesional.

Role perlu dibedakan.

Perusahaan yang membuat foundation model tidak punya kendali penuh atas semua use case downstream.

Sebaliknya, rumah sakit yang memilih memakai model untuk proses klinis tidak bisa berkata semua risiko tanggung jawab provider.

UU perlu membangun shared responsibility.

Siapa punya kontrol, punya kewajiban yang sesuai.

Ini jauh lebih penting daripada mendefinisikan nama model.

Kedua: kategori risiko

AI untuk membuat caption dan AI untuk menentukan prioritas bansos jelas tidak setara.

Kalau aturan sama untuk semuanya, hasilnya jelek.

Bisnis kecil terbebani.

Sistem high impact justru mungkin kurang diawasi.

UU sebaiknya memberi dasar pendekatan berbasis risiko.

Tidak harus copy-paste EU AI Act.

Indonesia bisa membuat kategori sendiri.

Yang penting kewajiban proporsional.

Low impact: transparansi dasar dan keamanan.

High impact: risk assessment, dokumentasi, human oversight, monitoring, audit, dan jalur keberatan.

Ada juga pertanyaan penggunaan apa yang sebaiknya dilarang karena risikonya tidak acceptable.

Pembahasan itu harus terbuka.

Ketiga: hak orang yang terkena keputusan AI

Ini harus berada di level kuat.

Kalau AI materially memengaruhi akses seseorang terhadap layanan, pekerjaan, kredit, bantuan, atau hak administratif, individu perlu punya jalur koreksi.

Minimal: tahu AI digunakan ketika relevan, bisa mengoreksi data salah, bisa meminta review manusia untuk kasus tertentu, dan punya kanal keberatan.

Jangan sampai masyarakat menghadapi jawaban: “sistem yang menentukan.”

Hukum harus memastikan teknologi tidak menghapus due process.

Keempat: kewajiban dokumentasi untuk high-impact system

Kalau terjadi incident enam bulan kemudian, organisasi harus bisa menjelaskan sistem apa yang aktif saat keputusan dibuat.

Model version. Data source. Policy. Human review. Output.

Tanpa traceability, accountability teoritis.

Tapi jangan mewajibkan semua aplikasi menyimpan data sebanyak mungkin.

Auditability harus seimbang dengan data minimization.

Dokumentasi juga perlu klasifikasi.

Sistem high risk lebih detail.

Tool low risk lebih sederhana.

Kelima: incident reporting

Indonesia sebaiknya punya dasar hukum untuk pelaporan incident AI yang material.

Bukan setiap typo.

Fokus pada harm besar, sistemik, keamanan, diskriminasi, atau dampak terhadap layanan penting.

Incident reporting memberi regulator evidence.

Tanpa data, regulasi mudah reaksioner.

Satu kasus viral bisa mendorong larangan luas.

Dengan database incident, pemerintah bisa melihat pattern.

Pelaporan juga harus didesain agar organisasi tidak takut jujur.

Bedakan negligence, concealment, dan good-faith reporting.

Keenam: kewajiban pemerintah sendiri

UU AI jangan hanya mengatur perusahaan.

Negara adalah pengguna AI yang sangat powerful.

Kalau pemerintah memakai AI untuk layanan publik, pajak, bantuan, perizinan, atau enforcement, standar accountability harus tinggi.

Public AI inventory. Impact assessment. Human review. Complaint mechanism.

Pemerintah perlu lead by example.

Kalau kewajiban transparansi hanya dikenakan ke bisnis, trust publik akan lemah.

Ketujuh: hubungan dengan UU yang sudah ada

UU AI jangan menjadi “super law” yang menulis ulang semua hal.

UU Pelindungan Data Pribadi tetap ada.

Hak cipta tetap ada.

Perlindungan konsumen tetap ada.

Hukum administrasi tetap ada.

Aturan sektoral bank, kesehatan, telekomunikasi tetap ada.

