Privasi Data Karyawan dan AI: Apa yang Harus Dilindungi SDM

Oleh Kevin Kim · Diperbarui 11 Oktober 2026

Privasi data karyawan dalam AI adalah kumpulan kewajiban hukum dan praktis yang berlaku ketika SDM memasukkan informasi personalia ke dalam alat AI: mengetahui data mana yang sensitif, memiliki alasan yang sah untuk memakainya, memberi tahu orang, menilai risikonya terlebih dahulu, menjaga manusia tetap terlibat dalam keputusan yang signifikan, mengikat vendor lewat kontrak, membatasi berapa lama data disimpan, dan mengendalikan ke mana data berpindah. Data yang dipegang SDM (rincian kesehatan, gaji, catatan kinerja, riwayat disipliner, kadang sidik jari atau wajah) termasuk yang paling sensitif di perusahaan. Mengarahkan alat AI ke data itu mengubah risikonya, dan sering mengubah siapa yang bertanggung jawab secara hukum atas apa.

Halaman ini ditujukan bagi direktur SDM, pemimpin people operations, dan manajer yang menyetujui alat SDM. Isinya menelusuri kewajiban utama berdasarkan hukum UE dan Inggris serta undang-undang negara bagian AS yang paling berdampak, lalu menyajikan tabel kasus penggunaan dan proses langkah demi langkah. Untuk gambaran besarnya, mulailah dari fondasi data SDM untuk AI. Ini adalah informasi umum, bukan nasihat hukum.

Fakta Utama

• Pelanggaran terhadap prinsip dasar pemrosesan GDPR, syarat persetujuan, aturan kategori khusus, hak subjek data, dan aturan transfer internasional dapat dikenai denda hingga EUR 20 juta atau 4% dari omzet tahunan global, mana pun yang lebih tinggi; pelanggaran terhadap kewajiban pengendali dan pemroses (termasuk kontrak pemroses dan penilaian dampak) dapat dikenai hingga EUR 10 juta atau 2% (GDPR Article 83).
• European Data Protection Board menyatakan bahwa "bermasalah" bagi pemberi kerja untuk memproses data karyawan saat ini atau calon karyawan atas dasar persetujuan, karena persetujuan itu kecil kemungkinannya diberikan secara bebas (EDPB Guidelines 05/2020).
• Pengecualian California untuk informasi pribadi terkait ketenagakerjaan berakhir pada 31 Desember 2022, sehingga karyawan dan pelamar kerja yang merupakan penduduk California kini berada di bawah CCPA (California Attorney General).
• Pada Desember 2023 Pengadilan Uni Eropa memutuskan bahwa "penilaian" kredit (credit scoring) dihitung sebagai keputusan individual otomatis yang dilarang apabila pelanggan memberi peran penentu pada skor tersebut (siaran pers Court of Justice).
• EU-US Data Privacy Framework bertumpu pada keputusan kecukupan Komisi tertanggal 10 Juli 2023; General Court menolak gugatan terhadapnya pada 3 September 2025 (siaran pers General Court), dan banding diajukan pada 31 Oktober 2025 (Digital Policy Alert).

Mengapa AI Mengubah Gambaran Privasi

SDM sejak dulu menyimpan catatan yang sensitif. AI menambahkan tiga hal. Jangkauan: alat yang membaca setiap penilaian, tiket, dan pesan chat menyentuh jauh lebih banyak daripada seorang manajer yang membolak-balik satu berkas. Inferensi: AI menurunkan fakta baru, seperti skor risiko pengunduran diri (flight risk) atau dugaan tentang kesehatan dari pola ketidakhadiran, dan inferensi tentang seseorang tetap merupakan data pribadi tentang orang itu. Pihak ketiga: sebagian besar AI untuk SDM dibeli, sehingga vendor dengan sub-pemroses dan server di negara lain berada di antara Anda dan datanya. Anda dapat mengalihdayakan pemrosesan. Anda tidak dapat mengalihdayakan akuntabilitas.

Untuk sisi kontrol akses, klasifikasi data untuk akses AI menunjukkan cara menentukan tingkat data mana yang boleh dilihat alat AI sama sekali.

