AI
Chatbot AI dan Data Pelanggan: Checklist Privasi GDPR dan KVKK untuk Tim Pesan
Agen AI di WhatsApp atau Instagram meneruskan pesan pelanggan melalui beberapa perusahaan. Checklist ini menunjukkan cara memetakan data tersebut, memilih penyedia, mengatur retensi, dan menangani persetujuan berdasarkan GDPR dan KVKK Türkiye.
Tim MonoChat Diperbarui: 8 menit baca
Di halaman ini
Agar chatbot AI sesuai dengan GDPR dan KVKK, petakan setiap sistem yang dilalui pesan pelanggan, siapkan dasar hukum dan pemberitahuan privasi yang jelas, tanda tangani perjanjian pemrosesan data dengan setiap penyedia, gunakan mekanisme transfer yang sah saat data keluar dari UE atau Türkiye, jauhkan data pribadi dari prompt sebisa mungkin, tetapkan masa retensi, dan beri tahu orang bahwa mereka berbicara dengan AI. Kepatuhan berasal dari cara Anda menerapkan chatbot, bukan dari chatbot itu sendiri.
Tantangannya, satu balasan WhatsApp dapat menyentuh empat atau lima perusahaan: Meta, platform pesan Anda, penyedia LLM, database vektor, dan CRM tempat agen mencari informasi. Checklist ini membahas satu per satu. Panduan ini bersifat praktis untuk tim pesan dan bukan nasihat hukum, jadi pastikan detailnya dengan petugas perlindungan data atau penasihat hukum Anda.
Ke mana data pelanggan mengalir saat agen AI membalas
Mulailah dengan menggambar jalur satu pesan. Alur yang umum terlihat seperti ini:
| Langkah | Sistem | Data yang terlibat | Pertanyaan Anda |
|---|---|---|---|
| 1 | Kanal pesan (WhatsApp, Instagram, Messenger) | Nomor telepon atau nama pengguna, isi pesan, media | Ketentuan dan aturan penyimpanan apa yang berlaku? |
| 2 | Platform pesan | Riwayat percakapan, profil kontak, tag, catatan | Siapa yang dapat mengakses, di mana disimpan, untuk berapa lama? |
| 3 | Basis pengetahuan dan database vektor | Konten Anda; data pribadi hanya jika Anda mengunggahnya | Apakah ada data pribadi di dalam indeks? |
| 4 | Penyedia LLM | Prompt: instruksi, teks yang diambil, riwayat, pesan terbaru | Apakah data disimpan, dipakai untuk pelatihan, diproses di mana? |
| 5 | Tool yang terhubung (CRM, pemesanan, toko) | Data pesanan, janji temu, detail akun | Apa yang dapat dibaca dan ditulis oleh agen? |
| 6 | Agen manusia | Seluruh percakapan setelah serah terima | Siapa melihat apa, dan apakah dicatat dalam log? |
Setiap baris adalah tempat data pribadi diproses dan tempat Anda memerlukan kontrak, aturan retensi, dan kontrol akses. Jika Anda tidak bisa mengisi satu baris, itulah tugas pertama Anda.
Checklist privasi chatbot AI
1. Pilih dasar hukum dan dokumentasikan
Berdasarkan GDPR (Pasal 6), setiap tujuan pemrosesan memerlukan dasar hukum. Menjawab pelanggan yang menulis kepada Anda biasanya didasarkan pada kontrak atau kepentingan yang sah. Pesan pemasaran biasanya didasarkan pada persetujuan. Menggunakan percakapan untuk meningkatkan agen Anda adalah tujuan tersendiri, dan sebaiknya Anda menilainya secara terpisah, bukan berasumsi bahwa dasar awal sudah mencakupnya.
KVKK memiliki daftar syarat pemrosesannya sendiri. Jika Anda melayani pelanggan di UE sekaligus di Türkiye, dokumentasikan dasar hukumnya berdasarkan masing-masing undang-undang.
2. Beri tahu orang tentang AI dan data mereka
Pemberitahuan privasi Anda sebaiknya menyebutkan bahwa percakapan dapat ditangani oleh sistem AI, penyedia mana yang memproses data, di mana, untuk berapa lama, dan cara menghubungi manusia. Pasal 13 dan 14 GDPR mengatur apa yang perlu disertakan, dan KVKK memiliki kewajiban pemberitahuan yang setara.
Di UE, kewajiban transparansi dalam AI Act berlaku mulai 2 Agustus 2026. Aturan ini mewajibkan orang diberi tahu ketika berinteraksi dengan sistem AI, kecuali hal itu sudah jelas dari konteksnya. Pesan pertama yang singkat dapat memenuhi aspek hukum sekaligus ekspektasi pelanggan:
Halo, saya asisten virtual Northwind Home, sebuah AI. Saya dapat membantu
soal pesanan, retur, dan pengiriman. Ketik "agen" kapan saja untuk berbicara dengan tim kami.
