Aman Nggak Upload Data Pelanggan ke ChatGPT atau Claude? Ini Kata UU PDP
Data pelanggan adalah data pribadi, jadi UU PDP ikut berlaku saat ditempel ke AI. Pasal yang relevan, beda paket pribadi dan bisnis, dan cara amannya.
Upload data pelanggan ke ChatGPT atau Claude bisa aman, tapi bukan cuma soal fitur keamanan layanannya. Data pelanggan adalah data pribadi, jadi begitu kamu menempelnya ke layanan AI, UU Pelindungan Data Pribadi ikut berlaku. Perusahaanmu yang menentukan tujuan pemrosesannya, jadi tanggung jawabnya tetap di perusahaanmu, bukan di OpenAI atau Anthropic. Cara paling aman: pakai akun bisnis, kirim seminimal mungkin, dan samarkan identitas pelanggan sebelum ditempel.
Artikel ini ringkasan untuk orientasi, bukan nasihat hukum. Untuk keputusan yang berisiko besar, konsultasikan dengan ahli hukum.
Yang dikatakan UU PDP
UU No. 27 Tahun 2022 disahkan 17 Oktober 2022 dan memberi masa penyesuaian dua tahun (Pasal 74). Pasal yang paling relevan saat data pelanggan dibawa ke layanan AI:
| Pasal | Isinya | Artinya untuk kamu |
|---|---|---|
| Pasal 1 | Pengendali menentukan tujuan dan mengendalikan pemrosesan, prosesor memproses atas nama pengendali | Perusahaanmu pengendali, layanan AI bisa berperan sebagai prosesor |
| Pasal 20 | Pengendali wajib punya dasar pemrosesan, misalnya persetujuan, pelaksanaan perjanjian, atau kepentingan yang sah | Harus jelas kenapa data pelanggan itu boleh diolah untuk tujuan ini |
| Pasal 35 | Pengendali wajib melindungi dan memastikan keamanan data yang diprosesnya | Pemilihan layanan dan pengaturan akses termasuk kewajibanmu |
| Pasal 51 ayat 3 | Pemrosesan oleh prosesor tetap termasuk tanggung jawab pengendali | Kalau layanan AI-nya bermasalah, tanggung jawab tetap ada di perusahaanmu |
| Pasal 56 | Transfer ke luar negeri butuh negara tujuan dengan pelindungan setara atau lebih tinggi, atau pelindungan yang memadai dan mengikat, atau persetujuan subjek data | Server layanan AI umumnya di luar Indonesia, jadi pasal ini ikut berlaku |
| Pasal 46 | Kalau terjadi kegagalan pelindungan data, pengendali wajib memberi tahu subjek data dan lembaga paling lambat 3 x 24 jam | Kebocoran lewat akun AI juga termasuk |
| Pasal 57 | Sanksi administratif, termasuk denda paling tinggi 2% dari pendapatan atau penerimaan tahunan | Risikonya nyata untuk bisnis |
UU PDP juga membedakan data pribadi umum, seperti nama lengkap dan jenis kelamin, dengan data pribadi spesifik (Pasal 4), seperti data kesehatan, biometrik, data anak, dan data keuangan pribadi. Data spesifik butuh kehati-hatian lebih besar.
Paket pribadi dan paket bisnis berbeda
| Paket pribadi | Paket bisnis | |
|---|---|---|
| ChatGPT | Konten bisa dipakai melatih model, kecuali kamu mematikannya | Business dan Enterprise tidak memakai data bisnis untuk melatih model secara default |
| Claude | Chat bisa dipakai melatih model, terutama kalau kamu mengizinkannya lewat pengaturan | Paket Team tidak memakai kontenmu untuk melatih model secara default |
| Kontrol perusahaan | Tidak ada, akun milik pribadi karyawan | Admin, SSO, dan pengaturan akses |
Sumber: halaman harga ChatGPT, Privacy Center Anthropic, dan halaman harga Claude. Untuk OpenAI, detail retensi dan Data Processing Addendum sudah kubahas di Mau Rekap Data Keuangan Perusahaan ke ChatGPT? Bahaya Nggak Sih?.
Dari kacamata UU PDP, perbedaan terbesarnya bukan ChatGPT atau Claude, tapi apakah datanya masuk ke akun yang dikelola perusahaan dengan perjanjian yang jelas, atau ke akun pribadi karyawan yang nggak bisa diawasi siapa pun.
