DPIA Proyek AI: Alur Terpadu UU PDP, ISO 27701 dan ISO 42001

Proyek AI yang memproses data pribadi harus mematuhi UU PDP, ISO 27701, dan ISO 42001 secara bersamaan. Menjalankan asesmen dampak (DPIA) untuk setiap kerangka secara terpisah menyebabkan duplikasi pekerjaan dan inefisiensi. 

Kita bahas tuntas alur DPIA terpadu untuk menyederhanakan pemenuhan seluruh kewajiban regulasi tersebut dalam satu proses yang efisien.

UU PDP, ISO 27701, dan ISO 42001

Sebelum menggabungkan, penting memahami apa yang diminta oleh setiap kerangka.

UU PDP (UU No. 27/2022) mewajibkan pengendali data pribadi untuk memastikan pemrosesan data dilakukan sesuai prinsip-prinsip pelindungan yang diatur undang-undang, termasuk batasan tujuan, minimalisasi data, akurasi, keterbatasan penyimpanan, serta integritas dan kerahasiaan. 

Meskipun UU PDP tidak secara eksplisit menyebutkan istilah “DPIA”, kewajiban untuk melakukan asesmen risiko terhadap hak subjek data melekat pada setiap pengendali dan pemroses data, terutama untuk pemrosesan berisiko tinggi. RPP PDP yang sedang dalam tahap finalisasi diperkirakan akan mengatur lebih detail mengenai kewajiban ini. 

Dengan denda administratif hingga 2% dari pendapatan tahunan dan sanksi pidana hingga Rp60 miliar untuk korporasi, pemrosesan data dalam proyek AI tanpa asesmen risiko yang memadai merupakan keputusan bisnis yang sangat berisiko.

ISO/IEC 27701 merupakan ekstensi dari ISO 27001 yang secara khusus mengatur Privacy Information Management System (PIMS). Standar ini mensyaratkan organisasi untuk melakukan asesmen risiko privasi terhadap pemrosesan data pribadi (Personally Identifiable Information/PII), termasuk mendokumentasikan Records of Processing Activities (ROPA), prosedur penanganan hak subjek data, mekanisme notifikasi pelanggaran, dan yang paling relevan untuk konteks ini, Data Protection Impact Assessment (DPIA) sebagai bagian dari pengelolaan risiko privasi. ISO 27701 memberikan kontrol-kontrol spesifik untuk pengendali PII (PII Controller) dan pemroses PII (PII Processor) yang langsung dapat dipetakan ke kewajiban UU PDP.

ISO/IEC 42001:2023 adalah standar internasional pertama untuk Artificial Intelligence Management System (AIMS). Standar ini mensyaratkan organisasi untuk melakukan AI system impact assessment, sebuah asesmen yang mengevaluasi dampak sistem AI terhadap individu, kelompok, masyarakat, dan lingkungan.

Cakupannya lebih luas dari DPIA tradisional: selain risiko privasi, ISO 42001 juga meminta evaluasi terhadap risiko bias algoritmik, transparansi keputusan, keamanan model, dan dampak sosial-etis. Standar ini dibangun berdasarkan metodologi Plan-Do-Check-Act (PDCA) yang sama dengan ISO 27001 dan 27701, sehingga secara struktural kompatibel untuk diintegrasikan.

Baca juga: Bahaya Shadow AI: Waktunya Bangun Tata Kelola AI Perusahaan

Mengapa DPIA Tradisional Tidak Cukup untuk Proyek AI?

DPIA konvensional dirancang untuk menilai risiko privasi dari aktivitas pemrosesan data, dan untuk banyak skenario pemrosesan tradisional, cakupan ini sudah memadai. Namun, proyek AI menghadirkan kompleksitas tambahan yang membuat DPIA konvensional tidak lagi cukup.

Pertama, AI memproses data dalam skala dan cara yang berbeda. Model AI sering kali memerlukan volume data yang sangat besar untuk pelatihan, termasuk data yang mungkin dikumpulkan untuk tujuan awal yang berbeda. Prinsip purpose limitation dalam UU PDP menjadi tantangan ketika data yang dikumpulkan untuk satu tujuan digunakan untuk melatih model yang melayani tujuan lain.

