AI 허용 사용 정책이란 무엇입니까?
흔히 AI AUP로 줄여 부르는 AI 허용 사용 정책은 회사를 위해 AI 도구를 사용하는 모든 사람이 따라야 할 구체적인 행동 기준을 정합니다. 포괄적인 AI 정책보다는 범위가 좁습니다. 공급업체를 누가 승인하는지, 관리 대장을 어떻게 검토하는지는 설명하지 않습니다. 직원이 도구를 여는 순간 무엇을 해도 되고 무엇을 하면 안 되는지 알려 줍니다.
많은 기업이 이미 이메일, 기기, 인터넷 사용에 관한 정보기술 자원 사용 정책을 갖추고 있습니다. AI 사용 정책은 기존 문서에 새 항목으로 추가하거나, 기존 문서로 연결되는 별도 페이지로 만들 수 있습니다. 중요한 것은 추상적인 원칙이 아니라 업무와 사례로 설명하는 것입니다. "AI를 책임감 있게 사용하세요"는 판단 기준을 주지 못하지만, "고객 계약서를 어떤 AI 도구에도 붙여 넣지 마세요"는 명확한 기준을 제시합니다.
이 페이지는 일반 정보이며 법률 자문이 아닙니다. 특히 개인정보를 취급하거나 고객과의 기밀 유지 조건에 따라 업무를 수행하는 경우, 실제로 채택할 버전을 자격을 갖춘 전문가에게 검토받으시기 바랍니다.
AI 활용을 어디까지 허용할지 어떻게 결정합니까?
관련 정보와 오류의 결과를 기준으로 활용 방식을 허용, 승인 후 허용, 금지의 세 단계로 나눕니다. AI를 사용한다는 이유만으로 위험한 것은 아닙니다. 무엇을 입력하고 결과물을 어디에 사용하는지가 위험을 결정합니다. 같은 도구라도 공개된 블로그 글을 고쳐 쓰는 데는 적합할 수 있지만, 징계 기록을 요약하는 데는 허용할 수 없을 수 있습니다.
실제 업무 목록을 바탕으로 등급을 구성합니다. 각 팀장에게 직원들이 이미 AI를 사용하고 있거나 사용하고 싶은 업무를 다섯 가지씩 요청합니다. 각 업무를 해당 등급에 배치하면 처음부터 구체적인 예시가 있는 등급 체계를 만들 수 있습니다.
| 등급 | 대표적인 예시 | 직원이 수행하는 작업 |
|---|---|---|
| 허용 | 직접 쓴 초안 다듬기, 공개된 기사 요약하기, 제목 후보 구상하기, 스프레드시트 수식 설명하기 | 승인된 계정을 사용하고 결과물을 확인합니다 |
| 승인 후 허용 | 고객 자료 요약, 지원 요청 이력을 바탕으로 고객 답변 초안 작성, 내부 영업 데이터 분석 | 업무 흐름이 관리 대장에 등록된 경우에만 사용하며, 그렇지 않으면 먼저 담당자에게 문의합니다 |
| 허용되지 않음 | 비밀번호나 키 입력, 승인된 절차 없이 직원 또는 지원자의 개인정보 입력, AI를 이용한 채용 또는 급여 결정, 실존 인물의 이미지 생성 | 하지 않아야 합니다. 예외가 필요하다고 생각되면 문의해야 합니다. |
적절한 사용을 규정한 조항은 어떻게 작성해야 합니까?
잘 작성된 조항은 도구, 작업, 정보를 명시하고, 그 대신 어떻게 해야 하는지도 안내합니다. 아래는 직원 40명 규모의 가상 소프트웨어 회사인 노스게이트 앱스의 조항 예시입니다. 이 회사는 채팅형 AI 도우미의 업무용 작업 공간을 이용하고, 코드 호스팅 서비스와 업무용 소프트웨어 제품군의 AI 기능을 사용합니다.
각 조항은 기억할 만큼 짧고 행동으로 옮길 만큼 구체적입니다. 어느 조항도 "주의하세요"라고만 하지 않는다는 점에 주목해야 합니다. 각 조항은 구체적인 행동을 명시합니다.
회계 업무
"등록부에 기재된 Northgate 회사 계정으로만 AI를 사용합니다. 간단한 질문을 포함한 모든 Northgate 업무에서 개인 계정, 무료 요금제 또는 승인되지 않은 브라우저 플러그인을 사용하지 않습니다."
