팀의 AI 관리: 우리 팀은 이미 쓰고 있다 (07/08)

AI시대의 프로젝트 착수·수행 가이드 · Ep.07

손을 든 사람은 없었다.
쓰는 사람은 절반이었다.

팀의 AI 관리: 우리 팀은 이미 쓰고 있다 · HFC Consulting

---

발주자의 보안 점검 공문이 왔다. 항목 하나가 낯설었다. "생성형 AI 도구 사용 현황 및 통제 방안 제출." 주간회의에서 PM이 물었다. 손을 든 사람은 없었다. 개별 면담에서는 절반이 쓰고 있다고 답했다.

이것이 2026년 수행 현장의 표준 풍경이다. 활용은 이미 시작되었고, 기준은 아직 없다. 그 공백에서 자라는 것은 생산성이 아니라 리스크다.

이미 시작된 활용, 아직 없는 기준

금지의 역설부터 보자. AI 사용 금지령은 사용을 없애지 못한다. 보이지 않게 만들 뿐이다. 보이지 않는 사용에는 검증이 없고, 기록이 없고, 따라서 책임 추적이 없다. 검수 산출물에서 출처 불명의 코드가 발견되는 장면(PMO 실전 노트, 그 코드는 누가 짰습니까)은 그 공백의 필연적 결과다.

보안의 차원은 더 급하다. 발주기관의 업무 정보, 소스 코드, 개인정보가 개인 계정의 외부 모델로 들어가는 경로는 망분리 환경에서도 열려 있다. 개발자의 개인 단말이 있기 때문이다. 기준이 없는 프로젝트에서 이 경로는 존재 자체가 파악되지 않는다. 유출이 확인되는 순간 그것은 품질 문제가 아니라 계약 해지와 배상의 문제가 된다.

제안 단계에서 AI 활용 조건에 어떻게 답할지는 8기 6화에서 다뤘다. 수행 단계는 그 약속의 이행 국면이다. 그리고 이행이 실패하면 도착하는 곳은 7기 4화가 그린 지점, AI가 만든 버그는 누구 책임인가라는 하자담보의 분쟁이다. 착수 단계의 기준 수립(1화 체크리스트 ⑦)은 그 분쟁의 보험이다.

AI 활용 기준: 다섯 조항이면 시작할 수 있다

프로젝트 AI 활용 기준 5조항

① 허용 범위 — 보일러플레이트, 테스트 코드, 문서 초안 등 허용 작업을 명시한다

② 금지 영역 — 핵심 업무 로직 생성, 개인정보·기밀 데이터의 외부 모델 입력을 금지한다

③ 검증 절차 — AI 산출 코드는 전수 리뷰를 거치고 리뷰어를 기록한다

④ 기록 의무 — 활용 내역(도구·범위·검증 결과)을 형상관리에 등재한다

⑤ 발주자 합의 — 기준을 발주자와 서면 합의하고 보고 체계에 포함한다

기준의 목적은 처벌이 아니라 양성화다. 다섯 조항이 합의되는 순간, 어제까지 숨어서 쓰던 절반의 팀원은 오늘부터 기록하며 쓰는 팀원이 된다. 달라진 것은 사용량이 아니라 가시성이고, 리스크를 결정하는 것은 언제나 사용량이 아니라 가시성이다.

④의 기록 부담은 생각보다 작게 설계할 수 있다. 커밋 메시지에 도구 태그 한 줄, 리뷰 기록에 확인자 이름 한 칸이면 최소 요건은 충족된다. 기록 양식이 무거우면 기록이 죽고, 기록이 죽으면 기준 전체가 장식이 된다. 양식의 무게는 언제나 준수율과 반비례한다.

도입은 단계적으로 간다. 첫 주에 다섯 조항의 초안을 팀과 발주자에 회람하고, 한 파트에서 2주간 시범 운영하며 기록 양식의 부담을 실측한 뒤, 전체 확정한다. 처음부터 완벽한 기준을 노리면 합의가 늦어지고, 합의가 늦어지는 동안 음성 사용은 계속된다. 거친 기준의 이른 시행이 정밀한 기준의 늦은 시행보다 낫다.

