MiCA, DORA, AI Act, dan NIS2: Bagaimana Aturan EU Menyingkirkan Start-Up dan Perusahaan Kecil dari Eropa

Saya mencari nafkah dari regulasi EU. Klien datang kepada kami karena MiCA, aturan anti-pencucian uang, dan bagian lain dari aturan Eropa terlalu sulit ditangani sendiri, lalu kami menanganinya untuk mereka. Jadi, ini bukan keluhan dari seseorang yang merugi ketika Brussels membuat undang-undang baru. Jika ada, saya justru diuntungkan.

Namun, melihat apa yang telah menimpa usaha kecil dan menengah (SMEs) selama beberapa tahun terakhir, saya pikir Eropa melakukan kesalahan. Ini bukan satu regulasi yang ditulis dengan buruk. Ini adalah jumlah keseluruhannya, kecepatan EU memperbaiki dirinya, dan fakta bahwa tagihannya jatuh kepada perusahaan yang paling tidak mampu membayarnya. Posisi kami mengenai regulasi AI secara khusus dijelaskan dalam tulisan terpisah; tulisan ini membahas pola di seluruh perangkat aturan.

Satu Lapisan di Atas Lapisan Lain

Inilah yang kini diminta regulasi EU dari sebuah perusahaan Eropa, bergantung pada kegiatannya.

• GDPR bagi siapa pun yang menyimpan data pribadi.
• Digital Services Act dan Digital Markets Act untuk platform online dan marketplace.
• Data Act untuk perangkat terhubung dan kontrak cloud.
• NIS2 dan Cyber Resilience Act untuk keamanan siber dan produk yang berisi perangkat lunak.
• MiCA untuk layanan aset kripto.
• DORA untuk bank, perusahaan pembayaran dan kripto, serta pemasok IT yang melayani mereka.
• AI Act untuk siapa pun yang membangun sistem AI atau menggunakannya dalam bisnisnya.
• AML Regulation yang baru dengan pengawas tingkat EU, AMLA.
• eIDAS 2.0 dengan dompet identitas digitalnya.
• Kewajiban pelaporan mengenai transfer kripto (travel rule), data pajak kripto (DAC8), keberlanjutan (CSRD), dan rantai pasok (CSDDD).

Tidak satu pun dari ini bersifat kecil. Masing-masing memiliki definisi, formulir, pengawas, dan dendanya sendiri. Sebuah fintech dengan dua belas karyawan dapat tunduk pada lima atau enam di antaranya sekaligus.

Setiap Undang-Undang Dapat Dibenarkan. Tumpukannya Tidak

Jika dipandang sendiri-sendiri, masing-masing undang-undang ini menjawab persoalan nyata. Uang pelanggan tidak seharusnya hilang ketika bursa kripto runtuh, bank tidak seharusnya berhenti berfungsi karena penyedia cloud-nya mengalami malam yang buruk, dan tidak ada yang ingin perangkat lunak menentukan siapa yang mendapat pinjaman tanpa ada manusia yang dapat memeriksa hasilnya. Menentang salah satu undang-undang ini secara tersendiri berarti kalah, sebagaimana mestinya.

Masalahnya adalah jumlah keseluruhan dan masalahnya adalah waktu. Komisi mengusulkan AI Act pada April 2021 dan EU mengadopsinya pada 2024. Aturan utamanya bagi AI berisiko tinggi, seperti sistem yang digunakan dalam perekrutan, penilaian kredit, atau pendidikan, seharusnya berlaku pada 2 Agustus 2026. Pada Juli 2026, beberapa minggu sebelum tanggal itu, EU mengesahkan koreksi bernama Digital Omnibus on AI. Regulasi tersebut mengundur aturan itu hingga Desember 2027, dan hingga Agustus 2028 untuk AI yang dibangun ke dalam produk yang diatur. Alasan resminya adalah standar teknis dan pengawas nasional belum siap. Lima tahun setelah proposal, perangkat yang dimaksudkan untuk menegakkan undang-undang itu belum ada. Perusahaan yang telah menghabiskan dua tahun untuk bersiap menghadapi Agustus ternyata bersiap untuk tanggal yang berubah.

