Indonesia Menuju UU AI: Pertanyaan yang Seharusnya Dibahas dari Sekarang

Pada 28 Juli 2026, pemerintah Indonesia memberi sinyal yang sangat jelas.

Perpres AI bukan akhir.

Ia langkah awal menuju Undang-Undang AI.

Wakil Menteri Komunikasi dan Digital Nezar Patria menyebut Perpres sebagai test case sebelum pemerintah menyusun UU AI yang lebih komprehensif.

Artinya, diskusi UU AI seharusnya tidak menunggu draft muncul.

Justru sekarang saat terbaik untuk bertanya.

Bukan: “pasalnya berapa?”

Tapi: “masalah apa yang sebenarnya perlu diselesaikan UU?”

Kalau pertanyaan dasarnya salah, UU bisa menjadi tumpukan aturan yang cepat tua.

Pertanyaan pertama: apa yang disebut AI?

Ini terlihat sederhana.

Tidak.

Kalau definisi terlalu sempit, teknologi baru lolos.

Kalau terlalu luas, spreadsheet dengan rule sederhana bisa dianggap AI.

Definisi sebaiknya berbasis capability dan autonomy.

Sistem yang belajar? Inference? Automated decision?

Perlu boundary.

EU punya definisi.

OECD punya.

Indonesia bisa belajar.

Tapi harus cocok dengan sistem hukum.

Definisi adalah pintu.

Kalau pintunya salah, semua pasal ikut salah.

Pertanyaan kedua: siapa yang diatur?

Developer?

Vendor?

Deployer?

User?

Importer?

Model provider?

Semua punya role.

Perusahaan yang membuat foundation model berbeda dengan rumah sakit yang memakainya.

Liability tidak bisa sama.

UU perlu membagi kewajiban.

Developer bertanggung jawab model.

Deployer bertanggung jawab use case.

User punya batas.

Vendor integrator juga.

Kalau role tidak jelas, semua saling lempar.

Pertanyaan ketiga: apakah risk-based?

Seharusnya iya.

AI caption Instagram beda dengan diagnostic AI.

Tidak masuk akal kewajiban sama.

UU perlu kategorisasi.

Low. Medium. High. Prohibited.

Nama bisa berbeda.

Prinsip proportional.

High-impact decision dapat requirement: risk assessment, audit, human oversight, incident report.

Low risk tidak dibebani.

Ini melindungi innovation.

Juga fokus regulator.

Pertanyaan keempat: penggunaan apa yang harus dilarang?

Ini sulit.

Bukan semua risk cukup dimitigasi.

Mungkin ada use case yang unacceptable.

Manipulasi tertentu. Social scoring? Mass surveillance?

Indonesia harus debat terbuka.

Jangan copy EU otomatis.

Konteks hukum berbeda.

Tapi boundary moral perlu.

Apa yang negara tidak boleh lakukan dengan AI?

Apa yang perusahaan tidak boleh?

Ini constitutional question.

Bukan hanya technical.

Pertanyaan kelima: hak apa yang punya individu?

Kalau AI membuat keputusan tentang gue, hak gue apa?

Tahu AI dipakai? Minta explanation? Koreksi data? Human review? Banding?

UU perlu jelas.

Jangan semua dilempar ke terms.

Rights harus enforceable.

Tapi juga realistis.

Hak explanation tidak berarti source code.

Bisa layered.

Yang penting actionable.

Pertanyaan keenam: bagaimana hubungan dengan UU PDP?

AI banyak memakai data personal.

UU PDP sudah ada.

Jangan duplikasi.

UU AI harus cross-reference.

Kapan profiling?

Automated decision?

Sensitive data?

Consent bukan solusi semua.

Government punya basis lain.

Contract.

Legal obligation.

Harmonisasi penting.

Jangan membuat dua regime conflict.

Pertanyaan ketujuh: bagaimana hak cipta?

AI dilatih dari karya.

Output meniru style.

Siapa pemilik?

Indonesia perlu posisi.

