SELURUH SEMESTER → PERTEMUAN 15

P1–P2: Sistem hukum TI &          P15: Etika sebagai pelengkap
lembaga pengawas                  hukum — mengapa compliance
"Hukum ada untuk mengatur"        saja tidak cukup

P6–P7: UU PDP & Privasi           P15: Privacy by Design bukan
"Hak subjek data"                 sekadar kewajiban hukum —
                                  ini adalah nilai profesional

P9–P10: Cybercrime &              P15: Responsible disclosure,
Forensik Digital                  bug bounty ethics — antara
"Kejahatan siber"                 melaporkan dan diam

P11: HKI & Lisensi OSS           P15: Integritas kode, plagiarisme
"Paten & Hak Cipta"              software, kredit yang jujur

P12: AI & Fintech                 P15: AI ethics — siapa yang
"Tanggung jawab AI"              bertanggung jawab moral saat
                                  algoritma membuat kesalahan?

P14: Konten & Kebebasan           P15: Content moderation ethics
"Tanggung jawab platform"        — batas antara moderasi yang
                                  sah dan sensor yang tidak adil

TIGA KONSEP YANG BERBEDA NAMUN SALING TERKAIT

MORALITAS:                    ETIKA:                      HUKUM:
Nilai dan keyakinan           Refleksi sistematis         Seperangkat aturan
pribadi tentang               atas moralitas —            yang ditetapkan
benar dan salah               mengapa sesuatu             oleh otoritas yang
                              "benar" atau "salah",       sah dan ditegakkan
Bersumber dari:               prinsip apa yang            dengan sanksi
• Agama                       mendasarinya
• Budaya                                                   Bersumber dari:
• Keluarga                    Bersumber dari:              • Legislatif
• Pengalaman                  • Filsafat moral             • Eksekutif
                              • Disiplin profesional       • Yudisial

SANKSI:                       SANKSI:                     SANKSI:
Rasa bersalah,                Reputasi, ekskomunikasi     Denda, penjara,
tekanan sosial                dari profesi                sanksi administratif

EMPAT KUADRAN: HUKUM vs. ETIKA

                  LEGAL                      ILEGAL
            ┌──────────────────┬──────────────────────┐
            │                  │                      │
   ETIS     │   ZONA IDEAL     │  CIVIL DISOBEDIENCE  │
            │ (legal + etis)   │ (melanggar hukum     │
            │                  │  untuk alasan moral  │
            │                  │  yang lebih tinggi)  │
            ├──────────────────┼──────────────────────┤
            │                  │                      │
 TIDAK ETIS │  ZONA BAHAYA     │   ZONA TERLARANG     │
            │ (legal tapi      │   (ilegal dan tidak  │
            │  tidak etis)     │    etis)             │
            │                  │                      │
            └──────────────────┴──────────────────────┘

Contoh "Legal tapi Tidak Etis" dalam profesi TI:
• Dark patterns UX yang memanipulasi keputusan pengguna
• Mengumpulkan data berdasarkan ToS yang tidak dibaca siapapun
• A/B testing psikologis yang secara sengaja menurunkan
  mood pengguna (Facebook Emotional Contagion Study, 2014)
• Menjual data "anonim" yang sebenarnya sangat mudah
  di-re-identifikasi
• Mengklaim "AI canggih" padahal hanya if-else bersyarat

LIMA KARAKTERISTIK UNIK YANG MENCIPTAKAN TANGGUNG JAWAB MORAL LEBIH BESAR

1. SKALA DAMPAK TIDAK PROPORSIONAL
   Dokter yang ceroboh melukai satu pasien.
   Developer yang ceroboh melukai jutaan pengguna.
   → Bug dalam sistem pembayaran = kerugian triliun rupiah
   → Celah keamanan = 279 juta data bocor (kasus BPJS 2021)

2. KETIDAKSIMETRISAN PENGETAHUAN
   Developer memahami sistem jauh lebih dalam dari pengguna.
   Pengguna tidak tahu apa yang "terjadi di balik layar."
   → Seperti dokter yang tahu lebih dari pasien
   → Menciptakan kewajiban moral yang proporsional dengan
     kedalaman pengetahuan

3. INVISIBILITAS KEPUTUSAN ETIS
   Keputusan teknis tersembunyi dalam kode.
   Tidak terlihat oleh pengguna, sering tidak terlihat atasan.
   → Godaan untuk "mengambil jalan pintas" sangat besar
   → Tanpa pengawasan, hanya integritas pribadi yang menahan

4. TEKNOLOGI SELALU MELAMPAUI REGULASI
   Hukum selalu tertinggal dari perkembangan teknologi.
   Gap ini harus diisi oleh etika profesi.
   → Ketika belum ada hukum yang mengatur, etika adalah panduan
   → Ini sebabnya kode etik ada sebelum regulasi hadir

5. DAMPAK LINTAS YURISDIKSI
   Kode yang ditulis di Pekalongan berdampak di seluruh dunia.
   Hukum mana yang berlaku menjadi kompleks.
   → Etika profesi memberikan panduan yang melampaui batas negara
   → Prinsip ACM berlaku di Pekalongan, Seattle, dan Jakarta

TIGA TEORI ETIKA DAN PENERAPANNYA DALAM KONTEKS TI

KONSEKUENSIALISME (Utilitarianisme):
"Tindakan yang benar menghasilkan kebaikan terbesar
 bagi jumlah orang terbesar."
Tokoh: Jeremy Bentham, John Stuart Mill

Pertanyaan kunci: "Apa dampak total dari keputusan ini
bagi semua pihak yang terlibat?"