Kedua, keputusan AI bersifat opak. Berbeda dengan proses bisnis tradisional yang alur logikanya dapat ditelusuri, model AI, terutama deep learning, sering kali beroperasi sebagai “kotak hitam”. Ini menciptakan tantangan signifikan terhadap prinsip explainability yang disyaratkan oleh Panduan Tata Kelola AI OJK maupun ISO 42001.

Ketiga, bias algoritmik adalah risiko inheren. Model AI dapat menghasilkan keputusan yang secara tidak proporsional merugikan kelompok tertentu, misalnya, menolak kredit lebih sering untuk segmen demografis tertentu, meskipun variabel demografis tersebut tidak secara eksplisit dimasukkan ke dalam model. Risiko ini melampaui cakupan DPIA tradisional dan memerlukan evaluasi yang lebih menyeluruh sebagaimana disyaratkan ISO 42001.

Keempat, siklus hidup AI bersifat berkelanjutan. Berbeda dengan proyek IT tradisional yang memiliki fase implementasi dan operasi yang jelas terpisah, model AI terus belajar dan berubah. DPIA untuk proyek AI tidak bisa menjadi latihan sekali jalan, ia harus menjadi proses yang berulang sepanjang siklus hidup model.

Baca juga: Prompt Injection dan PromptSpy: Sisi Gelap AI yang Mengancam Perusahaan

Implementasi Efisien untuk Proyek AI

Berikut adalah alur DPIA terpadu yang dirancang untuk memenuhi tuntutan UU PDP, ISO 27701, dan ISO 42001 dalam satu proses yang koheren. Alur ini mengikuti struktur siklus hidup AI yang direkomendasikan oleh Panduan Tata Kelola AI OJK, dari inisiasi hingga evaluasi, dan memetakan kontrol dari ketiga kerangka pada setiap tahap.

Tahap 1: Deskripsi dan Klasifikasi Proyek AI

Langkah awal adalah mendokumentasikan secara komprehensif apa yang akan dilakukan oleh sistem AI yang sedang dikembangkan. Dari perspektif UU PDP, ini mencakup identifikasi jenis data pribadi yang diproses, dasar hukum pemrosesan, tujuan, dan penerima data. 

Dari perspektif ISO 27701, ini berarti menyusun Records of Processing Activities (ROPA) yang memetakan aliran data pribadi sepanjang siklus pemrosesan. Dari perspektif ISO 42001, ini mencakup klasifikasi sistem AI berdasarkan tingkat risiko, apakah termasuk AI berisiko rendah, menengah, atau tinggi, serta identifikasi interested parties yang terdampak oleh output sistem. Panduan OJK juga mensyaratkan klasifikasi risiko ini pada tahap inisiasi proyek AI di perbankan.

Tahap 2: Asesmen Kebutuhan dan Proporsionalitas

Tahap ini mengevaluasi apakah penggunaan AI benar-benar diperlukan dan proporsional terhadap tujuan yang ingin dicapai. UU PDP mensyaratkan prinsip minimalisasi data, data yang dikumpulkan dan diproses harus seproporsional mungkin dengan tujuannya. ISO 42001 meminta evaluasi apakah AI merupakan solusi yang tepat dibandingkan pendekatan non-AI, serta apakah manfaatnya sebanding dengan risikonya. ISO 27701 mensyaratkan evaluasi apakah ada mekanisme privasi-by-design yang dapat mengurangi volume data pribadi yang diperlukan.

Tahap 3: Identifikasi dan Analisis Risiko

Ini adalah inti dari DPIA terpadu. Risiko harus diidentifikasi dan dianalisis dari tiga dimensi sekaligus.

Dimensi privasi dan perlindungan data (UU PDP + ISO 27701) mencakup risiko terhadap hak subjek data: kebocoran, akses tidak sah, kegagalan anonimisasi, ketidakmampuan memenuhi permintaan penghapusan atau koreksi, serta risiko re-identification dari data yang seharusnya sudah dianonimkan.

Dimensi keamanan informasi (ISO 27001/27701) mencakup risiko teknis: kerentanan infrastruktur, keamanan API, serangan adversarial terhadap model, prompt injection, dan risiko rantai pasok dari vendor model pihak ketiga.

Dimensi dampak AI (ISO 42001) mencakup risiko yang unik pada sistem AI: bias algoritmik, model drift, kurangnya transparansi keputusan, dampak terhadap kelompok rentan, dan konsekuensi dari keputusan otomatis yang salah.

Ketiga dimensi ini didokumentasikan dalam satu risk register terpadu, bukan tiga register terpisah.

