중소기업 AI 거버넌스, 어디서부터 세울까 — 최소 프레임

중소기업 AI 거버넌스는 사용 정책·데이터 취급 기준·책임 소재·점검 주기 네 가지부터 정하면 됩니다. 대기업식 위원회나 두꺼운 규정집이 아니라, 한 장짜리 기준 문서로 시작해 운영하며 다듬는 순서가 규모에 맞습니다.

거버넌스 이야기가 갑자기 튀어나오는 자리는 대개 정해져 있습니다. 모회사나 원청이 “AI 거버넌스 정책이 있느냐”고 서면으로 물어올 때, 혹은 보안 감사나 큰 고객사 심사에서 같은 질문이 떨어질 때죠.

담당자 입장에서는 난감합니다. 직원 열댓 명이 각자 ChatGPT를 켜 쓰고 있는데, 정책이라 부를 문서는 없고, 인터넷을 뒤지면 나오는 자료는 전부 대기업 기준이거든요. 위원회를 꾸리고 영향평가를 돌리라는 안내 앞에서 손이 멈추게 됩니다.

여기서 필요한 것은 규정집이 아니라 규모에 맞는 최소 프레임입니다. 하마다랩스에서 기업 AI 도입을 이끌다 보면, 거버넌스를 크게 잡으려다 착수 자체가 반년씩 미뤄지는 경우를 자주 봅니다. 문턱을 스스로 높여 놓고 넘지 못하는 셈이죠.

경영 관점에서 거버넌스는 규제 대응이기 이전에 리스크 관리입니다. 회사 정보가 어디로 새는지, 누가 무엇을 책임지는지 모르는 상태가 가장 큰 위험이거든요. 아래는 그 위험을 네 요소로 좁혀 관리하는 최소 프레임입니다.

중소기업 AI 거버넌스, 최소 프레임 네 가지는 무엇인가요?

최소 프레임은 네 가지 질문에 답하는 문서 한 장입니다. 누가 어떤 AI를 쓰는가(사용 정책), 무엇을 넣어도 되고 안 되는가(데이터 취급 기준), 누가 승인하고 책임지는가(책임 소재), 얼마마다 다시 보는가(점검 주기)죠. 이 네 칸만 채워지면 거버넌스의 뼈대는 서게 됩니다.

네 요소를 하나의 표로 두면 전체가 한눈에 들어옵니다.

요소	답할 질문	최소 결과물
사용 정책	누가 어떤 도구를 어디에 쓰는가	허용·조건부·금지 도구 목록
데이터 취급 기준	무엇을 입력해도 되고 안 되는가	입력 금지 정보 분류
책임 소재	누가 승인·점검·책임지는가	담당자 한 명과 승인 라인
점검 주기	얼마마다 다시 보는가	분기 1회 검토일

이 네 가지를 고른 이유는 나머지가 여기서 파생되기 때문입니다. 사고가 나거나 감사 지적이 나오는 지점은 대부분 “규칙 없이 아무 데나 회사 정보를 넣었다”거나 “누가 책임인지 아무도 몰랐다”로 수렴하거든요. 화려한 항목보다 이 네 칸의 공백이 실제 위험입니다.

규모가 작을수록 이 프레임의 값이 큽니다. 인원이 적어 각자의 판단에 맡겨지기 쉬운데, 그 판단이 흩어지면 회사 전체가 같은 실수를 반복하죠. 기준선 한 줄이 있으면 열 명이 같은 규칙 위에서 움직이게 됩니다.

네 요소의 순서에도 뜻이 있습니다. 사용 정책과 데이터 기준이 무엇을 어떻게 쓸지를 정하면, 책임 소재와 점검 주기가 그것이 지켜지도록 받치는 구조죠. 앞의 둘이 내용이라면 뒤의 둘은 그 내용을 살아 있게 하는 장치인 셈입니다.

왜 대기업 AI 거버넌스 틀을 그대로 가져오면 안 되나요?

대기업 틀은 통제할 조직과 담당 인력이 있다는 전제 위에 설계돼 있기 때문입니다. 전담 위원회, 정기 영향평가, 별도 심의 절차를 중소기업이 그대로 옮기면 운영할 사람이 없어 문서만 남죠. 지키지 못하는 규정은 없느니만 못한 리스크가 됩니다.