Kekuatan: Fokus pada hasil nyata dan dapat diukur
Kelemahan: Bisa membenarkan pelanggaran hak minoritas
           jika menguntungkan mayoritas

Contoh aplikasi TI:
"Mengumpulkan data lokasi tanpa explicit consent
 tapi layanan menjadi lebih baik untuk 99% pengguna
 → Apakah trade-off ini dapat dibenarkan?"
Jawaban konsekuensialis: bergantung pada besar kecilnya
manfaat dan besarnya pelanggaran privasi.

───────────────────────────────────────────────────────

DEONTOLOGI (Etika Kewajiban):
"Tindakan yang benar adalah yang sesuai aturan
 moral universal, terlepas dari konsekuensi."
Tokoh: Immanuel Kant (Categorical Imperative)

Pertanyaan kunci: "Apakah saya bisa mengharapkan
semua orang melakukan hal yang sama? Apakah ini
menghormati martabat setiap orang?"

Kekuatan: Melindungi hak individu secara absolut
Kelemahan: Kaku, tidak fleksibel dalam situasi kompleks

Contoh aplikasi TI:
"Kebohongan selalu salah — dark pattern yang menyesatkan
 pengguna adalah salah meskipun meningkatkan conversion rate."
Jawaban deontologis: dark pattern selalu tidak etis karena
memperlakukan pengguna sebagai alat, bukan tujuan.

───────────────────────────────────────────────────────

VIRTUE ETHICS (Etika Kebajikan):
"Tindakan yang benar adalah yang dilakukan oleh
 orang berkarakter baik."
Tokoh: Aristoteles

Pertanyaan kunci: "Apakah tindakan ini mencerminkan
karakter profesional yang saya ingin miliki?"

Kekuatan: Membangun identitas dan karakter jangka panjang
Kelemahan: Tidak memberikan panduan tindakan yang spesifik

Pertanyaan konkret:
"Apakah profesional TI yang saya kagumi dan hormati
 akan melakukan ini? Apakah saya bangga jika keputusan
 ini dipublikasikan di halaman depan besok?"

───────────────────────────────────────────────────────

CATATAN UNTUK PRAKTISI:
Ketiganya saling melengkapi. Keputusan etis terbaik
biasanya yang dapat dibenarkan dari ketiga pendekatan.
Jika salah satu menolak → ada sesuatu yang perlu
dipertimbangkan ulang.

STRUKTUR KODE ETIK ACM (2018)

BAGIAN 1: PRINSIP UMUM
"Berlaku untuk semua anggota ACM dalam kapasitas apapun"

1.1 Berkontribusi pada masyarakat dan kesejahteraan manusia
    Mengakui bahwa semua orang adalah pemangku kepentingan
    dalam komputasi. Prioritaskan kepentingan publik.

1.2 Menghindari bahaya (Avoid harm)
    Bahaya mencakup: kerugian fisik, finansial, psikologis,
    sosial, dan reputasi. Ketika bahaya tidak dapat dihindari,
    pilih alternatif yang paling minim bahayanya.

1.3 Jujur dan dapat dipercaya (Be honest and trustworthy)
    Tidak membuat pernyataan palsu atau menyesatkan tentang
    sistem, kemampuan, atau kualifikasi sendiri.

1.4 Adil dan tidak mendiskriminasi
    Teknologi tidak boleh menjadi alat diskriminasi berdasarkan
    ras, jenis kelamin, agama, usia, disabilitas, orientasi
    seksual, atau karakteristik lain yang dilindungi.

1.5 Menghormati karya dan kekayaan intelektual orang lain
    Termasuk menghormati hak cipta, paten, dan lisensi OSS.

1.6 Menghormati privasi
    Teknologi memiliki dampak luar biasa terhadap privasi.
    Privasi adalah hak manusia yang harus dihormati oleh
    praktisi TI, bukan hanya dipatuhi secara hukum.

1.7 Menghormati kerahasiaan
    Data yang dipercayakan secara profesional harus dijaga.
    Kerahasiaan hanya dapat dilanggar jika hukum mengharuskan
    atau untuk mencegah bahaya yang lebih besar.

──────────────────────────────────────────────────────────

BAGIAN 2: TANGGUNG JAWAB PROFESIONAL
"Berlaku khusus dalam kapasitas sebagai profesional TI"

2.1 Berusaha mencapai kualitas tinggi dalam proses & produk
    Termasuk: kode yang bersih, terdokumentasi, dan aman.

2.2 Mempertahankan kompetensi tinggi dalam perilaku & etika
    Terus belajar; tidak berhenti setelah lulus kuliah.

2.3 Mengetahui dan menghormati hukum yang berlaku
    Bukan hanya di negara tempat bekerja, tapi di semua
    yurisdiksi yang terdampak sistem yang dikembangkan.

2.4 Menerima dan memberikan tinjauan profesional yang tepat
    Code review yang jujur, bukan sekadar formalitas.

2.5 MEMBERIKAN EVALUASI KOMPREHENSIF TERMASUK ANALISIS RISIKO
    Ini salah satu prinsip paling kritis untuk developer:
    Anda tidak hanya bertanggung jawab untuk kode yang bekerja,
    tapi untuk memahami dan mengkomunikasikan potensi bahayanya.