UU Hak Cipta sekarang tidak didesain untuk generative AI.

Apakah perlu amendment terpisah?

Atau UU AI mengatur transparency training data?

Ini harus dibahas dengan kreator.

Publisher.

Platform.

Model developer.

Jangan hanya perusahaan teknologi.

Pertanyaan kedelapan: bagaimana open source?

Jangan samakan open model dengan commercial closed service.

Open source punya ecosystem.

Developer upload weights.

Siapa bertanggung jawab misuse downstream?

Kalau terlalu ketat, open research mati.

Kalau terlalu bebas, risk.

Safe harbor mungkin perlu.

Dengan condition.

Ini technical nuance.

UU harus memahami.

Pertanyaan kesembilan: siapa regulator?

Apakah Komdigi menjadi lead?

Regulator sektoral?

Badan baru?

Indonesia tidak perlu otomatis bikin lembaga.

Lihat kebutuhan.

AI lintas sektor.

Bank punya OJK.

Health punya Kemenkes.

Mungkin central coordination plus sector enforcement.

Yang penting authority jelas.

Siapa audit foundation model?

Siapa terima incident?

Siapa kasih sanction?

Tanpa clarity, overlap.

Pertanyaan kesepuluh: bagaimana audit?

Siapa auditor AI?

Standard apa?

Independent?

Self-assessment?

Untuk high risk, audit likely perlu.

Tapi Indonesia punya kapasitas?

Kalau tidak, rule tidak jalan.

UU mungkin perlu mengakui certification body.

Accreditation.

Technical standard.

Build ecosystem.

Jangan membuat kewajiban sebelum supply auditor ada.

Pertanyaan kesebelas: incident reporting wajib kapan?

Tidak semua bug lapor.

Need threshold.

Harm besar.

Breach.

Safety.

Bias systemic.

Time limit.

Siapa menerima?

Database?

Disclosure publik?

Incident reporting bisa menjadi backbone governance.

Belajar dari cybersecurity.

Tapi taxonomy AI unique.

Pertanyaan kedua belas: bagaimana model global?

Vendor luar menyediakan layanan di Indonesia.

Apakah harus representative lokal?

Compliance contact?

Data disclosure?

EU punya extraterritorial approach tertentu.

Indonesia perlu decide.

Kalau hanya perusahaan lokal diatur, tidak fair.

Global platform dominan.

Tapi enforcement cross-border sulit.

Perlu international cooperation.

Pertanyaan ketiga belas: bagaimana UMKM?

Ini critical.

Indonesia punya jutaan UMKM.

Jangan bikin UU yang hanya bisa dipatuhi perusahaan besar.

Low-risk small business perlu simplified compliance.

Template.

Guidance.

Exemption tertentu.

Tapi kalau UMKM menjalankan high-risk AI, impact tetap.

Size bukan satu-satunya factor.

Risk and scale.

Balance.

Pertanyaan keempat belas: bagaimana pemerintah menggunakan AI?

UU jangan cuma regulate private sector.

Government AI bisa lebih powerful.

Bansos. Tax. Permit. Policing.

Public sector harus punya standard tinggi.

AI registry.

Impact assessment.

Human review.

Public complaint.

Government should lead.

Kalau negara bebas dari kewajiban yang ditaruh ke bisnis, trust turun.

Pertanyaan kelima belas: apakah ada AI registry?

Untuk high-impact system, registration bisa membantu.

Siapa deploy?

Use case.

Risk.

Owner.

Tidak perlu semua tool.

Registry pemerintah bisa publik.

Private high-risk mungkin regulator access.

Inventory meningkatkan visibility.

Tanpa visibility, governance blind.

Pertanyaan keenam belas: bagaimana liability?

AI salah.

Siapa bayar?

Developer? Vendor? User?

Depends fault.

Product liability?

Negligence?

Contract?

UU perlu clarity.

Tidak harus one rule.

Could be layered.

Kalau model defect, provider.

Kalau deployer misuse, deployer.

