사내 AI 사용정책은 어떻게 만드나요?
분량이 아니라 결정의 개수가 중요합니다. 사내 AI 사용정책은 다섯 가지만 정해도 작동합니다 — ① 어떤 도구를 승인하는가 ② 무엇을 입력하면 안 되는가 ③ 결과물을 외부로 낼 때 누가 확인하는가 ④ 무엇을 표시하는가 ⑤ 이 모든 것을 어디에 기록하는가. 이 중 ④는 AI기본법 제31조와 시행령 제23조가 방법까지 정해 두었으므로 회사가 처음부터 설계할 필요가 없습니다.
작성 · 최종 업데이트
① 승인 도구 목록 — 금지가 아니라 선택지를 준다
「외부 AI 도구 사용 금지」로 시작한 정책은 대부분 지켜지지 않습니다. 업무가 그대로인데 도구만 없어지기 때문입니다. 승인 도구를 몇 개 정해 주고, 그 밖의 도구를 쓰려면 어디에 요청하는지를 적는 방식이 현실적입니다.
목록에는 도구 이름, 허용 업무, 계정 형태(회사 계약·개인 계정 허용 여부), 데이터 학습 사용 설정 상태를 함께 적습니다.
② 입력 금지 정보 — 예시로 적는다
「기밀정보 입력 금지」처럼 추상적으로 적으면 판단이 개인에게 넘어갑니다. 실제로 사고가 나는 자료를 예시로 나열하는 편이 낫습니다.
- 고객 개인정보 — 이름·연락처·주민등록번호·계좌·거래내역
- 계약 관련 — 체결 전 계약서 초안, 단가표, 입찰 자료
- 미공개 경영정보 — 재무자료, 인수합병 검토, 미공개 실적
- 인증정보 — API 키, 비밀번호, 접근 토큰
- 타사 자료 — 비밀유지 의무가 걸린 문서
③ 결과물 검수 — 나가는 문에 사람을 둔다
AI 결과물이 외부로 나가기 전에 누가 확인하는지를 정합니다. 고영향 인공지능에 해당한다면 제34조제1항제4호가 사람의 관리·감독을 조치로 두고 있고, 시행령 제27조제1항제4호는 관리·감독하는 사람의 성명과 연락처를 게시하도록 하고 있습니다.
고영향이 아니더라도 검수 담당을 정해두면 표시 누락과 사실관계 오류를 같은 지점에서 잡을 수 있습니다.
④ 표시 규칙 — 법이 방법을 정해 두었다
제31조제1항은 고영향 또는 생성형 인공지능 기반 제품·서비스라는 사실의 사전 고지를, 제2항은 생성형 인공지능 결과물의 생성 사실 표시를, 제3항은 실제와 구분하기 어려운 음향·이미지·영상에 대한 명확한 인식이 가능한 고지 또는 표시를 정합니다.
시행령 제23조제1항은 사전 고지 방법으로 제품에 직접 기재하거나 계약서·사용설명서·이용약관 기재, 이용자 화면이나 단말기 표시, 제공 장소 게시 등을 듭니다. 제2항은 표시 방법으로 사람이 인식할 수 있는 방법과 기계가 판독할 수 있는 방법을 제시합니다.
정책 문서에는 「어느 채널에 어떤 문구를 어디에 붙인다」까지 적어두는 편이 좋습니다. 문구를 정하지 않으면 부서마다 다른 표기가 나갑니다.
⑤ 기록 — 정책보다 오래 남는 것
정책 문서 자체보다 「언제 무엇을 확인했는지」가 나중에 필요해집니다. 도구 승인 이력, 점검 일자, 확인 필요로 남은 항목, 처리 담당자와 기한을 한 곳에 모읍니다.
고영향 인공지능에 해당하면 시행령 제27조제2항이 조치 근거를 문서로 5년간 보관하도록 정하므로, 기록 위치와 보관 기간을 정책에 함께 적어야 합니다.
윤리위원회를 둘 수도 있다
제27조는 정부가 인공지능 윤리원칙을 제정·공표하도록 하고, 제28조는 일정 기관·단체가 윤리원칙을 준수하기 위하여 민간자율인공지능윤리위원회를 설치할 수 있도록 하고 있습니다. 규모가 있는 조직이라면 검수 책임을 이 구조에 얹는 방법도 있습니다.
자체점검 체크리스트
- 1
승인 도구와 요청 절차를 정했는가
금지 목록만 있는 정책은 지켜지지 않습니다. 선택지와 요청 창구를 함께 둡니다.
- 2
입력 금지 정보를 예시로 나열했는가
개인정보·계약자료·미공개 경영정보·인증정보·타사 비밀자료 등 실제 사례로 적습니다.
- 3
외부로 나가는 결과물의 검수 담당을 지정했는가
고영향이라면 제34조제1항제4호의 사람의 관리·감독과 연결됩니다.