2.6 Bekerja hanya dalam area kompetensi
    Mengerjakan proyek di luar keahlian tanpa pengakuan
    adalah pelanggaran etika, bukan hanya risiko profesional.

2.7 Memupuk kesadaran publik tentang komputasi
    Membantu masyarakat memahami implikasi teknologi.

2.8 Mengakses sumber daya komputasi hanya ketika diizinkan
    Bahkan untuk tujuan yang tampaknya baik.

2.9 Merancang sistem yang kuat, dapat digunakan dengan aman,
    terlindungi, dan bermartabat

──────────────────────────────────────────────────────────

BAGIAN 3: KEPEMIMPINAN PROFESIONAL
"Tambahan bagi mereka yang memimpin tim atau organisasi TI"

3.1 Kepentingan publik sebagai fokus utama semua pekerjaan
3.2 Mendorong standar sosial dan etika yang konsisten
3.3 Mengelola personel dan sumber daya untuk kesejahteraan tim
3.4 Menciptakan peluang pengembangan profesional anggota tim
3.5 Menggunakan kehati-hatian saat memodifikasi/menghentikan
    sistem yang digunakan orang lain
3.7 MENGAMBIL TINDAKAN KHUSUS ketika sistem berdampak tidak
    proporsional pada kelompok rentan

──────────────────────────────────────────────────────────

BAGIAN 4: KEPATUHAN TERHADAP KODE
4.1 Menjunjung tinggi prinsip-prinsip kode ini
4.2 Menangani pelanggaran kode ini dengan tepat

KODE ETIK APTIKOM — PRINSIP DAN IMPLIKASI

A. KEPERCAYAAN PUBLIK TERHADAP PROFESI TI INDONESIA
"Menjaga kepercayaan publik terhadap profesi TI"

Mengapa ini penting: Setiap pelanggaran etika oleh satu
praktisi TI merusak reputasi seluruh profesi.
Contoh: Satu developer yang menjual data pengguna membuat
publik tidak percaya kepada SEMUA aplikasi Indonesia.

→ Pertimbangkan dampak tindakan Anda pada reputasi
  seluruh komunitas TI Indonesia, bukan hanya diri sendiri.

B. PENGGUNAAN KEAHLIAN SECARA BERTANGGUNG JAWAB
"Tidak menggunakan keahlian TI untuk tujuan merusak sistem,
 mencuri data, atau merugikan orang lain"

Ini melarang secara eksplisit:
• Pengembangan malware, spyware, stalkerware
• Pengembangan sistem pengawasan tanpa dasar hukum
• Eksploitasi kerentanan sistem orang lain
• Membantu pihak lain melakukan hal-hal di atas

C. RESPONSIBLE DISCLOSURE
"Melaporkan kerentanan keamanan secara bertanggung jawab"

Jika menemukan celah keamanan dalam sistem:
Pilihan etis: laporkan ke pemilik sistem terlebih dahulu
Bukan: eksploitasi, jual ke peretas, atau publikasi
       langsung tanpa memberi waktu perbaikan

D. PERLINDUNGAN DATA PENGGUNA
"Menjaga kerahasiaan dan integritas data yang dipercayakan"

Sejalan langsung dengan kewajiban UU PDP Pasal 35:
Data yang dipercayakan pengguna kepada sistem kita
adalah amanah, bukan aset yang bisa dimonetisasi
secara sembarangan.

E. KEJUJURAN PROFESIONAL
"Tidak menyatakan kompetensi yang tidak dimiliki"

Relevan untuk: freelancer/konsultan yang tergoda
menerima proyek di luar keahlian; developer yang
"pede" mengerjakan sistem medis atau keuangan tanpa
pengetahuan domain yang memadai.

F. KOMITMEN TERHADAP KUALITAS
"Menghasilkan produk yang berkualitas, dapat diandalkan, aman"

"Ship fast, fix later" bertentangan dengan prinsip ini
ketika "nanti" tidak pernah datang — dan sementara itu
jutaan pengguna menggunakan sistem yang tidak aman.

KERANGKA PENGAMBILAN KEPUTUSAN ETIS
(Diadaptasi dari Spinello, Cyberethics, 2011)

LANGKAH 1 — IDENTIFIKASI MASALAH ETIKA SESUNGGUHNYA:
"Apa yang benar-benar dipertaruhkan di sini?"
• Jangan terjebak pada masalah teknis permukaan
• Siapa yang mungkin dirugikan? Bagaimana?
• Nilai atau prinsip etika apa yang terancam?
• Apakah ada konflik nilai? (efisiensi vs. privasi,
  kepentingan perusahaan vs. kepentingan publik)

LANGKAH 2 — IDENTIFIKASI SEMUA PEMANGKU KEPENTINGAN:
"Siapa saja yang terdampak?"
• Pengguna langsung dan tidak langsung
• Pihak ketiga, masyarakat luas, generasi mendatang
• Kelompok rentan yang mungkin terdampak lebih besar
• Pemangku kepentingan yang tidak memiliki suara
  (anak-anak, pengguna yang kurang melek digital)

LANGKAH 3 — PERTIMBANGKAN SEMUA ALTERNATIF:
"Apa saja SEMUA pilihan yang tersedia?"
• Jangan berhenti pada dua pilihan ekstrem
• Biasanya ada alternatif ketiga, keempat
• Eskalasi internal, mediasi, konsultasi legal,
  penundaan, desain ulang, dll.

