AI Compliance vs AI Readiness: Dua Program yang Jangan Dicampur

Ada meeting yang kelihatannya efisien tetapi sebenarnya membingungkan.

Slide pertama:

“AI Readiness Program.”

Isi slide:

Privacy compliance.

Prompt training.

AI SEO.

Model testing.

Legal review.

Product feed.

Employee adoption.

Security.

Chatbot.

Agent.

Risk register.

GEO.

Vendor procurement.

Semua masuk satu bucket.

Masalahnya bukan scope terlalu besar.

Masalahnya compliance dan readiness punya objective berbeda.

AI Compliance bertanya:

“Apa yang wajib kita patuhi dan bagaimana kita membuktikannya?”

AI Readiness bertanya:

“Apakah organisasi mampu menggunakan AI secara efektif, aman, dan menghasilkan value?”

Keduanya overlap.

Tidak identik.

Kalau dicampur, dua failure umum muncul.

Perusahaan merasa “compliant” karena sudah siap secara teknis.

Atau merasa “AI-ready” karena sudah punya policy legal.

Padahal keduanya bisa salah.

Perusahaan bisa compliant tetapi tidak ready

Bayangkan perusahaan punya:

AI policy.

Privacy review.

Vendor checklist.

Legal approval.

Risk register.

Semua rapi.

Tetapi karyawan tidak tahu tool mana yang boleh dipakai.

Data tidak siap.

Knowledge base berantakan.

Tidak ada evaluation.

Prompt skill rendah.

Use case tidak jelas.

Integration tidak ada.

Leadership tidak punya KPI.

Mereka mungkin memiliki compliance foundation.

Belum tentu AI-ready.

Policy tidak otomatis menghasilkan capability.

Compliance adalah floor.

Readiness adalah ability.

Sebaliknya, perusahaan bisa ready tetapi tidak compliant

Team engineering sangat bagus.

Agent berjalan.

RAG akurat.

Automation produktif.

Employee adoption tinggi.

Tetapi customer data dikirim ke vendor tanpa review.

Disclosure tidak sesuai.

Record tidak lengkap.

High-risk decision tidak punya approval.

Privacy consent tidak jelas.

Vendor contract lemah.

Itu organization yang technically ready tetapi governance-nya tertinggal.

Speed tanpa compliance menciptakan liability.

Jadi keduanya perlu.

Tetapi program harus dipisahkan secara konsep.

Compliance punya source of truth eksternal dan internal

Legal requirement berasal dari:

Law.

Regulation.

Regulator guidance.

Contract.

Industry obligation.

Corporate policy.

Compliance harus bisa menjawab:

Requirement apa?

Berlaku ke siapa?

Owner?

Evidence?

Control?

Test?

Violation consequence?

Contoh untuk PMSE Indonesia:

Permendag 19/2026.

Use case tertentu.

Legal team mapping.

Control.

Evidence.

Audit.

AI readiness tidak bertanya “apakah Pasal X terpenuhi?” sebagai objective utama.

Readiness bertanya:

Apakah data tersedia?

Apakah model fit?

Apakah employee trained?

Apakah process bisa diintegrasikan?

Apakah benefit measurable?

Apakah organization bisa operate?

Metrik berbeda.

AI Compliance metric

Coverage of applicable requirements.

Open compliance gap.

High-risk exception.

Policy adherence.

Vendor review.

Data processing record.

Incident.

Audit finding.

Training completion jika required.

Control testing.

Correction SLA.

AI Readiness metric

Use case maturity.

Data quality.

AI literacy.

Integration.

Evaluation capability.

Time-to-deploy.

Adoption.

Productivity.

Business outcome.

Model observability.

Knowledge quality.

Human escalation.

Vendor portability.

Kalau dua metric dicampur menjadi “AI maturity score 82”, insight hilang.

Readiness score tinggi tidak menghapus compliance gap.

Satu open privacy issue bisa lebih penting daripada 20 capability strength.

Struktur program sebaiknya dua track

Track A: Compliance and Risk.

Legal.

Privacy.

Security.

Compliance.

Internal audit.

Procurement.

Responsible AI.

Track B: Readiness and Value.

Product.

Engineering.

Data.

Operations.

Marketing.

Sales.

HR/Learning.

GEO/Search.

Mereka bertemu di governance forum.

Tetapi backlog berbeda.

Compliance backlog:

Map law.

Fix disclosure.

Review vendor.

Classify data.