국제 표준도 이 점을 감안해 읽어야 합니다. ISO/IEC 42001:2023은 조직이 AI를 책임 있게 관리하도록 세운 세계 첫 AI 경영시스템(AIMS) 국제표준이고, 미국 NIST의 AI 위험관리 프레임워크(AI RMF 1.0)는 거버넌스를 통치·지도·측정·관리(Govern·Map·Measure·Manage) 네 기능으로 나눕니다. 둘 다 포괄적이지만, 전 항목 이행은 전담 조직을 전제로 하죠.

그래서 중소기업에 맞는 접근은 표준을 버리는 것이 아니라 압축하는 것입니다. 표준이 말하는 원칙(책임 있는 사용·데이터 보호·지속 점검)은 그대로 두되, 실행 단위를 위원회가 아니라 담당자 한 명과 문서 한 장으로 줄이는 방식이죠. 원칙은 유지하고 절차만 규모에 맞춥니다.

압축의 기준은 “우리가 실제로 운영할 수 있는가”입니다. 분기마다 한 번 열어 볼 문서라면 지켜지지만, 매달 회의를 요구하는 규정은 두 달 만에 방치되거든요. 지킬 수 있는 얇은 규칙이, 지키지 못하는 두꺼운 규정보다 실질 안전을 더 높입니다.

거버넌스가 없으면 실제로 무엇이 문제가 되나요?

규칙이 없을 때 문제는 조용히 쌓이다 한꺼번에 터집니다. 평소에는 아무 일 없어 보이다가, 유출 사고나 감사 지적, 큰 계약의 보안 심사에서 한 번에 드러나거든요. 그때는 이미 손쓸 시점을 지난 경우가 많죠.

가장 흔한 형태는 회사 정보가 검증 안 된 도구로 새어 나가는 것입니다. 직원이 급한 마음에 무료 챗봇에 계약서나 고객 명단을 넣는 순간, 그 데이터가 어디에 저장되고 학습에 쓰이는지 회사는 알 수 없죠. 한번 나간 정보는 회수도 어렵습니다.

책임 공백도 못지않게 아픕니다. 문제가 터졌을 때 “누가 이 도구 도입을 승인했느냐”는 물음에 아무도 답하지 못하면, 수습은 늦어지고 같은 사고가 되풀이되죠. 규칙 한 장이 이 두 위험을 앞단에서 줄이는 가장 값싼 보험입니다.

첫 번째 요소 — AI 사용 정책은 무엇을 정하나요?

사용 정책은 “누가 어떤 도구를 어디에 쓰는가”를 정합니다. 핵심은 회사가 쓰는 AI 도구를 허용·조건부·금지 세 칸으로 나누는 일이죠. 목록을 막연히 “잘 쓰자”로 두면 각자 다른 도구를 다른 방식으로 쓰게 됩니다.

세 칸의 기준은 도구가 데이터를 어떻게 다루느냐입니다.

구분	기준	예
허용	회사 계약·보안 검토를 마친 도구	사내 도입한 에이전트, 기업용 계약 도구
조건부	개인 정보·기밀 미입력 조건에서만	무료·개인 계정 범용 챗봇
금지	데이터 처리·보관이 불투명한 도구	검증 안 된 신규 무료 서비스

조건부 칸을 두는 이유가 있습니다. 무료 챗봇을 전면 금지하면 직원들이 몰래 쓰는 그림자 사용(섀도 AI)이 오히려 늘거든요. “고객 정보·계약서·소스코드는 넣지 말고, 공개해도 되는 내용만”이라는 조건을 명확히 하면, 금지보다 관리가 쉬워집니다.

정책에는 업무 범위도 한 줄 넣는 편이 좋습니다. AI 산출물을 그대로 대외에 내보내지 말고 사람이 검토한 뒤 쓴다는 원칙이죠. 생성형 AI의 결과에는 사실과 다른 내용이 섞일 수 있어, 최종 책임은 사람에게 있다는 선을 정책에 박아 두면 분쟁의 소지가 줄어듭니다.

