Apa yang Undang-Undang AI Uni Eropa Tidak Beritahu Pendiri tentang Data Pelatihan

Pasal 50 dari Undang-Undang AI Uni Eropa mengharuskan sistem AI untuk mengungkapkan bahwa seseorang sedang berbicara dengan mesin. Ini tidak mengatakan apa yang terjadi pada percakapan itu setelah pengungkapan dilakukan.

Pendiri yang membangun produk di atas model dasar fokus pada akurasi dan harga. Pertanyaan tentang apa yang terjadi pada data pengguna mereka setelah meninggalkan produk mereka dan diproses oleh model pihak ketiga jarang muncul selama pemilihan vendor.

Aturan itu menjadi dapat diterapkan pada 2 Agustus 2026, dan denda untuk non-kompatibilitas mencapai €15 juta atau 3% dari pendapatan tahunan global, mana yang lebih tinggi. Retensi dan pelatihan sepenuhnya berada di luar cakupannya. Jika aplikasi Anda mengirimkan percakapan pengguna ke model pihak ketiga, praktik data penyedia tersebut menjadi bagian dari produk Anda, apakah Anda menginginkannya atau tidak.

Default di Industri Adalah Pelatihan, Bukan Pertanyaan

Peneliti di Institut AI Berbasis Manusia Stanford meninjau kebijakan privasi dari enam pengembang AI besar AS, termasuk Amazon, Anthropic, Google, Meta, Microsoft, dan OpenAI, dan menemukan bahwa semua mereka menggunakan data percakapan pelanggan secara default untuk melatih model mereka, dengan beberapa menyimpan data tersebut tanpa batas waktu. Peneliti utama Jennifer King sangat jelas ketika ditanya apakah pengguna sistem obrolan AI harus khawatir tentang privasi mereka, menjawab “absolut ya.” Oleh karena itu, pelatihan harus dianggap sebagai asumsi default kecuali dokumen penyedia mengatakan sebaliknya. Namun, detailnya bervariasi dari satu penyedia ke penyedia lain dan layak mendapat perhatian dekat sebelum memutuskan untuk menggunakan platform.

Ketika dipuji karena pendekatan privasinya yang sadar, Anthropic mengubah syarat dan ketentuan konsumennya sehingga percakapan dengan Claude sekarang digunakan untuk pelatihan secara default, dengan pengguna dapat memilih untuk tidak melakukannya. Ini menunjukkan bagaimana kebijakan pelatihan vendor dapat berubah dengan cepat, bahkan ketika privasi merupakan bagian dari pitch awalnya.

Di model lain, memilih untuk tidak melakukannya tidak sepenuhnya berhasil. Google menyimpan percakapan Gemini yang ditinjau oleh annotator manusia hingga tiga tahun, dan menonaktifkan pengaturan Aktivitas Aplikasi Gemini tidak menghentikan proses tersebut. Setelah percakapan telah ditandai untuk ditinjau oleh manusia, percakapan tersebut tetap berada di sistem Google pada trek retensi terpisah, terlepas dari apa yang dilakukan pengguna setelah itu.

Character.AI dilatih pada percakapan pengguna secara default dan menawarkan pilihan untuk tidak melakukannya hanya kepada pengguna di EEA dan UK, yang menempatkannya di ujung yang lebih permisif dari praktik data yang dibahas di sini. Secara terpisah, perusahaan tersebut telah menghadapi tantangan hukum dan reputasi. Pada Januari 2026, Character.AI dan Google setuju untuk menyelesaikan sekelompok gugatan yang mengklaim kerusakan dari interaksi chatbot dengan anak di bawah umur, yang tidak terkait dengan kebijakan pelatihan datanya. Google dinamai sebagai tergugat karena kaitannya dengan pendiri Character.AI, dan meskipun tidak ada pengakuan kesalahan dan ketentuan tidak diungkapkan, kasus tersebut menunjukkan bahwa paparan hukum yang terkait dengan vendor AI dapat mencapai perusahaan yang mendukungnya.

Jendela retensi, pemicu tinjauan manusia, dan akses subcontractor jarang muncul di luar cetak kecil kebijakan privasi. Perusahaan yang mengintegrasikan API ini sering harus menyelidiki secara menyeluruh untuk mengetahui berapa lama data pengguna berada dalam tinjauan atau siapa lagi yang dapat melihatnya. Hampir tidak ada detail tersebut yang mencapai pengguna akhir, yang berarti perusahaan dapat mewarisi praktik data vendor dan melewatkannya tanpa kedua belah pihak menyadari hal itu.