Itulah arti lambat dalam praktik. Undang-undang datang. Koreksi datang dua atau tiga tahun setelah semua orang dapat melihat masalahnya, dalam bentuk regulasi tambahan lagi.

Mengapa Aturan yang Sama Lebih Mahal bagi Usaha Kecil

Ini bagian yang paling mengganggu saya. Biaya kepatuhan hampir tidak bergantung pada ukuran perusahaan. Manual kebijakan, daftar pemasok IT, prosedur pelaporan insiden, audit eksternal, permohonan lisensi: semua ini biayanya kira-kira sama, baik Anda melayani 50 klien maupun 5 juta.

DORA adalah contoh paling jelas. Dalam survei Deloitte terhadap lembaga keuangan di 28 negara Eropa, yang diterbitkan pada Maret 2025, sekitar dua pertiga responden memperkirakan akan membelanjakan antara €2 juta dan €5 juta untuk kepatuhan, dan hanya satu dari sepuluh yang memperkirakan tetap di bawah €2 juta. Bank besar dapat menyerapnya. Lembaga pembayaran dengan dua puluh karyawan tidak dapat, dan bagi perusahaan terkecil, tagihan kepatuhan dapat melebihi nilai pasar EU bagi mereka.

MiCA menceritakan kisah yang sama dalam angka. Sebelum MiCA, menurut hitungan industri, lebih dari seribu perusahaan memiliki pendaftaran kripto nasional di seluruh EU. Masa transisi berakhir pada 1 Juli 2026, dan pada Oktober 2026 daftar ESMA mencantumkan sekitar 370 penyedia berizin. Sebagian perusahaan yang hilang memang layak pergi. Banyak lainnya kecil, lokal, dan legal, lalu pergi karena lisensi MiCA (otorisasi CASP) memerlukan biaya enam digit untuk penasihat, modal, dan waktu manajemen yang tidak dimiliki bursa dengan dua pendiri. Saya telah membahas secara terpisah dampak MiCA terhadap start-up kripto Eropa; di sini ini adalah satu contoh pola yang lebih luas.

Pemain besar jarang mengeluh. Bagi pemain mapan dengan pendanaan baik, setiap regulasi baru adalah parit pertahanan: tim kepatuhan sudah ada, pengacara bekerja dengan retainer, dan setiap aturan baru menaikkan biaya masuk bagi siapa pun yang ingin bersaing. Regulasi yang ditulis untuk melindungi konsumen pada akhirnya melindungi pangsa pasar.

Ke Mana Para Pendiri Pergi

Start-up bergerak dengan cara yang tidak dapat dilakukan bank. Pendiri dengan ide dan laptop membandingkan negara seperti kita membandingkan penerbangan. Ketika Apple dan Meta memutuskan pada 2024 untuk menahan fitur AI baru dari pengguna EU, dengan mengutip Digital Markets Act dan lingkungan regulasi yang “tidak dapat diprediksi”, berita utamanya mengenai dua raksasa tersebut. Dampak yang lebih sunyi dialami setiap pengembang Eropa yang ingin membangun di atas model itu dan kini harus menunggu, atau pindah.

Dalam pekerjaan saya sendiri, polanya kurang dramatis tetapi sama stabilnya. Pertanyaan pendiri telah bergeser dari “dapatkah kami memperoleh lisensi di Estonia” menjadi “apakah lisensi Eropa layak diperoleh dibandingkan Dubai, Singapura, atau negara bagian AS”. Beberapa tahun lalu pertanyaan kedua itu jarang muncul. Kini pertanyaan itu rutin, dan saya tidak selalu dapat meyakinkan mereka untuk tidak melakukannya.

Angkanya menyatakan hal yang sama. Sebuah studi European Investment Bank yang diterbitkan pada Januari 2026 menemukan bahwa antara 2008 dan 2021 hampir 30% unicorn Eropa, start-up yang bernilai lebih dari $1 billion, memindahkan kantor pusat mereka ke luar EU. Sebagian besar pindah ke United States, dengan teknologi digital, AI, dan biotek memimpin. Mario Draghi menyampaikan sisanya dalam laporannya tentang daya saing Eropa pada September 2024: beban regulasi terlalu membatasi inovasi dan menyulitkan start-up untuk berkembang. Dua tahun kemudian, menurut penghitungan Draghi Observatory di European Policy Innovation Council, hanya 16% dari langkah-langkah yang dipantaunya telah diterapkan sepenuhnya. Diagnosisnya diterima. Penanganannya lambat.

