검수 기준 다섯 줄, 계약서에 이렇게 넣습니다 (05/08)

발주자를 위한 AI 계약 가이드 · Ep.05

검수 기준 다섯 줄이면 된다.
서명 전이라면.

검수 기준 다섯 줄, 계약서에 이렇게 넣습니다 · HFC Consulting

---

납품 검수 회의. 시연이 끝나고 전 기능이 정상 동작한다. 검수확인서에 도장이 찍힌다. 여섯 달 뒤, 기능 추가 요청이 들어오고 개발자가 그 코드를 연다. 구조가 복잡하게 얽혀 있어 손대는 데 일주일이 걸린다. 발주 담당자가 검수확인서를 다시 꺼내 읽는다. 어디에도 코드의 구조를 본다는 말은 없다. 기능이 동작하는 것과 코드가 건강한 것은 다른 문제인데, 계약서는 앞의 것만 물었다.

1기 6화의 결론은 "검수 기준은 계약 전에 합의해야 한다"였다. 이번 편은 그 합의를 조항 문구로 완성한다.

"검사에 합격하여야 한다"의 공백

표준 계약서의 검수 조항은 대개 한 문장이다. "산출물은 발주자의 검사에 합격하여야 한다." 검사의 범위와 기준은 정의되어 있지 않다. 평상시에는 문제가 되지 않는다. 분쟁이 생기면 이 문장은 양측 모두의 근거가 된다. 발주자는 품질과 보안도 검사의 당연한 범위라 주장하고, 수급인은 합의된 시험 시나리오가 검사의 전부라 주장한다. 판정 기준이 없는 조항은 사실상 조항이 아니다. AI 생성 코드가 늘어날수록 이 공백은 더 자주, 더 비싸게 드러난다.

다섯 겹의 검수 기준과 증빙

AI 생성 코드가 포함된 납품물의 검수는 다섯 개 층위로 구성한다. 각 층위마다 무엇을 확인하는지, 그리고 무엇으로 증빙하는지를 함께 정하는 것이 핵심이다. 기준만 있고 증빙 방식이 없으면 검수 회의는 다시 해석 논쟁으로 돌아간다.

검수 층위	확인 내용	증빙
① 기능	요구사항 대비 동작 여부	합의된 시험 시나리오 결과서
② 코드 품질	복잡도·중복·컨벤션 준수	정적 분석 리포트 (SonarQube 등)
③ 보안	알려진 취약 패턴 존재 여부	SAST 진단 리포트 (Semgrep, CodeQL 등)
④ 라이선스	유입 오픈소스의 라이선스 조건	라이선스 검증 리포트 (FOSSA 등)
⑤ 고지	AI 활용 내역의 제출 완료	AI 활용 내역서 (Ep.04 양식)

계약서에 넣을 문구

① 검수 기준 조항
"납품 검수는 다음 각 호를 포함한다. 1. 기능 검수: 상호 합의한 시험 시나리오 전 항목의 통과 2. 코드 품질: 정적 분석 결과가 상호 합의한 기준치를 충족하고 그 리포트를 제출할 것 3. 보안: 보안 취약점 진단 결과 상호 합의한 등급 이상의 취약점이 없고 그 리포트를 제출할 것 4. 오픈소스: 라이선스 검증 리포트를 제출하고 상용 배포에 제약이 되는 라이선스가 포함되지 않을 것 5. 고지: 제○조의 AI 활용 내역서 제출을 완료할 것."

② 보류·보완 조항
"전항 각 호를 충족하지 못한 경우 발주자는 검수 확인을 보류할 수 있으며, 수급인은 상호 합의한 기간 내에 보완하여 재검수를 요청한다."

예상 반론과 대응

반론 1. "중대 결함 0건 같은 기준치는 과도합니다."
대응. 기준치는 협상 대상이다. 등급과 개수는 사업 특성에 맞게 조정하면 된다. 다만 리포트 제출 의무 자체를 삭제하자는 요구에는 응하지 않는 것이 좋다. 기준치는 눈금의 문제이고, 리포트는 투명성의 문제다. 눈금은 조정해도 창은 열려 있어야 한다.

반론 2. "검수 항목이 늘면 일정이 지연됩니다."
대응. 정적 분석과 SAST는 자동화 도구로 수행되며, 개발 과정에 상시 편입되면 검수 시점의 추가 기간은 크지 않다. 오히려 검수 기준이 모호할 때 발생하는 재작업과 분쟁이 일정을 더 크게 지연시킨다.

실무에서 함께 정해야 할 것이 두 가지 더 있다. 검수 기간의 기산점과 재검수의 범위다. 기산점은 "수급인이 제1항 각 호의 증빙을 모두 제출한 날"로 명시해야 한다. 리포트 없이 납품하고 검수 기간이 흐르기 시작하는 구조라면, 보류 권한은 사실상 무력화된다. 재검수는 "보완된 항목에 한하여" 수행하는 것으로 범위를 좁혀 주는 것이 수급인 측 부담을 덜고 협상을 쉽게 만든다.

검수 조항 체크포인트 — 5개 층위를 각 호로 명문화 / 판정 기준치를 등급·건수로 수치화 / 도구 리포트 제출 의무화 / 미충족 시 보류·보완·재검수 절차 규정 / 검수 기간의 기산점 명시

검수를 통과한 뒤에 드러나는 문제도 있다. 그때 작동해야 하는 것이 보증 조항이다. 다음 편 — AI가 만든 하자, 누가 보증하는가.

※ 본 연재의 계약 문구는 일반적 참고용이며 법률 자문을 대체하지 않습니다. 실제 계약 시 법무 검토를 권장합니다.

📎 더 읽을거리
· OWASP (오픈 웹 애플리케이션 보안 프로젝트) — 보안 취약점 검수 기준의 국제 표준 커뮤니티
· SPDX License List — 오픈소스 라이선스 검증의 국제 표준 식별 체계

HFC Consulting의 관점

검수 협의를 앞두고 계시다면 현재 계약서의 검수 조항을 그대로 보내 주십시오. 다섯 층위 기준으로 무엇이 비어 있는지 대조표로 정리해 드립니다.

✉ changks@hfcconsulting.co.kr

1영업일 이내 답변 · 주식회사 에이치에프씨 컨설팅 · 대표이사 장기석

---

📚 연재 · 발주자를 위한 AI 계약 가이드
◀ 이전 편 (04/08) 프롬프트도 납품물입니까
다음 편 ▶ (06/08) AI가 만든 하자, 누가 보증합니까
연재 전체 보기 →