가이드

AI 거버넌스, 전담 조직 없이 지침부터 만드는 순서

AI 거버넌스는 전담 조직이 있어야 시작하는 일이 아닙니다. 지침 없음 → 금지 목록 → 허용 목록 → 승인 절차, 네 단계로 최소 구성을 세우는 순서를 정리했습니다.

2026-10-27

AI 거버넌스는 전담 조직이 생긴 뒤에 시작하는 일이 아닙니다. 한국지능정보사회진흥원(NIA)이 AI를 업무에 활용 중인 제조업체 1,064곳을 조사한 결과, 65.9%는 AI 활용과 관련한 지침이 전혀 없다고 답했습니다. 기본적인 가이드라인을 갖춘 곳은 30.5%였고, 기업 고유의 문서화된 정책까지 수립한 곳은 3.6%에 불과했습니다. 이 글은 대기업의 거버넌스 체계를 그대로 줄이지 않고, '지침 없음 → 금지 목록 → 허용 목록 → 승인 절차' 네 단계로 최소 구성을 세우는 순서를 정리합니다.

네 단계를 한 번에 채울 필요는 없습니다. 어느 단계부터 손대야 하는지, 건너뛰면 어디서 막히는지부터 봅니다.

지침이 없는 회사가 이렇게 많은 이유는 무엇인가요?

같은 조사에서 AI 결과물의 편향성을 검토하는 가이드라인을 보유한 제조업체는 1.2%뿐이었습니다. 전체의 98.8%가 관련 기준이 없다는 뜻입니다. 지침이 없는 것은 관심이 없어서가 아닙니다. AI 도입을 확대하기 위해 고려 중인 활동을 물었을 때, 가장 많이 나온 답은 '새로운 AI 기술 및 서비스 동향 파악'(1순위 응답 44.8%, 1~3순위 합산 61.7%)이었습니다.

반면 거버넌스에 직접 해당하는 항목은 순위가 낮았습니다. '기술 활용에 따른 윤리 지침 마련'은 1순위 응답 2.0%, 합산 9.4%였고, '전담조직 개편'은 1순위 0.2%, 합산 8.3%였습니다. 기술을 따라가는 일과 그 기술을 어떻게 통제할지 정하는 일 사이에, 순위로 보면 10배 가까운 격차가 있는 셈입니다.

대기업·공공 프레임워크를 그대로 줄이면 왜 안 되나요?

공공부문의 거버넌스 체계는 무겁습니다. 국가인공지능전략위원회가 2026년 10월에 연 제5차 인공지능책임관(CAIO) 협의회는 참석 범위를 28개 장관급 기관에서 인사혁신처·법제처·국가데이터처 등 14개 차관급 기관을 더해 42개 중앙행정기관으로 넓혔습니다. 행정안전부가 배포한 「공공부문 AI 도입·활용 가이드」도 기획-예산-계약-구축-운영 5단계로 표준화된 전 과정을 다룹니다.

전담 조직이 없는 회사가 이 구조를 그대로 복제하면 운영할 사람이 없습니다. 42개 기관이 모이는 협의체나 5단계 표준 절차는 전담 인력과 예산이 전제입니다. 대신 필요한 것은 역할을 나누는 조직도가 아니라, 무엇을 허용하고 무엇을 막을지 정하는 기준입니다. 그 기준부터 네 단계로 쌓습니다.

1단계: 금지 목록은 왜 지침 없음 다음에 와야 하나요?

개인정보보호위원회의 「공공 AX 프라이버시 보호 안내서」는 입력 프롬프트 단계의 위험을 줄이는 방법으로 불필요한 개인정보 입력 제한, 금지되는 입력에 대한 안내, 사용자 교육을 제시합니다. 결재나 전담 부서 없이도 공지 한 장으로 시작할 수 있는 조치입니다.

금지 목록이 먼저인 이유는 작성 비용이 가장 낮기 때문입니다. 허용 범위를 정하려면 업무별 승인 기준이 필요하지만, 금지 목록은 '하지 말 것'만 나열하면 됩니다. 최소한으로 시작한다면 아래 네 항목이 출발점입니다.

주민등록번호 등 고유식별정보, 건강·소득 정보 등 민감정보 입력 금지
내부 문서 전체를 통째로 복사해 입력하는 행위 금지
가명·익명 처리를 거치지 않은 고객·직원 데이터 입력 금지
AI 출력 결과를 사람의 검토 없이 그대로 외부에 발신하는 행위 금지

2단계: 허용 목록은 어떤 기준으로 나누나요?

개인정보보호위원회는 공공 AX를 기초업무 보조, 정보 연계·분석·추천, 선별·판단 세 유형으로 나누고, 뒤로 갈수록 더 엄격한 점검을 요구합니다. 기초업무 보조는 검색·요약·문서 작성처럼 기존 업무를 효율화하는 수준이라 이용지침 안내와 접속기록 모니터링 정도로 충분하다고 봅니다. 반면 선별·판단은 자동화된 결과가 사람에 대한 평가나 결정으로 이어지므로, 법령상 근거와 비례성 검토, 거부권·설명 요구권 보장까지 따라붙습니다.

