직원용 AI 정책 서식

이 서식은 어떻게 사용해야 합니까?

아래 조항을 자체 문서에 복사하고, 대괄호 안의 모든 입력란을 채운 뒤, 각 조항을 해당 업무 절차의 담당자와 논의합니다. 실제로 관련된 도구, 정보, 의무를 확인하지 않은 채 회사 정책으로 채택해서는 안 됩니다. 이 조항은 업무 데이터를 업로드해도 된다는 포괄적 허용을 임의로 만들어 내지 않도록 의도적으로 작성되었습니다.

익숙한 업무를 활용해 직원이 완성된 문서를 실제로 적용할 수 있는지 확인합니다. 예를 들어 공개된 사실을 바탕으로 이메일 초안을 작성할 때 어떤 계정을 사용하도록 승인되어 있는지, 고객 보고서를 공유하기 전에 누구에게 물어야 하는지 알 수 있습니까? 답이 명확하지 않다면 직원에게 정책 확인을 요청하기 전에 정책을 개선합니다.

이 서식은 일반 정보이며 법률 자문이 아닙니다. 개인정보 보호, 고용 및 업종별 규정은 국가마다 다르므로, 실제로 채택할 버전을 자격을 갖춘 전문가에게 검토받아야 합니다.

목적, 적용 범위, 책임 주체 조항에는 무엇을 포함해야 합니까?

첫 세 조항은 정책의 목적, 적용 대상, 해석이 불분명할 때의 결정권자를 설명합니다. 법적 효력을 부여하기보다 방향을 안내하는 역할이므로 짧게 작성합니다.

제1조, 목적: "[회사]는 직원의 초안 작성, 요약, 조사 및 분석을 돕기 위해 AI 도구를 사용합니다. 이 정책은 승인된 도구, 해당 도구에 사용할 수 있는 정보, 결과물 검토 방법, 문의 대상을 설명합니다. 이 정책은 기존 [정보 보안 / 개인정보 보호 / 기밀 유지] 정책을 보완하며 대체하지 않습니다."

제2조, 적용 범위: "이 정책은 사용하는 기기에 관계없이 [회사]의 업무를 수행하는 모든 직원, 계약업체 인력 및 [프리랜서 / 인턴]에게 적용되며, [사무용 소프트웨어 제품군, 디자인 도구, CRM] 등 이미 사용 중인 소프트웨어에 내장된 AI 기능도 포함합니다."

제3조, 관리 책임: "[이름, 직책]이 이 정책과 승인 도구 등록부를 관리합니다. 담당자가 부재중일 때는 [대체 담당자 이름]이 대신합니다. 문의는 [이메일 또는 채널]로 합니다. 개인정보가 포함된 업무 절차는 [이름, 직책]의 승인을 받습니다."

도구 및 정보 관련 조항은 어떻게 작성합니까?

제4조와 제5조는 위험과 가장 밀접한 조항이므로 가장 구체적인 답변이 필요합니다. 제4조는 정확히 어떤 계정을 사용하는지 명시하고, 제5조는 각 계정에 어떤 종류의 정보를 입력할 수 있는지 규정합니다.

제4조, 승인 도구: "승인 도구 등록부에 기재된 도구만 [회사] 계정으로 로그인하여 사용합니다. 등록부에 없는 개인 계정, 무료 요금제 및 브라우저 플러그인은 [회사] 또는 고객 업무에 사용해서는 안 됩니다. 새 도구를 요청하려면 도구, 요금제, 수행할 작업 및 사용될 정보를 적어 [담당자]에게 이메일로 보냅니다."

제5조, 정보: "승인된 도구에서는 공개 정보와 [내부 정보]를 사용할 수 있습니다. 등록부에서 해당 작업에 해당 도구를 사용하도록 승인하지 않은 경우, [고객 기밀 자료 / 가격 정보 / 미공개 재무 정보 / 소스 코드 / 인증 정보]를 입력해서는 안 됩니다. [이름]이 해당 업무 절차를 구체적으로 승인하지 않은 경우, 직원, 지원자 또는 고객의 개인정보를 입력해서는 안 됩니다. 이름을 삭제하는 것만으로 정보를 안전하게 공유할 수 있는 것은 아닙니다."

