Server di San Francisco, Pengguna di Berlin: Kenapa Llama 4 Bisa Kena Sanksi EU Meski Kamu Nggak Punya Kantor di Eropa

⚡ Jawaban Singkat / Key Takeaways

EU AI Act tidak peduli di mana server-mu berada. Begitu model open-source kamu (seperti Llama 4) bisa diakses oleh pengguna di Uni Eropa, kewajiban compliance langsung berlaku. Ini namanya extraterritorial reach, dan tidak membutuhkan entitas hukum di EU. Satu pull request dari kontributor di Berlin, satu download dari Munich, atau satu API call dari Paris, sudah cukup untuk menyeret proyek-mu ke bawah yurisdiksi AI Office Brussels.

Kamu Kira Aman Karena Server di AS? Pikir Lagi

Bayangkan skenario ini. Tim kamu baru saja merilis Llama 4 dengan lisensi open-weight di GitHub. Server ada di AWS us-east-1. Repository di bawah naungan GitHub, Inc., perusahaan Delaware. Tidak ada karyawan, kontrak, atau rekening bank di Eropa.

Lalu suatu pagi, notifikasi dari AI Office masuk: proyek kamu sedang diselidiki karena tidak menyediakan dokumentasi teknis sesuai Article 53 AI Act. Denda yang mengintip mencapai EUR 15 juta atau 3% dari total omzet global tahunan, mana yang lebih besar.

Ini bukan fiksi. EU AI Act secara eksplisit memasang pasal extraterritorial application di Article 2. Cakupannya mencakup setiap provider yang “placing on the market or putting into service” model AI di pasar EU. Tidak perlu punya kantor, tidak perlu punya subsidiary. Cukup model-mu tersedia untuk pengguna EU. Menurut European Commission AI Act overview, jangkauan ini sengaja dirancang luas untuk menutup celah yurisdiksi yang dulu dimanfaatkan perusahaan non-EU di era GDPR.

Lho, Tapi Kan Open-Source Dikecualikan?

Ini jebakan paling mematikan. Recital 102 EU AI Act memang menyebutkan pengecualian untuk lisensi “free and open-source”. Tapi definisi hukumnya sangat, sangat sempit. Hanya model yang dirilis tanpa monetisasi, tanpa layanan berbayar, dan tanpa struktur komersial yang benar-benar lolos.

Kalau proyek open-source kamu memiliki model bisnis apa pun, seperti managed hosting, enterprise support plan, atau API berbayar, kamu langsung masuk klasifikasi provider penuh. Llama 4 dari Meta jelas tidak lolos pengecualian ini karena Meta adalah entitas komersial. Bahkan proyek indie yang menjalankan Patreon untuk server hosting pun bisa masuk radar.

Lebih dalam lagi, baca artikel kami sebelumnya tentang celah definisi open-source di EU AI Act yang membahas kenapa Llama bisa lolos sementara proyek GitHub-mu justru kena jerat.

Mekanisme Extraterritorial Reach: Bagaimana Brussels Menjangkau Server-mu

EU tidak mengirim inspektur ke data center San Francisco. Mekanismenya lebih subtle dan lebih luas. Ada tiga jalur utama yang membuat jangkauan ekstrateritorial ini efektif:

• Market presence test: Kalau model bisa diunduh atau diakses dari IP address EU, itu dianggap “placing on the market”. Tidak perlu transaksi finansial.
• Output use test: Kalau output model digunakan di EU, meskipun inference terjadi di server non-EU, provider tetap terkena kewajiban.
• Appointed representative: Provider non-EU wajib menunjuk perwakilan resmi yang berdomisili di salah satu negara anggota EU (Article 54). Tanpa ini, enforcement action bisa langsung ke entitas global kamu.

Kenapa Llama 4 Jadi Ujian Pertama yang Paling Kritis

Meta merilis Llama sebagai model open-weight. Strategi ini brilian untuk adopsi global, tapi membawa risiko compliance yang unik. Tidak seperti GPT-5 yang dikontrol penuh lewat API OpenAI, Llama 4 bisa di-download, di-fine-tune, dan di-deploy oleh siapa saja, termasuk entitas di EU.