Mengapa Tallinn Tidak Dapat Memperbaiki yang Ditulis Brussels

Estonia adalah tempat yang baik untuk mengamati ini. Negara ini kecil, digital, dan umumnya masuk akal dalam urusan bisnis. Dalam isu ini, Estonia juga nyaris tidak berdaya.

MiCA, DORA, dan AI Act adalah regulasi, bukan direktif. Direktif menetapkan tujuan dan membiarkan setiap negara menulis hukumnya sendiri; regulasi berlaku kata demi kata di setiap negara anggota, dan tidak ada parlemen di Tallinn, Vilnius, atau Lisbon yang dapat melonggarkan satu pasal pun. Ruang gerak nasional hanya berjalan ke satu arah: sebuah negara selalu dapat lebih ketat daripada Brussels, tetapi tidak dapat lebih ringan.

Jadi, ketika seorang pendiri memberi tahu saya bahwa Estonia seharusnya “langsung memperbaiki ini”, saya harus menjelaskan bahwa perbaikannya berada pada 27 pemerintah, satu Komisi, satu Parlemen, dan siklus legislatif yang diukur dalam tahun. Sejak awal 2025, Komisi telah mengajukan dua belas paket “omnibus”, yang masing-masing mengubah beberapa undang-undang sekaligus, dan berjanji mengurangi beban administratif setidaknya 25%, serta 35% bagi SMEs, sebelum akhir masa jabatannya. Asosiasi bisnis menyatakan hasil sejauh ini masih sangat jauh dari angka tersebut. Saya mempercayai mereka, karena saya membaca teksnya.

Eropa Sedang Mengurangi Risikonya Sendiri

Siapa pun yang berurusan dengan bank dalam beberapa tahun terakhir mengenal istilah de-risking. Seorang klien tampak sedikit tidak lazim, biaya memantaunya melebihi biaya yang ia bayarkan, dan rekeningnya ditutup. Tidak ada penipuan, tidak ada pelanggaran, hanya keputusan yang lebih murah bagi bank. Klien itu mencari bank lain, sering kali di negara lain, dan laporan risiko bank terlihat lebih baik daripada sebelumnya.

Saya semakin berpikir bahwa Uni Eropa melakukan hal yang sama terhadap sektor-sektor utuh. Kripto terlihat berisiko, sehingga Eropa membangun MiCA dan menyaksikan sebagian besar perusahaan terdaftar secara nasional keluar. AI tampak berisiko, sehingga Eropa menulis undang-undang AI komprehensif pertama di dunia sebelum memiliki industri AI yang cukup besar untuk membantahnya. Setiap kali risiko menurun, dan setiap kali aktivitas yang membawa risiko itu ikut menurun. Dalam neraca yang hanya menghitung risiko yang dihindari, ini adalah keberhasilan. Dalam neraca yang menghitung perusahaan yang didirikan dan pekerjaan yang tercipta, ini bukan.

Ada mekanisme yang lebih sunyi di bawahnya. Lembaga yang hasil kerjanya diukur dalam regulasi akan menghasilkan regulasi. Setiap regulasi memerlukan pedoman, standar teknis, dan Q&As, kemudian pengawas untuk menerapkannya, lalu omnibus untuk memperbaiki hal yang dirusak pedoman. Setiap langkah menambah staf yang akan diperlukan untuk regulasi berikutnya. Tidak seorang pun dalam rantai ini bertindak dengan itikad buruk. Prosesnya hanya tidak memiliki alasan bawaan untuk berhenti, dan tidak ada orang di dalamnya yang membayar untuk start-up yang tidak pernah didirikan.