Pemberitahuan privasi: northwindhome.example/privacy3. Tanda tangani perjanjian pemrosesan data dengan setiap prosesor
Platform pesan Anda, penyedia LLM, host database vektor, dan penyedia tool mana pun yang menangani data pribadi atas nama Anda adalah prosesor. Pasal 28 GDPR mewajibkan kontrak tertulis yang membatasi pemrosesan sesuai instruksi Anda, mensyaratkan kerahasiaan dan keamanan, serta mencakup sub-prosesor, penghapusan, dan audit. Simpan daftar sub-prosesor dan periksa kembali ketika penyedia berubah.
4. Periksa transfer ke luar UE atau Türkiye
Banyak penyedia LLM memproses data di negara lain. Berdasarkan Bab V GDPR, transfer ke luar EEA memerlukan keputusan kecukupan atau pengamanan yang memadai, seperti klausul kontrak standar.
Aturan KVKK tentang transfer ke luar negeri berubah pada Juni 2024. Transfer kini bergantung pada keputusan kecukupan, pengamanan yang memadai seperti kontrak standar yang diterbitkan oleh Dewan Perlindungan Data Pribadi, atau pengecualian terbatas. Kontrak standar harus dilaporkan kepada Otoritas dalam waktu lima hari kerja setelah ditandatangani. Periksa di mana setiap penyedia memproses data dan pilih wilayah atau penyedia yang sesuai dengan kewajiban Anda.
Di WhatsApp, Cloud API Meta menawarkan penyimpanan lokal: Anda dapat memilih lokasi penyimpanan data pesan saat tidak digunakan (at rest) untuk setiap nomor telepon bisnis. Konten tetap dapat diproses di pusat data Meta secara internasional selama digunakan, hingga 60 menit pada Cloud API, sebelum disimpan hanya di wilayah yang dipilih.
5. Pilih penyedia LLM dengan cermat
Penyedia model melihat semua yang Anda masukkan ke dalam prompt. Sebelum menghubungkannya, periksa:
- Penggunaan untuk pelatihan. Apakah penyedia memakai data API untuk melatih model, dan dapatkah Anda memilih keluar (opt out)?
- Retensi. Berapa lama prompt dan output disimpan, termasuk untuk pemantauan penyalahgunaan?
- Wilayah. Di mana data diproses dan disimpan, dan dapatkah Anda memilih?
- Kontrak. Apakah perjanjian pemrosesan data tersedia untuk paket Anda?
- Hosting mandiri. Apakah model open source di server Anda sendiri cocok untuk kasus penggunaan yang sensitif?
Menggunakan akun penyedia Anda sendiri (bring your own key) berarti kontrak, pengaturan wilayah, dan opsi retensi menjadi milik Anda, bukan diwarisi dari akun vendor.
6. Minimalkan apa yang masuk ke prompt dan tool
Minimalisasi data (GDPR Pasal 5) adalah kontrol privasi paling efektif untuk agen AI.
- Jangan mengunggah catatan pelanggan, dokumen identitas, atau catatan internal ke basis pengetahuan.
- Kirim ke model hanya riwayat yang dibutuhkan, bukan seluruh profil kontak.
- Berikan tool akses yang sesempit mungkin: tool status pesanan hanya memerlukan nomor pesanan, bukan seluruh database pelanggan.
- Samarkan atau hindari kolom seperti nomor identitas nasional, nomor kartu, dan kata sandi.
- Instruksikan agen untuk tidak pernah meminta data sensitif yang tidak diperlukan.
Aturan agen: Jangan pernah meminta nomor kartu, kata sandi, atau nomor identitas di chat.
Jika pelanggan membagikannya, jangan mengulanginya, dan tawarkan tautan
pembayaran yang aman atau panggilan dengan tim kami sebagai gantinya.Jika agen Anda terhubung ke sistem bisnis melalui protokol seperti MCP, aturan yang sama berlaku untuk setiap sistem yang terhubung. Lihat MCP untuk pesan pelanggan untuk mengetahui risikonya.
7. Perlakukan data kesehatan dan data khusus lainnya dengan ekstra hati-hati
Data kesehatan, agama, biometrik, dan kategori serupa mendapat perlindungan tambahan berdasarkan GDPR Pasal 9 dan KVKK. Klinik, apotek, dan perusahaan asuransi sebaiknya membatasi apa yang ditangani AI, menghindari saran medis dari AI, dan mengarahkan pertanyaan klinis kepada staf yang berkualifikasi. Pertimbangkan penilaian dampak perlindungan data (GDPR Pasal 35) sebelum meluncurkan agen AI yang memproses data semacam itu dalam skala besar.
8. Tetapkan retensi untuk setiap penyimpanan
Pembatasan penyimpanan (GDPR Pasal 5) berarti Anda menyimpan data pribadi hanya selama diperlukan. Tetapkan dan dokumentasikan masa retensi untuk:
- riwayat percakapan di platform pesan Anda,
- log di penyedia LLM,
- transkrip dan analitik yang diekspor,
- data pribadi apa pun di database vektor atau basis pengetahuan.
Lalu pastikan penghapusan benar-benar terjadi, termasuk di cadangan (backup) bila memungkinkan.
