AI 산출물이 조직에 들어오는 관문 (04/08)

AI 거버넌스 구축 가이드 · Ep.04

만들어지는 속도가,
확인하는 속도를 넘었다.

AI 산출물이 조직에 들어오는 관문 · HFC Consulting

---

금요일 오후, 급한 수정 요청. 개발자가 AI로 패치를 만들고, 리뷰어가 자리에 없어 그대로 배포한다. 문제없이 돌아간다. 같은 일이 다음 주에도, 그다음 주에도 반복된다. 문제없이 돌아간다. 한 달 뒤 장애가 났을 때에야 확인된다 — 그 사이 검토 없이 편입된 코드가 마흔일곱 건이었다. 어느 것이 원인인지 아무도 모른다.

생산 속도가 검증 속도를 앞지르면, 검증은 생략되는 것이 아니라 미래로 이월된다. 이자가 붙어서.

게이트는 세 겹이면 된다

1기 1화에서 물었다. 바이브 코딩으로 만든 코드, 누가 검수하는가. 2기 5화에서는 수급인 납품물의 검수 조항을 만들었다. 이번 편은 조직 내부의 상시 관문이다. 납품 검수가 연 몇 번의 행사라면, 검증 게이트는 매일 작동하는 문이다. 문은 세 겹으로 세운다.

게이트	확인 내용	수행 주체
① 자동 검사	정적 분석·보안 스캔·테스트 통과 (미통과 시 다음 단계 차단)	도구 (CI 파이프라인 상시 편입)
② 사람 리뷰	설계 의도 부합·도메인 규칙·엣지 케이스	리뷰어 (AI 생성 여부 고지 위에서)
③ 편입 승인	운영 자산 반영 결정과 기록	담당 책임자 (긴급 배포도 사후 승인 필수)

핵심은 ①의 위치다. 자동 검사가 배포 직전이 아니라 개발 과정에 상시 편입되어 있으면, 게이트는 속도를 거의 늦추지 않는다. 사람의 시간이 드는 ②를 ①이 걸러낸 것에만 집중시키는 구조 — 이것이 검증 속도가 생산 속도를 따라잡는 유일한 방법이다. 문서·기획 산출물도 원리는 같다. 형식 검사는 도구가, 사실 관계와 판단은 사람이, 대외 반영은 책임자가 본다.

규정에 넣을 문구

① 게이트 원칙 조항
"AI 도구를 활용해 생성한 코드·문서 등 산출물은 자동 검사, 담당자 리뷰, 편입 승인의 3단계 게이트를 통과한 후에만 운영 자산에 반영한다. 자동 검사 미통과 산출물은 리뷰 대상이 되지 아니한다."

② 고지 조항
"산출물 작성자는 AI 도구의 활용 여부와 범위(생성·보조·검토)를 리뷰 요청 시 고지한다. 고지는 평가에 불이익을 주지 아니하며, 미고지가 확인된 경우에만 재발 방지 조치를 취한다."

③ 긴급 예외 조항
"장애 대응 등 긴급 상황에서는 ①의 절차를 사후에 이행할 수 있다. 이 경우 배포 후 [3영업일] 이내에 전 단계 게이트를 완료하고 결과를 기록한다."

예상 반론과 대응

반론 1. "게이트를 세우면 AI로 얻은 속도를 도로 반납하는 것 아닙니까."
대응. 게이트 없이 얻은 속도는 빌린 속도다. 검증되지 않은 산출물이 쌓이는 만큼 기술 부채가 쌓이고, 부채의 상환은 항상 가장 바쁜 시점에 요구된다. 자동 검사 중심의 게이트는 통과에 분 단위가 걸릴 뿐이며, 반납하는 것은 속도가 아니라 리스크다.

반론 2. "고지 조항 때문에 AI를 썼다고 말하기를 꺼리게 됩니다."
대응. 그래서 고지 불이익 금지를 같은 조항에 명시한다. 게이트의 목적은 AI 사용의 적발이 아니라 산출물의 품질이다. 고지가 안전해야 리뷰어가 어디를 집중해서 봐야 할지 알 수 있고, 그것이 리뷰 시간을 줄인다.

게이트는 만들어 두는 것으로 끝나지 않는다. 형해화를 막는 지표 두 개를 함께 운영한다. 게이트 우회율(긴급 예외로 처리된 비율 — 이 숫자가 계속 오르면 게이트가 아니라 절차가 문제다)과 게이트 리드타임(제출부터 편입 승인까지의 시간 — 이 숫자가 계속 늘면 리뷰어 병목이며, 7화의 역량 관리로 넘어갈 신호다). 두 지표는 마지막 편의 운영 캘린더에서 분기 점검 항목이 된다.

검증 게이트 체크포인트 — 자동 검사를 개발 과정에 상시 편입 / 미통과 산출물의 리뷰 차단 / AI 활용 고지와 불이익 금지의 동시 명문화 / 긴급 배포의 사후 게이트 기한 명시 / 게이트 기록을 편입 승인과 함께 보존

게이트는 산출물의 품질만 지키는 것이 아니다. 검증 이력 자체가 조직의 증빙 자산이 되어, 감사와 분쟁에서 성실 이행의 근거가 된다. 그리고 관문을 통과한 산출물에는 한 가지가 더 필요하다. 왜 그렇게 만들었는지의 기록이다. 프롬프트 시대의 의사결정 기록 — 다음 편이다.

※ 본 연재의 규정·양식 템플릿은 일반적 참고용이며, 조직의 규모·규제 환경에 맞는 조정이 필요합니다.

📎 더 읽을거리
· OWASP — 자동 검사 게이트에 들어갈 보안 기준
· DORA (DevOps Research and Assessment) — 게이트·파이프라인 성과의 실증 연구

HFC Consulting의 관점

현재 개발 파이프라인 구성을 보내 주시면, 3단 게이트를 어디에 어떤 도구로 끼워 넣을지 구성안을 만들어 드립니다. 게이트는 규정보다 배치가 성패를 가릅니다.

✉ changks@hfcconsulting.co.kr

1영업일 이내 답변 · 주식회사 에이치에프씨 컨설팅 · 대표이사 장기석

---

📚 연재 · AI 거버넌스 구축 가이드
◀ 이전 편 (03/08) 채팅창 앞에서 멈춰야 할 데이터
다음 편 ▶ (05/08) 프롬프트 시대의 의사결정 기록
연재 전체 보기 →