GDPR dan Chatbot AI: Apa yang Harus Diketahui Perusahaan

Data pribadi apa saja yang diproses oleh chatbot AI?

Saat pengguna berinteraksi dengan chatbot AI, data dihasilkan. Yang paling jelas adalah konten percakapan itu sendiri: input teks, pertanyaan, keluhan, rincian pemesanan. Data percakapan ini dalam banyak kasus bersifat pribadi dalam arti GDPR baik karena berisi pengenal langsung seperti nama atau alamat email, atau karena dapat dikaitkan dengan data lain yang tersedia seseorang. Alamat IP yang ditransfer secara teknis di Webchat juga dianggap sebagai data pribadi.

Pada chatbot yang digunakan dalam proses akun pelanggan, kategori data tambahan ditambahkan: nomor pelanggan, riwayat pesanan, informasi pembayaran (jika chatbot terintegrasi dalam proses checkout), atau data kesehatan (dalam aplikasi medis). Kategori khusus ini menurut Pasal 9 GDPR tunduk pada tingkat perlindungan yang lebih tinggi dan memerlukan langkah-langkah teknis dan hukum yang khusus.

Prinsip minimisasi data (Pasal 5 ayat 1 huruf c GDPR) mewajibkan hanya memproses data yang benar-benar diperlukan untuk tujuan tertentu. Untuk chatbot FAQ murni tanpa autentikasi, ini berarti: isi percakapan tidak boleh disimpan secara permanen, alamat IP harus dianonimkan, dan informasi pribadi hanya boleh dikumpulkan jika benar-benar diperlukan untuk proses layanan. Dengan demikian, chatbot yang dikonfigurasi dengan cermat secara hukum privasi data jauh lebih kurang bermasalah daripada yang direncanakan dengan buruk.

Persyaratan GDPR untuk pengoperasian chatbot

GDPR menetapkan serangkaian persyaratan dasar untuk setiap proses pengolahan data. Pertama, setiap pengolahan data memerlukan dasar hukum sesuai Pasal 6 GDPR: baik persetujuan dari pengguna, kebutuhan untuk suatu kontrak, kepentingan yang sah dari perusahaan, atau dasar hukum lain yang disebutkan dalam undang-undang. Dasar hukum tersebut harus ditentukan dan didokumentasikan sebelum pengolahan dilakukan — dan jika ada keraguan, harus dapat dipertanggungjawabkan kepada otoritas perlindungan data.

Kedua, terdapat kewajiban informasi yang komprehensif kepada individu yang terdampak. Pengguna harus mengetahui data apa yang diproses untuk tujuan apa, berapa lama data tersebut disimpan, siapa yang dapat menjadi penerima, serta hak-hak apa yang mereka miliki — termasuk hak atas akses, koreksi, penghapusan, dan pembatasan pemrosesan. Informasi ini harus dapat diakses dengan bahasa yang jelas dan mudah dipahami, biasanya terdapat dalam pernyataan privasi dan melalui pemberitahuan di jendela obrolan.

Ketiga, GDPR menetapkan prinsip "Privacy by Design dan by Default" (Pasal 25). Artinya: konfigurasi yang ramah privasi harus menjadi pengaturan awal sejak awal, bukan sebagai tambahan setelahnya. Dalam praktiknya, untuk chatbot AI, ini berarti: periode penyimpanan yang lebih pendek sebagai standar, anonimisasi data log, izin akses yang ketat, serta kemampuan bagi pengguna untuk menghapus data mereka dengan mudah.

Cloud-KI vs. On-Premises: Apa artinya ini untuk perlindungan data?

Dalam kasus chatbot AI berbasis cloud, data percakapan dan permintaan dikirim ke server eksternal dari penyedia model bahasa, diproses di sana, dan — tergantung pada konfigurasi — mungkin digunakan untuk tujuan pelatihan. Untuk penilaian GDPR, yang menjadi penentu adalah: di negara mana server tersebut berada? Untuk penyedia di Amerika Serikat, situasi hukumnya menjadi kompleks sejak putusan Schrems II. Penyedia di Uni Eropa atau yang memiliki pusat data di UE jelas lebih diutamakan di bawah hukum perlindungan data Eropa. Selain itu, harus ditandatangani perjanjian pemrosesan data (AVV).

