조직 AI 성숙도 진단 실측: 18문항 체크리스트로 우리 회사 레벨과 축별 점수 확인하기

회의실 화이트보드에 ‘AI 도입 2년차’라고 적혀 있다. 그 아래로 파일럿 프로젝트 이름이 일곱 개쯤 붙어 있는데, 전사로 확산된 건 하나도 없습니다. 임원은 “우리 수준이 어디쯤이냐”고 묻고, 담당자는 대답 대신 경쟁사 사례를 꺼냅니다. 그 자리에서 필요했던 건 사례가 아니라 점수였습니다. 조직 AI 성숙도 진단 실측은 바로 그 질문에 숫자로 답하는 일입니다.

이 글을 처음부터 끝까지 읽지 않아도 괜찮습니다. 체크리스트와 산출 공식만 필요하다면 진단 템플릿과 실행 자료 모음에서 바로 받아 쓰셔도 됩니다.

핵심 요약

• 조직 AI 성숙도 진단 실측은 도입 여부가 아니라 전략·데이터·기술·조직·비즈니스 5개 축의 점수 합산으로 확인하는 작업, 평균보다 축별 격차가 더 중요한 신호
• 18문항 체크리스트(문항당 0~4점, 총 72점)로 레벨 1~5 즉시 판정, 엑셀에 그대로 옮겨 쓰는 점수 산출 공식 제공
• 대부분 L2(파일럿 난립)에서 정체, 원인은 기술이 아니라 데이터 소유권 부재·전담 리더 공백·ROI 기준 미합의 세 가지
• L1→L2부터 L4→L5까지 구간별로 다른 걸림돌과 해결 체크포인트, 그리고 90일 로드맵 대입법

AI 도구는 깔려 있고, 쓰는 사람도 있습니다. 그런데 “우리 조직이 몇 단계냐”는 질문 앞에서는 매번 말이 길어집니다. 성숙도 모델 설명은 많은데 정작 우리 숫자를 내주는 도구가 없기 때문입니다. 조직 AI 성숙도 진단 실측이 어려운 이유는 복잡해서가 아니라, 측정 기준이 합의된 적이 없어서입니다.

이 글은 그 기준을 18개 문항으로 고정합니다. 문항마다 0~4점을 매기고, 5개 축으로 나눠 평균을 내고, 총점으로 레벨을 판정합니다. 엑셀 한 장이면 끝납니다.

근거는 세 갈래입니다. Gartner의 성숙도 조사와 Databricks의 거버넌스 성숙도 매트릭스, 카네기멜런대학교(CMU)의 CMMI 계열 레벨 정의를 한 표로 교차 비교했습니다. 여기에 두 달간 36개 조직이 응답한 8차원 자가진단 실측값을 겹쳐, 한국 조직이 실제로 어디서 멈추는지를 붙였습니다.

읽고 나면 두 가지가 손에 남습니다. 우리 조직의 레벨과 축별 강약점 점수, 그리고 다음 레벨로 넘어가기 위한 90일 실행 과제입니다. 더 넓은 지도가 먼저 필요하다면 AI 활용 성숙도 5단계 전체 구조를 먼저 훑어도 좋습니다.

왜 ‘AI 도입했다’는 말로는 조직 수준을 알 수 없을까요?

사내 계정은 늘었습니다. 그런데 성과 보고서에는 쓸 숫자가 없죠.

경영진은 결국 한 문장으로 묻습니다. “그래서 우리 수준이 어디냐.” 이 글은 그 질문에 답할 점수표를 드립니다.

많은 보고서가 도입률로 시작합니다. 계정 수, 월간 활성 사용자, 교육 이수율 같은 것들이죠. 전부 활동량이지 성숙도가 아닙니다.

활동량 지표는 늘기만 하고 줄지 않습니다. 그래서 병목이 어디인지 알려주지 못합니다. 조직 AI 성숙도 진단이 실측이어야 하는 이유가 여기 있습니다.

경제적 근거도 있습니다. Gartner 설문에 따르면 AI 성숙도가 높은 조직은 45%가 AI 프로젝트를 3년 이상 운영 상태로 유지했습니다. 성숙도가 낮은 조직은 20%에 그쳤습니다.

같은 돈을 써도 한쪽은 자산이 남고 한쪽은 파일럿만 쌓입니다. 진단은 그 갈림길을 미리 보는 일입니다.

AX는 DX와 성격이 다릅니다. DX가 도구 교체에 가까웠다면, AX는 의사결정 권한과 역할 분담을 다시 그리는 작업입니다. 조직 구조가 바뀌어야 하니 CMMI 유사 성숙도 모델처럼 레벨로 끊어 보는 방식이 잘 들어맞습니다.

그래서 이 글은 이론을 길게 다루지 않습니다. 레벨 판별 기준, 18문항 체크리스트, 전환 처방에 분량을 몰았습니다.

AI 도입 전략 전체 그림이 먼저 필요하다면 AI 활용 성숙도 5단계를 다룬 글에서 출발하는 편이 빠릅니다. 이 글은 그 안의 ‘측정’ 부분을 깊게 파는 자리입니다.

