AI 거버넌스 체계란 무엇입니까?
AI 거버넌스 체계는 AI 정책을 뒷받침하는 관리 시스템입니다. AI 도구나 용도를 누가 승인할 수 있는지, 무엇을 기록해야 하는지, 위험을 어떻게 점검하는지, 결정을 언제 재검토하는지 정합니다. 허용 사용 정책이 직원에게 해야 할 일을 알려 준다면, 거버넌스는 그 정책에 무엇을 담을지 결정하고 내용을 정확하게 유지합니다.
공개된 체계 대부분은 AI 시스템을 구축하는 대규모 조직을 대상으로 작성되어 있습니다. 기성 AI 어시스턴트를 사용하는 5~200명 규모의 회사에도 같은 원리가 필요하지만 적용 규모는 훨씬 작아야 합니다. 목표는 승인된 모든 사용 방식에 책임자, 사용 이유, 검토일을 정하고, 누가 결정하는지 아무도 추측할 필요가 없게 하는 것입니다.
이 페이지는 일반 정보이며 법률 자문이 아닙니다. 제품에 AI를 통합하거나, 사람에 관한 의사결정을 자동화하거나, 규제 산업에서 일하는 경우에는 여기에 설명된 범위를 넘어서는 전문 검토가 필요합니다.
소규모 기업에 NIST AI 위험 관리 프레임워크를 어떻게 적용합니까?
NIST AI 위험 관리 프레임워크는 26 January 2023에 발표된 자율 적용 체계로, AI 위험 관리 업무를 거버넌스, 파악, 측정, 관리의 네 가지 기능으로 구성합니다. NIST는 이 체계가 자율적으로 활용하도록 설계되었으며 특정 산업이나 사용 사례에 한정되지 않아 모든 규모의 조직이 유연하게 활용할 수 있다고 설명합니다. 또한 사용자가 자원과 역량에 맞춰 범주를 선택할 수 있다고 명시하는데, 소규모 팀도 바로 이렇게 접근해야 합니다.
거버넌스 수립은 문화, 정책, 역할, 책임 체계에 걸쳐 전반적으로 적용됩니다. 맥락 파악은 시스템이 사용되는 맥락과 그 안의 위험을 규정합니다. 측정은 정성적 또는 정량적 방법으로 이러한 위험을 분석하고 모니터링합니다. 관리는 확인된 위험에 자원을 배분하며, 사고 대응과 복구 계획을 포함합니다. NIST 페이지에서는 프레임워크가 개정 중이라고 명시하므로 인용하기 전에 최신 버전을 확인해야 합니다.
아래 표는 소규모 팀에 맞게 수정한 내용입니다. 공식 NIST 프로필이 아니며, 이를 사용한다고 해서 기업이 어떤 규정의 준수 요건을 충족하는 것은 아닙니다.
| NIST 기능 | 직원 30명 규모의 기업에 주는 의미 | 구체적인 결과물 |
|---|---|---|
| 거버넌스 수립 | 담당자를 지정하고, 정책을 작성하고, 직원을 교육하고, 새로운 활용 방식을 승인할 사람을 정합니다 | 담당자 이름이 명시된 정책, 교육 기록 |
| 현황 파악 | 각 AI 사용 건마다 수행할 업무, 관련 정보, 오류 발생 시 영향을 받는 사람을 기록합니다 | 사용 건마다 관리대장에 한 행씩 기록 |
| 측정 | 결과물 표본 점검, 접수된 문제 취합, 정기적인 공급업체 약관 확인 | 검토 메모 및 문제 기록 |
| 관리 | 확인한 내용을 바탕으로 사용을 승인, 제한 또는 중단하고 사고에 대응합니다 | 갱신된 관리 대장과 사고 기록 |
소규모 기업에서는 누가 AI 거버넌스를 책임져야 합니까?
AI 거버넌스는 지정된 한 사람이 책임져야 하며, 혼자 결정할 수 없는 사안에는 명확한 승인 절차가 있어야 합니다. 실제로 직원 수가 50명 미만인 회사에서는 창업자나 최고운영책임자가, 더 큰 회사에서는 경영진에게 보고하는 운영 또는 IT 책임자가 맡는 경우가 많습니다. NIST의 거버넌스 지침에는 경영진이 AI 위험 관련 의사결정에 책임을 지는 것과 역할 및 소통 경로를 명확히 정하는 것이 포함됩니다.
