고영향 AI 리스크 평가: 30분 자가진단 체크리스트와 AI 영향평가 실무 양식 총정리

회의실 화면에 법무팀 메일이 떠 있다.

“이번에 도입하는 채용 스크리닝 AI, 고영향 인공지능 해당 여부부터 확인 부탁드립니다.” 팀장은 벤더 제안서를 다시 넘겨보지만 그 단어는 어디에도 없다. 검색창에 조문을 넣어보면 로펌 뉴스레터와 연구보고서가 줄줄이 나오는데, 정작 ‘우리 사례가 여기 해당하는가’에는 아무도 답을 주지 않는다. 그렇게 며칠이 지나고, 품의 마감일만 가까워진다. 고영향 AI 리스크 평가는 대개 이 지점에서 멈춰 있습니다.

다 읽지 않아도 됩니다. 판정 로직과 체크리스트만 필요하다면 실무 자료실의 AI 도입 검토 양식부터 열어보셔도 괜찮습니다.

핵심 요약

• 고영향 AI 리스크 평가의 출발점은 AI기본법상 ‘사람의 생명·신체 안전 및 기본권에 중대한 영향을 미치는 영역’ 해당 여부 판단
• EU AI Act의 ‘고위험(high-risk)’과 국내 ‘고영향’은 법적 근거도 의무 범위도 다른 별개 개념
• 판단 순서는 ①법정 영역(의료·채용·금융·공공서비스 등) 해당 → ②영향의 중대성 → ③사람 개입 수준의 3단계 필터
• AI 영향평가 의무는 정부·공공기관 조달·이용 국면에서 우선 발생, 민간 사업자는 안전·신뢰 확보 조치와 사전 고지 의무 부담
• 판정 결과는 리스크 매트릭스(발생가능성×영향도)와 함께 문서화해야 감독기관 소명·벤더 계약 협상의 근거로 성립

실무에서 막히는 지점은 법 조문의 난이도가 아닙니다. 조문은 읽으면 읽히는데, 그것을 ‘우리 회사가 쓰는 그 도구’에 대입하는 순간 근거가 사라진다는 점입니다. 고영향 AI 리스크 평가가 어려운 이유는 판단 기준이 없어서가 아니라, 판단을 재현 가능한 절차로 옮겨놓은 자료가 드물기 때문입니다.

그래서 이 글은 해설을 반복하지 않습니다. 자사 AI 활용 사례를 놓고 30분 안에 고영향 여부를 스스로 판정하고, 위험도 등급을 매기고, 영향평가 보고서 초안의 목차까지 채우는 것이 목표입니다.

근거는 세 갈래를 겹쳐 정리했습니다. 과학기술정보통신부가 운영하는 고영향 인공지능 해당 여부 확인 요청 안내, AI기본법 하위 가이드라인을 조문 단위로 해설한 법무법인(유한) 태평양의 고영향 인공지능 판단 뉴스레터, 그리고 한국법제연구원(KLRI)의 AI 영향평가 입법 연구입니다.

고위험 AI와 고영향 AI를 가르는 비교표, 자가진단 체크리스트, 가상의 공공기관 도입 사례까지 순서대로 이어집니다. 조직의 준비 수준부터 확인하고 싶다면 AI 성숙도 자가진단 체크리스트를 먼저 돌려보는 편이 빠릅니다.

왜 지금 ‘우리 AI가 고영향인지’부터 확인해야 할까요?

“이거, 우리도 대상인가요?” 회의에서 가장 자주 나오는 질문입니다. 불안의 정체는 규제 자체가 아니라 범위를 모른다는 데 있습니다.

고영향 여부가 갈리면 그 뒤가 전부 갈립니다. 이용자 고지, 설명 제공, 위험관리 문서화, 안전조치 기록까지 AI 컴플라이언스 부담의 크기가 이 한 줄에서 결정됩니다.

현장의 오해는 두 갈래다. “생성형 AI를 쓰니 무조건 고영향”과 “내부용이니 해당 없음”.

앞의 오해는 기술 종류로 판단한다는 착각입니다. AI기본법은 무엇으로 만들었는지가 아니라 어디에 쓰이는지를 봅니다.

