AI 도입 컴플라이언스 검토, 이 7단계 순서로 통과시키세요 (40항목 체크리스트 포함)
품의서가 한 번 더 돌아왔다.
이번 사유는 “법무 검토 선행 필요” 한 줄이다. 도구 선정도 끝났고 예산 근거도 붙였는데, 정작 막힌 곳은 기술이 아니었다. 컴플라이언스 담당자는 개인정보 처리 흐름도와 고영향 여부 판단서를 요구하고, 현업은 이번 분기 안에 쓰겠다고 재촉한다. 그 사이에서 무엇부터 손대야 할지 모르겠다면, 지금 필요한 건 도구 비교가 아니라 AI 도입 컴플라이언스 검토의 순서입니다.
이 글을 처음부터 끝까지 읽을 필요는 없습니다. 체크리스트만 먼저 받아 팀에 돌리고 싶다면 검토용 자료 모음에서 바로 가져가도 됩니다.
핵심 요약
- AI 도입 컴플라이언스 검토의 착수 시점은 도입 결정 이후가 아니라 기획 단계, 재작업 비용의 최소화
- AI기본법(2026년 1월 22일 시행)상 고영향 인공지능 해당 여부가 첫 갈림길, 해당 시 사업자 의무와 산출물의 대폭 증가
- 해외 서비스·글로벌 벤더 사용 시 EU AI Act·GDPR·NIST AI RMF·ISO/IEC 42001과의 병행 매핑 필요
- 컴플라이언스 부서 설득의 실체는 논리가 아닌 문서, RACI·리스크 등급·통제 대응표 3종의 확보
AI 도입 컴플라이언스 검토가 어려운 이유는 항목이 많아서가 아닙니다. 어느 항목이 우리에게 해당하는지를 아무도 먼저 판정해주지 않기 때문입니다. 그래서 실무자는 전부 조사하다 지치고, 법무는 근거가 없어 보류합니다.
이 글은 그 판정을 독자가 직접 내릴 수 있게 만드는 데 목적이 있습니다. 고영향 인공지능 해당 여부를 스스로 걸러내고, 법무·컴플라이언스가 요구하는 산출물을 순서대로 쌓아 품의를 한 번에 통과시키는 7단계를 다룹니다.
근거는 세 갈래입니다. 한국 AI기본법과 국가인공지능전략위원회 논의 흐름, EU AI Act·NIST AI RMF·ISO/IEC 42001 같은 글로벌 프레임워크, 그리고 시행 초기 국내 기업들의 준비 실태 통계입니다. 여기에 섀도우 AI와 에이전트 AI처럼 기존 체크리스트가 놓치는 항목을 따로 붙였습니다.
결재하는 쪽에 앉아 교육 품의서를 승인하고 반려해본 경험으로 보면, 병목은 늘 같은 자리에 있었습니다. 기술이 아니라 승인이었고, 승인은 설득이 아니라 문서로 움직였습니다. 순서를 설계하면 이 과정은 예측 가능한 프로세스가 됩니다. 기업 AI 교육 도입 전체 흐름 중 가장 자주 멈추는 구간이 바로 여기입니다.
왜 AI 도입은 기술이 아니라 ‘컴플라이언스 검토’에서 멈추나요?
반려 통보는 실력 평가처럼 읽히죠. 아닙니다.
전형적인 순서가 있습니다. 현업 팀이 두 달간 PoC를 돌려 정확도와 처리 시간까지 뽑아냈고, 벤더 견적도 받았습니다. 그리고 품의가 법무·컴플라이언스로 넘어간 순간 멈춥니다.
멈추는 이유는 대개 기술이 아닙니다. 검토 담당자가 물어보는 건 네 가지에 가깝습니다.
- 이 데이터를 AI에 넣을 법적 처리 근거가 무엇인지 (동의·계약·정당한 이익 중 어디에 해당하는지)
- 벤더 계약서에 학습 이용 금지, 재위탁, 국외 이전 조항이 들어 있는지
- 이 용도가 고영향 인공지능에 해당하는지 아닌지 판정한 문서가 있는지
- 결과가 사람에게 불이익을 줄 때 사람이 개입해 뒤집는 절차가 설계돼 있는지
네 개 모두 PoC 보고서에는 없는 항목입니다. 그래서 3개월이 갑니다.
시점도 겹칩니다. AI기본법(인공지능 발전과 신뢰 기반 조성 등에 관한 기본법)이 2026년 1월 22일 시행되고, 정부는 1년의 계도기간을 뒀습니다. 시행 직전 조사에서 국내 기업의 94.6%가 이 계도기간 운영 사실 자체를 모르고 있었습니다.
계도기간은 유예가 아니라 준비 기한입니다. 이미 AI 도입 이후 컴플라이언스 업무 부담이 늘었다는 현장 조사도 나와 있고, 금융권에서는 관련 업무 시간이 60% 넘게 증가했다는 수치가 인용됩니다. 검토를 나중에 붙이면 그 부담이 전부 현업 재작업으로 돌아옵니다.