코드
"Northgate 저장소에서 승인된 코딩 어시스턴트를 사용할 수 있습니다. 고객 데이터, 개인정보가 포함된 운영 환경 로그 또는 API 키와 같은 비밀 정보를 어떤 AI 도구에도 붙여 넣지 않습니다. 생성된 코드는 병합 전에 다른 코드와 동일하게 검토합니다."
고객
"고객 지원 직원은 승인된 어시스턴트로 답변 초안을 작성할 수 있습니다. 먼저 계좌번호와 결제 정보를 삭제합니다. 모든 답변은 발송 전에 사람이 읽고 수정합니다."
주장
"원본 출처를 직접 열어 확인하지 않았다면 AI 도구가 생성한 통계, 벤치마크 또는 고객 성과를 게시하지 않습니다."
인사 관련 의사결정
"지원자나 직원의 순위를 매기거나, 이들을 선별하거나 평가하는 데 AI를 사용하지 않습니다. 직접 작성한 채용 공고의 문구를 다듬는 데는 사용할 수 있습니다."
보고
"입력해서는 안 되는 내용을 입력했다면 당일에 운영 책임자에게 알립니다. 조기에 보고하는 것은 올바른 행동으로 인정합니다."
AI 사용 정책에서는 어떤 정보의 입력을 제한해야 합니까?
문서 유형을 일일이 나열하기보다 정보 등급별로 사용을 제한하고, 각 등급의 정보를 사용할 수 있는 계정을 지정합니다. 일반적인 등급은 공개 정보, 내부 정보, 기밀 또는 고객 정보, 개인정보, 비밀번호와 키 같은 비밀 정보입니다. 비밀 정보에 관한 규칙은 가장 간단합니다. 어떤 도구에도 절대 입력하지 않습니다.
영국 국가사이버보안센터의 대규모 언어 모델 지침은 질의 내용을 모델 제공 기관이 볼 수 있다는 일반적인 사항을 설명하며, 공개 모델에 보내는 질의에는 민감한 정보를 넣지 말 것을 권고합니다. 기업용 업무 공간에는 다른 계약 조건이 적용될 수 있으므로, 이용 중인 요금제에 명시된 내용을 기록하세요. 예를 들어 Microsoft 문서는 조직에서 사용하는 Copilot Chat에 데이터 보호 부록이 적용되며 프롬프트와 응답은 기반 모델 학습에 사용되지 않는다고 설명하면서, 관리 기능은 구독 요금제에 따라 다르다고 명시합니다. 그런 다음 허용 가능한 사용 정책에 해당 업무 공간에서 허용되는 정보 등급과 어느 곳에서도 허용되지 않는 정보 등급을 명시할 수 있습니다.
개인정보를 처리하는 영국 기업에는 ICO의 AI 및 데이터 보호 지침이 공식 참고 자료입니다. 현재 해당 페이지에는 데이터(이용 및 접근)법에 따라 지침을 검토 중이라고 명시되어 있으므로, 특정 내용을 근거로 삼기 전에 현재 게시된 내용을 확인해야 합니다.
이 내용이 직무와 어떻게 연결되는지 궁금하십니까?
제공 예정인 팀 체험 프로그램 살펴보기 ↗직원은 AI 결과물을 사용하기 전에 무엇을 확인해야 합니까?
직원은 다른 사람에게 전달할 모든 사실적 주장, 수치, 인용문, 출처 표기를 확인하고, 출처를 추적할 수 없는 내용은 삭제해야 합니다. NIST 생성형 AI 프로파일은 환각을 잘못되거나 거짓인 내용을 확신에 찬 어조로 생성하는 현상으로 설명합니다. 유창한 답변은 증거가 아닙니다. 허용 가능한 사용 정책에는 결과물을 사용하는 사람이 그 결과물에 책임을 진다는 점을 명시해야 합니다.
구체적인 예시입니다. Northgate의 마케팅 담당자가 AI 어시스턴트에게 소규모 팀이 프로젝트 도구를 도입하는 이유를 짧은 문단으로 작성해 달라고 요청합니다. 초안에는 지난해 소규모 기업의 과반수가 도구를 바꿨다는 문장이 출처명과 함께 들어 있습니다. 하지만 담당자는 해당 출처에서 그 수치를 찾을 수 없습니다. 허용되는 사용 정책의 주장 관련 조항에 따라 이 문장을 삭제하고, 수치를 넣는 대신 Northgate의 실제 고객 지원 문의에 담긴 고객의 이유를 설명하도록 문단을 다시 작성합니다.
