Dewan Perwakilan Rakyat (DPR) Amerika Serikat mengesahkan Kids Internet and Digital Safety (KIDS) Act pada 29 Juni lalu dengan suara 267 melawan 117. Rancangan undang-undang yang berakar pada Kids Online Safety Act (KOSA) ini dirancang untuk melindungi remaja di dunia maya, namun celah hukumnya justru mendorong platform teknologi memverifikasi usia pengguna secara massal.
Di Senat, para pengusul KOSA yakni Senator Demokrat Richard Blumenthal dan Republikan Marsha Blackburn menolak versi DPR dan menggodok draf yang lebih ketat. Mereka mengaitkannya dengan pengesampingan federal atas hukum kecerdasan buatan tingkat negara bagian. Rapat komite perdagangan Senat diperkirakan berlangsung bulan ini, sehingga bentuk akhir regulasi bakal menentukan arsitektur identitas digital selama bertahun-tahun ke depan.
Kekhawatiran atas keamanan data bukan sekadar hipotesis. Pada 2024, penyedia verifikasi identitas AU10TIX yang melayani TikTok dan Uber kedapatan membocorkan surat izin mengemudi selama lebih dari setahun. Setahun berselang, sistem verifikasi usia untuk Discord diretas dan berpotensi membuka akses 70.000 dokumen identitas pemerintah milik pengguna.
Ancaman semakin tajam seiring melesatnya kecerdasan buatan. Alat bantu AI membuat peretasan berlangsung lebih cepat dan dampak kerusakan yang ditimbulkan makin mudah dieksekusi. Latar ini menjadi pengingat bahwa setiap penyimpanan data identitas adalah vektor kebocoran potensial.
Paradoks yang muncul cukup gamblang. Tujuannya melindungi anak di bawah umur, tetapi mekanisme yang dipakai malah menuntut pembangunan aparatur pengawasan yang jauh lebih luas daripada yang diakui para pendukungnya. KIDS sebenarnya tidak mewajibkan verifikasi usia secara tersurat, namun aturan liabilitas atas kerugian anak membuat perusahaan memilih verifikasi demi menghindari risiko hukum.
Bagi pembaca di Indonesia, gelombang regulasi ini relevan karena banyak platform global seperti TikTok dan Discord memiliki basis pengguna anak yang masif di tanah air. Jika perusahaan induk menetapkan kebijakan verifikasi menyeluruh, data warga Indonesia akan terkumpul dalam server luar negeri yang rentan diawasi atau dibobol. Situasi tersebut memperlihatkan bagaimana kebijakan luar negeri berimbas langsung pada privasi warga lokal.
Di sisi lain, ekosistem identitas digital domestik masih bertumpu pada basis terpusat. Rencana identitas digital nasional dan KTP elektronik menyimpan data warga dalam satu pangkalan yang jika terekspos dapat dimanfaatkan penjahat siber. Pengalaman kebocoran AU10TIX semestinya menjadi pelajaran bahwa pengumpulan dokumen secara luas bukan jaminan keamanan, melainkan magnet bagi peretas.
Kelompok yang paling terdampak adalah anak-anak dan orang tua yang tak punya pilihan selain menyerahkan data demi akses layanan edukasi atau hiburan. Platform lokal yang bekerja sama dengan mitra global juga terkena tekanan kepatuhan, sehingga biaya dan risiko operasional naik. Tanpa desain privasi sejak awal, kebijakan perlindungan justru melahirkan masalah baru.
Frederik Gregaard, CEO Cardano Foundation, menegaskan bahwa tanggung jawab hukum tanpa mandat verifikasi eksplisit tetap memicu verifikasi di dunia nyata. Ia mencontohkan implementasi di Utah melalui legislasi State-Endorsed Digital Identity (SEDI) yang memakai Veridian buatan lembaganya. Sistem itu membuktikan seseorang berada di atas atau bawah ambang usia tertentu tanpa membuka data lain, sehingga kepercayaan tidak mensyaratkan pengungkapan tak perlu.
Model Utah tersebut bertentangan dengan kecenderungan draf Senat yang ingin memperketat kewajiban platform. Meski niat pelindungan anak mulia, Gregaard mengingatkan bahwa alat yang semula untuk memastikan cukup umur berubah menjadi alat identifikasi menyeluruh. Basis data yang dibangun untuk membatasi kewajiban hukum pada akhirnya menjelma menjadi kewajiban sendiri yakni satu repositori identitas yang menunggu kebocoran berikutnya.
Rapat penetapan di komite Senat bulan ini akan menjadi titik balik. Jika draf yang keluar menganut minimalisasi data dan membatasi retensi, industri dapat menghindari jaringan pengumpulan informasi massal. Sebaliknya, mandat luas yang memaksa setiap platform menyimpan lebih banyak data akan memperbesar permukaan serangan siber secara global.
Ke depan, pembuat kebijakan Indonesia sebaiknya mengamati tren ini dan merumuskan aturan yang mengutamakan verifikasi berbasis privasi terdesentralisasi. Anak memang layak dilindungi, tetapi bukan dengan membuat seluruh warga lebih terlihat demi pertanggungjawaban perusahaan. Standar yang tepat sederhana: lindungi minor, batasi data, jaga privasi, dan bangun kepercayaan tanpa pengungkapan tak perlu.