Belajar Generative AI - Privacy, Compliance & Governance

#Pendahuluan

Setelah di episode 16 kalian mengamankan aplikasi dari serangan teknis, episode ini menangani lapisan yang sering dilupakan engineer sampai terlambat: regulasi dan tata kelola. Aplikasi AI yang memproses data orang — apalagi PII (personal identifiable information) — hidup di tengah aturan yang makin ketat. Di 2026, "kan berjalan kok" bukan lagi pembelaan yang cukup.

Mengapa penting? Karena kegagalan compliance berarti denda besar, larangan beroperasi, dan kehilangan kepercayaan. EU AI Act, GDPR, dan PDP (UU Perlindungan Data Pribadi Indonesia, efektif sejak 2024) memberikan kewajiban nyata yang bisa diterjemahkan ke keputusan teknis. Episode ini mengajarkan cara menerjemahkan pasal-pasal itu ke dalam arsitektur dan kode.

#Peta Regulasi 2026

#EU AI Act

Regulasi AI komprehensif pertama di dunia, berlaku bertahap. Kerangka utamanya risk-based:

LLM serba guna (general-purpose AI) sendiri dikategorikan khusus dengan kewajiban transparansi dan systemic risk untuk model besar.

#GDPR & PDP

Prinsip keduanya hampir identik — dan sangat teknis:

• Data minimization: hanya kumpulkan/proses data yang benar-benar dibutuhkan.
• Purpose limitation: data hanya untuk tujuan yang disampaikan.
• Right to erasure (hak hapus): pengguna bisa meminta datanya dihapus.
• Data subject access: pengguna bisa meminta salinan datanya.
• Transparency: beri tahu bagaimana data diproses (termasuk oleh AI).

Untuk aplikasi AI, prinsip-prinsip ini menjadi keputusan arsitektur: apa yang boleh masuk ke prompt, berapa lama disimpan, dan bagaimana bisa dihapus.

#Data Minimization dalam Arsitektur AI

Data minimization untuk LLM berarti: jangan kirim lebih banyak data dari yang dibutuhkan untuk satu request. Penerapannya nyata di pipeline RAG (episode 7):

def build_rag_context(hits):
    """Hanya kirim field yang diperlukan, bukan seluruh dokumen."""
    lines = []
    for hit in hits:
        # ambil hanya field relevan; buang PII & field internal
        cleaned = {
            "judul": hit.get("title", ""),
            "isi": redact_pii(hit.get("content", "")),
            "tanggal": hit.get("date", ""),
        }
        lines.append(json.dumps(cleaned, ensure_ascii=False))
    return "\n---\n".join(lines)

Prinsipnya: PII tidak boleh masuk ke prompt kalau tidak esensial. Cara yang sama berlaku untuk logging (episode 18): jangan log prompt mentah yang memuat nomor telepon.

#Data Retention: Simpan Segalanya, Hapus Tepat Waktu

Regulasi memaksa kalian mendefinisikan berapa lama data disimpan — dan menghapus setelahnya. Ini kontras dengan kebiasaan engineer menyimpan log selamanya.

# data yang dikirim ke LLM (prompt/response):
#   - raw: 30 hari (debugging)
#   - ter-agregasi & ter-anonim: 12 bulan (evaluasi)
#   - feedback pengguna: 24 bulan (training data)
#   - audio transkrip: 7 hari setelah tugas selesai

Implementasi teknisnya: timestamp setiap record + job pembersihan terjadwal, atau object lifecycle policy di penyimpanan:

aws s3api put-bucket-lifecycle-configuration \
  --bucket ai-prompts-logs \
  --lifecycle-configuration file://lifecycle.json

Kapan datanya dihapus: dengan proses terjadwal (cron) atau managed lifecycle — tapi yang penting ada definisi tertulis yang diikuti sistem.

#Auditability: Bisa Dijawab "Apa yang Terjadi?"

Auditor akan bertanya tiga hal: model apa yang dipakai? dengan konfigurasi apa? data apa yang diproses, dan apa hasilnya? Ini mengharuskan audit log untuk setiap keputusan AI:

import json, time, uuid
 
def log_ai_decision(record):
    entry = {
        "id": uuid.uuid4().hex,
        "timestamp": time.time(),
        "request_id": record["request_id"],
        "user_id": record["user_id"],
        "model": record["model"],
        "prompt_version": record["prompt_version"],   # dari registry episode 15
        "input_hash": sha256(record["input"]).hexdigest(),  # jangan simpan raw PII
        "output_hash": sha256(record["output"]).hexdigest(),
        "token_usage": record["token_usage"],
        "guardrails": record.get("guardrails_triggered", []),
    }
    append_to_audit_store(entry)

Perhatikan praktiknya: simpan hash input, bukan raw, jika raw memuat PII; simpan prompt version agar bisa menjawab "versi prompt apa yang menghasilkan keputusan ini".

#Opt-Out & Hak Pengguna

GDPR/PDP mewajibkan mekanisme opt-out dan hak atas data. Untuk AI, dua skenario nyata:

1. Opt-out dari pemrosesan AI: pengguna menolak datanya diproses model. Implementasinya: flag di user profile + pipeline yang memeriksa flag sebelum mengirim data ke LLM.

def should_process_with_ai(user_id):
    return not get_user_preference(user_id, "ai_opt_out")
 
if should_process_with_ai(user_id):
    answer = call_llm(build_prompt(user_id))
else:
    answer = fallback_rule_based(user_id)

2. Right to erasure: jika pengguna minta dihapus, semua data terkait dihapus — termasuk dari vector DB dan training set jika memungkinkan. Ini jadi pertimbangan kuat untuk tidak melatih ulang model dengan data pelanggan yang sensitif.

#Governance: Kebijakan di Atas Kode

Teknologi saja tidak cukup; governance adalah proses:

• AI inventory: daftar semua aplikasi AI, model, data, dan pemiliknya.
• Human oversight: untuk kasus high-risk, manusia meninjau sebelum/after keputusan otomatis.
• Documentation: catat kapan, mengapa, dan bagaimana sistem AI mengambil keputusan.
• Penilaian dampak: sebelum fitur AI baru, evaluasi risiko pada individu.

#Common Pitfalls

• Logging prompt mentah berisi PII — setara menulis data pelanggan di log terbuka.
• Menjual/training dengan data pelanggan tanpa opt-in — pelanggaran purpose limitation paling umum.
• Retention "selamanya" — bertentangan dengan hapus-berkala.
• Menyalin data antar-environment (prod → dev) tanpa anonimisasi — kebocoran yang tidak terasa.

#Penutup

Inti yang harus dibawa pulang:

• EU AI Act (risk-based, transparansi) + GDPR/PDP (minimization, erasure, access) menentukan keputusan arsitektur.
• Data minimization: PII tidak boleh masuk prompt/log tanpa alasan esensial.
• Retention harus terdefinisi dan dijalankan sistem; audit log harus bisa menjawab "apa yang terjadi".
• Opt-out & erasure adalah kewajiban teknis, bukan slogan.

Di episode 18 selanjutnya kita akan membahas Observability & Monitoring — tracking token, latency & cost, tracing RAG pipeline & agent (LangSmith, OpenLLMetry/OpenTelemetry GenAI), dan alerting. Sampai jumpa di episode 18!