Pada 19 Februari 2026 di Washington, Presiden Prabowo Subianto dan Presiden Donald Trump menandatangani perjanjian dagang resiprokal. Di lampiran ketiga, satu pasal mengatur transfer data. Indonesia mengakui Amerika Serikat sebagai yurisdiksi dengan perlindungan data yang memadai.
Menurut Undang-Undang Pelindungan Data Pribadi, penilaian semacam itu adalah kewenangan lembaga pengawas. Lembaga itu belum berdiri sampai hari ini.
Enam bulan kemudian, republik ini merayakan ulang tahun ke-81. Dan pertanyaan soal kemerdekaan digital tidak lagi berhenti pada di mana data disimpan.
Kepemilikan Bukan Kendali
Pakar keamanan siber Pratama Persadha, Ketua Lembaga Riset Keamanan Siber CISSReC, menolak asumsi yang paling sering dipakai publik.
“Kedaulatan data karena itu tidak dapat hanya diukur berdasarkan lokasi sebuah server,” katanya kepada Inilah.com.
Ia menjelaskan, memakai layanan komputasi awan perusahaan global tidak membuat data berpindah kepemilikan. Dalam banyak model layanan, data tetap milik pelanggan. Masalahnya bukan di situ.
Pratama merujuk konsep yang dipublikasikan terbuka oleh Amazon Web Services: shared responsibility model. Keamanan infrastruktur menjadi tanggung jawab penyedia. Keamanan data, aplikasi, identitas, dan konfigurasi tetap di tangan pelanggan.
Artinya penguasaan data menjadi berlapis. Pemerintah Indonesia bisa saja memiliki datanya. Tapi kendali atas perangkat keras, virtualisasi, jaringan, sistem penyimpanan, mekanisme pemulihan, dan pembaruan keamanan berada di pihak lain.
Enkripsi pun tidak menuntaskan persoalan. “Bahkan ketika data telah dienkripsi, persoalan siapa yang mengendalikan kunci enkripsi tetap menjadi aspek penting,” ujarnya.
Lapisan terakhir bersifat hukum. Infrastruktur bisa berdiri di Indonesia, tetapi perusahaan yang mengoperasikannya tetap tunduk pada yurisdiksi negara asalnya dalam kondisi tertentu. Badan Uni Eropa untuk Keamanan Siber, ENISA, sejak lama menempatkan lokasi data, yurisdiksi asing, akses, lock-in, dan ketergantungan penyedia sebagai satu paket persoalan keamanan cloud.
Yang Luput dari Pemahaman Publik
Pertanyaan publik biasanya berhenti pada satu hal: apakah servernya di Indonesia.
Menurut Pratama, itu baru satu bagian. Pusat data yang berdiri di Jakarta atau Surabaya masih bisa memakai perangkat keras, sistem operasi, perangkat lunak virtualisasi, perangkat jaringan, layanan keamanan, dan tenaga ahli dari luar negeri.
“Sebuah server yang berada di Jakarta atau Surabaya tidak serta-merta membuat seluruh rantai teknologi yang berada di belakang server tersebut berada dalam kendali Indonesia,” katanya.
Peraturan Pemerintah Nomor 71 Tahun 2019 sendiri, kata dia, memperlihatkan hal itu. Penyelenggara sistem elektronik lingkup privat boleh menyimpan data di dalam maupun di luar Indonesia. Yang lingkup publik wajib di dalam negeri, dengan pengecualian bila teknologinya belum tersedia. Aturan yang sama menetapkan delapan sektor pemilik data strategis: administrasi pemerintahan, energi dan sumber daya mineral, transportasi, keuangan, kesehatan, teknologi informasi dan komunikasi, pangan, serta pertahanan.
Risiko yang Lebih Besar dari Kebocoran
Ancaman terhadap kedaulatan digital, kata Pratama, tidak selalu berbentuk pencurian data. Ada yang lebih serius: vendor lock-in.
Ketika aplikasi, basis data, arsitektur cloud, API, sistem identitas, dan mekanisme penyimpanan dibangun spesifik di atas teknologi satu penyedia, berpindah menjadi mahal dan rumit. Dalam kondisi normal, ini tak terlihat sebagai masalah. Persoalan muncul ketika penyedia mengalami gangguan besar, diserang, menghentikan produk, mengubah kebijakan, atau ketika hubungan geopolitik memburuk.