회사가 직접 도입해 계약·보안 검토를 마친 도구가 있다면, 그것을 허용 칸의 기본값으로 세우는 편이 낫습니다. 하마다랩스가 기업에 에이전트를 구축할 때도 데이터 처리 경로를 계약으로 고정하는데, 이렇게 통제되는 도구가 있으면 직원이 굳이 검증 안 된 외부 서비스를 찾을 이유가 줄죠.

두 번째 요소 — 데이터 취급 기준은 어디까지 정해야 하나요?

데이터 취급 기준은 “무엇을 AI에 넣어도 되고 안 되는가”를 정합니다. 가장 실효가 큰 방식은 입력 금지 정보를 짧은 목록으로 못 박는 것이죠. 넣어도 되는 것을 다 나열하기보다, 넣으면 안 되는 것을 분명히 하는 편이 지키기 쉽습니다.

입력 금지에 최소한 들어가야 하는 항목은 다음과 같습니다.

고객·직원의 개인정보(이름·연락처·주민등록번호 등 식별 정보)
계약서·견적 등 비밀유지 대상 문서
미공개 재무·인사 정보와 소스코드
제3자가 우리에게 맡긴 자료(재위탁 제한 대상)

이 기준의 법적 뿌리는 개인정보보호법입니다. 개인정보보호법은 개인정보 처리자에게 안전성 확보에 필요한 조치를 하도록 정하고 있어(안전조치 의무), 개인정보를 외부 AI 서비스에 그대로 입력하는 행위는 점검이 필요한 처리로 볼 수 있죠. 개인정보보호위원회도 AI 환경의 개인정보 처리에 관한 안내를 이어 내고 있습니다.

한 가지 더 살필 것은 우리가 남에게서 받은 데이터입니다. 고객사가 위탁한 자료를 다시 외부 AI에 넣으면 재위탁이나 국외 이전 문제가 생길 수 있어, 제3자가 맡긴 자료는 별도 표시로 더 엄격히 다루는 편이 안전하죠. 계약서에 재위탁 제한 조항이 있는지도 함께 확인해 두시면 좋습니다.

경영 관점에서 이 기준은 규정 준수를 넘어 리스크 관리입니다. 회사 기밀이 외부 모델에 한번 들어가면 회수가 어렵고, 유출이 확인되면 신뢰 회복 비용이 도구값을 훨씬 웃돌거든요. 입력 금지 목록 한 장이 이 손실 가능성을 앞단에서 막는 가장 값싼 장치입니다.

기준을 세울 때는 도구의 데이터 보관 방식도 함께 확인하시길 권합니다. 입력값을 학습에 쓰는지, 어디에 얼마나 저장하는지, 국외로 넘어가는지가 도구마다 다르기 때문이죠. 기술적 점검의 세부는 보안 감사에서 반복되는 온프레미스 점검 항목에서 따로 다룹니다.

세 번째 요소 — 책임 소재는 누구에게 두나요?

책임 소재는 “누가 승인하고 누가 점검하며 문제가 생기면 누가 책임지는가”를 한 명으로 지정하는 일입니다. 중소기업에서 이 요소가 가장 자주 비어 있죠. 다들 쓰는데 관리자는 없는 상태가 사고의 온상입니다.

지정할 역할은 세 가지지만 한 사람이 겸해도 됩니다.

역할	하는 일	규모가 작을 때
정책 책임자	규칙 정하고 갱신	대표 또는 관리 임원
도구 승인자	새 도구 도입 결재	IT·기획 담당 겸임
점검 담당	사용 현황·위반 확인	정책 책임자 겸임

한 명으로 좁히는 것이 핵심입니다. 책임이 팀 전체로 흩어지면 아무도 책임지지 않는 상태와 같아지거든요. “AI 도구 도입은 관리 임원 결재, 정책 갱신은 대표 확인”처럼 이름과 결재선을 명시하면 그것만으로 거버넌스의 절반이 섭니다.

새 도구 도입 절차도 한 줄이면 충분합니다. 직원이 새 AI 도구를 쓰고 싶으면 승인자에게 데이터 처리 방식과 용도를 적어 결재를 받는 흐름이죠. 이 짧은 관문이 검증 안 된 도구가 회사 정보를 물고 들어오는 경로를 막습니다.

