바이브코딩, 직원이 만든 업무 도구를 써도 되는 기준은 무엇인가요?
바이브코딩으로 비개발 직원이 만든 업무 도구를 그대로 써도 되는지는 데이터 민감도·사용 범위·유지 책임 세 가지로 갈립니다. 조달청·행정안전부의 자체 구축 사례로 조직 기준을 정리했습니다.
2026-10-14
바이브코딩(Vibe Coding)으로 비개발 부서 직원이 업무 도구를 직접 만들 때, 조직이 먼저 정할 것은 지금 만들 수 있는가가 아니라 무엇을 입력하고, 누구까지 쓰며, 고장 나면 누가 고치는가입니다. 데이터 민감도·사용 범위·유지 책임 세 기준을 먼저 세운 조직만 바이브코딩을 개인의 실험에서 조직의 자산으로 옮길 수 있습니다.
이미 공공기관에서 실제로 벌어지고 있는 일입니다. 조달청과 행정안전부가 공개한 운영 방식을 근거로, 세 기준을 부서별로 어떻게 적용하는지 정리합니다.
바이브코딩이란 무엇이고, 공공기관은 왜 벌써 쓰고 있나요?
바이브코딩은 코드를 직접 작성하는 대신 자연어로 원하는 동작을 설명해 프로그램을 만드는 방식입니다. 조달청은 업무망 안에 AI 개발·배포 환경을 자체로 구축하고, 이 방식으로 비개발 직원이 조달법령 상담, 보도자료·인사말씀 초안 생성, 공문서 기안문 자동 작성 등 AI 서비스 7종을 직접 만들어 쓰게 했다고 밝혔습니다. 이 작업은 디지털공정조달국장이 팀장을 맡고 직원 26명이 참여하는 태스크포스가 올해 2월부터 맡고 있습니다.
행정안전부도 같은 흐름입니다. 공무원이 대화형(바이브) 코딩과 AI 에이전트로 현장의 반복 업무를 직접 개선할 수 있도록 ‘AI 정부 실험실’을 2026년 7월 3일부터 시범운영한다고 발표했습니다. 만든 결과물은 과제 문서·소스코드·프롬프트와 함께 공공 개발산출물 저장소(공공 GitLab)에 등록해 관리합니다.
왜 ‘만들 수 있는가’보다 ‘조직 기준’이 먼저인가요?
기준 없이 개인의 역량에만 맡겼을 때 무슨 일이 생기는지는 행정안전부의 조사 결과가 보여줍니다. ‘AI 정부 실험실’ 설명회 참석자 244명을 조사한 결과 주요 장애 요인은 개발환경·구독료 부족(68%), 보안지침 적용의 어려움(59%), 데이터 연계의 어려움(40%) 순으로 나타났습니다. 세 항목 모두 개인의 의지 문제가 아니라, 조직이 미리 정해 줬어야 할 범위와 자원의 문제입니다.
그래서 행정안전부는 직접개발 산출물을 실험·검증, 운영관리, 정보화사업 3단계로 나누고, 운영관리 단계부터는 소관 부서와 기관이 필요성·이용범위·정확성·보안·개인정보 보호를 확인하고 운영을 책임지도록 규정합니다. 바이브코딩이 쉬워진다고 해서 책임 소재까지 저절로 정해지지는 않는다는 뜻입니다.
기준 1 — 데이터 민감도: 무엇을 입력해도 되는가
로컬에서 돌아가는 코딩 에이전트는 사용자의 로컬 환경 맥락을 그대로 입력으로 받습니다. GitHub의 책임있는 사용 문서는 이 구조 자체가 위험 요인이라고 명시합니다. Copilot CLI는 로컬 환경의 맥락에 기반해 코드와 자연어를 생성하므로, 주의해서 쓰지 않으면 민감한 정보나 취약점을 노출할 수 있다고 설명합니다. 조달청의 조달법령 상담 도구처럼 입력이 공개 법령정보와 표준단가 같은 공개 자료에 그친다면 이 위험은 상대적으로 작습니다. 반대로 인사·계약·개인정보가 섞인 업무는 같은 방식으로 다루면 안 됩니다.
GitHub 문서는 Copilot CLI가 기본적으로 실행된 디렉터리 아래로만 파일 접근을 제한하고, 그 바깥에 접근하거나 파일을 수정하거나 명령을 실행하려면 승인을 요구한다고도 설명합니다. 바이브코딩 환경을 들일 때는 이런 접근 범위 제한과 승인 절차가 기본값으로 켜져 있는지부터 확인해야 합니다.
기준 2 — 사용 범위: 개인 도구인가, 부서 공유인가, 전사 서비스인가
만든 도구를 등록하는 것과 다른 사람이 쓸 수 있게 공개하는 것은 다른 단계입니다. 행정안전부에 따르면 2026년 9월 3일 기준 공공 개발산출물 저장소 가입 공무원은 2,073명, 등록 프로젝트는 770개이며, 이 중 376개가 다른 공무원도 쓸 수 있도록 공개돼 있습니다. 등록된 프로젝트의 절반에 못 미치는 수만 공개 단계로 넘어갔다는 뜻이고, 나머지는 아직 개인 또는 팀 범위에 머물러 있다는 뜻이기도 합니다.
조달청의 3단계 구분도 같은 축입니다. 실험·검증 단계는 개인이 사전심의 없이 최소한의 자체 확인만으로 시작할 수 있지만, 운영관리 단계로 넘어가 다른 부서나 국민이 쓰는 서비스가 되면 소관 부서와 기관이 이용범위를 다시 확인하고 책임져야 합니다. 부서 단위로 기준을 만든다면, 이 범위를 ‘개인 생산성 도구’, ‘부서 공유 도구’, ‘전사·대외 서비스’ 세 단계로 나누고 단계마다 필요한 확인 절차를 다르게 두는 편이 현실적입니다.