결재하는 쪽에 앉아 교육·시스템 품의서를 승인하고 반려해본 시간이 30년 가까이 됩니다. 반려한 문서들의 공통점은 하나였습니다. 무엇을 하겠다는 말은 있는데, 누가 무엇을 언제 점검했다는 기록이 없었습니다.
그래서 이 글은 개념 설명을 줄이고 세 가지만 드립니다. AI 도입 컴플라이언스 검토를 통과시키는 7단계 순서, 항목별로 점수를 매기는 체크리스트, 국내법과 국제 프레임워크를 한 표에 놓은 비교 매트릭스입니다.
금융·의료·제약 등 산업별 도입 로드맵 전체는 별도의 규제산업 AI 도입 가이드에서 다룹니다. 여기서는 그 로드맵 중 ‘법무 검토 관문’ 한 구간만 깊게 파고듭니다. 조직 전체의 도입 순서가 먼저 궁금하다면 기업 AI 교육 도입 8단계 로드맵이 앞단 지도 역할을 합니다.
컴플라이언스 검토, 언제 시작해서 무엇까지 봐야 하나요?
“어디까지가 법무 일이고 어디부터가 우리 일인가.” 이 경계가 흐려서 서로 기다리다 한 달을 씁니다.
AI 컴플라이언스는 AI를 만들고 쓰는 전 과정이 법령·내부규정·윤리 기준을 벗어나지 않게 통제하는 활동입니다. 보안이 시스템을 지키는 일이라면, 이쪽은 의사결정을 지키는 일에 가깝습니다. 그래서 산출물은 코드가 아니라 문서와 절차로 남습니다.
AI 컴플라이언스 검토의 범위: 법령·데이터·모델·운영 네 축
검토는 네 축으로 쪼개면 겹치지 않습니다. 법령 축은 적용 규제와 사업자 의무 확정, 데이터 축은 처리 근거·국외 이전·보유기간, 모델 축은 성능 한계·편향·설명가능성(XAI), 운영 축은 로그·모니터링·인간 개입입니다.
가장 중요한 원칙은 검토 단위입니다. 검토 대상은 모델이 아니라 용도(use case)입니다. 같은 GPT 계열 모델이라도 회의록 요약은 저위험이고, 채용 서류 1차 선별은 고영향 인공지능 후보가 됩니다.
“우리 회사 ChatGPT 도입 승인”이라는 품의가 반려되는 이유가 여기 있습니다. 도구를 승인해달라는 요청에는 판정할 대상이 없습니다.
기획-선정-계약-파일럿-운영, 검토가 끼어드는 지점
착수 시점 하나로 비용이 갈립니다. 요구사항 확정 전에 법무를 부르면 조항 몇 개를 요구사항에 넣는 것으로 끝납니다. 계약 체결 후에 부르면 계약 재협상과 데이터 파이프라인 재설계가 함께 옵니다.
같은 항목인데 앞에서는 문서 작업이고 뒤에서는 공사입니다. 그래서 AI 내부통제 절차에서는 검토를 게이트가 아니라 동행으로 설계합니다.
그리고 0단계가 있습니다. 사내 AI 인벤토리에 이 용도를 등록하는 일입니다. 등록되지 않은 도구는 리스크 관리 대상에서 빠지고, 그게 곧 섀도우 AI가 됩니다.
7단계를 다 밟으면 다섯 종의 문서가 남습니다. 유스케이스 등록서, 리스크 등급 판정서, 개인정보 영향평가(DPIA), 벤더 실사 결과, 운영 통제안입니다. 이 다섯 개가 다음 도입 때 그대로 재사용되면서 검토 기간이 짧아집니다.
착수 전에 조직의 데이터 거버넌스 수준을 대략 알고 싶다면 30문항 AI 성숙도 자가진단이 배경 자료가 됩니다. 리포트로 나온 영역별 점수를 품의서 현황란에 그대로 붙일 수 있습니다.
우리 회사에 적용되는 규제는 어디까지인가요? (국내법·국제 프레임워크 통합 매핑)
“EU AI Act까지 봐야 하나요?” 실무자가 가장 자주 묻는 질문입니다. 답은 사업 구조에 따라 갈립니다.
