소규모 기업의 AI 정책을 수립하는 방법

AI 정책이란 무엇입니까?

AI 정책은 직원이 어떤 AI 도구를 어떤 업무에 어떤 정보와 함께 사용할 수 있는지, AI의 도움으로 만든 결과물을 사용하기 전에 무엇을 해야 하는지 알려 주는 짧은 사내 문서입니다. 소규모 기업에서는 보통 몇 페이지 분량이며, 창업자나 운영 책임자 또는 기존에 데이터와 계약을 관리하던 사람이 담당합니다.

이 표현은 사람들이 흔히 구분하지 않고 사용하는 여러 문서를 아우릅니다. 허용 가능한 사용 정책은 직원들이 일상 업무에서 따르는 규칙입니다. 생성형 AI 정책은 텍스트, 이미지, 코드를 생성하는 도구와 생성된 콘텐츠에 수반되는 위험을 다룹니다. 거버넌스 체계는 이 둘을 뒷받침하는 관리 구조로, 도구 승인자, 관리대장 담당자, 의사결정 검토 주기 등을 정합니다. 직원 수가 200명 미만인 기업은 대부분 각 부분을 명확하게 구분하기만 하면 세 가지를 하나의 문서로 관리할 수 있습니다.

이 가이드는 모든 AI 정책에 필요한 결정 사항을 가상의 회사에 적용한 예시 조항과 함께 설명합니다. 일반적인 정보이며 법률 자문이 아닙니다. 개인정보 보호, 고용, 소비자 보호 관련 법률은 국가와 업종에 따라 다르므로 실제로 채택할 버전은 자격을 갖춘 전문가에게 검토를 요청해야 합니다.

소규모 기업의 AI 정책은 어떤 역할을 해야 합니까?

유용한 정책은 도구에 정보를 입력하거나 결과물을 사용하기 전에 무엇을 해야 할지 판단하도록 도와줍니다. 승인된 서비스, 적합한 과제, 정보 사용의 경계, 검토 책임, 상위 담당자에게 보고할 경로를 명시해야 합니다. 이런 실무적 판단 기준 없이 경고만 나열하면 직원은 추측에 의존하게 됩니다. 추측해야 하는 사람은 도구 사용을 중단하거나 알리지 않고 사용합니다.

실제 업무 흐름부터 살펴봅니다. 공개된 사실을 바탕으로 작성하는 초대장 초안과 기밀 고객 자료를 요약하는 작업에는 서로 다른 통제가 필요합니다. 각 업무 흐름의 목적, 근거 자료, 예상 독자, 오류가 발생했을 때의 영향을 적습니다. 모든 AI 사용을 똑같이 취급하는 것보다 이런 맥락을 파악하는 것이 더 나은 출발점입니다.

신입 직원이 문서를 읽은 뒤 세 가지 질문에 답할 수 있는지 확인하면 좋습니다. 어떤 계정을 사용해야 하는지, 무엇을 절대 붙여 넣으면 안 되는지, 누구에게 물어봐야 하는지입니다. 문서가 아무리 꼼꼼해 보여도 이 질문들에 답하지 못한다면 아직 제 역할을 하지 못하는 것입니다.

소규모 기업도 법적으로 AI 정책이 필요합니까?

대부분의 지역에는 모든 소기업이 AI 정책이라는 이름의 문서를 갖추어야 한다는 일반적인 법적 의무는 없지만, 직원의 AI 사용 방식에는 기존 의무가 여전히 적용됩니다. 도구가 초안을 만들었다고 해서 개인정보 보호법, 고객 계약의 비밀 유지 조항, 노동법, 광고 규정의 적용이 중단되지는 않습니다. 정책은 이러한 기존 의무가 AI 사용에 어떻게 적용되는지 직원에게 알려 주는 실질적인 방법입니다.

