Chatbot Patuh GDPR: Panduan Langkah demi Langkah (2026)

Chatbot yang patuh GDPR memerlukan penerapan yang sah, bukan sekadar model atau lokasi hosting tertentu. Tentukan tujuan dan dasar hukum setiap penggunaan data pribadi, petakan aliran data, tetapkan peran dan kontrak para pihak, sediakan informasi serta proses pemenuhan hak, dan terapkan keamanan yang sesuai dengan risiko. Label kepatuhan vendor tidak membuktikan bahwa setiap penggunaan oleh pelanggan memenuhi persyaratan tersebut.

Anda tidak otomatis memerlukan persetujuan untuk setiap percakapan dukungan, hosting khusus di UE, atau model terpisah bagi pengunjung Eropa. Anda memerlukan bukti bahwa pilihan dalam alur kerja tertentu memenuhi aturan yang berlaku. Penilaian yang sama mencakup penyedia model, CRM, analitik, integrasi kanal, dan log operasional.

Panduan ini diperiksa berdasarkan sumber resmi pada 4 November 2026. Isinya menyediakan kerangka penilaian dan contoh implementasi, bukan sertifikasi suatu penerapan atau pengganti nasihat mengenai keadaan hukumnya yang spesifik.

Pemeriksaan contoh opsional

• Pratinjau kunci metadata. Periksa bagaimana nama kolom yang diberikan menjadi kunci variabel, termasuk nama duplikat dan kesalahan kunci yang dicadangkan. Ini tidak memeriksa nilai atau izin khusus akun.
• Validasi dataset pengujian. Periksa dataset kecil yang diberikan terhadap format yang didukung tanpa menjalankan AI Agent Anda.

Pemeriksaan ini tidak menilai kepatuhan hukum.

Daftar 10 langkah peluncuran untuk privasi dan keamanan chatbot

Tetapkan penanggung jawab untuk setiap butir dan simpan bukti keputusan atau pengujian:

1. Tentukan alur kerja. Pisahkan informasi publik, dukungan khusus akun, transaksi, pemasaran, dan peningkatan model.
2. Petakan data pribadi. Sertakan prompt, jawaban, metadata, berkas, catatan yang diambil, log, dan sistem terhubung.
3. Pilih dasar hukum. Nilai setiap tujuan sebelum pemrosesan; tambahkan alur persetujuan yang sah jika persetujuan diperlukan.
4. Identifikasi peran dan kontrak. Tetapkan siapa yang menentukan tujuan dan siapa yang memproses berdasarkan instruksi. Tinjau ketentuan prosesor dan transfer yang berlaku.
5. Minimalkan pengumpulan. Hapus kolom yang tidak diperlukan dan hindari mengirim seluruh catatan pelanggan jika hasil terbatas sudah cukup.
6. Tentukan retensi dan penanganan hak. Sertakan pemeriksaan identitas, akses, koreksi, penghapusan, portabilitas jika berlaku, dan tindak lanjut pada sistem penerima.
7. Nilai risiko. Tentukan apakah Penilaian Dampak Pelindungan Data (DPIA) diperlukan dan selesaikan sebelum pemrosesan terkait dimulai.
8. Amankan akses dan integrasi. Terapkan enkripsi, autentikasi, izin, pemantauan, dan prosedur insiden yang sesuai.
9. Beri informasi kepada pengguna. Publikasikan informasi privasi yang akurat, berikan pengungkapan AI yang diwajibkan, dan nilai penyimpanan widget secara terpisah.
10. Uji dan tetapkan tanggung jawab berkelanjutan. Latih penanganan kegagalan, latih staf, dan tinjau penilaian ketika tujuan, penyedia, atau fitur berubah.

Prinsip GDPR dan pengaruhnya terhadap desain chatbot

GDPR berlaku untuk pemrosesan terkait dalam konteks suatu badan usaha di Wilayah Ekonomi Eropa (EEA). GDPR juga dapat mencakup organisasi di luar EEA ketika menawarkan barang atau jasa kepada orang di sana atau memantau perilaku mereka di sana. Penilaiannya menyangkut pemrosesan dan hubungan teritorial, bukan sekadar kewarganegaraan seseorang. EDPB menjelaskan cakupan teritorial dan prinsip utama.

Nama, detail kontak, pengenal daring, dan isi percakapan yang memungkinkan identifikasi dapat menjadi data pribadi. Antarmuka FAQ publik pun dapat mengumpulkan pengenal atau teks bebas yang berisi informasi pribadi.

Untuk pelanggaran tertentu pada tingkat yang lebih tinggi, denda maksimum dapat mencapai €20 juta atau, bagi suatu perusahaan, 4% dari omzet tahunan global pada tahun keuangan sebelumnya, mana yang lebih tinggi. Penegakan nyata bergantung pada keadaan; lihat penjelasan EDPB mengenai kewenangan pengawasan.

Istilah dalam panduan ini

• Pengendali: organisasi yang menentukan tujuan dan sarana utama pemrosesan.
• Prosesor: entitas terpisah yang memproses data pribadi atas nama pengendali. Peran bergantung pada aktivitas sebenarnya, bukan hanya label kontrak.
• Pseudonimisasi: mengurangi keterkaitan langsung, misalnya mengganti nama dengan pengenal. Ini tidak otomatis membuat data anonim.
• DPIA: penilaian yang diwajibkan ketika pemrosesan kemungkinan menimbulkan risiko tinggi terhadap hak dan kebebasan orang. Faktor terkait meliputi skala, data sensitif, orang yang rentan, dan keputusan otomatis yang berdampak signifikan. Penggunaan AI saja tidak menentukan hasil penilaian. Lihat panduan DPIA EDPB dan daftar otoritas pengawas yang berlaku.

Mengubah persyaratan GDPR menjadi alur kerja operasional

Mulailah dari perjalanan nyata pesan pengunjung hingga penghapusan akhirnya. Desain berikut merupakan pola implementasi ilustratif, bukan daftar fitur bawaan Quickchat AI.

Minimalisasi data sejak desain

Tentukan skema required_fields untuk setiap tugas. Pertanyaan tentang janji temu mungkin memerlukan waktu pilihan dan cara menghubungi; pertanyaan publik tentang jam buka seharusnya tidak memerlukan profil pelanggan.