AI 성숙도 레벨 1~5는 실제로 무엇이 다른가요?

레벨 설명을 읽으면 다 우리 얘기 같습니다. 그 모호함이 진단을 망칩니다.

그래서 기준을 느낌이 아니라 증거로 잡아야 합니다. 문서가 있는지, 회의가 열리는지, 예산 항목이 잡혀 있는지로요.

레벨별 정의와 ‘우리 회사 맞나’ 판별 신호

L1 탐색은 개인이 각자 씁니다. 결재 문서에 AI라는 단어가 없습니다.

L2 파일럿은 부서별 실험이 난립하는 구간입니다. 도구는 여러 개인데 어느 것도 표준이 아닙니다.

L3 표준화부터 증거가 생깁니다. 모델 레지스트리와 도입 승인 절차 문서가 실제로 존재하고, 담당자 이름이 적혀 있습니다.

L4 확장은 AI가 핵심 프로세스 안으로 들어간 상태입니다. 빼면 업무가 멈춥니다.

L5 자율은 Agentic AI가 일부 업무 흐름을 스스로 돌리고, 성과 데이터가 다시 개선으로 되먹임되는 단계입니다. 국내에서 흔히 보이는 모습은 아닙니다.

레벨	전략	데이터	기술	조직	성과측정
L1 탐색	개인 호기심	소유권 불명확	무료 도구	담당자 없음	측정 안 함
L2 파일럿	부서별 과제	부서 내 수기 정리	도구 혼재	겸직 담당자	체감 후기
L3 표준화	전사 방침 문서	품질 지표 정례 점검	MLOps 기본 구축	AI CoE 발족	업무 시간 절감
L4 확장	사업계획 연동	리니지 추적	GenAIOps 운영	전담 리더+RACI	부서 KPI 반영
L5 자율	AI 기반 의사결정	실시간 거버넌스	Agentic AI 운영	역할 재설계 완료	손익 기여 추적

레벨을 가르는 전환 조건 3가지: 소유권·반복성·측정

레벨이 올라가려면 세 가지가 동시에 바뀝니다. 그 일을 책임지는 사람 이름이 생기고, 한 번이 아니라 매달 반복되고, 숫자로 남습니다.

이 중 하나라도 빠지면 레벨은 그대로입니다. 잘된 파일럿이 1년 뒤 사라지는 이유도 대개 소유권 공백입니다.

주의할 원칙이 하나 더 있습니다. 조직의 레벨은 다섯 축의 평균이 아니라 가장 낮은 축이 결정합니다. 기술이 L4여도 거버넌스가 L2면 그 조직은 L2처럼 움직입니다.

병목 축이라는 개념이 여기서 나옵니다. 평균 점수만 보면 이 병목이 보이지 않습니다.

이 5단계 구조는 메타넷이 제시한 조직 재설계 관점이나 Databricks의 AI 거버넌스 성숙도 모델과도 호환됩니다. 축 이름은 달라도 끊는 지점은 비슷합니다. 통제 축만 따로 보고 싶다면 AI 거버넌스 성숙도 5단계 글이 더 자세합니다.

무엇을 측정해야 하나요? 진단의 5개 축과 세부 항목

“항목을 뭘로 잡아야 하죠?” 진단을 설계할 때 가장 먼저 막히는 지점입니다.

축은 다섯 개면 충분합니다. 전략, 데이터·거버넌스, 기술·플랫폼, 조직·인재, 비즈니스 임팩트입니다.

데이터·거버넌스 축: 리니지와 모델 라이프사이클이 보이는가

이 축은 문서로 확인됩니다. 말로는 다 하고 있다고 하지만, 파일을 요청하면 결과가 갈립니다.

• 주요 데이터셋마다 소유 부서와 담당자가 문서에 적혀 있다
• 데이터 리니지, 즉 출처부터 가공까지의 경로를 추적할 수 있다
• 품질 지표를 정해진 주기로 점검하고 기록을 남긴다
• RAG를 쓴다면 참조 문서의 버전과 출처를 관리한다
• 모델 레지스트리가 있고 도입·폐기 이력이 남는다
• EU AI Act, NIST AI RMF, ISO의 AI 관련 표준 중 어느 기준을 따를지 정해져 있다

여섯 개 중 네 개 이상이면 데이터 거버넌스 축은 L3 이상으로 봅니다. 모델 라이프사이클이 보이기 시작하는 지점입니다.

조직·인재 축: 전담 AI 리더와 CoE가 실제로 권한을 갖고 있는가

Gartner 조사에서 성숙도가 높은 조직은 대부분 전담 AI 리더를 임명하고 있었습니다. 이 축에 가중치를 더 주는 근거입니다.