Kalau human overrides warning, different.

Liability framework mendorong care.

Pertanyaan ketujuh belas: bagaimana menghadapi model update?

Approval sekali tidak cukup.

Model berubah.

UU harus mandate lifecycle.

Material change -> reassessment.

Monitoring.

Post-market surveillance.

Ini penting.

Jangan sertifikasi model 2027 berlaku selamanya.

AI moving target.

Pertanyaan kedelapan belas: bagaimana children?

Indonesia pada 2026 aktif mendorong AI governance global yang memperhatikan perlindungan anak.

UU AI perlu special protection.

Profiling anak. Recommendation. Synthetic content. Companion bots.

Children vulnerable.

Consent juga complicated.

Aturan existing PP TUNAS perlu sinkron.

Jangan overlap.

Pertanyaan kesembilan belas: bagaimana deepfake?

Label?

Watermark?

Platform obligation?

Criminal misuse?

Deepfake menyentuh election, porn, fraud, defamation.

Banyak hukum existing.

UU AI harus mengisi gap.

Jangan criminalize teknologi secara umum.

Focus malicious use.

Pertanyaan kedua puluh: bagaimana menjaga aturan tetap hidup?

Ini paling penting.

Review setiap dua tahun?

Delegated standard?

Regulatory sandbox?

Sunset clause?

Tech advisory board?

Kalau UU fixed, cepat basi.

Perlu update mechanism.

Hukum harus punya architecture adaptif.

Bukan hanya pasal.

Diskusi harus dimulai sebelum draft

Begitu draft resmi keluar, debat sering sudah sempit.

Orang fokus redaksi.

Sekarang kita bisa bahas prinsip.

Akademisi. Industri. Civil society. Kreator. Anak muda. Daerah. Profesi.

Semua punya impact.

Indonesia punya kesempatan membuat UU AI yang lahir dari local evidence.

Bukan copy-paste.

Perpres sebagai test case bisa menghasilkan data.

Incident. Compliance cost. Implementation gap.

Gunakan itu.

Jangan buru-buru UU hanya karena negara lain punya.

UU AI bukan trophy.

Kalau buruk, bisa menghambat inovasi dan gagal melindungi masyarakat sekaligus.

Kalau bagus, ia memberi kepastian.

Business tahu rule.

Public tahu rights.

Government tahu boundary.

Investor tahu standard.

Indonesia menuju UU AI.

Pertanyaan yang seharusnya dibahas dari sekarang bukan: “kapan disahkan?”

Ada beberapa pertanyaan tambahan yang mungkin tidak sepopuler deepfake atau copyright, tetapi justru menentukan implementasi.

Pertanyaan kedua puluh satu: bagaimana procurement pemerintah?

Kalau negara menjadi pengguna AI besar, aturan procurement harus sinkron dengan UU AI. Vendor yang menjual high-impact system ke pemerintah mungkin perlu disclosure lebih kuat, audit rights, model change notice, dan exit plan. Kalau procurement tetap seperti software biasa, pemerintah sendiri bisa menjadi titik lemah.

Pertanyaan kedua puluh dua: bagaimana standard teknis dibuat?

UU tidak boleh memuat benchmark yang cepat basi. Siapa yang berwenang menetapkan standard? BSN? Komdigi? Regulator sektor? Perlu mekanisme adopsi standar internasional sekaligus ruang membuat benchmark lokal.

Pertanyaan kedua puluh tiga: bagaimana nasib keputusan lama jika model ternyata bermasalah?

Misalnya audit menemukan bias sistemik yang sudah berjalan enam bulan. Apakah keputusan lama ditinjau ulang? Siapa menghubungi orang terdampak? Apakah ada remediation? UU perlu memikirkan retrospective harm, bukan cuma menghentikan sistem.

Pertanyaan kedua puluh empat: bagaimana whistleblower AI dilindungi?