LANGKAH 4 — TERAPKAN UJI ETIKA DARI TIGA TEORI:
"Apa yang dikatakan berbagai pendekatan etika?"
• Konsekuensialis: pilihan mana yang memaksimalkan
  kebaikan dan meminimalkan bahaya secara agregat?
• Deontologis: pilihan mana yang menghormati
  kewajiban dan hak semua pihak tanpa terkecuali?
• Virtue ethics: pilihan mana yang akan dibuat oleh
  profesional TI berkarakter yang saya kagumi?

LANGKAH 5 — UJI PUBLIKASI (Newspaper + Reverse Test):
"Apakah Anda nyaman jika keputusan ini dipublikasikan
 di halaman depan Kompas besok?"
Jika tidak → kemungkinan ada masalah etika

"Reverse test: Apakah Anda akan dikritik karena
 TIDAK bertindak ketika seharusnya bertindak?"
Inaction juga merupakan pilihan dengan konsekuensi.

LANGKAH 6 — KONSULTASI:
"Siapa yang bisa memberikan perspektif tambahan?"
• Kolega terpercaya, mentor, konsultan hukum
• ACM secara eksplisit mendorong peer consultation
• Jangan memutuskan dilema etika besar sendirian

LANGKAH 7 — TINDAKAN DAN TANGGUNG JAWAB:
"Ambil keputusan dan pertanggungjawabkan"
• Keputusan etis sering tidak nyaman tapi perlu
• Dokumentasikan reasoning Anda secara tertulis
• Jika kemudian ditanya, Anda bisa menjelaskan
  proses berpikir Anda secara jelas dan jujur

KAPAN PENGEMBANG DAPAT DIMINTAI PERTANGGUNGJAWABAN PRIBADI?

SECARA PIDANA — Pasal-Pasal UU ITE yang Relevan:

Mengembangkan & mendistribusikan alat hacking:
→ Pasal 34 UU ITE: maksimal 10 tahun penjara & Rp 10 miliar
   "Setiap Orang yang dengan sengaja dan tanpa hak atau
    melawan hukum memproduksi, menjual, mengadakan...
    perangkat lunak/keras Komputer yang dirancang atau
    secara khusus dikembangkan untuk memfasilitasi
    perbuatan sebagaimana dimaksud dalam Pasal 27 s/d 33"

Akses sistem tanpa izin (bahkan dengan niat baik):
→ Pasal 30: minimal terbukti sebagai pelanggaran etika,
  berpotensi pidana jika masuk sistem tanpa izin

Sabotase sistem:
→ Pasal 32, 33 UU ITE: gangguan terhadap informasi
  dan sistem elektronik

SECARA PERDATA — Gugatan yang Mungkin Dihadapi:
• Negligence (kelalaian) — jika Anda mengetahui cacat
  kritis tapi tidak melaporkan → dapat digugat ganti rugi
• Pelanggaran NDA → gugatan kontraktual oleh perusahaan
• Pelanggaran hak cipta → jika kode yang Anda tulis
  menjiplak karya pihak lain

CATATAN PENTING:
"Saya hanya mengikuti perintah atasan" sering kali
BUKAN pembelaan yang cukup kuat dalam hukum pidana,
terutama untuk pelanggaran yang jelas dan disengaja.

SITUASI: Anda menemukan SQL injection kritis H-5 sebelum launch.
Atasan berkata "tambal setelah live." Anda tidak melaporkan
secara formal. Satu bulan kemudian: 100.000 data pengguna bocor.

ANALISIS TANGGUNG JAWAB:
Perusahaan:     Bertanggung jawab penuh (UU PDP Pasal 35)
Developer:      Apakah ada dokumentasi laporan? Tanpa bukti
                tertulis, sulit membuktikan sudah melapor.
                Dengan bukti tertulis: dilindungi lebih baik.

PELAJARAN PRAKTIS:
• Selalu dokumentasikan laporan keamanan secara tertulis
  (email, tiket, sistem bug tracking)
• Eskalasi jika tidak ditanggapi — ke jenjang lebih tinggi
• Jika masalah sangat serius dan diabaikan: ini dapat
  menjadi justifikasi yang sah untuk whistleblowing

KEWAJIBAN KEAMANAN YANG BERSUMBER DARI REGULASI

PP PSTE Pasal 9: "Penyelenggara Sistem Elektronik wajib
memastikan sistem elektroniknya dapat beroperasi sesuai
dengan fungsinya dan bertanggung jawab atas pengelolaan,
penyelenggaraan, dan penggunaan sistem elektronik."

PP PSTE Pasal 10: "Wajib menjaga kerahasiaan, keutuhan,
dan ketersediaan Informasi Elektronik yang dikelolanya."

UU PDP Pasal 35: "Pengendali data pribadi wajib melindungi
data pribadi dari pemrosesan yang tidak sah."

STANDAR MINIMUM YANG DIHARAPKAN:
• HTTPS untuk semua lalu lintas data pengguna
• Password hashing dengan algoritma yang aman (bcrypt, Argon2)
• Input validation dan sanitasi untuk cegah XSS/SQL injection
• Access control yang tepat (least privilege principle)
• Enkripsi data sensitif saat disimpan (at rest)
• Logging audit untuk akses ke data sensitif

Meluncurkan sistem tanpa standar ini → potensi
pelanggaran PP PSTE + UU PDP jika sistem Anda
adalah PSE atau mengelola data pribadi

SITUASI (Tech Lead):
Tim Anda menemukan 4 kerentanan sebelum launch:
• 1 SQL injection (HIGH severity)
• 2 XSS (MEDIUM severity)
• 1 misconfigured access control (HIGH severity)

Manajemen: "Launch tetap jalan minggu depan.
Patch yang minor saja, yang besar nanti."