기준 3 — 유지 책임: 만든 사람이 자리를 옮기면 누가 고치나요?
바이브코딩으로 만든 도구는 만든 사람이 자리를 옮기거나 퇴사하면 그대로 멈추기 쉽습니다. Anthropic의 Claude Code 모범사례 문서는 이 문제를 코딩 에이전트 사용 전반의 원칙으로 짚습니다. 작업이 끝났는지 스스로 확인할 수 있는 테스트나 빌드 같은 검증 수단을 만들어 주라고 권고하며, 검증 수단이 없으면 사람이 매번 직접 확인하는 수밖에 없다고 설명합니다. 테스트나 실행 방법이 코드에만 남아 있고 문서화되지 않은 도구는, 만든 사람 외에는 아무도 고칠 수 없는 상태가 됩니다.
행정안전부가 운영관리 단계부터 소관 부서와 기관에 책임을 지우는 이유도 같습니다. 개인의 역량에 기대어 둔 도구는 그 개인이 사라지면 함께 사라집니다. 부서 공유 도구로 올라가는 순간부터는 실행 방법과 데이터 연계 방식을 문서로 남기고, 특정 개인이 아니라 부서가 유지 책임을 지도록 정해야 다음 사람이 이어받을 수 있습니다.
부서별 판단표
| 사용 범위 | 허용 데이터 | 책임 소재 | 넘어가기 전 확인 |
|---|---|---|---|
| 개인 생산성 도구 | 공개 자료·본인 작성 문서 | 만든 사람 본인 | 최소한의 동작 확인 |
| 부서 공유 도구 | 부서 내부 자료(개인정보 제외) | 부서장 | 실행 방법 문서화, 접근 범위 점검 |
| 전사·대외 서비스 | 개인정보·대외 공개 범위 별도 심사 | 소관 부서·기관 | 보안·개인정보 보호 확인, 정식 운영 전환 여부 결정 |
이 표를 그대로 베끼기보다는, 조직의 보안 지침과 결재 체계에 맞춰 열을 더하거나 책임 소재의 이름을 바꿔 쓰는 쪽이 맞습니다. 중요한 것은 세 단계 사이에 넘어가는 지점마다 확인 절차를 두는 것이고, 지금 단계가 어디인지 모른 채 쓰는 도구를 두지 않는 것입니다.
바이브코딩은 코드를 직접 작성하는 수고를 줄여 줄 뿐, 권한 관리나 보안 설정을 대신 해 주지 않습니다. 접근 범위 제한과 승인 절차가 기본값으로 켜져 있는지는 도구를 들이기 전에 반드시 확인해야 합니다.
함께 보면 좋은 자료
- AI 에이전트, 업무에 어디까지 맡길 수 있는가 — 바이브코딩으로 만든 도구가 단순 스크립트를 넘어 에이전트로 커질 때, 위임 범위를 정하는 기준을 함께 참고할 수 있습니다.
- 업무 자동화 교육 — 부서 단위로 바이브코딩 도구를 만들기 전에, 어떤 업무가 자동화에 맞는지부터 정리하는 과정입니다.
- AI 보안 교육 — 접근 범위·권한 설정처럼 바이브코딩 도구에 넣어야 할 보안 기본값을 다룹니다.
- 무료 AI 도입 진단 — 지금 쓰는 도구가 어느 범위 단계에 있는지부터 점검받을 수 있습니다.
자주 묻는 질문
- 바이브코딩과 일반 업무 자동화는 무엇이 다른가요?
업무 자동화는 정해진 절차를 반복 실행하는 데 가깝고, 바이브코딩은 자연어로 요구사항을 설명해 그 절차를 담은 프로그램 자체를 만드는 과정입니다. 만드는 사람이 개발자가 아니어도 된다는 점이 다릅니다. - 비개발 부서 직원도 바이브코딩으로 도구를 만들 수 있나요?
조달청과 행정안전부 사례처럼 가능합니다. 다만 만들 수 있다는 것과 그대로 업무에 써도 된다는 것은 별개이며, 이 글에서 다룬 세 기준으로 범위를 먼저 정해야 합니다. - 이미 개인이 만들어 쓰고 있는 도구가 있다면 어떻게 하나요?
지금 어떤 데이터를 입력하는지, 누가 쓰고 있는지, 만든 사람 외에 고칠 수 있는 사람이 있는지부터 확인합니다. 셋 중 하나라도 불확실하면 부서 공유 도구로 올리기 전에 먼저 정리해야 합니다. - 보안팀이나 IT 부서 없이도 기준을 만들 수 있나요?
개인 생산성 도구 단계는 부서 자체 확인으로 시작할 수 있습니다. 다만 부서 공유 이상으로 넘어가는 순간부터는 접근 범위와 개인정보 처리 여부를 보안·IT 담당 부서와 함께 확인해야 합니다.
참고한 자료
- Anthropic (2026 접속), 「Best practices for Claude Code」, https://code.claude.com/docs/en/best-practices
- GitHub Docs (2026 접속), 「Application card: GitHub Copilot Agents」, https://docs.github.com/en/copilot/responsible-use/agents
- 행정안전부 (2026.07.02), 보도자료 「공무원이 직접 만드는 AI 행정혁신 ‘AI 정부 실험실’에서 시작된다」, 원문 다운로드
- 행정안전부 (2026.09.08), 보도자료 「공무원이 만든 AI 서비스, 정부가 키워 범정부 혁신으로」, 원문 다운로드
- 조달청 (2026.09.11), 보도자료 「조달청, 직원이 직접 만든 AI로 ‘조달업무 혁신’ 속도낸다」, 원문 다운로드