• AI를 전담하는 리더가 임명되어 있고 예산 권한이 있다
• AI CoE 운영 형태가 중앙집중인지 허브앤스포크인지 정의되어 있다
• AI 도입에 따른 역할 변화가 RACI 매트릭스로 문서화되어 있다
• 변화관리 교육이 1회성 특강이 아니라 연간 체계로 잡혀 있다
• 직무별 AI 활용 시나리오가 문서로 존재한다

HRD 담당자에게 드리는 팁이 하나 있습니다. 이 축은 교육 이수율로 재면 늘 과대평가됩니다. 직무별 활용 시나리오를 몇 건 보유했는지로 바꾸면 숫자가 정직해집니다.

두 달간 36개 조직의 8차원 자가진단 응답을 모아본 적이 있습니다. 가장 높은 항목은 검증·신뢰 92.3점, 즉 사람이 스스로 길러낸 능력이었습니다. 가장 낮은 셋은 도구 활용 폭 59.2, 보안·거버넌스 61.1, 자산화·공유 63.5로 전부 회사가 깔아 줘야 하는 장치였습니다.

점수보다 순서가 말을 걸었습니다. 개인은 이미 뛰고 있는데 조직이 받아내지 못하고 있다는 뜻이니까요.

나머지 두 축은 환산으로 처리합니다. 기술·플랫폼 축은 MLOps/GenAIOps 운영 수준으로, 비즈니스 임팩트 축은 AI 성과가 몇 개 부서 KPI에 연결됐는지로 점수를 매깁니다.

전략 축은 가장 단순합니다. 올해 사업계획 문서에 AI 관련 목표와 예산이 별도 항목으로 있는지만 보면 됩니다.

한 사업부에서 28명과 실습을 하기 전, 24명이 사전 설문에 답했습니다. 전원이 AI를 쓰고 있었는데, 자기 작업 절차를 남이 링크 하나로 받아 쓸 수 있는 형태로 가진 사람은 0명이었습니다.

생산성이 안 오른 게 아닙니다. 오른 생산성이 개인 머릿속에만 남아 조직 지표에 안 잡힌 겁니다.

이 간극을 메우는 설계는 사내 AI 교육 체계를 다룬 글과 AI CoE 조직 구성 가이드에서 더 구체적으로 다뤘습니다. 설문 돌릴 여유가 없다면 AI 성숙도 자가진단 리포트가 축별 점수와 병목을 대신 뽑아줍니다.

18문항 자가진단 체크리스트와 점수 산출 공식 (바로 쓰세요)

“설문 돌릴 시간이 없는데요.” 진단 얘기를 꺼내면 거의 매번 이 말이 먼저 나옵니다.

그래서 문항을 18개로 줄였습니다. 한 사람이 답하면 7분, 세 집단이 돌려도 반나절이면 끝납니다.

18문항 전문과 0~4점 채점 기준

채점은 0·2·4가 기본입니다. 0은 없음, 2는 일부 부서, 4는 전사 표준으로 문서화된 상태입니다. 애매하면 1점과 3점을 쓸 수 있고, 만점은 72점입니다.

모든 문항이 증거 기반 질문이라는 점이 핵심입니다. 느낌이 아니라 문서·로그·회의록이 있어야 점수가 올라갑니다.

전략 축(Q1~Q4)

• AI 추진 목표가 연간 사업계획 문서에 KPI 형태로 적혀 있는가
• AI 과제 우선순위를 정하는 기준(가치·난이도·리스크)이 문서로 존재하는가
• AI 예산이 별도 코드로 편성되어 집행 내역을 추적할 수 있는가
• 경영진 보고에 AI 안건이 정례 의제로 올라가는가(분기 1회 이상 회의록 확인)

데이터·거버넌스 축(Q5~Q8)

• 주요 데이터셋의 소유 부서와 책임자가 명시된 목록이 있는가
• 데이터 리니지와 품질 지표를 정기 점검한 기록이 있는가
• AI 사용 규정(민감정보 입력 금지 범위 포함)이 전 직원에게 고지·서명되었는가
• RAG로 사내 문서를 연결할 때 출처 관리와 접근 권한 규칙이 정해져 있는가

기술·플랫폼 축(Q9~Q11)

• 사내에서 승인된 AI 도구 목록과 모델 레지스트리가 운영되는가
• 배포·모니터링 절차(MLOps 또는 GenAIOps)가 문서로 정의되어 있는가
• 프롬프트·업무 지시서를 공용 저장소에서 링크로 받아 쓸 수 있는가

조직·인재 축(Q12~Q15)

• AI 전담 리더(임원급)가 임명되어 있고 역할 기술서가 있는가
• AI CoE 또는 전담 조직의 운영 형태와 보고 라인이 정해져 있는가
• AI 도입으로 바뀐 역할·책임이 RACI 매트릭스로 갱신되었는가
• 직무별 AI 활용 시나리오가 문서로 존재하는가(교육 이수율이 아니라 시나리오 보유 여부)

비즈니스 임팩트 축(Q16~Q18)

• AI 프로젝트의 ROI 산식이 재무팀과 합의된 문서로 존재하는가
• 도입 전후 지표(처리 시간·오류율·매출 기여)를 같은 기준으로 비교한 기록이 있는가
• 성과가 나지 않은 과제를 중단한 결정과 그 근거가 남아 있는가

총점·축별 점수 환산과 엑셀 수식

총점으로 레벨을 먼저 읽습니다. 0~14점 L1, 15~28점 L2, 29~44점 L3, 45~60점 L4, 61~72점 L5입니다.