ANALISIS:
Jika Anda setuju TANPA dokumentasi keberatan:
→ Jika terjadi breach: Anda ikut bertanggung jawab
→ Argumentasi "saya diperintahkan" lemah

Jika Anda dokumentasikan keberatan secara tertulis:
→ Perlindungan hukum lebih kuat
→ Tapi apakah hanya mendokumentasikan sudah cukup secara etis?

Jika Anda menolak approve/sign-off launch:
→ Risiko konflik dengan manajemen
→ Tapi melindungi pengguna dan integritas profesional

ACM Prinsip 2.5 mengharuskan: "memberikan evaluasi
komprehensif tentang sistem termasuk analisis risiko."
Ini bukan opsional — ini tanggung jawab profesional.

KONTEKS:
Anda adalah developer senior di startup aplikasi cuaca gratis
dengan 2 juta pengguna di Indonesia. Perusahaan kesulitan
mendapat revenue dan akan tutup dalam 3 bulan.

CEO menawarkan solusi: "Ada agregator data yang mau beli
data lokasi pengguna kita — Rp 500 juta/bulan. 15 karyawan
bisa tetap kerja setahun lebih."

Yang Anda ketahui:
1. ToS menyebut "data dapat digunakan untuk meningkatkan
   layanan" — tidak menyebut penjualan ke pihak ketiga.
2. Penelitian: 4 titik lokasi cukup untuk re-identifikasi
   95% individu meskipun "dianonimkan."
3. Beberapa pengguna adalah anak-anak (tidak ada verifikasi usia).
4. UU PDP Pasal 20 + 35: transfer ke pihak ketiga butuh
   consent eksplisit dan dasar hukum yang sah.

KONTEKS:
Tim Anda membangun sistem rekam medis elektronik untuk
rumah sakit daerah — menyimpan data 50.000 pasien termasuk
diagnosis HIV, riwayat psikiatri, dan data kehamilan.
Nilai kontrak: Rp 2 miliar; penalti keterlambatan: Rp 200 juta/minggu.

H-5 sebelum launch: Anda menemukan SQL injection kritis
di modul pencarian pasien. Estimasi perbaikan: 3 minggu.

Manajemen: "Launch tetap. Pasang firewall dulu, patch setelah live.
Klien sudah umumkan ke dinas kesehatan provinsi."

Konteks tambahan:
• Data yang disimpan adalah "data pribadi spesifik" dalam
  UU PDP — mendapat perlindungan lebih ketat (Pasal 4 ayat 2)
• Anda satu-satunya yang mengetahui kedalaman kerentanan ini
• Anda punya tawaran pekerjaan lain yang sedang menunggu

KONTEKS:
Anda adalah data engineer di fintech mid-size dengan
500.000 pengguna. Dalam rutinitas pekerjaan, Anda tidak
sengaja menemukan export data bulanan besar ke server
eksternal yang tidak terdokumentasi.

Investigasi Anda mengungkap:
• Data yang diekspor: nama, NIK, nomor rekening, riwayat
  transaksi, skor kredit internal — 300.000+ record/bulan
• Penerima: perusahaan asuransi dan leasing tanpa MOU
• Berlangsung 8 bulan — tidak ada dalam privacy policy
• Tidak ada consent eksplisit dari pengguna

Anda konfrontasi CTO. Jawaban: "Ini kerja sama bisnis sah.
Kamu tidak perlu tahu lebih. Ingat NDA yang kamu tanda tangan."

Realita: Melaporkan ke OJK/Komdigi kemungkinan besar membuat
perusahaan kena sanksi, kolega Anda kehilangan pekerjaan,
dan Anda sendiri bisa dipecat dan digugat karena NDA.

KONTEKS:
Anda baru bergabung sebagai junior developer di perusahaan
credit scoring. Dalam monitoring rutin model ML yang sudah
berjalan 2 tahun, Anda menemukan pola mencurigakan:

• Pemohon dari wilayah NTT dan Papua secara konsisten
  mendapat skor lebih rendah meskipun profil finansial identik
• Analisis mendalam: model menggunakan nama sebagai proxy
  untuk "inferensi etnis" — nama khas daerah timur
  mendapat penalti implisit
• Dampak: 12.000+ aplikasi kredit ditolak dalam 2 tahun

Anda melaporkan ke senior engineer.
Respons: "Sudah diaudit saat development dan dianggap wajar
karena 'faktor risiko historis daerah.' Kamu baru di sini."

KONTEKS:
Anda adalah software architect di startup edtech yang sedang
fundraising seri A senilai USD 5 juta. Produk utama:
platform "pembelajaran adaptif berbasis AI."

CEO meminta Anda menyiapkan technical deck dengan klaim:
"Machine Learning canggih kami memprediksi kebutuhan belajar
siswa dengan akurasi 95% dan terbukti meningkatkan nilai 47%
lebih cepat."

Yang Anda tahu sebenarnya:
• "Machine Learning canggih" = decision tree sederhana
  dengan beberapa if-else rules
• Angka "95% akurasi" = internal test n=50, tidak representatif
• "47% lebih cepat" = eksperimen 1 bulan tanpa control group

Jika Anda tolak: CEO bisa menggunakan klaim itu tanpa Anda,
atau mencari CTO lain yang mau.
Jika Anda setuju: Anda ikut menyebarkan informasi menyesatkan.