강제성과 적용 대상을 한 표에 놓으면 판단이 빨라집니다. 아래 매트릭스는 검토 착수 회의에서 그대로 띄워 쓰는 용도로 정리했습니다.
| 기준 | 강제성 | 적용 대상 | 핵심 의무 | 남겨야 할 산출물 |
|---|---|---|---|---|
| AI기본법 (한국) | 법적 의무 (2026.1.22 시행, 1년 계도) | 국내 사업자 + 국내 이용자 대상 해외 사업자 | 투명성·안전성 확보, 고영향 AI 사전고지, 생성물 표시, 국내대리인 지정 | 고영향 판정서, 사전고지 문안, 안전성 조치 기록 |
| EU AI Act | 법적 의무 (단계 시행) | EU 시장 내 공급자·배포자 | 위험 4등급 분류, 고위험 적합성 평가, 기술문서·로그 보관 | 위험 분류서, 적합성 선언, 기술문서 |
| GDPR | 법적 의무 | EU 거주자 개인데이터 처리 주체 | 처리 근거, 자동화된 결정에 대한 정보 제공, 국외 이전 요건 | DPIA, 처리 기록, 이전 계약(SCC) |
| NIST AI RMF | 자발적 프레임워크 | 업종 무관, 특히 미국 파트너·조달 | Govern·Map·Measure·Manage 4기능으로 리스크 관리 | 리스크 프로파일, 측정 지표 세트 |
| ISO/IEC 42001 | 인증 가능 관리체계 | AI 관리체계를 대외 입증해야 하는 조직 | AI 경영시스템 수립·운영·개선, 내부심사 | 매뉴얼, 내부심사 보고서, 인증서 |
| ISO/IEC 23894 | 지침 (인증 대상 아님) | AI 리스크 관리 절차를 설계하는 조직 | ISO 31000 기반 AI 리스크 식별·평가 방법론 | 리스크 등록부, 평가 기준표 |
한국 AI기본법이 요구하는 사업자 의무 핵심
국내 기업이 먼저 확인할 조항은 셋입니다. 생성형 AI 산출물임을 알리는 표시, 고영향 인공지능에 해당할 경우의 사전고지와 위험관리, 일정 규모 이상 해외 사업자의 국내대리인 지정입니다. 조문 단위 해설은 AI기본법 주요 내용을 정리한 법률 실무 자료가 참고가 됩니다.
주목할 차이는 분류 방식입니다. EU는 금지·고위험·제한적 위험·최소 위험의 4등급 체계를 세우고 등급별 의무를 붙였습니다. 한국은 등급 대신 의료·채용·대출심사 등 적용 영역을 열거하는 방식으로 고영향을 판단합니다.
그래서 실무 판정 절차도 달라집니다. EU식은 “우리 시스템의 등급은 무엇인가”를 묻고, 한국식은 “우리 용도가 열거된 영역에 걸리는가”를 묻습니다. 둘 다 걸리는 글로벌 기업은 두 판정을 각각 문서로 남겨야 합니다.
해외 사업·글로벌 벤더가 있다면 추가로 걸리는 것
수출이나 해외 법인이 없어도 EU AI Act가 걸릴 수 있습니다. 벤더가 EU 기반이거나, 산출물이 EU 이용자에게 닿는 경우입니다. 개인데이터가 국경을 넘으면 GDPR과 국내 개인정보보호법이 동시에 작동합니다.
NIST AI RMF와 ISO/IEC 42001은 성격이 다릅니다. 전자는 강제성 없이 리스크 관리 언어를 제공하고, 후자는 심사를 거쳐 인증서를 받는 관리체계입니다. 대외 신뢰가 필요하면 42001, 내부 절차부터 세우려면 RMF와 ISO/IEC 23894 조합이 실용적입니다.
국가인공지능전략위원회의 정책 문서, OECD AI 원칙, UNESCO 권고는 법적 의무가 아니라 방향 기준입니다. 체크리스트의 근거 문구를 쓸 때 인용하면 설득력이 올라가지만, 이걸 준수 근거로 쓰면 검토에서 되돌아옵니다.
산업별로 어디까지가 감독당국 소관인지는 금융·의료·제약 규제 지형 비교에서 따로 다룹니다. 규제 매핑까지 끝났다면 다음은 이 결과를 결재선이 읽을 언어로 옮기는 일이고, 그 문장 구조는 AI 교육 품의서 작성법의 5개 항목과 같은 뼈대를 씁니다.
우리가 쓰려는 AI가 ‘고영향 인공지능’인지 어떻게 판정하나요?
“우리 건 그냥 챗봇인데요.” 검토 회의에서 가장 많이 나오는 문장입니다.
그리고 이 문장 다음에 반려가 붙는 경우도 가장 많습니다. 고영향 인공지능 해당 여부는 도구의 종류가 아니라 그 AI가 사람에게 무엇을 결정해주느냐로 갈리기 때문입니다.
AI기본법은 위험을 등급으로 나누지 않고 영역으로 열거합니다. 보건의료, 에너지·수도 등 기간시설, 채용과 인사평가, 대출심사, 공공서비스 결정, 교통, 학생 평가 같은 영역이 여기 들어갑니다. 우리 유스케이스를 이 목록에 하나씩 대보는 일이 판정의 출발점입니다.
5단계 의사결정 플로우차트로 판정하기
아래 다섯 질문을 순서대로 통과시키면 대부분의 유스케이스는 30분 안에 결론이 납니다.