Set retention.

Build incident process.

Readiness backlog:

Clean knowledge base.

Build evaluation.

Train team.

Integrate tool.

Select use case.

Improve data pipeline.

Measure ROI.

Kalau semua backlog satu list, urgent compliance bisa tenggelam oleh project menarik.

Atau sebaliknya, legal checklist menghabiskan seluruh capacity dan no AI value pernah shipped.

Shared risk tier menghubungkan dua track

Use case:
AI copy assistant.

Compliance risk low-medium.

Readiness effort low.

Fast.

Use case:
Agent melakukan refund.

Compliance risk high.

Readiness effort high.

Strong control.

Use case:
Internal meeting summary public data.

Low.

Use case:
AI menentukan credit eligibility.

Very high.

Sectoral requirement.

Specialist governance.

Dengan matrix risk vs readiness effort, prioritization lebih waras.

Tidak semua AI use case harus melalui ceremony yang sama.

Compliance jangan menjadi excuse untuk tidak pernah bergerak

“Legal belum yakin.”

Lalu project berhenti enam bulan.

Kadang benar perlu stop.

Kadang problem-nya tidak ada framework risk tier.

Semua use case diperlakukan high-risk.

Solusi:

Safe sandbox.

Public data.

No personal data.

No external action.

Human review.

No regulated claim.

Limited scope.

Team bisa belajar tanpa melanggar boundary.

Readiness tumbuh.

Compliance tetap dijaga.

Governance yang baik menciptakan jalur aman untuk eksperimen.

Bukan hanya gate.

Readiness juga jangan menjadi excuse untuk “move fast”

“Masih pilot.”

Tidak membuat privacy hilang.

“Internal only.”

Tidak selalu membuat data risk hilang.

“Belum production.”

Tetap bisa pakai data personal.

“Cuma testing model.”

Bisa tetap melibatkan confidential information.

Pilot harus punya boundary.

Data class.

User.

Environment.

Retention.

Approval.

Readiness experiment tetap berada dalam governance.

Bedakan control mandatory dan control maturity

Contoh.

Mandatory:
jika law mewajibkan disclosure untuk use case tertentu, harus dilakukan.

Maturity:
organization memilih correction log yang lebih detail daripada minimum requirement.

Mandatory:
protect personal data sesuai applicable law.

Maturity:
build automated data lineage.

Mandatory:
sectoral approval.

Maturity:
red-team every model release.

Jangan menyebut maturity control sebagai “legal requirement” kalau bukan.

Itu menakut-nakuti.

Jangan juga menyebut mandatory sebagai “best practice”.

Itu mengecilkan obligation.

Label control.

Legal required.

Regulator expected.

Contractual.

Corporate standard.

Recommended maturity.

Optional experiment.

Clarity.

Compliance evidence dan readiness evidence juga berbeda

Compliance evidence:

Policy.

Approval.

Log.

Contract.

DPIA/risk assessment bila relevant.

Training record.

Incident record.

Audit.

Readiness evidence:

Prototype.

Eval.

Benchmark.

Adoption.

Workflow time.

User feedback.

Business outcome.

Data quality.

Deployment history.

Keduanya perlu repository berbeda tetapi linked.

CEO tidak perlu membaca semua.

Dashboard bisa punya dua section.

Compliance posture.

Readiness progress.

Jangan satu score.

Contoh board report

Compliance:

3 high-risk use cases.

2 fully controlled.

1 gap on vendor data retention.

No unresolved critical incident.

New regulation watch: RPerpres AI pending.

Readiness:

12 use cases identified.

4 in production.

3 pilot.

5 backlog.

Top value: customer service reduction.

Main blocker: knowledge base quality.

Sekarang board tahu dua cerita.

Tidak ada false comfort.

AI Search juga punya dua track

Compliance side:

Crawler/privacy.

Content disclosure.

PMSE AI rule.

Product data accuracy.

Sponsored separation.

Data processing.

Correction.

High-risk claims.

Readiness side:

Entity clarity.

Structured content.

Product feed.

Evidence page.

Query measurement.

Source mapping.

Knowledge graph.

AI answer monitoring.

Agency capability.

Bisa organization sangat GEO-ready tetapi compliance lemah?

Bisa.

Banyak content.

Strong feed.

Good schema.

AI mention.

Tapi data privacy buruk.

Disclosure salah.

Paid/organic mixed.

Itu problem.

Bisa compliant tetapi GEO-unready?