RESPONSIBLE DISCLOSURE: SPEKTRUM TINDAKAN

COORDINATED              FULL               UNILATERAL
DISCLOSURE               DISCLOSURE         EXPLOITATION
(Etis + Legal)          (Abu-abu)          (Tidak Etis + Ilegal)
       ↓                    ↓                    ↓
Laporkan ke pemilik →   Publikasi segera    Eksploitasi untuk
beri waktu 90 hari →    tanpa notifikasi    keuntungan pribadi
publikasi setelah patch  sebelumnya          atau dijual ke
tersedia                                    peretas

APTIKOM & ACM merekomendasikan: Coordinated Disclosure

LANGKAH PRAKTIS:
1. Dokumentasikan temuan dengan lengkap dan terstruktur
2. Cari kontak keamanan: security@domain.com, security.txt
3. Kirim laporan dengan detail teknis dan timeline
4. Beri waktu wajar: 90 hari adalah standar Google Project Zero
5. Jika tidak direspons: hubungi BSSN atau CSIRT relevan
6. Setelah patch tersedia atau 90 hari: publikasi (jika perlu)

ASPEK HUKUM PENTING:
• Mengakses sistem orang lain TANPA IZIN — meskipun dengan
  niat menemukan kerentanan — tetap berpotensi melanggar
  Pasal 30 UU ITE (akses tidak sah)
• Bug bounty program resmi: perlindungan hukum terjamin
• Tanpa program resmi: area abu-abu → konsultasi hukum dulu

TAKSONOMI DARK PATTERNS DAN STATUS HUKUMNYA DI INDONESIA

1. TRICK QUESTIONS — Checkbox tersembunyi yang sudah tercentang
   Contoh: "Saya setuju menerima newsletter" sudah tercentang
   Status: Melanggar UU PDP — consent harus bebas & terinformasi

2. HIDDEN COSTS — Biaya muncul di halaman akhir saja
   Contoh: Harga Rp 50.000, tapi total Rp 87.000 di checkout
   Status: UU Perlindungan Konsumen Pasal 10 — informasi menyesatkan

3. ROACH MOTEL — Mudah masuk, sulit keluar
   Contoh: Subscribe 1 klik, unsubscribe perlu telepon 45 menit
   Status: Melanggar hak konsumen untuk mengakhiri layanan

4. PRIVACY ZUCKERING — Pengaturan privasi sengaja dibuat rumit
   Contoh: Privacy settings di 12 halaman berbeda, tersembunyi
   Status: UU PDP mensyaratkan consent yang mudah diberikan
           DAN mudah ditarik kembali (Pasal 25)

5. CONFIRMSHAMING — Penolakan dibuat terasa memalukan
   Contoh: [YA, saya mau hemat] vs [Tidak, saya suka rugi]
   Status: Grey area hukum; jelas melanggar ACM 1.3 (kejujuran)

6. BAIT AND SWITCH — Iklan produk yang tidak tersedia
   Contoh: Iklan "Mulai dari Rp 99.000" padahal habis/tidak ada
   Status: UU Perlindungan Konsumen (iklan harus sesuai produk)

REFLEKSI UNTUK DEVELOPER:
Apakah Anda pernah diminta membangun fitur yang masuk
kategori di atas? Bagaimana seharusnya Anda merespons?

SURVEILLANCE CAPITALISM (Shoshana Zuboff, 2019)

Definisi: Model bisnis yang mengekstrak pengalaman manusia
sebagai bahan baku untuk memprediksi dan memodifikasi
perilaku demi keuntungan komersial.

Rantai nilai yang perlu dipahami:
Data perilaku pengguna → Analisis prediktif →
"Behavioral prediction products" → Pengiklan membeli
prediksi perilaku → Platform memodifikasi lingkungan
untuk meningkatkan akurasi prediksi

Contoh konkret yang terdokumentasi:
• Facebook mengoptimalkan feed untuk engagement maksimal
  meskipun mengetahui hal ini meningkatkan kecemasan
  (Facebook Papers/Whistleblower Frances Haugen, 2021)
• Cambridge Analytica: 87 juta data pengguna untuk
  micro-targeting politik tanpa consent

PERTANYAAN ETIS UNTUK DEVELOPER:
• Jika Anda membangun sistem rekomendasi yang Anda tahu
  akan memaksimalkan waktu layar dengan cara yang merusak
  kesehatan mental pengguna — apakah Anda melanjutkan
  karena "itu yang diminta bos"?
• Di mana batas antara "membantu pengguna menemukan konten
  yang relevan" dan "memanipulasi pengguna demi kepentingan
  platform"?
• ACM Prinsip 1.2 (menghindari bahaya): apakah mendesain
  fitur yang Anda tahu membahayakan pengguna adalah
  "menghindari bahaya" atau justru sebaliknya?

SIAPA YANG BERTANGGUNG JAWAB ATAS KEPUTUSAN AI YANG MERUGIKAN?
(Perspektif etika — rekap dan perluasan dari Pertemuan 12)

Data Collector → Data Cleaner → Model Architect →
Model Trainer → Evaluator → Deployer → End User

Setiap peran memiliki tanggung jawab etis yang berbeda:

DATA COLLECTOR & CLEANER:
• Apakah data dikumpulkan dengan consent yang informed?
• Apakah ada bias sistematis dalam pengumpulan data?
• Apakah kelompok tertentu under-represented?