미흡한 문안: "최근 업계 조사에 따르면 지난해 소규모 팀 대부분이 프로젝트 관리 도구를 바꿨습니다." 검토 후 문안: "저희에게 문의하는 팀은 보통 도구를 바꾸는 이유로 인수인계 누락과 너무 많은 도구 사용을 꼽습니다." 두 번째 문안은 덜 극적이지만 모든 내용을 근거로 뒷받침할 수 있습니다.
직원들이 AI 허용 사용 정책에 서명해야 합니까?
서명이나 수신 확인을 받는 것은 합리적이지만, 이는 해당 직원이 정책을 받았다는 사실만 보여줍니다. 여기에 10분 설명 시간을 더해, 실제 업무에서 가져온 사례를 등급별로 하나씩 총 세 가지 살펴보고 각자 어느 등급에 해당하는지와 그 이유를 설명하게 합니다. 이렇게 하면 직원들이 규칙을 적용할 수 있다는 근거를 확보할 수 있으며, 문제가 생겼을 때는 서명보다 이런 근거가 더 가치 있습니다.
EU AI Act 제4조에 관한 유럽연합 집행위원회의 AI 리터러시 질의응답은 인증서가 필요하지 않으며, 교육이나 기타 활동에 관한 내부 기록이면 충분하다고 설명합니다. 유럽연합 규정이 적용된다면 누가 언제 안내 과정을 마쳤는지 간단히 기록하는 것이 합리적인 습관입니다. 이 법이 귀사에 적용되는지, 어떻게 적용되는지는 전문가의 자문을 받아야 합니다.
감시 없이 AI 사용 지침을 어떻게 준수하게 합니까?
소규모 회사 대부분은 모든 프롬프트를 감시하는 대신 승인된 계정, 합리적인 기본 설정, 실수를 보고하는 문화를 통해 AI 사용 정책을 시행합니다. 직원에게 승인된 업무용 계정을 제공해 편리한 경로가 곧 허용된 경로가 되게 합니다. 이용 중인 요금제에서 제공하는 관리자 설정을 활성화합니다. 안심하고 실수를 보고할 수 있게 하고, 규칙을 반복해서 무시하는 문제는 일반적인 업무 성과 면담에서 다룹니다.
기업용 요금제에서 제공하는 사용 기록을 검토한다면, 그 사실을 정책에 명시하고 적용되는 고용 및 개인정보 보호 규정을 확인해야 합니다. 직원 몰래 사용을 감시하면 정책 운영의 기반이 되는 보고 문화가 훼손되기 쉽습니다.
Tosheo.ai의 설계 계획도 같은 원칙을 따릅니다. 관리자는 역량 향상과 이수 현황을 확인할 수 있지만, 학습자의 원본 채팅 기록은 볼 수 없습니다.
허용 가능한 사용에 관한 정책만으로 부족한 경우는 언제입니까?
허용 사용 정책(AUP)은 직원의 행동을 다룹니다. 어떤 공급업체가 안전한지, 특정 워크플로에 개인정보 영향평가가 필요한지, 판매하는 제품에 AI를 어떻게 적용할지는 정하지 않습니다. 회사가 AI 기능을 개발하거나, 사람에 관한 의사결정을 자동화하거나, 규제 대상 전문 분야에서 업무를 수행한다면 별도의 관리·감독 체계와 전문가 검토도 필요합니다.
교육을 대신하지도 않습니다. "모든 주장을 확인하세요" 같은 규칙에는 쉽게 동의할 수 있지만, 마감에 쫓기면서 제대로 지키기는 어렵습니다. 그런 습관을 기르려면 실제와 유사한 과제로 연습해야 하며, 직무별 실습은 바로 이를 위한 것입니다.
출처와 범위
NCSC, ChatGPT와 대규모 언어 모델: 어떤 위험이 있는가?, 14 March 2023 ↗
Microsoft Learn, Microsoft Copilot 및 Copilot Chat의 기업 데이터 보호, 16 October 2026 확인 ↗
ICO, AI 및 데이터 보호 지침(검토 중), 16 October 2026 확인 ↗