Panduan Lengkap Kepatuhan Rekrutmen AI (2026)

Apa Itu Kepatuhan Rekrutmen AI?

Kepatuhan rekrutmen AI mengacu pada serangkaian kewajiban hukum yang harus dipenuhi pengusaha saat menggunakan kecerdasan buatan, algoritma, atau alat otomatis pada tahap mana pun dalam proses rekrutmen. Ini mencakup perangkat lunak penyaringan CV, wawancara berbasis chatbot, model penilaian, dan alat apa pun yang menyaring atau mengurutkan kandidat tanpa penilaian manusia langsung.

Per tahun 2026, tiga kerangka regulasi membentuk kepatuhan AI dalam rekrutmen bagi sebagian besar pemberi kerja di Indonesia: Undang-Undang Perlindungan Data Pribadi (UU PDP No. 27/2022), peraturan Kominfo tentang sistem elektronik berbasis AI, dan Undang-Undang Ketenagakerjaan (UU No. 13/2003). Bagi perusahaan yang beroperasi di pasar Eropa, GDPR dan EU AI Act juga berlaku.

Pada tahun 2023, Kementerian Komunikasi dan Informatika (Kominfo) mengeluarkan panduan tata kelola AI dan melakukan pemeriksaan terhadap platform yang memproses data pribadi kandidat tanpa dasar hukum yang memadai, menandakan bahwa regulator semakin ketat mengawasi sistem algoritmik yang memproses data pribadi.

Mengapa 2026 menjadi titik balik

Kewajiban Undang-Undang AI UE untuk sistem AI berisiko tinggi, yang secara eksplisit mencakup AI ketenagakerjaan, mulai berlaku pada Agustus 2026 bagi sebagian besar organisasi. Ini bukan persyaratan masa depan. Jika Anda menggunakan AI untuk menyaring, mengurutkan, atau membuat daftar pendek kandidat saat ini dan beroperasi di UE, hitungan mundur telah dimulai.

Secara bersamaan, penegakan Kominfo/Komdigi atas pengambilan keputusan algoritmik dalam rekrutmen terus meningkat, dan kesadaran kandidat terhadap hak-hak mereka berdasarkan UU PDP terus bertumbuh. Membangun proses yang patuh sekarang melindungi Anda dari denda, keluhan kandidat, dan kerusakan reputasi.

Undang-Undang AI UE dan AI Ketenagakerjaan

Undang-Undang AI UE menciptakan sistem klasifikasi risiko empat tingkat untuk AI. AI ketenagakerjaan berada di tingkat regulasi tertinggi: risiko tinggi. Lampiran III Undang-Undang secara eksplisit mencantumkan AI yang digunakan untuk rekrutmen dan seleksi, termasuk penyaringan CV, peringkat kandidat, dan penilaian wawancara, sebagai aplikasi berisiko tinggi.

Arti klasifikasi risiko tinggi dalam praktik

Pengusaha dan vendor teknologi HR yang menggunakan AI berisiko tinggi dalam rekrutmen harus mematuhi serangkaian kewajiban yang ketat. Ini bukan panduan opsional, melainkan persyaratan hukum yang memiliki konsekuensi nyata.

Pertama, penilaian kesesuaian harus diselesaikan sebelum menggunakan sistem AI. Ini melibatkan dokumentasi tujuan sistem, data pelatihan, keterbatasan yang diketahui, dan langkah-langkah untuk mengurangi bias dan kesalahan. Bagi pengusaha yang membeli alat siap pakai, Anda harus meminta dokumentasi ini dari vendor.

Persyaratan pengawasan manusia

Setiap sistem AI berisiko tinggi harus dirancang untuk memungkinkan peninjauan dan penggantian oleh manusia. Dalam konteks rekrutmen, ini berarti tidak ada kandidat yang boleh ditolak atau dilanjutkan ke tahap berikutnya hanya berdasarkan keputusan AI tanpa manusia yang memiliki kemampuan nyata untuk meninjau dan membatalkan keputusan tersebut.

Ini tidak terpenuhi hanya dengan proses stempel karet di mana manusia menyetujui output AI tanpa benar-benar terlibat dengan materi kandidat. Pengawasan harus bersifat substantif. Manusia harus memiliki akses terhadap alasan AI dan data kandidat yang mendasarinya, serta harus mampu mencapai kesimpulan yang berbeda.

Transparansi kepada kandidat

Kandidat harus diberitahu bahwa AI digunakan dalam penilaian mereka. Pengungkapan ini harus muncul sebelum interaksi AI dimulai, dalam posting pekerjaan, alur aplikasi, atau pemberitahuan khusus. Pengungkapan harus menjelaskan jenis AI yang digunakan, apa yang dinilai, dan bagaimana outputnya digunakan dalam keputusan seleksi.

GDPR dan Data Kandidat

GDPR berlaku bagi setiap pengusaha yang memproses data pribadi dari kandidat yang tinggal di UE atau Inggris, terlepas dari lokasi pengusaha. Rekrutmen adalah salah satu area kepatuhan GDPR berisiko tertinggi karena melibatkan volume besar data pribadi sensitif dari individu yang tidak memiliki hubungan sebelumnya dengan pengusaha.