MODEL ARCHITECT:
• Apakah desain memungkinkan explainability?
• Apakah metrik evaluasi mencerminkan fairness, bukan
  hanya akurasi agregat yang mungkin menyembunyikan
  ketidakadilan pada kelompok tertentu?

MODEL TRAINER & EVALUATOR:
• Apakah dilakukan bias testing sebelum deploy?
• Apakah ada disparate impact analysis lintas demografi?

DEPLOYER:
• Apakah ada human oversight untuk keputusan berdampak tinggi?
• Apakah pengguna diberi tahu bahwa keputusan dibuat oleh AI?
• Apakah ada mekanisme banding bagi yang dirugikan?

Kutipan penting:
"The automation of bias is not neutral technology —
it is a choice made by humans who designed, built,
and deployed it." — Joy Buolamwini, AI researcher & activist

PLAGIARISME KODE: BATAS ANTARA BELAJAR DAN MENCURI

KONTEKS AKADEMIK:
• Copy kode Stack Overflow untuk tugas kuliah?
  → Bergantung kebijakan kelas: sebagian membolehkan
    dengan atribusi, sebagian melarang sepenuhnya
• Menggunakan AI (ChatGPT, GitHub Copilot) untuk tugas?
  → Wajib cek kebijakan institusi — setiap kampus
    mulai menetapkan kebijakan yang berbeda-beda

KONTEKS PROFESIONAL:
• Menggunakan kode open source tanpa attributi yang tepat?
  → Pelanggaran lisensi (sudah dibahas P11)
  → Bisa menimbulkan gugatan dari pemegang lisensi
• Menyerahkan kode rekan kerja sebagai karya sendiri?
  → Pelanggaran etika dan potensial pelanggaran kontrak

KODE AI-GENERATED:
• GitHub Copilot dan LLM lain menghasilkan kode yang
  mungkin mirip kode dalam dataset training
• Siapa yang bertanggung jawab jika kode AI ternyata
  melanggar hak cipta pihak lain?
• Kode AI-generated untuk produk komersial → perlu audit
  lisensi yang seksama (SBOM yang mencakup AI-generated code)

PRINSIP YANG TIDAK BERUBAH:
• Selalu berikan attribution untuk kode yang bukan Anda tulis
• Pahami kode yang Anda gunakan — bukan sekadar copy-paste
• Ketahui lisensi dari kode yang Anda adaptasi
• Transparansi kepada tim dan klien tentang sumber kode

SPEKTRUM TINDAKAN PENGUNGKAP KESALAHAN

INTERNAL:                    REGULATOIR:               PUBLIK:
Laporkan ke                  Laporkan ke               Laporkan ke
atasan, ethics               OJK, Komdigi,             pers, media
hotline, atau                BSSN, atau                sosial, atau
compliance                   regulator                 langsung ke
officer                      terkait                   publik

↑ RISIKO RENDAH              ↑ RISIKO SEDANG           ↑ RISIKO TINGGI
↑ DAMPAK RENDAH              ↑ DAMPAK SEDANG           ↑ DAMPAK TINGGI

PERLINDUNGAN HUKUM UNTUK PELAPOR DI INDONESIA

YANG ADA:
• UU No. 31/2014 tentang Perlindungan Saksi dan Korban
  → Melindungi saksi/pelapor dalam proses hukum pidana
  → Termasuk perlindungan dari tekanan/pembalasan

• PP No. 43/2018 tentang Penanganan Pelapor Tindak Pidana
  → Pedoman penghargaan bagi whistleblower korupsi

• Mekanisme pelaporan OJK, Komdigi, BSSN:
  → Memungkinkan pelaporan secara anonim atau terproteksi

YANG TIDAK ADA (GAP SERIUS):
• Tidak ada UU khusus yang komprehensif tentang
  whistleblower di sektor swasta
• Tidak ada perlindungan eksplisit dari pemecatan
  akibat melaporkan pelanggaran perusahaan
• NDA (Non-Disclosure Agreement) dapat membuat pelaporan
  berisiko secara hukum perdata — kecuali jika pelaporan
  menyangkut kejahatan (tindak pidana)

CATATAN PENTING:
NDA TIDAK DAPAT melarang Anda melaporkan TINDAK PIDANA
kepada penegak hukum. NDA yang berupaya melarang hal ini
berpotensi batal demi hukum (void sebagai perjanjian
yang melanggar ketertiban umum dan ketentuan hukum).

TANGGA ISHLAH — PERBAIKAN DARI DALAM

Tingkat 1: BICARA LANGSUNG
Sampaikan keberatan secara langsung kepada atasan
atau rekan yang bersangkutan.
"Saya khawatir ini melanggar privasi pengguna karena..."
→ Paling tidak merusak hubungan; sering diabaikan tapi
  wajib dicoba terlebih dahulu

Tingkat 2: ESKALASI INTERNAL DENGAN DOKUMENTASI
Naikan ke hierarki lebih tinggi; SELALU dalam bentuk
tertulis (email, tiket, memo resmi).
→ Menciptakan jejak yang melindungi Anda secara hukum

Tingkat 3: MEKANISME FORMAL INTERNAL
Gunakan saluran yang ada: ethics hotline, compliance
officer, legal department, dewan komisaris.
→ Formal, terdokumentasi, terlindungi lebih baik