- 사람의 권리·의무에 영향을 주는가. 채용 여부, 급여, 승진, 대출 승인, 진료 판단처럼 개인에게 이득이나 불이익이 돌아가면 다음 질문으로 갑니다. 사내 문서 요약이나 회의록 정리에서 멈추면 여기서 일반 유스케이스로 분류됩니다.
- 법이 열거한 영역에 걸치는가. 걸친다면 그 자체로 고영향 후보입니다. 애매하면 걸친 것으로 봅니다.
- 최종 결정에 실질적으로 영향을 주는가. 참고자료로만 쓰이는지, 아니면 담당자가 사실상 그대로 따르는지를 봅니다. ‘참고용’이라고 적어놓고 실제로는 100% 수용되는 구조라면 실질 영향이 있는 것입니다.
- 인간 개입 지점이 설계되어 있는가. 검토자가 결과를 뒤집을 권한과 정보를 함께 갖고 있어야 개입으로 인정됩니다. 승인 버튼만 누르는 구조는 개입이 아닙니다.
- 개인정보나 민감정보를 처리하는가. 건강, 신용, 생체, 인사기록이 들어간다면 판정 등급과 별개로 영향평가 절차가 따라붙습니다.
HRD 담당자가 자주 걸리는 지점은 3번입니다. 사내 연수 추천 AI나 역량평가 AI는 “교육용이라 무해하다”고 생각하기 쉽지만, 그 결과가 인사평가나 승진 데이터로 흘러가면 채용·평가 영역과 연결됩니다. 알고리즘 편향 검증 없이 특정 직군에게 교육 기회가 덜 배분되면 그때부터는 교육 이슈가 아니라 인사 이슈입니다.
애매한 경우의 원칙은 하나로 정해두면 편합니다. 보수적으로 높게 판정하고, 소관부처나 외부 자문으로 확인하고, 판정을 뒤집을 재판정 트리거를 미리 적어두는 것입니다. 낮게 잡았다가 나중에 올리는 비용이 그 반대보다 훨씬 큽니다. AI기본법의 고영향 영역 조항 해설을 판정 근거란에 함께 인용해두면 검토 회의에서 설명이 짧아집니다.
판정 결과를 문서로 남기는 법
자가진단은 결론보다 기록이 중요합니다. 판정서에는 판정일, 근거 조항과 해당 영역, 판단자(성명·직책), 재검토 주기 네 가지가 최소한으로 들어갑니다.
여기에 ‘재판정 트리거’를 한 줄 더 붙입니다. 모델 교체, 적용 부서 확대, 출력 결과의 활용 범위 변경 중 하나라도 발생하면 자동으로 다시 본다는 조건입니다. 이 한 줄이 있으면 1년 뒤 감사에서 질문이 절반으로 줄어듭니다.
조직 전체의 AI 사용 현황을 아직 모으지 못했다면 판정보다 인벤토리가 먼저입니다. 부서별 사용 실태와 위험 노출 정도는 30문항 AI 성숙도 자가진단으로 대략의 지도를 그린 뒤 유스케이스 단위로 좁혀가는 편이 빠릅니다.
승인까지 가는 7단계 검토 순서, 어떻게 굴러가나요?
“언제 끝나느냐”는 질문에 아무도 답을 못 할 때, 프로젝트는 그냥 멈춥니다.
검토가 오래 걸리는 이유는 대개 난이도가 아니라 순서입니다. 벤더 계약을 먼저 하고 데이터 검토를 나중에 하면, 이미 서명한 조항을 다시 여는 협상이 시작됩니다. AI 승인 프로세스는 되돌아가는 비용이 가장 큰 절차이기도 합니다.
1~3단계: 유스케이스 등록 → 리스크 판정 → 데이터 적법성 검토
- 유스케이스 등록. 현업이 목적, 대상 업무, 예상 사용자 수, 처리 데이터 유형을 한 장으로 씁니다. 이 단계에서 반려되는 건 실패가 아니라 절약입니다.
- 리스크 판정. 앞의 5단계 트리로 고영향 여부를 가르고 판정서를 발행합니다. 여기서 등급이 결정되면 이후 모든 단계의 강도가 자동으로 정해집니다.
- 데이터 적법성 검토. 수집 근거(동의·계약·법령), 처리 위탁과 제3자 제공 구분, 국외이전 경로, 그리고 우리 입력값이 벤더의 학습에 재사용되지 않는다는 조항까지 넷을 봅니다. 국외이전은 리전 설정만으로 해결됐다고 넘기기 쉬운데, 지원 인력의 접근 경로까지 따라가야 답이 나옵니다.
4~7단계: 벤더 실사 → 통제 설계 → 파일럿 승인 → 운영 전환 심사
- 벤더 실사. 보안 인증 보유 현황, 입력 데이터의 학습 사용 여부, 서브프로세서 목록, 사고 발생 시 책임 배분 조항이 핵심입니다. 제3자 리스크 관리는 계약서에 적힌 만큼만 작동합니다.
