---
title: Mengapa PP 33/2026 Sebenarnya Juga Soal Inventaris AI, Bukan Hanya Urusan Legal
description: PP 33/2026 membawa perubahan penting bagi pengelolaan AI di bank, mengharuskan inventarisasi dan penilaian risiko untuk keputusan otomatis yang berdampak hukum.
image: https://ked-consulting.com/hubfs/AI-Generated%20Media/Images/Four%20File%20Drawers%20Converging%20To%20AI%20UseCase%20Register%20Card.png
---

[KEDConsulting](https://ked-consulting.com/?hsLang=id)

[Home](https://ked-consulting.com/?hsLang=id)[Advisory](https://ked-consulting.com/advisory?hsLang=id)[Solutions](https://ked-consulting.com/solutions?hsLang=id)[About](https://ked-consulting.com/about?hsLang=id)[KEDInsights](https://ked-consulting.com/insights?hsLang=id)[Contact](https://ked-consulting.com/contact?hsLang=id)

[Book a consultation](https://ked-consulting.com/book-a-consultation?hsLang=id)

[HOME](https://ked-consulting.com/?hsLang=id) / [INSIGHTS](https://ked-consulting.com/id/insights) / [ARTIFICIAL INTELLIGENCE](https://ked-consulting.com/id/insights/tag/artificial-intelligence)

KEDInsights

# Mengapa PP 33/2026 Sebenarnya Juga Soal Inventaris AI, Bukan Hanya Urusan Legal

Oleh **KED Consulting** November 11, 2026 5 menit baca

Mulai 16 Januari 2027, PP 33 Tahun 2026, peraturan pelaksana UU Pelindungan Data Pribadi, resmi berlaku. Sejauh ini, diskusi yang kami ikuti soal PP ini kebanyakan berada di ranah legal dan compliance. Wajar saja. Tapi kalau dibaca lebih teliti, regulasi ini justru memberi pimpinan TI dan arsitektur sesuatu yang sudah lama dibutuhkan: alasan yang jelas, dengan dasar hukum, untuk membangun satu gambaran utuh tentang di mana saja AI dan automated decisioning berjalan di bank, data apa yang dipakai, dan bagaimana sistem itu berubah dari waktu ke waktu.

Gambaran ini menjadi fondasi bagi hampir semua pertanyaan regulator soal AI saat ini. Kalau dibangun sekali dan lebih awal, banyak pekerjaan paralel di kemudian hari bisa dihemat.

### Apa yang berubah

PP 33/2026 diundangkan pada 16 Juli 2026 dan berlaku enam bulan kemudian. PP ini mengisi banyak hal yang belum diatur rinci di UU PDP 2022, mulai dari pencatatan pemrosesan, hak subjek data, penanganan kegagalan pelindungan data pribadi, transfer data lintas negara, sampai peran pejabat pelindungan data pribadi (PPDP).

Bagian yang layak diperhatikan CIO ada di Pasal 120 ayat (2). Pasal ini menyebut tujuh kategori pemrosesan berisiko tinggi yang wajib didahului Data Protection Impact Assessment (DPIA), termasuk pengambilan keputusan otomatis yang berdampak hukum atau signifikan, evaluasi atau scoring sistematis terhadap subjek data, pencocokan atau penggabungan data set, dan penggunaan teknologi baru termasuk kecerdasan artifisial dan machine learning. Penjelasan pasalnya bahkan menyebut AI, machine learning, smart technology, dan IoT secara eksplisit. Pasal 121 menambahkan bahwa DPIA harus selesai sebelum pemrosesan dimulai dan ditinjau ulang ketika risikonya berubah. Di sisi lain, Pasal 93 sampai 96 memberi hak kepada individu untuk menolak keputusan yang sepenuhnya didasarkan pada pemrosesan otomatis, termasuk profiling, bila keputusan itu berdampak hukum atau signifikan.

Kalau disandingkan dengan portofolio bank pada umumnya, cakupannya cukup luas: credit scoring, fraud detection, prioritas penagihan, next-best-offer, hingga asisten layanan nasabah yang bekerja di atas data rekening.

