Ke Mana Data Pergi Saat Kamu Membuat Aplikasi dengan AI?
Prompt, file proyek, dan data aplikasi memiliki perjalanan yang berbeda. Kenali apa yang perlu diperiksa agar kamu bisa membangun dan mempublikasikan aplikasi dengan lebih tenang.
Saat membuat aplikasi dengan AI, kamu mungkin menuliskan alur penjualan, mengunggah contoh dokumen, atau meminta AI menyiapkan database pelanggan. Informasi itu membantu AI memahami kebutuhanmu. Namun, ada pertanyaan yang juga penting: ke mana data tersebut pergi dan siapa yang dapat mengaksesnya?
Jawabannya tidak cukup dengan melihat apakah aplikasi bisa dibuka. Prompt yang dikirim ke layanan AI, file proyek saat aplikasi dibangun, dan data pelanggan setelah aplikasi dipublikasikan melewati proses yang berbeda. Masing-masing membutuhkan perlindungan dan keputusan yang tepat.
Prompt AI bukan sekadar teks biasa
Prompt sering berisi lebih dari permintaan membuat halaman. Di dalamnya bisa ada nama pelanggan, harga, dokumen internal, atau detail operasional. Ketika konteks tersebut dibutuhkan untuk memproses permintaan, penyedia layanan AI dapat menerimanya sebagai bagian dari pemrosesan.
OWASP, organisasi yang menyusun panduan keamanan aplikasi, memasukkan pengungkapan informasi sensitif sebagai salah satu risiko utama aplikasi berbasis model bahasa dalam OWASP Top 10 for LLM Applications 2025. Informasi yang terungkap dapat mencakup data pribadi, catatan keuangan, dan informasi bisnis yang seharusnya tidak dibagikan.
Karena itu, gunakan data contoh saat menjelaskan kebutuhan awal. Misalnya, ganti nama dan nomor telepon pelanggan asli dengan data fiktif. Jangan masukkan kata sandi atau kunci API ke dalam prompt. Jika proyek benar-benar membutuhkan data pribadi, pastikan kamu memiliki hak untuk menggunakannya dan pahami kebijakan penyedia layanan.
Lokasi pemrosesan dan kedaulatan data
Kedaulatan data berkaitan dengan hukum dan yurisdiksi yang berlaku terhadap data. Untuk aplikasi berbasis AI, lokasi pemrosesan adalah salah satu hal yang perlu diketahui, selain lokasi penyimpanan, pihak yang dapat mengakses data, dan kebijakan penghapusannya.
TanpaNgoding menggunakan infrastruktur AI inference di Indonesia untuk memproses prompt dan konteks pembuatan aplikasi. Lokasi inference tidak otomatis berarti semua salinan data, layanan pendukung, atau integrasi pihak ketiga berada di Indonesia. Untuk memahami pemrosesan data dan penggunaan layanan pihak ketiga, baca Kebijakan Privasi TanpaNgoding.
Kalau kamu membangun aplikasi untuk bisnis, tanyakan juga siapa yang bertanggung jawab atas data yang dimasukkan. Kebutuhan pelindungan data dapat berbeda sesuai jenis informasi dan cara aplikasi digunakan. Lokasi server saja bukan bukti bahwa sebuah aplikasi otomatis memenuhi seluruh kewajiban hukum.
Setelah prompt dikirim, bagaimana dengan aplikasimu?
Perlindungan tidak berhenti pada layanan AI. File aplikasi, database, akses akun, dan koneksi pengunjung juga perlu diperhatikan. Di TanpaNgoding, lingkungan proyek menggunakan container terpisah dengan pembatasan hak akses dan sumber daya. Akun platform menggunakan Clerk untuk autentikasi, sementara akses builder dan subdomain terkelola menggunakan HTTPS.
Setiap langkah tersebut memiliki cakupannya sendiri. HTTPS membantu melindungi koneksi saat data dikirim, tetapi bukan jaminan bahwa database terenkripsi ketika disimpan. Login akun TanpaNgoding juga berbeda dari sistem login untuk pengguna aplikasi yang kamu buat.
OWASP melalui Top 10 menempatkan pengendalian akses, konfigurasi keamanan, dan kegagalan kriptografi di antara risiko yang perlu diperhatikan dalam aplikasi web. Sebelum publish, periksa apakah halaman admin dan data pelanggan hanya dapat dibuka oleh pengguna yang berhak. Coba akses dengan akun berbeda dan tanpa login, lalu pastikan hasilnya sesuai kebutuhan.
Yang bisa kamu lakukan sebelum publish
Mulailah dengan data contoh, batasi informasi sensitif di prompt, dan periksa siapa yang dapat membuka halaman serta data aplikasi. Simpan cadangan data penting dan tinjau integrasi tambahan yang kamu hubungkan. Jika aplikasimu menyimpan data pelanggan, uji juga alur login, peran pengguna, dan cara data ditampilkan sebelum aplikasi dipakai.
CISA melalui panduan Secure by Design menekankan bahwa keamanan perlu menjadi bagian dari rancangan produk, bukan sekadar tanggung jawab pengguna setelah aplikasi selesai. Bagi pemilik aplikasi, pemeriksaan sebelum publish tetap penting karena kebutuhan akses dan jenis data setiap bisnis berbeda.
Untuk pemeriksaan tambahan, kamu dapat membaca tentang fitur Periksa Keamanan di TanpaNgoding. Hasil pemeriksaan membantu menemukan hal yang perlu ditinjau, tetapi tidak menggantikan pengujian dan penilaian keamanan sesuai kebutuhan aplikasimu.