Panduan pengumpulan prospek melalui chatbot situs web memberikan konfigurasi konkret untuk dievaluasi: jawab pertanyaan umum terlebih dahulu, lalu kumpulkan detail kontak untuk tindak lanjut yang diminta. Tinjau kolom dan penerima data sesuai tujuan Anda sebelum menggunakannya untuk pelanggan.

Periksa lebih dari formulir yang terlihat. Pencarian CRM dapat mengambil seluruh catatan meskipun jawaban hanya membutuhkan status pesanan. Batasi kolom yang dikembalikan dan data yang dikirim ke model. Jangan masukkan kredensial dan informasi pelanggan yang tidak terkait ke dalam prompt.

Penyamaran input melindungi apa yang terlihat oleh orang di sekitar. Itu tidak membuktikan bahwa nilai dasarnya tidak pernah dikumpulkan, dicatat, atau dikirim. Penyuntingan data dapat mengurangi pengungkapan tidak sengaja, tetapi uji hal yang terlewat, termasuk pengenal yang tertanam dalam kalimat biasa.

Persetujuan dan dasar hukum lainnya

Panduan dasar hukum Komisi Eropa menyebutkan beberapa dasar yang mungkin. Pemrosesan yang diperlukan untuk memenuhi kontrak, kepentingan yang sah setelah penilaian yang diwajibkan, dan persetujuan memiliki syarat berbeda. Pilih dasar sebelum memproses, bukan menambahkan kotak persetujuan pada setiap tugas.

Jika mengandalkan persetujuan, buat tujuannya spesifik dan pilihannya diberikan secara bebas, berdasarkan informasi, serta jelas. Izinkan penarikan semudah pemberian persetujuan. Pisahkan pemasaran opsional dari dukungan yang dibutuhkan pelanggan. Pengakuan bahwa seseorang telah membaca pemberitahuan privasi bukan persetujuan terhadap setiap penggunaan yang dijelaskan di dalamnya.

Konfirmasi ganda dapat membantu menyediakan bukti dalam konteks tertentu. Ini bukan persyaratan universal GDPR. Pedoman persetujuan EDPB membedakan persetujuan biasa dan eksplisit serta menjelaskan verifikasi dua tahap sebagai salah satu metode yang mungkin.

Jika dasar Anda adalah persetujuan, catat tujuan, versi pemberitahuan, tindakan afirmatif, waktu, dan pengenal yang relevan. Lindungi bukti tersebut dan terapkan kebijakan retensi yang beralasan. Data kategori khusus, seperti informasi kesehatan, memerlukan kondisi Pasal 9 yang berlaku selain dasar Pasal 6.

Menangani permintaan akses, penghapusan, dan portabilitas

Sediakan jalur permintaan yang mudah diakses serta orang atau tim yang bertanggung jawab menyelesaikannya. Perintah kustom /my_data atau /delete_my_data dapat membuka permintaan, tetapi keduanya bukan fitur bawaan Quickchat AI yang terverifikasi. Pengakuan dalam percakapan bukan bukti bahwa permintaan telah dipenuhi.

Proses yang dapat dijalankan meliputi verifikasi identitas secara proporsional, pencarian catatan terkait, penilaian hak yang diminta dan pengecualian, koordinasi prosesor, pelaksanaan tindakan, dan pencatatan respons. Gunakan pengiriman terautentikasi untuk ekspor dan cegah pengunjung meminta data orang lain.

Pengendali harus bertindak tanpa penundaan yang tidak semestinya dan biasanya dalam satu bulan kalender. Perpanjangan yang diizinkan hingga dua bulan tambahan mengharuskan pemberitahuan kepada individu beserta alasannya dalam bulan pertama. Penghapusan memiliki dasar dan pengecualian, termasuk beberapa kewajiban retensi hukum. Akses dan portabilitas juga berbeda: portabilitas Pasal 20 berlaku dengan kondisi tertentu untuk pemrosesan otomatis berbasis persetujuan atau kontrak atas data yang diberikan individu. Lihat panduan hak EDPB.

Jalur penghapusan Quickchat AI memiliki efek berbeda. Menghapus AI Agent membuat percakapannya tidak dapat diakses, tetapi tidak menghapusnya. Menghapus akun menghapus percakapan agen yang masih ada melalui proses latar belakang; dokumentasinya mencantumkan pengecualian seperti percakapan agen yang sebelumnya dihapus, lampiran, ekspor, indeks pencarian, dan catatan eksternal. Hubungi dukungan untuk proses penghapusan yang sesuai. Memutus kanal Meta menghentikan pemrosesan berizin berikutnya, tetapi tidak otomatis menghapus percakapan historis.

Untuk alur dukungan yang lebih luas, panduan penyiapan asisten layanan pelanggan kami terpisah dari proses permintaan hak ini.

Pembatasan penyimpanan dan penjadwalan retensi

Tidak ada batas universal GDPR selama 30 atau 90 hari untuk transkrip chatbot. Tentukan retensi berdasarkan tujuan dan kategori data, termasuk kewajiban hukum yang berlaku. Bedakan percakapan aktif, ekspor, bukti persetujuan, log keamanan, dan cadangan.

Pseudocode konseptual ini menggambarkan penjadwalan dan verifikasi, bukan implementasi penghapusan lengkap atau pengaturan produk yang sudah tersedia:

function scheduleRetention(record, policy) {
  return {
    recordId: record.id,
    purpose: record.purpose,
    reviewOrDeleteAt: policy.dateFor(record),
  };
}

function processDueRecord(item) {
  if (requiresRetentionReview(item)) {
    return queueManualReview(item);
  }
  queueErasureAcrossRecordedSystems(item);
  recordVerificationPending(item.recordId);
}

Dokumentasikan pemilik kebijakan, kriteria retensi, pengecualian yang diizinkan, metode penghapusan, dan bukti penyelesaian. Pantau kegagalan, bukan menganggap pekerjaan terjadwal menjangkau semua sistem.

Cadangan memerlukan penanganan eksplisit. Laporan penghapusan EDPB Februari 2026 mengidentifikasi kesulitan praktis dan kebutuhan memperhitungkan penghapusan saat sistem dipulihkan. Laporan itu tidak menetapkan bahwa penghapusan langsung dari setiap cadangan atau menunggu masa kedaluwarsa normal apa pun selalu memenuhi hukum. Jelaskan pembatasan nyata, jadwal penghapusan, dan prosedur pemulihan tanpa menjanjikan penghapusan universal dalam satu bulan.

