Panduan
Agen AI di perusahaan Anda menurut GDPR dan EU AI Act
Apa yang diminta GDPR dan EU AI Act dari perusahaan yang menjalankan agen AI, apa yang berlaku sekarang dan apa yang datang di 2027, ke mana data Anda pergi, dan cara merancang agen yang lebih mudah dijaga kepatuhannya.
Diperbarui 2026-09-15
Agen AI membaca email Anda, tiket Anda, dan pesan pelanggan Anda. Ia memanggil sistem Anda dan kadang bertindak sendiri. Di Uni Eropa, itu melibatkan dua peraturan: GDPR, yang sudah berlaku penuh, dan AI Act, yang berlaku secara bertahap.
Panduan ini membahas apa yang diminta masing-masing dari perusahaan yang menjalankan agen, dan cara merancang agen yang lebih mudah dijaga agar mematuhi keduanya.
AI Act: apa yang berlaku sekarang
Diperiksa pada September 2026. Ini gambaran praktis, bukan nasihat hukum. Untuk keputusan penting, bicarakan dengan pengacara atau petugas pelindungan data Anda.
AI Act mulai berlaku pada 2024 dan diterapkan secara bertahap. Pada Juli 2026, Digital Omnibus on AI (Peraturan (UE) 2026/1744) memundurkan tenggat untuk sistem berisiko tinggi. Linimasa saat ini:
| Sejak atau mulai | Apa yang berlaku |
|---|---|
| Februari 2025 | Praktik AI yang dilarang tidak boleh lagi dijalankan |
| Agustus 2025 | Kewajiban bagi penyedia model AI serbaguna (general-purpose AI) |
| 2 Agustus 2026 | Kewajiban transparansi (Pasal 50) |
| 2 Desember 2026 | Penandaan konten buatan AI, untuk sistem yang sudah beredar di pasar sebelum Agustus 2026 |
| 2 Desember 2027 | Kewajiban untuk sistem AI berisiko tinggi (Lampiran III) |
| 2 Agustus 2028 | Kewajiban untuk AI di dalam produk yang diatur hukum keselamatan produk Uni Eropa (Lampiran I) |
Transparansi: ini berlaku untuk Anda hari ini
Jika orang berbicara dengan agen Anda, mereka harus tahu bahwa mereka berbicara dengan AI, kecuali hal itu sudah jelas. Bot dukungan di situs web Anda, asisten di WhatsApp, agen yang menjawab email: masing-masing harus menyebutkan apa dirinya.
Konten yang dihasilkan agen Anda, seperti audio, gambar, atau video sintetis, dan dalam beberapa kasus teks yang diterbitkan untuk memberi informasi kepada publik, punya kewajiban pelabelan tersendiri.
Apakah agen Anda berisiko tinggi?
Sebagian besar agen bisnis tidak. Agen yang memilah tiket dukungan, menjalankan tes Anda, menyusun draf laporan, atau menjawab pertanyaan tentang produk Anda berada di luar daftar risiko tinggi.
Hal itu berubah jika agen ikut menentukan hal-hal yang membentuk kehidupan orang. Area berisiko tinggi antara lain:
- Ketenagakerjaan: menyaring CV, memeringkat kandidat, menilai kinerja, memutuskan promosi atau pemberhentian
- Kredit: menilai kelayakan kredit seseorang
- Asuransi: penetapan harga atau penilaian risiko untuk asuransi jiwa dan kesehatan
- Pendidikan: penerimaan, penilaian, pengawasan siswa selama ujian
- Layanan esensial: memutuskan akses ke tunjangan publik dan layanan serupa
Jika agen Anda bekerja di salah satu area ini, rencanakan dari sekarang untuk Desember 2027. Manajemen risiko, tata kelola data, dokumentasi teknis, logging, pengawasan manusia, dan persyaratan akurasi semuanya butuh waktu untuk dibangun.
GDPR: agen Anda memproses data pribadi
Tidak ada bagian dari agen yang dikecualikan dari GDPR. Jika agen membaca nama, alamat email, nomor telepon, atau catatan pelanggan, ia memproses data pribadi, dan aturan yang biasa berlaku.
Apa artinya bagi agen
- Dasar hukum untuk setiap penggunaan. Alasan Anda menyimpan data pelanggan tidak otomatis mencakup pemberian data itu ke model AI untuk tujuan baru.
- Hanya data yang dibutuhkan tugas. Agen yang menjawab pertanyaan soal faktur tidak butuh seluruh riwayat pelanggan di setiap prompt.
- Perjanjian pemrosesan data dengan setiap pemroses. Penyedia model AI, penyedia hosting, dan platform pesan Anda masing-masing menangani data pribadi atas nama Anda.
- Transfer ke luar Uni Eropa. Jika permintaan sampai ke penyedia model di luar Uni Eropa, itu adalah transfer internasional dan butuh dasar yang sah.
- DPIA saat risikonya tinggi. Teknologi baru yang dipakai dalam skala besar, data sensitif, atau pemantauan sistematis biasanya memerlukan penilaian dampak pelindungan data (DPIA).