뒤의 오해가 더 위험합니다. 사내 채용 서류 선별이나 인사 평가는 외부에 팔지 않아도 법이 열거한 영역 안에 들어갑니다.

한 제약사 사업부는 이미 부서용 AI 앱을 만들어 쓰고 있었습니다. 그런데도 교육을 요청했고, 첫 주문은 “민감정보를 넣지 말라는 당부로 시작해달라”였습니다. 규제 산업의 불안은 도구가 아니라 판정 기준에 걸려 있습니다.

이 글은 정의 해설에서 멈추지 않습니다. 판정 절차, 자가진단 체크리스트, 영향평가 양식의 항목 구조까지 이어집니다.

조직 전체의 준비 상태가 궁금하다면 AI 활용 성숙도 5단계 글이 지도 역할을 합니다. 이 글은 그 지도 안에서 고영향 AI 리스크 평가라는 한 칸만 깊게 팝니다.

AI기본법이 말하는 ‘고영향 인공지능’은 정확히 무엇인가요?

조문을 읽어도 우리 서비스가 여기 해당하는지 안 잡히는 것, 정상입니다. 정의가 넓고 판단이 두 겹이기 때문입니다.

법 조문이 규정한 정의와 열거된 적용 영역

AI기본법(인공지능 발전과 신뢰 기반 조성 등에 관한 기본법) 제2조는 고영향 인공지능을 이렇게 정의합니다.

사람의 생명, 신체의 안전 및 기본권에 중대한 영향을 미치거나 위험을 초래할 우려가 있는 영역에서 활용되는 인공지능시스템

여기에 활용 영역이 함께 열거됩니다. 보건의료, 에너지·수도 등 필수 인프라, 원자력, 채용과 인사 평가, 대출 심사 같은 금융 판단이 대표적입니다.

공공서비스 제공 결정, 수사·기소 목적의 생체인식 정보 분석, 학생 평가와 교통수단 운영도 포함됩니다. 세부 범위는 AI기본법 시행령이 다시 받습니다.

핵심은 구조입니다. 영역에 걸렸다고 곧바로 확정되지 않고, 그 영역에서 ‘중대한 영향’을 미치는지가 함께 판단됩니다.

같은 채용 도구라도 결과가 합격·불합격을 좌우하는지, 담당자 참고 자료에 그치는지에 따라 결론이 달라진다는 뜻입니다.

과기정통부 하위 가이드라인은 무엇을 추가로 정했나

과학기술정보통신부는 법 시행에 맞춰 AI기본법 하위 가이드라인을 시리즈로 냈습니다. 고영향 AI 판단, 투명성 확보, 안전성 확보, 사업자 책무가 각각 한 편씩을 맡습니다.

이 중 고영향 AI 판단 가이드라인이 실무자가 가장 먼저 볼 문서입니다. 영역별 예시와 제외 사례를 붙여 조문의 여백을 메우는 역할을 합니다. 법무법인(유한) 태평양의 고영향 인공지능 판단 가이드라인 해설이 조문 대비표로 정리해 두어 참고하기 좋습니다.

주의할 점은 성격입니다. 가이드라인은 해석 지침이자 행정지도이지, 그 자체가 벌칙의 근거는 아닙니다.

그래도 감독기관의 판단 기준을 미리 보여주는 문서라 무게가 다릅니다. 애매하면 과기정통부의 고영향 인공지능 해당 여부 확인 요청 제도로 공식 확인을 받을 수 있습니다.

인공지능 규제 체계는 아직 판이 굳는 중입니다. 그래서 내부 문서에는 판단 결과와 함께 ‘어느 버전 기준으로 판단했는지’를 남기는 편이 안전합니다.

고영향 AI와 고위험 AI, 같은 말인가요 다른 말인가요?

보고서마다 용어가 달라 곤란했던 경험, 다들 있습니다. 결론부터 말하면 뿌리가 다른 두 개념입니다.

고영향 인공지능은 국내 AI기본법의 용어이고, 고위험 인공지능은 EU AI Act를 중심으로 한 국제 논의의 용어입니다. 둘 다 리스크 기반 규제라는 점만 같습니다.