Pasal 22 dan peninjauan manusia yang bermakna

Pasal 22 menyangkut keputusan yang semata-mata didasarkan pada pemrosesan otomatis dan menghasilkan akibat hukum atau dampak signifikan serupa. Jawaban FAQ rutin tidak otomatis merupakan keputusan seperti itu. Kelayakan kredit, penerimaan, atau akses ke layanan esensial memerlukan penilaian lebih mendalam.

Identifikasi titik keputusan ini sebelum membangun alur kerja. Jika ketentuan tersebut berlaku, nilai pengecualian dan perlindungan yang berlaku. Untuk pengecualian kebutuhan kontraktual atau persetujuan eksplisit, perlindungan mencakup kemampuan memperoleh intervensi manusia, menyampaikan pandangan, dan menentang keputusan. Data kategori khusus memiliki pembatasan tambahan.

Peninjau harus memiliki informasi dan wewenang untuk mempertimbangkan ulang hasilnya. Menambahkan tombol alih tangan sementara hasilnya pada praktiknya tetap tidak dapat diubah tidaklah cukup. Catat kriteria keputusan, input, dan hasil peninjauan secara proporsional; penjelasan yang dihasilkan model bukan bukti bagaimana keputusan berdampak besar dibuat.

Langkah keamanan yang sesuai dengan risiko chatbot

Pasal 32 mengharuskan langkah teknis dan organisasi yang sesuai. Pasal ini tidak menetapkan satu algoritma enkripsi atau produk autentikasi universal. Gunakan panduan keamanan EDPB untuk menghubungkan perlindungan dengan potensi kerugian, konteks pemrosesan, dan teknologi yang tersedia.

Enkripsi saat transit dan saat tersimpan

Lindungi koneksi jaringan dan catatan tersimpan dengan enkripsi serta pengelolaan kunci yang sesuai. Periksa satu per satu koneksi pengunjung ke widget, integrasi, akses administratif, basis data, ekspor, dan cadangan.

TLS melindungi koneksi transportasi; enkripsi saat tersimpan melindungi data yang disimpan. Langkah ini sendiri tidak membuktikan enkripsi ujung ke ujung, yang mencegah perantara membaca isi. Layanan yang memproses isi pesan mungkin perlu mendekripsinya. Hindari menyebut TLS 1.3 atau AES-256 sebagai spesifikasi wajib GDPR atau bukti kepatuhan.

Autentikasi, peran akses, dan integrasi identitas

Gunakan autentikasi kuat, termasuk MFA jika sesuai, untuk akses administratif. Untuk permintaan khusus akun, utamakan sesi pelanggan yang sudah terautentikasi daripada meminta seseorang mengetik pengenal akun dalam chat publik.

Tinjau otorisasi secara terpisah: login yang valid tidak boleh membuka catatan pelanggan lain. Berikan akses staf sesuai tugas dan cabut ketika tidak diperlukan lagi. Quickchat AI mendokumentasikan peran tim; verifikasi apakah peran yang tersedia memenuhi kebutuhan Anda.

Nilai SSO perusahaan jika relevan, tetapi jangan menyimpulkan dukungan SAML dari login Google biasa. Identifikasi biometrik dapat menimbulkan kewajiban pelindungan data tambahan dan bukan pilihan paling aman secara universal.

Keamanan API dan izin integrasi terbatas

Gunakan kredensial dengan cakupan terbatas dan tegakkan otorisasi dalam aplikasi terhubung. Instruksi kepada model agar hanya mengakses data pelanggan tertentu bukan batas kontrol akses.

Terapkan batas laju yang sesuai, validasi parameter dan output terstruktur, serta tinjau apa yang dapat dibaca atau diubah oleh setiap Action atau integrasi. Uji akses lintas pelanggan dan kredensial yang sudah dicabut. Catat pihak ketiga yang menerima data pribadi, termasuk layanan pelaporan kesalahan dan analitik.

Pemantauan, log, dan respons insiden

Catat informasi yang cukup untuk menyelidiki akses dan kegagalan tanpa otomatis menyalin semua percakapan lengkap ke setiap sistem pemantauan. Tentukan akses, retensi, dan penyuntingan data secara terpisah untuk log operasional.

Prosedur insiden harus mencakup pembatasan dampak, penyelidikan, pemulihan, dokumentasi, dan keputusan notifikasi. Berdasarkan GDPR, pengendali melaporkan pelanggaran data pribadi yang wajib dilaporkan kepada otoritas berwenang tanpa penundaan yang tidak semestinya dan, jika memungkinkan, dalam 72 jam setelah mengetahuinya, kecuali pelanggaran tersebut kecil kemungkinannya menimbulkan risiko terhadap hak dan kebebasan orang. Kemungkinan risiko tinggi dapat mewajibkan pemberitahuan kepada orang terdampak tanpa penundaan yang tidak semestinya, dengan pengecualian Pasal 34. Prosesor memberi tahu pengendalinya tanpa penundaan yang tidak semestinya.

Kewajiban dan ambangnya berbeda; panduan pelanggaran dari DPC Irlandia menjelaskan perbedaannya. Usulan perubahan GDPR dalam Digital Omnibus bukan alasan menggunakan tenggat pelaporan berbeda sekarang.

Daftar pemeriksaan evaluasi keamanan

Mengelola risiko chatbot yang khusus terkait AI

Evaluasi AI harus mencakup informasi yang diterima model dan tindakan yang dapat dipicu oleh outputnya. Kontrol keamanan perangkat lunak umum tetap diperlukan.

Injeksi prompt dan pengujian adversarial

Injeksi prompt dapat datang melalui pesan pengunjung atau konten yang diambil yang mencoba mengarahkan ulang model. Misalnya, suatu dokumen dapat memerintahkannya mengungkap catatan privat atau memanggil Action yang tidak terkait.

Pisahkan instruksi tepercaya dari konten tidak tepercaya, batasi izin yang tersedia, validasi argumen tindakan, dan uji upaya akses tanpa izin. Filter dan instruksi dapat membantu, tetapi tidak menjamin pencegahan. Panduan injeksi prompt OWASP secara eksplisit menyatakan bahwa RAG dan fine-tuning tidak sepenuhnya mengatasi kerentanan tersebut.

Gunakan data uji sintetis atau yang disiapkan secara tepat. Catat apakah sistem menolak, mengungkap informasi, memanggil alat, atau mengeskalasi; kalimat akhir yang meyakinkan saja tidak membuktikan perilaku aman.

