Perusahaan Pakai AI dari Vendor Global: Hukum Negara Mana yang Berlaku?

Skenarionya sangat normal.

Perusahaan Indonesia daftar layanan AI dari vendor Amerika.

Server mungkin di Singapura.

Subprocessor ada di Eropa.

User dan data berasal dari Indonesia.

Kontrak bilang governing law negara bagian tertentu di Amerika.

Lalu ada incident.

Data bocor. Output merugikan customer. Vendor menghentikan layanan. Sengketa biaya.

Pertanyaan langsung muncul: “Jadi hukum negara mana yang berlaku?”

Jawabannya bukan satu nama negara.

Cross-border AI hampir selalu punya beberapa layer hukum yang berjalan bersamaan.

Ini bagian yang sering bikin procurement dan founder pusing karena interface produknya sederhana.

Klik subscribe.

Masukkan kartu.

Done.

Tapi legal stack di belakangnya global.

Layer pertama: hukum kontrak yang dipilih para pihak

Dalam kontrak internasional, para pihak bisa memilih hukum yang mengatur kontrak.

Indonesia mengenal konsep choice of law.

Penjelasan Pasal 18 UU ITE menyebut bahwa pilihan hukum dalam kontrak internasional, termasuk secara elektronik, dikenal sebagai choice of law dan mengikat sebagai hukum yang berlaku bagi kontrak tersebut, sepanjang sesuai prinsip hukum perdata internasional.

Artinya, kalau kontrak vendor menetapkan hukum negara tertentu, klausul itu penting.

Contoh: “This agreement is governed by the laws of California.”

Untuk sengketa kontraktual seperti pembayaran, breach of warranty, atau interpretation of terms, pilihan itu bisa sangat relevan.

Tapi jangan salah.

Choice of law tidak otomatis menghapus semua hukum Indonesia.

Ini misconception paling umum.

Layer kedua: aturan wajib Indonesia tetap bisa berlaku

Perusahaan bisa setuju hukum kontraknya New York.

Tapi kalau aktivitas menyentuh data pribadi warga Indonesia, UU Pelindungan Data Pribadi Indonesia tetap bisa relevan.

UU PDP bahkan punya jangkauan ke perbuatan di luar Indonesia yang memiliki akibat hukum di Indonesia atau bagi subjek data pribadi warga negara Indonesia di luar wilayah Indonesia.

Jadi contract law dan regulatory law adalah hal berbeda.

Kontrak mengatur hubungan vendor dan customer.

Regulasi melindungi kepentingan publik dan hak tertentu.

Perusahaan tidak bisa menulis: “kami sepakat UU PDP tidak berlaku.”

Mandatory law tidak hilang karena terms of service.

Ini why legal review vendor global penting.

Layer ketiga: transfer data lintas negara

Kalau data pribadi dari Indonesia dikirim ke vendor luar negeri, Pasal 56 UU PDP relevan.

Pengendali data pribadi yang melakukan transfer keluar Indonesia wajib memastikan tingkat perlindungan tertentu.

UU memberikan struktur berjenjang.

Pertama, negara penerima punya tingkat perlindungan setara atau lebih tinggi.

Kalau tidak terpenuhi, perlu perlindungan memadai dan mengikat.

Kalau itu juga tidak terpenuhi, diperlukan persetujuan subjek data sesuai ketentuan yang berlaku.

Detail implementasinya tetap perlu melihat aturan turunan dan konteks aktual.

Tapi prinsipnya clear: cross-border transfer bukan sekadar keputusan IT.

Data flow adalah legal issue.

Ketika tim procurement memilih vendor AI, mereka harus tahu data sebenarnya pergi ke mana.

Layer keempat: lokasi server bukan satu-satunya penentu

Banyak orang bertanya: “server-nya di mana?”

Penting.

Tapi bukan satu-satunya faktor.

Vendor bisa punya server Singapura tetapi badan hukum Amerika.

Customer Indonesia.

Subprocessor Irlandia.

Model provider lain lagi.

Sengketa kontrak mungkin mengikuti hukum yang dipilih.

Data protection mengikuti kombinasi aturan yurisdiksi.

Regulator lokal bisa punya kewenangan karena dampak terjadi di Indonesia.

Jadi jangan menyederhanakan: “server Singapura berarti hukum Singapura.”