구분	고영향 AI (국내 AI기본법)	고위험 AI (EU AI Act)
근거 규범	AI기본법·시행령·하위 가이드라인	EU AI Act 본문과 부속서
판단 주체	사업자 자체 판단 + 과기정통부 확인 요청	제공자 자체 판단 + 적합성 평가 절차
분류 방식	법률상 영역 열거 + 중대한 영향 요건	부속서(Annex) 목록 기반
주요 의무	고지, 설명, 위험관리·안전조치 문서화	위험관리체계, 데이터 거버넌스, 기술문서, 인적 감독
제재	과태료 중심	글로벌 매출 연동 과징금
영향평가	영향평가 노력 의무 성격	일부 주체에 기본권 영향평가 요구

혼용이 생기는 이유는 번역입니다. 한국법제연구원(KLRI) 등 연구자료가 EU 문헌을 옮기며 high-risk를 고위험으로 쓰고, 국내법 해설에서는 고영향을 쓰다 보니 한 보고서 안에 둘이 섞입니다. 입법 배경은 KLRI의 AI 영향평가 입법 연구에 정리돼 있습니다.

40곳 넘는 기업·기관에서 교육을 하며 자주 본 장면이 이겁니다. 같은 문서 3쪽과 7쪽의 용어가 다른 것.

사내 표기 원칙은 하나면 충분합니다. 국내 규제 문서는 고영향으로 통일하고, EU 대응 문서에만 괄호로 고위험을 병기하는 방식입니다.

글로벌 서비스를 운영한다면 AI 위험도 등급을 두 체계로 동시에 매핑해 두는 편이 낫습니다. 이 매핑표가 나중에 실사와 감사 대응의 첫 장이 됩니다. 팀별 이해도 차이가 걱정된다면 AI 성숙도 자가진단 문항으로 현재 인식 수준을 먼저 재 보는 방법도 있습니다.

우리 회사 AI가 고영향인지 30분 만에 판정하는 체크리스트

“법무에 물어보면 되죠?”라는 말이 가장 먼저 나옵니다. 그런데 법무는 되묻습니다. 그 AI가 무엇을 결정하느냐고.

결국 판정의 출발점은 현업입니다. 아래 문항은 그 대화를 30분 안에 끝내기 위한 자가진단 도구입니다.

1차 필터: 법정 적용 영역 스크리닝 문항

먼저 용도만 봅니다. 시스템의 성능이나 모델 종류는 아직 보지 않습니다.

• 사람의 건강·생명에 관한 판단(진단 보조, 응급 분류)에 쓰이는가
• 채용·배치·인사평가·해고 등 고용 관련 결정에 관여하는가
• 대출 심사, 신용평가, 보험 인수 등 금융 조건 결정에 쓰이는가
• 공공서비스 자격 판단이나 행정 결정에 활용되는가
• 생체인식·감정 추론으로 개인을 식별하거나 분류하는가
• 교육 기관의 입학·성적·자격 평가에 관여하는가
• 전력·수도·교통 등 필수 인프라의 운영·제어에 쓰이는가

일곱 문항이 전부 No라면 일반 AI로 분류하고 기록만 남깁니다. 하나라도 Yes라면 2차로 넘어갑니다. 과학기술정보통신부의 고영향 인공지능 해당 여부 확인 요청 절차도 이 단계에서 함께 확인해두면 좋습니다.

2차·3차 필터: 영향의 중대성과 사람 개입 수준

• 결정이 개인의 권리·의무를 직접 바꾸는가
• 결정이 잘못됐을 때 되돌릴 수 있는가(불가역성)
• 대상자에 아동·고령자·환자·구직자 등 취약한 위치의 사람이 포함되는가
• 민감정보(건강, 생체, 신념)를 학습하거나 입력받는가
• 산출물이 사람의 검토 없이 그대로 집행되는가

여기서 가장 많이 나오는 항변이 “사람이 최종 판단합니다”입니다. 이 항변은 검토자가 근거를 열람하고 결과를 뒤집은 기록이 있을 때만 인정됩니다.

화면에 뜬 점수를 그대로 승인 버튼으로 옮기는 구조라면, 형식상 사람이 있어도 실질은 자동화된 결정입니다.

