Belajar Data Architect - Regulatory Compliance Data

#Pendahuluan

Setelah di episode 18 kita membangun kontrol akses berbasis Zero Trust, sekarang kita naik ke konsekuensinya: regulasi. Data bukan hanya aset teknis — ia adalah subjek hukum. GDPR di Eropa, AI Act yang mulai mengikat penggunaan data untuk AI, UU PDP di Indonesia, dan aturan residency di berbagai negara semuanya membatasi cara data dikelola.

Mengapa episode ini penting? Karena kepatuhan tidak bisa ditambal di akhir — regulasi menentukan keputusan arsitektur sejak awal: di mana data boleh disimpan, siapa boleh mengaksesnya, apa yang harus di-log, dan bagaimana data bisa dihapus. Arsitek yang memahami regulasi menghindarkan organisasi dari denda yang bisa mencapai miliaran rupiah.

#Regulasi Utama yang Membentuk Arsitektur 2026

Standar global yang paling berpengaruh. Poin-poin yang memengaruhi arsitektur (di luar yang sudah kita bahas di episode 10):

Data minimization: hanya simpan yang dibutuhkan.
Purpose limitation: data dipakai sesuai tujuan yang diumumkan.
Right to erasure: data seseorang harus bisa dihapus (purge pipeline).
DPIA: penilaian dampak privasi untuk pemrosesan berisiko.
Data residency: data warga EU terlindungi standar perlindungannya.

#EU AI Act

Regulasi AI pertama yang komprehensif (mulai mengikat bertahap di 2025-2027). Untuk arsitek data, poin terpenting:

Data governance untuk AI: training data harus didokumentasikan asal-usulnya (lineage!).
Transparency: penggunaan AI yang berdampak harus bisa dijelaskan.
High-risk AI: butuh data berkualitas tinggi, terdokumentasi, dan diaudit.

Implikasinya: arsitek tidak lagi bisa membiarkan "data training diambil dari mana saja". Lineage dan dokumentasi data untuk AI menjadi keharusan — kita lanjutkan di episode 21.

#Regulasi Lokal (UU PDP Indonesia & lainnya)

UU PDP Indonesia (2024) meniru GDPR: prinsip consent, data minimization, dan hak subjek data. Banyak negara punya aturan data localization — data warga negaranya harus disimpan di dalam negeri. Ini langsung memengaruhi keputusan region cloud.

#Data Residency dan Sovereignty

Data residency: di wilayah geografis mana data boleh disimpan. Data sovereignty: aturan hukum negara mana yang mengikat data itu. Keduanya menentukan di mana cloud region kalian berada.

Keputusan region yang dipaksa regulasi

- Warga EU → data pribadi disimpan di region EU (atau SCC yang valid)
- Warga Indonesia (UU PDP) → bisa diproses lintas batas dengan perlindungan
- Data kesehatan/finansial → sering diwajibkan lokal penuh

Implikasi arsitektur:

Pilih region cloud yang tepat sejak awal — memindahkan region belakangan itu mahal.
Pertimbangkan multi-region replication vs single-region + backup sesuai batas hukum.
Data yang tak boleh keluar region → jangan pernah dikirim ke tool global di region lain.

Warning

Data residency adalah jebakan tersembunyi di tooling: SaaS yang tampak mulus (misal BI, AI, observability) sering memproses data di region lain. Sebelum mengadopsi tool apa pun, tanyakan: di mana data diproses dan disimpan? Jawaban "di US saja" bisa langsung melanggar aturan residency.

#Kesiapan Audit

Audit bukan ujian sekali setahun — ia adalah kondisi yang harus selalu terpenuhi. Arsitektur yang "audit-ready" menjawab tiga pertanyaan setiap saat:

Data apa yang kita punya? → catalog + inventory (episode 8).
Dari mana dan ke mana? → lineage end-to-end (episode 20).
Siapa mengakses apa? → audit log (episode 18 + 20).

Evidence yang diminta auditor

- Peta data: dataset apa, berisi PII apa, siapa owner
- Lineage: asal-usul data kritis sampai dashboard
- Audit trail: siapa akses apa, kapan, berhasil/gagal
- Retention & deletion policy yang dijalankan (bukan hanya tertulis)
- Consent & lawful basis tercatat per data pribadi

#Praktik: Compliance Mapping

Compliance mapping menghubungkan setiap persyaratan regulasi dengan kontrol teknis yang memenuhinya. Ini dokumen hidup yang dipakai saat audit dan saat desain sistem baru.

#Step 1: Buat Daftar Persyaratan

Contoh compliance mapping

persyaratan          regulasi     kontrol teknis           status
enkripsi at-rest     GDPR/UU PDP  SSE aktif + KMS           ✔ aktif
right to erasure     GDPR/UU PDP  purge pipeline per user   dalam pengerjaan
residency EU         GDPR         region EU + backup EU     ✔ aktif
dokumentasi training AI Act       lineage + datasheet data  belum ada
audit log akses      GDPR         PDP log + retention 12 bln ✔ aktif

#Step 2: Nilai Gap

Tandai setiap kontrol yang belum ada, lalu prioritaskan berdasarkan risiko (bukan berdasarkan mudahnya). Kontrol untuk PII dan data berisiko tinggi didahulukan.

#Step 3: Masukkan ke Backlog Arsitektur

Gap compliance bukan sekadar daftar tugas hukum — setiap item harus jadi keputusan arsitektur dengan owner dan deadline. Sertakan dalam roadmap yang kita susun di episode 1.

Tip

Mulai dari satu regulasi yang paling relevan (untuk kebanyakan organisasi: UU PDP atau GDPR jika ada operasi di Eropa). Buat peta data PII dulu — karena hampir semua persyaratan (erasure, consent, residency) bergantung pada tahu di mana PII berada. Tanpa peta PII, compliance lain hanya di atas kertas.

#Penutup

Inti yang harus dibawa pulang:

Regulasi utama 2026: GDPR, EU AI Act, UU PDP — semuanya memengaruhi desain arsitektur.
AI Act menuntut dokumentasi dan lineage untuk training data — bukan hanya untuk BI.
Data residency/sovereignty menentukan region cloud dan pilihan tooling.
Audit-ready = peta data + lineage + audit trail yang selalu bisa dijawab.
Compliance mapping menghubungkan tiap persyaratan dengan kontrol teknis dan statusnya.

Di episode 20 selanjutnya kita akan membahas Data Lineage & Audit — lineage end-to-end, impact analysis, dan audit trail yang menjadi tulang punggung kepercayaan dan kepatuhan. Sampai jumpa di episode 20!