어떤 AI 도구를, 누가 쓸 수 있는가 (02/08)

AI 거버넌스 구축 가이드 · Ep.02

같은 질문에,
팀마다 답이 달랐다.

어떤 AI 도구를, 누가 쓸 수 있는가 · HFC Consulting

---

신규 입사자가 첫 주에 묻는다. "우리 조직에서 쓸 수 있는 AI 도구가 뭡니까?" 개발팀의 답과 기획팀의 답이 다르다. 보안팀에 물으니 "원칙적으로는 검토 후 사용"이라는데, 검토를 어디에 신청하는지는 아무도 모른다. 신규 입사자는 결국 옆자리 동료가 쓰는 도구를 개인 계정으로 설치한다. 조직의 열두 번째 섀도우 AI가 이렇게 태어난다.

도구 표준은 거버넌스의 첫 단추다. 어떤 도구가 허용되는지가 정해져야, 데이터 기준도 검증 게이트도 그 위에 세워진다.

도구 표준의 세 가지 구성 요소

도구 표준이라고 하면 "허용 도구 리스트 한 장"을 떠올리기 쉽다. 리스트만 있는 표준은 만든 날부터 낡기 시작한다. 실효적인 표준은 세 요소로 구성된다.

구성 요소	정하는 것	없을 때 생기는 일
① 승인 도구 목록	도구명·제공사·이용 형태·데이터 처리 조건·승인일	"써도 되는지"를 매번 사람에게 물음
② 계정 정책	기업 계정 원칙, 개인 계정 업무 사용 금지	같은 도구라도 데이터가 학습에 활용됨
③ 신규 승인 절차	신청 창구·검토 관점·처리 기한	절차가 없으면 무단 사용이 절차가 됨

특히 ②가 자주 누락된다. 동일한 도구라도 개인 계정과 기업 계정은 입력 데이터의 저장·학습 조건이 다른 경우가 많다. 발주 사업이라면 이 목록은 2기 7화에서 다룬 계약 별첨의 승인 도구 목록과 같은 양식을 쓰는 것이 합리적이다. 조직 내부용과 수급인 계약용이 같은 기준으로 관리되어야 점검이 한 번에 끝난다.

규정에 넣을 문구

① 사용 원칙 조항
"업무 목적의 AI 도구 사용은 승인 도구 목록에 등재된 도구에 한하며, 조직이 제공하는 계정으로 사용한다. 개인 계정의 업무 사용은 금지한다."

② 승인 절차 조항
"목록에 없는 도구의 사용이 필요한 경우 [담당 조직]에 서면으로 신청하며, 담당 조직은 데이터 처리 조건·보안·라이선스를 검토하여 영업일 [10]일 이내에 승인 여부를 회신한다."

③ 승인 목록 관리 항목 (별첨 양식)
도구 명칭과 제공사 / 이용 형태(기업 계정·자체 구축 등) / 입력 데이터의 저장 위치 / 학습 미활용 설정의 적용 여부와 확인 방법 / 승인 일자와 재검토 주기

첫 목록은 단속이 아니라 사면으로 시작한다

규정 시행일에 이미 조직 안에는 미승인 도구가 돌고 있다. 이 현실을 무시하고 "즉시 금지"로 시작하면, 사용 중이던 도구들은 사라지는 것이 아니라 숨는다. 실무적인 시작은 등록 유예 기간이다. 시행 후 2~4주간 현재 사용 중인 도구를 신고하면 소급 문책 없이 검토 대상으로 받아 주는 것이다. 이 기간에 만들어진 목록이 조직의 실제 사용 현황이고, 그 현황 위에서 만든 표준만이 지켜진다. 서두의 열한 개짜리 목록은 단속으로는 절대 나오지 않는 숫자다.

예상 반론과 대응

반론 1. "승인 목록이 도구 도입 속도를 늦추고 혁신을 막습니다."
대응. 속도를 늦추는 것은 목록이 아니라 기한 없는 절차다. 그래서 승인 절차 조항에 처리 기한을 명시한다. 기한이 있는 승인 절차는 무규정 상태보다 도입이 빠르다. 무규정 조직에서는 눈치와 개별 문의가 절차를 대신하고, 그것이 가장 느리다.

반론 2. "기업 계정은 비용이 듭니다. 개인 계정이면 무료인데요."
대응. 개인 계정의 가격에는 데이터 처리 조건이 포함되어 있지 않다. 입력한 업무 데이터가 모델 학습에 활용되는 설정이라면, 그 무료의 대가는 조직의 정보다. 계정 비용은 데이터 통제권의 가격이며, 유출 사고 한 건의 대응 비용과 비교하면 산정이 어렵지 않다.

도구 표준 체크포인트 — 승인 목록에 데이터 처리 조건까지 기재 / 개인 계정 업무 사용 금지 명문화 / 신규 승인의 창구·기한 명시 / 목록 재검토 주기(분기 권장) 지정 / 수급인 계약의 승인 목록과 동일 양식 사용

도구 표준은 거버넌스에서 가장 먼저 세우는 기둥이면서, 가장 자주 갱신해야 하는 기둥이기도 하다. 도구 시장이 분기마다 바뀌기 때문이다. 목록의 재검토 주기까지 규정에 박아 두어야 첫 버전이 낡은 채 방치되지 않는다. 어떤 도구를 쓸지 정했다면, 다음은 그 도구에 무엇을 넣어도 되는지다. 채팅창 앞에서 멈춰야 할 데이터 — 다음 편이다.

※ 본 연재의 규정·양식 템플릿은 일반적 참고용이며, 조직의 규모·규제 환경에 맞는 조정이 필요합니다.

📎 더 읽을거리
· 생성형 AI 개발·활용을 위한 개인정보 처리 안내서 (개인정보보호위원회) — 도구 승인 시 확인할 데이터 처리 조건의 기준
· OWASP — 도구 보안성 검토의 참조 자료

HFC Consulting의 관점

지금 조직에서 사용 중인 AI 도구 목록을 아는 대로만 보내 주십시오. 승인 목록 양식에 맞춰 정리해 드리고, 비어 있는 관리 항목을 짚어 드립니다.

✉ changks@hfcconsulting.co.kr

1영업일 이내 답변 · 주식회사 에이치에프씨 컨설팅 · 대표이사 장기석

---

📚 연재 · AI 거버넌스 구축 가이드
◀ 이전 편 (01/08) 규정 없이 도구부터 들어왔다
다음 편 ▶ (03/08) 채팅창 앞에서 멈춰야 할 데이터
연재 전체 보기 →