Kerangka Privasi AI Baru di Luar GDPR

Dewan Eropa telah menerbitkan draf pedoman berdasarkan perjanjian Konvensi 108+ yang akan menetapkan persyaratan privasi AI di 55 negara, jangkauan yang jauh melampaui GDPR Uni Eropa. Meskipun GDPR tetap menjadi undang-undang perlindungan data paling terkenal di dunia, Konvensi 108+ adalah perjanjian internasional terpisah yang mengikat dan mencakup negara-negara anggota Dewan Eropa, termasuk negara-negara non-UE. Jangkauan yang lebih luas itu berarti draf pedoman baru ini dapat membentuk cara sistem AI menangani data pribadi di negara-negara yang sepenuhnya berada di luar yurisdiksi GDPR.

Draf tersebut membahas tiga area risiko privasi AI yang spesifik: pengaturan memori chatbot, cakupan izin yang diberikan kepada agen AI, dan kerentanan model AI terhadap serangan ekstraksi data pelatihan. Masing-masing area ini mencerminkan kekhawatiran nyata yang terus berkembang seiring semakin tertanamnya alat AI dalam penggunaan sehari-hari, baik konsumen maupun bisnis.

Apa yang Sebenarnya Diwajibkan oleh Draf Pedoman

Menurut draf tersebut, chatbot AI harus memiliki fitur memori yang dimatikan secara bawaan. Ini berarti bahwa kecuali pengguna secara aktif memilih untuk mengaktifkannya, chatbot tidak akan menyimpan detail dari percakapan sebelumnya. Fitur memori menjadi populer karena memungkinkan asisten AI mempersonalisasi respons dari waktu ke waktu, tetapi fitur ini juga menciptakan catatan persisten dari informasi yang berpotensi sensitif yang dibagikan selama percakapan santai. Pengaturan bawaan yang dimatikan mengalihkan beban kepada perusahaan untuk mendapatkan persetujuan pengguna daripada mengasumsikannya.

Pedoman tersebut juga menyerukan agar agen AI—alat yang semakin umum dan dapat mengambil tindakan atas nama pengguna seperti memesan janji temu atau mengelola akun—diberi cakupan kredensial minimum yang diperlukan untuk menyelesaikan suatu tugas. Ini adalah prinsip keamanan yang dikenal sebagai akses hak istimewa paling rendah, yang diterapkan secara khusus pada sistem AI. Alih-alih memberikan akses luas kepada agen AI terhadap data atau akun pengguna, kredensial akan dibatasi hanya pada apa yang dibutuhkan untuk pekerjaan spesifik yang sedang dihadapi, sehingga mengurangi potensi kerusakan jika agen dikompromikan atau disalahgunakan.

Area ketiga yang dicakup adalah serangan ekstraksi data pelatihan, sebuah teknik di mana aktor jahat berupaya menarik informasi sensitif atau pribadi dari model AI berdasarkan cara model tersebut merespons prompt tertentu. Draf pedoman mencatat bahwa serangan ini dapat dilakukan dengan biaya rendah, yang menjadi bagian dari alasan mengapa serangan ini menjadi perhatian mendesak bagi regulator. Jika mengekstraksi data pelatihan pribadi tidak memerlukan sumber daya signifikan atau kecanggihan teknis, insentif bagi aktor jahat untuk mencobanya meningkat secara substansial.

Mengapa Konvensi 108+ Penting untuk Kepatuhan AI Global

Salah satu aspek yang paling sering diabaikan dari draf ini adalah perjanjian yang menjadi landasannya. Konvensi 108+ sering digambarkan sebagai instrumen internasional pertama yang mengikat secara hukum tentang perlindungan data di dunia, dan konvensi ini mendahului GDPR. Para penandatangannya mencakup negara-negara yang jauh melampaui perbatasan UE, yang berarti perusahaan yang mengoperasikan produk AI secara internasional mungkin perlu mematuhi dua kerangka kerja yang tumpang tindih namun berbeda: GDPR untuk operasi UE dan Konvensi 108+ untuk rangkaian yang lebih luas dari 55 negara.

Lanskap kepatuhan jalur ganda ini mencerminkan pola yang sudah terjadi di tempat lain. Seperti yang dibahas dalam tinjauan terbaru tentang bagaimana denda GDPR dan aturan AI membentuk ulang kepatuhan, bisnis semakin memperlakukan perlindungan data sebagai prioritas operasional inti daripada sekadar kotak centang hukum. Demikian pula, denda GDPR hingga €20 juta telah menunjukkan bahwa kepatuhan dan postur keamanan yang sebenarnya bukanlah hal yang sama, sebuah perbedaan yang juga akan sangat penting di bawah panduan khusus AI dari Konvensi 108+. Wilayah lain juga bergerak secara paralel: penegakan hukum perlindungan data oleh POTRAZ di Zimbabwe mulai September 2026 adalah contoh lain dari penegakan perlindungan data yang melampaui jangkauan regulasi tradisional UE.

Apa Artinya Ini Bagi Anda

Bagi pengguna sehari-hari chatbot dan agen AI, draf pedoman ini menandakan pergeseran menuju desain privat-secara-bawaan. Jika diadopsi, Anda mungkin mulai melihat lebih banyak produk AI dengan fitur memori yang dimatikan kecuali Anda secara khusus mengaktifkannya, dan agen AI yang meminta izin yang lebih sempit daripada akses akun yang luas. Bagi bisnis yang membangun atau menggunakan alat AI, terutama yang beroperasi di berbagai negara, draf ini adalah pengingat bahwa kepatuhan privasi AI Eropa 2026 tidak akan menjadi satu standar terpadu. Perusahaan perlu melacak persyaratan di kedua yurisdiksi GDPR dan Konvensi 108+, dan merancang sistem yang dapat memenuhi standar yang lebih ketat di mana pun mereka beroperasi.

Poin-Poin Penting

  • Konvensi 108+ mengikat 55 negara, jangkauan yang secara signifikan lebih luas daripada cakupan GDPR yang hanya untuk UE, sehingga perencanaan kepatuhan AI harus memperhitungkan kedua kerangka kerja tersebut.
  • Draf pedoman menyerukan memori chatbot untuk ditetapkan mati secara bawaan, memberi pengguna lebih banyak kontrol atas data percakapan apa yang disimpan.
  • Agen AI akan memerlukan kredensial dengan cakupan akses minimum yang diperlukan, membatasi eksposur jika agen dikompromikan.
  • Serangan ekstraksi data pelatihan ditandai sebagai berbiaya rendah dan berisiko tinggi, menggarisbawahi mengapa kepatuhan privasi AI Eropa 2026 menjadi prioritas bagi regulator.
  • Bisnis yang beroperasi secara internasional harus mulai meninjau pengaturan produk AI sekarang, daripada menunggu pedoman diselesaikan.