승인 대장의 각 항목에는 서비스와 요금제, 허용된 작업, 사용 가능한 정보, 검토자와 검토일이 필요합니다. 제공업체에는 자사 데이터를 이용한 학습, 데이터 보관, 관리자 접근 권한, 삭제에 관해 각각 확인하고, 확인한 날짜와 함께 현재 약관의 내용을 기록합니다. 학습에 사용하지 않는다는 설명이 저장하지 않는다는 뜻은 아닙니다.

결과물 검토 조항과 사람에 관한 의사결정 조항에는 어떤 내용을 명시해야 합니까?

제6조는 결과물을 사용하는 사람에게 검토 책임을 부여하고, 제7조는 사람에 관한 결정을 사람이 내리도록 합니다. 두 조항 모두 기존 승인 체계에 맞아야 하며, 이를 대체해서는 안 됩니다.

제6조, 결과물 검토: "사용하거나 전달하는 AI 활용 작업물에 대한 책임은 본인에게 있습니다. 사용하기 전에 사실, 수치, 인용문 및 출처 표기를 원본 자료 또는 명시된 출처와 대조해 확인합니다. 출처를 추적할 수 없는 통계, 결과, 추천·지지 표현 또는 출처 표기는 삭제합니다. 평소 [법무 / 재무 / 관리자]의 검토를 받는 작업물은 계속해서 해당 검토를 받습니다."

제7조, 사람에 관한 결정: "채용, 급여, 성과, 징계, 신용 또는 고객 불만에 관한 결정의 근거로 AI 도구를 사용해서는 안 됩니다. AI 도구는 초안 작성이나 자료 정리를 도울 수 있지만, 지정된 담당자가 기초 정보를 검토하고 결정을 내려야 합니다."

팀에서 고객 지원 답변처럼 대량의 업무를 처리한다면 표본 점검에 관한 문장을 추가하십시오. 누가 얼마나 자주 AI의 도움을 받아 작성한 답변을 표본 점검하며, 반복적인 오류 양상이 나타나면 어떻게 대응하는지 명시합니다.

공개, 보고 및 검토 조항은 어떻게 적용됩니까?

마지막 세 조항은 AI 사용 사실을 다른 사람에게 언제 알려야 하는지, 문제가 생기면 무엇을 해야 하는지, 정책을 어떻게 최신 상태로 유지할지 설명합니다.

제8조, 공개: "초안의 상당 부분을 AI로 작성한 경우 검토자에게 알립니다. AI 생성 콘텐츠에 관한 고객 계약과 플랫폼 또는 발행 매체의 규정을 준수합니다. [선택 사항: AI로 생성한 고객 대상 이미지나 텍스트에는 [표시 문구]를 표시합니다.]"

제9조, 보고: "사용이 제한된 정보가 미승인 도구에 입력되었을 가능성이 있거나, AI를 활용한 결과물이 문제를 일으켰거나 일으킬 뻔한 경우, 당일에 [담당자]에게 사용한 도구, 계정 및 공유한 내용을 알립니다. 해당하는 경우 [기존 사고 대응 절차]를 따릅니다. 신속한 보고 자체는 비위 행위로 취급하지 않습니다."

제10조, 검토: "[담당자]는 최소 [6 / 12]개월마다, 그리고 도구, 요금제, 계약 또는 업무 절차가 변경될 때마다 이 정책과 등록부를 검토합니다. 버전 [번호], [날짜]에 [이름] 승인."

어떤 입력란을 채우려면 실제 의사결정이 필요합니까?

각 대괄호는 안전하게 사용할 수 있는 기본값이 아니라 아직 결정되지 않은 사항을 뜻합니다. 따라서 모르는 항목은 그럴듯한 규칙으로 채우지 말고 검토가 필요하다고 표시해야 합니다. 회사는 정책 책임자, 승인된 서비스와 요금제, 허용 업무, 입력이 제한되는 정보, 검토 책임, 보고 경로, 검토일을 제공해야 합니다.

특정 작업에 도구 사용을 승인한 이유를 기록합니다. 모델 학습 설정, 데이터 보관, 접근 통제, 계약상 허용 여부는 각각 별개의 문제입니다. 같은 도구라도 어떤 용도로는 사용할 수 있지만 다른 용도로는 추가 승인이 필요할 수 있습니다. 관리 대장에 이 차이가 명확히 드러나도록 합니다.

