Audit regulasi Indonesia, 27 Oktober 2026. Ketika pemerintah daerah, BUMN, perusahaan teknologi, dan penyedia layanan ingin memakai cloud untuk artificial intelligence (AI) atau kecerdasan buatan, satu pertanyaan terus muncul: apakah data wajib disimpan di Indonesia? Jawaban tidak bisa diringkas menjadi “semua wajib lokal” atau “semua bebas ke luar negeri”. Peraturan Pemerintah Nomor 71 Tahun 2019 membedakan penyelenggara sistem elektronik (PSE) lingkup publik dan lingkup privat, sementara pelindungan data pribadi, aturan sektoral, kontrak, dan klasifikasi risiko tetap harus dinilai.
AIGEO.ID menelaah naskah resmi PP 71/2019 pada JDIH Komdigi, khususnya Pasal 20 dan 21, lalu menyusun matriks keputusan bagi organisasi yang memilih lokasi hosting, pemrosesan, dan cadangan data. Fokusnya adalah pembedaan norma yang tertulis dari asumsi pemasaran penyedia cloud. Analisis ini bukan nasihat hukum untuk kontrak tertentu; perubahan aturan pelaksanaan dan kewajiban sektoral harus diperiksa sebelum implementasi.
Pasal 20: PSE lingkup publik memiliki kewajiban berbeda
Pasal 20 ayat (2) mengatur bahwa PSE lingkup publik wajib melakukan pengelolaan, pemrosesan, dan/atau penyimpanan sistem elektronik serta data elektronik di wilayah Indonesia. Ayat (3) membuka kemungkinan di luar wilayah Indonesia jika teknologi penyimpanan tidak tersedia di dalam negeri, dengan mekanisme dan kriteria pada ketentuan berikutnya. Ayat (6) juga mengharuskan klasifikasi data sesuai risiko jika PSE publik menggunakan layanan pihak ketiga. Jadi, pengecualian bukan izin umum untuk memindahkan semua beban kerja publik ke luar negeri karena lebih murah.
Kewajiban tersebut harus dibaca bersama ketentuan lain dan penetapan status PSE yang benar. Tidak semua organisasi yang dimiliki negara otomatis mempunyai pola layanan, sistem, dan klasifikasi data identik. Perlu penilaian fungsi, kewenangan, pengelola sistem, jenis data, serta peraturan sektoral. Untuk lembaga publik, kontrak cloud tidak boleh ditandatangani hanya berdasarkan jaminan vendor bahwa data akan aman; bukti lokasi, akses, pemulihan, dan klasifikasi harus tersedia.
Pasal 21: PSE privat dapat memakai lokasi di dalam atau luar Indonesia
Pasal 21 ayat (1) menyatakan PSE lingkup privat dapat melakukan pengelolaan, pemrosesan, dan/atau penyimpanan sistem dan data elektronik di dalam dan/atau di luar Indonesia. Ayat (2) mensyaratkan efektivitas pengawasan oleh kementerian atau lembaga dan penegakan hukum ketika pemrosesan berada di luar negeri. Ayat (3) mengatur kewajiban memberikan akses dalam rangka pengawasan dan penegakan hukum sesuai peraturan. Ayat (4) menyatakan sektor keuangan diatur lebih lanjut oleh otoritas pengatur dan pengawasnya.
Dengan demikian, kesimpulan “PP 71/2019 mewajibkan seluruh startup menyimpan semua data di server Indonesia” tidak sesuai bunyi umum Pasal 21. Namun pernyataan “startup bebas mengekspor seluruh data pribadi tanpa syarat” juga salah. UU Pelindungan Data Pribadi, kewajiban keamanan, ketentuan sektor, dan kontrak tetap relevan. Lokasi server adalah satu komponen dari tata kelola, bukan keseluruhan kepatuhan.
