체크리스트

AI 프롬프트, 교육 전에 정해야 하는 다섯 가지 기준

AI 프롬프트를 '잘 쓴 문장'이 아니라 역할·범위·출력계약·검증·입력금지선을 담은 운영 규칙으로 보고, 개인정보 보호법과 OpenAI·Anthropic 가이드로 정리합니다.

2026-11-06

AI 프롬프트를 검색하면 대부분 "효과적으로 질문하는 법"이나 "잘 쓴 문장 템플릿"이 나옵니다. 그런데 기업이나 공공기관에서 AI 교육을 설계하는 담당자에게는 직원 개개인의 질문 스킬보다 먼저 정해야 할 것이 있습니다. 조직이 허용하는 AI 프롬프트는 잘 쓴 문장이 아니라 역할, 범위, 출력계약, 검증, 개인정보 입력금지선 다섯 가지가 함께 들어가는 운영 규칙입니다. 이 다섯 가지를 교육 전에 정해 두지 않으면, 좋은 프롬프트 예시를 가르쳐도 직원마다 다른 기준으로 업무 데이터를 입력하게 됩니다.

왜 개인의 작문 능력이 아니라 조직의 규칙으로 봐야 하는지, 그리고 다섯 가지 기준이 각각 무엇을 정하는지를 순서대로 살펴봅니다.

"좋은 프롬프트"를 가르치는 것과 "허용되는 프롬프트"를 정하는 것은 다릅니다

프롬프트를 잘 쓰는 사람을 늘리는 교육과, 조직이 그 프롬프트를 운영에 쓸 수 있도록 정해 두는 규칙은 다른 작업입니다. OpenAI는 프롬프트 엔지니어링을 모델이 요구사항을 일관되게 충족하는 결과를 내도록 효과적인 지시문을 쓰는 과정이라고 정의하면서도, 모델이 생성하는 결과는 비결정적이라 원하는 출력을 얻는 일이 예술과 과학이 섞인 작업이라고 설명합니다.

그래서 OpenAI는 복잡한 애플리케이션을 만들 때는 특정 모델 스냅샷에 프로덕션을 고정하고, 프롬프트 행동을 측정하는 테스트와 평가 세트를 구축해 반복 개선이나 모델 변경 시 성능을 모니터링하라고 권장합니다. 개발사조차 "한 사람이 잘 쓴 문장"과 "여러 사람이 반복해서 써도 안전한 지시문"을 다른 문제로 다루는 셈입니다. 교육 담당자가 똑같이 둘을 나눠서 설계해야 하는 이유입니다.

기준 1 — 역할: 이 AI가 누구 역할을 대신하는지 정합니다

Anthropic은 시스템 프롬프트에서 역할을 지정하는 것만으로도 모델의 행동과 톤이 그 역할에 맞게 집중된다고 설명하며, 한 문장만으로도 차이가 난다고 덧붙입니다. OpenAI도 지시문을 구성할 때 가장 앞에 어시스턴트의 목적과 소통 방식, 상위 목표를 설명하는 정체성(Identity) 영역을 두도록 안내합니다.

교육에서 "역할을 정한다"는 것은 직원 각자가 매번 다르게 역할을 지어내는 것과 다릅니다. 같은 업무를 반복하는 직원이라면 "보도자료 초안을 쓰는 담당자", "계약서 조항을 검토하는 보조"처럼 업무 단위로 역할을 미리 정해 교육 자료에 담아야, 사람이 바뀌어도 같은 전제로 프롬프트를 씁니다.

기준 2 — 범위: 무엇을 하고, 무엇을 하지 않는지 적어 둡니다

OpenAI는 지시문 구성에서 역할 다음에 지시(Instructions) 영역을 두고, 모델이 어떤 규칙을 따라야 하는지, 무엇을 해야 하고 무엇을 절대 하지 않아야 하는지를 적으라고 안내합니다. 역할만 정하고 범위를 비워 두면, 같은 역할을 받은 AI라도 사람마다 "여기까지는 해도 되는지"를 다르게 판단합니다.

범위를 글로 적어 두는 효과는 공공부문에서도 이미 공식화돼 있습니다. 한국지능정보사회진흥원은 2026년 6월 공개한 「공공부문 AI 도입·활용 가이드」에서 AI서비스 컨셉 정의, 예산 수립 및 확보, 이용 계약, 서비스 구현, 운영 및 고도화라는 5단계 절차를 제시했는데, 가장 앞 단계인 컨셉 정의가 바로 이 서비스로 무엇을 하고 무엇을 하지 않을지를 먼저 글로 정하는 단계입니다. 서비스 하나를 들이는 기관도 이 순서를 건너뛰지 않는데, 개별 직원의 프롬프트 범위를 정하지 않고 교육만 하는 것은 그 순서를 거꾸로 가는 셈입니다.

기준 3 — 출력계약: 결과물의 형식과 제약을 미리 정해 둡니다

Anthropic은 출력 형식과 제약을 구체적으로 지정하고, 순서나 완결성이 중요한 경우에는 번호 목록이나 불릿 포인트로 단계를 제시하라고 권장합니다. 형식을 말로만 설명하는 대신 예시를 보여 주는 방법도 안내합니다. 예시는 Claude의 출력 형식·톤·구조를 조정하는 가장 신뢰할 수 있는 방법 중 하나이며, 실제 사용 사례와 가깝고 다양한 경우를 포함한 3~5개를 쓰는 것이 좋다고 설명합니다.

