AI 정책은 금지 목록보다 업무 기준에 가깝다
기업의 AI 활용이 늘어나면 도구 사용 여부만으로는 관리가 어렵다. 같은 생성형 AI라도 공개 자료의 요약에 사용하는 경우와 고객정보를 입력해 상담하는 경우의 위험은 다르다.
정책 문서가 필요한 이유는 모든 사용을 막기 위해서가 아니다. 어떤 업무에 어떤 자료를 사용할 수 있고, 결과를 누가 검토하며, 문제가 생기면 누가 대응하는지 정하기 위해서다.
이 글은 기업 내부의 AI 정책 문서 체계를 설계하기 위한 일반적인 실무 안내다. 아래에 제시한 문서 구분과 운영 방식이 모든 기업에 동일하게 요구되는 법정 의무라는 뜻은 아니다. 개별 기업의 법적 의무는 사업과 서비스, 처리 정보, 적용 법령에 따라 별도로 판단해야 한다.
규제 대응은 법 이름보다 적용 관계부터 확인한다
국내의 ‘인공지능 발전과 신뢰 기반 조성 등에 관한 기본법’은 2026년 1월 22일부터 시행됐다. 따라서 이를 아직 논의 중인 법안처럼 설명하는 것은 적절하지 않다.
다만 기업이 AI를 사용한다는 사실만으로 모든 조항이 동일하게 적용되는 것은 아니다. 해당 기업이 어떤 제품이나 서비스를 제공하는지, 법령상 어떤 주체에 해당하는지 확인해야 한다.
예를 들어 같은 법 제31조는 고영향 인공지능과 생성형 인공지능을 이용한 제품·서비스에 관한 사전 고지와 표시 의무 등을 규정한다. 구체적인 방법과 예외는 시행령을 함께 확인해야 한다. 이 내용을 모든 사내 문서의 동일한 표시 의무로 단순화해서는 안 된다.
EU AI Act도 모든 의무가 한 날짜에 동일하게 적용되는 구조로 이해해서는 안 된다. 규제 항목과 사업자의 역할, 시스템 용도에 따라 적용 일정과 확인 사항이 달라진다. 최신 개정과 경과 규정도 함께 검토해야 한다.
한국 기업이라도 유럽 시장과 연결된 제품·서비스를 제공한다면 적용 범위를 살펴야 한다. 반대로 유럽 규제의 최대 제재 금액을 모든 국내 AI 사용에 바로 적용되는 위험처럼 설명해서도 안 된다.
먼저 AI 사용 현황을 정리한다
정책 문서를 작성하기 전에 현재 사용하는 AI 도구와 업무를 파악해야 한다.
어느 부서가 어떤 서비스를 사용하는지, 어떤 정보를 입력하는지, 결과물이 내부 참고용인지 외부 고객에게 제공되는지 기록한다. 외부 시스템을 변경하거나 개인에게 영향을 주는 의사결정에 활용되는지도 구분한다.
같은 제품이라도 계정과 계약 조건, 관리 설정에 따라 데이터 처리 방식이 달라질 수 있다. 개인용 계정과 회사가 관리하는 계정을 구분하고, 입력 자료의 보관과 재사용 조건을 확인해야 한다.
이러한 사용 현황이 없으면 정책은 실제 업무와 분리된 선언문이 되기 쉽다. 작성한 문서가 어떤 도구와 업무에 적용되는지 연결하는 작업이 먼저다.
AI 사용 정책에는 허용 범위와 검토 책임을 담는다
사용 정책은 임직원이 일상 업무에서 참고할 수 있는 기준이어야 한다.
승인된 도구와 계정, 사용할 수 있는 업무를 명시하고 별도 검토가 필요한 업무도 구분한다. 개인정보와 영업비밀, 고객 제공 자료 등을 입력할 때 적용할 승인 절차와 보호조치를 정한다.
결과물의 사용 기준도 필요하다. AI가 작성한 내용이라는 이유만으로 사실 확인과 저작권 검토가 생략되는 것은 아니다. 외부에 제공할 문서는 출처와 사실관계, 민감정보 포함 여부를 확인할 책임자를 정하는 편이 좋다.
직원이 규정을 적용하기 어려울 때 질문할 담당자와 예외 승인 절차도 마련해야 한다. 금지 문장만 나열하기보다 실제 업무에서 판단할 경로를 제공하는 것이 중요하다.
도입·개발 검토 문서는 실행 전의 질문을 남긴다
새로운 AI 도구를 구매하거나 내부 기능을 개발할 때는 사용 목적과 대상 업무부터 기록한다. 기대 효과뿐 아니라 실패했을 때 발생할 영향도 함께 검토해야 한다.
입력 정보의 출처와 처리 근거, 외부 제공 여부, 보관 기간을 확인한다. 공급자의 데이터 처리 조건과 하위 처리 관계, 계약 종료 후 자료 처리 방식도 검토 대상이다.
기술 평가에서는 정상 입력뿐 아니라 정보 부족과 잘못된 입력, 연결 실패 상황을 포함한다. 정확성과 보안, 편향 위험, 사람의 검토 가능성을 업무 특성에 맞게 살펴야 한다.
기능 변경과 모델 교체 이후에도 기존 검토 결과가 유효한지 확인할 절차가 필요하다. 도입 당시의 한 차례 승인만으로 이후 모든 변경이 승인된 것으로 보아서는 안 된다.