Matriks dua pasal: siapa, di mana, dan syarat apa?
| Subjek | Prinsip lokasi PP 71/2019 | Pemeriksaan tambahan |
|---|---|---|
| PSE lingkup publik | Pengelolaan, pemrosesan dan/atau penyimpanan di Indonesia sebagai kewajiban dasar | Pengecualian terbatas, klasifikasi data, layanan pihak ketiga |
| PSE lingkup privat | Dapat di Indonesia dan/atau luar Indonesia | Efektivitas pengawasan, akses hukum, PDP, aturan sektor |
| PSE privat sektor keuangan | Pasal 21 tetap relevan tetapi ada aturan otoritas sektor | OJK/BI sesuai jenis institusi dan layanan |
| Penyedia cloud/vendor | Status kewajiban mengikuti peran dan kontrak | Lokasi data, subprosesor, akses jarak jauh, retensi, audit |
Matriks adalah sintesis editorial. Ia tidak menetapkan status hukum perusahaan tertentu dan tidak menghapus kemungkinan aturan baru. Pembaca perlu memeriksa naskah resmi terkini, kebijakan sektoral, serta pembagian peran pengendali dan prosesor data pribadi. Data yang sama dapat memiliki beberapa kewajiban sekaligus: kerahasiaan kontraktual, kewajiban profesi, hak subjek data, dan keamanan sistem.
Mengapa ‘data berada di Jakarta’ belum cukup?
Bayangkan aplikasi berjalan di pusat data Indonesia, tetapi log transaksi dapat dibaca oleh tim dukungan luar negeri, cadangan data dikirim ke region asing, dan model AI pihak ketiga menerima salinan dokumen untuk inference. Lokasi penyimpanan utama memang di Indonesia, tetapi alur pemrosesan dan akses perlu dipetakan lebih jauh. Sebaliknya, perusahaan privat dapat mempunyai dasar untuk menggunakan cloud global namun tetap perlu memeriksa transfer data pribadi dan persyaratan pengawasan.
Istilah data residency, data sovereignty, dan data security sering dicampur. Residency merujuk lokasi fisik/logis penyimpanan dan pemrosesan; sovereignty berkaitan dengan yurisdiksi dan kendali hukum; security berkaitan dengan perlindungan teknis dan organisasi. Menempatkan server di Indonesia dapat membantu persyaratan lokasi tetapi tidak otomatis membuat sistem kebal peretasan atau menjamin kendali atas seluruh subprosesor.
Audit empat alur data untuk aplikasi AI
| Alur | Pertanyaan yang perlu dijawab | Bukti operasional |
|---|---|---|
| Input | Siapa mengunggah data dan apakah berisi identitas? | Klasifikasi, dasar pemrosesan, log akses |
| Inference | Di region mana model memproses input dan output? | Kontrak layanan, arsitektur, konfigurasi region |
| Logging | Apakah prompt, output, dan metadata disimpan? | Kebijakan retensi, penghapusan, subprosesor |
| Backup dan pemulihan | Di mana salinan dan siapa dapat memulihkannya? | Lokasi backup, kunci enkripsi, uji restore |
Empat alur tersebut penting untuk pengadaan. Vendor bisa menawarkan data center lokal untuk aplikasi utama tetapi menggunakan layanan observability, dukungan, atau backup di tempat lain. Hal ini tidak selalu berarti pelanggaran; yang diperlukan adalah penilaian alur nyata dan ketentuan hukum. Audit harus meminta diagram arsitektur yang ditandatangani, bukan hanya brosur yang mencantumkan alamat region cloud.
Simulasi biaya: memilih region lokal versus luar negeri
AIGEO.ID membuat skenario hipotetis untuk 50 TB data aplikasi. Opsi lokal diasumsikan Rp1.500.000 per TB per bulan, sehingga biaya penyimpanan 50 × Rp1.500.000 = Rp75 juta per bulan. Opsi luar negeri diasumsikan Rp1.100.000 per TB, sehingga biaya dasar Rp55 juta per bulan. Selisih nominal Rp20 juta tampak menarik, tetapi perhitungan belum mencakup transfer keluar, jaringan, dukungan, biaya kepatuhan, pemulihan, dan risiko kontrak.