영국 정보위원회는 AI 및 개인정보 보호 지침과 조직용 위험 관리 도구 모음을 공개하고 있습니다. 현재 두 페이지 모두 데이터 사용 및 접근법 제정에 따라 지침을 검토 중이라고 안내하므로, 세부 내용을 근거로 삼기 전에 최신 상태를 확인해야 합니다. 유럽연합에서는 AI 이해·활용 역량에 관한 EU AI Act 제4조가 2 February 2025부터 AI 시스템 제공자와 운영자에게 적용되고 있습니다. 유럽연합 집행위원회의 AI 이해·활용 역량 관련 질의응답은 모든 조직에 똑같이 적용되는 방식은 없으며, 인증서는 필요하지 않고, 내부 교육 기록으로 충분하다고 설명합니다. 또한 광고 문구나 번역에 채팅 보조 도구를 사용하는 직원을 예로 들며, 이들에게 환각과 같은 구체적인 위험을 알려 주어야 한다고 설명합니다.

유럽연합에 판매하거나, 현지 직원을 고용하거나, 유럽연합 거주자의 개인정보를 처리한다면 어떤 규정이 적용되는지 자문을 받으십시오. 이 가이드가 다루는 요점은 더 좁습니다. 문서화된 정책과 실습 교육을 함께 마련하는 것은 직원에게 위험과 대처 방법을 안내했다는 사실을 보여주는 합리적인 방법입니다.

누가 의사결정에 대한 책임을 맡아야 합니까?

정책 담당자 한 명과 도구 및 민감한 업무 절차를 승인할 사람들을 지정합니다. 직원이 12명인 회사에서는 창업자가 이 모든 일을 맡을 수도 있습니다. 직원이 80명인 회사에서는 운영 책임자가 도구를, 개인정보 보호 담당자가 개인정보를, 부서장이 해당 부서의 출력 결과 검토를 담당할 수 있습니다. 직원들에게는 정책에서 다루지 않는 질문을 보낼 단일 창구가 필요합니다.

NIST AI 위험 관리 프레임워크 실행 지침의 거버넌스 자료는 명확한 역할과 책임, 직원 대상 AI 위험 교육, 의사소통 경로를 다룹니다. 여기의 구조는 소규모 팀이 실무에 활용할 수 있도록 조정한 것입니다. 이 항목들을 사용한다고 해서 해당 정책이 법률을 준수하거나 NIST의 승인을 받는 것은 아닙니다.

정책에는 직책만이 아니라 담당자와 대체 담당자의 이름을 명시합니다. 소규모 회사에서는 문서보다 직책이 더 자주 바뀌며, 아무도 맡고 있지 않은 직책으로 연결되는 상위 보고 경로는 사실상 없는 것이나 마찬가지입니다.

승인된 도구는 어떻게 기록해야 합니까?

브랜드 이름만으로는 중요한 차이가 드러나지 않으므로 정확한 서비스, 요금제, 허용된 용도를 기록합니다. 같은 제품이라도 개인용 계정, 회사의 기업용 작업 공간, API 연동은 데이터 보관, 학습, 관리자 통제에 관한 조건이 다를 수 있습니다. 하나의 설명이 모든 버전에 적용된다고 가정하지 말고 관련 설정과 약관을 기록합니다.

모델 학습, 보관, 접근 권한, 처리 위치, 삭제에 관해 각각 따로 문의합니다. 학습에 사용하지 않는다는 설명만으로는 전혀 저장하지 않는다거나 고객 문서를 업로드해도 된다는 뜻이 되지 않습니다. 공급업체의 설명 방식을 보여 주는 한 가지 예로, 조직에서 사용하는 Copilot Chat에 관한 Microsoft 문서는 프롬프트와 응답에 데이터 보호 부속 약정이 적용되며 기반 모델 학습에는 사용되지 않고, 구체적인 통제 수단은 구독 요금제에 따라 다르다고 설명합니다. 이처럼 요금제별로 명시된 내용을 확인 날짜와 함께 기록해야 합니다.