Tidak begitu.

Server location adalah satu titik dalam architecture.

Bukan jawaban seluruh legal analysis.

Layer kelima: forum sengketa

Choice of law dan choice of forum juga berbeda.

Kontrak bisa bilang hukumnya California tetapi sengketa harus melalui arbitrase di Singapura.

Atau pengadilan tertentu.

UU ITE juga mengakui para pihak dapat menentukan forum untuk penyelesaian sengketa kontrak internasional.

Forum bisa pengadilan, arbitrase, atau lembaga penyelesaian lain.

Buat perusahaan Indonesia, clause ini sangat material.

Bayangin claim nilainya Rp500 juta.

Kalau untuk menuntut vendor harus arbitrase di luar negeri dengan biaya sangat tinggi, practically rights lo lemah.

Legal right dan enforcement economics beda.

Baca dispute clause.

Jangan cuma privacy page.

Layer keenam: AI regulation negara vendor

Kalau vendor global beroperasi di Uni Eropa, EU AI Act mungkin berlaku untuk bagian tertentu.

Kalau provider atau deployer menempatkan sistem di pasar EU atau output sistem digunakan di EU dalam kondisi yang masuk scope, aturan AI Act bisa relevan.

Ini bisa memengaruhi product design global.

Misalnya transparency obligations EU mulai berlaku 2 Agustus 2026 untuk konteks tertentu.

Vendor bisa memilih menerapkan fitur disclosure secara global daripada membuat versi berbeda.

Perusahaan Indonesia bisa ikut menikmati standard lebih tinggi.

Tapi jangan otomatis menganggap semua perlindungan EU berlaku ke customer Indonesia.

Scope hukum tetap harus dicek.

Layer ketujuh: sektor Indonesia bisa punya aturan sendiri

Kalau perusahaan bank memakai AI vendor global, bukan cuma UU PDP.

Ada OJK. BI. Cybersecurity. Risk management.

Kalau rumah sakit, ada aturan kesehatan.

Kalau telekomunikasi, ada regulasi sektor.

Kalau pemerintah, procurement dan administrasi publik masuk.

Jadi compliance assessment harus melihat sektor.

Vendor bilang “GDPR compliant” bukan jawaban lengkap.

GDPR bagus.

Tapi perusahaan Indonesia tetap harus memenuhi rule Indonesia.

Logo compliance asing tidak menggantikan legal mapping lokal.

Layer kedelapan: kontrak vendor sering sangat berat sebelah

Standard terms provider global biasanya dibuat untuk scale.

Liability cap rendah. Warranty terbatas. Service bisa berubah. Model bisa update. Subprocessor bisa berubah.

Perusahaan kecil sering accept tanpa negosiasi.

Untuk use case low risk, mungkin reasonable.

Untuk high impact, dangerous.

Misalnya AI dipakai customer decision.

Perusahaan perlu enterprise agreement.

Negosiasi: data use, retention, training, incident, model change, audit, indemnity, SLA.

Kalau vendor tidak mau negotiate, organisasi harus memutuskan apakah use case terlalu berisiko untuk layanan itu.

Sometimes answer-nya iya.

Layer kesembilan: data training terms harus dibaca detail

Salah satu pertanyaan paling penting: apakah data perusahaan dipakai melatih model?

Jawabannya bisa beda menurut plan.

Consumer plan. Business plan. API.

Jangan assume.

Terms bisa berubah.

Perusahaan harus punya approved vendor matrix.

Untuk setiap tool: boleh data public, boleh internal, boleh confidential, boleh personal data?

Kalau semua karyawan bebas memilih AI vendor, cross-border compliance tidak terkendali.

Shadow AI adalah shadow data transfer.

Karyawan upload file ke tool global.

Secara teknis gampang.

Secara hukum, perusahaan mungkin tidak sadar ada transfer.

Layer kesepuluh: hukum yang berlaku pada output bisa beda lagi

AI membuat gambar.

Apakah melanggar copyright?

Itu tergantung tempat penggunaan dan rights involved.

AI membuat advice legal untuk customer Indonesia.

Consumer law mungkin masuk.

AI menghasilkan defamation.

Hukum lokal tempat harm terjadi bisa relevan.

Jadi tidak ada satu “hukum AI vendor.”