“Persoalannya bukan lagi sekadar siapa yang memiliki data, tetapi siapa yang memiliki kemampuan untuk membuat negara tetap berfungsi ketika teknologi tersebut tidak tersedia,” ujarnya.
Ia menunjuk serangan ransomware terhadap Pusat Data Nasional Sementara pada Juni 2024. Sebanyak 167 dari 282 kementerian, lembaga, dan pemerintah daerah terdampak. Pada 9 Juli 2024, baru 30 layanan dari 12 instansi yang pulih.
Pelajarannya, menurut Pratama, bukan sekadar bahwa ransomware bisa menembus pusat data pemerintah. “Keberadaan pusat data nasional tidak otomatis menghasilkan kedaulatan digital apabila kemampuan pencadangan, pemulihan, redundansi, segmentasi, dan pengoperasian alternatif belum dibangun secara memadai.”
Uang Besar, Silikon Orang Lain
Sementara itu, modal terus mengalir masuk.
Menteri Koordinator Bidang Perekonomian Airlangga Hartarto menyebut kapasitas pusat data operasional Indonesia sekitar 580 megawatt, dengan pipeline tambahan sekitar 1,3 gigawatt. Indosat bersama Ooredoo, Nokia, dan NVIDIA meluncurkan Zankore dengan target 1 gigawatt. Firmus Technologies dan DayOne membangun kampus 360 megawatt di Batam untuk menampung hingga 170 ribu GPU NVIDIA. CoreWeave mengontrak 360 megawatt di Jabodetabek pada 4 Agustus 2026.
Hampir semuanya memakai label sovereign. Hampir semuanya berjalan di atas silikon yang sama.
Telkom menjawab dengan AdyaCakra, tumpukan teknologi berdaulat yang mencakup cloud, AI, dan keamanan siber. Direktur Strategic Business Development and Portfolio Telkom Seno Soemadji menargetkan pameran perdananya pada 17 Agustus 2026. Per Mei lalu, proyek itu masih di tahap desain.
Di sisi regulasi, Menteri Komunikasi dan Digital Meutya Hafid menyatakan pada 11 Juni 2026 bahwa draf Peraturan Presiden tentang AI disesuaikan setelah konsultasi dengan sejumlah perusahaan Amerika Serikat. Wakil Menteri Nezar Patria menyebut aturan itu tidak memuat sanksi.
Sektor Mana yang Paling Rawan
Pratama menolak menunjuk satu sektor.
Pemerintahan sensitif karena menyangkut identitas penduduk, perpajakan, bantuan sosial, dan imigrasi. Keuangan menyimpan risiko sistemik — Bank Indonesia mencatat ketergantungan pada penyedia pihak ketiga dapat menimbulkan ketiadaan sistem pengganti dan menular ke institusi lain lewat interkoneksi. Energi bisa berubah dari gangguan digital menjadi gangguan fisik. Telekomunikasi menopang semuanya. Kesehatan berhubungan langsung dengan keselamatan orang.
“Ancaman terbesar dapat muncul ketika beberapa sektor yang saling bergantung mengalami gangguan secara bersamaan,” katanya.
Bukan Menolak, Tapi Menyiapkan Pintu Keluar
Pratama tidak menganjurkan Indonesia menutup diri. Ketergantungan pada teknologi asing, kata dia, tidak otomatis merupakan ancaman. Yang berbahaya adalah ketergantungan yang terlalu terkonsentrasi tanpa mekanisme substitusi.
Ia mengusulkan prinsip exit strategy: setiap ketergantungan harus disertai skenario perpindahan bila penyedia tidak lagi tersedia. Multi-cloud, hybrid cloud, sovereign cloud, cadangan terpisah untuk sistem tertentu, interoperabilitas, standar terbuka, dan penguasaan sumber daya manusia domestik. Ditopang kontrak yang menjamin hak audit dan portabilitas data.
“Yang perlu dihindari adalah ketergantungan tanpa kendali,” ujarnya.
Delapan puluh satu tahun lalu, kemerdekaan diukur dari siapa memegang senjata. Hari ini ukurannya bergeser.
“Server yang berdiri di Indonesia belum tentu membuat Indonesia berdaulat secara digital,” kata Pratama.