🤖AI Agent Mulai Belanja Sendiri — Siapa Pegang Kendali Pembayarannya di Indonesia?

Ringkasan Cepat

• Sejak akhir 2025, Visa, Mastercard, dan OpenAI (bersama Stripe) sudah membangun jalur pembayaran khusus untuk AI agent — Visa Trusted Agent Protocol, Mastercard Agent Pay, dan Agentic Commerce Protocol — supaya asisten AI bisa checkout atas nama penggunanya tanpa ada manusia yang klik "bayar" (data global).

• McKinsey memproyeksikan transaksi yang "diorkestrasi" AI agent bisa tembus USD3–5 triliun secara global pada 2030 — tapi lembaga lain memperkirakan jauh lebih kecil, cuma USD144 miliar, selisih hampir 35 kali lipat karena definisi "agentic commerce" masih longgar dan belum ada konsensus (data global).

• Masalah paling mendasar bukan soal teknologi, tapi soal siapa yang nombok kalau AI-nya salah belanja: survei PYMNTS di Amerika Serikat (September 2026) menemukan 93% pedagang online mau provider AI yang menanggung rugi, tapi cuma 28% pedagang yang berani membuka penuh katalognya ke AI agent sampai urusan ini jelas.

• Shopee baru mengumumkan kerja sama dengan Google (Februari 2026) membangun prototipe belanja agentic — tapi infrastruktur token pembayaran global itu dibangun di atas rel kartu kredit/debit, sementara 54–62% transaksi e-commerce Indonesia justru lewat QRIS dan e-wallet, bukan kartu (data Indonesia, Populix 2025).

• Regulator Indonesia sejauh ini baru menyentuh AI dari sisi penjual — Permendag 19/2026 mewajibkan label AI di marketplace — dan tata kelola AI internal bank lewat panduan OJK 2025. Belum ada aturan spesifik soal AI pihak ketiga yang diberi kuasa belanja dan bayar atas nama konsumen.

Jalur Baru yang Dibangun Visa, Mastercard, dan OpenAI

Bayangkan kamu bilang ke asisten AI: "cariin sepatu lari ukuran 42 di bawah Rp300 ribu, rating tertinggi, langsung beli." Sampai beberapa bulan lalu, itu cuma skenario demo. Sekarang itu sudah jadi produk nyata yang sedang dibangun oleh pemain pembayaran terbesar dunia.

Dalam rentang April–Oktober 2025, tiga inisiatif besar meluncur hampir bersamaan. Mastercard lebih dulu jalan lewat Agent Pay (29 April 2025), menciptakan kelas kredensial baru bernama Agentic Token — token ini diikat ke identitas agent tertentu plus serangkaian mandat dari pemegang kartu: plafon belanja, kategori merchant yang boleh dibeli, jam operasional, sampai aturan pembelian berulang. Sehari berikutnya Visa meluncurkan Visa Intelligent Commerce, yang kemudian disusul Trusted Agent Protocol pada 14 Oktober 2025 — alih-alih token baru, Visa menempelkan "tanda tangan digital" berisi niat transaksi dan bukti persetujuan pengguna ke setiap permintaan yang dikirim agent. Partner yang ikut menopang termasuk Microsoft, Shopify, Stripe, dan Worldpay, dengan lapisan verifikasi identitas agent (Web Bot Auth) digarap bersama Cloudflare.

Di jalur lain, OpenAI menggandeng Stripe membangun Agentic Commerce Protocol (ACP), diluncurkan lewat fitur Instant Checkout untuk penjual Etsy pada September 2025, memakai mekanisme Shared Payment Token — kredensial sekali pakai yang didelegasikan dari pengguna ke agent untuk satu transaksi spesifik.

Kenapa semua pemain besar berlomba bangun ini bersamaan? Karena lalu lintas bot generatif AI ke situs e-commerce melonjak 4.700% dibanding tahun sebelumnya pada Juli 2025 (data global, Adobe). Merchant kebingungan: mana trafik AI agent yang legitimate mewakili pembeli sungguhan, dan mana bot jahat yang menyamar. Tanpa standar bersama, setiap AI agent yang mencoba checkout berisiko ditolak sistem anti-fraud karena perilakunya — tidak bergerak mouse, mengetik dengan ritme manusia — memang mirip serangan otomatis.

Siapa Nombok Kalau AI-nya Salah Beli?

Token dan protokol itu menjawab pertanyaan "bagaimana agent dikenali." Pertanyaan yang jauh lebih sulit — dan belum terjawab siapa pun — adalah "siapa yang tanggung jawab kalau agent salah."