Tujuh Kewajiban yang Harus Dipenuhi SDM dengan Benar

1. Ketahui data mana yang sensitif

Berdasarkan GDPR, pemrosesan kategori tertentu dilarang kecuali ada syarat khusus yang berlaku. Article 9 mencantumkan data yang mengungkap asal ras atau etnis, pandangan politik, keyakinan agama atau filosofis, atau keanggotaan serikat pekerja, ditambah data genetik, data biometrik yang diproses untuk mengidentifikasi seseorang secara unik, data kesehatan, dan data tentang kehidupan seksual atau orientasi seksual (GDPR Article 9). Regulator Inggris menjelaskan bahwa data biometrik menjadi data kategori khusus ketika diproses untuk mengidentifikasi seseorang secara unik, dan bahwa foto biasa tidak termasuk kecuali melalui pemrosesan teknis tertentu, seperti membuat templat untuk pencocokan otomatis (ICO).

Di SDM, surat sakit, permintaan akomodasi, iuran serikat, survei keberagaman, serta sidik jari atau templat wajah yang dipakai untuk absen masuk semuanya adalah data kategori khusus. Bahkan data yang tidak berlabel dapat mengungkapkannya: pola ketidakhadiran, atau percakapan chatbot saat seorang karyawan menyebutkan diagnosis.

2. Miliki dasar hukum, dan jangan bersandar pada persetujuan

Setiap penggunaan data pribadi memerlukan dasar hukum. Pemberi kerja sering memilih persetujuan karena terasa menghormati. Biasanya itu pilihan yang paling lemah. Pedoman EDPB menjelaskan bahwa ketergantungan dalam hubungan pemberi kerja dan karyawan membuat karyawan kecil kemungkinannya dapat menolak tanpa takut akan risiko kerugian nyata, sehingga untuk sebagian besar pemrosesan di tempat kerja dasarnya "tidak dapat dan tidak seharusnya" persetujuan. Persetujuan tetap mungkin hanya dalam keadaan luar biasa ketika penolakan tidak berakibat merugikan (EDPB Guidelines 05/2020). ICO Inggris menyatakan hal yang sama dalam panduannya: persetujuan yang diberikan secara bebas lebih sulit diperoleh ketika ada ketimpangan kekuasaan, terutama bagi otoritas publik dan pemberi kerja (ICO).

Lalu apa yang dipakai sebagai gantinya? Biasanya kontrak kerja, kewajiban hukum (penggajian, pajak, kesehatan dan keselamatan), atau kepentingan yang sah, yang memerlukan uji keseimbangan yang terdokumentasi. Untuk data kategori khusus Anda juga memerlukan syarat dari Article 9(2), dan salah satunya mencakup pemrosesan yang diperlukan untuk kewajiban hukum ketenagakerjaan ketika hukum nasional mengizinkannya. Kotak centang "Saya setuju dengan analisis AI" jarang menjadi jawabannya.

3. Beri tahu orang dengan jelas

Transparansi adalah kewajiban, bukan basa-basi. Ketika Anda mengumpulkan data secara langsung, GDPR mewajibkan Anda memberi tahu orang, antara lain, apakah ada pengambilan keputusan otomatis termasuk profiling dan, setidaknya dalam kasus Article 22, informasi yang bermakna tentang logika yang terlibat serta konsekuensi yang diperkirakan (GDPR Article 13). "Kami memakai AI untuk meningkatkan proses SDM" tidak memenuhi standar itu. Sebutkan tujuan alat, data yang dipakainya, dan keputusan apa yang diinformasikannya.

Article 88 juga memungkinkan setiap negara anggota UE menambahkan aturan yang lebih khusus tentang data ketenagakerjaan, dengan perhatian khusus pada transparansi dan sistem pemantauan di tempat kerja (GDPR Article 88). Dalam praktik, itu berarti konsultasi dengan dewan pekerja di beberapa negara sebelum Anda dapat mengaktifkan suatu alat. Lihat pemantauan karyawan dengan AI untuk sudut pandang tersebut.