결재 기록을 남기는 습관도 권해 드립니다. 언제 누가 어떤 근거로 도구를 승인했는지 한 줄로 남겨 두면, 나중에 문제가 생겨도 책임과 경위가 분명해지거든요. 감사나 고객사 심사 자리에서 이 기록만큼 확실한 증빙이 드뭅니다.

책임을 명확히 하면 임원 보고도 수월해집니다. 감사나 고객사가 “관리 체계가 있느냐”고 물을 때, 담당자와 승인 기록을 보여 주면 되니까요. 도입 결정 단계에서 무엇을 함께 점검해야 하는지는 IT팀장 의사결정 체크리스트에 정리해 두었습니다.

네 번째 요소 — 점검 주기는 얼마가 적당한가요?

점검 주기는 분기 1회를 기본값으로 잡으면 무리가 없습니다. AI 도구는 기능과 약관이 자주 바뀌고 직원이 쓰는 도구도 계속 늘어, 한 번 정한 규칙이 몇 달 만에 현실과 어긋나거든요. 반년만 방치해도 목록에 없는 도구가 절반이 되곤 합니다.

분기 점검에서 볼 것은 세 가지면 됩니다.

실제 사용 도구가 목록과 맞는가(새로 늘어난 도구 반영)
입력 금지 기준을 어긴 사례가 있었는가
도구의 약관·데이터 정책이 바뀌지 않았는가

점검을 무겁게 만들 필요는 없습니다. 30분짜리 확인 회의와 문서 한 장 갱신이면 대부분 처리되죠. 규칙이 살아 있으려면 정교함보다 꾸준함이 앞서, 짧게라도 분기마다 여는 편이 1년에 한 번 크게 손보는 것보다 낫습니다.

법·제도 변화도 이 주기에 얹어 봅니다. 인공지능 기본법이 시행에 들어가며 관련 고시와 가이드가 이어질 예정이라, 분기 점검 때 달라진 제도가 우리 규칙에 영향을 주는지 한 줄로 확인해 두면 뒤늦은 대응을 피할 수 있죠.

만든 규칙을 직원이 지키게 하려면 무엇이 필요한가요?

규칙은 만드는 일보다 알려지는 일이 어렵습니다. 문서를 서버 어딘가에 올려 두고 끝내면, 정작 매일 AI를 쓰는 직원은 규칙의 존재조차 모르죠. 알려지지 않은 규칙은 없는 규칙과 같습니다.

실효가 큰 방법은 세 가지로 추려집니다.

온보딩에 포함 — 입사·부서 이동 때 사용 규칙 한 장을 첫날 읽게 합니다.
결재 흐름에 삽입 — 새 도구 승인 절차를 거치며 규칙을 자연히 만나게 하고요.
점검 결과 공유 — 분기 점검 요약을 짧게 돌려 규칙이 살아 있음을 보여 줍니다.

처벌보다 편의가 앞서야 지켜진다는 점도 기억할 만합니다. 허용 도구를 넉넉히 열어 두고 금지선만 분명히 하면, 직원이 굳이 규칙을 우회할 이유가 줄거든요. 규칙을 어기는 사례의 상당수는 악의가 아니라 마땅한 대안이 없어 생깁니다.

AI 기본법과 개인정보보호법은 최소 프레임에 어떻게 반영하나요?

두 법은 최소 프레임의 방향을 정해 주는 기준점입니다. 전 조항을 외울 필요는 없고, 각각이 요구하는 큰 원칙 하나씩만 프레임에 얹으면 됩니다. 법을 규정집으로 옮기기보다 우리 규칙이 그 방향과 어긋나지 않게 맞추는 접근이죠.

인공지능 기본법(인공지능 발전과 신뢰 기반 조성 등에 관한 기본법)은 2025년 1월 공포돼 2026년 1월부터 시행되고 있습니다. 채용·의료 같은 고위험 영역의 고영향 AI에는 안전성·신뢰성 확보 의무가 붙고, 생성형 AI에는 산출물임을 알리는 투명성 의무가 담겼죠. 다수 중소기업은 고영향 AI 사업자에 해당하지 않을 수 있지만, 투명성과 책임 있는 사용이라는 방향은 사용 정책에 그대로 반영할 기준입니다.