Halusinasi dan validasi respons

Model dapat menghasilkan jawaban yang masuk akal tetapi tidak didukung bukti yang tersedia. Pengambilan dari Knowledge Base yang dipelihara dapat membantu mendasari jawaban, tetapi tidak menjamin akurasi fakta atau menegakkan izin dengan sendirinya.

Uji kebijakan usang, sumber yang bertentangan, catatan yang hilang, dan permintaan di luar cakupan. Sediakan cara menandai kesalahan dan meneruskan kasus yang belum selesai kepada manusia. Untuk jawaban khusus akun, bandingkan output dengan catatan sumber yang diizinkan, bukan mengandalkan keyakinan model. Penjelasan halusinasi AI kami membahas perilaku dasarnya.

Kebocoran data, pelatihan, dan penyuntingan data

Penggunaan untuk pelatihan, inferensi, status aplikasi, dan log merupakan aktivitas pemrosesan terpisah. Jangan menganggap setiap pesan melatih model, atau komitmen tanpa pelatihan berarti tidak ada data yang dikirim atau disimpan.

FAQ Hukum Quickchat AI menyatakan bahwa materi pelanggan tidak digunakan untuk melatih LLM dan pembersihan PII tersedia atas permintaan. Ini bukan janji bahwa setiap pesan dibersihkan atau semua data pribadi terdeteksi. Konfirmasikan konfigurasi yang dipilih dan ketentuan penyedia.

Penyuntingan input harus dilakukan sebelum pemrosesan yang hendak dicegah; penyuntingan output dilakukan setelah generasi. Menghapus nama masih dapat menyisakan konteks yang mengidentifikasi seseorang. EDPB membedakan pseudonimisasi dari anonimisasi, dan opininya tentang model AI mengharuskan penilaian anonimitas per kasus.

Bukti untuk penjelasan dan jejak audit

Simpan bukti yang proporsional mengenai sumber yang diambil, tindakan, pengaturan terkait, dan peninjauan manusia. Jangan memperlakukan penjelasan yang dihasilkan, skor keyakinan internal, atau teknik penjelasan sebagai bukti otomatis kepatuhan hukum.

Fitur Why AI said that di Inbox Quickchat AI dapat menunjukkan sumber yang diambil dan bukti pelaksanaan. Ini membantu menyelidiki jawaban; ini bukan uraian sebab-akibat lengkap mengenai bagian internal model atau pengganti penilaian kewajiban penjelasan dalam alur keputusan berdampak signifikan.

Pemrosesan internasional dan lokasi server

Petakan penyimpanan, pemrosesan model, akses dukungan, integrasi, dan transfer lanjutan. Wilayah basis data hanya menjawab sebagian pertanyaan lokasi.

Hosting EEA dan pemrosesan di luar EEA

GDPR tidak menetapkan aturan universal hosting khusus UE. Transfer ke luar EEA memerlukan mekanisme Bab V yang berlaku, di samping persyaratan GDPR lainnya. Panduan transfer EDPB menjelaskan kecukupan, perlindungan yang sesuai, dan pengecualian terbatas.

FAQ Hukum Quickchat AI menjelaskan penyimpanan GCP di Belgia. Kebijakan Privasi secara terpisah membahas transfer ke AS dan perlindungan kontraktual. Karena itu, penyimpanan di Belgia tidak membuktikan pemrosesan hanya di UE. FAQ juga menjelaskan pilihan penerapan perusahaan, termasuk cloud privat, LLM yang dihosting sendiri, dan pengaturan di lokasi pelanggan; arsitektur, ketersediaan, dan tanggung jawab harus disepakati untuk penerapan tertentu.

Klausul Kontrak Standar dan Kerangka Privasi Data UE-AS

Daftar kecukupan terkini Komisi mencakup organisasi komersial AS yang berpartisipasi dalam Kerangka Privasi Data UE-AS. Verifikasi partisipasi aktif penerima dan cakupan yang melindungi transfer. Alamat di AS saja tidak cukup.

Jika menggunakan Klausul Kontrak Standar atau alat Pasal 46 lainnya, nilai apakah hukum dan praktik negara tujuan melemahkan perlindungan dan apakah langkah tambahan diperlukan. Transfer yang tercakup keputusan kecukupan tidak otomatis memerlukan penilaian transfer tambahan yang sama. Kedua mekanisme tidak menghapus kewajiban mengenai tujuan, dasar hukum, keamanan, atau kontrak prosesor.

Jangan samakan status penyedia cloud dengan status vendor chatbot. FAQ Quickchat AI menjelaskan penyelarasan DPF yang masih berjalan, bukan partisipasi terverifikasi.

Contoh penyedia: kontrol data OpenAI API

Dokumentasi data API OpenAI menyatakan bahwa input dan output API secara default tidak digunakan untuk pelatihan kecuali pelanggan memilih ikut serta. Dokumentasi itu secara terpisah menjelaskan log pemantauan penyalahgunaan dan status aplikasi. Log pemantauan penyalahgunaan standar dapat disimpan hingga 30 hari, dengan pengecualian hukum atau keselamatan.

Zero Data Retention dan Modified Abuse Monitoring memerlukan persetujuan dan memiliki batasan endpoint. Konfirmasikan akun, endpoint, kontrak, dan lokasi pemrosesan yang sebenarnya. Kontrol riwayat ChatGPT konsumen tidak menentukan pengaturan integrasi API. Ketentuan penyedia umum ini tidak membuktikan bahwa akun Quickchat AI tertentu memiliki retensi nol.

Perjanjian prosesor dan tanggung jawab vendor

Ketika vendor memproses data pribadi atas nama Anda, Pasal 28 mengharuskan kontrak mengikat atau tindakan hukum lain yang memenuhi syarat. Nilai penggunaan terpisah, seperti penyedia yang memproses data untuk tujuannya sendiri, alih-alih menganggap setiap aktivitas memiliki peran sama. Pedoman pengendali/prosesor EDPB menjelaskan perbedaan dan persyaratan kontrak.

