공공기관 AI 도입, 감사에서는 무엇을 보나요?

공공기관 AI 도입 감사에서 되묻는 것은 "왜 도입했나"가 아니라 "어떤 근거로 그 방식으로 계약했나"입니다. 계약 방식 자체에 법적 근거가 마련돼 있어서, 그 근거를 탔는지가 확인 대상이 됩니다. 디지털서비스 이용지원시스템은 「클라우드컴퓨팅법 시행령」 개정으로 디지털서비스 심사위원회가 계약 대상을 사전 선정할 수 있게 됐다고 설명합니다.

타 기관이 어떤 방식으로 계약하는지부터 정리하면, 감사에서 볼 항목이 자연스럽게 나옵니다.

다른 기관은 어떤 방식으로 계약하나요?

같은 자료에 따르면 기존 일반경쟁 입찰 절차는 상당 기간이 소요되어 긴급한 수요가 있을 경우 도입·이용이 지연되는 한계가 있었습니다. 그래서 두 갈래가 만들어졌습니다.

방식	근거	확인해야 할 것
수의계약	「국가계약법 시행령」 개정	그 서비스가 심사위원회 선정 목록에 있는가
카탈로그 계약	「조달사업법 시행령」 개정	조달청이 검토한 카탈로그 조건과 실제 계약이 맞는가

심사위원회는 과기정통부·기획재정부·행정안전부·조달청 등 관계부처 공무원과 민간 전문가로 구성됩니다. 즉 선정 자체가 관계부처가 함께 만든 절차라, 그 목록에 근거한 계약은 설명하기 쉽습니다.

감사에서 곤란해지는 경우는 대개 "빨리 하려고 수의계약했다"입니다. 근거는 속도가 아니라 선정 여부입니다. 선정 목록에 없는 서비스를 수의계약했다면 그 자체가 지적 대상이 됩니다.

감사에서는 무엇을 확인하나요?

계약 서류만 보는 것이 아니라 도입 이후까지 봅니다. 과학기술정보통신부의 「국가기관 등을 위한 디지털서비스 이용계약 가이드라인」이 이용계약의 절차와 방법을 정리하고 있으므로, 기관이 남겨야 할 기록도 여기에서 역산할 수 있습니다.

• 계약 방식의 근거 — 선정 여부 확인 기록, 어느 조항으로 계약했는지
• 계약 상대방 — 국내 계약 주체가 누구이고 세금계산서·대금 지급이 정합한지
• 이용 범위 — 누구에게 계정을 열었고 어떤 데이터를 다루기로 했는지
• 보관·접근 통제 — 관리자 설정이 내부 규정과 맞는지
• 실제 이용 실적 — 계약 인원 대비 실사용, 예산 집행의 타당성

마지막 항목이 자주 빠집니다. 계약은 정당했는데 계정 대부분이 놀고 있으면 예산 집행의 적정성 쪽에서 다시 질문을 받습니다.

보안 관리는 어디까지 문서로 남기나요?

보안 검토는 두 층입니다. 하나는 공급사의 데이터 처리 정책이고, 다른 하나는 우리 기관의 설정입니다. 두 번째는 공급사가 대신 정해 주지 않으므로 기관 문서로 남아야 합니다.

1. 입력 금지 데이터 범위 — 개인정보·미공개 정보 중 무엇을 넣지 않을지
2. 역할별 접근 권한 — 누가 어떤 기능을 쓰는지
3. 보관 기간 설정값 — 내부 규정과 대조한 기록
4. 사고 시 대응 절차 — 잘못 입력된 정보를 어떻게 처리할지

네 항목 모두 계약 전에 정해 두면 감사 대응 자료가 그대로 만들어집니다. 계약 후에 만들면 소급 문서가 되어 설득력이 떨어집니다.

진행 사례는 어디서 참고하나요?

소프트웨어정책연구소의 2024년 공공부문 AI 도입현황 연구가 공공부문의 도입 현황과 단계, 도입 과정의 애로를 정리하고 있습니다. 기관 유형과 단계를 대조하면 우리 기관이 지금 어디쯤인지, 다음에 무엇이 걸릴지 미리 보입니다.

사례를 읽을 때 결과보다 그 기관이 계약 전에 무엇을 문서로 남겼는지를 보십시오. 그 목록이 감사 준비 목록과 거의 같습니다.

지금 확인할 다섯 가지

• 도입하려는 서비스가 심사위원회 선정 목록에 있는가
• 선정 여부를 확인한 기록이 남아 있는가
• 국내 계약 주체와 대금 지급 경로가 확정됐는가
• 입력 금지 데이터·접근 권한·보관 기간이 문서로 있는가
• 계약 인원 대비 실사용을 어떻게 집계할지 정했는가

함께 보면 좋은 자료

• 공공기관이 챗GPT를 계약하려면 어디서 어떻게 받나요? — 견적·계약 경로 상세
• 챗GPT 기업용은 개인용과 보안이 뭐가 다른가요? — 공급사 정책에서 확인할 항목
• 공공기관 AI 전환 — 기관 유형별 접근
• 지자체 AI 전환 사례 — 도입 이후 실제로 바뀐 것

자주 묻는 질문

• 수의계약이 감사에서 문제가 되나요?
  근거가 있으면 문제되지 않습니다. 심사위원회가 사전 선정한 디지털서비스에 대해 「국가계약법 시행령」 개정으로 수의계약 근거가 마련돼 있습니다. 선정되지 않은 서비스를 수의계약하는 경우가 위험합니다.
• 계약 방식의 근거를 어떻게 남기나요?
  선정 여부를 확인한 시점과 화면·문서를 기록하고, 어느 조항으로 계약했는지 계약서와 함께 보관하십시오.
• 보안 검토는 공급사 자료로 충분한가요?
  부족합니다. 공급사 정책 확인과 별개로 기관의 입력 금지 데이터·접근 권한·보관 기간 설정이 문서로 남아야 합니다.
• 계정을 다 쓰지 않으면 지적받나요?
  예산 집행의 적정성 관점에서 질문을 받을 수 있습니다. 계약 인원 대비 실사용을 집계할 방법을 계약 시점에 정해 두십시오.
• 다른 기관 사례는 어디서 보나요?
  공공부문 도입현황 연구로 단계와 애로를 먼저 대조하고, 사례에서는 결과보다 계약 전에 남긴 문서 목록을 보십시오.

참고한 자료

• 과학기술정보통신부 (확인일 2026-08-16), 디지털서비스 이용지원시스템 — 디지털서비스 전문계약이란
• 과학기술정보통신부, 국가기관 등을 위한 디지털서비스 이용계약 가이드라인
• 소프트웨어정책연구소 (2024), RE-188 공공부문 AI 도입현황 연구