4. Lakukan penilaian dampak sebelum peluncuran

Penilaian dampak pelindungan data (DPIA) adalah tinjauan risiko terstruktur yang Anda jalankan sebelum pemrosesan dimulai. Article 35 mewajibkannya apabila pemrosesan, terutama dengan teknologi baru, kemungkinan besar berisiko tinggi terhadap hak orang. Pasal itu secara khusus mewajibkannya untuk evaluasi sistematis dan ekstensif atas aspek pribadi berdasarkan pemrosesan otomatis yang menjadi dasar keputusan berdampak signifikan, dan untuk pemrosesan skala besar atas data kategori khusus (GDPR Article 35). Banyak penggunaan AI di SDM, seperti menilai, meranking, atau memantau staf, masuk tepat di dalamnya.

DPIA mencakup pemrosesan beserta tujuannya, keperluan dan proporsionalitasnya, risiko bagi individu, dan langkah-langkah yang menangani risiko tersebut. Bila sesuai, mintalah pandangan orang yang terdampak atau perwakilan mereka. Perlakukan sebagai alat desain: jika tidak ada pengaman yang menurunkan risikonya, kecilkan proyeknya.

California kini memiliki persyaratan paralel. Badan privasi negara bagian itu telah menyelesaikan aturan yang mencakup penilaian risiko dan teknologi pengambilan keputusan otomatis (ADMT), dengan kepatuhan penilaian risiko mulai 1 Januari 2026 dan kewajiban ADMT untuk "keputusan signifikan" mulai 1 Januari 2027 (CPPA). Ringkasan firma hukum atas aturan tersebut menyatakan bahwa keputusan signifikan mencakup ketenagakerjaan (Skadden). Jika Anda mempekerjakan orang California, masukkan hal ini ke kalender.

5. Kendalikan keputusan otomatis

Article 22 GDPR memberi orang hak untuk tidak tunduk pada keputusan yang semata-mata didasarkan pada pemrosesan otomatis, termasuk profiling, yang menimbulkan akibat hukum atau memengaruhi mereka secara signifikan. Ada pengecualian (keperluan kontrak, izin berdasarkan hukum, atau persetujuan eksplisit), tetapi bahkan saat itu pengendali wajib menyediakan setidaknya hak untuk memperoleh intervensi manusia, menyatakan pandangan, dan menggugat keputusan. Keputusan berdasarkan pengecualian itu tidak boleh bertumpu pada data kategori khusus kecuali ada persetujuan eksplisit atau syarat kepentingan publik yang substansial dan pengamannya tersedia (GDPR Article 22).

Court of Justice menafsirkannya secara luas. Dalam kasus SCHUFA, pengadilan memutuskan bahwa penilaian (scoring) harus dianggap sebagai "keputusan individual otomatis" apabila nasabah bank memberi peran penentu padanya dalam pemberian kredit (Court of Justice). Terjemahkan itu ke SDM: jika perekrut atau manajer menyetujui tanpa memeriksa apa pun yang dikatakan skor, maka skor itulah keputusannya. Orang yang sekadar mengeklik "setujui" tidak dihitung sebagai keterlibatan manusia. Pengawasan manusia dalam AI untuk SDM membahas cara membuat langkah manusia itu nyata.

Inggris telah mengubah pendekatannya. Data (Use and Access) Act 2025 membuka seluruh rentang dasar hukum untuk keputusan otomatis yang signifikan, selama pengaman tetap ada, meskipun itu tidak berlaku untuk data kategori khusus, dan ICO menyatakan ketentuan pelindungan data dalam Undang-Undang itu kini berlaku (ICO). Aturan UE belum bergerak ke arah yang sama, jadi perusahaan multinasional tidak dapat menjadikan posisi Inggris sebagai standar grup.

6. Ikat vendor dan batasi retensi

Ketika vendor memproses data karyawan atas nama Anda, Article 28 mewajibkan kontrak yang mengikat. Kontrak harus memuat pokok bahasan, durasi, sifat, dan tujuan pemrosesan, jenis data dan kategori orangnya, serta hak dan kewajiban Anda. Kontrak juga harus mewajibkan pemroses bertindak hanya atas instruksi tertulis Anda, menjamin kerahasiaan, menerapkan langkah keamanan, memperoleh izin Anda sebelum melibatkan pemroses lain, membantu permintaan subjek data, menghapus atau mengembalikan data di akhir layanan, dan menyediakan informasi untuk audit (GDPR Article 28).