판정은 세 라벨로 남깁니다. A는 고영향 확정으로 영향평가와 사업자 의무 이행에 착수하고, B는 경계 구간이라 법무·컴플라이언스 재검토를 겁니다. C는 해당 없음이되 용도가 바뀌면 즉시 재판정합니다.

기록 항목은 판정일, 판정자와 소속, 근거 조문·가이드라인 항목, 재판정 주기(권장 6개월 또는 용도 변경 시)입니다. 이 네 줄이 없으면 나중에 판정을 증명할 방법이 없습니다.

판정 다음은 등급화입니다: AI 리스크 매트릭스 만드는 법

“고영향 아니면 그냥 써도 되나요?” 아닙니다. 고영향이 아니어도 위험은 남습니다.

그래서 판정 다음에 등급화가 옵니다. 위험 요인은 안전, 기본권·차별, 개인정보, 정확성·환각, 보안, 설명가능성, 벤더 종속으로 나눠 각각 점수를 매깁니다.

발생가능성×영향도 5×5 매트릭스 설계

점수	발생가능성 기준	영향도 기준
1	이론적으로만 가능	내부에서 즉시 수정 가능
2	연 1회 미만	업무 지연 수준
3	분기 1회 수준	고객 불만·재작업 발생
4	월 1회 수준	계약·규제 위반 소지
5	상시 발생	개인의 권리 침해, 회복 곤란

등급별 통제 수준과 승인 권한 매핑

두 점수를 곱해 등급을 냅니다. 1~2등급은 팀장 승인으로 진행하고, 3등급은 컴플라이언스 검토를 거칩니다. 4~5등급은 경영진 승인과 AI영향평가가 함께 요구됩니다.

여기서 놓치기 쉬운 게 잔여위험입니다. 통제를 붙였다고 위험이 사라지지 않습니다.

출처 표기 의무화, 이중 검토, 로그 보관 같은 통제를 적용한 뒤 같은 척도로 다시 점수를 매기고, 남은 점수가 조직이 감당하기로 한 수용 기준 아래인지 확인합니다. 이 재평가 결과가 곧 파일럿 승인 게이트의 판단 근거가 됩니다.

벤더 평가에도 같은 매트릭스를 씁니다. 제안서 검토 시 벤더 종속과 설명가능성 항목의 점수를 미리 매겨두면, 계약 협상에서 요구할 조항이 자동으로 정해집니다. 이 흐름은 기업 AI 교육 업체 비교 기준에서 다룬 검증 항목과 구조가 같습니다.

AI 영향평가는 누가, 언제, 어떤 순서로 해야 하나요?

“이거 우리도 해야 하나요?” 담당자 자리에서 가장 자주 나오는 질문입니다.

의무 주체: 정부·공공기관과 민간 사업자의 차이

AI기본법은 정부·공공기관이 고영향 인공지능을 이용할 때 영향평가를 우선 고려하도록 정하고 있습니다. 조달 국면에서 이 조항은 사실상 제안요청서 항목으로 내려옵니다.

공공 사업을 수주하는 민간 기업이 영향평가 자료를 준비해야 하는 이유가 여기 있습니다. 민간 고영향 AI 사업자에게는 사전 고지, 안전·신뢰성 확보 조치, 설명 가능성 확보, 위험관리 문서화, 국내대리인 지정 의무가 별도로 붙습니다.

기획부터 사후 모니터링까지 6단계 타임라인

1. 대상 식별 — 앞의 체크리스트로 판정. 현업 주관, 1주
2. 영향 분석 — 위험 요인별 점수화. 현업+데이터 담당, 2주
3. 이해관계자 의견수렴 — 사용자·대상자·노조·고객 접점 부서. 2주
4. 완화조치 설계 — 통제 항목과 책임자 지정. 법무·정보보호 협의, 2주
5. 결과 문서화·공개 — 경영진 보고 및 대외 고지문 확정. 1주
6. 운영 중 재평가 — 반기 또는 모델 변경 시

RACI는 단순하게 잡습니다. 실행은 현업(R), 최종 책임은 서비스 오너(A), 법무·정보보호·데이터는 자문(C), 경영진은 통보(I)입니다.