- Manusia dalam keputusan penting. Orang berhak untuk tidak dikenai keputusan yang semata-mata didasarkan pada pemrosesan otomatis yang menimbulkan akibat hukum atau akibat signifikan serupa bagi mereka.
- Aturan retensi untuk transkrip dan memori. Agen menyimpan log percakapan dan file memori. Semuanya butuh masa retensi seperti catatan lainnya.
- Hak subjek data juga mencakup agen. Saat seseorang meminta akses ke data mereka atau penghapusannya, log dan memori agen termasuk dalam jawabannya.
Ikuti alur datanya
Sebelum apa pun, gambarkan rute yang dilalui satu permintaan. Untuk agen yang menjawab pelanggan di WhatsApp, kira-kira seperti ini:
One request, end to end
- The customer sends a messageAnother company
The messaging platform
- It reaches the agentYour hosting, EU
The machine the agent runs on
- A routine request is handled locallyNobody else
A local model on the same machine
- A hard request goes to a cloud modelMay leave the EU
The provider's servers
- The agent acts in your applicationYou
Your application and database
- The conversation is storedNeeds a retention period
Logs and agent memory
Every step with another company in it needs a processing agreement. Every step that can leave the EU needs a transfer basis.
Setiap baris yang melibatkan perusahaan lain butuh perjanjian pemrosesan. Setiap baris di luar Uni Eropa butuh dasar transfer. Setiap baris yang menyimpan data butuh masa retensi.
Pilihan desain yang memudahkan kepatuhan
- Biarkan model lokal melihat data pribadi lebih dulu. Model kecil di mesin Anda sendiri bisa mengklasifikasikan permintaan, mengekstrak isian, dan menghapus nama atau nomor identitas sebelum apa pun dikirim ke model cloud.
- Hosting agen di Uni Eropa. Mesin yang menyimpan transkrip, memori, dan kredensial tetap berada di bawah hukum Uni Eropa.
- Pilih ketentuan API yang sesuai untuk data bisnis. Periksa ketentuan retensi data dan pelatihan model dari setiap penyedia untuk penggunaan API, dan apakah pemrosesan data di Uni Eropa tersedia.
- Wajibkan persetujuan untuk tindakan yang berdampak. Mengirim faktur, mengubah catatan, membalas keluhan: biarkan agen menyiapkan, dan seseorang mengonfirmasi.
- Simpan jejak audit. Untuk setiap tindakan: permintaan mana yang memicunya, apa yang diputuskan agen, tool mana yang dipanggilnya, apa yang berubah, dan siapa yang menyetujuinya.
- Beri agen kredensial yang terbatas. Hanya baca jika memungkinkan, terbatas pada sistem yang dibutuhkan tugasnya, mudah dicabut.
- Model AI lokal di Mac mini: apa yang berjalan di tiap ukuran memori, untuk yang pertama dari poin-poin ini
Daftar periksa
AI Act
- Pengguna diberi tahu saat mereka berinteraksi dengan agen
- Konten buatan AI diberi label jika diwajibkan
- Anda sudah memeriksa apakah ada penggunaan yang termasuk area berisiko tinggi
- Jika ada, Anda punya rencana untuk Desember 2027
GDPR
- Anda tahu data pribadi mana yang dibaca, disimpan, dan dikirim agen
- Setiap penggunaan punya dasar hukum
- Perjanjian pemrosesan ditandatangani dengan setiap pemroses
- Transfer ke luar Uni Eropa sudah tercakup
- DPIA dilakukan jika risikonya memerlukan
- Keputusan dengan dampak signifikan melibatkan manusia
- Transkrip dan memori punya masa retensi
- Permintaan akses dan penghapusan mencakup data agen
Operasional
- Setiap tindakan agen dicatat
- Tindakan yang berdampak butuh persetujuan
- Kredensial dibatasi dan bisa dicabut
- Kebijakan privasi Anda menyebutkan penyedia AI yang Anda pakai
Mengapa MacDuty
- Di-hosting di Uni Eropa. Mac Anda dan semua isinya tetap berada di Uni Eropa, dioperasikan oleh perusahaan Uni Eropa.
- Perjanjian pemrosesan tersedia atas permintaan.
- Satu pelanggan per Mac. Transkrip, memori, dan kredensial agen Anda berada di perangkat keras yang tidak dipakai orang lain.
- Model lokal di mesin yang sama. Jauhkan permintaan rutin, beserta data pribadi di dalamnya, dari layanan AI pihak ketiga.
Sumber
Tersedia hari ini
Mac ini sudah ada di rak sekarang. Pilih satu, lihat apa saja yang termasuk, dan buat akun Anda hanya saat memesan.
Memeriksa rak
Mac mini milik Anda sendiri
Pilih konfigurasi. Jika belum tersedia, tinggalkan email Anda dan kami kabari pada hari Mac itu terpasang di rak.
Tahunan: setidaknya 19% lebih murah daripada membayar bulanan
Berikutnya