Untuk vendor AI, tambahkan apa yang tidak diminta oleh templat. Apakah vendor melatih modelnya dengan data karyawan Anda? Di mana prompt dan keluaran disimpan, dan berapa lama? Siapa sub-pemrosesnya? Kerangka evaluasi vendor untuk alat AI membahas sisi komersialnya.

Retensi adalah yang diam-diam berbahaya. Prinsip pembatasan penyimpanan dalam GDPR menyatakan bahwa data harus disimpan dalam bentuk yang dapat diidentifikasi tidak lebih lama dari yang diperlukan untuk tujuan pemrosesannya (GDPR Article 5). AI membuatnya lebih sulit, karena salinan menumpuk di log, riwayat prompt, dan cadangan vendor. Tetapkan jangka waktu untuk masing-masing dan pastikan vendor dapat menghapus atas permintaan.

7. Perhatikan ke mana data pergi

Mengirim data karyawan ke luar UE atau Inggris memerlukan mekanisme transfer. Satu jalurnya adalah keputusan kecukupan Komisi, yang membuat transfer tidak memerlukan izin khusus (GDPR Article 45). Jalur lain adalah pengaman yang memadai, seperti aturan perusahaan yang mengikat (binding corporate rules) (GDPR Article 46). Untuk Amerika Serikat, Komisi mengadopsi keputusan kecukupan untuk EU-US Data Privacy Framework pada 10 Juli 2023 (European Commission). General Court menolak gugatan yang diajukan Philippe Latombe pada 3 September 2025, menegaskan bahwa AS menjamin tingkat pelindungan yang memadai pada tanggal keputusan itu diadopsi (General Court), dan banding diajukan pada 31 Oktober 2025, sehingga kerangka tersebut tetap berlaku selama banding itu tertunda. Pastikan vendor Anda tersertifikasi di bawah kerangka itu dan memiliki mekanisme cadangan.

Sudut Pandang AS: California dan Illinois

Tidak ada satu undang-undang privasi AS untuk data karyawan, jadi gambarannya berlapis. Dua yang paling penting bagi AI untuk SDM.

California (CCPA/CPRA). Pengecualian negara bagian untuk informasi pribadi terkait ketenagakerjaan berakhir pada 31 Desember 2022 (California Attorney General). Sejak 1 Januari 2023, bisnis yang tercakup berutang kepada karyawan dan pelamar California hak yang diberikan CCPA kepada konsumen mana pun: mengetahui apa yang dikumpulkan, menghapus, mengoreksi, menolak penjualan atau pembagian, dan membatasi penggunaan informasi pribadi yang sensitif. Undang-undang ini berlaku untuk bisnis berorientasi laba yang memenuhi ambangnya, jadi periksa apakah bisnis Anda termasuk. Aturan ADMT di bagian 4 di atas menambahkan kewajiban pemberitahuan dan penolakan untuk keputusan otomatis yang signifikan.

Illinois (BIPA). Biometric Information Privacy Act mengatur pengumpulan sidik jari, geometri wajah, dan pengenal serupa, serta mensyaratkan persetujuan sebelum pengumpulan. Amendemen 2024, Public Act 103-0769, yang ditandatangani pada 2 Agustus 2024, menetapkan bahwa pelanggaran berulang dengan metode yang sama dihitung sebagai satu pelanggaran, dengan paling banyak satu pemulihan per orang (Faegre Drinker). Itu mengurangi eksposur per orang tetapi tidak menghapusnya: pihak yang dirugikan tetap dapat mengajukan gugatan individual maupun class action. Jika mesin absensi, akses gedung, atau pemeriksaan identitas Anda memakai sidik jari atau pindai wajah, inilah undang-undang yang harus diperiksa lebih dulu.

Negara bagian lain terus menambahkan aturan untuk AI dalam ketenagakerjaan, jadi lihat undang-undang perekrutan AI untuk gambaran khusus perekrutan.

Apa yang Dibutuhkan Setiap Kasus Penggunaan AI untuk SDM

Enam kontrol yang sama terus berulang: DPIA, dasar hukum yang sah, keterlibatan manusia yang nyata, kontrak pemroses yang ketat, batas retensi, dan pemeriksaan transfer.