Di sinilah celah paling nyata agentic commerce terbuka. Sistem chargeback (mekanisme pembeli minta uang kembali lewat bank penerbit kartu kalau transaksi bermasalah) yang dipakai industri kartu selama puluhan tahun didesain untuk menengahi sengketa antara manusia dan merchant. Sistem itu tidak punya kode alasan untuk membedakan "agent-nya salah tangkap maksud pengguna" dari "pengguna memang sengaja beli lalu menyesal." Survei PYMNTS Intelligence di Amerika Serikat pada September 2026 menangkap jurang ini dengan gamblang: 93% pedagang berpendapat provider AI atau penyedia agent yang seharusnya menanggung rugi finansial kalau agent salah beli — tapi pada saat yang sama, cuma 28% pedagang yang bersedia membuka akses penuh ke seluruh katalog produk mereka untuk AI agent, karena mereka melindungi diri sendiri dengan membatasi eksposur selama aturan mainnya belum jelas.

American Express mencoba menambal lewat skema bernama Agent Purchase Protection. Tapi menurut analisis industri, solusi Visa dan Mastercard sejauh ini baru menyediakan sinyal identifikasi agent — bukan realokasi tanggung jawab finansial untuk kesalahan yang bukan penipuan. Artinya: teknologinya sudah bisa membedakan agent asli dari bot jahat, tapi kalau agent asli itu salah beli karena salah interpretasi prompt, belum ada yang secara eksplisit berkata "ini bukan tanggungan pembeli."

Shopee, Google, dan Rel Pembayaran yang Tidak Nyambung

Di Asia Tenggara, Shopee — yang menguasai 52% pangsa pasar e-commerce regional pada 2024 — mengumumkan kerja sama dengan Google pada 19 Februari 2026 untuk membangun prototipe asisten belanja agentic yang bisa mencari, membandingkan, dan membeli lewat beberapa prompt saja. Lazada, yang didukung Alibaba, mengembangkan kemampuan serupa. Persaingan platform di Indonesia sudah ikut arus ini.

Tapi ada ketimpangan struktural yang gampang terlewat kalau cuma baca headline soal "AI akan belanja untuk kamu." Seluruh arsitektur token dan mandat yang dibangun Visa, Mastercard, dan OpenAI-Stripe itu dirancang di atas rel kartu kredit/debit — karena di Amerika dan Eropa, kartu memang instrumen pembayaran dominan untuk belanja online.

Indonesia tidak seperti itu. Menurut Populix Consumer Confidence Index 2025, e-wallet dipakai 62% konsumen untuk belanja online, QRIS 54%, transfer bank 52% — kartu kredit jauh di belakang, dan pertumbuhan transaksi QRIS (142% sepanjang Januari 2025–April 2026) jauh melampaui pertumbuhan transaksi kartu kredit (83%) di periode yang sama. QRIS sendiri, menurut data Bank Indonesia, sudah mencatat 6,05 miliar transaksi senilai Rp579 triliun hanya sampai paruh pertama 2025, dipakai 57 juta orang dan 39,3 juta merchant — 93% di antaranya UMKM.

Ini bukan sekadar beda preferensi. QRIS dan e-wallet Indonesia dibangun di atas asumsi bahwa ada manusia yang memindai kode QR lalu mengotorisasi lewat PIN atau sidik jari di dalam aplikasinya sendiri — dua faktor keamanan yang justru ada karena sistemnya berasumsi manusia hadir secara fisik di momen transaksi. Token Agentic milik Mastercard atau mandat tertanda Visa dirancang untuk melewati asumsi itu sepenuhnya: agent tidak perlu memindai apa pun atau menyentuh sidik jari, karena otorisasinya sudah dititipkan di muka lewat token.

Jadi kalau AI agent mau belanja dan membayar lewat QRIS di Indonesia, dia menabrak tembok yang tidak dihadapi versi Amerikanya: harus ada lapisan baru — semacam "mandat agent" di level e-wallet atau bank penerbit — yang membolehkan otorisasi didelegasikan tanpa PIN dan biometrik berulang. Sejauh penelusuran kami, belum ada bank, e-wallet, atau Bank Indonesia yang secara publik mengumumkan membangun lapisan semacam itu. Bank Indonesia memang sedang menata ulang industri sistem pembayaran lewat PADG Nomor 32 Tahun 2025 (berlaku 31 Maret 2026) dan menjalankan regulatory sandbox yang bisa menguji inovasi berbasis AI — tapi tidak satu pun dokumen publik yang secara eksplisit menyebut skenario agent pihak ketiga yang berbelanja dan membayar atas nama pengguna.

UU yang Ditulis 2008 Dipaksa Menjawab Soal 2026

Ternyata, Indonesia sebenarnya sudah punya satu konsep hukum yang relevan — cuma lahir 18 tahun sebelum ChatGPT ada, dan tidak pernah dirancang untuk kecanggihan sekarang.

