규정 없이 도구부터 들어왔다 (01/08)

AI 거버넌스 구축 가이드 · Ep.01

도구는 이미 들어왔다.
규정은 아직 없다.

규정 없이 도구부터 들어왔다 · HFC Consulting

---

보안 점검 회의. 감사팀이 IT 조직 책임자에게 묻는다. "현재 조직에서 사용 중인 AI 도구의 목록을 주십시오." 책임자가 파악에 들어간다. 공식 도입한 도구는 두 개. 그런데 팀별로 확인할수록 목록이 늘어난다. 개인 계정으로 쓰는 도구, 시험 삼아 깔았다가 업무에 정착한 도구, 협력사 인력이 가져온 도구. 사흘 뒤 목록은 열한 개가 됐다. 그중 규정이 존재하는 도구는 없었다.

도구의 도입 속도가 규정의 정비 속도를 앞질렀다. 이 격차가 거버넌스 공백이고, 공백은 언제나 가장 비싼 시점에 발견된다.

공백은 세 곳에서 비용이 된다

거버넌스가 없다고 해서 당장 프로젝트가 멈추지는 않는다. 그래서 정비가 미뤄진다. 그러나 공백의 비용은 이미 세 곳에서 발생하고 있다.

공백 영역	지금 일어나는 일	비용이 드러나는 시점
도구와 데이터	미승인 도구에 업무 데이터가 입력됨 (섀도우 AI)	보안 감사, 유출 사고, 규제기관 점검
산출물과 기록	검증 기준 없는 AI 산출물이 축적되고, 판단 근거는 기록 없이 사라짐	유지보수, 장애 원인 규명, 책임 공방
사람과 조직	활용 격차가 벌어지고, 평가·리뷰 부하가 특정 인력에 집중됨	핵심 인력 이탈, 팀 갈등, 생산성 정체

세 영역 모두 앞선 연재에서 진단했던 문제들이다. 1기 "AI시대의 사업관리"가 현장에서 무슨 일이 생기는지를 다뤘고, 2기 "발주자를 위한 AI 계약 가이드"가 수급인과의 계약 조항을 다뤘다. 3기는 남은 한 조각이다. 계약이 바깥과의 약속이라면, 거버넌스는 우리 조직 안의 약속이다. 그리고 안의 약속이 없으면, 바깥과의 약속도 지켜지지 않는다. 계약서에 넣은 승인 도구 목록도, 검수 기준도, 그것을 운영할 내부 체계가 있어야 작동하기 때문이다.

금지 규정이 아니라 운영 체계다

거버넌스라는 단어에서 통제와 금지를 떠올리면 방향이 어긋난다. 전면 금지는 섀도우 AI를 늘릴 뿐이고, 방치는 공백의 비용을 키울 뿐이다. 실효적인 거버넌스는 "무엇을 쓰지 마라"가 아니라 "무엇을, 어떤 조건에서, 어떻게 쓰는가"를 정하는 운영 체계다. 이 연재는 그 체계를 일곱 개의 구성 요소로 나눠, 매회 조직에 바로 도입할 수 있는 규정·양식 템플릿과 함께 다룬다.

우리 조직 셀프 진단 — 7문항

시작 전에 현재 위치를 확인한다. 문서나 절차의 존재를 즉시 짚을 수 있으면 "있음", 기억에 의존해야 하면 대개 "없음"이다.

① 도구 목록 — 조직에서 사용 중인 AI 도구의 전체 목록을 오늘 제출할 수 있는가

② 승인 절차 — 새 도구를 쓰려면 누구의 승인을 받는지 구성원이 알고 있는가

③ 데이터 기준 — 어떤 데이터를 AI 도구에 입력하면 안 되는지 문서화되어 있는가

④ 검증 게이트 — AI 산출물이 검증 없이 운영 자산에 편입되는 것을 막는 관문이 있는가

⑤ 기록 체계 — AI를 활용한 주요 의사결정의 근거가 기록으로 남는가

⑥ 권한 경계 — AI Agent가 자율적으로 해도 되는 일과 안 되는 일이 정의되어 있는가

⑦ 역량 관리 — 구성원 간 AI 활용 격차를 파악하고 있으며, 줄이는 계획이 있는가

다섯 개 이상이 "없음"이라도 이상한 조직이 아니다. 도구가 규정보다 빨리 들어온 모든 조직의 공통 상태다. 중요한 것은 없음의 개수가 아니라, 어느 것부터 채울지의 순서다. 이 연재가 그 순서다.

이 연재의 지도

회차	주제	제공 템플릿
02	AI 도구 표준과 승인 절차	도구 표준 규정 + 승인 목록 양식
03	데이터 입력 기준	데이터 등급 × 도구 매트릭스
04	AI 산출물 검증 게이트	검증 게이트 체크리스트
05	의사결정 기록 체계	ADR 양식 + 기록 트리거 기준
06	AI Agent의 권한 경계	Agent 권한 3분류 기준표
07	활용 격차와 역량 관리	온보딩 커리큘럼 + 평가 조정 원칙
08	거버넌스 운영 체계 (완결)	운영 캘린더 + 종합 체크리스트

규정은 도구보다 늦게 시작한다. 그것은 어쩔 수 없다. 그러나 계속 늦을 필요는 없다. 다음 편부터 하나씩 따라잡는다. 시작은 가장 기본이 되는 질문이다 — 어떤 도구를, 누가 쓸 수 있는가.

※ 본 연재의 규정·양식 템플릿은 일반적 참고용이며, 조직의 규모·규제 환경에 맞는 조정이 필요합니다.

📎 더 읽을거리
· NIST AI Risk Management Framework — AI 거버넌스 체계의 국제 참조 프레임워크
· 생성형 AI 개발·활용을 위한 개인정보 처리 안내서 (개인정보보호위원회) — 국내 규제 관점의 공식 기준

HFC Consulting의 관점

위 7문항의 진단 결과를 보내 주십시오. 조직 규모와 도메인에 맞춰 어느 요소부터 정비해야 하는지, 우선순위를 함께 잡아 드립니다.

✉ changks@hfcconsulting.co.kr

1영업일 이내 답변 · 주식회사 에이치에프씨 컨설팅 · 대표이사 장기석

---

📚 연재 · AI 거버넌스 구축 가이드
다음 편 ▶ (02/08) 어떤 AI 도구를, 누가 쓸 수 있는가
이전 연재 발주자를 위한 AI 계약 가이드 (8부작) 처음부터 보기 · AI시대의 사업관리 (10부작)
연재 전체 보기 →