| Komponen asumsi per bulan | Region lokal | Region luar |
|---|---|---|
| Penyimpanan 50 TB | Rp75 juta | Rp55 juta |
| Transfer dan jaringan | Rp5 juta | Rp13 juta |
| Dukungan dan kepatuhan | Rp6 juta | Rp10 juta |
| Total simulasi | Rp86 juta | Rp78 juta |
Dengan tambahan komponen, selisih turun menjadi Rp8 juta per bulan atau Rp96 juta per tahun. Ini bukan penawaran harga cloud, bukan estimasi kewajiban hukum, dan bukan alasan memilih lokasi yang tidak sesuai ketentuan. Jika beban kerja PSE publik wajib di Indonesia dan tidak memenuhi pengecualian, biaya yang lebih murah tidak otomatis membuat opsi luar negeri layak. Jika PSE privat boleh menggunakan region luar negeri, analisis ekonomi tetap harus memasukkan kualitas layanan, keamanan, latensi, dan kontrak.
RTO, RPO, dan biaya gangguan yang sering terlupakan
Lokasi cloud tidak hanya menentukan biaya rutin. Recovery Time Objective (RTO) menunjukkan target waktu memulihkan layanan setelah gangguan, sedangkan Recovery Point Objective (RPO) menunjukkan toleransi kehilangan data dalam satuan waktu. Dua pusat data di kota yang sama bisa gagal bersama karena listrik atau jaringan. Sebaliknya, replikasi lintas negara dapat menimbulkan pertanyaan hukum. Arsitektur pemulihan harus mencari kombinasi lokasi, keamanan, dan target layanan yang sesuai aturan.
Simulasi: sistem pelayanan memproses 20.000 transaksi per hari. Jika gangguan 6 jam pada distribusi transaksi merata, sekitar 20.000 × 6 ÷ 24 = 5.000 transaksi berpotensi tertunda. Ini bukan otomatis 5.000 transaksi hilang karena antrean dapat diproses ulang. Namun model ini menunjukkan mengapa SLA dan kemampuan pemulihan perlu diuji secara nyata. Organisasi sebaiknya mengukur jam gangguan, jumlah transaksi tertunda, lama backlog pulih, dan biaya penanganan warga.
Langkah due diligence untuk kementerian, pemda, dan perusahaan
- Tentukan apakah sistem termasuk PSE publik atau privat berdasarkan fungsi dan ketentuan hukum, bukan nama pemilik semata.
- Petakan jenis data dan klasifikasi risiko, termasuk data pribadi spesifik dan informasi rahasia.
- Periksa Pasal 20–21 PP 71/2019, UU PDP, aturan sektoral, serta peraturan pelaksanaan terkini.
- Minta diagram data flow yang mencakup inference, log, backup, dukungan jarak jauh, dan subprosesor.
- Dokumentasikan lokasi region dan mekanisme pengawasan/akses yang diwajibkan hukum.
- Uji enkripsi, kendali kunci, akses admin, logging, retensi, dan proses penghapusan.
- Tetapkan RTO, RPO, SLA, pengujian restore, dan skenario migrasi jika vendor gagal.
- Hitung total biaya 3 tahun termasuk jaringan, egress, SDM, audit, dan exit cost.
- Libatkan fungsi hukum, keamanan, pengadaan, dan pemilik layanan sebelum kontrak ditandatangani.
- Jadwalkan audit berkala ketika vendor, lokasi, regulasi, atau penggunaan AI berubah.
Klausul kontrak yang harus diuji sebelum migrasi
Kontrak cloud perlu menjelaskan wilayah pemrosesan utama, lokasi cadangan, mekanisme akses administratif, daftar subprosesor, periode penyimpanan log, hak audit, serta prosedur penghapusan dan migrasi. Pernyataan “data disimpan di region Indonesia” tidak cukup jika kontrak memperbolehkan vendor memindahkan log atau data pendukung tanpa pemberitahuan. Klausul perubahan region harus menetapkan siapa menyetujui, kapan diberi tahu, dan apa hak pelanggan bila perubahan tidak sesuai kebutuhan hukum.