Ketentuan prosesor yang diwajibkan dan pertanyaan AI tambahan

Periksa bahwa perjanjian mencakup:

• Pokok, durasi, sifat, dan tujuan pemrosesan, jenis data, kategori orang, serta hak dan kewajiban pengendali.
• Instruksi terdokumentasi, termasuk transfer, dengan pengecualian hukum UE atau negara anggota yang berlaku.
• Kerahasiaan dan langkah keamanan yang sesuai berdasarkan Pasal 32.
• Otorisasi tertulis spesifik atau umum sebelumnya untuk subprosesor, pemberitahuan perubahan dan kesempatan keberatan jika menggunakan otorisasi umum, serta penerusan kewajiban yang diwajibkan.
• Bantuan untuk hak individu, keamanan, penanganan pelanggaran, dan penilaian dampak.
• Penghapusan atau pengembalian sesuai pilihan pengendali setelah layanan pemrosesan berakhir, serta penghapusan salinan yang ada kecuali hukum UE atau negara anggota mewajibkan penyimpanan.
• Informasi yang diperlukan untuk menunjukkan kepatuhan serta ketentuan audit dan inspeksi.

Tanyakan secara terpisah tentang pelatihan model, umpan balik, retensi, dan penggunaan sekunder. GDPR tidak sekadar mewajibkan larangan universal atas semua kemungkinan penggunaan pelatihan; setiap penggunaan memerlukan penilaian tujuan, peran, dan kondisi hukum yang sesuai.

Quickchat AI menerbitkan Perjanjian Pemrosesan Data. Tinjau ketentuan bertanda tangan yang berlaku dan informasi pendukung. Ketersediaannya saja tidak membuktikan bahwa suatu kontrak atau penerapan memenuhi semua persyaratan di atas.

Poin negosiasi untuk penyedia AI

Minta jawaban spesifik mengenai lokasi pemrosesan, subprosesor, retensi operasional, kontrol akun, komunikasi pelanggaran, dan prosedur penghentian layanan. Bedakan pengaturan produk terdokumentasi dari komitmen khusus kontrak.

Tanyakan apa yang terjadi ketika fitur dinonaktifkan, kanal diputus, agen dihapus, atau kontrak diakhiri. Tetapkan cakupan ekspor, bukti penghapusan, data tersisa yang wajib disimpan secara hukum, dan perlakuan cadangan. Ketentuan tanggung gugat dan tingkat layanan juga merupakan pertanyaan komersial selain bagian evaluasi vendor; jangan menerima pernyataan keamanan umum sebagai lampiran teknis lengkap.

Personalisasi dan minimalisasi data

Mulailah dengan informasi paling sedikit yang dibutuhkan untuk menjawab pertanyaan saat ini. Profil persisten memerlukan tujuan dan penilaiannya sendiri.

Privasi diferensial dan pemrosesan di perangkat

Privasi diferensial dapat membantu membatasi informasi yang terungkap tentang individu dalam penerapan statistik atau pelatihan yang sesuai. Perlindungannya bergantung pada implementasi dan parameter; menyebut teknik tersebut tidak membuktikan anonimisasi atau pemrosesan yang sah.

Memproses preferensi di perangkat pengunjung dapat mengurangi pengumpulan di server. Periksa apa yang tetap keluar dari perangkat, termasuk pengenal dan telemetri. Penyimpanan atau akses perangkat dapat memiliki implikasi ePrivacy meskipun informasinya bukan data pribadi.

Jawaban berdasarkan segmen dan pemrofilan individu

Menyesuaikan jawaban dengan kategori produk yang dinyatakan mungkin memerlukan lebih sedikit data daripada memelihara profil perilaku jangka panjang. Namun, memasukkan pelanggan yang diketahui ke dalam segmen tetap dapat memproses data pribadi.

Nilai tujuan nyata, dasar hukum, pemberitahuan, retensi, dan kontrol akses. Persetujuan tidak diwajibkan secara universal untuk setiap bentuk personalisasi, dan keputusan otomatis berdampak signifikan memerlukan penilaian Pasal 22 terpisah. Sediakan layanan dasar yang berguna ketika pemrofilan opsional ditolak.

Chatbot di sektor yang diatur

Aturan sektor bergantung pada entitas, aktivitas, dan yurisdiksi. Chatbot AI untuk firma hukum dan chatbot AI untuk layanan keuangan memerlukan batas jelas antara informasi umum, akses akun, dan nasihat profesional. Penafian saja tidak menetapkan batas tersebut.

Kesehatan: data sensitif dan kewajiban HIPAA yang berlaku

Data kesehatan memerlukan kondisi kategori khusus GDPR yang berlaku selain dasar Pasal 6. Pemesanan, administrasi, penilaian gejala, dan keputusan klinis memiliki risiko berbeda. Chatbot AI untuk praktik dokter gigi sebaiknya memiliki jalur eskalasi klinis yang sesuai dengan peran yang dimaksudkan.

Di AS, HIPAA berlaku bagi entitas yang tercakup dan rekan bisnis, bukan otomatis untuk setiap data kesehatan AS. Hubungan rekan bisnis yang berlaku memerlukan perjanjian yang diwajibkan. Verifikasi izin, perlindungan, dan retensi khusus catatan dengan organisasi penanggung jawab. Jangan menyimpulkan kesesuaian HIPAA dari DPA GDPR, klaim enkripsi, atau halaman pemasaran kesehatan.

Keuangan: penyimpanan catatan dan kontrol keputusan

Identifikasi aturan yang berlaku pada perusahaan dan jenis catatan sebelum menetapkan retensi. FINRA Rule 4511, misalnya, menyangkut perusahaan anggota dan menggunakan periode enam tahun untuk catatan FINRA tanpa periode lain yang ditentukan. Ini bukan aturan retensi universal untuk setiap transkrip chatbot.

Bedakan informasi produk publik, nasihat yang dipersonalisasi, dan keputusan yang memengaruhi kelayakan. Nilai otorisasi, kewajiban profesional, penyimpanan catatan, dan peninjauan bermakna jika diwajibkan. Hindari mengandalkan larangan menyeluruh atas otomatisasi keuangan atau penafian umum yang membolehkannya.

Layanan sektor publik: penilaian dan informasi yang dapat diakses

Badan publik umumnya memerlukan DPO, dengan pengecualian yang berlaku, sedangkan kebutuhan DPIA tertentu bergantung pada risiko pemrosesan. Chatbot FAQ publik dan sistem yang memengaruhi kelayakan bantuan memerlukan penilaian berbeda.

Jelaskan siapa yang menjalankan layanan, bagaimana data digunakan, dan cara memperoleh bantuan atau menggunakan hak. Pertimbangkan pengguna rentan, alternatif yang dapat diakses, serta akibat jawaban salah atau alih tangan yang gagal. Tinjau persyaratan aksesibilitas dan sektor yang berlaku, bukan menganggap antarmuka chatbot sudah memenuhinya.