UU AI seharusnya mengisi gap dan mengatur koordinasi.

Kalau tumpang tindih, perusahaan bingung.

Regulator juga bisa konflik.

Arsitektur hukum perlu jelas: kapan UU AI berlaku, kapan aturan sektoral lebih spesifik, siapa lead regulator.

Lalu apa yang jangan terlalu cepat dikunci?

Pertama: nama model dan arsitektur

Jangan menulis aturan yang terlalu tergantung istilah teknologi hari ini.

“Large language model” mungkin dominan sekarang.

Beberapa tahun lagi architecture bisa berubah.

Hukum sebaiknya melihat fungsi.

Apakah sistem melakukan inference? Membuat keputusan? Menghasilkan konten? Menggunakan tools? Memengaruhi manusia?

Function lebih tahan daripada brand dan architecture.

Kedua: jumlah parameter

Parameter count bukan ukuran risiko yang stabil.

Model kecil bisa sangat capable.

Model besar belum tentu high impact kalau cuma dipakai brainstorming.

Kalau hukum membuat threshold berdasarkan ukuran model, cepat basi.

Lebih baik lihat capability, access, dan impact.

Ketiga: benchmark tertentu

Benchmark AI saturate cepat.

Kalau UU mengatakan model harus mencapai skor X pada benchmark Y, aturan akan obsolete.

Benchmark sebaiknya ada di standar teknis yang bisa diperbarui.

UU memberi mandat evaluasi.

Regulator atau badan standar mengatur detail.

Ini bedanya framework dan implementation.

Keempat: satu teknik safety sebagai kewajiban permanen

Hari ini watermark dianggap solusi.

Besok teknik detection berubah.

Hari ini metode red teaming tertentu populer.

Besok ada yang lebih baik.

UU jangan mengunci tool.

Atur outcome.

Misalnya provider harus punya mekanisme untuk mendeteksi dan mengurangi risiko tertentu.

Cara teknis mengikuti standard.

Kelima: kewajiban label untuk semua konten AI tanpa membedakan konteks

Ini terdengar simpel tetapi bisa absurd.

Kalau satu desainer memakai AI untuk menghapus background foto, apakah semua kontennya wajib punya label besar?

Kalau editor memakai AI untuk grammar, apakah artikel menjadi “konten AI”?

Regulasi perlu materiality.

Apakah AI menghasilkan atau memanipulasi bagian substantif?

Apakah konten berpotensi menipu?

Apakah deepfake?

Apakah menyangkut kepentingan publik?

Uni Eropa sendiri pada Agustus 2026 menerapkan kewajiban transparansi yang berbeda menurut konteks, termasuk interaksi dengan AI, konten sintetis tertentu, deepfake, dan konten kepentingan publik tertentu.

Itu contoh mengapa labeling perlu granular, bukan stiker universal.

Keenam: satu formula kompensasi training data

Isu kreator dan AI sangat penting.

Komdigi pada 29 Juli 2026 mengakui penggunaan karya kreatif sebagai data pelatihan AI adalah salah satu tantangan besar kebijakan.

Tapi menentukan angka kompensasi nasional sekarang terlalu cepat.

Ada buku. Foto. Musik. Artikel. Code. Film.

Nilai ekonomi dan pola penggunaannya berbeda.

Hukum mungkin perlu memastikan hak, transparency, licensing pathway, dan mekanisme reservasi hak.

Formula bisnis bisa berkembang.

Kalau terlalu kaku, teknologi dan pasar akan mencari workaround.

Ketujuh: asumsi bahwa semua open model sama dengan provider komersial

Open model ecosystem punya struktur berbeda.

Ada researcher yang merilis weights.

Ada perusahaan yang fine-tune lalu menjual service.

Ada user downstream.

Kewajiban harus mengikuti kontrol dan skala.

Kalau peneliti kecil harus memenuhi persyaratan seperti hyperscaler global, open research bisa mati.