Tingkat 4: PELAPORAN KE REGULATOR (Whistleblowing)
Laporkan ke OJK, Komdigi, BSSN, atau otoritas terkait.
→ Risiko lebih tinggi tapi kadang satu-satunya cara
  efektif — dan merupakan kewajiban moral saat
  pelanggaran serius terjadi

Tingkat 5: PELAPORAN PUBLIK (Jurnalisme)
Jika regulator tidak merespons atau masalah sangat
serius mengancam kepentingan publik luas.
→ Risiko paling tinggi; gunakan hanya sebagai upaya terakhir
→ Selalu konsultasikan dengan pengacara sebelum langkah ini

Tingkat 6: RESIGN DAN MENOLAK MELANJUTKAN
Jika semua gagal dan Anda tidak bisa mengubah situasi
tanpa ikut bersalah dalam pelanggaran.
→ Tidak ada yang memaksa kita memfasilitasi kejahatan
  dengan kehadiran dan keahlian kita

DIMENSI AMANAH DALAM PROFESI TI

AMANAH KEPADA PENGGUNA:
• Data pengguna yang dipercayakan = amanah yang harus dijaga
• Sistem yang kita bangun harus benar-benar membantu,
  bukan memanipulasi
• Janji fitur dalam marketing harus dipenuhi dalam produk
• Tidak ada "AI washing" — jujur tentang kemampuan sistem

AMANAH KEPADA PEMBERI KERJA:
• Bekerja sungguh-sungguh, bukan berpura-pura produktif
• Melaporkan masalah yang ditemukan, bukan menyembunyikan
• Memberikan estimasi yang jujur, bukan yang menyenangkan
• Menjaga kerahasiaan yang sah — tapi tidak kerahasiaan
  yang menutup-nutupi pelanggaran hukum

AMANAH KEPADA PROFESI DAN MASYARAKAT:
• Tidak mengklaim kompetensi yang tidak dimiliki
• Berkontribusi pada pengetahuan bersama
• Pertimbangkan dampak sosial dari teknologi yang dibangun
• Teknologi yang merusak tatanan sosial bertentangan
  dengan tujuan kekhalifahan di bumi

HADITS + TANGGA ETIKA PROFESIONAL

"Mengubah dengan TANGAN" =
Ambil tindakan langsung dalam kapasitas profesional:
hentikan kode yang merusak, tolak mengimplementasikan
fitur yang tidak etis, perbaiki masalah langsung.

"Mengubah dengan LISAN" =
Berbicara, melaporkan, mengadvokasi:
eskalasi internal, laporan tertulis, bicara ke manajemen,
lapor ke regulator jika perlu.

"Mengubah dengan HATI" =
Menolak berpartisipasi dalam hati, meskipun tidak bisa
mencegah secara fisik: resign, menolak tanda tangan approval,
menolak ikut dalam proyek yang bermasalah.

→ Setiap tingkatan adalah tindakan nyata, bukan pasivitas.
  "Mengubah dengan hati" bukan artinya diam dan menyerah,
  tapi menolak berkomplot dalam ketidakbenaran.

KISI-KISI UAS — INF2505 (PERTEMUAN 9–15)

BAGIAN A — Pilihan Ganda (20 soal):
P9:  Tipologi cybercrime, yurisdiksi, Budapest Convention
P10: Digital forensics, chain of custody, peran BSSN/Bareskrim
P11: Lisensi OSS (GPL/MIT/Apache), paten software, SBOM
P12: EU AI Act (kategori risiko, kewajiban), regulasi fintech OJK
P13: SPBE (Perpres 95/2018), Satu Data Indonesia, PDN
P14: Section 230, DSA, Permenkominfo 3/2024, UU KIP
P15: Kode etik ACM/IEEE/APTIKOM, prinsip utama, whistleblowing

BAGIAN B — Analisis Komparatif (2 soal, @ 50 poin):
Soal B1: Perbandingan regulasi AI Indonesia vs EU AI Act
Soal B2: Perbandingan model tanggung jawab platform
         untuk studi kasus konten yang diberikan

BAGIAN C — Esai Argumentatif (1 soal, 100 poin):
"Haruskah Indonesia segera membentuk UU AI Nasional yang
 bersifat mengikat? Argumentasikan dengan regulasi yang ada,
 pengalaman EU AI Act, dan kondisi ekosistem TI Indonesia."

CHECKLIST — PROYEK LEGAL AUDIT (PERTEMUAN 16)

WAJIB ADA:
□ Identifikasi lengkap objek audit (nama, URL, platform)
□ Analisis min. 5 aspek kepatuhan:
  □ Status PSE (terdaftar/belum di Komdigi)
  □ Kebijakan privasi vs. kewajiban UU PDP
  □ ToS vs. UU ITE + UU Perlindungan Konsumen
  □ Keamanan teknis (HTTPS, enkripsi, dll.)
  □ Mekanisme pengaduan/complaint pengguna
□ Setiap temuan: pasal/regulasi spesifik yang dilanggar
□ Penilaian risiko: rendah/sedang/tinggi + justifikasi
□ Minimal 3 rekomendasi konkret dan realistis
□ Referensi APA7 minimal 5 sumber

FORMAT PRESENTASI FINAL (P16):
• Durasi: 10–12 menit presentasi + 3–5 menit tanya jawab
• Media: slide presentasi yang rapi
• Partisipasi: SEMUA anggota kelompok harus berbicara