Dasar hukum pemrosesan

Pemrosesan data kandidat selama rekrutmen aktif biasanya mengandalkan kepentingan sah (Pasal 6(1)(f)) atau pelaksanaan kontrak (Pasal 6(1)(b), dalam langkah pra-kontrak). Persetujuan jarang menjadi dasar yang tepat untuk rekrutmen: harus diberikan secara bebas, yang terganggu oleh ketidakseimbangan kekuatan antara pengusaha dan pencari kerja.

Data kategori khusus, termasuk kesehatan, disabilitas, asal etnis, dan keyakinan agama, memerlukan dasar hukum tambahan berdasarkan Pasal 9, paling umum adalah persetujuan eksplisit atau kebutuhan untuk kewajiban hukum ketenagakerjaan. Jika pertanyaan penyaringan atau alat psikometri Anda secara tidak sengaja mengumpulkan data kategori khusus, Anda perlu mendokumentasikan dasar tambahan ini.

Minimisasi data dan pembatasan tujuan

Anda hanya boleh mengumpulkan data kandidat yang diperlukan untuk keputusan rekrutmen. Prinsip ini menyoroti beberapa praktik umum: meminta tanggal lahir saat usia bukan persyaratan nyata, meminta foto sebelum wawancara, atau mengumpulkan informasi media sosial yang luas tanpa hubungan jelas dengan peran tersebut. Alat penyaringan berbasis kata kunci juga dapat menimbulkan bias yang tidak disengaja saat mengumpulkan data proksi yang berkorelasi dengan karakteristik yang dilindungi.

Pembatasan tujuan berarti data yang dikumpulkan untuk satu peran tidak dapat dengan bebas digunakan kembali untuk peran lain tanpa dasar hukum baru. Jika Anda ingin menyimpan kandidat yang ditolak untuk peluang di masa depan, ini memerlukan persetujuan eksplisit, dan Anda harus segera menghormati penarikan persetujuan tersebut.

Periode retensi

Tidak ada periode retensi tunggal yang diwajibkan GDPR untuk data kandidat. Namun, prinsip pembatasan penyimpanan mengharuskan Anda menghapus data saat tidak lagi diperlukan. Dalam praktiknya, sebagian besar organisasi menetapkan periode retensi enam bulan dari akhir rekrutmen. Beberapa memperpanjang hingga 12 bulan untuk mengakomodasi potensi klaim diskriminasi.

Apa pun periode yang Anda pilih, dokumentasikan dalam pemberitahuan privasi Anda dan terapkan. Periode retensi yang Anda nyatakan tetapi tidak diterapkan lebih buruk daripada tidak memiliki periode yang dinyatakan. Ini menunjukkan kepada regulator bahwa Anda tahu apa yang seharusnya dilakukan dan memilih untuk tidak melakukannya.

Keputusan Otomatis dan Pasal 22 GDPR

Pasal 22 GDPR memberikan individu hak untuk tidak menjadi subjek keputusan berdasarkan semata-mata pemrosesan otomatis yang menghasilkan efek hukum atau efek signifikan serupa. Dalam konteks rekrutmen, penolakan atau keputusan daftar pendek yang dibuat sepenuhnya oleh algoritma tanpa keterlibatan manusia yang bermakna mengaktifkan hak ini.

Apa yang mengaktifkan Pasal 22

Uji utama adalah apakah keputusan didasarkan semata-mata pada pemrosesan otomatis dan menghasilkan efek signifikan. Penolakan dari lamaran pekerjaan adalah efek signifikan. Diberi peringkat di bawah ambang wawancara oleh algoritma sehingga tidak pernah ditinjau oleh manusia juga merupakan efek signifikan, meskipun pengusaha mengkarakterisasi prosesnya sebagai berbantuan AI daripada diputuskan AI.

Kritis, Pasal 22 berlaku bahkan ketika pengusaha percaya manusia terlibat, jika peninjauan manusia bersifat sepintas atau nominal. Kominfo telah memperjelas bahwa manusia yang sekadar menerima output AI tanpa benar-benar terlibat dengan informasi yang mendasarinya tidak membentuk keterlibatan manusia yang bermakna.

Perlindungan yang diperlukan

Di mana pengambilan keputusan otomatis digunakan secara sah, baik dengan persetujuan kandidat maupun sebagai kebutuhan untuk memasuki kontrak, tiga perlindungan harus ada. Pertama, kandidat harus diberitahu bahwa pengambilan keputusan otomatis terjadi dan diberikan informasi bermakna tentang logika yang terlibat. Kedua, kandidat harus dapat meminta peninjauan manusia atas keputusan otomatis apa pun. Ketiga, kandidat harus dapat mengajukan keberatan terhadap keputusan dan menyampaikan pandangan mereka.