서비스나 업무 절차가 달라질 때 목록을 수정할 수 있도록 각 승인 항목에 책임자와 검토일을 지정해야 합니다. 거버넌스 체계 가이드에서는 한 페이지에 담을 수 있는 관리 대장 양식을 제시합니다.

직원은 AI 도구에 어떤 내용을 붙여넣어도 됩니까?

도구, 데이터, 회사의 의무와 무관하게 적용할 수 있는 보편적인 답은 없으므로, 정책에서 회사 상황에 맞는 답을 제시해야 합니다. 먼저 정보를 공개 정보, 내부 정보, 기밀 업무 자료 또는 고객 자료, 개인정보처럼 몇 가지 명확한 범주로 나눕니다. 그런 다음 승인된 각 도구에서 어떤 범주의 정보를 사용할 수 있는지 명시합니다. 이름을 지웠다고 해서 문서가 익명화되거나 업로드가 허용되는 것은 아닙니다.

영국 국가사이버보안센터의 대규모 언어 모델 지침은 일반 원칙을 분명하게 설명합니다. 질의 내용은 모델 제공 기관이 볼 수 있으므로, 공개 모델에 보내는 질의에는 민감한 정보를 넣지 말고 민감한 질문을 하기 전에 이용약관과 개인정보 처리방침을 읽을 것을 권고합니다. 조직의 정책에서는 이를 승인된 계정에 적용할 구체적인 지침으로 만들 수 있습니다.

승인된 업무 절차마다 허용되는 자료와 사용이 제한되는 자료의 구체적인 예시를 직원에게 제공해야 합니다. 교육에서는 가상 데이터나 사용이 명시적으로 승인된 저위험 데이터를 사용해야 합니다. 판단이 불분명하면 직원은 업무 도중에 개인정보 보호 여부를 임의로 판단하지 말고, 작업을 멈춘 뒤 지정된 책임자에게 문의해야 합니다.

결과물을 사용하기 전에 어떤 절차를 거쳐야 합니까?

AI의 도움으로 만든 모든 결과물은 용도에 맞는 검토를 거쳐야 하며, 정책에는 검토 담당자를 명시해야 합니다. 이메일 초안은 제공된 사실과 대조하며 읽어 보는 것으로 충분할 수 있습니다. 수치에 관한 설명은 별도로 계산해 확인해야 합니다. 법률, 건강, 금전, 안전에 관한 내용은 자격을 갖춘 검토자가 확인해야 합니다. 정책은 AI의 도움을 받으면 기존 승인이 불필요해진다는 인상을 주지 않고, 기존 승인 절차를 유지해야 합니다.

직원들에게 생성된 초안과 사용 승인을 받은 버전을 따로 보관하도록 요청합니다. 중요한 업무에서는 사용한 출처, 변경 내용, 최종 결정자를 확인할 수 있을 만큼 검토 기록을 남깁니다. 유창한 답변이나 모델 스스로 정확하다고 장담하는 말은 독립적인 검증이 아닙니다.

사람이 내려야 하는 결정을 명확히 해야 합니다. 일반적인 조항의 예는 다음과 같습니다. AI 도구는 초안 작성이나 요약을 도울 수 있지만, 지정된 담당자가 기초 정보를 검토하지 않은 상태에서 채용, 급여, 성과, 신용 또는 고객 불만에 관한 결정의 근거로 사용해서는 안 됩니다.

실제 팀 규모에 맞춰 완성한 정책은 어떤 모습입니까?

직원 25명 규모의 가상 마케팅 대행사 하버 레인 스튜디오에 적용한 예시입니다. 직원들은 채팅형 AI 어시스턴트의 회사용 업무 공간과 사무용 소프트웨어의 AI 기능을 사용합니다. 개인 계정을 가진 직원도 있었습니다. 창업자가 정책을 책임지며, 고객 자료가 관련된 사항은 모두 고객 서비스 책임자가 승인합니다.