개인정보보호법은 데이터 취급 기준의 근거가 됩니다. 개인정보 처리자에게 안전조치 의무를 지우고 있어, 개인정보를 외부 AI에 입력하는 흐름을 점검 대상으로 두는 것이 자연스럽죠. 두 법을 프레임에 반영하는 방법은 다음 표처럼 요약됩니다.

법·제도	핵심 방향	반영할 요소
인공지능 기본법	안전성·투명성·책임 있는 사용	사용 정책·책임 소재
개인정보보호법	개인정보 안전조치 의무	데이터 취급 기준·점검 주기

표를 이렇게 나눠 두면 법을 통째로 공부하지 않아도 됩니다. 어느 법이 어느 칸과 이어지는지가 미리 연결돼 있어, 제도가 바뀌면 해당 칸만 분기 점검에서 손보면 되거든요. 법 전체가 아니라 우리 규칙에 닿는 부분만 따라가는 방식이죠.

법 대응을 완벽주의로 접근하면 오히려 착수가 늦어집니다. 법률 자문이 필요한 고위험 사례가 아니라면, 방향에 맞춘 최소 프레임을 먼저 세우고 제도 변화를 분기 점검에서 따라가는 편이 현실적이죠. 규모가 커지거나 규제 영역에 들어설 때 프레임을 두껍게 키우면 됩니다.

보안 감사와 AI 거버넌스는 어떻게 다른가요?

둘은 묻는 질문이 다릅니다. 보안 감사는 “이 도구가 기술적으로 안전한가”를 점검하고, 거버넌스는 “누가 어떤 규칙으로 쓰는가”를 정하죠. 앞은 인프라와 데이터 흐름의 문제이고, 뒤는 조직과 정책의 문제입니다.

관계로 보면 거버넌스가 상위 틀이고 보안 점검이 그 안의 한 축입니다. 데이터 취급 기준(거버넌스)이 “고객 정보를 넣지 말라”고 정하면, 그것이 지켜지도록 온프레미스 구성이나 접근 통제를 확인하는 것이 보안 감사죠. 정책이 없으면 감사는 무엇을 기준으로 볼지조차 정하기 어렵습니다.

구분	보안 감사	AI 거버넌스
묻는 질문	기술적으로 안전한가	누가 어떤 규칙으로 쓰는가
다루는 층	인프라·데이터 흐름	조직·정책·책임
결과물	점검 항목과 조치	사용 규칙과 담당
주기	감사 시점·연 단위	상시 규칙·분기 점검

그래서 순서로는 거버넌스를 먼저 세우는 편이 낫습니다. 규칙이 있어야 무엇을 점검할지 정해지고, 감사 지적도 규칙 개정으로 이어져 재발을 막거든요. 감사만 반복하고 정책이 없으면 같은 지적이 매년 되풀이됩니다.

업종이나 상황에 따라 프레임은 어떻게 달라지나요?

뼈대는 같아도 어느 칸에 힘을 주느냐가 달라집니다. 다루는 데이터의 민감도와 규제 강도가 업종마다 다르기 때문이죠. 우리 회사의 급소가 어느 칸인지부터 짚는 편이 좋습니다.

상황	특히 두꺼워질 칸	이유
개인정보 대량 취급(유통·서비스)	데이터 취급 기준	입력 금지 범위가 넓음
규제 산업(금융·의료)	책임 소재·점검 주기	감독 규정과 감사 빈번
공공·대기업 납품	책임 소재	심사에서 관리 체계 요구
스타트업·초기	사용 정책	도구 난립부터 정리

개인정보를 많이 다루는 업종이라면 데이터 취급 기준을 가장 먼저 두껍게 잡습니다. 반대로 도구만 잔뜩 늘어난 초기 스타트업은 사용 정책의 허용·금지 목록부터 정리하는 편이 급하죠. 같은 네 칸이라도 채우는 깊이가 상황에 따라 갈립니다.