다만 평균이 레벨을 결정하지는 않습니다. 최저 축의 환산 레벨이 총점 레벨보다 2단계 이상 낮으면 한 단계를 내려 읽습니다. 축 평균 1점대는 L2, 2점대는 L3, 3점대 이상은 L4 이상으로 봅니다.

엑셀에 그대로 옮길 수 있습니다. 축별 평균은 =AVERAGE(B2:B5), 총점은 =SUM(B2:B19)입니다.

레벨은 =IFS(C1>=61,”L5″,C1>=45,”L4″,C1>=29,”L3″,C1>=15,”L2″,TRUE,”L1″)로 뽑습니다. 병목 축은 =INDEX(A2:A6,MATCH(MIN(D2:D6),D2:D6,0)) 한 줄이면 이름이 나옵니다.

점수 산출보다 중요한 건 누가 답하느냐입니다. 경영진·현업·IT 세 집단이 같은 18문항에 각각 답하고, 집단 간 평균 차이를 ‘인식 갭’ 항목으로 따로 적어두는 방식을 권합니다.

갭이 1.0점을 넘는 문항은 대개 그 자체가 과제입니다. 경영진은 됐다고 보고 현업은 없다고 보는 지점에서 사고가 납니다.

레이더 차트로 병목 축 찾기

축별 평균 5개를 0~4 눈금의 레이더 차트에 올리면 모양이 바로 읽힙니다. 찌그러진 쪽이 다음 분기 예산이 갈 곳입니다.

흔한 모양은 기술·플랫폼 축만 튀어나오고 조직·인재 축이 안쪽으로 패인 형태입니다. 도구는 샀는데 역할은 안 바꾼 조직이죠.

재측정은 분기 1회면 충분합니다. 같은 시트에 측정일·응답자 수·축별 평균·병목 축을 한 행으로 누적하면, 네 번째 측정쯤부터 추세선이 보입니다. ROI 측정과 KPI 설계를 더 파고들려면 기업 AI 교육 도입 가이드의 효과 측정 단계를 함께 보면 연결이 쉽습니다. 문항을 더 세분화하고 싶다면 AI 성숙도 자가진단 30문항 버전이 6개 영역으로 쪼개 줍니다.

우리 점수는 높은 걸까요? 업종·규모별 벤치마크와 교차 통계

38점이 나왔습니다. 좋은 건지 나쁜 건지 알 수가 없죠. 비교 대상이 없으면 점수는 그냥 숫자입니다.

그런데 비교 전에 짚을 게 하나 있습니다. 출처마다 ‘성숙도’의 정의가 다릅니다. 같은 단어를 쓴다고 같은 걸 재는 게 아닙니다.

출처별 통계 한 표 비교

출처	무엇을 ‘성숙도’로 보는가	핵심 수치·기준	우리 18문항과의 접점
Gartner	AI 과제의 지속 운영 능력과 조직 체계	성숙 조직군의 성과 지속 비율이 후발군의 두 배 수준(45% 대 20%), 성숙 조직 대다수가 전담 AI 리더 임명	조직·인재 축(Q12~Q13) 가중 근거
카네기멜런대학교(CMU)	프로세스의 반복 가능성과 정의 수준(CMMI 계보)	레벨 3의 조건은 ‘정의된 프로세스 문서’의 존재	증거 기반 채점 원칙 전체
Databricks	데이터·모델 거버넌스의 통제 범위	거버넌스 매트릭스를 단계별 통제 항목으로 분해	데이터·거버넌스 축(Q5~Q8)

Gartner 설문은 AI 성숙도가 높은 조직의 성과 격차 자료에서, 거버넌스 단계 정의는 Databricks의 AI 거버넌스 성숙도 모델에서 확인할 수 있습니다.

세 출처를 겹쳐 보면 공통점이 하나 나옵니다. 사람의 숙련도가 아니라 조직이 깔아 둔 장치를 재고 있다는 것입니다.

지난 두 달 동안 36개 조직이 제 8차원 진단에 응답했습니다. 가장 높은 항목은 검증·신뢰(92.3점)였고, 가장 낮은 셋은 도구 활용 폭·보안 거버넌스·자산화였습니다. 사람이 스스로 길러낸 능력은 높고, 회사가 깔아 줘야 하는 장치는 낮았습니다.

분포도 참고가 됩니다. 1단계 2곳, 2단계 12곳, 3단계 15곳, 4단계 5곳, 5단계 2곳. 2~3단계에 75%가 몰려 있었습니다.

업종별·규모별 추정 밴드

아래는 공개 통계가 아니라 진단 응답과 현장 관찰에 기반한 추정입니다. 절대 기준이 아니라 모양을 비교하는 용도로만 쓰는 편이 안전합니다.