Tiga Skenario untuk Start-Up Eropa

Agar lebih konkret, berikut arah yang menurut saya akan ditempuh sisi start-up dalam ekonomi Eropa. Dasarnya berasal dari Dealroom: sekitar 14.800 start-up didirikan di EU setiap tahun, sekitar 4.400 di antaranya memperoleh pendanaan eksternal, dan EU menjadi rumah bagi sekitar 450 unicorn. Eropa secara keseluruhan, termasuk UK, menerima rekor 19% modal ventura global pada 2023 dan 16% pada 2024, sedangkan United States menerima 57%.

Mengapa penurunan, bukan keruntuhan, dalam skenario pertama? Karena perangkat aturan menghantam pendiri pada titik pengambilan keputusan, bukan perusahaan yang sudah ada. Bank di Frankfurt tidak pergi karena DORA. Start-up AI beranggotakan tiga orang di Tartu cukup mendaftar di Delaware dan mempertahankan pengembangnya di rumah. EU kehilangan kantor pusat, basis pajak, dan exit, serta mempertahankan penggajian untuk sementara waktu.

Dan mengapa skenario ketiga bukan fantasi? Karena angkanya dekat dengan posisi terbaik Eropa sebelumnya: pangsa 19–20% dari modal ventura global adalah tingkat yang dicapai beberapa tahun lalu, sebelum lapisan aturan saat ini mulai berlaku. Menulis regulasi EU dengan mempertimbangkan usaha kecil tidak akan mengorbankan perlindungan konsumennya. Harganya hanya beberapa paragraf perumusan.

Argumen bagi Sisi Lain

Saya tidak layak dianggap serius jika berpura-pura bahwa perangkat aturan tidak memiliki sisi positif, jadi inilah sisi itu. Satu lisensi MiCA memungkinkan perusahaan melayani klien di seluruh 30 negara EU dan EEA; sebelumnya, perusahaan kripto memerlukan 27 pembicaraan terpisah dengan 27 regulator. GDPR menjadi template global untuk hukum privasi. Secara teori, satu regulasi AML seharusnya mengakhiri situasi ketika klien yang diterima di satu negara anggota ditolak di negara berikutnya. Harmonisasi adalah kebaikan nyata, dan saya mendapat manfaat darinya setiap hari.

Ini pertukaran yang jujur. Harmonisasi dalam skala Eropa dibayar dengan kecepatan, dan dengan struktur biaya yang paling berat menimpa yang terkecil. Eropa telah memutuskan, sebagian besar secara default, bahwa pasar yang aman lebih disukainya daripada pasar yang cepat. Itu pilihan yang sah. Saya hanya berpikir pilihan itu harus dibuat secara terbuka, dengan harga yang melekat padanya, alih-alih ditemukan satu omnibus demi satu.

Apa yang Seharusnya Dilakukan Eropa

Posisi saya bukan bahwa Eropa harus berhenti mengatur. Posisi saya adalah Eropa harus berhenti mengatur start-up beranggotakan tiga orang seolah-olah itu bank. Tim kecil tidak dapat menjalankan departemen kepatuhan, dan undang-undang yang diam-diam mengasumsikan adanya departemen itu bukanlah aturan keselamatan, melainkan hambatan masuk. Enam perubahan akan menghilangkan sebagian besar kerusakan, dan tidak satu pun radikal: masing-masing sudah memiliki preseden dalam hukum EU.