Sebaliknya, label open source tidak boleh menjadi jalan menghindari responsibility ketika sistem di-deploy high impact.

Perlu nuance.

Kedelapan: kewajiban yang tidak bisa diawasi

Regulasi paling berbahaya adalah aturan yang terlihat tegas tetapi negara tidak punya kapasitas menjalankan.

Misalnya setiap perusahaan wajib audit AI tahunan.

Siapa auditornya?

Standard apa?

Berapa biaya?

Kalau supply auditor tidak ada, compliance menjadi transaksi sertifikat.

Lebih baik kewajiban bertahap dan fokus ke sistem high impact.

Bangun ekosistem evaluator dulu.

Kesembilan: aturan yang menganggap teknologi berhenti berubah setelah UU berlaku

UU AI harus punya mekanisme review.

Bisa evaluasi periodik.

Delegated technical standard.

Regulatory sandbox.

Advisory.

Material model change.

Tanpa architecture adaptif, hukum akan terus mengejar release notes.

Ini juga alasan pemerintah pada 2026 menekankan regulasi AI tidak boleh reaksioner.

Undang-undang harus memberi stabilitas prinsip, bukan membekukan teknologi.

Yang menarik, Indonesia punya kesempatan belajar sebelum UU dibuat.

Perpres bisa menjadi test case.

Lihat berapa besar compliance cost.

Lihat incident.

Lihat use case pemerintah.

Lihat masalah vendor.

Lihat bagaimana UMKM bereaksi.

Data ini kemudian dibawa ke pembahasan UU.

Itu jauh lebih sehat daripada copy-paste rezim luar negeri.

Indonesia memang bisa belajar dari Uni Eropa, OECD, Amerika Serikat, ASEAN, dan negara lain.

Tapi struktur ekonomi kita berbeda.

Jutaan UMKM.

Kapasitas regulator tidak sama.

Digital divide masih nyata.

Pemerintah daerah punya maturity berbeda.

UU harus implementable di Indonesia.

Bukan sekadar terlihat modern di seminar.

Jadi kalau nanti Rancangan UU AI Indonesia benar-benar masuk tahap formal, debat yang paling penting bukan siapa paling keras ingin mengatur.

Pertanyaannya: mana norma yang perlu cukup kuat untuk bertahan lama, dan mana detail yang sebaiknya tetap fleksibel?

Hak manusia, accountability, risk, dan kewenangan regulator layak dipancang kuat.

Nama model, benchmark, teknik teknis, dan formula yang cepat berubah sebaiknya jangan dikunci terlalu dini.

Satu hal lain yang sebaiknya dibahas sejak awal adalah hubungan UU AI dengan procurement dan standard teknis. Banyak risiko AI masuk bukan ketika regulasi dibaca, tetapi ketika organisasi membeli produk. Kalau vendor bisa mengganti model, memindahkan data, atau mengubah subprocessor tanpa transparansi, governance runtuh di kontrak.

UU tidak perlu menulis klausul procurement satu per satu, tetapi bisa memberi mandat agar pengadaan high-impact AI punya minimum requirement tentang data, audit, model change, portability, dan incident notification.

Hal yang juga jangan buru-buru dikunci adalah satu struktur kelembagaan permanen. Indonesia belum tentu perlu badan AI baru hanya karena teknologi baru. Bisa jadi koordinasi lintas regulator lebih efektif. Uji dulu lewat fase Perpres. Lihat di mana bottleneck nyata. Kalau gap kewenangan benar-benar muncul, baru institusi baru punya dasar kuat.

Yang harus dihindari adalah membangun birokrasi sebelum memahami problem. AI governance perlu kapasitas teknis, bukan sekadar papan nama lembaga.

Undang-undang yang bagus bukan yang paling detail.

Yang bagus adalah yang masih masuk akal ketika model AI lima generasi berikutnya sudah muncul.