Pasal 88c Uni Eropa: Bolehkah Data Pribadi Dipakai Melatih AI Tanpa Persetujuan?

Perdebatan mengenai Digital Omnibus Uni Eropa (UE) kerap diringkas seolah-olah Brussels hendak mengizinkan perusahaan melatih AI memakai data pribadi tanpa persetujuan. Ringkasan itu terlalu menyederhanakan persoalan.

Ketentuan yang relevan adalah usulan Pasal 88c GDPR. Pasal ini akan secara eksplisit mengakui kepentingan sah (legitimate interest) dalam Pasal 6 ayat (1) huruf (f) GDPR sebagai salah satu dasar hukum yang mungkin digunakan untuk pemrosesan data pribadi yang secara fungsional diperlukan bagi perancangan, pengembangan, atau penggunaan sistem maupun model AI secara sah.13

Artinya, ini bukan penghapusan GDPR, bukan legalisasi otomatis pengambilan data dari web (web scraping), dan bukan pula penghapusan kebutuhan persetujuan apabila persetujuan tetap diwajibkan oleh aturan UE atau aturan nasional lain.1

Yang juga penting: Pasal 88c berada dalam proposal Digital Omnibus bidang data, bukan Digital Omnibus tentang AI yang sudah disahkan. Proposal data tersebut masih berada dalam proses legislasi UE; teks akhirnya belum ditetapkan.

Apa yang sebenarnya akan diubah Pasal 88c?

Dalam rumusan yang diusulkan, pengendali data atau pihak ketiga berpotensi memakai dasar kepentingan sah sepanjang siklus hidup sistem atau model AI, bila pemrosesan tersebut secara fungsional diperlukan untuk desain, pengembangan, atau penggunaan yang sah.3

Secara substansi, ketentuan ini akan membuat jalur yang dalam keadaan tertentu sudah tersedia di bawah GDPR menjadi lebih tegas dalam konteks AI. European Data Protection Board (EDPB) sebelumnya telah menyatakan bahwa kepentingan sah dapat, pada kasus tertentu, menjadi dasar hukum yang tepat untuk pengembangan dan penerapan model atau sistem AI.45

Namun, kata “dapat” sangat menentukan. Perusahaan tidak cukup menyatakan bahwa kepentingannya membangun model AI lebih penting daripada hak pengguna. Mereka tetap harus memenuhi uji kepentingan sah GDPR, yaitu:

• menunjukkan adanya kepentingan yang nyata dan sah;
• membuktikan bahwa pemrosesan memang diperlukan untuk kepentingan tersebut; serta
• menyeimbangkan kepentingan itu dengan hak dan kebebasan orang yang datanya diproses.15

Karena itu, Pasal 88c tidak akan menjadi izin umum untuk mengumpulkan semua data pribadi yang tersedia secara publik maupun privat sebagai bahan pelatihan model.1

Pengaman yang diperdebatkan

Sorotan utama bukan hanya soal apakah kepentingan sah boleh dipakai, melainkan perlindungan apa yang harus menyertainya. Pengaman yang dibahas mencakup minimisasi data saat memilih sumber dan melatih model, perlindungan teknis serta organisatoris, transparansi yang bermakna, dan mekanisme untuk mengenali keberatan atau opt-out yang dapat dibaca mesin. Pendekatan ini juga mencakup hak untuk mengajukan keberatan tanpa syarat terhadap pemrosesan terkait AI.13

Dalam praktiknya, pengaman tersebut menentukan apakah penilaian kepentingan sah benar-benar substansial atau hanya formalitas. Minimisasi data membatasi alasan bahwa pengembang boleh mengambil semua data hanya karena mungkin berguna di masa depan. Transparansi memberi orang kesempatan memahami bagaimana datanya dipakai. Sementara itu, hak keberatan yang efektif tidak boleh berhenti pada pengaturan preferensi yang sulit ditemukan.

Data sensitif bukan bahan pelatihan yang bebas dipakai

Pembahasan di Dewan UE mengenai pengecualian untuk data sensitif mengarah pada skenario yang lebih sempit: pemrosesan data kategori khusus yang insidental dan residual. Maksudnya, pengendali sejak awal tidak bermaksud memproses data sensitif, tetapi data semacam itu tidak terhindarkan muncul secara terbatas dalam operasi pemrosesan utama. Ini berbeda dengan tindakan sengaja mengumpulkan data sensitif sebagai materi pelatihan AI.2

Mengapa EDPB dan EDPS menyampaikan keberatan?

EDPB dan European Data Protection Supervisor (EDPS) tidak menyangkal bahwa kepentingan sah kadang-kadang dapat mendukung pemrosesan terkait AI. Keberatan utama mereka adalah bahwa Pasal 88c yang khusus untuk AI tidak diperlukan, karena analisis GDPR yang berlaku saat ini sudah memungkinkan kesimpulan tersebut dalam kasus yang tepat.45

Kekhawatirannya bersifat praktis sekaligus hukum: ketentuan baru yang spesifik untuk AI dapat dibaca lebih dari sekadar klarifikasi. Hal itu berpotensi menciptakan ketidakpastian mengenai perlindungan GDPR yang telah mapan. Pandangan kedua regulator ini bersifat konsultatif, bukan mengikat, tetapi tetap penting dalam perundingan legislasi.5

Status Pasal 88c: belum bisa disebut aturan yang berlaku

Bahan legislasi yang tersedia menunjukkan pembahasan di Dewan UE berlangsung alot. Pemungutan suara COREPER—forum yang menyiapkan keputusan Dewan—untuk menyetujui mandat negosiasi Dewan dibatalkan karena isu-isu terbuka belum mencapai kesepakatan. Pekerjaan kemudian berlanjut di bawah Presidensi Dewan UE oleh Irlandia.

Program presidensi Irlandia menyebut target mencapai kesepakatan dengan Parlemen Eropa mengenai paket Digital Omnibus pada akhir 2026. Akan tetapi, materi resmi yang tersedia tidak secara independen membuktikan bahwa Pasal 88c telah dipulihkan secara definitif dalam posisi akhir Dewan.

Deskripsi yang paling aman adalah: Pasal 88c masih diperdebatkan secara politik dan masih dapat dinegosiasikan. Ketentuan ini belum dapat diperlakukan sebagai dasar hukum mengikat yang menggantikan persyaratan GDPR yang sudah ada.

Jangan mencampuradukkan dua berkas Digital Omnibus

Kebingungan muncul karena terdapat kebijakan lain, yakni Digital Omnibus tentang AI, yang telah disahkan sebagai Regulasi (UE) 2026/1744.

Regulasi AI tersebut mengubah jadwal penerapan sebagian AI Act. Kewajiban untuk sistem AI berisiko tinggi yang berdiri sendiri dalam Annex III kini berlaku mulai 2 Desember 2027; sistem berisiko tinggi yang tertanam dalam produk teregulasi memiliki jadwal lebih lambat.1920

Saat kewajiban Annex III mulai berlaku, persyaratannya mencakup penilaian dan mitigasi risiko, dataset berkualitas tinggi untuk menekan hasil diskriminatif, pencatatan aktivitas dan ketertelusuran, dokumentasi, informasi bagi pihak yang memakai sistem, pengawasan manusia, serta ketahanan dan keamanan siber.20

Kewajiban AI Act tersebut terpisah dari pertanyaan GDPR tentang dasar hukum pemrosesan data pribadi untuk pelatihan AI. Penundaan aturan AI berisiko tinggi tidak otomatis mengesahkan Pasal 88c.

Dampaknya bagi pengembang AI dan pemilik data

Bagi pengembang AI, Pasal 88c berpotensi memberi kejelasan tekstual, tetapi bukan jalan pintas kepatuhan. Pendekatan yang dapat dipertanggungjawabkan tetap memerlukan penilaian terdokumentasi mengenai kebutuhan dan keseimbangan hak, minimisasi data, informasi yang transparan, serta prosedur operasional untuk menangani keberatan.

Bagi orang yang datanya mungkin dipakai, pertanyaan utamanya adalah apakah hukum akhir nanti mempertahankan batas yang nyata: apakah penggunaan data benar-benar diperlukan, apakah data sensitif tetap dibatasi ketat, dan apakah mekanisme keberatan bekerja secara teknis—bukan sekadar simbolis.

Arah kebijakan UE juga bukan berarti Eropa meninggalkan regulasi AI preventif. Omnibus AI yang telah berlaku menunda sebagian kewajiban untuk AI berisiko tinggi, sementara proposal data yang terpisah sedang mengeksplorasi jalur yang lebih jelas bagi pemrosesan data tertentu terkait AI. Keseimbangan akhirnya akan bergantung pada negosiasi Dewan UE dan Parlemen Eropa, serta cara teks yang kelak disahkan ditafsirkan dan ditegakkan.19