중복도 줄일 수 있습니다. 개인정보 영향평가(PIA)와 알고리즘 영향평가는 데이터 흐름도·처리 목적·보관 기간 항목이 겹칩니다. 하나의 데이터 명세서를 만들고 각 평가서가 이를 참조하게 하면 작업량이 눈에 띄게 줍니다.

실제로 한 제약사 사업부에서는 이미 AI로 부서용 앱까지 만들어 쓰고 있었습니다. 그런데도 교육을 요청한 이유는 도구가 아니라 ‘출처를 어떻게 믿게 만들 것인가’였습니다. 규제 산업일수록 절차 문서보다 검증 규칙이 먼저 필요합니다.

평가서를 채우기 전에 조직의 현재 위치를 확인하는 편이 빠를 때도 있습니다. AI 성숙도 자가진단 체크리스트로 나온 영역별 점수는 영향평가서의 배경란에 그대로 붙일 수 있고, 다음 단계 설계는 AI 활용 성숙도 5단계에서 이어집니다. 문서화 이후의 교육·내재화 계획은 기업 AI 교육 도입 8단계 로드맵과 연결해 하나의 품의로 묶는 편이 통과가 빠릅니다.

절차의 법적 배경을 더 확인하려면 한국법제연구원의 AI 영향평가를 위한 입법 연구가 참고가 됩니다.

바로 쓰는 AI 영향평가 템플릿과 가상 사례 시뮬레이션

판정까지 끝냈는데 남길 문서가 없다는 말을 자주 듣습니다. 회의록 몇 장과 슬라이드가 전부인 경우죠.

규제 대응에서 문서는 결과물이 아니라 판단의 증거입니다. 무엇을 근거로 그렇게 결론지었는지가 남아야 합니다.

영향평가 보고서 목차와 필수 기재 항목

AI 영향평가 템플릿은 여덟 개 블록이면 충분합니다. 문제는 항목 이름이 아니라 각 칸에 들어가는 문장의 밀도입니다.

항목	제대로 쓴 문장	반려되는 문장
시스템 명세	모델명·버전·API 경로·최종 업데이트일 기재	“생성형 AI 솔루션 활용”
데이터 출처·품질	수집 경로, 보유 기간, 결측·편향 점검 방법	“사내 데이터 사용”
적용 영역 판정 근거	해당 조문 번호와 체크리스트 문항별 응답	근거 없는 “해당 없음”
리스크 매트릭스	요인별 발생가능성×영향도 점수와 AI 위험도 등급	“위험 낮음”
완화조치	조치 내용·담당 부서·적용일	“충분히 검토 예정”
모니터링 지표	오탐률, 이의제기 건수, 재학습 주기	“주기적 점검”
승인 서명란	현업·법무·정보보호 3자 서명과 날짜	담당자 1인 서명

가장 흔한 반려 사유는 추상적 서술입니다. 결재하는 쪽에 앉아 품의서를 승인하고 반려해본 입장에서 보면, 검증 가능한 숫자가 없는 문서는 읽을 이유가 없습니다.

사례: 사내 채용 스크리닝 AI 도입 기관의 판정 과정

공공 성격을 가진 한 기관이 채용 서류 스크리닝 AI를 검토한다고 가정해봅니다.

1차 필터에서 ‘채용·인사 평가’ 영역에 걸립니다. 2차 필터에서 대상자가 외부 지원자이고 결과가 되돌리기 어렵다는 점이 확인됩니다. 여기서 A등급, 고영향 AI 리스크 평가 대상으로 확정됩니다.

그런데 같은 도구를 ‘지원서 요약본 생성’에만 쓰면 결론이 달라집니다. 합격 여부를 결정하지 않고 사람이 원본을 그대로 보기 때문입니다. 도구가 아니라 용도가 등급을 정합니다.

문서는 최소 3년 보관하고, 재평가 트리거를 세 가지로 못 박아두면 관리가 단순해집니다. 모델 교체, 학습 데이터 변경, 규제 개정입니다. 인공지능 안전성 평가는 한 번 하고 끝나는 행사가 아닙니다.