공공기관이나 대기업에 납품하는 회사는 책임 소재를 특히 분명히 해 두시길 권합니다. 상대의 보안 심사가 “누가 관리하느냐”를 거의 반드시 묻기 때문이죠. 담당자와 승인 라인이 문서에 이름으로 적혀 있으면 그 심사를 한결 수월하게 넘어갑니다.

최소 프레임을 실제로 세우는 순서는 어떻게 되나요?

착수는 2주 안에, 문서 한 장으로 끝낼 수 있습니다. 완벽한 규정을 한 번에 만들려 하지 말고, 초안을 빠르게 세운 뒤 운영하며 다듬는 순서가 규모에 맞죠. 아래 다섯 단계면 첫 버전이 나옵니다.

현황 파악 — 직원들이 실제로 쓰는 AI 도구를 일주일간 모읍니다. 목록이 곧 정책의 출발점입니다.
도구 분류 — 모인 도구를 허용·조건부·금지 세 칸에 나눠 넣습니다.
금지 정보 확정 — 입력하면 안 되는 정보를 네댓 줄로 못 박습니다.
담당 지정 — 정책 책임자와 승인자를 이름으로 적습니다.
점검일 예약 — 다음 분기 검토일을 달력에 미리 잡습니다.

가장 공들일 단계는 1번입니다. 회사가 이미 무엇을 쓰는지 모르면 뒤의 규칙이 현실과 겉돌거든요. 이 조사에서 목록에 없던 도구가 무더기로 나오는 것이 오히려 정상이고, 그 발견 자체가 거버넌스가 필요했던 증거죠.

분류가 애매한 도구는 일단 조건부 칸에 넣고 다음 점검까지 판단을 미뤄도 됩니다. 처음부터 모든 도구를 완벽히 가르려다 착수가 늦어지는 것보다, 애매한 것은 조건부로 두고 굴리며 지켜보는 편이 빠르거든요. 결정을 미루는 것과 착수를 미루는 것은 다릅니다.

초안이 나오면 전 직원에게 한 번 공유하고 시행합니다. 완성도보다 공유가 먼저인 이유는, 규칙은 알려져야 지켜지기 때문입니다. 반발이나 빈틈은 첫 분기 점검에서 고치면 되니, 8할쯤 된 문서로 시작하는 편이 착수를 미루는 것보다 낫죠.

거버넌스 문서는 얼마나 자세해야 하나요?

한 장, 길어도 두세 장이면 충분합니다. 문서가 두꺼워질수록 아무도 안 읽고, 안 읽히는 규칙은 존재하지 않는 규칙과 같거든요. 처음부터 완비하려는 욕심이 오히려 거버넌스를 무력화합니다.

과도한 설계의 흔한 증상은 분명합니다. 대기업 템플릿을 받아 위원회·영향평가·리스크 등급표를 다 넣었는데, 정작 운영할 사람이 한 명도 없어 문서가 서랍에 들어가는 경우죠. 규모를 넘는 형식은 안전이 아니라 부채가 됩니다.

반대로 지나치게 얇아도 곤란합니다. 네 요소 중 하나라도 빠지면 그 칸이 사고 지점이 되거든요. “잘 쓰자”는 훈시만 있고 입력 금지 목록이 없으면, 결국 회사 정보가 아무 도구에나 들어가게 됩니다. 얇되 네 칸은 반드시 채우는 균형이 관건입니다.

분량의 정답은 회사마다 다릅니다. 열 명 회사는 한 장으로 족하고, 백 명이 넘고 부서가 여럿이면 부서별 유의사항이 붙어 두세 장이 되기도 하죠. 늘리는 기준은 형식이 아니라, 실제로 헷갈리는 상황이 생겼을 때 그 답을 한 줄씩 더하는 데 있습니다.

기준으로 삼을 질문은 하나입니다. “신입 직원이 첫날 이 문서를 읽고 오늘부터 무엇을 하고 무엇을 하지 말지 알 수 있는가”죠. 이 질문에 답이 되면 분량은 충분한 것이고, 그렇지 않으면 항목이 아니라 명료함을 더해야 합니다.

거버넌스를 세울 때 흔한 실수는 무엇인가요?

