Digital Provenance: Bisakah Data dan AI Dipercaya?

Perusahaan memiliki semakin banyak data, dokumen, aplikasi, model AI, serta komponen software dari pihak ketiga.

Namun, ketika sebuah laporan menampilkan angka tertentu, perusahaan sering kesulitan menjawab pertanyaan sederhana:

• Dari sistem mana angka tersebut berasal?
• Kapan datanya terakhir diperbarui?
• Siapa yang mengubahnya?
• Aturan apa yang digunakan untuk memprosesnya?
• Apakah dokumen tersebut masih berlaku?
• Apakah kontennya dibuat atau diedit menggunakan AI?
• Komponen software apa yang digunakan untuk menghasilkan sistem tersebut?

Selama output terlihat masuk akal, pertanyaan mengenai asal-usulnya sering diabaikan.

Masalah baru muncul ketika hasilnya salah, audit dilakukan, terjadi insiden keamanan, atau AI memberikan jawaban yang berbeda dari kebijakan perusahaan.

Di sinilah digital provenance menjadi penting.

Digital provenance adalah rekaman mengenai asal-usul suatu data atau objek digital, pihak dan proses yang terlibat, perubahan yang terjadi, serta hubungan antara versi awal dan hasil akhirnya.

W3C menjelaskan provenance sebagai informasi mengenai entitas, aktivitas, dan pihak yang terlibat dalam menghasilkan data atau objek tertentu. Informasi ini dapat digunakan untuk menilai kualitas, reliabilitas, dan tingkat kepercayaannya. (W3C PROV Data Model)

Prinsip utamanya adalah:

Sistem yang dapat dipercaya tidak hanya memberikan hasil, tetapi juga mampu menjelaskan dari mana hasil tersebut berasal.

Apa Perbedaan Provenance, Lineage, dan Audit Trail?

Ketiga istilah ini saling berkaitan, tetapi memiliki fokus berbeda.

Data lineage

Data lineage menunjukkan perjalanan data dari satu sistem menuju sistem lain.

Contohnya:

1. Data transaksi berasal dari ERP.
2. Data diekstrak melalui pipeline.
3. Nilainya dibersihkan dan digabungkan.
4. Hasilnya masuk ke data warehouse.
5. Dashboard menggunakan data tersebut untuk membuat laporan.

Lineage membantu tim mengetahui bagaimana data bergerak dan bertransformasi.

Audit trail

Audit trail mencatat aktivitas yang terjadi pada suatu sistem.

Contohnya:

• Pengguna yang mengubah status transaksi.
• Waktu perubahan dilakukan.
• Nilai sebelum dan setelah perubahan.
• Approval yang diberikan.
• Sistem atau API yang menjalankan tindakan.

Audit trail berfokus pada kejadian dan akuntabilitas.

Digital provenance

Digital provenance memiliki cakupan lebih luas.

Provenance dapat menghubungkan asal data, transformasi, identitas, aktivitas, versi, software, dokumen, dan pihak yang terlibat.

Perusahaan biasanya membutuhkan kombinasi beberapa mekanisme, bukan memilih salah satunya.

Mengapa Digital Provenance Penting untuk AI?

AI dapat menyusun jawaban dari berbagai sumber dalam waktu singkat.

Internal AI assistant, misalnya, dapat membaca kebijakan, laporan, SOP, histori transaksi, email, dan data dari aplikasi perusahaan.

Hasilnya dapat terlihat jelas dan meyakinkan. Namun, pengguna tetap perlu mengetahui:

• Dokumen apa yang digunakan?
• Apakah dokumen tersebut masih aktif?
• Apakah jawabannya berasal dari data aktual?
• Apakah sumbernya memiliki hak akses yang sesuai?
• Apakah informasi telah diubah oleh proses lain?
• Model atau prompt versi mana yang digunakan?
• Apakah jawabannya pernah melalui review manusia?

Tanpa provenance, AI dapat menggabungkan kebijakan lama dengan data baru, menggunakan dokumen tanpa pemilik, atau memberikan jawaban berdasarkan salinan informasi yang tidak lagi menjadi sumber resmi.

Masalah tersebut berkaitan dengan kualitas data untuk proyek AI. Data dapat terlihat lengkap, tetapi tetap tidak layak digunakan jika sumber, konteks, dan masa berlakunya tidak diketahui.

Untuk sistem AI enterprise, provenance sebaiknya mencatat setidaknya:

• Sumber informasi.
• Waktu pengambilan.
• Versi dokumen atau dataset.
• Proses transformasi.
• Model dan versi yang digunakan.
• Prompt atau konfigurasi penting.
• Tools yang dipanggil.
• Pengguna atau agent yang menjalankan proses.
• Approval atau koreksi manusia.
• Output yang dihasilkan.

