Pada Senin (5/10/2026), Dewan Perwakilan Rakyat telah mengesahkan RUU Satu Data Indonesia (SDI) menjadi undang-undang. UU ini membangun kerangka integrasi data pemerintah—data publik dari pusat hingga desa/kelurahan, menetapkan Data Dasar Nasional (DDN) sebagai rujukan utama pembangunan, dan membuka pemanfaatan kecerdasan artifisial (AI) dalam penyelenggaraan SDI. Catalyst Policy Works menilai pembentukan landasan hukum ini penting, tetapi sejumlah ketentuan kunci masih menyisakan risiko bagi keterbukaan informasi, pelindungan data pribadi, akuntabilitas keputusan publik, dan hak warga negara.
Lebih lanjut, UU SDI menawarkan perbaikan atas fragmentasi data melalui standar data, metadata, kode referensi/data induk, katalog nasional, serta interoperabilitas tanpa pemusatan fisik basis data. Pilihan arsitektur terdistribusi ini tepat, karena mempertahankan kewenangan produsen dan wali data. Namun, keberhasilan integrasi tidak cukup diukur dari banyaknya sistem yang terhubung. Ukuran utamanya harus mencakup kualitas data, keterlacakan perubahan, pembatasan tujuan penggunaan, keamanan data, akses publik, mekanisme koreksi, dan pertanggungjawaban ketika data yang salah menimbulkan kerugian, termasuk pemulihannya.
Selain itu, klasifikasi data yang diatur dalam UU ini dalam implementasinya juga harus presisi, dapat diuji, dan tidak menjadi pintu belakang (backdoor) kerahasiaan. Ketentuan Pasal 24 UU SDI membagi DDN menjadi data terbuka, terbatas, dan tertutup, yang didasarkan pada tingkat keterbukaan dan pelindungan. Pembagian ini diperlukan, tetapi rumusannya masih terlalu luas. Istilah seperti “fungsi pemerintahan”, “kepentingan publik”, “stabilitas nasional”, dan “risiko sedang” atau “risiko tinggi” membutuhkan indikator yang objektif dalam operasionalisasinya. Tanpa matriks risiko, batas waktu klasifikasi, pejabat penetap, dokumentasi alasan, mekanisme keberatan, dan peninjauan berkala, klasifikasi dapat diterapkan dengan tidak konsisten dan berpotensi memperluas kerahasiaan.
Risiko tersebut diperbesar oleh ketentuan yang mengatur (Pasal 18 dan Pasal 135) mengenai penghapusan kebutuhan nota kesepahaman atau perjanjian kerja sama untuk penyebarluasan, penggunaan, dan interoperabilitas, sepanjang dilakukan dalam kerangka SDI. Penyederhanaan birokrasi ini dapat mempercepat layanan, tetapi tidak boleh menghapus dokumentasi tujuan, dasar hukum, kategori data, penerima, masa retensi, jejak akses, serta pembagian tanggung jawab. Setiap pertukaran data, tetap harus tercatat, dapat diaudit, dan tunduk pada prinsip pembatasan tujuan.
Dengan kata lain dapat dikatakan tata kelola data publik belum cukup menjamin hak publik atas informasi. Hal ini terlihat dari rumusan pasal yang menjanjikan akses luas, mudah, dan nondiskriminatif terhadap data terbuka (Pasal 79); dan kewajiban untuk menyediakan data terbuka dan metadata (Pasal 108), akan tetapi UU tidak secara tegas menetapkan prinsip “terbuka secara bawaan” (open by default), format terbuka yang dapat dibaca mesin (machine readable), lisensi penggunaan kembali, standar waktu publikasi, kualitas minimum, maupun mekanisme koreksi publik. Selain itu, ketentuan biaya atas akses data terbatas dalam Pasal 81 UU SDI juga perlu dibatasi secara ketat, agar tidak mengubah data publik menjadi komoditas dan tidak menciptakan kesenjangan akses bagi peneliti, jurnalis, organisasi masyarakat sipil, dan kelompok rentan.
Lebih jauh dalam konteks DDN, yang akan menjadi rujukan utama perencanaan, anggaran, bantuan sosial, pelayanan publik, serta evaluasi kebijakan, terdapat risiko kesalahan, data usang, atau ketidaklengkapan, yang dapat berdampak langsung pada hak warga. Oleh sebab itu UU perlu diterjemahkan ke dalam prosedur yang menjamin hak untuk mengetahui sumber data, meminta koreksi, memperoleh alasan atas penolakan koreksi, dan memulihkan kerugian. Sebagai contoh, musyawarah data desa yang diatur dalam Pasal 37, harus ditempatkan sebagai kanal partisipasi yang penting, dan perlu diperkuat dengan perlindungan kelompok rentan, metode verifikasi yang transparan, dan larangan menjadikan konsensus lokal sebagai pengganti validitas metodologis, guna menjamin inklusivitasnya.