On-Premises berarti bahwa seluruh infrastruktur — termasuk model AI — dioperasikan pada server yang dikendalikan oleh perusahaan itu sendiri. Dengan pelaksanaan AI secara lokal, tidak ada data percakapan yang meninggalkan infrastruktur internal. Dengan demikian, tidak diperlukan lagi perjanjian pemrosesan data (AVV) dengan penyedia AI berbasis cloud; pemrosesan dilakukan sepenuhnya secara internal. Bagi perusahaan di industri yang diatur ketat — seperti kesehatan, konsultasi hukum, dan layanan keuangan — solusi on-premises sering menjadi satu-satunya opsi yang dapat dipertanggungjawabkan.

Pendekatan hibrida juga memungkinkan: infrastruktur chatbot dan basis pengetahuan berjalan di server yang aman dari sisi UE, sementara untuk kasus penggunaan tertentu yang kurang sensitif, model cloud digunakan. Zentor App mendukung kedua mode operasi — cloud melalui penyedia AI eksternal serta sepenuhnya lokal — dan memungkinkan perusahaan untuk memutuskan sendiri arsitektur mana yang sesuai dengan strategi perlindungan data mereka. Keputusan ini sebaiknya diambil bersama dengan petugas perlindungan data dan pengacara perlindungan data.

Kontrak Pemrosesan Data (AVV): Kapan Diperlukan dan Apa yang Aturannya

Perjanjian pemrosesan data (AVV) berdasarkan Pasal 28 GDPR adalah instrumen utama untuk mengatur secara hukum tanggung jawab antara perusahaan (pengendali) dan penyedia layanan eksternal (pemroses) yang memproses data pribadi atas nama pengendali. Dalam pengoperasian chatbot AI melalui platform SaaS, AVV umumnya wajib digunakan: penyedia chatbot memproses data percakapan di servernya — ini merupakan pemrosesan data secara tradisional.

Perjanjian pemrosesan data (AVV) harus ditandatangani secara tertulis atau dalam format elektronik yang setara, dan mencakup sejumlah isi minimum: objek dan durasi pemrosesan, jenis dan tujuan pemrosesan, kategori data pribadi dan subjek data, serta kewajiban dan hak pengontrol. Selain itu, pemroses data harus menjamin penerapan langkah-langkah teknis dan organisasi (TOM) yang sesuai serta tidak boleh menggunakan sub-pemroses data tanpa persetujuan.

Penting: Perjanjian Pemrosesan Data (AVV) harus diselesaikan sebelum chatbot diaktifkan — bukan setelahnya. Ketidakhadiran AVV meskipun ada pemrosesan data atas nama pengendali data merupakan pelanggaran GDPR yang berdiri sendiri dan dapat dikenakan denda. Oleh karena itu, periksalah setiap penyedia chatbot untuk mengetahui apakah dan dalam bentuk apa AVV ditawarkan, siapa saja sub-pemroses data yang digunakan (misalnya penyedia cloud atau penyedia AI eksternal), serta bagaimana hal tersebut ditangani. Penyedia tepercaya seperti Zentor App menyediakan template AVV yang terstandarisasi dan bersedia mengungkapkan isi template tersebut secara transparan.

Pejabat Perlindungan Data dan Chatbot: Apa yang Perlu Diperhatikan?

Perusahaan yang memiliki petugas perlindungan data internal atau eksternal (DSB) wajib melibatkan DSB tersebut saat memperkenalkan chatbot berbasis AI. Tugas DSB adalah memastikan implementasi yang sesuai dengan ketentuan perlindungan data, menilai risiko, dan mengawasi kepatuhan terhadap GDPR. Hal ini tidak hanya menyangkut kepatuhan formal, tetapi juga konfigurasi teknis yang konkret: data apa yang disimpan? Selama berapa lama? Siapa yang memiliki akses? Bagaimana penanganan permintaan informasi dari individu yang bersangkutan?

Salah satu tugas terpenting DSB dalam konteks chatbot adalah memeriksa apakah diperlukan Penilaian Dampak Perlindungan Data (DSFA) sesuai Pasal 35 GDPR. DSFA diwajibkan jika pemrosesan data diperkirakan menimbulkan risiko tinggi terhadap hak dan kebebasan individu. Hal ini dapat terjadi pada chatbot jika data sensitif diproses secara sistematis, dilakukan pembuatan profil, atau sistem digunakan untuk pengambilan keputusan yang berdampak signifikan terhadap individu yang bersangkutan.

Meskipun DSB (Data Protection Officer) tidak diwajibkan secara hukum, disarankan untuk melakukan pemeriksaan kepatuhan terhadap perlindungan data sebelum peluncuran. Terutama bagi perusahaan kecil yang pertama kali menggunakan chatbot, terdapat beberapa jebakan umum yang perlu diwaspadai: tidak adanya atau ketidakaktualan kebijakan privasi, kelalaian dalam penyusunan perjanjian pemrosesan data (AVV), periode penyimpanan yang terlalu lama, atau tidak adanya konsep penghapusan data. Konsultasi eksternal dengan ahli perlindungan data akan memberikan manfaat jangka panjang dan melindungi dari denda besar yang dapat dijatuhkan oleh otoritas perlindungan data.