Dua perkembangan lain muncul di periode yang berdekatan. Pada 15 Oktober 2026, Financial Stability Board menerbitkan laporan final *Sound Practices for Responsible Adoption of AI*. Isinya dua belas praktik, di antaranya penilaian materialitas dan risiko setiap use case AI sejak awal dan secara berkelanjutan, serta pengelolaan ketergantungan AI pada pihak ketiga. Di dalam negeri, panduan Tata Kelola Kecerdasan Artifisial Perbankan Indonesia dari OJK (April 2025) sudah meminta penerapan AI yang etis, aman, dan sesuai regulasi di sepanjang siklus hidupnya. Sementara itu, PADK 1/2026 tentang penyelenggaraan TI oleh bank umum menempatkan pengelolaan data dan pelindungan data pribadi di dalam kerangka tata kelola TI itu sendiri.

### Mengapa ini penting bagi strategi dan tata kelola TI

Yang menarik, semua kerangka ini sebenarnya mengajukan tiga pertanyaan yang sama dengan bahasa yang sedikit berbeda. Sistem AI dan automated decision apa saja yang kita jalankan? Data dan keputusan apa yang disentuhnya? Apa yang terjadi ketika sistem itu berubah?

DPIA dalam PP 33/2026 bukan dokumen sekali jadi. Karena harus ditinjau ulang saat risiko berubah, DPIA praktis terikat pada siklus hidup model. Retraining dengan data set baru, penambahan sumber data, pergeseran model dari sekadar rekomendasi menjadi keputusan otomatis, atau pergantian foundation model ke vendor lain, semuanya adalah peristiwa engineering. Peristiwa ini muncul lebih dulu di change request, pipeline MLOps, dan kontrak vendor, jauh sebelum tercatat di register milik tim legal.

Kami melihat cukup banyak bank yang menyimpan informasi ini di tiga atau empat tempat yang tidak saling terhubung. Ada inventaris model di manajemen risiko, portofolio aplikasi di enterprise architecture, catatan aktivitas pemrosesan di unit PPDP, dan daftar pilot GenAI yang terus bertambah di tim inovasi. Masing-masing benar sebagian, tapi belum ada yang lengkap.

Ada juga soal proporsionalitas. Banyak pemrosesan data pribadi tergolong berisiko tinggi, namun disampingkan itu ada perusahaan yang justru over-compliance dengan menjalankan DPIA untuk semua pemrosesan hingga menimbulkan backlog. Di sinilah inventaris yang baik membantu. Upaya bisa dibuat bertingkat, mendalam untuk keputusan yang berdampak langsung ke nasabah dan lebih ringan untuk yang lain.

### Bagaimana merespons secara praktis

Beberapa langkah yang dapat berjalan baik, atau masuk akal bila melihat teks regulasinya:

1. **Satu register, bukan empat.** Sepakati satu inventaris use case AI dan automated decision yang menjadi rujukan bersama tim arsitektur, risiko, dan PPDP. Untuk awal, cukup beberapa atribut: pemilik bisnis, tujuan, kategori data pribadi, apakah output-nya rekomendasi atau keputusan, jenis dan sumber model (in-house, vendor, atau foundation model), serta lokasi pemrosesannya.
2. **Satu kali screening untuk dua kebutuhan.** Langkah screening singkat bisa sekaligus menjawab pemicu Pasal 120 dan pertanyaan materialitas ala FSB. Satu intake menghasilkan keputusan perlu tidaknya DPIA sekaligus tingkat risikonya.
3. **Kaitkan penilaian ulang dengan change management.** Tentukan perubahan teknis mana yang memicu review DPIA, misalnya sumber data baru, retraining dengan data yang berbeda secara material, perubahan tingkat otonomi, pergantian penyedia model, atau pemrosesan lintas negara yang baru. Lalu masukkan pengecekan ini ke proses change dan release yang sudah ada, supaya tidak bergantung pada ingatan orang.
4. **Perhatikan lapisan vendor.** Banyak kemampuan AI masuk lewat platform SaaS dan model milik vendor. Pencatatan pemrosesan di PP 33 dan praktik pihak ketiga dari FSB menunjuk ke kebutuhan yang sama, yaitu mengetahui pemasok mana yang memproses data pribadi lewat AI, dan klausul kontrak apa yang mendukung asesmen serta notifikasi insiden dalam batas 3x24 jam sesuai Pasal 114.
5. **Rancang jalur untuk hak menolak.** Kalau keputusan yang sepenuhnya otomatis bisa ditolak nasabah, perlu ada jalur untuk meneruskan kasusnya ke staf perusahaan dan menjelaskan hasilnya. Ini persoalan proses dan arsitektur, tidak hanya persoalan hukum.