출력계약에는 참고 자료를 어디에 넣을지도 포함됩니다. OpenAI는 모델 학습 범위 밖의 자료나 조직의 비공개 데이터처럼 추가로 필요한 맥락(Context)은 프롬프트의 뒤쪽에 두는 편이 낫다고 안내합니다. 생성 요청마다 들어가는 맥락이 달라질 수 있기 때문입니다. 역할·범위·형식·맥락을 매번 같은 순서로 배치해 두면, 직원이 바뀌어도 같은 틀에 내용만 채워 넣을 수 있습니다.

기준 4 — 검증: 프롬프트도 테스트와 평가가 필요합니다

한 번 괜찮은 결과가 나온 프롬프트가 다음에도 똑같이 괜찮은 결과를 낸다는 보장은 없습니다. 앞서 본 것처럼 OpenAI는 프로덕션 환경에서는 특정 모델 스냅샷에 고정하고 프롬프트 행동을 측정하는 테스트와 평가 세트를 구축해 모니터링하라고 권장합니다. 교육에서 "이 프롬프트 좋아요"라고 보여주는 예시 하나로 끝내면, 모델이 업데이트되거나 입력 데이터의 형태가 바뀌었을 때 결과가 달라지는 것을 아무도 알아채지 못합니다.

조직 단위에서는 전담 평가 시스템을 새로 만들 필요는 없습니다. 담당 부서 단위로 "이 프롬프트로 나온 결과물 중 사람이 다시 고친 비율"을 분기마다 한 번씩 확인하는 담당자를 지정해 두는 정도면, 모델이나 업무 양식이 바뀌었을 때 기준을 다시 손봐야 한다는 신호를 놓치지 않습니다.

기준 5 — 개인정보 입력금지선: 어디까지 입력해도 되는지 미리 그어 둡니다

개인정보 보호법 제15조 제1항은 개인정보처리자가 정보주체의 동의를 받는 등 일정한 경우에만 개인정보를 수집할 수 있고, 수집한 목적의 범위에서만 이용할 수 있다고 규정합니다. 직원이 고객 응대 업무를 처리하면서 수집한 개인정보를, 그 목적과 무관하게 "요약이 빠르니까" 외부 AI 서비스 프롬프트에 그대로 붙여넣으면 수집 목적의 범위를 벗어난 이용이 될 수 있습니다.

개인정보보호위원회는 2024년 7월 「인공지능(AI) 개발·서비스를 위한 공개된 개인정보 처리 안내서」를 공개하면서, AI 개발 목적의 정당성, 공개된 개인정보 처리의 필요성, 구체적 이익형량이라는 세 가지 요건을 모두 충족해야 공개된 개인정보도 정당한 이익을 근거로 처리할 수 있다고 밝혔습니다. 같은 안내서는 개인정보위와 한국인터넷진흥원이 2023년 기준으로 주민등록번호·여권번호·운전면허번호 등 노출이 금지된 개인정보가 포함된 페이지를 20,999건 탐지해 삭제했다는 사실도 함께 전합니다.

인터넷에 이미 공개된 정보조차 세 가지 요건을 모두 따져야 정당한 이익으로 인정받습니다. 아직 공개되지 않은 고객·직원 개인정보를 "업무 편의상" 프롬프트에 그대로 입력할 근거는 더 없습니다. 교육 전에 "이런 항목은 절대 입력하지 않는다"는 금지 목록을 구체적인 항목으로 정해 둬야 합니다.

자주 묻는 질문

직원이 몇 명부터 이 다섯 가지 기준을 문서로 만들어야 하나요?
인원 수보다 같은 업무를 반복하는 사람이 둘 이상인지가 기준입니다. 한 사람만 쓰는 프롬프트는 그 사람이 조정하면 되지만, 여러 사람이 같은 업무에 같은 AI를 쓰기 시작하는 순간부터 역할·범위를 공통 기준으로 정해 둬야 결과물 편차가 줄어듭니다.
이미 프롬프트 모음이나 가이드가 있는데, 다섯 가지 기준과 뭐가 다른가요?
프롬프트 모음은 보통 "이렇게 쓰면 잘 나온다"는 문장 예시 모음입니다. 다섯 가지 기준은 그 문장이 다루는 역할과 범위가 어디까지인지, 출력을 어떻게 검증할지, 입력해서는 안 되는 정보가 무엇인지를 문장 바깥에서 먼저 정해 두는 운영 규칙입니다. 문장 모음을 만들기 전에 이 규칙부터 정하는 순서가 맞습니다.
개인정보는 AI 프롬프트에 아예 입력하면 안 되는 건가요?
전면 금지가 정답은 아닙니다. 개인정보 보호법 제15조는 정보주체의 동의 등 일정한 근거가 있으면 수집·이용을 허용합니다. 다만 그 근거와 목적 범위를 조직이 미리 확인해 두지 않은 채 담당자 개인의 판단에 맡기면 안 된다는 뜻입니다.
공공기관은 민간기업과 기준이 다른가요?
다섯 가지 기준 자체는 같지만, 공공기관은 AI 서비스를 들이는 절차 자체가 공식화돼 있다는 점이 다릅니다. 한국지능정보사회진흥원의 「공공부문 AI 도입·활용 가이드」처럼 컨셉 정의부터 운영·고도화까지 단계가 이미 정해져 있어, 프롬프트의 역할·범위를 그 절차 중 어느 단계에서 확정할지부터 맞춰야 합니다.
다섯 가지를 전부 한 번에 만들어야 하나요?
순서를 두는 편이 낫습니다. 법적 노출 위험이 큰 개인정보 입력금지선을 가장 먼저 정하고, 역할·범위를 이어서 확정한 뒤, 출력계약과 검증 방식은 실제 사용 데이터를 보면서 다듬어도 됩니다.