평가 결과를 파일럿 승인 게이트에 연결하는 방법은 AI 활용 성숙도 5단계에서 단계별로 정리해두었습니다. 조직 현황 숫자가 급하다면 AI 성숙도 자가진단 체크리스트의 결과 리포트를 보고서 배경란에 그대로 붙여도 됩니다.

실무에서 가장 자주 틀리는 판정 실수 5가지

판정을 틀리면 그다음 문서가 전부 무효가 됩니다. 다시 쓰는 비용이 처음 쓰는 비용보다 큽니다.

첫째, 벤더가 준 ‘고영향 아님’ 소견서를 그대로 붙이는 경우입니다. AI 사업자 의무는 개발자에게만 남지 않습니다. 이용 사업자에게도 판정 책임이 남기 때문에, 소견서는 참고 자료지 근거가 아닙니다.

둘째, PoC라는 이유로 판정을 건너뛰는 경우. 파일럿이 그대로 운영으로 넘어가면 근거 문서가 통째로 비어 있게 됩니다.

셋째, 범용 모델 자체와 ‘고영향 영역에 적용된 시스템’을 혼동하는 문제입니다. 모델은 중립적이어도 적용 지점이 채용이나 대출이면 판정 대상이 됩니다.

넷째, 판정 주체가 현업 1인인 구조입니다. 도입을 추진하는 사람이 위험도까지 매기면 이해상충이 생깁니다. 법무나 정보보호가 서명란에 함께 들어가야 AI 거버넌스가 성립합니다.

다섯째, 재판정 주기를 정하지 않는 것. 모델이 업데이트되는 순간 기존 등급은 사실상 무효입니다.

한 제약사 사업부에서는 강의 요청부터 결이 달랐습니다. 민감정보를 입력하지 말라는 당부로 시작해달라는 것이었죠. 규제 산업일수록 AI 컴플라이언스는 교육 첫 문장에서 이미 시작됩니다.

계약 단계에서 책임 분담을 어떻게 문서화할지는 벤더 선정 기준과 함께 보는 편이 낫습니다. 기업 AI 교육 업체 비교 9가지 기준과 기업 AI 교육 도입 8단계 로드맵에 판단 항목을 정리해두었습니다. 판정 애매한 건은 과학기술정보통신부 고영향 인공지능 해당 여부 확인 요청 절차를 활용할 수 있고, 판단 기준 해설은 법무법인(유한) 태평양의 AI기본법 가이드라인 해설이 참고가 됩니다.

자주 묻는 질문

고영향 인공지능과 고위험 인공지능은 어떻게 다른가요?

고영향은 국내 AI기본법의 용어이고, 고위험은 EU AI Act 계열의 용어입니다. 국내법은 보건의료·채용·대출 심사 같은 적용 영역을 조문에 열거하고 ‘사람의 생명·신체·기본권에 중대한 영향’을 함께 따지는 구조입니다. EU는 부속서(Annex)에 목록을 두고 등급별로 의무를 층층이 부과합니다. 부과 의무와 제재 수준, 영향평가 요구 방식이 서로 달라서 번역어처럼 섞어 쓰면 사내 문서가 흔들립니다. 글로벌 서비스라면 두 체계를 한 표에 매핑해두는 편이 안전합니다.

우리 기관이나 기업의 AI가 고영향 인공지능에 해당하는지 어떻게 확인하나요?

세 단계 필터로 판정하고 그 기록을 남기면 됩니다. 1차는 법정 적용 영역 스크리닝, 2차는 그 결정이 개인에게 미치는 영향의 중대성과 되돌릴 수 있는지 여부, 3차는 사람의 개입이 형식적인지 실질적인지입니다. 세 단계를 통과한 결과를 A·B·C로 라벨링하고 판정일·판정자·근거 조문·재판정 주기를 함께 적습니다. 판단이 애매하면 과기정통부의 고영향 인공지능 해당 여부 확인 요청 창구를 이용할 수 있습니다.

AI 영향평가는 누가 의무적으로 수행해야 하나요?

