Oleh Mohammad Novel Ariyadi, ST, MPM*)

Jakarta, INDONEWS.ID - Dua mandat RUU KKS harus memperkuat kemampuan negara memutus rantai Intervensi Asing Berbasis Data Pribadi sekaligus memastikan setiap penggunaan kewenangan tunduk pada pembatasan, pengawasan, dan akuntabilitas.

Negara yang kuat bukanlah negara yang memiliki kewenangan tanpa batas. Dalam negara hukum yang demokratis, kekuatan justru ditentukan oleh kemampuan menghadapi ancaman secara efektif sekaligus memastikan bahwa setiap tindakan negara memiliki dasar hukum, dapat diuji, diawasi, dan dipertanggungjawabkan. Prinsip inilah yang seharusnya menjadi fondasi pembahasan Rancangan Undang-Undang Keamanan dan Ketahanan Siber (RUU KKS).

Selama bertahun-tahun, pelindungan data pribadi terutama ditempatkan dalam ranah privasi: apakah data dikumpulkan secara sah, digunakan sesuai tujuan, diamankan, dan dapat dikoreksi atau dihapus oleh subjek data. Kerangka itu tetap fundamental. Namun, kecerdasan buatan telah mengubah skala dan konsekuensinya.

Pada skala populasi, data pribadi dapat menjadi infrastruktur untuk membaca masyarakat, memprediksi perilaku, memengaruhi keputusan, bahkan mendukung penargetan manusia. Pertanyaannya kini bukan hanya apakah sebuah sistem diretas atau basis data bocor, tetapi kapan eksploitasi data berubah menjadi ancaman terhadap demokrasi, layanan esensial, keselamatan manusia, kedaulatan, atau kepentingan strategis nasional.

Dalam tulisan ini, Intervensi Asing Berbasis Data Pribadi dipahami sebagai rangkaian tindakan yang diarahkan, dibiayai, difasilitasi, atau didukung secara material oleh nexus asing melalui eksploitasi data pribadi untuk memperoleh keuntungan strategis yang menimbulkan kerugian serius bagi Indonesia. Kehadiran unsur asing saja tidak cukup. Harus dibuktikan keterkaitan antara aktor, cara yang digunakan, tujuan strategis, dan dampaknya.

Dari mencari target menuju membentuk target

Pada era pengawasan massal yang dikenal publik melalui pengungkapan Edward Snowden, arsitektur utamanya dapat diringkas sebagai collect-store-search: mengumpulkan data, menyimpannya, lalu mencari jejak orang atau aktivitas tertentu. Pada era AI, rantainya memanjang menjadi collect-fuse-infer-predict-personalise-act: data dikumpulkan, dipadukan lintas sumber, digunakan untuk menyimpulkan atribut yang tidak pernah dinyatakan, memprediksi perilaku, mempersonalisasi pesan atau perlakuan, lalu mendorong suatu tindakan.

Perbedaannya bukan sekadar volume. AI memperpendek jarak antara observasi dan intervensi. Sistem tidak hanya menemukan target yang sudah diketahui, tetapi dapat membantu mengidentifikasi siapa yang patut diperiksa, dipengaruhi, dibatasi, atau diprioritaskan. Risiko menjadi strategis ketika data yang sensitif bertemu skala populasi, keterhubungan lintas sistem, ketergantungan fungsi nasional, dan pemanfaatan adversarial.

Karena itu, pelindungan data pribadi layak dipahami sebagai lapisan pertama keamanan dan ketahanan siber nasional. Data kependudukan, biometrik, kesehatan, komunikasi, lokasi, transaksi, serta jejaring sosial menopang layanan digital dan keputusan strategis. Kegagalan pelindungan di hulu dapat berubah menjadi gangguan fungsi nasional di hilir.

UU PDP kuat pada pemrosesan, tetapi belum cukup untuk risiko sistemik

Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi dan Peraturan Pemerintah Nomor 33 Tahun 2026 telah membangun fondasi penting: dasar pemrosesan, pembatasan tujuan, hak subjek data, tanggung jawab pengendali dan prosesor, penilaian dampak, keamanan, transfer data, serta pelindungan dalam pemrosesan berisiko tinggi dan keputusan otomatis.