Langkah-langkah teknis dan organisasi (TOMs) untuk chatbot

GDPR Pasal 32 mensyaratkan langkah teknis dan organisasi yang memadai (TOMs) untuk memastikan tingkat perlindungan yang sesuai dengan risiko. Untuk chatbot berbasis AI, ini berarti secara konkret: semua transmisi data antara browser pengguna dan backend chatbot harus dilakukan dengan enkripsi (TLS/HTTPS). Data percakapan yang disimpan serta konten basis pengetahuan juga harus disimpan dalam bentuk terenkripsi — baik di dalam basis data maupun pada media penyimpanan yang terkait.

Di halaman akses, GDPR menetapkan prinsip pembatasan akses data: hanya karyawan dan sistem yang benar-benar membutuhkan akses tersebut untuk pekerjaan mereka yang diizinkan mengakses data pribadi. Zentor App menerapkan prinsip ini dengan sistem Role-Based Access Control (RBAC), yang tersedia sebagai modul yang dapat dipilih secara bebas dalam paket Individuell: peran yang berbeda mendapatkan hak akses yang berbeda, dan semua akses dicatat dalam audit trail. Hal ini memungkinkan, dalam hal keraguan, untuk membuktikan siapa yang mengakses data apa dan kapan.

Secara organisasi, TOMs mencakup proses internal yang jelas: Siapa yang bertanggung jawab atas basis pengetahuan? Bagaimana permintaan penghapusan dari pihak yang terdampak diproses? Bagaimana memastikan bahwa data percakapan tidak disimpan lebih lama dari yang diperlukan? Bagaimana perusahaan menanggapi insiden pelanggaran data — misalnya, jika chatbot secara tidak sengaja mengungkapkan data pribadi pengguna lain? Proses-proses ini harus didokumentasikan secara tertulis dan ditinjau secara berkala.

Zentor App dan GDPR: EU hosting dan on-premise sebagai pilihan

Zentor App telah dikembangkan sejak awal dengan tujuan untuk memungkinkan operasi yang sesuai dengan GDPR. Platform dapat dihosting di server Uni Eropa Hosting, database, dan logika aplikasi tunduk pada hukum perlindungan data Eropa. Jika opsi untuk melibatkan penyedia AI eksternal, penggunaan di luar Uni Eropa dilakukan secara eksklusif berdasarkan klausul kontrak standar Uni Eropa (Artikel 46 GDPR) menghilangkan ketidakpastian hukum dari transfer ke negara lain yang tidak terkontrol. Untuk perusahaan yang memikirkan solusi berbasis cloud, hosting Uni Eropa adalah langkah pertama dan paling penting menuju kepatuhan GDPR.

Bagi perusahaan dengan persyaratan perlindungan data tertinggi, Zentor App menyediakan instalasi On-Premises lengkap. Dalam model operasi ini, seluruh platform—mesin chatbot, basis pengetahuan, kotak masuk omnichannel, dan semua komponen pemrosesan—berjalan di atas infrastruktur yang dikendalikan sepenuhnya oleh perusahaan. Dengan pelaksanaan AI secara lokal, tidak ada data percakapan maupun informasi pribadi yang meninggalkan lingkungan TI perusahaan. Pendekatan ini sangat cocok untuk rumah sakit, firma hukum, konsultan pajak, dan industri lainnya di mana perlindungan data merupakan hal yang sangat krusial.

Zentor App menyediakan kontrak pemrosesan (PPA) untuk operasi cloud dan mendokumentasikan pemroses sub yang digunakan dengan nama perusahaan, negara, tujuan dan dasar pengiriman yang tercantum dalam Pasal 13 dari Pernyataan Perlindungan Data. Fungsi perlindungan data teknis RBAC, audit-trail, waktu penyimpanan data yang dapat dikonfigurasi dan kontrol akses berbasis peran dapat dikonfigurasi sebagai modul yang dapat dipilih secara bebas dalam paket individu. Dengan demikian Anda menciptakan persyaratan teknis untuk operasi chatbot yang sesuai dengan GDPR tugas desain hukum dalam kasus tertentu selalu tetap menjadi tugas dari tim perlindungan data dan penasihat hukum Anda.

Pertanyaan yang Sering Diajukan