UU Informasi dan Transaksi Elektronik (UU ITE) mengenal istilah "Agen Elektronik": perangkat sistem elektronik yang dibuat untuk melakukan tindakan terhadap informasi elektronik secara otomatis. Pasal 21 ayat (2) huruf c UU ITE menegaskan: kalau transaksi dilakukan lewat Agen Elektronik, segala akibat hukumnya menjadi tanggung jawab pihak yang mengoperasikan Agen Elektronik tersebut — kecuali kerugian itu terjadi karena kelalaian pengguna layanan sendiri, bukan kegagalan sistemnya.

Pasal ini aslinya dibuat untuk hal-hal sederhana: mesin ATM yang salah debit, sistem order otomatis yang error. Sekarang pasal yang sama harus menjawab pertanyaan jauh lebih rumit: kalau ChatGPT atau Gemini salah menafsirkan instruksi pengguna dan membeli barang yang salah lewat marketplace, siapa "yang mengoperasikan" agent itu — OpenAI/Google sebagai pembuat model, platform marketplace yang menerima pesanan, atau pengguna yang memberi instruksi ambigu? Belum ada yurisprudensi yang menjawab ini, dan ambiguitasnya persis menyerupai "liability gap" yang juga dipusingkan regulator Amerika.

Di sisi lain, UU Pelindungan Data Pribadi mewajibkan penilaian dampak kalau ada pemrosesan data berisiko tinggi, termasuk pengambilan keputusan otomatis yang berdampak signifikan ke seseorang (Pasal 34) — yang secara teori bisa mencakup AI agent yang memutuskan apa dan berapa yang dibeli atas nama kamu. Tapi penegakannya, menurut pengamat hukum, masih lemah karena belum ada aturan turunan spesifik.

Yang baru benar-benar bergerak justru di sisi penjual. Permendag Nomor 19 Tahun 2026 (berlaku 8 Juni 2026) mewajibkan pelaku usaha memberi label ke konsumen kalau produk, rekomendasi, atau promosi yang mereka lihat di marketplace dihasilkan AI (Pasal 47 ayat 3). Ini aturan yang bagus — tapi arahnya cuma satu sisi: mengatur AI milik platform yang merekomendasikan barang ke manusia, bukan AI milik konsumen yang berbelanja atas nama manusia. Begitu juga panduan tata kelola AI yang diterbitkan OJK untuk perbankan (April 2025) — fokusnya manajemen risiko AI internal bank (penilaian kredit, deteksi fraud), bukan skenario AI eksternal yang diberi kuasa membayar lewat rekening nasabah.

Nailul Huda dari CELIOS pernah menyoroti bahwa Indonesia sebenarnya sudah punya kerangka dasar soal keamanan data terkait AI, tapi implementasinya yang masih tertinggal. Ekonom INDEF Didik J. Rachbini menyebut pola yang sama di banyak sektor lain: jarak antara aturan formal dan praktik di lapangan. Agentic commerce berisiko jadi contoh baru pola itu — aturannya "ada", tapi berbicara tentang dunia yang berbeda dari yang sedang terjadi.

Apa Artinya Buat Kamu

Kalau kamu masih karyawan dan ingin mulai usaha

Jangan tunggu sampai semuanya rapi — tapi juga jangan desain toko online kamu berasumsi semua pembeli manusia. Kalau kamu jualan lewat Shopee, Tokopedia, atau bikin toko sendiri, mulai bersihkan data produk (nama, ukuran, harga, stok) biar mudah "dibaca" AI agent yang mewakili calon pembeli — struktur data yang rapi jadi makin bernilai justru karena agent tidak bisa menebak-nebak seperti manusia. Jangan otomatis blokir trafik yang "terlihat seperti bot" di sistem anti-fraud kamu; menurut temuan industri global, sinyal itu sekarang bisa salah tangkap agent pembeli asli. Dan kalau kamu berencana pakai AI untuk bikin konten promosi atau rekomendasi produk, ingat Permendag 19/2026 sudah mewajibkan kamu memberi label bahwa itu dihasilkan AI — bukan opsional.

Kalau kamu sudah punya bisnis

Cek roadmap payment gateway kamu (Midtrans, Xendit, DOKU, atau provider lain) soal dukungan token agent seperti yang sudan dirilis Visa dan Mastercard — kalau belum ada, tanyakan kapan, karena saat pesaingmu sudah bisa menerima checkout dari AI agent dan kamu belum, kamu kehilangan jalur penjualan yang baru tumbuh. Tinjau ulang syarat dan ketentuan transaksi kamu: siapa yang bertanggung jawab kalau pesanan datang dari AI agent pembeli yang "salah tangkap" maksud penggunanya? Jangan asumsikan Pasal 21 UU ITE otomatis melindungi bisnismu — pasal itu belum pernah diuji untuk skenario agentic AI secanggih sekarang, jadi konsultasikan ke penasihat hukum sebelum insiden pertama terjadi, bukan sesudahnya.