Engineer atau pegawai mungkin menjadi orang pertama yang tahu model unsafe. Kalau mereka takut retaliation, incident tersembunyi. Mekanisme pelaporan internal dan perlindungan tertentu bisa menjadi bagian ekosistem governance.

Pertanyaan kedua puluh lima: bagaimana research exception?

Peneliti perlu menguji model untuk bias dan security. Kalau terms vendor atau aturan terlalu ketat, independent research sulit. Safe harbor untuk good-faith testing bisa meningkatkan safety, tentu dengan batas agar tidak menjadi alasan abuse.

Pertanyaan kedua puluh enam: bagaimana kompetisi?

Foundation model market cenderung terkonsentrasi. UU AI tidak boleh hanya safety. Ada isu interoperability, lock-in, access to compute, dan bargaining power. Sebagian mungkin rumahnya di hukum persaingan, tetapi koordinasi penting.

Pertanyaan kedua puluh tujuh: bagaimana synthetic data?

Perusahaan mungkin memakai synthetic data untuk training. Apakah benar mengurangi privacy risk? Kadang iya, kadang tetap bisa merefleksikan data asli. Aturan perlu cukup fleksibel untuk mengakui teknik baru tanpa menganggapnya otomatis aman.

Pertanyaan kedua puluh delapan: bagaimana evidence disimpan?

High-impact decision perlu traceability. Tapi menyimpan log terlalu lama juga punya privacy risk. UU atau aturan turunan perlu balance antara auditability dan data minimization.

Pertanyaan kedua puluh sembilan: bagaimana daerah berperan?

Pemerintah daerah akan memakai AI tetapi kapasitas berbeda. Jangan buat UU yang melempar kewajiban besar tanpa shared infrastructure dan training. Pusat perlu standard, daerah perlu ruang implementasi sesuai kebutuhan.

Pertanyaan ketiga puluh: apa indikator UU berhasil?

Jumlah sanksi bukan satu-satunya ukuran. Lihat incident, trust, adoption, compliance cost, innovation, dan hak pengguna. UU perlu evaluation mechanism.

Diskusi ini juga harus memisahkan tiga hal: apa yang harus ada di UU, apa yang cukup di Perpres atau peraturan menteri, dan apa yang lebih cocok sebagai standard teknis. Kalau semua dimasukkan UU, terlalu kaku. Kalau semuanya didelegasikan, hak dan accountability bisa terlalu lemah.

Prinsip hak, kewenangan regulator, liability, dan kategori penggunaan terlarang mungkin pantas di level UU. Detail benchmark, format laporan, dan technical control lebih cocok di aturan turunan yang bisa berubah.

Ini adalah architecture hukum.

Bukan hanya isi pasal.

Indonesia juga sebaiknya menghindari regulatory maximalism. Lebih banyak pasal tidak otomatis lebih aman. Setiap kewajiban harus punya tujuan dan enforcement path.

Kalau regulator tidak punya orang untuk memeriksa 50 jenis laporan, jangan wajibkan 50 laporan.

Kalau UMKM tidak mampu compliance kompleks, berikan simplified route.

UU bagus harus implementable.

Dan terakhir, pembahasan UU AI harus punya waktu untuk konflik nilai. Akan ada trade-off.

Privacy vs safety. Transparency vs trade secret. Innovation vs precaution. Open source vs misuse. Efficiency vs human review.

Jangan pura-pura semua bisa dimaksimalkan bersamaan.

Legislasi adalah tempat masyarakat menentukan balance.

Itu sebabnya pembahasannya perlu mulai sebelum draft formal membuat posisi semua pihak mengeras.

Kalau Indonesia serius menjadikan Perpres sebagai test case, maka satu tugas selama fase Perpres adalah mengumpulkan evidence untuk menjawab pertanyaan-pertanyaan ini.

Jangan sia-siakan periode belajar.

Pertanyaan lebih penting: “ketika disahkan nanti, apakah kita sudah sepakat masalah apa yang sebenarnya ingin kita selesaikan?”

Kalau jawabannya belum, diskusinya harus dimulai sekarang.