반복해 나타나는 실수는 다섯 가지로 좁혀집니다. 점검 목록처럼 훑으면 첫 버전의 구멍이 눈에 띄게 줄어듭니다.

규모를 넘는 과설계 — 위원회·영향평가부터 넣어 착수가 무한정 미뤄집니다.
책임자 공백 — 규칙은 있는데 관리할 사람을 지정하지 않습니다.
전면 금지의 역효과 — 무료 도구를 다 막아 그림자 사용을 키웁니다.
데이터 기준 누락 — 입력 금지 목록 없이 “알아서 조심”에 맡깁니다.
한 번 만들고 방치 — 점검 주기가 없어 규칙이 현실과 벌어집니다.

이 중 파급이 가장 큰 것이 첫 번째와 두 번째입니다. 과설계는 착수 자체를 막고, 책임자 공백은 만든 규칙마저 운영되지 않게 하죠. 두 실수가 겹치면 회사는 “정책은 있으나 작동하지 않는” 가장 위험한 상태에 놓입니다.

가상 시나리오로 감을 잡아 보겠습니다. 직원 40명 규모의 한 회사가 대기업 규정집을 그대로 도입했다가, 분기 위원회를 한 번도 못 열고 문서가 사문화된 상황을 떠올려 보죠. 같은 회사가 한 장짜리 프레임과 담당자 한 명으로 다시 시작하면 규칙이 살아 움직입니다. 이 예시는 접근 차이를 보이기 위한 가상 시나리오이며 특정 고객사 사례가 아닙니다.

실수를 줄이는 가장 확실한 장치는 외부의 눈으로 초안을 한 번 검토받는 일입니다. 만든 사람은 자기 규칙의 빈틈을 보기 어렵거든요. 하마다랩스가 도입 상담에서 먼저 하는 일도, 고객이 세운 사용 규칙에 “이 경우엔 어떻게 하시겠느냐”고 되묻는 작업입니다.

거버넌스를 세운 뒤에는 무엇을 갱신하나요?

첫 프레임은 완성이 아니라 시작점이죠. 도입한 도구가 늘고 업무가 바뀌며, 무엇보다 제도가 움직이기 때문에 분기마다 네 칸을 다시 봐야 합니다. 갱신 이력이 쌓이는 것 자체가 거버넌스가 살아 있다는 신호고요.

갱신의 방아쇠는 크게 세 가지입니다. 새 도구 도입, 사용 규칙 위반 사례, 그리고 인공지능 기본법 후속 고시 같은 제도 변화죠. 이 셋 중 하나가 생기면 분기를 기다리지 말고 그 칸만 즉시 손보는 편이 안전합니다.

규모가 커지면 프레임도 함께 자랍니다. 인원이 늘고 고위험 업무에 AI를 쓰기 시작하면, 한 장짜리 기준에 영향평가나 별도 승인 절차를 얹어 두껍게 키우면 되죠. 처음부터 크게 짓는 대신, 필요에 따라 층을 올리는 순서가 낭비를 줄입니다.

우리 규모에 맞는 최소 프레임을 어디서부터 세울지 함께 정하고 싶으시면 거버넌스 상담으로 현재 쓰는 도구와 고민을 보내 주세요. 네 칸을 채우는 첫 초안부터 규모에 맞게 같이 맞춰 드립니다.

자주 묻는 질문

직원이 열 명 안팎인데도 AI 거버넌스가 필요한가요?

인원이 적을수록 오히려 더 필요합니다. 사람이 적으면 각자의 판단에 맡겨지기 쉬운데, 규칙 없이 흩어진 판단이 회사 정보를 위험에 빠뜨리거든요. 열 명이라도 입력 금지 목록 한 장과 담당자 한 명만 정하면, 큰 조직 못지않은 기준선이 섭니다.

무료 ChatGPT 사용을 회사에서 아예 막아야 하나요?

전면 금지는 대개 역효과를 냅니다. 막으면 직원들이 개인 계정으로 몰래 쓰는 그림자 사용이 늘어 통제가 더 어려워지죠. 고객 정보·기밀 문서를 넣지 않는 조건을 명확히 한 조건부 허용이, 무작정 금지보다 실질 위험을 낮추는 경우가 많습니다.