Namun, rezim PDP pada dasarnya mengikuti rangkaian pemrosesan dan hubungan antara subjek data dengan pihak yang memproses data. Ia belum dirancang sebagai kerangka end-to-end untuk mendeteksi kampanye terkoordinasi lintas platform, mengatribusikan hubungan dengan aktor asing, mengukur kerugian kumulatif pada populasi, mengoordinasikan respons lintas sektor, atau membatasi kewenangan darurat siber. Ini bukan kegagalan UU PDP, melainkan perbedaan mandat.

Di sinilah RUU KKS diperlukan: bukan untuk menggantikan UU PDP, bukan pula untuk mengambil alih seluruh kewenangan sektoral, melainkan untuk menjadi connecting law yang menghubungkan model ancaman, koordinasi, safeguards, dan akuntabilitas.

Empat kasus, satu pola: data menuju intervensi

Kasus Cambridge Analytica memperlihatkan bagaimana data platform komersial dapat mengalami purpose drift menjadi instrumen politik. Federal Trade Commission Amerika Serikat mengonfirmasi praktik menyesatkan dalam perolehan data Facebook untuk profiling dan targeting pemilih. Federal Election Commission juga menemukan dasar awal untuk menilai keterlibatan personel asing dalam keputusan kampanye tertentu. Tetapi disiplin evidensial penting: penyalahgunaan data dan voter targeting dapat dikonfirmasi tanpa serta-merta menyimpulkan bahwa Cambridge Analytica menentukan hasil Pemilu AS 2016.

Konflik kontemporer menunjukkan lintasan yang lebih jauh. Data fusion, AI, platform digital, dan operasi persepsi dapat bertemu dalam satu lingkungan operasi, meskipun integrasi teknis end-to-end tidak selalu terbukti secara publik. Respons negara terhadap intervensi—misalnya pemutusan internet atau pembatasan konektivitas—juga dapat berubah menjadi overreach ketika tidak berbasis ancaman spesifik, tidak proporsional, atau tidak memiliki batas waktu dan pemulihan.

Dalam konteks Gaza, laporan Perserikatan Bangsa-Bangsa dan kajian kemanusiaan internasional menyoroti risiko penggunaan AI-assisted decision support dalam rantai penargetan. Pelajaran normatifnya berlaku luas: rekomendasi algoritmik bukan keputusan, kecuali tinjauan manusia hanya menjadi formalitas. AI dapat mendukung keputusan, tetapi tidak dapat menyerap tanggung jawab hukum dan moral manusia.

Lima jembatan yang harus dibangun RUU KKS

1. Ambang risiko sistemik

RUU KKS harus menetapkan kapan eksploitasi data pribadi melampaui kerugian individual dan menjadi ancaman sistemik: ketika dampaknya meluas, kumulatif, lintas sektor, atau menyentuh demokrasi, layanan esensial, keselamatan manusia, pertahanan, kedaulatan, maupun capaian pembangunan nasional. Tanpa ambang yang jelas, negara berisiko terlambat bertindak; sebaliknya, definisi yang terlalu lentur membuka ruang penyalahgunaan.

2. Deteksi dan atribusi kampanye

Diperlukan model ancaman bersama, indikator objektif, standar pembuktian bertingkat, dan mekanisme koordinasi lintas platform serta sektor. Fakta terverifikasi harus dipisahkan dari klaim aktor dan analisis. Atribusi tidak boleh dibangun dari satu narasi, kewarganegaraan, lokasi server, atau afiliasi politik semata.

3. Pertukaran data yang sah

Koordinasi antarlembaga tidak boleh menjadi alasan untuk membuat kolam data tanpa batas. Setiap pertukaran harus memiliki tujuan spesifik, dasar hukum, pembatasan akses, pencatatan, retensi terbatas, pengamanan, serta larangan penggunaan sekunder. Prinsip minimisasi data tetap berlaku justru ketika risiko keamanan meningkat.