• 금융·통신: 거버넌스 축이 다른 축보다 0.5~1.0점 높고, 비즈니스 임팩트 축이 뒤처지는 모양
• 제조: 데이터 축 강세, 조직·인재 축 약세. 현장 데이터는 많은데 역할 재정의가 안 된 경우
• 유통·서비스: 현업 활용은 빠른데 데이터 소유권과 보안 규정이 비어 있는 모양
• 공공: 규정은 갖췄고 속도가 느림. 총점은 중간, 분산은 작음

규모로 보면 성격이 갈립니다. 대기업은 총점이 높아도 축 간 격차가 크고, 중견·중소는 전체 저점이지만 한 번 방향이 잡히면 전환이 빠릅니다.

결국 비교해야 할 대상은 업계 평균이 아니라 지난 분기의 자사 점수입니다. 밴드는 참고선이고, 추세선이 본론입니다. 다른 프레임워크와 축 구성을 맞춰 보려면 AI 성숙도 모델 비교를 함께 놓고 읽으면 환산이 수월합니다.

레벨 전환은 왜 막히나요? L1→L2부터 L4→L5까지 실패 원인과 해결 체크포인트

“작년에도 3단계였는데요.” 재측정 자리에서 이 말이 나오면 분위기가 가라앉습니다. 정체는 능력 문제가 아니라 거의 항상 구조 문제입니다.

L1→L2, L2→L3: 파일럿 난립과 데이터 소유권 공백

1. L1→L2 실패: 전담 인력 0명인 채로 자발적 사용에 기댄다. 잘 쓰는 직원 몇 명의 개인기가 전부라 사람이 바뀌면 원점으로 돌아갑니다.

   해결은 과제 공모와 사용 로그로 우선순위를 정하고, 파일럿을 2~3개로 못 박는 것입니다. 더 벌이면 관리가 아니라 방치가 됩니다.

   • 통과 판정: 전담 담당자 1명 이상 지정(겸직 가능, 역할 기술서 필수)
   • 통과 판정: 진행 중 파일럿 목록과 종료 조건이 한 장에 정리됨
   • 통과 판정: 민감정보 입력 금지 범위가 고지·서명됨

   • L2→L3 실패: 가장 흔한 구간입니다. 부서별 중복 투자, 데이터 소유권·보안 승인 지연, ROI 산식 미합의가 한꺼번에 터집니다.

     중앙 플랫폼과 모델 레지스트리로 도구를 합치고, RACI를 다시 그리고, 성과 산식을 재무팀과 먼저 합의하는 순서가 현실적입니다. 순서를 바꾸면 숫자 싸움으로 반년이 갑니다.

     • 통과 판정: 승인 도구 목록이 단일 문서로 존재
     • 통과 판정: 상위 10개 데이터셋의 소유 부서·책임자 확정
     • 통과 판정: ROI 산식에 재무팀 서명

한 사업부에서 스물여덟 명과 두 시간 실습을 했습니다. 사전 설문에 답한 스물네 명 전원이 AI를 쓰고 있었는데, 자기 작업 절차를 남이 링크 하나로 받아 쓸 수 있게 가진 사람은 0명이었습니다.

생산성이 안 오른 게 아닙니다. 오른 생산성이 사람 머릿속에만 남아서 조직 지표에 안 잡힌 겁니다. L2에서 멈추는 조직의 전형이고, 제조 쪽에서는 이 상태로 1년 반을 보내는 경우를 드물지 않게 봅니다.

L3→L4, L4→L5: 표준화 피로와 에이전트 조직 전환

1. L3→L4 실패: 규정 과잉이 속도를 죽입니다. 모든 과제에 같은 승인 절차를 걸면 현업은 결국 승인받지 않는 길을 찾습니다.

   EU AI Act의 리스크 분류를 응용해 위험등급별로 승인 단계를 차등하는 방식이 효과적입니다. 저위험 과제는 사후 보고, 고위험만 사전 심의로 나누는 식입니다. AI 거버넌스 성숙도 5단계가 이 차등 설계를 구간별로 다룹니다.

   • 통과 판정: 위험등급 3구간과 구간별 승인 소요일 공표
   • 통과 판정: 직무별 역량 인증 체계 운영(이수율 아닌 산출물 기준)
   • 통과 판정: 핵심 프로세스 2개 이상에 AI가 상시 포함

   • L4→L5 실패: 사람 중심 프로세스에 에이전트를 끼워 넣습니다. 기존 결재선은 그대로 둔 채 Agentic AI만 붙이면 병목이 그대로 남습니다.

     프로세스를 먼저 다시 그리고, 에이전트의 권한 범위와 감사 로그를 설계하는 순서여야 합니다. NIST AI RMF나 ISO의 AI 관리체계 표준이 로그 항목을 정할 때 참고가 됩니다.

