Bulan lalu seorang klien bertanya ke mana sebenarnya data pelanggan mereka pergi ketika tim support menempelkan keluhan pelanggan ke ChatGPT untuk menyusun balasan. Tidak satu pun orang di tim itu bisa menjawab. Kesenjangan itu, yaitu tidak tahu di mana data secara fisik mendarat setelah keluar dari sistem Anda, adalah persis apa yang membuat pertanyaan data sovereignty ai kini tidak bisa lagi disembunyikan. Dengan masa penegakan UU PDP yang semakin dekat, ini bukan lagi catatan kaki kepatuhan. Ini sudah menjadi pertanyaan level dewan direksi.
Sebagian besar API AI yang disentuh tim Anda hari ini memproses permintaan di data center di luar Indonesia, biasanya di AS atau Singapura. Itu tidak otomatis ilegal, tapi ini mengubah apa yang Anda wajib penuhi ke pelanggan dan regulator soal persetujuan (consent), kontrak, dan respons jika terjadi kebocoran. Kalau Anda tidak bisa menjawab di mana data pelanggan diproses, Anda tidak bisa menjawab pertanyaan pertama dari regulator.
Apa arti data sovereignty ai sebenarnya dalam praktik
Data sovereignty bukan soal di mana server Anda diletakkan untuk kepentingan marketing. Ini soal tiga hal konkret:
- Lokasi pemrosesan - infrastruktur negara mana yang menjalankan komputasi saat Anda memanggil model AI.
- Penyimpanan dan retensi - apakah prompt, respons, atau embedding tersimpan di suatu tempat setelah pemanggilan, dan berapa lama.
- Yurisdiksi hukum - pengadilan dan regulator negara mana yang punya otoritas jika terjadi masalah dengan data tersebut.
Saat Anda mengirim nomor identitas pelanggan, riwayat transaksi, atau keluhan kesehatan ke dalam sebuah prompt, ketiga pertanyaan ini berlaku untuk data itu sejak detik ia meninggalkan jaringan Anda. Kebanyakan bisnis hanya memikirkan poin pertama, itu pun kalau sempat dipikirkan.
Kenapa ini lebih penting khusus di Indonesia
UU PDP mewajibkan dasar hukum yang sah untuk pemrosesan data pribadi dan menetapkan kewajiban seputar transfer data lintas batas, termasuk memverifikasi bahwa negara penerima memiliki perlindungan yang memadai atau mendapatkan persetujuan khusus. Sektor jasa keuangan dan kesehatan sudah punya aturan sektoral tersendiri (OJK, Kominfo) yang lebih ketat dibanding aturan umum.
Saya melihat tiga pola pada UKM Indonesia dalam mengadopsi tools AI:
- Adopsi membabi buta: staf menggunakan tools AI konsumen dengan data pelanggan asli, tidak ada yang meninjau syarat dan ketentuan, tidak ada yang melapor ke bagian legal.
- Adopsi beku: manajemen mendengar kata "risiko kepatuhan" lalu melarang AI sepenuhnya, kehilangan peningkatan produktivitas yang nyata.
- Adopsi terencana: melakukan klasifikasi data singkat sebelum rollout, sehingga hanya data non-sensitif yang menyentuh tools AI secara default.
Jalur ketiga adalah satu-satunya yang bertahan dari audit. Ini juga kebetulan yang paling murah untuk disiapkan, biasanya cukup workshop setengah hari plus kebijakan tertulis.
Opsi realistis, diurutkan berdasarkan usaha
Anda tidak perlu membangun model sendiri atau menjalankan infrastruktur di data center lokal untuk bisa bertanggung jawab di sini. Berikut urutan apa yang sebaiknya benar-benar dilakukan kebanyakan bisnis.
| Opsi | Apa yang diselesaikan | Apa yang tidak diselesaikan |
|---|---|---|
| Minimisasi data | Menghapus PII/PID sebelum prompt meninggalkan sistem Anda | Perilaku penyimpanan internal vendor |
| Komitmen residensi data vendor | Jaminan kontraktual dan kadang teknis atas region pemrosesan | Bergantung pada apakah vendor benar-benar menawarkannya; tidak semua menawarkan |
| Endpoint API regional | Sebagian provider kini merutekan permintaan lewat infrastruktur Asia-Pasifik | Tetap yurisdiksi asing, hanya lebih dekat |
| Model self-hosted atau on-prem | Kendali penuh atas lokasi data | Biaya infrastruktur dan maintenance nyata, hanya sepadan pada skala tertentu |
Bagi kebanyakan UKM, minimisasi data adalah langkah dengan leverage tertinggi dan justru yang paling jarang dilakukan lebih dulu, kebanyakan karena ini butuh waktu engineering, sekecil apa pun itu. Tiket support tidak perlu nomor identitas lengkap pelanggan di dalam prompt untuk menyusun balasan. Skrip pengingat penagihan tidak perlu riwayat saldo pinjaman penuh pelanggan, cukup jumlah tagihan yang jatuh tempo saat ini. Hilangkan apa yang tidak dibutuhkan model sebelum data itu meninggalkan sistem Anda. Langkah ini saja sudah menyelesaikan sebagian besar eksposur Anda.
Komitmen residensi data vendor menjadi langkah berikutnya. Saat mengevaluasi vendor AI mana pun sekarang, tanyakan langsung: di mana data diproses, apakah disimpan untuk pelatihan model, dan bisakah itu didapat secara tertulis. Jika vendor tidak bisa menjawab dengan jelas, itu sendiri sudah jadi informasi berharga tentang seberapa serius mereka memperlakukan buyer enterprise, dibanding sekadar membaca pernyataan publik vendor tanpa bertanya langsung, yang justru dilewatkan kebanyakan tim. Ini bersinggungan dengan pertanyaan yang lebih luas yang kami bahas di Sinyal Kepercayaan Digital: Bagaimana Buyer B2B Menilai Anda Secara Online, hanya saja di sini Anda yang berperan sebagai buyer yang melakukan penilaian.
Yang benar-benar perlu dilakukan kuartal ini
Urutan langkah yang pragmatis, bukan membangun departemen kepatuhan:
- Petakan setiap titik dalam bisnis Anda di mana staf menempelkan data pelanggan ke tools AI apa pun, baik yang resmi maupun shadow IT.
- Klasifikasikan data mana yang benar-benar perlu keluar dari sistem Anda versus yang bisa disamarkan atau diagregasi terlebih dahulu.
- Pilih vendor yang mau berkomitmen pada ketentuan penanganan data secara tertulis, bukan sekadar bahasa marketing.
- Tulis kebijakan internal satu halaman: data apa yang boleh dan tidak boleh masuk ke prompt AI, siapa yang menyetujui pengecualian.
- Tinjau ulang setiap enam bulan, karena ketentuan vendor dan regulasi sama-sama terus berubah.
Ini bukan proyek yang butuh retainer konsultan. Yang dibutuhkan hanya satu sore pemetaan jujur dan dokumen kebijakan yang benar-benar dibaca orang.
Intinya
Risiko data sovereignty ai bisa dikelola, tapi hanya jika Anda tahu ke mana data Anda pergi hari ini. Kebanyakan bisnis tidak tahu, dan ketidaktahuan itulah liabilitas sebenarnya, bukan tools AI-nya. Mulai dari minimisasi data, ini tidak berbiaya apa pun selain disiplin engineering, lalu tambahkan komitmen vendor di atasnya seiring skala bisnis bertambah. Jika Anda ingin sudut pandang kedua atas alur data AI Anda saat ini sebelum masa penegakan UU PDP semakin ketat, itu percakapan yang layak dilakukan di /partner.