Mengevaluasi vendor dan teknologi chatbot

Minta bukti yang terkait dengan alur kerja yang dimaksudkan. Panduan pembeli chatbot AI kami menyediakan konteks evaluasi lebih luas; penilaian privasi tetap harus membahas aliran data Anda yang sebenarnya.

Apa yang dibuktikan ISO 27001, SOC 2, dan Cyber Essentials

ISO/IEC 27001 berkaitan dengan sistem manajemen keamanan informasi. Tinjau organisasi, layanan, lokasi, dan masa berlaku sertifikat alih-alih menganggap logo mencakup semua produk.

SOC 2 adalah laporan atestasi, bukan sertifikasi. Laporan Type 2 memeriksa efektivitas operasional selama periode yang ditentukan. Periksa sistem, kriteria, pengecualian, dan tanggung jawab pelanggan dalam laporan sebenarnya.

Cyber Essentials merupakan skema Inggris yang mencakup kontrol teknis dasar terhadap ancaman internet umum. Tidak satu pun dengan sendirinya membuktikan kepatuhan GDPR untuk penggunaan Anda. FAQ Hukum Quickchat AI menyatakan bahwa SOC 2 sedang diupayakan; jangan menganggapnya laporan yang sudah selesai.

15 pertanyaan untuk calon vendor

1. Di mana prompt, jawaban, berkas, log, dan cadangan disimpan serta diproses, dan siapa yang dapat mengaksesnya dari jarak jauh?
2. Peran dan aktivitas pemrosesan apa yang dicakup DPA yang diusulkan?
3. Bagaimana akses data satu pelanggan diisolasi dari pelanggan lain?
4. Koneksi dan catatan tersimpan mana yang dienkripsi, dan bagaimana kunci dikelola?
5. Aturan retensi dan penghapusan apa yang berlaku untuk setiap kategori data?
6. Bagaimana permintaan akses, koreksi, penghapusan, dan portabilitas didukung serta diverifikasi?
7. Subprosesor mana yang terlibat, dan bagaimana perubahan dikomunikasikan?
8. Apakah data pelanggan digunakan untuk pelatihan, evaluasi, atau umpan balik, dan dengan ketentuan apa?
9. Bagaimana insiden diselidiki dan pelanggaran terkait dikomunikasikan?
10. Sertifikat atau laporan jaminan terkini apa yang mencakup layanan tersebut?
11. Autentikasi, peran, dan integrasi identitas apa yang benar-benar tersedia?
12. Bukti apa yang mencakup injeksi prompt, tindakan tanpa izin, dan kebocoran data?
13. Pilihan privasi dan keamanan mana yang merupakan default, pengaturan konfigurasi, atau pengaturan perusahaan?
14. Log dan bukti sumber atau tindakan apa yang dapat diakses pelanggan, dan apa batasnya?
15. Bagaimana kami dapat memeriksa bukti kepatuhan, mengekspor data, dan memverifikasi proses akhir layanan?

Kartu perbandingan vendor

Catat bukti dan pertanyaan yang belum terjawab bersama skor. Fakta kontraktual atau operasional yang tidak diketahui harus tetap ditandai tidak diketahui, bukan diberi poin karena bahasa pemasaran. Kondisi wajib yang tidak terpenuhi tidak boleh hilang di dalam jumlah nilai yang baik.

Unduh register aliran data penerapan

Unduh register aliran data yang dapat diedit. Paket bersama berbahasa Inggris berisi tiga CSV kosong, contoh fiktif terpisah, dan petunjuk. Gunakan untuk mencatat komponen, perpindahan data, bukti, dan pertanyaan terbuka bagi penerapan yang diusulkan. Paket ini tidak menggambarkan arsitektur Quickchat AI yang telah diverifikasi.

1. Dalam components.csv, cantumkan browser, aplikasi, penyimpanan pengetahuan, penyedia model, layanan terhubung, log, dan cadangan yang benar-benar berlaku. Catat lokasi pemrosesan dan penyimpanan secara terpisah, beserta penggunaan untuk pelatihan, retensi, cakupan penghapusan, dan penanggung jawab akses. Biarkan fakta yang belum diketahui tetap belum terselesaikan.
2. Dalam data-flows.csv, hubungkan ID komponen dan jelaskan tujuan, kategori data, serta syarat akses setiap aliran. Catat kategori dan rujukan dokumen, bukan transkrip pribadi atau kredensial.
3. Dalam evidence-register.csv, hubungkan setiap klaim dengan sumber bertanggal dan cakupannya. Bedakan pernyataan vendor, kontrak, dan konfigurasi dari rencana pengujian dan catatan pengujian yang diamati. Pengujian yang direncanakan tetap not_run. Tetapkan penanggung jawab untuk pertanyaan terbuka.

Impor CSV UTF-8 ke lembar terpisah dan pertahankan pengenal aslinya. Pemeriksa offline opsional memeriksa format dan referensi; alat ini tidak dapat memverifikasi klaim penyedia atau menentukan kepatuhan hukum. Gunakan register bersama pertanyaan dan kartu perbandingan di atas, dengan peninjauan yang diperlukan untuk penerapan nyata Anda.

Rencana praktis untuk tim kecil

Batasi alur awal pada hal yang dapat dijalankan dan diverifikasi tim. Memulai dengan informasi publik dapat mengurangi kompleksitas, meskipun input teks bebas dan pengenal teknis tetap perlu dinilai.

Pertimbangan perangkat lunak yang dihosting sendiri dan SaaS

Hosting sendiri dapat memberi kendali lebih langsung atas arsitektur dan penanganan data. Namun, Anda juga harus mengoperasikan, memperbarui, memantau, dan mengamankan sistem. Biaya lisensi dan infrastruktur berbeda-beda; ketersediaan sumber terbuka tidak menjamin penerapan gratis atau menghilangkan prosesor eksternal.

SaaS dapat menyediakan infrastruktur dan dukungan terkelola, tetapi pelanggan tetap perlu menetapkan tujuan, dasar hukum, konfigurasi, dan ketentuan yang sesuai. Bandingkan pekerjaan yang masih harus ditangani tim, bukan hanya harga langganan. Verifikasi tawaran cloud privat atau hosting sendiri sebagai pengaturan spesifik, bukan menganggapnya tersedia pada semua paket.