고위험 업무는 승인 지점을 명확히 한다
AI가 고객에게 답변을 보내거나 계약 조건을 제안하거나 개인에게 영향을 주는 결정을 지원한다면, 결과물의 승인 구조를 구체적으로 정해야 한다.
검토 담당자가 무엇을 확인해야 하는지, 어떤 경우 사용을 보류해야 하는지 문서에 남긴다. 단순히 ‘사람이 검토한다’는 문장만으로는 책임과 절차가 충분히 드러나지 않는다.
사람의 검토가 필요한 업무라면 승인 권한과 실제 시스템 동작이 일치해야 한다. 승인하지 않았는데도 발송이나 데이터 변경이 이뤄질 수 있다면 문서만으로 통제한다고 보기 어렵다.
업무상 권고하는 검토 절차와 법령이 요구하는 감독·통제 의무는 구분해 기록해야 한다. 둘의 근거를 나눠두면 정책을 수정할 때도 판단하기 쉽다.
사고 대응 문서는 즉시 실행할 수 있어야 한다
사고 대응 문서는 긴급한 상황에서 누가 무엇을 해야 하는지 알려줘야 한다.
예상하지 못한 정보 노출과 잘못된 외부 답변, 권한 없는 시스템 변경, 차별 위험이 의심되는 결과 등이 발생했을 때 신고할 담당자를 정한다.
초기에는 해당 기능을 중단하거나 접근을 제한하고, 영향을 받은 정보와 업무 범위를 확인하는 절차를 마련한다. 필요한 증거는 보존하되 민감정보가 불필요하게 확산되지 않도록 관리해야 한다.
개인정보 유출이나 분야별 사고에 해당할 가능성이 있으면 적용 법령에 따른 통지·신고 의무와 기한을 확인해야 한다. 모든 사고에 하나의 공통 기한을 임의로 적용해서는 안 된다.
고객과 공급자, 감독기관에 대한 연락은 사실 확인과 책임 체계 안에서 진행해야 한다. 초기 추정을 확정된 원인처럼 전달하지 않는 원칙도 필요하다.
복구 이후에는 기술 문제뿐 아니라 승인 절차와 교육, 공급자 관리에서 개선할 점이 있었는지 검토한다.
소규모 기업은 역할을 명확히 하는 것부터 시작한다
모든 기업이 같은 규모의 AI 위원회를 운영해야 하는 것은 아니다. 이 글에서 위원회나 전담조직 설치를 일률적인 법적 의무로 제시하지 않는다.
소규모 조직이라면 사용 현황을 관리할 담당자와 보안·개인정보 검토 역할, 최종 승인자를 우선 지정할 수 있다. 필요하면 외부 전문가의 검토를 활용하되 최종 책임과 의사결정 경로를 분명히 해야 한다.
정책의 범위도 조직의 실제 사용에 맞추는 편이 좋다. AI 모델을 직접 개발하지 않는 기업이 개발 절차 문서를 그대로 복사하는 것보다, 외부 서비스 이용과 정보 입력, 결과물 검토 기준을 구체화하는 것이 우선일 수 있다.
문서의 양보다 실제 담당자가 내용을 이해하고 적용할 수 있는지가 중요하다.
검토 주기는 내부 기준과 법적 요구를 구분한다
정책은 도구와 계약, 법령, 업무 방식이 바뀌면 함께 검토해야 한다. 사고나 중요한 기능 변경이 발생했을 때 재검토하는 절차도 필요하다.
정기적인 검토 주기를 내부 기준으로 정하는 것은 도움이 된다. 다만 ‘모든 기업이 반드시 연 1회 검토해야 한다’는 식의 보편적인 법정 의무로 표현해서는 안 된다. 특정 법령이나 계약에서 요구하는 주기가 있는지는 별도로 확인해야 한다.
문서에는 버전과 적용 범위, 승인자, 변경 이유를 남긴다. 교육 자료와 실제 시스템 설정도 함께 갱신해야 정책과 운영이 어긋나는 일을 줄일 수 있다.
결론: 정책 문서는 관리가 이뤄졌다는 기록과 연결돼야 한다
AI 정책 문서를 보유하고 있다는 사실만으로 규제 준수나 사고 예방이 보장되지는 않는다.
사용 현황과 승인 기록, 평가 결과, 교육 내역, 사고 대응 이력 등 실제 운영 자료와 연결돼야 문서가 업무 기준으로 기능할 수 있다.
기업은 어떤 AI를 사용하는지 파악하고, 정보 입력과 결과물 사용의 경계를 정하며, 중요한 실행에는 승인과 중단 경로를 마련해야 한다.
그 위에서 적용 법령과 계약에 따른 의무를 확인하고, 내부 운영 권고와 구분해 관리하는 것이 바람직하다. 정책 문서의 목적은 책임을 문장으로 옮기는 데 있지 않다. 책임이 실제로 작동하도록 만드는 데 있다.
참고 자료
국가법령정보센터: 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법
국가법령정보센터: 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 시행령 https://www.law.go.kr/법령/인공지능발전과신뢰기반조성등에관한기본법시행령
유럽연합 집행위원회: AI Act 공식 안내 https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai