Untuk pembaca Indonesia, istilah DSGVO adalah sebutan Jerman untuk GDPR, aturan perlindungan data Uni Eropa. Jadi, ketika pertanyaannya adalah apakah AI “patuh DSGVO”, inti pertanyaannya sebenarnya: apakah suatu model atau penggunaan AI memproses data pribadi, dan apakah pemrosesan itu punya dasar hukum serta penilaian risiko yang memadai ^[3][4].

Rujukan utama dalam sumber yang tersedia adalah EDPB Opinion 28/2024. Dokumen ini membahas aspek tertentu perlindungan data terkait pemrosesan data pribadi dalam konteks model AI ^[4]. Artinya, dokumen tersebut bukan tiket bebas untuk semua proyek AI, tetapi juga bukan larangan menyeluruh terhadap AI ^[3][4].

Fakta singkatnya

Pernyataan “AI patuh GDPR” terlalu umum. Sama kelirunya jika mengatakan bahwa semua penggunaan AI otomatis melanggar hukum. Pendekatan EDPB melihat konteks konkret: apakah ada data pribadi, untuk tujuan apa data itu diproses, apa dasar hukumnya, dan bagaimana risiko pada tahap pengembangan maupun penggunaan model ^[3][4].

Dalam pengumuman 18 Desember 2024, European Data Protection Board atau EDPB menyebut tiga pertanyaan utama dalam Opinion 28/2024: kapan dan bagaimana model AI dapat dianggap anonim, apakah dan bagaimana legitimate interest atau kepentingan yang sah dapat dipakai sebagai dasar hukum untuk mengembangkan atau menggunakan model AI, serta apa yang terjadi jika model AI dikembangkan dengan data pribadi yang diproses secara melanggar hukum ^[3].

Untuk Jerman, sumber-sumber ini tidak memberi jawaban khusus berupa pengecualian nasional yang serba otomatis. Penilaiannya tetap bergantung pada proses konkret: data pribadi apa yang terlibat, siapa yang memproses, untuk tujuan apa, dengan dasar hukum apa, dan apakah ada risiko pada pemrosesan lanjutan ^[2][3][4].

Apa yang sebenarnya dijelaskan EDPB Opinion 28/2024?

Opinion 28/2024 secara eksplisit membahas “aspek tertentu” perlindungan data dalam pemrosesan data pribadi terkait model AI ^[4]. Jadi, cakupannya penting tetapi tidak mencakup semua pertanyaan hukum tentang AI.

Bagi organisasi, pengembang, atau pengguna AI, konsekuensinya jelas: sistem tidak dinilai hanya dari label teknologinya. Yang dinilai adalah pemrosesan data pribadi dalam situasi nyata ^[3][4]. Tiga titik yang paling penting adalah anonimitas model, dasar hukum berupa legitimate interest, dan dampak jika data pelatihan atau proses awal ternyata bermasalah ^[2][3].

1. Model AI tidak otomatis anonim

Salah satu salah kaprah yang sering muncul adalah anggapan bahwa model AI otomatis anonim karena data mentahnya tidak lagi terlihat. Menurut komunikasi EDPB, apakah suatu model AI dapat dianggap anonim harus dinilai kasus per kasus oleh otoritas perlindungan data ^[3].

Dengan kata lain, menyatakan “model ini anonim” saja tidak cukup. Perlu ada dasar yang dapat dipertanggungjawabkan untuk menunjukkan bahwa, dalam kondisi konkret, model tersebut memang dapat diperlakukan sebagai anonim ^[3].

Poin ini menjadi sangat penting jika data pribadi ternyata masih tertinggal dalam model. Materi webinar ENISA tentang EDPB Opinion 28/2024 menggambarkan skenario ketika data pribadi yang masih tersimpan dalam model dapat memengaruhi legalitas pemrosesan berikutnya; dalam situasi seperti itu, penilaian kasus per kasus diperlukan ^[2].

2. Legitimate interest mungkin relevan, tetapi bukan jalan pintas

EDPB Opinion 28/2024 secara khusus membahas apakah dan bagaimana legitimate interest dapat digunakan sebagai dasar hukum untuk pengembangan atau penggunaan model AI ^[3]. Ini penting, tetapi tidak berarti semua proyek AI otomatis boleh berjalan hanya dengan alasan kepentingan yang sah.

Pertanyaannya bukan “apakah AI bisa memakai legitimate interest”, melainkan apakah dasar hukum itu kuat untuk pemrosesan tertentu. Konteks, tujuan, kebutuhan, dan dampak terhadap individu tetap harus dinilai ^[3].

Penilaian menjadi lebih sensitif jika ada masalah pada tahap sebelumnya. Materi ENISA menyebut bahwa ketika pemrosesan lanjutan didasarkan pada legitimate interest, ketidakabsahan pada pemrosesan awal dapat perlu diperhitungkan dalam penilaian legitimate interest tersebut ^[2].

3. Riwayat data pelatihan tetap bisa berpengaruh

EDPB juga menyoroti pertanyaan penting: apa akibatnya jika sebuah model AI dikembangkan menggunakan data pribadi yang sebelumnya diproses secara melanggar hukum ^[3].

Implikasinya praktis: masalah pada asal-usul data tidak otomatis hilang hanya karena data itu sudah digunakan untuk melatih model. Jika data pribadi masih tertahan dalam model, hal tersebut dapat memengaruhi legalitas pemrosesan berikutnya, dan menurut materi ENISA penilaiannya harus dilakukan kasus per kasus ^[2].

Jika ada beberapa pihak yang terlibat, misalnya pengembang model, penyedia layanan, dan organisasi pengguna, tanggung jawab juga perlu dipetakan dengan jelas. Materi ENISA membedakan skenario dengan pengendali data yang sama dan pengendali data yang berbeda, serta menekankan bahwa setiap pengendali harus memastikan legalitas pemrosesannya sendiri ^[2].

Checklist GDPR/DSGVO untuk proyek AI

Checklist ini bukan pengganti nasihat hukum. Namun, poin-poin berikut merangkum pertanyaan praktis yang muncul dari bahan EDPB dan ENISA.

1. Pisahkan tahap dan tujuan

Tentukan apakah yang sedang dinilai adalah tahap pengembangan, penerapan, atau pemrosesan lain dalam konteks model AI. EDPB membahas penggunaan data pribadi untuk pengembangan dan deployment model AI ^[3].

2. Periksa apakah ada data pribadi

Dokumentasikan apakah data pribadi diproses, di tahap mana, dan untuk tujuan apa. Opinion 28/2024 memang berfokus pada pemrosesan data pribadi dalam konteks model AI ^[4].

3. Jangan hanya mengklaim model anonim

Jika model akan diperlakukan sebagai anonim, klaim itu perlu didukung penilaian yang kuat. Menurut EDPB, anonimitas model AI harus dinilai kasus per kasus oleh otoritas perlindungan data ^[3].

4. Uji dasar hukum secara konkret

Jika legitimate interest dipakai sebagai dasar hukum, perlu dinilai apakah dasar itu benar-benar sesuai untuk pengembangan atau penggunaan tertentu ^[3]. Sumber yang tersedia tidak menunjukkan adanya pengecualian umum untuk AI dari kewajiban GDPR/DSGVO ^[3][4].

5. Lihat isi model dan riwayat datanya

Periksa apakah data pribadi masih tertinggal dalam model, dan apakah data pada tahap pengembangan diproses secara sah. Keduanya dapat relevan untuk pemrosesan lanjutan ^[2][3].

6. Tetapkan tanggung jawab setiap pihak

Jika beberapa organisasi terlibat dalam pengembangan, penyediaan, atau penggunaan AI, perlu jelas siapa bertanggung jawab atas pemrosesan yang mana. Materi ENISA menekankan bahwa setiap pengendali harus memastikan legalitas pemrosesannya sendiri ^[2].

Kesalahpahaman yang perlu dihindari

“Model AI pasti anonim karena data mentah tidak terlihat.” Tidak selalu. EDPB menyatakan bahwa anonimitas model AI harus dinilai kasus per kasus ^[3].

“Legitimate interest selalu cukup.” Tidak. EDPB membahas apakah dan bagaimana legitimate interest dapat digunakan, tetapi itu bukan pembenaran otomatis untuk setiap pengembangan atau penggunaan AI ^[3].

“Setelah model selesai dilatih, asal-usul data tidak penting lagi.” Tidak sesederhana itu. Opinion 28/2024 secara khusus membahas situasi ketika model AI dikembangkan menggunakan data pribadi yang diproses secara melanggar hukum ^[3]. Jika data pribadi masih tersimpan dalam model, hal itu dapat memengaruhi pemrosesan berikutnya ^[2].

Kesimpulan

Di Jerman dan Uni Eropa, AI tidak otomatis patuh GDPR/DSGVO hanya karena disebut AI. Namun, AI juga tidak otomatis dilarang. Fakta kuncinya adalah pemrosesan data pribadi yang konkret: apakah model benar-benar anonim, apa dasar hukumnya, apakah ada data pribadi yang tertinggal dalam model, dan apakah ada masalah hukum pada proses pengembangan sebelumnya ^[2][3][4].