4. Akuntabilitas AI dan platform

Sistem yang melakukan profiling, inferensi, amplifikasi, rekomendasi, atau dukungan keputusan berisiko tinggi harus dapat diuji. RUU KKS perlu menghubungkan data provenance, akurasi, validasi model, audit log, meaningful human review, mekanisme keberatan, dan pertanggungjawaban institusional. Label human-in-the-loop tidak cukup apabila manusia hanya membenarkan keluaran mesin dalam hitungan detik.

5. Pembatasan respons negara

Kewenangan luar biasa harus tunduk pada uji sebelum, selama, dan setelah digunakan. Sebelum tindakan: harus ada ancaman serius, dasar hukum spesifik, dan necessity test. Selama tindakan: sasaran, wilayah, data, serta layanan dibatasi; ada batas waktu, otorisasi, dan logging. Setelah tindakan: wajib tersedia review independen, transparansi sejauh dimungkinkan, pengaduan, remedy, dan pemulihan.

Atur operasi manipulatif, bukan isi pendapat

Tantangan tersulit adalah mencegah norma anti-intervensi berubah menjadi alat untuk mengendalikan kritik. Objek regulasi seharusnya bukan pendapat yang tidak disukai negara, melainkan operasi manipulatif yang terkoordinasi. Kualifikasinya harus kumulatif: terdapat nexus asing; ada eksploitasi data pribadi; digunakan cara menipu, manipulatif, koersif, atau koruptif; ada tujuan memperoleh keuntungan strategis asing; dan terdapat kerugian nasional yang serius atau risiko nyata yang dapat dibuktikan.

Karena itu, kritik terhadap pemerintah, oposisi, jurnalisme, riset akademik, advokasi masyarakat sipil, satire, ekspresi keagamaan, aksi damai, anonimitas, atau enkripsi harus tetap dilindungi sepanjang tidak terhubung dengan tindakan melawan hukum yang terbukti. Lokasi di luar negeri, kewarganegaraan asing, penggunaan teknologi asing, atau sikap politik—sendiri-sendiri—tidak cukup untuk menetapkan seseorang sebagai aktor asing.

Uji ganda ketahanan siber demokratis

RUU KKS menghadapi dua kegagalan yang sama-sama berbahaya. Underreach terjadi ketika negara tidak mampu melihat dan menghentikan rantai eksploitasi data yang telah berubah menjadi ancaman sistemik. Overreach terjadi ketika ancaman siber digunakan sebagai alasan untuk pengawasan massal tanpa target, pemblokiran menyeluruh, pembatasan ekspresi, atau pemusatan kewenangan tanpa pengawasan.

Karena itu, setiap rumusan kewenangan perlu melewati dua pertanyaan. Pertama, apakah negara menjadi lebih mampu mencegah, mendeteksi, merespons, memulihkan, dan belajar dari ancaman? Kedua, apakah warga tetap terlindungi dari pemrosesan data dan penggunaan kewenangan secara sewenang-wenang? RUU KKS yang demokratis harus menjawab “ya” pada keduanya.

Ketahanan bukan hanya kemampuan negara untuk bertindak. Ketahanan adalah kemampuan untuk bertindak secara tepat, sah, terukur, dapat diaudit, dapat dipertanggungjawabkan, dan tetap menjaga hak konstitusional. RUU KKS harus memutus rantai intervensi asing tanpa menciptakan rantai penyalahgunaan kewenangan di dalam negeri. Dalam arsitektur seperti itulah keamanan negara dan pelindungan warga tidak dipertentangkan. Negara menjadi kuat bukan karena kewenangannya tanpa batas, melainkan karena hak konstitusional warganya tetap terlindungi.

*) Mohammad Novel Ariyadi, ST, MPM adalah praktisi dan penasihat cybersecurity serta privacy; Deputy Chairman Indonesia Cyber Security Forum (ICSF), Direktur LSP PDP Indonesia, dan Peneliti Keamanan dan Ketahanan Siber pada Pusat Studi Air Power Indonesia (PSAPI). Artikel ini dikembangkan dari pandangan yang disampaikan dalam RDPU Komisi I DPR RI mengenai RUU Keamanan dan Ketahanan Siber, 7 September 2026.