Kontrol yang dapat diterapkan dengan sumber daya terbatas

Gunakan perangkat lunak yang dipelihara, transportasi aman, autentikasi yang sesuai, dan akses terbatas. Jauhkan kredensial dari prompt dan catatan yang tidak diperlukan dari Knowledge Base. Tetapkan kotak masuk permintaan hak dengan penanggung jawab serta daftar retensi yang mencerminkan sistem sebenarnya.

Gunakan templat regulator untuk menyusun penilaian, tetapi tulis informasi privasi dari aliran data Anda sendiri. Pembuat kebijakan generik tidak dapat membuktikan apa yang dilakukan chatbot. Uji pemulihan selain pencadangan, dokumentasikan insiden, dan pertahankan jalur eskalasi manusia. Jika perlindungan atau penilaian hukum yang diperlukan belum selesai, kurangi cakupan sebelum peluncuran.

Tiga contoh implementasi hipotetis

Ini adalah contoh desain, bukan studi kasus pelanggan, hasil terukur, atau bukti persetujuan regulator.

• Asisten informasi bank ritel. Batasi bot pada informasi produk publik yang disetujui dan arahkan transaksi akun ke layanan terautentikasi. Nilai dasar pemrosesan, penyedia, dan catatan. Uji apakah pengunjung dapat memicu pengungkapan informasi akun. Desain ini tetap memerlukan peninjauan berdasarkan aturan yang berlaku bagi bank.
• Asisten penerimaan universitas. Pisahkan panduan penerimaan umum dari status aplikasi dan keputusan penerimaan. Portal hak kustom dapat memverifikasi identitas dan mengumpulkan catatan terkait untuk peninjauan serta pengiriman aman. JSON dapat berguna untuk permintaan portabilitas yang berlaku, tetapi menghasilkan berkas saja tidak membuktikan pemenuhan akses lengkap atau kepatuhan tenggat.
• Asisten administrasi kesehatan. Tetapkan tugas pemesanan dan informasi yang diizinkan, minimalkan detail yang diminta, dan sediakan jalur eskalasi klinis yang sesuai. Nilai penyuntingan data pada informasi kesehatan yang tidak diduga sambil mengakui deteksi yang terlewat. Penafian atau lapisan penyuntingan tidak membuktikan bahwa transkrip sisanya anonim atau layak untuk pelatihan tanpa pembatasan.

EU AI Act bersama GDPR

AI Act mulai berlaku pada Agustus 2024 dan diterapkan bertahap. Aturan ini tidak menggantikan GDPR. Pada tanggal peninjauan panduan ini, jadwal implementasi terkini Komisi mencerminkan perubahan yang telah diadopsi, bukan sekadar jadwal awal.

Kewajiban transparansi saat ini dan tanggal penerapan risiko tinggi

Pasal 50 berlaku sejak 2 Agustus 2026. Pasal ini mengharuskan penyedia memastikan orang yang berinteraksi langsung dengan AI diberi tahu mengenai hal tersebut, kecuali sudah jelas dalam konteksnya. Informasi yang diwajibkan harus jelas dan dapat diakses pada interaksi pertama. Periksa kewajiban Pasal 50 lainnya jika relevan dengan konten yang dihasilkan atau sistem tertentu.

AI Omnibus yang diadopsi mulai berlaku pada 27 Juli 2026. Persyaratan risiko tinggi terkait kini berlaku sejak 2 Desember 2027 untuk sistem Lampiran III dan 2 Agustus 2028 untuk sistem terkait produk Lampiran I. Klasifikasi bergantung pada tujuan penggunaan dan kriteria hukum; chatbot dalam industri yang diatur tidak otomatis berisiko tinggi hanya karena industrinya.

Nilai tanggung jawab penyedia dan pihak penerap secara terpisah, termasuk dokumentasi, pengawasan, pencatatan, dan kewajiban kesesuaian yang berlaku. Pasal 4 yang diubah tetap mengharuskan langkah yang mendukung literasi AI staf, tanpa menuntut tingkat individu yang dijamin.

Prosedur Digital Omnibus GDPR/ePrivacy yang terpisah masih tertunda saat diperiksa pada 4 November 2026. Usulan perubahan aturan tersebut tidak boleh diperlakukan sebagai hukum yang berlaku.

ISO/IEC 42001 dan tata kelola AI

ISO/IEC 42001:2023, diterbitkan pada Desember 2023, menetapkan kerangka sistem manajemen AI. Kerangka ini dapat membantu mengatur tanggung jawab, penilaian risiko, dan peninjauan berkelanjutan. Penyelarasan atau sertifikasi bukan temuan otomatis bahwa chatbot memenuhi GDPR atau semua kewajiban AI Act yang berlaku.

Jadwal implementasi dan matriks tanggung jawab

Gunakan rencana bertahap untuk mengidentifikasi bukti yang belum tersedia sebelum peluncuran publik. Jadwal ini merupakan contoh, bukan tenggat hukum atau janji bahwa setiap proyek dapat selesai dalam 90 hari.

Rencana 90 hari dengan titik peninjauan

• Hari 1-30: penemuan. Tentukan tugas, aliran data, dasar, peran, dan persyaratan sektor. Saring kebutuhan DPIA, identifikasi pemilik keputusan, dan kumpulkan bukti vendor.
• Hari 31-60: implementasi. Sepakati ketentuan prosesor yang berlaku; konfigurasikan pemberitahuan, akses, integrasi, dan retensi. Bangun alur hak dan insiden yang diperlukan. Selesaikan penilaian seiring desain menjadi konkret.
• Hari 61-90: verifikasi. Uji tugas biasa, permintaan tanpa izin, jawaban salah, cakupan penghapusan, dan pemulihan. Latih tim, tuntaskan perlindungan yang diperlukan, dan tinjau DPIA yang diwajibkan sebelum pemrosesan terkait dimulai. Uji coba terbatas tetap memerlukan perlindungan yang sesuai.

Pilih waktu peluncuran berdasarkan kesiapan, bukan kalender saja. Panduan platform AI percakapan memberikan konteks evaluasi platform tambahan.

Contoh RACI dengan nasihat DPO yang independen

R berarti pelaksana pekerjaan, A berarti pemilik proyek organisasi yang bertanggung jawab atas hasil, C berarti pihak yang dikonsultasikan, dan I berarti pihak yang diberi informasi. Contoh operasional ini tidak memindahkan tanggung jawab hukum dari pengendali atau prosesor.