Dengan informasi tersebut, perusahaan dapat menyelidiki mengapa AI memberikan hasil tertentu dan menentukan apakah outputnya masih layak digunakan.

Provenance Tidak Menjamin Informasi Benar

Digital provenance membantu membuktikan asal dan riwayat suatu objek. Namun, provenance tidak otomatis membuktikan bahwa isinya benar.

Dokumen dapat berasal dari sumber yang terverifikasi tetapi mengandung informasi keliru. Data dapat memiliki lineage lengkap tetapi dikumpulkan menggunakan metode yang salah. Konten dapat memiliki tanda tangan digital tetapi tetap menampilkan opini yang menyesatkan.

Karena itu, provenance harus digunakan sebagai dasar evaluasi, bukan dianggap sebagai sertifikat kebenaran.

C2PA mengembangkan standar terbuka untuk merekam sumber dan perubahan konten digital melalui mekanisme yang dikenal sebagai Content Credentials. Standar ini membantu pengguna melihat bagaimana sebuah gambar, video, audio, atau dokumen dibuat dan diedit, tetapi pengguna tetap perlu menilai isi serta konteksnya. (C2PA) (C2PA Technical Specification)

Dengan kata lain:

Provenance membantu menjawab “dari mana ini berasal?”, bukan selalu “apakah ini pasti benar?”

Empat Area Digital Provenance di Perusahaan

1. Data operasional

Data pelanggan, transaksi, persediaan, pembayaran, dan produksi dapat berpindah melalui banyak sistem.

Ketika perusahaan mengalami silo data, informasi yang sama dapat memiliki versi berbeda di CRM, ERP, finance, atau spreadsheet.

Provenance membantu menentukan:

• Sistem sumber.
• Owner data.
• Waktu pembaruan.
• Transformasi yang dilakukan.
• Sistem yang menggunakan hasilnya.
• Record yang dikoreksi.
• Alasan perubahan.

2. Dokumen dan knowledge base

SOP, kontrak, kebijakan, dan panduan internal memiliki masa berlaku.

Sistem perlu mengetahui apakah suatu dokumen:

• Masih berupa draft.
• Sudah disetujui.
• Digantikan versi baru.
• Hanya berlaku untuk divisi tertentu.
• Memiliki klasifikasi akses.
• Berasal dari pihak eksternal.
• Pernah diedit oleh AI.

Tanpa metadata tersebut, AI assistant dapat menemukan dokumen tetapi tidak mengetahui apakah dokumen itu masih menjadi acuan resmi.

3. Konten yang dibuat AI

Perusahaan dapat menggunakan AI untuk membuat gambar, laporan, email, proposal, atau materi marketing.

Konten tersebut perlu dibedakan dari hasil yang dibuat atau diverifikasi manusia, terutama ketika digunakan untuk komunikasi publik, legal, compliance, atau pengambilan keputusan.

C2PA menyediakan struktur untuk menyertakan informasi mengenai pembuat, alat, serta perubahan pada aset digital melalui manifest yang dapat diverifikasi.

4. Software supply chain

Aplikasi modern jarang dibangun sepenuhnya dari nol.

Software dapat menggunakan ratusan library open-source, package, container image, layanan cloud, serta komponen vendor.

Jika salah satu komponen memiliki kerentanan, perusahaan perlu mengetahui sistem mana yang menggunakannya.

Software Bill of Materials atau SBOM mencatat komponen dan hubungan supply chain dalam sebuah software. NIST menjelaskan bahwa SBOM meningkatkan transparansi dan mempercepat identifikasi serta perbaikan kerentanan.

Provenance software juga dapat mencatat:

• Asal source code.
• Commit yang digunakan.
• Dependency.
• Build environment.
• Testing yang dijalankan.
• Artifact yang dihasilkan.
• Pihak yang menyetujui deployment.
• Perubahan setelah build.

NIST SP 800-204D merekomendasikan integrasi kontrol software supply chain ke dalam pipeline CI/CD dan menekankan pentingnya provenance data sepanjang proses build, test, package, dan deployment. (NIST SP 800-204D)

Risiko Ketika Provenance Tidak Tersedia

Keputusan menggunakan data yang salah

Manajemen dapat menggunakan laporan yang datanya tertunda atau berasal dari salinan tidak resmi.

AI memberikan sumber yang tidak berlaku

AI assistant dapat mengutip SOP lama karena sistem tidak mengetahui versi penggantinya.

Audit membutuhkan waktu lama

Tim harus menelusuri database, email, log, dan spreadsheet secara manual untuk merekonstruksi suatu kejadian.

Kerentanan software sulit ditemukan

Perusahaan tidak mengetahui aplikasi mana yang menggunakan package bermasalah.

