Selama bertahun-tahun, keputusan teknologi dinilai lewat serangkaian pertanyaan yang sudah akrab: Apakah lebih cepat? Apakah lebih murah? Bisakah diskalakan? Apakah ini akan membuat tim lebih produktif?
Pertanyaan-pertanyaan itu tetap penting. Namun, itu saja tidak lagi cukup.
Ketika sebuah organisasi bergantung pada infrastruktur, platform, dan semakin sering pada model AI eksternal, ada pertanyaan yang lebih sulit yang harus didahulukan: apa yang terjadi ketika syaratnya berubah? Apa yang terjadi ketika akses menjadi lebih mahal, dibatasi, terekspos secara politik, atau sulit dijelaskan kepada regulator, dewan, atau pelanggan?
Itulah pertanyaan tentang kedaulatan dalam TI dan AI.
Ini bukan hanya soal di mana data berada. Ini soal kontrol dalam arti yang lebih luas: siapa yang dapat memeriksa sistem, menghentikannya, memaksa akses, mengubah aturan, atau membuatnya sulit untuk ditinggalkan. Ini juga soal akuntabilitas. Ketika sesuatu berjalan tidak semestinya, siapa yang tetap bertanggung jawab?
Tidak ada satu definisi global tunggal tentang kedaulatan digital. Yurisdiksi yang berbeda menekankan aspek yang berbeda: jangkauan hukum, ketergantungan pada infrastruktur, kontrol data, ketahanan operasional, konsentrasi penyedia, dan, semakin sering, kontrol atas lapisan model AI. Benang merahnya bersifat praktis, bukan ideologis.
Kedaulatan adalah kemampuan untuk mempertahankan kontrol yang bermakna atas kapabilitas digital yang paling diandalkan oleh sebuah organisasi.
Itu tidak berarti setiap negara atau perusahaan harus membangun semuanya sendiri. Artinya adalah mengetahui di mana ketergantungan dapat diterima, di mana ketergantungan itu berbahaya, dan kontrol apa yang harus tetap berada di dalam organisasi atau dapat ditegakkan secara kontraktual.
Kedaulatan bukan swasembada
Kedaulatan sering disalahartikan sebagai swasembada atau residensi data. Keduanya tidak mencakup keseluruhan persoalan.
Sebuah perusahaan mungkin menyimpan datanya di yurisdiksi yang tepat dan tetap terekspos jika platform di sekitarnya sulit ditinggalkan, penyedianya tetap tunduk pada tuntutan hukum asing, atau sistem AI yang tertanam dalam alur kerja kritis tidak dapat diaudit atau dipengaruhi oleh pelanggan.
AI membuat pembedaan ini menjadi lebih mendesak. Model bukan sekadar komponen perangkat lunak lain. Model dapat membentuk cara sebuah organisasi menulis, mencari, mengklasifikasikan, mendukung pelanggan, menganalisis informasi, dan mengambil keputusan. Begitu itu terjadi, ketergantungan naik ke lapisan yang lebih tinggi. Pertanyaannya bukan lagi hanya di mana sebuah mesin berjalan. Pertanyaannya adalah siapa yang membentuk kecerdasan di dalam pekerjaan itu.
Sebagian besar organisasi menyadari hal ini dalam situasi operasional sehari-hari. Penyedia mengubah harga, dan use case yang tadinya layak tiba-tiba menjadi mahal. Pembaruan model mengubah output, dan alur kerja internal harus dikalibrasi ulang. Tim legal atau kepatuhan mengajukan pertanyaan sederhana tentang penanganan data dan menerima jawaban yang samar. Tim pengadaan mendapati bahwa arsitektur yang katanya fleksibel ternyata mahal dan lambat untuk diganti.
Krisis geopolitik tidak diperlukan. Ketergantungan biasa saja sudah cukup.
Perdebatan global dengan bahasa hukum yang berbeda
Isu ini bersifat global, bahkan ketika terminologinya berbeda.
Di Amerika Serikat, kekhawatiran ini sering diungkapkan melalui otorisasi federal dan kontrol keamanan nasional, alih-alih dengan frasa digital sovereignty. FedRAMP menyediakan pendekatan terstandar untuk menilai, mengotorisasi, dan memantau secara berkelanjutan layanan cloud yang digunakan oleh lembaga federal. Lembaga-lembaga tersebut tetap bertanggung jawab atas workload mereka setelah dipindahkan ke cloud, dan lingkungan pertahanan menambahkan persyaratan lebih lanjut.