     • 통과 판정: 에이전트 권한 매트릭스(읽기·쓰기·승인) 문서화
     • 통과 판정: 모든 자동 실행에 감사 로그와 롤백 절차
     • 통과 판정: 재설계된 프로세스가 기존 결재선을 대체(병행 아님)

반대 사례도 있습니다. 어떤 서비스 조직은 다른 걸 건드리지 않고 데이터 소유권 목록 작성과 RACI 갱신만 먼저 끝냈고, 두 분기 만에 데이터 축 평균이 눈에 띄게 올라가며 L3 판정을 받았습니다. 병목 축 하나만 밀어도 레벨은 움직입니다.

결재하는 쪽에 앉아 교육 품의서를 승인하고 반려해 본 입장에서 말하면, 임원이 보고 싶은 건 도입률이 아니라 ‘막힌 지점과 그걸 뚫을 담당자 이름’입니다. 전담 조직을 어떻게 띄울지는 AI CoE 조직 구성 가이드가 3명에서 시작하는 방식을 다룹니다.

리스크 준수와 ROI는 성숙도 점수에 어떻게 반영하나요?

규제 항목은 점수 매기기가 가장 애매합니다. 지키고 있다는 느낌은 있는데 증거가 없어서입니다.

ROI는 반대 문제를 겪습니다. 숫자는 있는데 재무팀이 인정하지 않는 숫자죠. 두 영역 모두 “문서로 확인되는가”로 바꾸는 순간 점수가 됩니다.

EU AI Act·NIST AI RMF·ISO 기준을 진단 문항으로 번역하기

EU AI Act의 위험 분류, NIST AI RMF의 네 기능, ISO의 AI 경영시스템 표준은 서로 다른 문서입니다. 그런데 진단 문항으로 옮기면 비슷한 질문으로 모입니다.

아래 5개 항목을 각 0~4점으로 매기면 리스크 관리 프레임워크 준수 수준이 20점 척도로 나옵니다.

진단 문항(근거 프레임워크)	0점	2점	4점
용도별 위험 분류 체계 보유(EU AI Act)	분류 없음	일부 부서 자체 기준	전사 분류표 + 연 1회 갱신
금지·고위험 용도 목록 문서화(EU AI Act)	구두 공유	가이드 초안 존재	승인된 목록 + 예외 승인 절차
인간 개입 절차(NIST AI RMF · Manage)	없음	담당자 재량	업무별 개입 지점 명시
프롬프트·출력 로그 보관 기간 규정(ISO·내부감사)	미보관	도구 기본값에 의존	보관 기간·접근 권한 규정
모델·프롬프트 변경 이력 관리(NIST AI RMF · Measure)	없음	담당자 개인 메모	레지스트리 버전 기록

NIST AI RMF는 진단 축과 깔끔하게 대응됩니다. Govern은 전략 축, Map은 데이터·거버넌스 축, Measure는 비즈니스 임팩트 축, Manage는 기술·플랫폼 축으로 넣으면 중복 문항이 줄어듭니다.

한 가지 경고가 필요합니다. AI 거버넌스 플랫폼을 도입했다는 사실은 점수 근거가 아닙니다. 도구 보유는 0점도 4점도 아니고, 그 도구에서 나온 로그와 승인 기록이 점수입니다.

규제 산업이라면 문항을 더 세분해야 합니다. 업종별 적용 범위는 규제산업 AI 도입 가이드에서, 통제가 속도를 죽이지 않게 하는 균형점은 AI 거버넌스 성숙도 5단계 글에서 다뤘습니다. 조직 구조 자체를 다시 짜는 관점은 메타넷의 조직 재설계 논의가 참고가 됩니다.

ROI 지표 3층 구조: 활동·효율·재무

ROI 측정은 층을 섞는 순간 무너집니다. 세 층을 분리해 두면 KPI 설계가 쉬워집니다.

• 1층 활동지표 — 계정 사용률, 등록 과제 수, 사내 프롬프트 공유 건수
• 2층 효율지표 — 업무별 처리시간 절감, 재작업률, 검토 반려 건수
• 3층 재무지표 — 절감 시간의 인건비 환산, 매출 기여, 외주비 회피액

레벨 판정에 쓰는 규칙은 단순합니다. L3 이상을 주장하려면 경영진 보고서에 2층과 3층이 들어 있어야 합니다. 1층만 보고하는 조직은 점수와 무관하게 L2로 봅니다.

HRD 담당자라면 교육 성과를 2층에 직접 걸 수 있습니다. 교육 전후로 같은 산출물 하나를 정해 소요 시간을 재는 방식입니다. 보고서 초안 4시간이 2.5시간이 되면 그게 효율지표 한 줄입니다.

한 사업부에서 사전 설문을 받았을 때, 스물네 명 전원이 AI를 쓰고 있었습니다. 그런데 자기 작업 절차를 남이 링크 하나로 받아 쓸 수 있게 가진 사람은 0명이었습니다. 생산성이 안 오르는 게 아니라, 오른 생산성이 머릿속에만 있어서 조직 지표에 안 잡히는 겁니다.

진단 결과를 90일 실행 계획으로 바꾸는 템플릿

점수표를 받으면 더 막막해집니다. 낮은 칸이 열 개 넘게 보이니까요.