### Kapan: urutan yang masuk akal

Sekitar sepuluh minggu itu singkat, jadi urutan kerja lebih penting daripada kelengkapan.

- **Bulan Ke-1:** susun versi pertama inventaris bersama dan sepakati pertanyaan screening. Kejar cakupan dulu, kerapian belakangan.
- **Bulan Ke-2:** selesaikan DPIA untuk keputusan otomatis yang berhadapan langsung dengan nasabah lebih dulu (kredit, fraud, penagihan), dan sepakati pemicu perubahan bersama tim engineering.
- **Bulan Ke-3:** pastikan catatan pemrosesan, register DPIA, dan playbook insiden saling konsisten, serta pemicu perubahan sudah aktif setidaknya di pipeline delivery utama.
- **Bulan Ke-4 dan seterusnya:** perluas ke use case internal dan berisiko rendah, lalu sesuaikan dengan panduan lanjutan.

Bagaimana perlakuan terhadap sistem AI yang sudah berjalan sebelum 16 Januari adalah pertanyaan yang sebaiknya dikonfirmasi dengan penasihat hukum. Pendekatan yang konservatif adalah memprioritaskannya, bukan menunggu.

### Catatan penutup

PP 33/2026 umumnya dibaca sebagai aturan privasi. Bagi pimpinan TI, regulasi ini juga dorongan paling konkret sejauh ini untuk mengetahui, di satu tempat, apa yang dilakukan AI kita terhadap data nasabah, dan untuk memperlakukan setiap perubahan model yang berarti sebagai peristiwa tata kelola. Bank yang membangun inventaris ini sekali akan lebih mudah menjawab praktik FSB, panduan AI dari OJK, maupun kebutuhan model risk internalnya sendiri.

 

> **Satu inventaris AI yang hidup lebih berharga daripada empat register yang rapi tapi terpisah.**

 

Dari pengalaman di organisasi masing-masing, tim mana yang saat ini memegang daftar use case AI paling lengkap, dan apakah itu tim yang nantinya menjalankan DPIA?

Topik [Artificial Intelligence](https://ked-consulting.com/id/insights/tag/artificial-intelligence)[IT Governance & Risk](https://ked-consulting.com/id/insights/tag/it-governance-risk)

Bagikan [LINKEDIN](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fked-consulting.com%2Fid%2Finsights%2Fmengapa-pp-33%2F2026-sebenarnya-juga-soal-inventaris-ai-bukan-hanya-urusan-legal) [X](https://x.com/intent/post?url=https%3A%2F%2Fked-consulting.com%2Fid%2Finsights%2Fmengapa-pp-33%2F2026-sebenarnya-juga-soal-inventaris-ai-bukan-hanya-urusan-legal&text=%3Cspan+id%3D%22hs_cos_wrapper_name%22+class%3D%22hs_cos_wrapper+hs_cos_wrapper_meta_field+hs_cos_wrapper_type_text%22+style%3D%22%22+data-hs-cos-general-type%3D%22meta_field%22+data-hs-cos-type%3D%22text%22+%3EMengapa+PP+33%2F2026+Sebenarnya+Juga+Soal+Inventaris+AI%2C+Bukan+Hanya+Urusan+Legal%3C%2Fspan%3E) [FACEBOOK](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fked-consulting.com%2Fid%2Finsights%2Fmengapa-pp-33%2F2026-sebenarnya-juga-soal-inventaris-ai-bukan-hanya-urusan-legal) [EMAIL](mailto:?subject=%3Cspan+id%3D%22hs_cos_wrapper_name%22+class%3D%22hs_cos_wrapper+hs_cos_wrapper_meta_field+hs_cos_wrapper_type_text%22+style%3D%22%22+data-hs-cos-general-type%3D%22meta_field%22+data-hs-cos-type%3D%22text%22+%3EMengapa+PP+33%2F2026+Sebenarnya+Juga+Soal+Inventaris+AI%2C+Bukan+Hanya+Urusan+Legal%3C%2Fspan%3E&body=https%3A%2F%2Fked-consulting.com%2Fid%2Finsights%2Fmengapa-pp-33%2F2026-sebenarnya-juga-soal-inventaris-ai-bukan-hanya-urusan-legal)