Inggris Raya cenderung membingkai isu ini melalui ketahanan operasional dan ketergantungan sistemik. Bank of England, PRA, dan FCA membentuk rezim Critical Third Parties karena gangguan besar pada penyedia eksternal dapat menimbulkan risiko bukan hanya bagi satu perusahaan, tetapi juga bagi sistem keuangan yang lebih luas.
Profil kontrol cloud Kanada untuk informasi Protected B menegaskan prinsip akuntabilitas secara eksplisit: tanggung jawab dapat didelegasikan kepada penyedia cloud, tetapi akuntabilitas tidak hilang saat penyerahan dilakukan.
India memadukan persyaratan lokalisasi data untuk data sistem pembayaran dengan ekspektasi bahwa entitas yang diatur tetap bertanggung jawab atas pengaturan TI alih daya dan cloud. Singapura menyambut adopsi cloud sambil memperlakukannya sebagai alih daya yang harus ditata kelola. Australia, Brasil, dan Afrika Selatan juga mendekati isu ini melalui ketahanan operasional, risiko penyedia layanan, akses pengawasan, tata kelola data, dan infrastruktur strategis.
Polanya jelas. Kedaulatan bukanlah kekhawatiran khas Eropa yang bersifat niche. Ini adalah respons luas terhadap kenyataan bahwa ketergantungan digital telah menjadi strategis.
Mengapa pendekatan Eropa penting
Eropa telah mendorong konsep ini lebih jauh daripada kebanyakan yurisdiksi dengan mengubahnya menjadi kerangka pengadaan dan penilaian.
Cloud Sovereignty Framework milik Komisi Eropa mengevaluasi penyedia sovereign cloud berdasarkan delapan tujuan: pertimbangan strategis, hukum dan yurisdiksi, data dan AI, operasional, rantai pasok, teknologi, keamanan dan kepatuhan, serta lingkungan. Kerangka ini menggunakan dua mekanisme yang saling melengkapi:
- Sovereignty Effectiveness Assurance Level (SEAL): tingkat assurance minimum untuk setiap tujuan.
- Overall sovereignty score: perbandingan berbobot atas penawaran yang memenuhi ambang SEAL yang disyaratkan.
Pembedaan ini penting. Overall SEAL ditetapkan oleh tingkat relevan terendah yang dicapai di seluruh tujuan. Karena itu, kelemahan serius di satu area kritis dapat membatasi tingkat keseluruhan penyedia, terlepas dari kekuatan di area lain. Score memiliki tujuan yang berbeda: membedakan di antara penawaran yang sudah melampaui ambang minimum.
Level adalah logika ambang; score adalah logika komparatif.
Panduan Komisi memberi ruang bagi otoritas kontrak untuk menetapkan SEAL minimum yang disyaratkan untuk suatu pengadaan, lalu membandingkan penawaran yang memenuhi syarat melalui score. Pengadaan sovereign cloud tahun 2026 mensyaratkan penyedia mencapai setidaknya SEAL-2. Kerangka ini juga mengakui adanya derajat kedaulatan: SEAL-2 dikaitkan dengan kedaulatan data, SEAL-3 dengan ketahanan digital, dan SEAL-4 dengan kedaulatan digital penuh.
Tingkat tertinggi sengaja dibuat menuntut. Komisi mencatat bahwa kedaulatan penuh masih sulit dicapai dalam konteks Eropa saat ini karena ketergantungan yang terus berlanjut dalam rantai pasok, khususnya perangkat keras dan chip. Ini merupakan koreksi yang berguna terhadap cara berpikir biner. Sebuah layanan dapat meningkatkan posisi kedaulatan suatu organisasi tanpa harus memenuhi definisi kedaulatan yang paling kuat yang dapat dibayangkan.
Itulah sebabnya kerangka ini lebih dari sekadar checklist. Kerangka ini memaksa konsep tersebut untuk tetap bertahan ketika berhadapan dengan pengadaan, rekayasa, tinjauan hukum, dan akuntabilitas kelembagaan.
Mengapa ini penting di luar sektor yang diatur
Bank, operator telekomunikasi, organisasi pertahanan, sistem kesehatan, dan otoritas publik cenderung merasakan tekanan ini lebih dulu karena regulasi membuat taruhannya terlihat jelas. Kerentanan yang mendasarinya jauh lebih luas.