- 4
채널별 고지·표시 문구와 위치를 정했는가
시행령 제23조제1항·제2항의 방법 중 어느 것을 쓰는지 명시합니다.
- 5
기록 위치와 보관 기간을 정했는가
고영향에 해당하면 시행령 제27조제2항의 5년 보관이 함께 걸립니다.
실무에서 자주 남는 확인 필요 상황
아래는 자주 관찰되는 상황의 예시이며, 특정 회사의 상태를 판단한 것이 아닙니다.
정책은 있는데 승인 도구가 없다
직원이 개인 계정으로 도구를 쓰게 되어 무엇이 입력됐는지 회사가 파악할 수 없는 상태가 됩니다.
표시 문구가 채널마다 다르다
같은 회사가 만든 결과물에 서로 다른 표기가 나가면서 실제 표시 방식이 무엇인지 설명하기 어려워집니다.
정책을 배포만 하고 교육·기록이 없다
정책을 언제 알렸고 누가 확인했는지 남지 않아, 실사 문항의 「내부 교육 실시 여부」에 답할 자료가 없습니다.
근거 · 출처
아래 요약은 법령 원문(국가법령정보센터)을 확인해 정리한 것입니다.
AI기본법 제31조
투명성 확보 의무. ① 고영향 또는 생성형 인공지능 기반 제품·서비스는 그 사실을 이용자에게 사전 고지한다. ② 생성형 인공지능의 결과물에는 생성 사실을 표시한다. ③ 실제와 구분하기 어려운 가상의 음향·이미지·영상은 이용자가 명확히 인식할 수 있는 방식으로 고지·표시한다.
법령 원문 보기 →AI기본법 시행령 제23조
제31조의 고지·표시 방법을 정한다. 사전고지 = 제품에 직접 기재·계약서·사용설명서·이용약관 기재, 화면·단말기 표시, 제공 장소 게시 등. 표시 = 사람이 인식할 수 있는 방법 또는 기계 판독 방법(이 경우 1회 이상 안내 문구·음성 제공). 제4항에 적용 예외(활용 사실이 명백한 경우·내부 업무 용도 전용 등)를 둔다.
법령 원문 보기 →AI기본법 제34조
고영향 인공지능 사업자의 책무 6가지. 위험관리방안 수립·운영, 설명 방안 수립·시행, 이용자 보호 방안 수립·운영, 사람의 관리·감독, 조치 내용을 확인할 수 있는 문서의 작성·보관 등.
법령 원문 보기 →AI기본법 시행령 제27조
제34조 조치의 구체화. 위험관리방안 주요 내용·설명 방안 주요 내용·이용자 보호 방안·관리감독자의 성명과 연락처를 사무소나 홈페이지 등에 게시하고, 조치 근거를 **문서로 5년간 보관**한다(전자적 보관 포함).
법령 원문 보기 →AI기본법 제27조
인공지능 윤리원칙. 정부가 윤리원칙을 제정·공표하고 확산을 위한 시책을 마련한다.
법령 원문 보기 →AI기본법 제28조
민간자율인공지능윤리위원회. 일정 기관·단체는 윤리원칙을 준수하기 위하여 민간자율 윤리위원회를 설치할 수 있다.
법령 원문 보기 →
자주 묻는 질문
- 사내 AI 사용정책에 꼭 들어가야 하는 항목은 무엇인가요?
- 법령이 사내 정책의 목차를 정하고 있지는 않습니다. 실무에서는 승인 도구 목록, 입력 금지 정보, 결과물 검수 절차, 고지·표시 규칙, 기록·보관 다섯 항목을 기본으로 둡니다. 이 중 고지·표시는 AI기본법 제31조와 시행령 제23조가 방법을 정하고 있어 그대로 반영할 수 있습니다.
- AI 사용정책을 만들면 AI기본법 대응이 끝나나요?
- 정책은 출발점이고 의무 자체를 대체하지 않습니다. AI기본법은 고영향 해당 여부의 사전 검토(제33조), 고영향 사업자 책무(제34조), 조치 근거 문서의 5년 보관(시행령 제27조제2항) 등을 별도로 정하고 있습니다. 정책은 이 활동이 실제로 돌아가게 만드는 틀에 가깝습니다.
- AI 윤리위원회를 반드시 두어야 하나요?
- AI기본법 제28조는 일정 기관 또는 단체가 윤리원칙을 준수하기 위하여 민간자율인공지능윤리위원회를 설치할 수 있다고 정하고 있습니다. 설치 여부와 구성은 조직 상황에 따라 판단하는 사항이며, 개별 적용은 자격 있는 전문가의 확인이 필요합니다.
※ '확인 필요'는 위반·불이행을 의미하지 않습니다. 자체점검 결과이며 법률상담·법률자문을 제공하지 않습니다. 이 페이지는 법령 원문을 정리한 참고 자료이며, 개별 사안에 대한 판단은 변호사 등 자격 있는 전문가의 자문이 필요합니다.