- 통제 설계. 로깅과 추적성, 인간 개입 지점, 산출물 검수 룰, 사용자 고지문 네 가지를 문서로 확정합니다. AI 추적성은 나중에 붙이는 기능이 아니라 처음부터 켜두는 설정입니다.
- 파일럿 승인. 범위·기간·중단 조건을 명시한 제한 승인입니다. 중단 조건이 없는 파일럿은 사실상 전면 도입입니다.
- 운영 전환 심사. 파일럿 로그와 사고 이력, 검수 통과율을 근거로 정식 승인 여부를 결정하고 정기 AI 감사 주기를 지정합니다.
| 단계 | 주관 | 산출물 | 통과 기준 | 예상 기간 |
|---|---|---|---|---|
| 1. 등록 | 현업 | 유스케이스 등록서 | 목적·데이터 유형 명시 | 2~3일 |
| 2. 판정 | 컴플라이언스 | 리스크 등급 판정서 | 근거 조항 기재 | 3~5일 |
| 3. 데이터 | 개인정보보호책임자 | DPIA/영향평가 | 수집 근거 4종 확인 | 1~3주 |
| 4. 벤더 | 구매·정보보호 | 실사 결과서 | 학습 미사용 조항 확보 | 2~4주 |
| 5. 통제 | IT·현업 | 운영 통제안 | 인간 개입 지점 정의 | 1~2주 |
| 6. 파일럿 | 승인권자 | 제한 승인서 | 중단 조건 포함 | 4~8주 운영 |
| 7. 전환 | 내부감사 | 운영 전환 심사서 | 사고 0건·검수 기준 충족 | 1~2주 |
일반 유스케이스는 1~5단계를 3~5주에 끝낼 수 있습니다. 고영향으로 판정되면 영향평가와 벤더 실사가 두꺼워져 8~12주를 잡는 편이 현실적입니다. 투입 인력은 현업 0.3명, 법무·컴플라이언스 0.5명, IT 0.3명 수준이 무난한 출발점입니다.
결재하는 쪽에 앉아 교육 품의서를 승인하고 반려해본 경험으로 말하면, 임원이 보는 건 완벽함이 아니라 다음 질문에 답이 있느냐입니다. 언제 끝나는지, 잘못되면 누가 멈추는지, 멈춘 뒤 무엇이 남는지. 이 셋이 적혀 있으면 미완성 문서도 통과합니다.
재검토 트리거도 미리 정해둡니다. 모델 버전 변경, 용도 확장, 벤더 약관 개정 중 하나가 발생하면 4단계부터 다시 도는 식입니다. 벤더 선정 기준을 아직 정리하지 못했다면 교육 업체 비교 9가지 기준의 사후관리·계약 항목이 실사 질문지의 뼈대로 쓸 만합니다. 승인 문서 자체의 구조는 AI 교육 품의서 작성법의 5개 항목과 겹치는 부분이 많습니다.
검토 회의 전에 이 체크리스트부터 채우세요 (40항목 스코어카드)
회의에 빈손으로 들어가면 검토가 아니라 취조가 됩니다.
반대로 점수표를 들고 들어가면 대화의 성격이 바뀝니다. “되나요, 안 되나요”가 아니라 “0점 받은 세 항목을 언제까지 채우느냐”로 옮겨가기 때문입니다.
5개 영역 40항목 체크리스트
각 항목은 0점(없음)·1점(부분)·2점(문서화 완료)으로 매깁니다. 만점은 80점입니다.
- 영역① 거버넌스·책임(16점) — AI 총괄 책임자 지정 / 사내 AI 이용 정책 문서 / 유스케이스 인벤토리 운영 / 고영향 판정서 보관 / 이사회·경영진 보고 체계 / 부서별 역할분담(RACI) 확정 / 정책 위반 시 제재 규정 / 정책 연 1회 개정 절차
- 영역② 데이터·프라이버시(16점) — 수집 근거 명시 / 민감정보 처리 별도 동의 / 처리 위탁 계약 체결 / 국외이전 경로 확인 / 가명·익명 처리 기준 / 보관 기간과 파기 절차 / 입력 데이터 학습 사용 차단 / 정보주체 열람·정정 대응
- 영역③ 모델·기술(16점) — 알고리즘 편향 테스트 실시 / 성능 기준선 정의 / 설명 가능한 AI 수준 확인 / 출력 근거·출처 제시 방식 / 할루시네이션 검증 절차 / 전체 프롬프트·응답 로깅 / 모델 버전 이력 관리 / 재학습 시 재검증 규칙
- 영역④ 운영·인적통제(16점) — 인간 개입 지점 정의 / 검토자 권한과 교육 이수 / 사용자 대상 AI 투명성 고지 / 오남용 신고 채널 / 사고 대응 절차와 연락망 / 섀도우 AI 탐지 방안 / 사용 현황 모니터링 지표 / 중단(kill switch) 권한자 지정
- 영역⑤ 제3자·계약(16점) — 벤더 실사 완료 / 보안 인증 확인 / 서브프로세서 목록 확보 / SLA와 가용성 기준 / 사고 시 책임 배분 조항 / 감사·자료제출 협조 조항 / 약관 변경 통지 의무 / 계약 종료 시 데이터 반환·파기
점수 해석: 승인 가능 / 조건부 / 보류
총점 64점 이상이면 승인 가능, 48~63점은 조건부(미비 항목 완료 기한 명시), 47점 이하는 보류로 봅니다. 컴플라이언스 관리 시스템이 갖춰진 조직이라면 첫 측정에서 50점대가 나오는 게 보통입니다.