Bisa.

Policy bagus.

Legal rapi.

Website miskin fakta.

Product feed stale.

No monitoring.

No source evidence.

Buyer tidak menemukan informasi.

Keduanya perlu.

Owner jangan sama semua

Chief Legal atau Compliance tidak harus menjadi owner AI adoption.

CIO atau CDO tidak harus menjadi final interpreter law.

Marketing tidak boleh menentukan privacy.

Engineering tidak boleh menentukan regulated claim.

Governance council menghubungkan.

Define:

Compliance accountable.

Readiness accountable.

Use-case owner.

Data owner.

System owner.

Risk reviewer.

AI Search/GEO owner.

Ini mencegah satu “Head of AI” menanggung semua tanpa authority.

Roadmap 90 hari bisa parallel

Hari 1–30 Compliance:

Inventory law.

Use case map.

Data classification.

Vendor inventory.

High-risk gap.

Hari 1–30 Readiness:

Use case discovery.

Data quality.

Skill map.

Pilot selection.

AI search baseline.

Hari 31–60 Compliance:

Policy.

Control.

Disclosure.

Incident.

Approval.

Hari 31–60 Readiness:

Pilot.

Eval.

Integration.

Training.

Evidence improvement.

Hari 61–90 Compliance:

Test control.

Close gaps.

Audit sample.

Regulatory watch.

Hari 61–90 Readiness:

Scale winning pilot.

Measure value.

Improve workflow.

Build backlog.

Keduanya jalan.

Tidak saling menunggu sepenuhnya.

Tetapi high-risk use case tidak scale sebelum compliance gate.

AI maturity sebenarnya kemampuan mengelola keduanya

Organization immature sering memilih satu identitas.

“Yang penting aman.”

Tidak bergerak.

Atau:

“Yang penting inovatif.”

Tidak terkendali.

Maturity adalah kemampuan bergerak cepat pada area low-risk dan sangat disiplin pada area high-risk.

Compliance memberi boundary.

Readiness memberi capability.

Value muncul ketika capability bergerak di dalam boundary.

Jangan membuat program gabungan yang namanya “AI Transformation” lalu semua requirement hilang dalam satu slide.

Pisahkan ownership.

Pisahkan metric.

Pisahkan backlog.

Pisahkan evidence.

Hubungkan melalui risk.

Itu jauh lebih jelas.

Kalau CEO bertanya:

“Kita sudah AI-ready?”

Jawaban jangan:

“Kita sudah punya policy.”

Kalau regulator bertanya:

“Apakah use case ini compliant?”

Jawaban jangan:

“Model kita accuracy 95 persen.”

Dua pertanyaan.

Dua evidence.

Dua program.

Dan organisasi yang tahu perbedaannya akan lebih mudah membangun AI yang bukan hanya bisa dipakai, tetapi memang layak dipakai.

Ada satu jebakan budgeting yang muncul ketika dua program dicampur.

Compliance spending sering terlihat seperti cost center.

Readiness spending terlihat seperti growth investment.

Jika semuanya dimasukkan dalam satu ROI calculation, management bisa menilai privacy control atau audit log “tidak menghasilkan revenue” lalu memotongnya. Sebaliknya, project readiness yang tidak menghasilkan value bisa bersembunyi di balik label compliance dan tidak pernah dievaluasi secara komersial.

Pisahkan business case.

Compliance business case:
risk reduction, legal obligation, auditability, customer protection, resilience.

Readiness business case:
productivity, revenue, speed, quality, customer experience, discoverability.

Beberapa control menghasilkan keduanya.

Contoh knowledge provenance memperkuat audit sekaligus meningkatkan reliability AI assistant.

Tetapi jangan memaksa seluruh control punya ROI revenue langsung.

Program governance perlu portfolio view.

Ada mandatory investment.

Ada enabling investment.

Ada experimental investment.

Ada growth investment.

Dengan klasifikasi ini, CFO bisa melihat kenapa budget tertentu tidak dinilai dengan metric yang sama.

AI readiness yang mature juga harus punya stop decision. Kalau pilot tidak memberi value, hentikan. Compliance control yang mandatory tidak dihentikan hanya karena conversion tidak naik.

Dua logika keputusan inilah alasan program sebaiknya berhubungan, tetapi tidak dilebur.

Kalau satu program kehilangan tujuan awalnya, governance council harus berani memisahkan kembali scope, owner, metric, dan keputusan pendanaannya.