Konten sulit diverifikasi

Gambar, dokumen, atau laporan telah diedit, tetapi tidak tersedia informasi mengenai proses perubahannya.

Akuntabilitas menjadi kabur

Tidak jelas apakah tindakan dilakukan manusia, aplikasi, automation, atau AI agent.

Cara Membangun Digital Provenance

1. Tentukan objek kritis

Tidak semua data membutuhkan pencatatan dengan kedalaman yang sama.

Prioritaskan objek seperti:

• Data finansial.
• Transaksi.
• Master data.
• Dokumen kebijakan.
• Kontrak.
• Data pelanggan.
• Output AI berisiko tinggi.
• Source code dan deployment artifact.

2. Tetapkan metadata minimum

Setiap objek kritis sebaiknya memiliki:

• Identifier.
• Sumber.
• Owner.
• Waktu dibuat.
• Waktu diperbarui.
• Versi.
• Status.
• Klasifikasi.
• Sistem yang mengubah.
• Relasi dengan objek lain.

3. Terapkan versioning

Jangan menimpa objek penting tanpa menyimpan riwayat.

Versioning membantu perusahaan mengetahui informasi yang berlaku pada suatu waktu tertentu dan membandingkan perubahan yang terjadi.

4. Catat transformasi otomatis

Data pipeline, API, workflow automation, dan AI agent perlu menghasilkan event yang dapat ditelusuri.

Catat input, aturan atau versi proses, output, status, serta error yang terjadi.

5. Tampilkan sumber kepada pengguna

Provenance tidak memberikan nilai jika hanya tersimpan pada backend.

Pada AI assistant, tampilkan referensi dokumen, tanggal, status, atau sistem sumber agar pengguna dapat menilai jawabannya.

6. Kelola software dependency

Gunakan SBOM, dependency scanning, artifact signing, serta build record untuk mengetahui asal dan integritas komponen software.

7. Lindungi catatan provenance

Provenance harus memiliki kontrol akses, retention, backup, dan mekanisme untuk mencegah perubahan tanpa izin.

Tidak seluruh pengguna perlu melihat detail teknis, tetapi catatannya harus tersedia untuk audit dan incident investigation.

Checklist Digital Provenance

Apakah Harus Menggunakan Blockchain?

Tidak selalu.

Database dengan audit log, append-only event store, version control, digital signature, dan access control dapat memenuhi banyak kebutuhan provenance.

Blockchain lebih relevan ketika beberapa organisasi yang tidak memiliki satu pengelola tepercaya perlu berbagi dan memverifikasi catatan.

Teknologi sebaiknya dipilih berdasarkan risiko, jumlah pihak, kebutuhan verifikasi, volume, dan regulasi—bukan karena provenance harus selalu menggunakan blockchain.

Kesimpulan

Digital provenance membantu perusahaan memahami asal, riwayat, perubahan, dan pihak yang terlibat dalam pembentukan data, dokumen, konten AI, serta software.

Kemampuan ini menjadi semakin penting karena sistem enterprise menggunakan banyak sumber, vendor, komponen open-source, automation, dan model AI.

Provenance tidak otomatis menjamin informasi benar. Namun, provenance memberikan konteks yang dibutuhkan untuk menilai kualitas, reliabilitas, integritas, dan akuntabilitasnya.

Perusahaan dapat memulainya melalui metadata, ownership, versioning, lineage, audit trail, software bill of materials, serta pencatatan aktivitas AI.

Pada akhirnya, kepercayaan tidak seharusnya hanya berasal dari tampilan output yang meyakinkan.

Kepercayaan perlu dibangun dari kemampuan sistem untuk menunjukkan bagaimana output tersebut dihasilkan.

Bangun Sistem yang Dapat Ditelusuri Bersama Crocodic

Crocodic membantu perusahaan membangun sistem enterprise dengan data ownership, role-based access, audit trail, versioning, integrasi, dan governance yang disesuaikan dengan proses bisnis.

Melalui layanan Enterprise System Upgrade, sistem yang sudah berjalan dapat diperkuat melalui integrasi API, akses multi-user, observability, dan AI automation tanpa selalu dibangun ulang dari awal.

Untuk kebutuhan baru, Crocodic menyediakan Custom Enterprise Software yang dirancang berdasarkan workflow, data, permission, dokumentasi, dan kebutuhan audit perusahaan.

Pendekatan ini membantu perusahaan tidak hanya mengumpulkan lebih banyak data, tetapi juga memahami asal, perubahan, dan konteks yang membuat data tersebut layak dipercaya.

Diskusikan kebutuhan data provenance, audit trail, dan governance sistem perusahaan Anda bersama Crocodic.