총점보다 무서운 건 치명 항목입니다. 개인정보 수집 근거, 고영향 판정서, 입력 데이터 학습 사용 차단, 인간 개입 지점 정의 — 이 넷 중 하나라도 0점이면 총점과 무관하게 보류로 처리하는 규칙을 권합니다.
한 제약사 사업부에서는 강의 요청부터 결이 달랐습니다. ‘민감정보를 AI에 입력하지 말라는 당부로 시작해달라’는 것. 이미 부서용 앱까지 만들어 쓰는 팀이었는데도, 다음 고민은 도구가 아니라 출처를 어떻게 믿게 만들 것인가였습니다. 영역③의 점수가 낮게 나오는 조직은 대개 기술이 부족한 게 아니라 검증 규칙을 문서로 만들어본 적이 없습니다.
이 40항목은 사내 서식이 우선입니다. 이미 쓰는 내부통제 양식이 있다면 항목 구조만 참고해 옮기면 됩니다. 규제 요구를 운영 절차로 바꾸는 관점은 AI 컴플라이언스의 운영화 방법 정리를 함께 보면 이해가 빠릅니다.
점수가 낮게 나왔다고 도입을 미룰 필요는 없습니다. 낮은 영역이 곧 다음 분기 과제 목록이니까요. 조직 단위 준비도를 함께 확인하려면 기업 AI 교육 도입 8단계 로드맵의 진단·품의 파트와 이 스코어카드를 나란히 놓고 보는 방식이 실무에서 잘 굴러갑니다.
법무·컴플라이언스 부서를 어떻게 설득하나요? (RACI와 협상 문법)
검토 요청을 보내고 나면 답이 늦습니다. 재촉 메일을 쓰다 지우다, 괜히 눈치가 보이죠.
그런데 지연의 상당수는 반대가 아니라 역할 공백에서 생깁니다. 누가 판단하고 누가 서명하는지 정해지지 않은 서류는 아무도 먼저 손대지 않습니다.
CCO·법무·정보보호·IT·현업 RACI 표
R은 실행, A는 최종 승인 책임, C는 사전 협의, I는 결과 통보입니다. 단계마다 A는 한 곳만 둡니다.
| 검토 단계 | 현업(요청 부서) | IT·데이터 | 정보보호 | 법무 | CCO·경영진 |
|---|---|---|---|---|---|
| 유스케이스 등록 | R | C | I | I | A |
| 고영향 여부 리스크 판정 | C | C | C | R | A |
| 데이터 적법성 검토 | C | C | R | A | I |
| 벤더 실사·계약 검토 | I | R | C | C | A |
| 최종 승인·재검토 주기 확정 | I | I | C | C | A/R |
이 표를 채워서 먼저 보내면 첫 회의의 절반이 사라집니다. 회의가 “누가 볼 일이냐”에서 “무엇을 볼 것이냐”로 옮겨 가기 때문입니다.
컴플라이언스 부서가 실제로 두려워하는 건 리스크의 크기가 아닙니다. 크기는 계산되는 순간 관리 대상이 되고, 두려운 쪽은 통제 불가능성입니다.
“어디까지 퍼졌는지 모른다”, “누가 껐는지 모른다.” 이 두 문장이 반려를 만듭니다.
‘안 됩니다’를 ‘조건부 승인’으로 바꾸는 3가지 제안 방식
첫째는 리스크-통제 대응표입니다. 우려 항목 왼쪽에 우리가 걸어둔 통제를 오른쪽에 붙여, 빈칸이 몇 개인지 스스로 드러냅니다.
둘째는 축소 범위 파일럿안입니다. 전사 대신 한 팀, 전체 데이터 대신 비식별 샘플, 기간은 8주로 못박습니다.
셋째는 중단 기준입니다. 어떤 지표가 어떤 값을 넘으면 누가 사용을 정지시키는지, 킬 스위치의 주체와 조건을 미리 적습니다.