Setiap legal issue punya connecting factor.

Contract. Data. Copyright. Consumer. Tort. Sector.

Ini why cross-border legal analysis modular.

Jangan cari satu jawaban universal.

Buat data map dan legal map

Langkah practical untuk perusahaan.

Pertama, gambar flow.

User Indonesia. App. Vendor. Server. Subprocessor. Model.

Data apa bergerak?

Kedua, buat legal map.

Contract law. Data law. Sector regulation. IP. Consumer.

Ketiga, tentukan risk.

Low. Medium. High.

Kalau tool cuma brainstorming tanpa data sensitif, review bisa ringan.

Kalau AI membaca data customer atau mengambil keputusan, deeper.

Legal resources harus proportional.

Perusahaan juga perlu exit plan

Cross-border risk bukan hanya hukum.

Vendor global bisa mengubah terms.

Harga naik.

Service tidak tersedia di region.

API berubah.

Geo restriction.

Kalau seluruh workflow tergantung satu provider, operational risk besar.

Contract harus lihat portability.

Bisa export data? Prompt? Logs? Embedding?

Kalau tidak, lock-in.

Hukum negara mana berlaku jadi kurang penting kalau perusahaan practically tidak bisa keluar.

Commercial leverage matters.

Untuk perusahaan Indonesia, prinsip terbaik adalah jangan terjebak pertanyaan satu yurisdiksi

Banyak founder berharap legal memberi jawaban: “pakai hukum Indonesia.”

Atau: “pakai hukum Amerika.”

Realitasnya layered.

Contract mungkin hukum asing.

UU PDP Indonesia tetap berlaku pada aspek data tertentu.

Regulator sektor lokal tetap punya authority.

Negara tempat server bisa punya kewajiban sendiri.

Forum sengketa bisa berbeda.

Ini bukan berarti bisnis harus takut pakai vendor global.

Vendor global sering punya security dan capability terbaik.

Justru yang dibutuhkan adalah governance.

Know the terms.

Know the data.

Know the forum.

Know the exit.

Untuk transaksi material, gunakan legal counsel yang memahami cross-border technology contract.

Jangan copy clause dari template random.

Perusahaan Pakai AI dari Vendor Global: Hukum Negara Mana yang Berlaku?

Jawaban paling benar: lebih dari satu.

Dan tugas perusahaan bukan mencari satu hukum pemenang.

Tugasnya memetakan di layer mana setiap hukum bekerja.

Ada satu layer lagi yang sering kelewat: localization requirement dalam kontrak dan produk. Vendor global kadang punya terms yang sama untuk seluruh dunia, padahal kebutuhan Indonesia berbeda. Misalnya data retention, bahasa disclosure, jam support, atau kewajiban memberi notice incident. Enterprise customer bisa meminta amendment lokal.

Untuk perusahaan besar di Jakarta yang memakai AI di banyak divisi, legal review sebaiknya tidak dilakukan per user. Bangun vendor governance terpusat. Satu tim menilai terms, data, security, dan allowed use. Setelah approved, karyawan tahu batasnya.

Ini jauh lebih efisien daripada setiap tim membaca terms sendiri.

Perusahaan juga perlu memperhatikan perubahan sepihak. Banyak cloud service mengubah terms melalui update online. Untuk use case material, contract sebaiknya mengatur notice period dan hak keluar jika perubahan materially merugikan. Jangan mengandalkan halaman terms yang bisa berubah kapan saja.

Dan kalau vendor menawarkan “data residency Indonesia”, tanyakan detail. Apakah semua data benar-benar tinggal di Indonesia? Bagaimana telemetry, support log, backup, dan model inference? Marketing phrase bisa lebih sempit daripada arsitektur nyata.

Legal mapping harus mengikuti data flow aktual, bukan brosur.

Satu kalimat practical: kalau use case-nya kritis, jangan jadikan clickwrap consumer terms sebagai fondasi. Minta enterprise agreement yang benar-benar bisa dibaca dan dinegosiasikan.

Kalau mapping itu jelas, vendor global tetap bisa dipakai dengan rasional.

Kalau tidak, perusahaan sebenarnya sedang menjalankan infrastructure kritis berdasarkan tombol “I Agree” yang tidak pernah benar-benar dibaca.