DPO memberi nasihat dan memantau secara independen. Pedoman DPO menempatkan tanggung jawab kepatuhan dan DPIA pada pengendali serta memperingatkan konflik peran yang menentukan tujuan dan sarana pemrosesan. Tidak setiap organisasi wajib menunjuk DPO.

Sebelum menyetujui penerapan

Tinjau peta data, kontrak yang berlaku, aturan retensi, dan hasil pengujian operasional secara bersama. Konfirmasikan siapa yang menerima permintaan hak atau laporan insiden serta apa yang terjadi ketika penyedia, integrasi, atau tujuan berubah.

Untuk Quickchat AI, bedakan kontrol terdokumentasi dari kebutuhan yang memerlukan perjanjian spesifik. Penghapusan akun atau agen, penafian privasi, pembersihan atas permintaan, dan wilayah penyimpanan yang dinyatakan masing-masing memiliki cakupan terbatas. Selesaikan kebutuhan penerapan nyata sebelum mengandalkannya.

Pertanyaan umum tentang privasi chatbot

Apakah chatbot berbasis GPT bisa mematuhi GDPR?

Chatbot dapat menjadi bagian dari penerapan yang sah, bergantung pada tujuan, data, peran, kontrak, keamanan, penanganan hak, dan transfer. Nama model, pengaturan tanpa pelatihan, atau server UE tidak cukup sendiri. Pseudonimisasi dapat mengurangi risiko sementara data tetap berada dalam cakupan GDPR.

Bagaimana cara menghapus data pengguna atas permintaan?

Verifikasi identitas secara proporsional, identifikasi catatan terkait, nilai dasar dan pengecualian penghapusan, koordinasikan prosesor, dan verifikasi hasil. Bertindaklah tanpa penundaan yang tidak semestinya dan biasanya dalam satu bulan kalender, dengan perpanjangan yang diizinkan dikomunikasikan tepat waktu. Sertakan log, ekspor, dan cadangan dalam penilaian. Menghapus AI Agent Quickchat AI tidak sama dengan menghapus percakapannya.

Metode autentikasi apa yang sebaiknya digunakan chatbot?

Sesuaikan dengan tugas. FAQ publik mungkin tidak memerlukan autentikasi pengunjung, sedangkan detail akun atau transaksi memerlukan jalur terautentikasi dan terotorisasi yang sesuai. Lindungi akses administratif, pertimbangkan MFA, dan verifikasi pembatasan peran. SSO maupun biometrik bukan jawaban universal untuk semua alur kerja.

Berapa lama log chat boleh disimpan berdasarkan GDPR?

Hanya selama dapat dibenarkan untuk tujuan terkait, dengan memperhatikan kewajiban hukum yang berlaku. Tentukan periode atau kriteria berdasarkan kategori data dan jelaskan dalam informasi privasi. Contoh periode 30 atau 90 hari bukan default GDPR, dan penyimpanan bukti persetujuan juga perlu alasan.

Apakah saya memerlukan DPA jika menghosting model sendiri?

Nilai apakah entitas lain memproses data pribadi atas nama Anda. Menjalankan perangkat lunak sendiri tidak otomatis menciptakan hubungan prosesor dengan penerbitnya, tetapi hosting, dukungan, analitik, atau layanan lain dapat menciptakannya. Ketentuan Pasal 28 yang berlaku tetap diperlukan bagi prosesor, dan hosting sendiri tidak menghilangkan kewajiban Anda.

Apakah chatbot boleh membuat keputusan sepenuhnya otomatis berdasarkan Pasal 22?

Pembatasan Pasal 22 menyangkut keputusan sepenuhnya otomatis dengan akibat hukum atau dampak signifikan serupa. Jika berlaku, nilai pengecualian dan perlindungan yang diwajibkan, termasuk intervensi manusia yang bermakna jika diperlukan. Jawaban dukungan biasa tidak otomatis tercakup pembatasan itu; keputusan penting tentang kelayakan atau akses memerlukan tinjauan lebih mendalam.

Apa yang harus dicantumkan dalam pemberitahuan privasi chatbot?

Jelaskan pengendali dan kontaknya, tujuan dan dasar, penerima dan transfer terkait, retensi, hak yang berlaku, serta jalur pengaduan. Sertakan informasi lain yang diwajibkan Pasal 13 atau 14 untuk pengumpulan yang sebenarnya, termasuk penarikan jika mengandalkan persetujuan dan informasi keputusan otomatis terkait. Pastikan mudah diakses dan akurat. Sediakan pengungkapan interaksi AI yang diwajibkan secara terpisah dari perolehan persetujuan.

Bagaimana cara mengurangi risiko injeksi prompt?

Perlakukan pesan pengunjung dan konten yang diambil sebagai tidak tepercaya. Batasi izin, tegakkan otorisasi di luar model, validasi parameter tindakan, dan uji upaya mengakses data tanpa izin atau melakukan tindakan tidak terkait. Instruksi, filter, dan RAG tidak menjamin pencegahan. Pertahankan jalur penyelidikan dan eskalasi manusia.

Apakah widget chat memerlukan persetujuan cookie?

Nilai setiap operasi penyimpanan atau akses dan tujuannya berdasarkan penerapan ePrivacy yang berlaku. Panduan EDPB mencakup lebih dari cookie. Operasi yang mutlak diperlukan untuk layanan yang diminta secara eksplisit oleh pengunjung dapat dikecualikan; operasi lain dapat memerlukan persetujuan sebelumnya. Widget Quickchat AI menggunakan penyimpanan lokal browser untuk kesinambungan percakapan dan preferensi. Jangan menganggap semua penyimpanan widget dikecualikan atau setiap widget harus diblokir sepenuhnya sebelum pilihan persetujuan.

Apakah EU AI Act menggantikan GDPR untuk chatbot?

Tidak. GDPR tetap mengatur pemrosesan data pribadi terkait, sedangkan AI Act menambahkan kewajiban sesuai sistem, peran, dan penggunaan. Kewajiban transparansi Pasal 50 sudah berlaku sejak 2 Agustus 2026. Periksa jadwal risiko tinggi yang telah diubah, bukan mengandalkan perkiraan awal 2025/2026.

Untuk mengevaluasi platform Quickchat AI, mulailah dari alur kerja yang ditentukan dan data yang diperlukan, lalu bandingkan kontrol terdokumentasi serta ketentuan yang berlaku dengan kebutuhan Anda.