민간 기업도 같은 축으로 허용 목록을 나눌 수 있습니다. 문서 초안·회의록 요약처럼 결과를 사람이 그대로 쓰지 않고 검토하는 업무는 폭넓게 허용하고, 채용 서류 심사나 인사평가처럼 사람에 대한 판단으로 이어지는 업무는 허용 목록에서 빼거나 별도 승인을 거치게 합니다.

선별·판단 영역을 가볍게 허용하면 생기는 문제는 해외 사례에 이미 나와 있습니다. 호주는 복지급여 과·오지급을 자동 대조 시스템으로 선별하다 소득을 기계적으로 평균화해 무고한 시민에게 채무를 부과했고, 네덜란드는 성별·혼인상태 같은 인적 정보로 복지급여 사기를 예측하다 취약계층 차별 논란을 낳았습니다. 둘 다 사람에 대한 판단을 기술에 넘긴 뒤 뒤늦게 통제를 더한 경우입니다.

3단계: 승인 절차는 전담 부서가 없어도 만들 수 있나요?

만들 수 있습니다. 승인 절차에서 가장 먼저 정할 것은 새 조직이 아니라 이미 있는 의사결정권자를 지정하는 일입니다. NIA 조사에서도 전담조직 개편은 AI 도입 확대 과제 중 우선순위가 가장 낮은 축(1순위 0.2%, 합산 8.3%)에 속했습니다. 조직을 새로 짜는 데 자원을 쓰기보다, 기존 부서장이나 경영진 한 명에게 승인 권한을 맡기는 쪽이 현실적입니다.

승인 절차의 범위도 좁혀야 실무 부담이 줄어듭니다. 모든 AI 활용을 매번 승인받는 구조는 지속되지 못합니다. 허용 목록 안의 업무는 승인 없이 쓰고, 허용 목록 밖으로 나가는 요청만 승인을 받게 하면, 심사 대상이 줄어든 만큼 결정도 빨라집니다. 국가인공지능전략위원회가 CAIO 협의회를 일회성 보고가 아니라 정례 협의체로 운영하기로 한 것도 같은 이유입니다. 기준이 쌓여야 결정이 반복되지 않습니다.

단계를 건너뛰면 어떻게 되나요?

순서를 거꾸로 밟으면 가장 먼저 승인 절차부터 만드는 경우가 많습니다. 결재선을 그리는 일이 익숙하기 때문입니다. 하지만 금지 목록과 허용 목록 없이 승인 절차만 있으면, 요청마다 심사 기준을 처음부터 다시 정해야 합니다. 결재는 느려지고, 담당자는 매번 같은 질문을 반복합니다.

반대로 허용 목록만 있고 금지 목록이 없으면 더 위험합니다. 무엇을 써도 되는지는 적혀 있지만, 무엇을 입력하면 안 되는지는 아무도 모릅니다. 가장 적은 비용으로 당장 시작할 수 있는 단계는 언제나 금지 목록입니다.

정리하면

단계	핵심 질문	필요한 것
1. 금지 목록	무엇을 입력하면 안 되는가	공지 한 장
2. 허용 목록	어떤 업무까지 허용하는가	업무 유형 구분
3. 승인 절차	누가 예외를 결정하는가	기존 의사결정권자 지정

지침 없음에서 벗어나는 데 전담 조직이 필요하지 않습니다. 순서만 지키면 됩니다.

자주 묻는 질문

전담 조직이 없는데 거버넌스를 시작할 수 있나요?
가능합니다. 지침 없음 다음 단계는 전담 조직이 아니라 금지 목록입니다. 공지 한 장으로 시작할 수 있습니다.
금지 목록과 허용 목록 중 무엇을 먼저 만들어야 하나요?
금지 목록입니다. 허용 범위를 정하려면 업무별 승인 기준이 필요하지만, 금지 목록은 하지 말 것만 나열하면 되므로 작성 비용이 낮습니다.
승인 절차를 꼭 새 조직이 맡아야 하나요?
아닙니다. 기존 부서장이나 경영진 한 명에게 승인 권한을 맡기고, 허용 목록 밖으로 나가는 요청만 심사 대상으로 좁히는 방식이 현실적입니다.
공공기관의 CAIO 협의회 모델을 가져와야 하나요?
전체 구조를 복제할 필요는 없습니다. 42개 기관이 모이는 협의체는 전담 인력과 예산이 전제된 체계입니다. 가져올 것은 '정례적으로 결정하는 자리'라는 발상이지, 조직 규모가 아닙니다.
윤리·편향 검토는 언제 넣나요?
허용 목록을 나눌 때 선별·판단 영역에만 우선 넣습니다. 문서 작성 보조 같은 업무에 처음부터 똑같은 검토를 적용하면 그 자체가 또 다른 병목이 됩니다.