검토 부서의 부하도 감안할 필요가 있습니다. 규제 대응이 강화된 뒤 금융권 컴플라이언스 업무시간이 큰 폭으로 늘었다는 AI 시대의 컴플라이언스 전략 관련 분석도 나와 있습니다.
그래서 산출물 양식을 통일해 보내는 팀이 먼저 통과합니다. 매번 다른 포맷은 그 자체로 검토 시간을 늘립니다.
저는 SK텔레콤·존슨앤드존슨·롯데에서 30년 가까이 결재선에 앉아 품의서를 승인하고 반려해봤습니다. 통과된 품의서에는 공통점이 하나 있었습니다.
목적-범위-데이터-통제-검토주기가 한 문단에 순서대로 들어 있었다는 점입니다. “영업팀 제안서 초안 작성 목적, 30명 한정, 공개 자료만 입력, 팀장 검수 후 발송, 3개월 뒤 재검토”처럼 말이죠.
문장 구조를 더 다듬고 싶다면 AI 교육 품의서 작성법의 5개 항목이 그대로 대응합니다. 규제 산업의 교육 설계까지 이어 붙이려면 기업 AI 교육 도입 8단계 로드맵이 다음 문서가 됩니다.
AI 거버넌스와 책임있는 AI라는 말은 결국 이 문단 하나로 요약됩니다. 누가, 어디까지, 무엇을 보고, 언제 다시 보는가.
검토를 통과해도 남는 사각지대: 섀도우 AI와 에이전트 AI는 어떻게 관리하나요?
승인 도장을 받은 날은 안심이 됩니다. 그런데 진짜 문제는 서류 밖에서 자랍니다.
섀도우 AI는 승인 절차를 거치지 않고 업무에 쓰이는 AI를 말합니다. 개인 계정으로 로그인한 생성형 AI, 브라우저 확장 프로그램, 이미 쓰던 협업 툴에 조용히 켜진 내장 기능이 대표적 경로입니다.
섀도우 AI 탐지와 양성화 3단계
1단계는 탐지입니다. 네트워크·SaaS 접속 로그와 법인카드 결제 내역을 대조하면 목록의 절반 이상이 하루 만에 드러납니다.
2단계는 자진신고 기간입니다. 2주 동안 신고하면 징계하지 않는다는 앰네스티를 명시해야 사람들이 손을 듭니다.
3단계는 양성화입니다. 금지 공문 한 장보다, 승인된 대안 도구를 주고 저위험 용도는 1주 안에 끝나는 간이 검토 트랙으로 돌리는 편이 실효적입니다.
한 제약사 사업부 교육에서는 요청부터 결이 달랐습니다. “민감정보를 넣지 말라는 당부로 시작해달라”는 주문이었죠. 이미 잘 쓰는 조직일수록 통제의 언어를 먼저 요구합니다.
에이전트 AI가 만드는 새로운 검토 항목
에이전트 AI는 답을 주는 데서 멈추지 않고 스스로 실행합니다. 그래서 검토 항목이 바뀝니다.
자율 실행 권한의 상한, 호출 가능한 도구와 API의 범위, 행동 단위 감사 추적, 실행 취소 가능성. 이 네 가지가 새로 붙습니다. 관련 쟁점은 에이전트 AI의 컴플라이언스 도전 정리에 잘 요약돼 있습니다.
도구를 볼 때는 “무엇을 대체하는가”로 판단하면 단순해집니다. AI-SPM(AI Security Posture Management)은 수기 자산 대장을, 데이터 거버넌스 솔루션은 접근권한 엑셀을 대체합니다.
설명가능한 AI(XAI)는 조금 다릅니다. 판단 근거를 만들어 줄 뿐, 소명 책임까지 대신하지는 않습니다.
사각지대의 대가는 세 층으로 옵니다. 과태료·시정명령 같은 행정적 리스크, 손해배상으로 이어지는 민사 책임, 그리고 회복이 가장 느린 평판 리스크입니다.
AI 감사에서 가장 자주 걸리는 건 기술이 아니라 목록의 부재입니다. 우리 조직이 지금 어느 지점에 서 있는지는 AI 성숙도 자가진단 30문항으로 확인해 배경 자료에 붙일 수 있습니다.
단계별 다음 행동이 궁금하다면 AI 활용 성숙도 5단계 기준과 함께 보면 판단이 빨라집니다.
자주 묻는 질문
AI 컴플라이언스 검토는 언제, 어떤 시점에 해야 하나요?
벤더 계약 전, 유스케이스가 확정되는 기획 단계가 최적 착수점입니다. 이 시점에는 데이터 범위와 사용자 범위를 바꾸는 데 비용이 거의 들지 않기 때문입니다. 반대로 계약 체결 후에 검토를 시작하면 약관 재협상, 데이터 흐름 재설계, PoC 재실행이 한꺼번에 몰립니다. 실무에서는 사내 AI 인벤토리에 유스케이스를 등록하는 순간을 0단계로 잡고, 그다음 리스크 등급 판정으로 넘어가는 순서가 가장 마찰이 적습니다.