원칙은 하나입니다. 병목 축 한 개에 자원의 60%를 넣고, 나머지 축은 현 상태 유지 관리만 합니다. 축을 고르게 올리려는 계획은 90일 뒤 전부 미완으로 남습니다.

레벨별 90일 과제 배분(0~30·31~60·61~90일)

1. 착수 전: 병목 축 확정 — 18문항 결과에서 최저 축 1개와 인식 갭이 가장 큰 문항 2개를 집어냅니다. 이 셋이 90일 과제의 전부입니다.
2. 0~30일 — L1·L2는 전담 AI 리더 1명을 지정하고 과제 공모로 파일럿 프로젝트 3개를 고릅니다. L3·L4는 모델 레지스트리 등록 절차를 운영으로 정착시키는 구간입니다.
3. 31~60일 — L1·L2는 데이터 소유권 표를 작성합니다. L3·L4는 위험등급별 승인 간소화안을 보안·법무와 확정합니다. 이 시점에 HRD의 변화관리 과제가 들어갑니다. 직무별 활용 시나리오 워크숍이 그것입니다.
4. 61~90일 — L1·L2는 성과 산식을 재무팀과 합의하고 2층 지표를 처음 측정합니다. L3·L4는 핵심 프로세스 2개를 내재화하고 에이전트 파일럿 1건을 올립니다.
5. 90일 종료: 재측정 — 같은 18문항을 다시 돌려 점수 변동 폭을 기록합니다. 가장 적게 움직인 축이 다음 분기 과제가 됩니다.

Databricks의 거버넌스 성숙도 로드맵은 스프린트를 촘촘하게 잡습니다. 국내 조직은 보안·개인정보 검토에 2~4주가 더 들기 때문에, 그 접수를 0~30일 구간에 미리 올려야 일정이 밀리지 않습니다.

담당·산출물·판정 기준을 묶은 RACI 템플릿

과제마다 네 칸만 채우면 RACI 매트릭스가 됩니다. 실행(R)은 AI CoE 간사, 승인(A)은 전담 리더, 자문(C)은 보안·법무·재무, 공유(I)는 사업부장입니다.

1. 과제명과 해당 진단 문항 번호를 함께 적어 둡니다. 왜 하는지가 숫자로 남습니다.
2. 산출물은 문서 단위로 씁니다. “데이터 소유권 표 v1”, “승인 간소화 지침” 같은 식입니다.
3. 판정 기준은 통과·미통과 두 값만 둡니다. 기준은 “승인 서명을 받았는가” 하나로 충분합니다.

실무진 교육과 별개로 임원진에게 줄 인사이트를 미리 맞추자는 조직은 도입이 빠릅니다. 위와 아래가 같은 언어를 갖게 되기 때문입니다. 90일 계획서에 임원 보고 슬라이드 한 장을 산출물로 넣으면 그 효과가 생깁니다.

전체 단계 흐름은 AI 활용 성숙도 5단계 글에, 교육 과제를 커리큘럼으로 바꾸는 방법은 사내 AI 교육 가이드에 정리해 뒀습니다. 사내 설문을 돌릴 여유가 없다면 팬덤퍼널의 3분 무료 진단이 그 역할을 합니다. 점수와 병목 축이 리포트로 나와 품의서 배경란에 그대로 붙습니다.

자주 묻는 질문

진단 설계를 설명하고 나면 질문은 늘 비슷한 다섯 가지로 모입니다. 점수표보다 이 대답들이 먼저 필요할 수도 있습니다.

AI 성숙도 진단은 어떤 기준으로 수행해야 하나요?

전략·데이터·기술·조직·비즈니스 5개 축을 증거 기반 문항으로 점수화하고, 평균이 아니라 최저 축으로 레벨을 판정하는 것이 기준입니다. ‘열심히 하고 있다’ 같은 인식 문항은 점수가 부풀고, 조직마다 해석이 달라져 재측정 때 추이가 깨집니다.

그래서 문항은 전부 ‘문서가 존재하는가’, ‘승인 절차가 기록으로 남는가’ 형태로 바꿔야 합니다. 평균을 쓰면 기술 축 만점이 거버넌스 공백을 가려버립니다. 레벨은 가장 약한 축이 끌어내린다고 보는 편이 실제 운영과 맞습니다. 상세 문항 구성은 AI 성숙도 자가진단 체크리스트와 함께 보면 축 설계가 더 분명해집니다.

AI 성숙도 레벨 1에서 2로 넘어가지 못하는 가장 흔한 이유는 무엇인가요?

전담 인력이 0명이고 과제 선정 기준이 없어, 개인이 알아서 쓰는 상태에 머무는 구조가 가장 흔한 원인입니다. 도구 계정은 늘어나는데 어떤 업무를 먼저 바꿀지 정하는 사람이 없으니, 성과가 조직 지표로 올라오지 않습니다.