Kemudian berkaitan dengan aspek kedaulatan data, definisi operasionalnya tidak boleh direduksi semata-mata menjadi lokalisasi server. UU menempatkan kedaulatan data sebagai kewenangan negara dan mewajibkan data tunduk pada yurisdiksi Indonesia. Namun kedaulatan yang demokratis harus sekaligus menjamin kendali hukum, kemandirian operasional, portabilitas, audit vendor/penyedia layanan, keberlanjutan layanan, dan pelindungan hak warga. Infrastruktur awan berdaulat (sovereign cloud) perlu dibangun melalui standar yang terukur—termasuk kendali kunci kriptografi, lokasi dan akses administratif, rantai pasok, pemulihan bencana, serta strategi keluar dari ketergantungan, bukan sekadar keberadaan/lokasi pusat data.
Masih berkaitan dengan utilisasi data, pengaturan tentang kecerdasan artifisial—AI belum sebanding antara inovasi dan pengembangannya dengan dampak yang ditimbulkan. Ketentuan Pasal 63–64 UU SDI memuat kewajiban untuk melakukan penilaian risiko, uji konsekuensi, pengujian keamanan, keamanan sejak perancangan dan secara bawaan (safety by design and by default), keterlacakan (traceability), auditabilitas, pengawasan manusia, serta verifikasi keluaran AI yang dipakai dalam kebijakan. Namun, pengaturan ini sesungguhnya belum membentuk tata kelola AI berbasis risiko. Sebagai contoh, UU belum membedakan penggunaan berisiko rendah dan tinggi; belum menetapkan larangan penggunaan tertentu; belum mewajibkan penilaian dampak hak asasi manusia dan pelindungan data; serta belum menjamin pemberitahuan, penjelasan yang bermakna, koreksi, dan peninjauan oleh manusia bagi warga yang terdampak.
Kemudian pengaturan Pasal 64 ayat (3) UU SDI, yang memperbolehkan pelatihan, pengujian, dan pengembangan model AI menggunakan DDN terbatas atau tertutup sepanjang memenuhi standar keamanan, juga perlu pagar (safeguard) tambahan. Keamanan saja tidak menjawab persoalan legalitas sumber data, kesesuaian tujuan, minimisasi data, bias, representativitas, retensi, penghapusan, kebocoran melalui keluaran model, maupun penggunaan ulang model oleh pihak ketiga. Selain itu, untuk penggunaan berisiko tinggi—seperti penentuan penerima bantuan, penilaian kepatuhan, penegakan hukum, kesehatan, pendidikan, dan layanan dasar—harus tersedia registri publik, dokumentasi dataset dan model, pengujian independen, pemantauan pascapenerapan, serta jalur pengaduan dan pemulihan.
Mengacu pada beberapa obervasi dan catatan di atas, Catalyst Policy Works merekomendasikan:
1. DPR dan Pemerintah perlu memastikan peraturan pelaksana dari UU SDI memuat indikator klasifikasi yang objektif, kewajiban uji konsekuensi terdokumentasi, batas waktu klasifikasi, peninjauan berkala, serta mekanisme keberatan dan pembukaan kembali data.
2. Pemerintah dan Penyelenggara SDI menerapkan tata kelola akses berbasis tujuan dan risiko, pencatatan pertukaran data secara otomatis, pembatasan retensi, audit berkala, serta pembagian tanggung jawab yang jelas meskipun tanpa nota kesepahaman.
3. Penyelenggara SDI, Komisi Informasi, dan instansi pemilik data menjadikan keterbukaan sebagai standar awal: publikasi proaktif, format terbuka dan dapat dibaca mesin, metadata lengkap, lisensi penggunaan kembali, standar layanan, serta kanal koreksi yang mudah diakses.
4. Pemerintah menyusun kerangka tata kelola AI berbasis risiko yang memuat larangan penggunaan yang tidak dapat diterima, kewajiban penilaian dampak, registri sistem AI sektor publik, transparansi dataset dan model, pengujian independen, pengawasan manusia yang efektif, serta hak atas penjelasan, keberatan, dan pemulihan.
5. BSSN, Penyelenggara SDI, dan kementerian/lembaga menetapkan standar infrastruktur berdaulat yang mencakup kendali kriptografi, akses administratif, portabilitas, audit pemasok, ketahanan rantai pasok, dan pemulihan bencana.
6. Lembaga pengawas dan masyarakat sipil dilibatkan dalam audit, evaluasi, dan pengawasan partisipatif.
Jakarta, 8 Oktober 2026
Untuk komunikasi lebih lanjut, silakan menghubungi Wahyudi Djafar (Direktur Eksekutif) atau Parasurama Pamungkas (Kepala Departemen Tata Kelola Digital dan Inovasi).