9. Siap menghadapi permintaan akses dan penghapusan
Pelanggan dapat menanyakan data apa yang Anda simpan tentang mereka dan meminta Anda menghapusnya (GDPR Pasal 15 dan 17, dengan hak serupa berdasarkan KVKK). Ketahui cara menemukan percakapan seseorang di seluruh sistem dalam peta data Anda, dan cara menghapusnya di masing-masing sistem.
10. Hindari keputusan yang dibuat hanya oleh AI
GDPR Pasal 22 membatasi keputusan yang didasarkan semata-mata pada pemrosesan otomatis yang berdampak signifikan terhadap orang. Biarkan AI menjawab, mengumpulkan, dan mengarahkan, sementara persetujuan, penolakan, keputusan kredit, dan pengecualian tetap di tangan manusia. Serah terima AI ke manusia yang andal adalah fitur layanan sekaligus fitur kepatuhan.
11. Amankan akses dan simpan log
Batasi siapa yang dapat membaca percakapan, gunakan akses berbasis peran, wajibkan autentikasi multi-faktor, dan simpan log audit tentang siapa melakukan apa. GDPR Pasal 32 mewajibkan keamanan yang sesuai dengan risikonya, dan Pasal 33 menetapkan batas waktu 72 jam untuk memberi tahu otoritas pengawas tentang pelanggaran data pribadi, jika pelanggaran tersebut menimbulkan risiko bagi orang.
12. Ikuti aturan kanal itu sendiri
Kebijakan Pesan WhatsApp Business dari Meta memiliki persyaratan tersendiri tentang opt-in, penggunaan data, dan AI. Panduan kami tentang kebijakan chatbot AI WhatsApp 2026 membahas apa yang diizinkan Meta, dan opt-in WhatsApp membahas persetujuan untuk pesan proaktif.
Referensi cepat: GDPR dan KVKK berdampingan
| Topik | GDPR | KVKK (UU No. 6698) |
|---|---|---|
| Memberi tahu pengguna | Pasal 13 dan 14 | Kewajiban pemberitahuan |
| Kontrak prosesor | Pasal 28 | Pengendali ikut bertanggung jawab atas keamanan prosesor (Pasal 12) |
| Transfer ke luar negeri | Bab V: kecukupan, klausul kontrak standar | Kecukupan, kontrak standar yang dilaporkan kepada Otoritas, pengecualian terbatas |
| Kategori khusus | Pasal 9 | Kategori khusus data pribadi |
| Retensi | Pembatasan penyimpanan, Pasal 5 | Penghapusan, pemusnahan, atau anonimisasi ketika tujuan berakhir |
| Hak subjek data | Akses, penghapusan, dan lainnya | Hak serupa, termasuk akses dan penghapusan |
Cara MonoChat membantu Anda menjaga kendali atas AI dan data
MonoChat dibangun agar bagian-bagian sensitif dalam tumpukan teknologi tetap berada di bawah kendali Anda. Berikut yang disediakan produk, sebagaimana dijelaskan di halaman keamanan dan kepatuhan kami:
- Kunci LLM Anda sendiri. Dengan LLM kustom Anda menghubungkan akun OpenAI, Anthropic, Google, Azure, AWS, atau penyedia lain milik Anda sendiri, sehingga Anda mempertahankan harga dan perjanjian data Anda sendiri, dan Anda menentukan asisten mana yang memakai model mana.
- Model hosting mandiri. Anda dapat menghubungkan model yang berjalan di server Anda sendiri melalui Ollama, atau API model Anda sendiri, ketika prompt harus tetap berada di infrastruktur Anda.
- Database vektor Anda sendiri. Integrasi VectorDB menyimpan vektor basis pengetahuan di database vektor pilihan Anda, dengan kebijakan penyimpanan dan retensi Anda sendiri, di wilayah atau cloud yang Anda pilih.
- Pengetahuan yang dibatasi cakupannya. Basis pengetahuan AI memisahkan konten ke dalam cakupan dengan kontrol akses masing-masing, sehingga setiap agen hanya mengambil apa yang semestinya.
- Aksi AI yang terkontrol. AI function tools berjalan dengan validasi, izin, endpoint yang masuk daftar izin, dan log, sehingga asisten hanya dapat melakukan apa yang Anda izinkan.
- Kontrol akses dan log. Akses berbasis peran, isolasi workspace, log audit, serta kredensial penyedia yang terenkripsi dan terbatas pada workspace.
- API kanal resmi. WhatsApp terhubung melalui WhatsApp Business Platform resmi (Cloud API), dan MonoChat adalah Meta Business Partner resmi.
- Sertifikasi dan kebijakan. MonoChat memegang sertifikasi ISO 27001 dan ISO 9001, dan kebijakan privasinya disusun berdasarkan KVKK (UU No. 6698). Permintaan untuk mengakses, memperbaiki, atau menghapus data pribadi dijawab dalam 30 hari.
- Opsi on-premise. Paket Enterprise menawarkan deployment on-prem untuk persyaratan yang lebih ketat.
Anda dapat mengevaluasi produk ini pada paket Basic gratis (satu agen, satu kanal) di app.monochat.ai, dan membaca kebijakan privasi lengkap sebelum melakukan peninjauan.
Sumber
Terapkan dengan MonoChat