예상 반론과 대응

반론. "기준과 기록 의무를 만들면 생산성이 떨어진다."

대응. 반대다. 음성 사용은 리뷰 없는 코드를 낳고, 리뷰 없는 코드는 하자 단계에서 원가로 폭발한다. 기록 한 줄의 비용과 원인 추적 불능 결함 하나의 비용을 비교하면 답은 자명하다. 기준은 생산성의 세금이 아니라 보험이다.

반론. "발주자가 AI 사용 자체를 꺼린다. 굳이 먼저 꺼낼 이유가 없다."

대응. 발주자가 두려워하는 것은 사용이 아니라 통제 불능이다. 통제 방안을 먼저 제시하는 수행사는 신뢰를 얻고, 숨기다 발각되는 수행사는 계약을 잃는다. 그리고 AI기본법 시행으로 발주기관 스스로가 AI 관리 체계를 요구받는 시대다. 수행사의 기준 제시는 발주자의 숙제를 함께 풀어 주는 일이기도 하다.

반론. "회사 차원의 AI 사용 지침이 이미 있다. 프로젝트 기준이 또 필요한가."

대응. 사내 지침은 회사의 문서이고, 프로젝트 기준은 계약의 문서다. 분쟁의 국면에서 효력을 갖는 것은 발주자와 서면으로 합의된 쪽뿐이다. 사내 지침이 있다면 일은 오히려 쉽다. 그것을 이 프로젝트의 데이터 등급과 발주기관의 보안 요건에 맞게 번역해 ⑤의 합의 절차에 태우면 된다. 번역 없이 원문을 들이미는 것은 합의가 아니라 통보이고, 통보된 기준은 지켜지지 않는다.

도구는 숨기는 순간 리스크가 된다

세대마다 새 도구가 왔다. 오픈소스가 그랬고 클라우드가 그랬다. 매번 결론은 같았다. 도구를 이긴 조직은 없고, 도구를 관리한 조직만 있다. 생성형 AI도 다르지 않다. 우리 팀은 이미 쓰고 있다. 남은 질문은 하나뿐이다. 기록하며 쓰는가, 숨기며 쓰는가. 그 답을 발주자의 공문이 도착하기 전에 준비한 팀과 도착한 뒤에 찾는 팀, 프로젝트의 신뢰는 거기서 갈린다.

체크포인트 — 금지가 아니라 명문화 / 허용 범위·금지 영역·검증·기록·합의의 5조항 / 기준은 착수 단계에 / 가시성이 리스크를 결정한다

📎 더 읽을거리

인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 (국가법령정보센터) — AI 관리 체계에 관한 국내 기본 법제

소프트웨어진흥법 (국가법령정보센터) — 소프트웨어사업 수행·관리에 관한 제도적 근거

본 글은 일반적인 정보 제공을 목적으로 하며 개별 사안에 대한 법률 자문이 아닙니다. 구체적인 계약·법률 판단은 반드시 전문가와 상의하시기 바랍니다.

팀의 AI, 보이고 있습니까

HFC컨설팅은 프로젝트 AI 활용 기준 수립, 검증·기록 체계 설계, 발주자 합의 지원까지 돕습니다. 우리 팀의 사용 현황을 지금 답할 수 없다면, 그것이 시작 신호입니다.

changks@hfcconsulting.co.kr

1영업일 이내 답변 · 주식회사 에이치에프씨 컨설팅 · 대표이사 장기석

---

📚 AI시대의 프로젝트 착수·수행 가이드

◀ 이전 편: 변경 대응: 변경을 막지 말고 절차에 태워라

다음 편 ▶ 검수 방어: 검수는 마지막 주에 시작되지 않는다

연재 전체 보기 →