Tahap 4: Evaluasi Langkah Mitigasi

Untuk setiap risiko yang teridentifikasi, langkah mitigasi harus didokumentasikan dan dinilai efektivitasnya. Langkah mitigasi bisa bersifat teknis (enkripsi, kontrol akses, differential privacy, teknik explainable AI), organisasional (kebijakan internal, pelatihan, penunjukan DPO), atau prosedural (human-in-the-loop, mekanisme eskalasi, prosedur notifikasi insiden).

Yang penting, setiap langkah mitigasi harus dipetakan ke kontrol spesifik dari ketiga kerangka: nomor kontrol ISO 27701, kontrol Annex A ISO 42001, dan pasal UU PDP yang relevan. Pemetaan ini menciptakan traceability matrix yang sangat berharga saat audit maupun pemeriksaan regulator.

Tahap 5: Dokumentasi Risiko Residual dan Keputusan

Setelah langkah mitigasi diterapkan, risiko residual harus didokumentasikan secara transparan. Untuk risiko residual yang masih berada di atas ambang batas yang dapat diterima, harus ada keputusan formal dari manajemen senior yang mendokumentasikan penerimaan risiko beserta alasannya. UU PDP, ISO 27701, dan ISO 42001 sama-sama mensyaratkan akuntabilitas level manajemen atas untuk keputusan terkait risiko.

Tahap 6: Monitoring Berkelanjutan dan Peninjauan Berkala

DPIA untuk proyek AI bukan dokumen statis. ISO 42001 secara eksplisit mensyaratkan monitoring berkelanjutan terhadap kinerja dan dampak sistem AI. ISO 27701 mengharuskan peninjauan berkala terhadap asesmen risiko privasi. Dan UU PDP mewajibkan kepatuhan yang berkelanjutan sepanjang pemrosesan data berlangsung. Peninjauan DPIA harus dilakukan secara berkala, minimal setiap tahun, atau setiap kali terjadi perubahan signifikan pada model, data, atau konteks penggunaan.

Baca juga: Direksi Tak Perlu Coding, Tapi Wajib Melek Risiko Teknologi

Strategi Pemetaan Kontrol untuk Kepatuhan Terpadu

Salah satu keuntungan terbesar dari pendekatan terpadu adalah kemampuan untuk mengidentifikasi area overlap di antara ketiga kerangka, sehingga satu kontrol dapat memenuhi beberapa persyaratan sekaligus.

Kontrol akses dan keamanan data merupakan area dengan overlap paling besar. UU PDP mewajibkan pencegahan akses tidak sah terhadap data pribadi. ISO 27701 mengatur kontrol akses melalui ekstensi dari ISO 27001 Annex A. ISO 42001 mensyaratkan keamanan data pelatihan dan integritas model. Satu set kontrol akses yang dirancang dengan baik dapat memenuhi ketiga persyaratan.

Transparansi dan dokumentasi juga memiliki titik temu yang kuat. UU PDP mengharuskan transparansi pemrosesan kepada subjek data. ISO 27701 mensyaratkan dokumentasi pemrosesan (ROPA). ISO 42001 mengharuskan dokumentasi sistem AI termasuk tujuan, batasan, dan risiko. Sistem dokumentasi terpadu dapat melayani ketiga kebutuhan.

Manajemen insiden menjadi area di mana integrasi memberikan efisiensi tertinggi. UU PDP mewajibkan notifikasi kebocoran data dalam 3×24 jam. ISO 27701 mengatur prosedur penanganan insiden privasi. ISO 42001 mensyaratkan respons terhadap insiden yang melibatkan sistem AI. Satu prosedur manajemen insiden yang mencakup ketiga dimensi jauh lebih efektif daripada tiga prosedur terpisah.

Hak subjek data dan dampak individu merupakan area di mana UU PDP dan ISO 27701 memiliki overlap yang sangat kuat, keduanya mengatur hak akses, koreksi, penghapusan, dan portabilitas, sementara ISO 42001 menambahkan dimensi tambahan berupa penilaian dampak terhadap individu dari keputusan otomatis berbasis AI.

Baca juga: Cara Ampuh Mencegah Repeat Finding dalam Audit IT

Kepatuhan AI Sektor Perbankan

Bagi institusi perbankan, DPIA terpadu ini mendapat relevansi tambahan melalui Panduan Tata Kelola Kecerdasan Artifisial Perbankan Indonesia yang diterbitkan OJK pada April 2025. Panduan ini secara eksplisit menekankan pendekatan holistik melalui pengelolaan siklus hidup AI secara menyeluruh dan menetapkan tiga prinsip nilai, keandalan, akuntabilitas, dan pengawasan manusia, yang langsung selaras dengan output DPIA terpadu.

Panduan OJK juga mengacu pada UU PDP sebagai salah satu fondasi regulasi dan mensyaratkan kepatuhan terhadap ketentuan perlindungan data pribadi dalam setiap penerapan AI di perbankan. Ini berarti bagi bank, DPIA terpadu bukan hanya nice to have, ia menjadi mekanisme dokumentasi yang menjembatani tuntutan OJK, UU PDP, dan standar internasional dalam satu kerangka yang dapat diaudit.

Lebih lanjut, panduan OJK mengacu pada referensi internasional termasuk EU AI Act dan BCBS Guidance yang keduanya juga mensyaratkan bentuk asesmen dampak. Organisasi yang sudah menerapkan DPIA terpadu berbasis ISO 27701 dan ISO 42001 secara otomatis memenuhi sebagian besar ekspektasi tersebut.

Baca juga: Awas Denda UU PDP! Cek Kepatuhan Perusahaan

Langkah Praktis Memulai DPIA untuk Proyek AI

Bagi organisasi yang ingin mulai menerapkan DPIA terpadu untuk proyek AI, beberapa langkah awal yang dapat diambil meliputi beberapa hal penting.

Pertama, lakukan inventarisasi seluruh proyek AI yang sedang berjalan atau direncanakan, termasuk klasifikasi tingkat risiko masing-masing. Proyek yang memproses data pribadi dalam volume besar atau data bersifat spesifik (keuangan, kesehatan, biometrik) menjadi prioritas untuk DPIA.

Kedua, petakan kontrol yang sudah ada dari implementasi ISO 27001 dan/atau ISO 27701 yang relevan dengan persyaratan ISO 42001. Bagi organisasi yang sudah tersertifikasi ISO 27001, fondasi kontrol keamanan informasi sudah tersedia dan dapat diperluas.

Ketiga, susun template DPIA terpadu yang mencakup ketiga dimensi, privasi (UU PDP + ISO 27701), keamanan (ISO 27001), dan dampak AI (ISO 42001), dalam satu dokumen dengan traceability matrix ke kontrol spesifik dari masing-masing kerangka.

Keempat, libatkan DPO dan tim AI governance sejak tahap inisiasi proyek. DPIA yang efektif tidak dapat dilakukan secara retroaktif, ia harus menjadi bagian integral dari proses pengembangan sejak awal.

Kelima, bangun kapabilitas internal melalui pelatihan dan sertifikasi. Kompetensi DPIA, ISO 27701, dan ISO 42001 tidak bisa diserahkan sepenuhnya kepada satu individu, diperlukan tim lintas fungsi yang memahami irisan antara privasi, keamanan, dan tata kelola AI.

Kesimpulan

DPIA untuk proyek AI bukan sekadar kewajiban kepatuhan, ia adalah instrumen tata kelola yang menghubungkan tuntutan regulasi pelindungan data pribadi, standar manajemen privasi, dan kerangka tata kelola AI dalam satu proses yang koheren. Dengan menggabungkan persyaratan UU PDP, ISO 27701, dan ISO 42001 dalam satu alur DPIA terpadu, organisasi tidak hanya menghemat sumber daya, tetapi juga membangun postur tata kelola yang lebih kokoh, konsisten, dan siap menghadapi audit dari berbagai arah.

Bagi organisasi yang sudah berada di jalur adopsi AI, terutama di sektor perbankan dan jasa keuangan yang berada di bawah pengawasan OJK, membangun kapabilitas DPIA terpadu sekarang berarti investasi yang akan terus memberikan nilai ketika Badan PDP beroperasi, regulasi AI semakin ketat, dan ekspektasi pasar terhadap tata kelola AI yang bertanggung jawab terus meningkat.

 

Layanan Konsultasi IT GRC untuk Tata Kelola AI dan Kepatuhan

Proxsis IT Consulting membantu organisasi membangun kerangka tata kelola terpadu yang menjembatani privasi, keamanan informasi, dan tata kelola AI:

• ISO/IEC 27701:2019, implementasi Privacy Information Management System sebagai fondasi DPIA
• ISO/IEC 27001:2022, sistem manajemen keamanan informasi yang menopang seluruh kerangka tata kelola
• Kepatuhan UU PDP, gap analysis, penyusunan kebijakan privasi, dan pendampingan implementasi
• Data Governance, tata kelola data sebagai fondasi kualitas dan kepatuhan pemrosesan data AI
• Cyber Security Maturity Assessment, evaluasi kesiapan keamanan siber termasuk komponen AI
• Penetration Testing, pengujian ketahanan sistem terhadap serangan adversarial dan ancaman siber

Konsultasikan kebutuhan DPIA, tata kelola AI, dan kepatuhan privasi organisasi Anda sekarang.

 Hubungi Kami via WhatsApp | [email protected] |  it.proxsisgroup.com

FAQ Seputar DPIA AI

1. Apa itu DPIA dan mengapa penting untuk proyek AI?
   Data Protection Impact Assessment (DPIA) adalah proses formal untuk mengevaluasi risiko pemrosesan data terhadap hak dan kebebasan individu sebelum implementasi. Untuk proyek AI, DPIA menjadi lebih kritis karena AI memproses data dalam skala besar, menghasilkan keputusan otomatis yang berdampak pada individu, dan menghadirkan risiko unik seperti bias algoritmik dan kurangnya transparansi keputusan.
2. Apa perbedaan antara ISO 27701 dan ISO 42001?
   ISO 27701 adalah ekstensi dari ISO 27001 yang berfokus pada manajemen informasi privasi, bagaimana organisasi melindungi data pribadi (PII) dalam pemrosesannya. ISO 42001 adalah standar terpisah yang berfokus pada manajemen sistem AI secara keseluruhan, mencakup tidak hanya aspek privasi tetapi juga etika, transparansi, bias, keamanan model, dan dampak sosial. Keduanya saling melengkapi: ISO 27701 menangani dimensi privasi data, sementara ISO 42001 menangani dimensi tata kelola AI yang lebih luas.
3. Apakah UU PDP secara eksplisit mewajibkan DPIA?
   UU PDP tidak menggunakan istilah “DPIA” secara eksplisit, tetapi kewajiban untuk melakukan asesmen risiko terhadap hak subjek data melekat pada prinsip-prinsip pemrosesan yang diatur dalam undang-undang. RPP PDP yang sedang dalam tahap finalisasi diperkirakan akan mengatur lebih detail mengenai kewajiban ini. Terlepas dari terminologi, melakukan DPIA merupakan praktik terbaik yang sangat direkomendasikan untuk memenuhi kewajiban akuntabilitas dan mitigasi risiko berdasarkan UU PDP.
4. Bagaimana keterkaitan DPIA terpadu dengan Panduan Tata Kelola AI OJK?
   Panduan OJK menekankan pendekatan holistik melalui siklus hidup AI dan menetapkan prinsip keandalan, akuntabilitas, dan pengawasan manusia. DPIA terpadu yang mengintegrasikan UU PDP, ISO 27701, dan ISO 42001 langsung mendukung ketiga prinsip tersebut, keandalan melalui asesmen risiko teknis, akuntabilitas melalui dokumentasi dan traceability, serta pengawasan manusia melalui mekanisme eskalasi dan review yang disyaratkan dalam proses DPIA.
5. Apakah organisasi yang sudah punya ISO 27001 perlu mulai dari nol?
   Tidak. ISO 27701 adalah ekstensi dari ISO 27001, dan ISO 42001 dibangun berdasarkan struktur PDCA yang sama. Organisasi yang sudah memiliki sertifikasi ISO 27001 telah memiliki fondasi kontrol keamanan informasi yang dapat diperluas ke dimensi privasi (ISO 27701) dan tata kelola AI (ISO 42001) tanpa perlu membangun ulang dari awal.
6. Bagaimana Proxsis IT membantu implementasi DPIA terpadu?
   Proxsis IT Consulting menyediakan layanan konsultasi IT GRC yang mencakup implementasi ISO 27701, ISO 27001, kepatuhan UU PDP, data governance, dan asesmen keamanan siber. Pendekatan terpadu Proxsis IT memungkinkan organisasi membangun kerangka DPIA yang koheren dan efisien, menghindari duplikasi pekerjaan, dan memastikan kesiapan menghadapi audit dari berbagai regulator.