Artinya, Meta harus membuktikan compliance di level model foundation, sementara setiap downstream deployer yang melakukan fine-tuning juga bisa dianggap derivative provider. Ini menciptakan rantai liability yang belum pernah diuji di pengadilan. Baca juga artikel kami tentang jerat derivative model liability untuk memahami di mana kamu berdiri dalam rantai ini.

Tiga Lapis Compliance yang Tidak Bisa Kamu Abaikan

1. Transparansi Teknis (Article 53): Wajib menyediakan dokumentasi teknis model, termasuk arsitektur, data training, metode testing, dan evaluasi. Ini harus bisa diaudit oleh AI Office kapan saja.
2. Risk Assessment (Article 52): Identifikasi systemic risk yang mungkin timbul dari model general-purpose AI. Kalau model kamu termasuk kategori “systemic risk” (berdasarkan compute threshold 10^25 FLOPs), beban compliance langsung naik drastis.
3. Authorized Representative (Article 54): Tunjuk perwakilan resmi di EU sebelum model tersedia di pasar. Tanpa ini, Brussels bisa langsung menyasar entitas global kamu.

Bukan Cuma Meta: Setiap US Lab yang Rilis Model Open-Weight Terpapar

Masalah ini tidak eksklusif untuk Meta. Stability AI, Mistral (meskipun berbasis di Prancis), EleutherAI, Allen Institute for AI, hingga startup Y Combinator yang merilis model open-source di Hugging Face, semuanya terpapar skenario yang sama. Satu-satunya perbedaan adalah skala denda yang proporsional terhadap omzet.

Lebih mengejutkan lagi: bahkan peneliti individu yang merilis model di Hugging Face dengan akses publik bisa dianggap provider kalau model tersebut mencapai threshold risiko sistemik atau digunakan di EU. EU AI Act tidak membedakan antara hobi dan bisnis dalam hal availability di pasar. Laporan OECD AI Policy Observatory mencatat bahwa regulator global kini mengadopsi pendekatan “follow the model” bukan “follow the company,” yang membuat setiap model yang tersedia secara publik otomatis masuk radar pengawasan.

Untuk toolkit praktis menghadapi audit EU, kami sudah menyiapkan panduan lengkap di artikel toolkit transparansi EU AI Act yang bisa langsung kamu terapkan.

Checklist Darurat: Apa yang Harus Kamu Lakukan Minggu Ini

Jangan tunggu surat cinta dari Brussels. Berikut langkah konkret yang bisa kamu eksekusi dalam 7 hari ke depan:

• Audit geografis akses model: Cek dari mana saja pengguna mengakses model-mu. Kalau ada traffic dari IP EU, kamu sudah terpapar.
• Dokumentasikan training pipeline: Catat setiap dataset, setiap hyperparameter, setiap keputusan desain. Dokumentasi ini adalah benteng pertahanan pertama saat audit datang.
• Tunjuk EU authorized representative: Cari firma hukum atau konsultan compliance yang berdomisili di negara EU. Biayanya jauh lebih kecil dibanding denda.
• Evaluasi threshold FLOPs: Hitung apakah model kamu masuk kategori systemic risk (di atas 10^25 FLOPs). Kalau iya, compliance-mu bukan sekadar dokumentasi biasa.
• Siapkan Model Card dan System Card: Dua artefak ini akan menjadi dokumen pertama yang diminta AI Office. Bikin sekarang, bukan nanti.

Enforcement Bukan Cuma Teori: Preseden yang Sudah Terjadi

Banyak yang menganggap enforcement EU AI Act masih abstrak. Tapi pola dari GDPR memberikan gambaran yang jelas. Sejak 2018, EU sudah menjatuhkan lebih dari EUR 4.5 miliar denda GDPR, dan sebagian besar menyasar perusahaan non-EU. Google (EUR 50 juta di Prancis), Meta (EUR 1.2 miliar untuk transfer data ke AS), TikTok (EUR 345 juta di Irlandia). Semuanya bermarkas di luar EU.

AI Office Brussels sudah merekrut lebih dari 140 technical enforcement staff. Salah satu fokus pertama mereka adalah model general-purpose AI yang dirilis secara open-weight, karena model-model ini menciptakan risiko sistemik yang tidak bisa dikontrol setelah rilis.

