GDPR dan AI dari China: yang perlu diperhatikan tim Indonesia

Banyak tim di Indonesia memakai model AI yang dikembangkan di China, misalnya Qwen, DeepSeek, atau ChatGLM. Model seperti ini berguna dan banyak yang bisa dijalankan sendiri. Namun satu pertanyaan harus dijawab lebih dulu: ke mana data perusahaan dikirim saat model dipakai.

Kalau model dipakai lewat layanan awan di luar negeri, data bisa menyeberang ke jaringan penyedia di Asia, termasuk ke server di Shenzhen. GDPR Uni Eropa melarang transfer data pribadi ke negara ketiga tanpa dasar hukum dan perlindungan yang memadai.

STRATRONIX STA-100 memungkinkan Anda menjalankan model-model ini di perangkat milik perusahaan sendiri, sehingga data tidak pernah menyeberang ke luar jaringan internal.

Dua hal yang terpisah: asal model dan lokasi data

Model bahasa besar tidak berasal dari satu negara. Bobot model bisa diunduh dan dijalankan di server mana pun di dunia. Yang menentukan dampaknya bagi GDPR adalah di mana inferensi dijalankan dan ke mana data dikirim.

Karena itu perusahaan bisa memakai model asal China tanpa masalah GDPR, asalkan model itu dijalankan di server sendiri di dalam wilayah Uni Eropa. Yang menjadi masalah adalah layanan hosted yang menyimpan percakapan, catatan, dan dokumen pengguna di pusat data di luar Uni Eropa.

• Model diunduh dan dijalankan sendiri di server internal: tidak ada transfer data
• Model dipakai lewat layanan awan di Uni Eropa: transfer tetap terkendali
• Model dipakai lewat layanan awan di Asia: perlu dasar hukum transfer
• Setiap kali data keluar wilayah, kewajiban dokumentasi bertambah

Apa yang aturan UU PDP berarti bagi tim Indonesia

UU PDP Nomor 27 Tahun 2022 mewajibkan pemrosesan data pribadi di wilayah Indonesia untuk data yang berada di dalam negeri. Aturan ini tidak melarang pemindahan data ke luar negeri sepenuhnya, tetapi tetap menuntut dasar pemrosesan yang jelas dan terdokumentasi.

Penegakannya cukup serius: denda hingga Rp 50 miliar dan kemungkinan sanksi pidana sampai tujuh tahun bagi pihak melanggar. Bagi tim legal dan kepatuhan, ini alasan kuat untuk menjadikan pemrosesan lokal sebagai pilihan bawaan, bukan pengecualian.

1. Catat dasar pemrosesan untuk setiap kategori data pribadi yang dipakai AI.
2. Tentukan lokasi penyimpanan dan lokasi pemrosesan model.
3. Periksa daftar penyedia pihak ketiga yang punya akses ke data.
4. Siapkan mekanisme hak subjek data: akses, koreksi, dan penghapusan.
5. Dokumentasikan keputusan dan tinjau minimal setiap tahun.

Model asal China yang bisa dijalankan lokal

Perangkat STRATRONIX mendukung beberapa model bahasa besar umum yang dapat dijalankan sepenuhnya di perangkat, termasuk Qwen2.5-72B, DeepSeek-V3, ChatGLM4, ERNIE, Llama, dan MiniMax. Model-model ini banyak dipakai di Asia dan bobotnya bisa diunduh.

Selain itu tersedia model Bahasa Indonesia seperti Sahabat-AI dan SEA-Lion, sehingga tim lokal tetap dapat bekerja dalam bahasa sehari-hari. Model berjalan tanpa koneksi internet, sehingga tidak ada jalur data keluar.

Pertanyaan yang biasanya diajukan auditor

Auditor sering menanyakan tiga hal: data apa yang diproses, di mana diproses, serta siapa yang punya akses. Pendekatan on-premise menjawab ketiganya dengan satu kalimat: diproses di perangkat milik perusahaan, di jaringan internal, dan hanya orang berwenang yang punya akses jaringan.

Hal yang tetap perlu disiapkan adalah kebijakan internal: siapa yang boleh menjalankan model, dokumen apa yang boleh dimasukkan, dan bagaimana hasilnya diperiksa. Kebijakannya tetap milik perusahaan.

Perusahaan tidak perlu memilih antara model terbaik dan kepatuhan data, hanya tempat model itu dijalankan.

Perbandingan cara pemakaian model AI dan dampaknya ke transfer data

Pertanyaan yang sering diajukan

Baca juga

• Peta kepatuhan AI
• Kepatuhan UU PDP
• Perbandingan on-premise dan cloud
• Harga lengkap STA-100
• Hubungi tim penjualan