Banyak perusahaan mengira memilih “region Jakarta” pada layanan cloud sudah cukup melindungi data mereka. Untuk penyedia berbasis AS, asumsi itu keliru. Panduan ini menjelaskan US CLOUD Act, mengapa ia relevan bagi proyek AI Anda, dan cara mengurangi paparannya. Ini bukan nasihat hukum.
Apa itu US CLOUD Act
CLOUD Act (Clarifying Lawful Overseas Use of Data Act) disahkan 23 Maret 2018 (Wikipedia). Intinya: undang-undang ini memungkinkan penegak hukum AS memaksa penyedia layanan berbasis AS menyerahkan data elektronik yang mereka kendalikan — terlepas dari di mana data itu disimpan secara fisik (AWS).
Kalimat kuncinya: akses mengikuti kendali korporasi, bukan lokasi data. Data yang dikelola penyedia AS di pusat data Jakarta, secara prinsip, tetap dapat dijangkau.
Mengapa “region Indonesia” tidak menyelesaikannya
Inilah kesalahpahaman paling mahal. Memilih region Jakarta dari penyedia AS memberi Anda residensi data — data ada di Indonesia — tetapi tidak memberi kedaulatan, karena yang menentukan adalah di mana penyedianya berbadan hukum. Selama itu AS, paparan CLOUD Act tetap ada. Perbedaan residensi vs kedaulatan ini dibahas di kedaulatan data.
Penyedia memang bisa menantang permintaan yang berbenturan dengan hukum negara lain, dan CLOUD Act memungkinkan perjanjian eksekutif timbal balik dengan pemerintah yang memenuhi syarat (CRS). Namun Indonesia tidak diketahui memiliki perjanjian eksekutif CLOUD Act dengan AS — sehingga tidak ada jalur timbal balik formal yang bisa diandalkan perusahaan Indonesia.
Mengapa ini penting untuk AI
AI memperbesar taruhannya karena alat AI memproses justru data paling sensitif Anda: percakapan pelanggan, dokumen internal, kode, kontrak. Saat semua itu mengalir ke alat AI SaaS dari perusahaan AS, ia masuk ke dalam jangkauan hukum asing. Untuk data yang benar-benar rahasia, ini risiko yang layak dikelola secara sadar.
Cara mengurangi paparan
Ini soal manajemen risiko, bukan tuduhan terhadap penyedia mana pun. Tujuannya menempatkan data sensitif di luar jangkauan hukum asing:
- Penyedia non-AS / lokal. Host di penyedia Indonesia (Lintasarta, NeutraDC, DCI, Biznet Gio, TelkomSigma). Lihat hosting AI di Indonesia.
- Self-hosting di akun sendiri. Jalankan platform AI di akun cloud Anda dengan kunci enkripsi milik sendiri, sehingga penyedia tidak memegang kunci data Anda.
- Inferensi lokal / on-device. Beban kerja paling sensitif tidak perlu meninggalkan perangkat.
osFoundry mendukung ketiganya: deployment BYO Cloud ke akun AWS/GCP/Azure Anda dengan kunci KMS milik Anda, dan inferensi lokal. Dengan BYOK, model dipilih per beban kerja — termasuk model lokal Indonesia seperti Sahabat-AI. dgm, sebagai mitra integrasi independen, merancang arsitektur ini agar data sensitif tetap di yurisdiksi Anda.
Kesimpulan
US CLOUD Act adalah alasan teknis-hukum paling konkret mengapa “data di Jakarta” belum tentu “data aman dari jangkauan asing”. Untuk beban kerja AI sensitif, kurangi paparan dengan penyedia lokal, self-hosting, atau inferensi lokal. Hubungi dgm untuk menilai paparan dan merancang arsitektur AI yang berdaulat.