고영향 인공지능인지 아닌지는 어떻게 판단하나요?
세 축으로 봅니다. AI기본법이 열거한 영역에 해당하는지, 개인의 권리·의무에 실질적 영향을 주는지, 그리고 최종 결정에 사람이 개입하는지입니다. 셋 중 앞의 둘이 걸리면 인간 개입 여부와 무관하게 보수적으로 고영향으로 놓고 시작하는 편이 안전합니다. 판정 결과는 반드시 판정서로 남깁니다. 판정일, 근거 조항, 판단자, 재검토 주기 네 칸만 있어도 나중에 감사 대응이 가능합니다.
AI기본법을 위반하면 어떤 처벌이나 제재를 받나요?
제재는 세 층으로 옵니다. 첫째는 시정명령과 과태료 같은 행정 제재이고, 둘째는 이용자 피해가 발생했을 때의 손해배상 등 민사 책임입니다. 셋째가 실제로는 가장 아픈 평판 리스크입니다. 고객 데이터가 학습에 쓰였다는 사실 한 줄이 기사화되면 과태료와는 비교가 안 되는 비용이 발생합니다. 법령 해석과 최신 시행 사항은 AI기본법의 적용 범위를 정리한 법무 해설 같은 전문 자료로 보완하는 것이 안전합니다.
AI 컴플라이언스 검토는 어느 부서가 담당해야 하나요?
최종 책임(A)은 컴플라이언스 또는 법무가 지고, 실행 주관(R)은 그 AI를 쓰려는 현업이 맡습니다. 데이터 적법성과 보안 통제는 정보보호 부서가 협의(C) 축으로 들어옵니다. 현업이 “법무가 알아서 판단해달라”고 넘기는 순간 검토는 멈춥니다. 용도와 데이터 흐름을 아는 쪽은 현업뿐이기 때문입니다. IT는 로깅·접근권한 같은 통제 구현을, 경영진은 보고(I) 라인을 받는 구조가 가장 흔합니다.
EU AI Act와 한국 AI기본법은 어떻게 다른가요?
가장 큰 차이는 분류 방식입니다. EU는 금지·고위험·제한적·최소 위험의 4등급 체계로 규제 강도를 나누고, 한국은 고영향 인공지능이라는 영역 열거 방식을 씁니다. 제재 수준도 EU가 매출 연동 과징금으로 훨씬 무겁습니다. 국내 기업이라면 AI기본법의 고영향 판정과 투명성 고지를 먼저 맞추고, EU 시장에 서비스를 제공하는 경우에만 EU AI Act 대응을 병행하는 순서가 현실적입니다.
마무리
- 검토 단위는 모델이 아니라 용도(use case)
- 착수 시점은 계약 전, 유스케이스 확정 직후
- 고영향 판정의 핵심은 결론이 아니라 판정서의 존재
- 컴플라이언스가 막는 것은 리스크가 아니라 통제 불가능성
오늘 할 수 있는 첫 행동은 하나입니다. 지금 도입을 검토 중인 AI를 한 줄짜리 유스케이스 문장으로 적어 사내 인벤토리에 등록하는 것.
“마케팅팀이 고객 문의 요약에 생성형 AI를 쓴다” 정도면 충분합니다. 이 한 줄이 있어야 리스크 판정도, 데이터 검토도 시작됩니다.
다만 그 뒤에 남는 어려움이 있습니다. 검토 항목을 다 채워도, 그 문서를 결재선에 올리는 문장은 여전히 직접 써야 한다는 것입니다.
결재하는 쪽에 앉아 교육 품의서를 승인하고 반려해보면서 확인한 게 있습니다. 반려의 이유는 검토가 부실해서가 아니라, 검토 결과가 결재자의 언어로 번역되지 않아서인 경우가 훨씬 많았습니다. 품의서 항목 구조를 다시 잡고 싶다면 AI 교육 품의서 작성 편이 그 번역을 다룹니다.
조직 현황 숫자가 배경란에 비어 있다면 AI 성숙도 자가진단으로 점수와 병목을 먼저 확보하는 방법도 있습니다. 도입 전체 흐름은 기업 AI 교육 도입 로드맵에서 이어집니다.
이미 한 번 반려당해 다시 올려야 하는 상태라면, 필요한 건 설명이 아니라 문장입니다. 가상 기업 시나리오로 전 칸을 채운 품의서 완성 예시본과 ‘보안은?’, ‘효과 증명은?’, ‘내년에 하자’ 같은 반려 사유 5가지별 재상신 문구가 편집용 파일에 그대로 들어 있습니다. AI 교육 도입 서류 3종 무료로 받기 — 전 칸을 채운 품의서 완성 예시본과 반려 사유 5가지별 재상신 문구 포함 (편집용 DOCX)