Kalau kamu konsumen biasa yang mulai pakai AI assistant untuk belanja

Memberi AI agent akses ke e-wallet atau kartu kamu itu mirip memberi kuasa terbatas ke orang lain — bukan sekadar instal aplikasi baru. Begitu fitur semacam ini resmi hadir di Indonesia, periksa dulu batas kuasanya: plafon belanja berapa, kategori merchant apa yang diizinkan, berlaku berapa lama. Dan waspadai modus penipuan yang menyamar sebagai "asisten belanja AI" yang minta kamu share kode OTP atau scan QRIS — agent pembayaran yang sah tidak pernah butuh kode OTP kamu secara manual, karena justru itulah seluruh poin dari token yang didelegasikan di muka.

Yang Perlu Dipantau

• Apakah Bank Indonesia memasukkan skema "mandat agent" ke revisi lanjutan Blueprint Sistem Pembayaran Indonesia atau aturan turunan PBI Nomor 10 Tahun 2025 — sejauh ini belum ada sinyal publik.

• Progres prototipe belanja agentic Shopee x Google yang diumumkan Februari 2026 — apakah akan masuk fase uji publik di Indonesia, dan metode bayar apa yang didukung (kartu, QRIS, atau e-wallet).

• Apakah ada bank atau e-wallet besar di Indonesia yang mengumumkan API delegasi pembayaran untuk AI agent pihak ketiga, menyusul langkah Visa dan Mastercard secara global.

• Sengketa hukum pertama di Indonesia terkait pembelian salah oleh AI agent — ini akan jadi uji sungguhan atas Pasal 21 UU ITE di era agentic AI, dan hasilnya bisa menentukan arah regulasi berikutnya.

• Rilis laporan e-Conomy SEA 2026 (biasanya akhir tahun, oleh Google, Temasek, dan Bain) untuk melihat apakah agentic commerce sudah masuk hitungan resmi pertumbuhan GMV e-commerce Indonesia, yang tahun ini diperkirakan sekitar USD91 miliar.

Penutup

Yang menentukan siapa pegang kendali uang kamu di era belanja otonom bukan AI mana yang paling pintar — melainkan siapa yang lebih dulu menulis aturan mandatnya: kartu, e-wallet, marketplace, atau negara. Sampai hari ini, Visa dan Mastercard sudah menulis aturan itu untuk dunia kartu kredit, sementara Indonesia — negara dengan rel pembayaran yang justru paling berbeda dari asumsi mereka — masih memakai pasal yang ditulis tahun 2008 untuk menjawab pertanyaan yang baru lahir tahun ini. Sikap paling realistis bukan menunggu regulasi selesai sebelum ikut arus, juga bukan buru-buru menyerahkan kuasa belanja penuh ke AI — tapi memperlakukan setiap token dan mandat yang kamu beri ke agent persis seperti kamu memperlakukan kunci rumah: diberi dengan batas yang jelas, dan dicabut sewaktu-waktu kamu mau.

Sumber

• Digital Commerce 360 — Visa and Mastercard both launch new agentic AI payments tools

• Refonte Learning — Visa, Mastercard, and Google Now Let AI Agents Pay

• Digital Commerce 360 — McKinsey forecasts up to $5 trillion in agentic commerce sales by 2030

• Yahoo Finance — The Agentic Commerce Liability Gap: Who Pays When the Agent Buys Wrong?

• Riskified — Who owns the risk when AI pays? The coming accountability void in agentic commerce

• Finimize — Google And Sea Team Up To Bring Agentic AI To Shopee

• Bank Indonesia — rilis data dan sosialisasi QRIS 2025

• Infobanknews — BI: Transaksi QRIS Tembus Rp579 Triliun hingga Juni 2025

• GoodStats — Bukan QRIS, Ini Metode Pembayaran Favorit Konsumen Indonesia 2025 (data Populix)

• Mediakompeten — Transaksi QRIS Xendit Tumbuh 142 Persen hingga April 2026

• Bank Indonesia — PADG Nomor 32 Tahun 2025 tentang Industri Sistem Pembayaran

• OJK / Regulations.ai — Buku Panduan Tata Kelola Kecerdasan Artifisial Perbankan Indonesia

• Bisnis.com — Permendag E-Commerce Baru Terbit, Ini Kewajiban Shopee-TikTok Shop Cs

• SW Indonesia — Permendag 19 Tahun 2026 Perkenalkan Kewajiban Baru bagi Platform Digital

• Kemenkumham / JDIH — Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik

• Antara News — Celios ungkap pemanfaatan AI bagi perekonomian Indonesia

• Kompas.id — Examining Indonesia's Digital Economy Landscape in 2025 (e-Conomy SEA 2025, Google/Temasek/Bain)