Produsen yang bergantung pada satu region hyperscaler untuk analitik produksi, perusahaan perangkat lunak yang membangun fitur inti di atas satu penyedia model, peritel yang mengandalkan infrastruktur identitas eksternal, atau universitas yang menyematkan alat AI pihak ketiga ke dalam riset dan administrasi—semuanya menghadapi variasi dari masalah yang sama.
Sebagian risikonya bersifat geopolitik. Kontrol ekspor, sanksi, intervensi keamanan nasional, dan tuntutan hukum lintas batas dapat menjangkau lebih jauh ke dalam tumpukan teknologi daripada yang diasumsikan banyak organisasi. Bagian lainnya bersifat struktural: sejumlah kecil perusahaan menopang porsi besar kapasitas cloud, platform, identitas, dan AI global. Kapabilitas mereka sering kali sangat baik. Justru karena itulah ketergantungan bisa menjadi sangat dalam.
AI mempertajam persoalan ini karena layanan eksternal berubah menjadi kapabilitas internal. Ketika sebuah model terjalin ke dalam alur kerja dukungan, penyusunan draf, pencarian, tinjauan kepatuhan, atau pengalaman produk, model itu menjadi bagian dari cara organisasi berpikir dan beroperasi. Jika lapisan itu sulit diaudit, dikelola, atau diganti, ketergantungannya tidak lagi semata-mata teknis. Ia menjadi persoalan manajerial dan strategis.
Apa yang dapat dilihat melalui lensa kedaulatan
Kedaulatan paling tepat dipahami sebagai disiplin dalam menilai, bukan tuntutan akan kemandirian total.
Pertanyaan yang berguna bukanlah apakah sebuah organisasi mengendalikan segalanya. Hampir tidak ada yang bisa. Pertanyaan yang lebih baik adalah: tujuan kedaulatan mana yang paling lemah, dan mengapa?
Apakah faktor pembatasnya adalah kepemilikan dan tata kelola? Paparan hukum? Kendali data? Ketergantungan operasional? Kerapuhan rantai pasok? Lock-in teknologi? Atau lapisan AI itu sendiri?
Begitu hal itu terlihat, responsnya menjadi konkret. Sebagian organisasi membutuhkan hak audit dan hak keluar yang lebih kuat. Sebagian membutuhkan batas yurisdiksi yang lebih ketat untuk data atau beban kerja tertentu. Sebagian mungkin mempertahankan portabilitas fungsi-fungsi tertentu di berbagai penyedia cloud atau model, bahkan jika itu menambah biaya. Yang lain mungkin menerima ketergantungan terkelola di area yang kurang kritis sambil mempertahankan kendali yang lebih kuat atas sistem yang menentukan ketahanan, akuntabilitas, atau keunggulan kompetitif.
Itulah nilai dari lensa kedaulatan. Ia tidak menetapkan satu kesimpulan politik tertentu atau menuntut swasembada teknologi yang dramatis. Ia memberi organisasi cara yang disiplin untuk mengidentifikasi tujuan relevan mereka yang paling lemah, memahami mengapa itu lemah, dan memutuskan apakah paparannya dapat diterima.
Pertanyaan itu kini berlaku untuk infrastruktur, data, dan semakin sering juga untuk AI.
Sumber
- European Commission: Penjelasan Sovereign Cloud Framework (2026)
- European Commission: Cloud Sovereignty Framework — Panduan implementasi (2026)
- European Commission: Komisi memajukan kedaulatan cloud melalui pengadaan strategis (2026)
- APRA: CPG 230 Manajemen Risiko Operasional
- U.S. General Services Administration: Keamanan Cloud
- Bank of England, PRA, and FCA: Pihak Ketiga Kritis bagi sektor keuangan Inggris
- Government of Canada: Profil Kontrol Keamanan untuk Layanan GC berbasis Cloud
- Reserve Bank of India: FAQ tentang Penyimpanan Data Sistem Pembayaran
- Reserve Bank of India: Directions untuk Bank Komersial – Managing Risks in Outsourcing (2025)
- Monetary Authority of Singapore: Cloud
- Banco Central do Brasil: Resolução CMN nº 4.893
- Government of South Africa: Kebijakan Nasional tentang Data dan Cloud (2024)