승인된 도구에 관한 예시 조항: "회사 계정으로 로그인한 상태에서 [어시스턴트]의 하버 레인 업무용 작업 공간과 사무용 소프트웨어의 AI 기능만 사용해야 합니다. 회사나 고객과 관련된 업무에 개인 계정을 사용해서는 안 됩니다."

정보에 관한 예시 조항: "승인된 도구에서는 공개 정보와 내부 정보를 사용할 수 있습니다. 고객 서비스 책임자가 해당 고객과 과제를 등록부에서 승인한 경우가 아니라면 고객 파일, 고객별 가격 정보, 기밀 표시가 있는 정보를 입력해서는 안 됩니다. 지원자, 직원 또는 고객의 개인정보는 절대 입력해서는 안 됩니다."

검토에 관한 예시 조항: "AI의 도움을 받은 작업물을 고객에게 전달하기 전에 고객 담당 책임자가 사실에 관한 모든 주장을 요구사항 문서나 명시된 출처와 대조하고, 출처를 확인할 수 없는 통계, 결과 또는 추천 의견을 삭제해야 합니다. AI의 도움을 받은 작업물에도 다른 초안과 동일한 기준을 적용합니다."

보고 절차에 관한 예시 조항: "확신이 서지 않으면 작업을 멈추고 [창업자 이름]에게 문의해야 합니다. 부재 중이라면 [대체 담당자 이름]에게 문의해야 합니다. 제한 정보가 잘못된 도구에 입력되었다고 생각되면 당일에 알려야 합니다. 신속하게 보고했다는 이유로 불이익을 받지 않습니다."

하버 레인은 직원들에게 정책 서명을 요청하기 전에 실제 업무 하나로 정책을 시험했습니다. 고객이 제공한 브리프를 바탕으로 캠페인 요약을 작성하는 업무였습니다. 시험 과정에서 한 가지 공백이 드러났습니다. 고객의 브랜드 가이드가 기밀에 해당하는지 아무도 알지 못했습니다. 창업자는 고객사 담당자 각자가 판단하도록 두는 대신 관리대장에 관련 항목을 추가했습니다.

정책에서 불확실성과 실수를 어떻게 다뤄야 합니까?

정책은 실수로 인한 정보 유출, 근거 없는 출력, 기존 승인 범위에서 벗어난 업무 절차를 신고할 수 있는 명확한 경로를 제공하고, 안심하고 신고할 수 있도록 해야 합니다. 직원은 무엇을 중단하고 누구에게 연락하며 담당자를 위해 어떤 증거를 보관해야 하는지 알아야 합니다. 데이터나 보안 문제에 대해 이미 마련된 절차와 충돌하는 일반적인 사고 대응 절차를 새로 만들지 말고, 기존 절차를 안내해야 합니다.

정책을 도입하기 전에 짧은 시나리오 기반 모의훈련을 진행합니다. 누군가 제한 문서를 승인되지 않은 개인 계정에 붙여 넣은 상황을 가정합니다. 직원이 신고 경로를 찾을 수 있습니까? 담당자는 어떤 서비스와 계정이 사용되었으며 서비스 제공업체가 어떤 삭제 옵션을 제공하는지 알고 있습니까? 확인된 미비점을 바탕으로 적절한 검토자와 함께 실제 절차를 개선합니다.

사람들이 실제로 따를 수 있도록 하려면 어떻게 해야 합니까?

서명된 확인서는 직원이 정책을 받았다는 사실을 보여줄 뿐, 이를 적용할 수 있다는 사실까지 보여주지는 않습니다. 사람들은 현실적인 업무에서 직접 연습하며 경계를 익힙니다. 프롬프트에서 무엇을 제외할지 결정하고, AI가 생성한 주장을 출처와 대조하며, 무엇을 왜 수정했는지 설명하는 식입니다. 유럽연합 집행위원회의 질의응답 자료에서 직원에게 각자의 업무와 관련된 구체적인 위험을 알리라고 설명하는 것도 같은 취지입니다.