적용 사례입니다. 가상의 18명 규모 기장 대행 사무소는 제5조부터 작성하다가 답할 수 없다는 사실을 알게 되었습니다. 고객 업무 위임 계약서에 AI에 관한 내용이 전혀 없었기 때문입니다. 대표는 추측하는 대신 검토가 끝날 때까지 고객 자료의 사용을 금지하고, 공개 자료와 내부 자료의 사용은 즉시 승인했으며, 업무 위임 계약서 개정을 논의하기 위해 자문 담당자와 상담 일정을 잡았습니다.

검토자는 무엇을 점검해야 합니까?

검토자는 정책이 기존의 정보 보안, 개인정보 보호, 고용 및 발행 절차에 부합하며, 이를 은근히 무력화하지 않는지 확인해야 합니다. 짧은 AI 정책 문서가 기밀 데이터나 중대한 결정에 이미 적용되는 규칙을 느슨하게 만들어서는 안 됩니다. 적합한 검토자는 조직, 업무 흐름, 관할 법규에 따라 달라집니다.

NIST AI 위험 관리 프레임워크 실행 지침의 거버넌스 자료는 역할, 책임, 교육, 제3자 위험을 다룹니다. 이 양식은 이를 소규모 팀의 실무에 맞게 조정한 것입니다. ICO의 AI 및 데이터 보호 지침은 개인정보 관련 질문에 참고할 수 있는 영국의 공식 자료입니다. 현재 해당 페이지에는 데이터 이용 및 접근에 관한 법률 제정 이후 검토 중이라고 명시되어 있으므로 최신 내용을 확인해야 합니다. 이 양식은 규정 준수 인증서가 아니며, 귀사가 통제 조치를 시행했다는 확인서도 아닙니다.

팀에 정책을 어떻게 안내합니까?

읽을거리를 배정하는 대신 실제 업무 사례로 소개합니다. 허용되는 사례, 제한되는 사례, 판단이 불확실한 사례를 하나씩 함께 살펴봅니다. 구성원에게 차이를 설명하고 상위 담당자에게 문의하는 경로를 찾아보도록 요청합니다. 실제로 사용하는 도구와 계정에 관해 질문할 시간을 줍니다. 확인했다는 응답만으로는 정보 사용 범위를 실제로 지킬 수 있는지 알 수 없습니다.

첫 실습 후 정책을 다시 검토합니다. 판단을 더 명확하게 해 준 사례를 추가하고, 업무 흐름에 맞지 않았던 지침을 수정합니다. 직원들이 최신 규칙을 어디서 찾을 수 있는지 알 수 있도록 버전 번호와 담당자를 명시합니다.

체계적인 실습을 원한다면, Tosheo.ai는 역할별로 짧은 수업을 제공하고 실제 AI 도구를 사용하는 실습 과제로 마무리하며, 공개된 채점 기준에 따라 평가하는 서비스로 기획 중입니다. 조직의 정책을 작성하거나 승인하지는 않습니다.

범용 템플릿을 출발점으로 삼는 것이 적절하지 않은 경우는 언제입니까?

판매하는 제품에 AI를 통합하거나, 특별 범주 개인정보를 처리하거나, 규제 대상 전문직에 종사하거나, 계약에 이미 AI 관련 조건이 있는 경우에는 범용 템플릿으로 시작하는 것이 적절하지 않습니다. 자격을 갖춘 전문가와 함께 해당 의무부터 검토하고, 이 구조는 검토할 주제의 점검표로만 사용합니다.

아무도 책임지지 않는다면 이 역시 적절하지 않습니다. 한 번 작성한 뒤 다시 검토하지 않는 서식은 팀이 더 이상 사용하지 않는 도구에 관한 규칙 목록이 됩니다. 4조를 작성하기 전에 담당자를 지정해야 합니다.

출처와 범위

NIST AI RMF 실행 지침: 거버넌스, 확인일 16 October 2026 ↗

ICO, AI 및 데이터 보호 지침(검토 중), 16 October 2026 확인 ↗

ICO, AI 및 데이터 보호 위험 관리 도구 모음(검토 중), 2026년 10월 16일 확인 ↗