Baca juga

## Artikel terkait.

### [Artificial Intelligence Ketika Menemukan Celah Jauh Lebih Mudah daripada Menutupnya Nov 10, 2026BACA →](https://ked-consulting.com/id/insights/title?hsLang=id)

### [Artificial Intelligence Mahalnya Rasa Aman Bernama "Human in the Loop" Nov 7, 2026BACA →](https://ked-consulting.com/id/insights/the-expensive-comfort-of-a-human-in-the-loop?hsLang=id)

### [Artificial Intelligence 5 Pertanyaan AI yang Wajib Dijawab CIO Sebelum 2027 Jun 7, 2026BACA →](https://ked-consulting.com/id/insights/5-pertanyaan-ai-yang-wajib-dijawab-cio-sebelum-2027?hsLang=id)

Langkah berikutnya

## Ubah wawasan menjadi tindakan.

Diskusikan tantangan teknologi Anda dengan para ahli kami — tanpa biaya, tanpa komitmen.

[Jadwalkan konsultasi gratis →](https://ked-consulting.com/meetings/ked-consulting/meeting-with-ked?hsLang=id) [Hubungi kami](https://ked-consulting.com/contact?hsLang=id)

[KEDConsulting](https://ked-consulting.com/?hsLang=id)

Your trusted partner in IT strategy, enterprise architecture and governance, turning complexity into clarity.

 Indonesia Stock Exchange Tower 1 Level 3  
Jl. Jend. Sudirman Kav 52-53, Jakarta Selatan  
Indonesia 12190  
[+62 (0) 21 2960 7267](tel:+622129607267)  
[connect@ked-consulting.com](mailto:connect@ked-consulting.com)

#### Advisory

[Enterprise Architecture](https://ked-consulting.com/enterprise-architecture-advisory?hsLang=id)[Cloud Advisory & FinOps](https://ked-consulting.com/cloud-advisory?hsLang=id)[Architecture Review](https://ked-consulting.com/architecture-review?hsLang=id)[IT Governance & Risk](https://ked-consulting.com/itgrc-advisory?hsLang=id)[AI Advisory](https://ked-consulting.com/ai-advisory-ked-consulting?hsLang=id)

#### Solutions

[EA Management](https://ked-consulting.com/ea-management-platform?hsLang=id)[IT GRC Platform](https://ked-consulting.com/itgrc-platform?hsLang=id)[Technical Debt](https://ked-consulting.com/technical-debt-management?hsLang=id)

#### Company

[About us](https://ked-consulting.com/about?hsLang=id)[KEDInsights](https://ked-consulting.com/insights?hsLang=id)[Contact](https://ked-consulting.com/contact?hsLang=id)[Privacy Policy](https://ked-consulting.com/privacy-policy?hsLang=id)[Terms & Conditions](https://ked-consulting.com/tnc?hsLang=id)

© 2026 KED CONSULTING

[LINKEDIN](https://www.linkedin.com/company/karya-ekosistem-digital/)[FACEBOOK](https://www.facebook.com/profile.php?id=61560968952272&mibextid=LQQJ4d)[X](https://x.com/kedconsulting)[INSTAGRAM](https://www.instagram.com/ked.consulting)

```json
{
  "@context" : "https://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "KED Consulting",
    "url" : "https://ked-consulting.com/id/insights/author/ked-consulting"
  },
  "dateModified" : "2026-11-11T01:00:00.187Z",
  "datePublished" : "2026-11-11T01:00:00.000Z",
  "headline" : "Mengapa PP 33/2026 Sebenarnya Juga Soal Inventaris AI, Bukan Hanya Urusan Legal",
  "image" : [ "https://ked-consulting.com/hubfs/AI-Generated%20Media/Images/Four%20File%20Drawers%20Converging%20To%20AI%20UseCase%20Register%20Card.png" ],
  "mainEntityOfPage" : {
    "@id" : "https://ked-consulting.com/id/insights/mengapa-pp-33/2026-sebenarnya-juga-soal-inventaris-ai-bukan-hanya-urusan-legal",
    "@type" : "WebPage"
  },
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject",
      "url" : "https://ked-consulting.com/hubfs/KEDConsulting-round-1.png"
    },
    "name" : "KED Consulting"
  }
}
```