실제 업무에서 허용되는 사례, 제한되는 사례, 판단이 불확실한 사례를 하나씩 골라 팀원들에게 설명합니다. 각자 차이점을 설명하고 누구에게 판단을 요청해야 하는지 찾아보도록 합니다. 그런 다음 정책으로 돌아가 판단에 도움이 되었던 예시를 추가합니다.

Tosheo.ai는 이러한 실습 단계를 위해 기획하고 있습니다. 출시 시에는 관리자가 직무와 팀에서 사용하는 AI 도구를 선택하고, 각 학습자가 짧은 진단 평가를 받은 뒤 수업을 진행하도록 할 계획입니다. 각 수업은 실제 도구를 사용하는 실습 과제로 마무리하며 공개된 채점 기준에 따라 평가합니다. 관리자는 원본 대화 기록이 아닌 역량의 향상 정도와 수료 현황을 확인하도록 할 계획입니다. 사내 정책을 작성하거나 준수하도록 강제하는 제품은 아닙니다. 정책이 요구하는 습관을 직원들이 연습하도록 돕는 것이 목적입니다.

정책이 계속 실무에 도움이 되도록 하려면 어떻게 해야 합니까?

도구, 요금제, 계약 또는 업무 흐름이 바뀔 때마다 정책을 검토하고, 적어도 1년에 한 번은 정해진 날짜에 검토합니다. 직원들에게 여전히 판단하기 어려운 사항이 무엇인지 묻습니다. 아무도 적용하지 못하는 정책에는 더 명확한 예시나 더 나은 상위 담당자 이관 절차가 필요합니다. 확인 체크박스를 하나 더 추가한다고 해결되지는 않습니다.

어떤 규칙이 최신인지 알 수 있도록 맨 위에 버전 날짜와 변경 내용을 기록해야 합니다. 공급업체가 약관을 변경하거나 고객이 계약서에 AI 조항을 추가하면, 연례 검토를 기다리지 말고 관리 대장의 해당 항목을 갱신하고 영향을 받는 사람들에게 알려야 합니다.

이 가이드가 적절한 해답이 아닌 경우는 언제입니까?

이 접근법은 일상적인 지식 업무에 기성 AI 어시스턴트를 사용하는 약 5~200명 규모의 팀을 위해 설계되었습니다. AI 시스템을 개발하거나 판매하는 경우, 사람에 관한 결정을 자동화하는 경우, 의료·재무 자문·법률 서비스처럼 규제가 엄격한 분야에서 일하는 경우, 또는 고객 계약에 구체적인 AI 관련 조건이 있는 경우에는 이것만으로 충분하지 않습니다. 이런 경우에는 정책을 확정하기 전에 자격을 갖춘 전문가의 법률 및 개인정보 보호 검토가 필요하며, 정식 위험 평가가 필요할 수도 있습니다.

정보 보안 체계를 대신하지도 않습니다. 회사에 비밀번호, 기기 보안, 데이터 분류에 관한 기본 규칙이 없다면 먼저 그것부터 마련해야 합니다. 아무런 기반 없이 세운 AI 정책은 제대로 작동하지 않습니다.

출처와 범위

NIST AI RMF 실행 지침: 거버넌스, 확인일 16 October 2026 ↗

ICO, AI 및 데이터 보호 지침(검토 중), 16 October 2026 확인 ↗

ICO, AI 및 데이터 보호 위험 관리 도구 모음(검토 중), 2026년 10월 16일 확인 ↗

유럽연합 집행위원회, AI 이해·활용 역량 - 질문과 답변, 최종 업데이트 27 July 2026 ↗

NCSC, ChatGPT와 대규모 언어 모델: 어떤 위험이 있는가?, 14 March 2023 ↗

Microsoft Learn, Microsoft Copilot 및 Copilot Chat의 기업 데이터 보호, 16 October 2026 확인 ↗