1. Ambang ukuran nyata, tertulis dalam regulasi. Di bawah definisi EU sendiri mengenai perusahaan kecil (kurang dari 50 staf dan omzet di bawah €10 juta), kewajiban berat seharusnya tidak berlaku sama sekali atau berlaku dalam bentuk singkat dan tetap. GDPR sudah melakukan ini untuk pencatatan berdasarkan Article 30(5), yang mengecualikan sebagian besar organisasi dengan kurang dari 250 karyawan, dan pada 2025 Komisi mengusulkan perluasan pengecualian tersebut. Logika yang sama harus diterapkan dalam DORA, NIS2, dan AI Act.
2. Standar sebelum undang-undang berlaku. Tidak ada kewajiban yang boleh berlaku sampai standar teknis tersedia dan setidaknya satu pengawas di setiap negara anggota siap menerapkannya. Penundaan AI Act membuktikan hal ini dengan cara yang sulit. Aturan itu harus ditulis, agar regulasi berikutnya tidak memerlukan omnibus untuk menyelamatkannya.
3. Sandbox terlebih dahulu, penegakan kemudian. Sektor baru harus memperoleh periode pengujian dengan pengawasan, ketika perusahaan dapat beroperasi sambil diawasi regulator sebelum lisensi penuh diperlukan. AI Act menjanjikan sandbox semacam itu, tetapi ditunda hingga Agustus 2027, setelah beberapa kewajiban. Urutannya seharusnya sebaliknya.
4. Satu pengawas per perusahaan. Fintech dengan dua belas orang saat ini mungkin menjawab secara terpisah kepada pengawas keuangan, FIU, otoritas perlindungan data, dan segera otoritas AI. One-stop-shop GDPR, ketika satu otoritas utama menangani sebuah perusahaan, menunjukkan modelnya. Model itu harus diperluas ke seluruh perangkat aturan.
5. Tanggal berakhir dalam setiap regulasi. Jika suatu regulasi berakhir kecuali dikonfirmasi kembali setelah peninjauan nyata atas biayanya, koreksi menjadi wajib, bukan bantuan politik. Omnibus menjadi aturan, bukan penyelamatan.
6. Hitung perusahaan yang tidak pernah didirikan. Setiap penilaian dampak EU mengukur biaya bagi bisnis yang ada. Tidak satu pun mengukur start-up yang memilih Delaware, Dubai, atau Singapura sebagai gantinya. Sampai angka itu tersedia, orang yang merancang regulasi berikutnya akan terus meremehkan biayanya.

Ini bukan berarti meniru Amerika Serikat, yang masih belum memiliki undang-undang AI federal yang komprehensif dan hanya memiliki tambal sulam aturan negara bagian, atau UK, yang sejauh ini memilih untuk tidak mengesahkan satu regulasi AI dan meminta regulator yang ada menerapkan serangkaian prinsip sebagai gantinya. Ini berarti mengakui bahwa tempat-tempat itulah yang kini dijadikan pembanding oleh pendiri Eropa terhadap Eropa. Tambahkan EU Inc., bentuk perusahaan Eropa tunggal yang diusulkan pada Maret 2026, dengan pendaftaran dalam kurang dari 48 jam seharga kurang dari €100 dan tanpa modal minimum, sebagaimana dijanjikan Komisi, dan Eropa akan memiliki tawaran yang benar-benar dapat dimanfaatkan tim kecil.

Apa yang Saya Katakan kepada Para Pendiri

Saran saya kepada para pendiri kini sangat praktis hingga membosankan. Perlakukan biaya kepatuhan sebagai pos dalam biaya barang Anda, bukan sebagai biaya hukum satu kali. Pilih negara EU Anda berdasarkan mutu regulator dan kecepatan registernya, karena aturan itu sendiri akan sama di mana-mana. Gunakan masa transisi dan penundaan omnibus sebagai waktu untuk membangun, bukan sebagai izin untuk mengabaikan hukum; aturan berisiko tinggi AI Act ditunda, bukan dibatalkan. Dan jika model bisnis Anda hanya berfungsi di luar perangkat aturan EU, akui sejak awal, sebelum permohonan lisensi, bukan sesudahnya.

Membangun Perusahaan di Eropa Meskipun Ada Perangkat Aturan

Eropa masih merupakan tempat yang baik untuk menjalankan perusahaan, dan saya mengatakannya kepada klien setiap minggu. Inti tulisan ini bukan untuk membujuk siapa pun agar tidak memilih Estonia atau EU. Intinya adalah bahwa regulasi EU merupakan biaya nyata dan harus diperhitungkan sejak hari pertama. Struktur yang tepat, jalur lisensi yang tepat, dan negara yang tepat di dalam EU kini membuat perbedaan lebih besar daripada lima tahun lalu. Jika Anda mempertimbangkan pilihan tersebut untuk perusahaan baru atau yang sudah ada, tim kami di Eesti Firma dapat memandu Anda mengenai arti aturan tersebut dalam kasus Anda, mulai dari pendirian perusahaan hingga perizinan.

Kirim Permintaan