가상의 60명 규모 소프트웨어 회사 케스트럴 시스템스에서 실행할 수 있는 역할 분담은 다음과 같습니다. 운영 책임자는 관리 대장을 맡고 새로운 도구를 승인합니다. 개인정보 보호 담당자는 개인정보가 관련된 모든 사용을 승인합니다. 각 부서장은 소관 업무 흐름을 승인하고 결과물을 검토합니다. 대표이사는 연례 검토를 승인합니다. 네 명이면 모든 범위를 맡을 수 있으며, 각자 어떤 사안을 책임지는지 알고 있습니다.
담당자
관리 대장을 유지하고 검토를 진행하며 1차 문의 창구를 맡습니다. 담당자 한 명과 대체 담당자를 지정합니다.
데이터 사용 승인
개인정보가 포함된 모든 사용을 승인하고 영향 평가의 필요 여부를 결정합니다.
업무 절차 승인 담당자
업무를 이해하고, 담당 부서의 활용 방식을 승인하며, 결과물 검토자를 지정하는 부서장.
경영진
전반적인 위험 수준을 수용하고 연례 검토를 최종 승인합니다.
AI 관리대장에는 무엇을 기록해야 합니까?
AI 관리 대장에는 승인된 각 도구와 용도에 대해 요금제, 허용 업무, 허용 정보, 담당자, 검토자, 검토일을 기록해야 합니다. NIST의 거버넌스 지침에는 위험 우선순위에 따라 자원을 배정해 AI 시스템 목록을 관리하는 절차가 포함됩니다. 소규모 회사에서는 공유 스프레드시트면 충분합니다.
소규모 회사에서 사용하는 거의 모든 AI 시스템은 외부 공급업체의 제품이므로, 해당 업체에 관한 사항도 기록합니다. NIST의 거버넌스 자료는 제3자 AI 위험에 관한 정책과 제3자 시스템에 장애가 발생했을 때의 비상 절차를 다룹니다. 관리 대장에는 학습, 보관, 삭제에 관한 공급업체 약관의 내용, 마지막 확인 시점, 도구를 사용할 수 없게 되거나 약관이 변경될 경우의 대응 방안을 기록합니다.
케스트럴의 예시 행: "도구: [어시스턴트] 업무용 작업 공간. 용도: 내부 문서 초안 작성 및 공개 연구 자료 요약. 정보: 공개 정보와 내부 정보만 사용. 담당자: 운영 책임자. 검토자: 외부로 나가는 모든 자료는 작성자의 직속 관리자. 공급업체 약관 확인일: [날짜]. 대안: AI 없이 초안 작성. 다음 검토일: [날짜]."
이 내용이 직무와 어떻게 연결되는지 궁금하십니까?
제공 예정인 팀 체험 프로그램 살펴보기 ↗새로운 AI 활용 방식은 어떻게 승인해야 합니까?
새로운 AI 활용 방식은 다섯 가지 질문에 답하는 짧은 서면 요청으로 승인을 받아야 합니다. 그래야 담당자가 빠르게 판단하고 결정도 기록으로 남길 수 있습니다. 소규모 기업의 요청은 대부분 위험이 낮으므로 위원회를 열기보다 하루 안에 처리할 수 있어야 합니다. 절차가 느리면 사람들이 이를 건너뛰게 됩니다.
케스트럴의 요청 양식은 다섯 줄입니다. 어느 답변이든 개인정보나 사람에 관한 결정이 포함되어 있으면, 승인 전에 데이터 사용 승인 절차를 거칩니다.
도구 및 요금제
실제로 사용할 정확한 제품과 계정은 무엇입니까?
과제
어떤 업무를 수행하며, 누가 사용하게 됩니까?
정보
어떤 유형의 정보를 입력하게 됩니까?
오류의 영향
결과물이 틀리면 누가 영향을 받으며, 그 영향은 얼마나 큽니까?
검토
결과물을 사용하기 전에 누가 확인합니까?
AI 거버넌스 정책은 어떤 원칙을 바탕으로 해야 합니까?
합의된 단일 AI 거버넌스 원칙 목록은 없습니다. 체계마다 사용하는 원칙이 다르므로 팀이 적용할 수 있는 소수의 원칙을 선택합니다. NIST는 신뢰할 수 있는 AI의 특성으로 유효성과 신뢰성, 안전성, 보안성과 복원력, 책임성과 투명성, 설명 가능성과 해석 가능성, 개인정보 보호 강화, 유해한 편향을 관리하는 공정성을 제시합니다. 영국 정부가 공무원을 위해 2025년 2월에 발행한 AI 활용 지침서는 AI가 무엇이고 어떤 한계가 있는지 이해하는 것부터 시작해, 적절한 단계에서 실질적인 인간의 통제를 보장하는 것을 포함한 10가지 원칙을 제시합니다.