Untuk lembaga publik, pemeriksaan kontrak juga harus dikaitkan dengan kewajiban kontinuitas pelayanan, kepemilikan data, dan kemampuan memulihkan sistem ketika hubungan dengan vendor berakhir. Tanpa rencana keluar, biaya perpindahan bisa menjadi tekanan yang memaksa lembaga mempertahankan konfigurasi tidak ideal. Untuk PSE privat, kontrak yang baik tetap harus memungkinkan pemenuhan permintaan akses atau penghapusan data sesuai hukum dan memastikan subprosesor bertindak dalam batas yang disepakati.
Menguji ketahanan arsitektur tanpa memindahkan risiko ke warga
Uji pemulihan tidak cukup dengan menyatakan backup tersedia. Tim perlu melakukan restore berkala pada lingkungan terisolasi, memeriksa integritas data, dan mengukur berapa lama layanan kembali normal. Simulasi dapat memakai gangguan pusat data, kehilangan konektivitas internasional, kegagalan penyedia identitas, atau akses administrator yang dicabut. Setiap skenario harus memiliki pemilik keputusan, target pemulihan, dan rencana komunikasi kepada pengguna. Ketika pengujian gagal, hasilnya perlu dicatat dan menjadi dasar perbaikan.
Contoh: sebuah layanan mempunyai target RTO empat jam tetapi uji restore terakhir membutuhkan sembilan jam. Selisihnya lima jam atau 125% dari target awal. Mengumumkan SLA 99,9% tanpa menguji pemulihan tidak menghilangkan kesenjangan tersebut. Pada aplikasi yang memengaruhi bantuan sosial atau kesehatan, konsekuensi gangguan bisa lebih besar daripada nilai kontrak bulanan. Karena itu, evaluasi vendor harus memasukkan biaya sosial dan operasional yang dapat dijelaskan.
Tiga keputusan yang harus dipisahkan pimpinan
Pertama, keputusan legal: apakah alur data dan lokasi sesuai status PSE serta aturan sektoral? Kedua, keputusan teknis: apakah arsitektur memenuhi kebutuhan keamanan, latensi, dan pemulihan? Ketiga, keputusan ekonomi: apakah biaya total sepanjang kontrak masuk akal dibanding alternatif yang juga patuh? Mencampur ketiganya ke dalam satu skor harga dapat menyembunyikan ketidakpatuhan. Urutannya harus jelas: opsi yang tidak memenuhi syarat hukum tidak masuk perbandingan ekonomi akhir.
FAQ
Apakah semua data pemerintah harus berada di Indonesia?
PP 71/2019 Pasal 20 memuat kewajiban dasar untuk PSE publik beserta pengecualian tertentu. Penerapan pada suatu sistem harus mempertimbangkan klasifikasi, fungsi, dan ketentuan lanjutan yang relevan.
Apakah perusahaan swasta boleh menggunakan cloud Singapura?
Pasal 21 pada prinsipnya memungkinkan pemrosesan PSE privat di luar negeri, tetapi syarat pengawasan, penegakan hukum, pelindungan data pribadi, dan aturan sektor harus dipenuhi.
Apakah server lokal otomatis patuh UU PDP?
Tidak. Lokasi hanyalah salah satu aspek. Dasar pemrosesan, hak subjek data, keamanan, pembatasan tujuan, dan transfer atau akses tetap perlu diperiksa.
Sumber primer dan metode
Sumber utama PP Nomor 71 Tahun 2019 JDIH Komdigi; UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi; serta laporan evaluasi PP 71/2019 dari Komdigi 2025 sebagai konteks pembaruan kebijakan. Matriks dan contoh biaya adalah analisis AIGEO.ID, bukan ketetapan regulator. Untuk konteks, baca audit UU PDP dan AI serta interoperabilitas Satu Data Indonesia.
Kesimpulan. Kedaulatan data yang efektif bukan slogan wajib lokal atau bebas global. Ia membutuhkan penetapan status PSE, pembacaan pasal yang tepat, peta alur pemrosesan, kendali akses, pengawasan vendor, dan pembuktian biaya serta pemulihan. Keputusan cloud AI yang baik harus sah secara hukum sekaligus layak secara teknis.
Leave a Reply