기업 AI 도입 체크리스트 — 위험등급과 승인 절차 만들기

AI 도구 목록만 관리해서는 사고를 막기 어렵습니다. 같은 서비스라도 공개 자료를 요약하는 용도와 채용 후보자를 평가하는 용도는 영향이 전혀 다르기 때문입니다.

먼저 부서가 AI로 어떤 일을 하는지 적어 보세요. 누가, 어떤 데이터로 일하고, 그 결과가 누구에게 영향을 주는지 용도별로 기록하면 검토해야 할 위험과 책임을 살펴볼 수 있습니다.

한 장짜리 AI 용도 목록부터 만드세요

사용 중인 AI의 이름과 함께 실제 맡기는 업무를 다음 항목에 적습니다. 고객 문의 답변 초안을 만드는 경우라면 아래처럼 정리할 수 있습니다.

[용도명] 고객 문의 답변 초안
[담당 부서·책임자] 고객지원팀 / 운영 책임자
[사용 데이터] 공개 FAQ, 고객 문의 내용
[AI의 역할] 답변 초안 작성
[사람의 역할] 사실 확인 후 발송
[외부 영향] 고객에게 전달됨
[위험등급] M
[중단 방법] 자동 초안 기능 비활성화

도구 이름이 바뀌어도 용도와 책임은 남습니다. “ChatGPT 사용”처럼 적기보다 “고객 문의 답변 초안”처럼 실제 업무를 적어야 위험을 판단할 수 있습니다.

L·M·H 위험등급 판정 기준

아래 등급은 조직이 자체 정책을 시작할 때 사용할 수 있는 예시입니다. 산업 규제와 회사 상황에 맞게 별도 검토가 필요합니다.

등급	판단 기준	운영 예시
L — 낮음	공개 자료, 내부 참고, 사람이 쉽게 확인	공개 기사 요약, 아이디어 초안
M — 중간	내부 데이터 사용 또는 외부 전달 전 검토 필요	고객 답변 초안, 사내 문서 검색
H — 높음	권리·고용·금전·안전 결정에 영향 또는 민감정보 처리	채용 평가, 신용·가격 결정, 의료·법률 판단 보조

다음 질문 중 하나라도 “예”라면 한 단계 높은 검토를 시작하세요.

• 개인정보·기밀정보를 입력하거나 생성하는가?
• 고객·직원·지원자의 권리나 기회에 영향을 주는가?
• 결과가 사람 확인 없이 외부로 전달되는가?
• AI가 결제·삭제·권한 변경을 실행하는가?
• 오류가 발생했을 때 되돌리기 어렵거나 피해가 큰가?

부서별 판정 사례

공개 보도자료 요약 — L등급 예시

공개 자료만 사용하고 내부 참고용이며 담당자가 원문을 확인할 수 있습니다. 단, 사실과 날짜를 확인하지 않고 외부 게시하면 M등급에 가까워질 수 있습니다.

고객 문의 답변 초안 — M등급 예시

고객 정보가 포함될 수 있고 결과가 외부로 나갑니다. 개인정보 최소화, 상담원 검토, 발송 기록이 필요합니다.

채용 후보 자동 순위 — H등급 예시

지원자의 기회에 영향을 주며 편향과 설명 가능성 문제가 발생할 수 있습니다. 도입 필요성부터 재검토하고, 법무·인사·보안 검토와 의미 있는 사람 판단이 필요합니다.

등급은 영구 고정값이 아닙니다. 내부 초안 기능이 자동 발송 기능으로 바뀌거나 공개 데이터 대신 개인정보를 사용하면 다시 판정해야 합니다.

바로 쓰는 승인 요청 양식

1. 해결하려는 업무 문제:
2. AI가 수행하는 범위와 수행하지 않는 범위:
3. 입력 데이터 등급과 보관 위치:
4. 결과를 받는 사람과 외부 전달 여부:
5. 사람이 확인하는 지점과 판단 기준:
6. 예상 오류와 최대 영향:
7. 로그·평가·모니터링 방법:
8. 사고 시 중단·복구 담당자:
9. 시범 운영 기간과 종료 조건:
10. 요청 위험등급 및 검토 부서:

빈칸을 “추후 협의”로 남기지 마세요. 특히 사람이 무엇을 확인해야 하는지, 문제가 생기면 누가 기능을 중단할지 정해 두어야 합니다. 검토 기준과 중단 담당자가 빠졌다면 승인 전에 보완하세요. 더 많은 판정 예시는 AI 도입 승인 양식 실전에서 제공합니다.

승인 흐름과 사람 검토 지점

1. 업무 담당자가 용도와 데이터를 등록합니다.
2. 위험등급을 1차 판정합니다.
3. 등급에 맞춰 보안·개인정보·법무·업무 책임자가 검토합니다.
4. 제한된 사용자와 가짜·비식별 데이터로 시범 운영합니다.
5. AI 평가 기준을 통과하면 범위를 넓힙니다.
6. 사고·데이터 변경·기능 변경 시 승인을 다시 검토합니다.

검토자를 정했다면 실제로 원자료를 볼 수 있는지 확인하세요. 판단할 시간과 기준, AI 결과를 거부할 권한도 있어야 사람 검토가 작동합니다.

운영 중 매달 확인할 항목

• 승인받지 않은 새 AI 용도가 생겼는가
• 입력 데이터 범위나 외부 전달 방식이 바뀌었는가
• 사람 검토가 실제로 작동하고 있는가
• 오류·불만·보안 경보가 특정 용도에 집중되는가
• 모델·프롬프트 변경 후 평가를 다시 했는가
• 더 이상 사용하지 않는 계정·연결·데이터가 남아 있는가

분기나 반기처럼 고정된 주기만 기다리지 말고 중요한 변경이 발생하면 즉시 재검토하는 기준을 함께 두세요.

자주 묻는 질문

Q1. 작은 회사도 거버넌스가 필요한가요? 필요한 문서의 양은 작아도 됩니다. 용도 목록, 금지 데이터, 승인 책임자, 사고 연락처 네 가지부터 시작하세요.

Q2. 모든 AI 사용을 사전 승인해야 하나요? 공개 자료 요약 같은 낮은 위험 용도는 사전 허용 목록으로 관리할 수 있습니다. 데이터와 영향이 커질수록 별도 검토를 강화하세요.

Q3. 사람 검토가 있으면 H등급도 안전한가요? 사람 검토만으로 모든 위험이 해결되지는 않습니다. 검토자의 전문성, 시간, 원자료 접근, 거부 권한이 실제로 있는지 확인해야 합니다.

Q4. 공급업체 보안 인증만 확인하면 되나요? 공급업체 검토는 일부입니다. 조직의 입력 데이터, 사용 목적, 권한, 출력 사용 방식도 별도로 통제해야 합니다.

Q5. 위험등급은 누가 최종 결정하나요? 업무 책임자 혼자 정하기보다 보안·개인정보·법무 등 관련 역할의 책임과 최종 승인권을 내부 정책에 명시하세요.

공식 자료와 확인 기준일

• NIST — AI Risk Management Framework
• NIST — Generative AI Profile
• OECD — AI Principles
• ISO — Artificial intelligence management systems

확인 기준일: 2026-08-30 — 산업별 의무와 국내 법률 적용 여부는 조직의 전문 담당자에게 별도로 확인하세요.