Dalam praktiknya, ini berarti membangun mekanisme yang menghadap kandidat: pemberitahuan yang jelas dalam alur aplikasi, jalur kontak untuk permintaan peninjauan, dan proses internal untuk menangani permintaan tersebut dengan evaluasi manusia yang sesungguhnya.

Pemeriksaan Izin Kerja

Undang-Undang Ketenagakerjaan mengharuskan pengusaha memverifikasi bahwa setiap karyawan memiliki izin untuk bekerja di Indonesia sebelum pekerjaan dimulai. Untuk warga negara Indonesia, tidak diperlukan izin kerja tambahan. Untuk tenaga kerja asing (TKA), pengusaha wajib memastikan tersedianya KITAS (Kartu Izin Tinggal Terbatas) yang masih berlaku dan IMTA (Izin Mempekerjakan Tenaga Kerja Asing) dari Kementerian Ketenagakerjaan. Gagal melakukan pemeriksaan dengan benar dapat mengakibatkan sanksi administratif dan pidana.

Verifikasi identitas digital

Proses permohonan IMTA dilakukan secara online melalui portal TKA Online Kementerian Ketenagakerjaan. Pengusaha bertanggung jawab mengajukan permohonan IMTA sebelum tenaga kerja asing mulai bekerja. KITAS diterbitkan oleh Direktorat Jenderal Imigrasi dan harus diperpanjang sebelum habis masa berlakunya. Penggunaan tenaga kerja asing tanpa IMTA yang sah merupakan pelanggaran hukum yang dapat dikenai denda dan sanksi pidana.

Pemeriksaan digital tidak diwajibkan: pengusaha masih dapat melakukan pemeriksaan dokumen secara manual. Namun, pemeriksaan digital lebih cepat, lebih konsisten, dan tidak terlalu rentan terhadap kesalahan manusia dalam verifikasi dokumen, faktor-faktor yang penting saat rekrutmen dalam volume besar.

Aturan data biometrik

Beberapa produk verifikasi identitas digital menggunakan perbandingan wajah biometrik, membandingkan foto langsung dengan foto pada dokumen identitas. Data biometrik adalah data kategori sensitif berdasarkan UU PDP, yang memerlukan dasar hukum eksplisit. Untuk pemeriksaan izin kerja, ini biasanya mengandalkan dasar kebutuhan hukum ketenagakerjaan.

Jika Anda mengumpulkan data biometrik sebagai bagian dari proses rekrutmen, hal ini harus diungkapkan dalam pemberitahuan privasi Anda. Kandidat harus memahami data biometrik apa yang dikumpulkan, bagaimana penggunaannya, dan berapa lama disimpan. Template biometrik harus dihapus segera setelah verifikasi selesai.

Warga negara asing (TKA)

Warga negara Indonesia tidak memerlukan izin kerja dan tidak perlu menjalani verifikasi izin kerja tambahan. Untuk tenaga kerja asing, pengusaha wajib memastikan dokumen KITAS dan IMTA valid sebelum penempatan. Meminta dokumen tambahan yang tidak dipersyaratkan dari warga negara Indonesia dapat dikategorikan sebagai diskriminasi yang melanggar Undang-Undang Ketenagakerjaan.

Membangun Proses Penyaringan AI yang Patuh

Proses yang patuh tidak berarti proses yang lebih lambat. GDPR dan Undang-Undang AI UE mendefinisikan kewajiban, bukan desain alur kerja. Dengan fondasi yang tepat, Anda dapat menjalankan proses penyaringan cepat dan bervolume tinggi yang memenuhi setiap persyaratan. Berikut enam langkah untuk membangunnya.

Daftar Audit Kepatuhan

Sanksi dan Penegakan

Baik GDPR maupun Undang-Undang AI UE membawa sanksi finansial yang substansial. Memahami struktur sanksi mengkalibrasi kasus bisnis: biaya program kepatuhan hanyalah sebagian kecil dari biaya tindakan penegakan yang material.

Sanksi GDPR

Penegakan GDPR beroperasi pada sistem dua tingkat. Pelanggaran yang kurang serius, seperti catatan yang tidak memadai dan pemberitahuan privasi yang hilang, menarik denda hingga 10 juta euro atau 2% dari omset global tahunan, mana yang lebih tinggi. Pelanggaran yang lebih serius, termasuk pemrosesan tanpa dasar hukum, melanggar hak subjek data, dan keamanan yang tidak memadai, menarik denda hingga 20 juta euro atau 4% dari omset global tahunan.

Sanksi Undang-Undang AI UE

Undang-Undang AI UE menerapkan sanksi terpisah. Penggunaan aplikasi AI yang dilarang membawa denda hingga 35 juta euro atau 7% dari omset global tahunan. Pelanggaran terkait sistem AI berisiko tinggi, termasuk ketidakpatuhan terhadap persyaratan transparansi, pengawasan manusia, atau dokumentasi, menarik denda hingga 15 juta euro atau 3% dari omset tahunan.

Kesalahan Kepatuhan yang Umum

Pertanyaan yang Sering Diajukan