정부·공공기관이 고영향 AI를 이용하는 경우가 우선 대상입니다. AI기본법은 공공 영역에서 영향평가 결과를 우선 고려하도록 정하고 있어, 조달 단계에서 사실상 제출 서류로 작동합니다. 민간 사업자는 영향평가 자체가 일괄 의무는 아니지만 사전 고지, 안전·신뢰성 확보 조치, 설명 가능성 확보, 위험관리 문서화가 요구됩니다. 결국 문서로 남기는 일은 같아서, 민간도 같은 양식으로 정리해두는 편이 실무 비용이 적습니다.

AI기본법 하위 가이드라인은 몇 개이고 어떤 순서로 발표되었나요?

과기정통부가 시행 시점에 맞춰 순차 발간한 시리즈이고, 고영향 AI 판단 가이드라인은 그중 판정 기준을 담당합니다. 앞쪽 편이 법 적용 대상과 사업자 범위를, 뒤쪽 편이 안전·투명성 확보 조치와 표시 의무를 다루는 구성입니다. 성격은 행정지도이자 해석 지침이라 그 자체로 처벌 근거는 아니지만, 감독기관의 판단 기준이 됩니다. 원문은 과기정통부 공지와 법무법인(유한) 태평양의 가이드라인 해설에서 확인할 수 있습니다.

생성형 AI 챗봇을 사내 업무에만 쓰는데도 고영향 AI 리스크 평가가 필요한가요?

용도에 따라 갈립니다. 회의록 요약이나 초안 작성에 머문다면 대개 해당 없음이지만, 그 결과가 인사 평가나 심사 의견에 반영되는 순간 판정이 달라집니다. 같은 도구라도 ‘내부 요약’과 ‘합격 여부 판단 보조’는 등급이 다릅니다. 그래서 최소한 스크리닝 기록 한 장은 남겨두는 편이 좋습니다. 한 제약사 사업부는 이미 부서용 앱까지 만들어 쓰면서도, 강의 첫 문장으로 민감정보 입력 금지 당부를 요청했습니다. 잘 쓰는 조직일수록 기록을 먼저 챙깁니다.

마무리

다 읽고 나면 오히려 막막해집니다. 정상입니다.

• 고영향 판정은 도구가 아니라 용도의 문제
• 판정 근거와 판정자를 남기지 않은 결론은 무효
• 리스크 매트릭스는 승인 게이트와 연결될 때만 작동
• 재평가 트리거 미설정이 가장 흔한 실무 구멍

지금 할 수 있는 첫 행동은 하나입니다. 현재 쓰고 있는 AI 도구 목록을 표로 만들고, 각 행에 ‘용도 / 결과가 어디에 반영되는가 / 1차 필터 통과 여부’만 채워 넣는 일입니다.

30분이면 끝납니다. 목록이 열 줄을 넘지 않는 조직이 대부분이니까요.

그런데 이 표를 다 채워도 남는 문제가 있습니다. 판정은 나왔는데, 그 판정을 지킬 사람이 조직 안에 아직 없다는 것입니다. 문서는 컴플라이언스가 만들고 실제 입력은 현업이 하니, 규칙과 손이 따로 놉니다.

결재하는 쪽에 앉아 교육 품의서를 승인하고 반려해보면서 반복해서 본 장면이 그것입니다. 규정은 정비됐는데 쓰는 사람의 기준선이 정비되지 않은 상태. 그래서 판정 다음 단계는 대개 교육으로 넘어갑니다. 조직 현황 숫자가 필요하면 AI 성숙도 자가진단 체크리스트로 영역별 점수를 먼저 뽑아두면 배경 자료가 됩니다.

이후 절차는 예산과 품의로 이어집니다. 기업 AI 교육 도입 8단계와 AI 교육 품의서 작성법이 그 구간을 다룹니다. 업체를 고르는 단계라면 기업 AI 교육 업체 비교 기준을 함께 보면 됩니다.

이미 한 번 반려당하고 다시 올려야 하는 상태라면, 빈 양식보다 채워진 문서가 빠릅니다. 320명 규모 가상 기업 시나리오로 전 칸을 채운 품의서 예시본과, ‘보안은?’ ‘내년에 하자’ 같은 반려 사유 5가지별 재상신 문구가 들어 있습니다. AI 교육 도입 서류 3종 무료로 받기 — 전 칸을 채운 품의서 완성 예시본과 반려 사유 5가지별 재상신 문구 포함 (편집용 DOCX)