소규모 기업에서는 보통 세 가지 업무 원칙이면 충분합니다. 모든 사용 건에 담당자를 지정하고, 정보는 허용된 곳으로만 보내며, 실제로 사용하는 모든 결과물을 사람이 확인하고 책임지는 것입니다. 제안된 사용 방식이 이 세 가지를 모두 충족하지 못한다면 아직 승인할 준비가 되지 않은 것입니다.
AI 거버넌스의 세 가지 축이 무엇인지 묻는 경우가 있습니다. 정해진 표준은 없습니다. 실무에서는 사람(누가 결정하고 누가 교육받는지), 절차(사용을 어떻게 승인하고 검토하는지), 기록(관리 대장과 그 안에 기록된 결정)으로 나누어 생각하면 유용합니다.
AI 거버넌스 관련 결정은 얼마나 자주 검토해야 합니까?
전체 등록부는 적어도 1년에 한 번 검토합니다. 공급업체가 약관을 변경하거나, 요금제가 바뀌거나, 고객 계약에 AI 관련 조항이 추가되거나, 신고된 문제를 통해 업무 흐름이 제대로 작동하지 않는다는 사실이 드러나면 개별 항목도 검토합니다. NIST의 거버넌스 지침은 위험 관리 절차의 지속적인 모니터링과 정기 검토를 다룹니다.
소규모 기업에서는 분기마다 30분이면 충분한 경우가 많습니다. 담당자는 문제 기록을 읽고, 공급업체 약관 두세 개를 확인하고, 부서장에게 활용 방식이 달라진 것이 있는지 묻고, 아무도 사용하지 않는 것은 종료합니다. 사용하지 않는 도구를 종료하는 것도 거버넌스의 일부입니다. NIST의 거버넌스 지침에는 AI 시스템을 안전하게 운영 종료하는 절차가 포함되어 있습니다.
AI 거버넌스에서 교육은 어떤 역할을 합니까?
교육은 거버넌스에서 규칙을 실제로 적용할 수 있게 만드는 부분입니다. NIST의 거버넌스 지침에는 구성원의 AI 위험 관리 교육이 포함됩니다. 유럽연합의 경우, 유럽연합 집행위원회의 AI Act 제4조에 관한 AI 리터러시 질의응답은 모든 조직에 맞는 단일 방식은 없으며, 수료증은 필수가 아니고 내부 교육 기록으로 충분하다고 설명합니다.
누가 어떤 교육을 받았는지 기록하고, 교육은 사람들이 실제로 수행하는 업무를 중심으로 구성합니다. Tosheo.ai는 직무별 실습을 제공하고 관리자가 역량 향상과 이수 현황을 확인할 수 있도록 개발 중입니다. 거버넌스 플랫폼이 아니며, 조직의 관리 대장을 관리하지 않습니다.
소규모 기업에 이 이상의 대책이 필요한 경우는 언제입니까?
AI 시스템을 개발하거나, 제품에 AI를 도입하거나, 사람에 대한 중대한 결정을 내리거나 지원하는 데 AI를 사용하거나, 민감정보를 대규모로 처리하거나, 규제 산업에서 일한다면 간단한 체계만으로는 부족합니다. 이러한 경우에는 공식적인 위험 평가나 영향 평가, 인증 가능한 관리 체계, 법률 검토가 필요할 수 있습니다.
AI 관리 체계를 위한 전용 소프트웨어도 있지만, 대부분 대규모 조직을 대상으로 합니다. AI 도우미 몇 개를 사용하는 팀이라면 스프레드시트 관리 대장, 간단한 정책, 검토 일정을 정하는 것으로 대체로 충분하며, 최신 상태로 유지하기도 더 쉽습니다.
출처와 범위
NIST, AI 위험 관리 프레임워크 1.0 (NIST AI 100-1), January 2023 ↗
NIST, AI 위험 관리 프레임워크 개요 페이지, 확인일 16 October 2026 ↗
NIST AI RMF 실행 지침: 거버넌스, 확인일 16 October 2026 ↗