Mengapa Ini Adalah Masalah Pendiri dan Bukan Hanya Debat Kebijakan

Jika produk Anda mengirimkan percakapan pengguna ke model dasar dengan pelatihan default yang diaktifkan, Anda telah menerima kebijakan data atas nama pengguna Anda tanpa memberitahu mereka, bahkan jika Anda tidak bermaksud melakukannya. Pasal 50 tidak mengharuskan Anda untuk mengungkapkan keputusan tersebut karena hanya mencakup fakta bahwa mereka sedang berbicara dengan AI.

Akses pihak ketiga memperluas paparan tersebut lebih lanjut. Penyedia model secara teratur mengalihdayakan anotasi data dan tinjauan keamanan ke subcontractor. Pada Mei 2026, Jaksa Agung Texas Ken Paxton membuka penyelidikan terhadap kacamata AI Meta setelah annotator data di subcontractor yang berbasis di Kenya yang disebut Sama dilaporkan dapat mengakses footage momen pribadi pengguna, termasuk kunjungan ke kamar mandi. Meta membantah bahwa ini mencerminkan gambaran lengkap dari praktiknya, dan penyelidikan masih berlangsung. Meskipun contoh ini melibatkan kamera yang dapat dikenakan, masalah yang sama dapat berlaku untuk AI percakapan. Janji bahwa perusahaan tidak menjual data Anda tidak mengatakan apa-apa tentang siapa yang dapat membacanya secara internal sebelum mencapai pipa pelatihan.

Apa yang Harus Diperiksa Sebelum Memilih Vendor

Sebelum menghubungkan model dasar ke data pengguna yang sebenarnya, ada beberapa pertanyaan yang harus dijawab oleh setiap pendiri.

Perjanjian pengolahan data adalah tempat untuk memulai. Perjanjian itu adalah dokumen yang mengatur bagaimana data pengguna Anda ditangani, dan layak dibaca sepenuhnya.

Kontrak itu sendiri layak mendapat perhatian yang sama. Vendor sering menawarkan ketentuan no-pelatihan yang lebih ketat pada kontrak perusahaan atau API daripada pada produk obrolan konsumen, sehingga konfirmasi secara tertulis ketentuan mana yang berlaku untuk integrasi Anda. Banyak perusahaan sering membuat asumsi yang salah bahwa bahasa privasi kelas perusahaan secara default mencakup mereka.

Ketentuan pilihan untuk tidak melakukannya juga layak diperiksa. Pengaturan Gemini Google mengilustrasikan mengapa, karena dalam model itu, menonaktifkan pelacakan aktivitas tidak menghentikan tinjauan manusia dari terjadi. Vendor harus dapat mengatakan secara jelas apakah pilihan untuk tidak melakukannya menghentikan pelatihan, tinjauan manusia, atau keduanya.

Akhirnya, peta di mana data pergi di hilir vendor. Anotasi dan tinjauan keamanan sering dialihdayakan, dan janji privasi vendor tidak secara otomatis diperluas ke setiap subcontractor dalam rantai tersebut.

Tidak satu pun dari pertanyaan ini harus dianggap sebagai latihan satu kali. Ketentuan vendor berubah, terkadang dengan cepat, dan vendor yang Anda tandatangani tahun lalu mungkin tidak beroperasi di bawah aturan yang sama hari ini.

Pasar Dapat Menetapkan Standar yang Belum Dicapai Regulasi

Pasal 50 tidak mungkin menjadi kata terakhir tentang tata kelola data AI dari Uni Eropa, dan pendiri tidak boleh menunggu putaran regulasi berikutnya untuk menutupi kesenjangan yang ditinggalkannya. Perusahaan dapat mendahului kesenjangan itu sekarang dengan membangun pilihan untuk tidak melakukannya yang eksplisit dan terlihat untuk pelatihan pada data pengguna mereka sendiri. Ada garis nyata antara memperbaiki model dan diam-diam memanfaatkan kepercayaan pengguna. Banyak layanan AI masih melintasi garis itu dengan menggunakan percakapan untuk pelatihan tanpa pernah meminta persetujuan yang eksplisit dan terinformasi. Pendiri yang menggambar garis itu untuk diri mereka sendiri sekarang tidak perlu memasang ulang kepatuhan nanti.

Ini adalah langkah yang memiliki preseden. Aplikasi pesan terenkripsi dan pengelola kata sandi tidak menunggu regulator untuk membuat default yang kuat menjadi standar. Mereka membuat pilihan itu sendiri dan mengubahnya menjadi posisi pasar. Produk AI memiliki kesempatan yang sama. Pendiri yang menggambar garis itu sebelum menjadi wajib adalah mereka yang akan dipercaya dengan percakapan sensitif berikutnya yang dilakukan pengguna mereka.