인공지능 기본법 때문에 우리 회사도 영향평가를 해야 하나요?

대부분의 일반 중소기업은 해당하지 않을 가능성이 높습니다. 안전성·신뢰성 확보 의무는 채용·의료 등 고위험 영역의 고영향 AI에 무게가 실려 있어서죠. 다만 생성형 AI 투명성처럼 폭넓게 적용될 수 있는 방향은 사용 정책에 반영해 두시고, 고위험 업무에 AI를 쓴다면 개별 법률 검토를 받으시길 권합니다.

거버넌스 문서를 만드는 데 시간이 얼마나 걸리나요?

초안은 2주면 충분합니다. 첫 주에 직원들이 실제로 쓰는 도구를 모으고, 둘째 주에 허용·금지 분류와 입력 금지 목록, 담당자 지정을 마치면 첫 버전이 나오죠. 완벽을 노리기보다 8할쯤 된 문서로 시작해 분기 점검에서 다듬는 편이 빠릅니다.

보안 점검을 이미 하고 있는데 거버넌스를 또 세워야 하나요?

두 가지는 층이 다릅니다. 보안 점검이 도구가 기술적으로 안전한지를 본다면, 거버넌스는 누가 어떤 규칙으로 쓰는지를 정하죠. 점검의 기준이 되는 사용 규칙이 없으면 같은 지적이 매년 되풀이되기 쉬워, 정책을 먼저 세운 뒤 점검을 그 안에 두는 순서가 효율적입니다.

거버넌스 담당을 외부에 맡겨도 되나요?

정책 설계와 초안 검토는 외부의 도움을 받을 수 있지만, 승인과 책임은 내부에 두는 편이 맞습니다. 어떤 도구를 쓸지 결재하고 위반을 확인하는 일은 회사 사정을 아는 사람이 해야 하거든요. 초안을 함께 세우고 운영은 내부 담당자가 이어받는 구성이 중소기업에 현실적입니다.

참고 자료

국가법령정보센터, “인공지능 발전과 신뢰 기반 조성 등에 관한 기본법”(법률) — 2025년 1월 공포, 2026년 1월 시행. 고영향 인공지능 안전성·신뢰성 확보 의무 및 생성형 AI 투명성 의무 규정(2026-07-22 확인): https://www.law.go.kr/
개인정보보호위원회, 개인정보보호법 및 AI 환경 개인정보 처리 관련 안내 — 개인정보 처리자의 안전조치 의무와 인공지능 개발·서비스 시 개인정보 보호 원칙(2026-07-22 확인): https://www.pipc.go.kr/
ISO/IEC 42001:2023, “Information technology — Artificial intelligence — Management system” — 세계 최초의 AI 경영시스템(AIMS) 국제표준, 2023년 12월 발행(2026-07-22 확인): https://www.iso.org/standard/81230.html
미국 국립표준기술연구소(NIST), “Artificial Intelligence Risk Management Framework (AI RMF 1.0)” — 2023년 1월 발표, 거버넌스를 Govern·Map·Measure·Manage 4개 기능으로 구성(2026-07-22 확인): https://www.nist.gov/itl/ai-risk-management-framework
하마다랩스 자체 도입 상담 관찰(2026년, 경영·도입 컨설팅): 중소기업이 거버넌스를 대기업 규정집 규모로 잡으려다 착수가 지연되는 반복 패턴 — 익명 집계이며 특정 고객사 사례 아님
하마다랩스 플랫폼·회사 소개(500개 이상 외부 시스템 연동·온프레미스 배포 지원): https://www.hamadalabs.com/platform · https://www.hamadalabs.com/about

작성자

방승애 — 하마다랩스 CEO(공동 창업자·대표). 노코드 AI 에이전트 플랫폼 윈디플로를 운영하며, 직원 50~300명 중소·중견기업이 내부 개발팀 없이도 AI 에이전트를 도입·운영하도록 이끕니다. 기업 AI 도입의 단계별 로드맵·실패 회피 기준·거버넌스를 경영 의사결정 관점에서 다룹니다. 회사 소개: https://www.hamadalabs.com/