Cara aman memakai AI untuk data pelanggan
- Tanya dulu, apakah AI perlu tahu identitasnya? Untuk segmentasi, analisis tren, atau merangkum keluhan, biasanya cukup ID pelanggan, kota, dan riwayat pembelian. Nama, nomor HP, dan alamat bisa dibuang.
- Samarkan sebelum ditempel. Ganti nama dengan kode seperti P001, dan simpan tabel pasangannya di sistem internal, bukan di layanan AI.
- Kirim kolom seminimal mungkin. Hapus kolom yang nggak dipakai untuk pertanyaanmu.
- Jangan tempel data spesifik, seperti NIK, data kesehatan, atau data keuangan pribadi pelanggan, ke layanan AI pihak ketiga.
- Pakai akun bisnis, dan pastikan pengaturan pelatihan model serta retensinya sesuai kebijakan perusahaan.
- Catat tujuan dan dasar pemrosesannya. Misalnya "analisis keluhan untuk perbaikan layanan". Catatan ini membantu saat ada pertanyaan dari pelanggan atau auditor.
- Hapus file dan chat yang berisi data pelanggan setelah pekerjaannya selesai, sesuai aturan retensi di perusahaanmu.
Contoh penerapannya ada di Bisakah AI Belajar Gaya Jualan dari Riwayat Chat WhatsApp?, di mana chat pelanggan disamarkan dulu sebelum dipakai menyusun panduan gaya.
Contoh pembagiannya
| Kebutuhan | Perlakuan |
|---|---|
| Rekap jumlah pesanan per kota atau per produk | Boleh, karena berupa angka agregat |
| Merangkum keluhan pelanggan bulan ini | Boleh, setelah nama dan nomor kontak dihapus |
| Segmentasi pelanggan dari riwayat pembelian | Pakai ID samaran dan akun bisnis |
| Mengirim daftar pelanggan lengkap dengan nama, HP, dan alamat | Hindari, kecuali ada dasar pemrosesan yang jelas dan layanan dengan perjanjian yang mengikat |
| Data KTP, kesehatan, atau rekening pelanggan | Jangan ditempel ke layanan AI pihak ketiga |
Satu hal lagi, keputusan otomatis
Kalau AI dipakai untuk mengambil keputusan tentang pelanggan, misalnya menolak pengajuan atau menentukan harga, ada hak lain yang ikut berlaku. Pasal 10 UU PDP memberi subjek data hak untuk mengajukan keberatan atas keputusan yang hanya didasarkan pada pemrosesan otomatis. Contoh kasusnya di perekrutan aku bahas di Seleksi CV Pakai AI, Hati-hati Biasnya Ikut Terotomatisasi.
Penutup
Pertanyaannya bukan "boleh atau nggak pakai AI", tapi "data apa yang benar-benar perlu dikirim, ke akun siapa, dan atas dasar apa". Kalau datanya sudah disamarkan, diminimalkan, dan masuk ke akun bisnis, AI bisa dipakai untuk data pelanggan dengan risiko yang jauh lebih kecil.
Kalau kamu ingin menyusun alur aman untuk memakai AI dengan data pelanggan, termasuk penyamaran otomatis sebelum datanya dikirim, cerita aja dulu kebutuhanmu.
Foto di artikel ini dari Unsplash, karya Maksym Kaharlytskyi (foto utama) dan Mahen Rin, dipakai sesuai Unsplash License.
Ada proses di tim kamu yang masih manual?
Cerita aja, kita cariin solusinya bareng.
Catatan lainnya
Bedanya ChatGPT Work dan Dots, Kapan Pakai yang Mana?
Work menyelesaikan tugas yang kamu mulai, Dots menjaga pekerjaan terus berjalan. Bedanya ChatGPT Work dan Dots, paket yang dibutuhkan, dan contoh tugas masing-masing.
Baca catatan
Bisakah AI Belajar Gaya Jualan dari Riwayat Chat WhatsApp?
Bisa, dan biasanya nggak perlu melatih model sendiri. Cara ekspor chat WhatsApp, mengubahnya jadi panduan gaya, prompt siap pakai, serta risiko data pelanggannya.
Baca catatan