Menurut EU AI Act Compliance Tracker, setidaknya 12 investigasi preliminary sudah berjalan terhadap provider non-EU sejak Agustus 2025. Nama-nama ini belum dipublikasikan, tapi timing-nya bertepatan dengan rilis besar model open-weight dari US labs. European Parliament menegaskan bahwa prioritas enforcement difokuskan ke high-risk dan general-purpose AI model yang memiliki dampak lintas batas paling luas.

Paradoks Open-Source: Semakin Terbuka, Semakin Rentan

Ini insight yang jarang dibahas di forum developer. Model proprietary seperti GPT-5 justru lebih mudah comply karena akses dikontrol lewat API. OpenAI bisa memblokir akses dari IP EU, memonitor usage pattern, dan membatasi downstream modification. Mereka punya kontrol penuh.

Sementara Llama 4, begitu file torrent-nya tersebar, tidak ada yang bisa mengontrol siapa yang mendownload, memodifikasi, atau mendeploy ulang. Setiap instance yang berjalan di EU menciptakan potensi pelanggaran baru. Dan provider original (Meta) tetap bertanggung jawab sebagai upstream provider meskipun downstream modification dilakukan pihak ketiga.

Ini menciptakan disinsentif struktural untuk merilis model open-weight ke pasar global. Jika tidak hati-hati, EU AI Act bisa jadi regulasi yang secara tidak langsung membunuh open-source AI, sementara model proprietary terus berkembang di balik tembok API yang aman dari jerat compliance.

Pertanyaan yang Sering Diajukan (FAQ)

Apakah proyek open-source non-komersial benar-benar kebal dari EU AI Act?

Tidak sepenuhnya. Pengecualian hanya berlaku kalau model dirilis tanpa monetisasi dan tanpa koneksi ke entitas komersial mana pun. Kalau proyek kamu menerima donasi, menjalankan server berbayar, atau terafiliasi dengan perusahaan, status pengecualian bisa gugur. Konsultasikan dengan legal counsel untuk posisi spesifik kamu.

Bagaimana EU bisa mengeksekusi denda ke entitas yang tidak punya aset di Eropa?

EU bisa bekerja sama dengan otoritas di yurisdiksi asal entitas melalui perjanjian bilateral. Selain itu, kalau entitas tersebut pernah memiliki hubungan bisnis dengan pihak EU (misalnya pelanggan enterprise di EU, investor EU, atau anak perusahaan), mekanisme enforcement jauh lebih mudah dieksekusi. GDPR sudah membuktikan ini berulang kali.

Apa perbedaan antara Model Card biasa dan dokumentasi teknis yang diminta Article 53?

Model Card adalah ringkasan publik. Dokumentasi Article 53 jauh lebih detail: mencakup arsitektur teknis, spesifikasi training data, metode testing dan validasi, evaluasi bias dan fairness, energy consumption, serta downstream compatibility. Dokumen ini harus cukup rinci sehingga AI Office bisa melakukan audit teknis tanpa akses ke model internal kamu.

Saatnya Bertindak, Bukan Panik

EU AI Act bukan akhir dari open-source AI. Tapi ini adalah sinyal bahwa era “rilis dan lupakan” sudah berakhir. Setiap model yang tersedia secara publik kini membawa beban compliance yang harus dikelola secara sadar, terencana, dan terdokumentasi.

Langkah-langkah yang sudah dijabarkan di atas bukan cuma untuk menghindari denda. Ini juga tentang membangun kepercayaan dengan komunitas global dan regulator yang semakin kritis terhadap klaim “open-source” tanpa akuntabilitas. Proyek yang compliance-nya rapi justru akan menang di pasar EU yang bernilai triliunan euro.

Kalau kamu sedang mempersiapkan model untuk rilis publik, atau khawatir proyek yang sudah live terpapar EU AI Act, jangan navigasi sendiri. Mulai dari checklist di atas, baca toolkit transparansi yang sudah kami siapkan, dan pastikan ada satu orang di tim kamu yang bertanggung jawab atas compliance ini.

Waktu berjalan. EU AI Office tidak akan menunggu sampai kamu siap.