한 사업부에서 사전 설문을 받았을 때, 스물네 명 전원이 AI를 쓰고 있었지만 자기 작업 절차를 남이 링크 하나로 받아 쓸 수 있게 가진 사람은 0명이었습니다. 해법은 단순합니다. 겸직이어도 좋으니 리더를 한 명 지정하고, 파일럿 과제를 둘이나 셋으로 제한해 끝까지 기록을 남기는 것입니다.

AI 성숙도가 높은 조직과 낮은 조직의 실제 성과 차이는 어느 정도인가요?

Gartner 조사 기준으로 성숙도가 높은 조직의 목표 달성률은 45% 수준, 후발 조직은 20% 수준으로 두 배 이상 벌어집니다. 다만 이 숫자를 그대로 사내 보고서에 옮기기 전에 확인할 것이 있습니다.

조사마다 ‘성숙도’의 정의가 다릅니다. 어떤 연구는 거버넌스 체계를, 어떤 프레임워크는 플랫폼 운영 수준을 기준으로 삼습니다. 그래서 외부 통계는 방향을 보는 용도로 쓰고, 판단의 근거는 자사 재측정값의 변동 폭으로 두는 편이 안전합니다. Gartner 설문 원문 요약에서 측정 모집단을 먼저 확인하면 해석 오류가 줄어듭니다.

중소·중견기업도 5단계 성숙도 모델을 그대로 적용할 수 있나요?

18문항은 그대로 유지하되, 조직 축 가중치와 플랫폼 요건을 축소해 적용하면 됩니다. 전담 CoE나 모델 레지스트리 같은 항목을 그대로 묻으면 거의 모든 중소 조직이 0점을 받아 진단 자체가 무의미해집니다.

대신 ‘담당자 1인 지정’, ‘공유 폴더에 지시서 축적’, ‘월 1회 사례 회의’ 수준으로 증거 기준을 낮춰 채점하면 됩니다. 규모가 작을수록 전체 점수는 낮지만 전환 속도는 빠릅니다. 소규모 조직의 시작 구조는 AI CoE 조직 구성 방식을 참고해 3명 단위로 설계하는 편이 현실적입니다.

AI 거버넌스와 AI 성숙도는 어떻게 다른가요?

AI 거버넌스는 성숙도를 구성하는 5개 축 가운데 한 축의 운영 체계이고, 성숙도는 그 축을 포함한 조직 전체의 수준입니다. 둘을 같은 말로 쓰면 ‘규정집을 만들었으니 레벨이 올랐다’는 잘못된 결론에 이릅니다.

점수는 문서 보유가 아니라 운영 증거에서 나옵니다. 위험등급별 승인이 실제로 분기 몇 건 처리됐는지, 로그가 얼마나 보관되는지가 채점 대상입니다. 통제와 속도를 함께 가져가는 설계는 AI 거버넌스 성숙도 5단계 기준으로 따로 점검하는 것을 권합니다.

마무리

진단 점수가 낮게 나오면 기운이 빠집니다. 그런데 36개 조직 실측에서 2~3단계에 75%가 몰려 있었습니다. 2단계에 혼자 계신 게 아니라, 거의 모두가 거기 함께 있습니다.

• 레벨을 결정하는 것은 평균이 아니라 최저 축이고, 자원은 그 병목 축 하나에 60%를 몰아야 움직인다
• 점수의 근거는 인식이 아니라 증거 — 문서·승인 기록·로그가 있는지로만 채점
• 외부 벤치마크는 방향 참고용, 판단 기준은 분기별 재측정의 변동 폭

지금 할 수 있는 첫 행동은 하나입니다. 18문항을 엑셀에 옮겨 놓고, 경영진·현업·IT 각 1명씩만 같은 문항에 답하게 해 세 열을 나란히 두는 것.

점수보다 세 집단의 격차가 먼저 보일 겁니다. 그 격차가 바로 첫 90일의 과제입니다.

여기까지 하면 우리 레벨과 병목 축은 손에 들어옵니다. 그런데 그다음이 막힙니다. 진단 결과를 들고 예산을 요청하는 순간, 숫자가 아니라 ‘보안은 어떻게 할 건가’, ‘효과를 어떻게 증명하나’ 같은 질문이 먼저 돌아오기 때문입니다.

저는 결재하는 쪽에 앉아 교육 품의서를 승인도 하고 반려도 해봤습니다. 반려되는 품의서는 대부분 내용이 부실해서가 아니라, 그 다섯 질문에 미리 답해두지 않아서였습니다. 진단 다음 단계의 서류 작업은 기업 AI 교육 도입 8단계 로드맵에서 순서대로 짚어뒀습니다.

이미 한 번 반려를 받아본 상태라면 더 유용합니다. 가상 기업 한결식품(320명, 교육 대상 40명) 시나리오로 전 칸을 채운 품의서 완성 예시본과, ‘내년에 하자’·’무료로 배우면 되잖나’ 같은 반려 사유 5가지별 재상신 문구가 그대로 들어 있습니다. AI 교육 도입 서류 3종 무료로 받기 — 전 칸을 채운 품의서 완성 예시본과 반려 사유 5가지별 재상신 문구 포함 (편집용 DOCX)