Cara Menerapkannya dalam Praktik

1. Inventarisasi AI untuk SDM Anda. Daftarkan setiap alat yang menyentuh data karyawan atau pelamar, termasuk fitur di dalam perangkat lunak SDM yang ada dan alat yang diadopsi manajer sendiri.

2. Petakan datanya. Untuk setiap alat, catat apa yang masuk, inferensi apa yang keluar, dan apakah ada yang termasuk kategori khusus atau biometrik.
3. Pilih dan dokumentasikan dasar hukum. Jangan menjadikan persetujuan sebagai pilihan bawaan. Catat dasarnya, dan untuk data kategori khusus, syarat Article 9. Jika Anda bersandar pada kepentingan yang sah, tuliskan uji keseimbangannya.
4. Jalankan DPIA untuk apa pun yang menilai, meranking, memantau, atau memakai data sensitif. Libatkan petugas pelindungan data Anda, jika ada, dan perwakilan pekerja bila hukum atau budaya menghendakinya.
5. Tulis ulang pemberitahuan Anda. Sampaikan dengan bahasa sederhana apa yang dilakukan alat, data apa yang dipakainya, dan keputusan apa yang diinformasikannya, sebelum penggunaan pertama.
6. Periksa hak keputusan. Untuk setiap alat yang memengaruhi perekrutan, gaji, promosi, disiplin, atau pemberhentian, sebutkan orang yang membuat keputusan akhir dan pastikan ia dapat tidak setuju dengan keluarannya.
7. Perketat kontrak vendor. Cakup ketentuan Article 28, larangan memakai data Anda untuk melatih model bersama kecuali Anda setuju, persetujuan sub-pemroses, pemberitahuan pelanggaran, penghapusan saat berakhir, dan hak audit.
8. Tetapkan retensi dan penghapusan. Putuskan berapa lama masukan, keluaran, log, dan cadangan hidup, lalu uji bahwa penghapusan berfungsi dalam praktik.
9. Pastikan jalur transfer. Ketahui di mana vendor menyimpan dan mengakses data serta mekanisme mana yang mencakup setiap aliran.
10. Latih manajer dan tinjau secara berkala. Sebagian besar kebocoran berasal dari orang yang bermaksud baik menempelkan penilaian kinerja ke chatbot publik. Jalankan ulang inventaris dan DPIA ketika alat, data, atau hukumnya berubah.

Untuk regulasi yang terkait khusus dengan aturan AI Uni Eropa, ikhtisar EU AI Act menjelaskan tingkat risikonya. Komisi Eropa menyatakan bahwa aturan berisiko tinggi untuk sistem yang dipakai di bidang seperti ketenagakerjaan berlaku mulai 2 Desember 2027, menyusul AI omnibus yang mulai berlaku pada 27 Juli 2026 (European Commission). Itu berlaku di atas GDPR, bukan menggantikannya.

Kesalahan Umum

• Menjadikan persetujuan sebagai solusi. Karyawan tidak dapat benar-benar mengatakan tidak kepada pemberi kerjanya, sehingga formulir persetujuan adalah landasan yang lemah dan dapat digugat.
• Menganggap "tidak sensitif" karena kolomnya tidak berlabel. Pola ketidakhadiran, isi chat, dan skor perilaku dapat mengungkap kesehatan, keyakinan, atau kegiatan serikat.
• Melewatkan DPIA karena vendor "sudah patuh". Sertifikasi vendor tidak menilai penggunaan, data, atau tenaga kerja Anda.
• Manusia hanya di atas nama. Jika peninjau menyetujui 99% keluaran dalam hitungan detik, regulator akan memperlakukan prosesnya sebagai otomatis.
• Melupakan log. Prompt, keluaran, dan jejak audit juga merupakan data pribadi.
• Menganggap jawaban satu wilayah berlaku di mana-mana. Aturan Inggris, UE, dan AS berbeda dan terus berubah, dan Inggris baru saja melonggarkan aturan keputusan otomatisnya sementara UE belum.
• Tanpa rencana keluar. Jika vendor diakuisisi atau kehilangan mekanisme transfernya, Anda perlu tahu cara mengambil kembali datanya dan memastikan data itu dihapus.