ISO/IEC 42001 요구사항, 무엇을 요구하나요?
ISO/IEC 42001은 AI를 개발·제공하거나 이용하는 조직이 AI 경영시스템(AIMS)을 수립·실행·유지·개선하도록 요구하는 국제표준입니다. 인증에 쓰이는 요구사항은 조항 4~10에 있고, AI 위험을 다루는 통제 항목은 부속서 A에 있습니다. 심사원은 이 요구사항이 문서로만 있는지가 아니라, 실제 AI 운영 기록과 책임 구조로 이어지는지를 확인합니다.
- 정식 명칭
- ISO/IEC 42001:2023Information technology — Artificial intelligence — Management system
- 발행
- 2023년 12월 18일초판(Edition 1)
- 적용 대상
- AI 제품·서비스 제공·이용 조직규모·업종·공공/민간 무관
- 요구사항 구조
- 조항 4~10조직의 맥락 → 리더십 → 기획 → 지원 → 운영 → 성과 평가 → 개선
- 통제 항목
- 부속서 A9개 통제 목표 · 38개 통제
- 인증
- 제3자 인증 가능다른 ISO 경영시스템과 같은 구조
기준: ISO 공식 표준 페이지(iso.org/standard/42001), 확인일 2026년 10월 1일. 표준 원문은 유료이며, 이 글은 원문을 옮기지 않고 요구사항의 취지를 심사 관점에서 해설합니다.
조항 4~10은 하나의 운영 흐름입니다
ISO/IEC 42001 심사는 조항을 하나씩 체크하는 방식으로 끝나지 않습니다. 조직의 상황을 분석하고(조항 4), 경영진이 방향과 책임을 정하고(조항 5), 위험과 영향을 평가해 계획을 세우고(조항 6), 자원과 역량을 갖춰(조항 7) 실제로 운영하며(조항 8), 그 결과를 평가하고(조항 9) 개선하는(조항 10) 흐름이 끊기지 않는지를 확인합니다.
영상: ISO 42001 요구사항, 조항 4~10을 하나의 흐름으로 – 심사 관점 7단계
조직 → 리더십 → 기획 → 지원 → 운영 → 평가 → 개선의 흐름이 실제 운영 안에서 어떻게 연결되는지 봅니다.
질문 → 증거(Evidence) → 판단의 순서로, AI 거버넌스와 사람의 감독이 실제로 작동하는지 확인합니다.
조항 1~3은 무엇인가요? 조항 1(적용 범위), 2(인용 표준), 3(용어와 정의)은 표준을 읽기 위한 기초입니다. 인증심사에서 조직이 충족해야 하는 요구사항은 조항 4부터 시작합니다. 용어는 AI 개념·용어 표준인 ISO/IEC 22989와 함께 읽으면 이해가 쉽습니다.
조직의 맥락: AI를 어디에, 왜 쓰는지부터 정합니다
조항 4는 조직이 왜 이런 AI 거버넌스 구조를 만들었는지 해석하는 출발점입니다.
조직의 AI 활용 목적, 내외부 이슈, 이해관계자의 요구를 파악하고, AI와 관련해 조직이 어떤 역할(개발·제공·이용 등)을 하는지 정합니다. 그 결과로 AIMS의 적용 범위를 정하고 문서로 남깁니다. 심사원은 이 범위가 실제로 쓰이는 AI 시스템, 책임 구조, 운영 위험과 맞는지를 봅니다.
| 심사원이 묻는 질문 | 확인할 증거 | 자주 보이는 공백 |
|---|---|---|
| 어떤 AI 시스템이 적용 범위에 들어가고, 무엇이 왜 제외되었나요? | AI 시스템 목록, 적용 범위 문서 | 부서에서 쓰는 생성형 AI가 목록에 없음 |
| 조직은 각 AI 시스템에서 개발자·제공자·이용자 중 어떤 역할인가요? | 역할 정의, 공급자·고객 계약 | 외부 AI 서비스 이용 책임을 공급자에게만 둠 |
| 이해관계자가 AI에 대해 요구하는 것은 무엇이고, 어떻게 반영했나요? | 이해관계자 요구 목록, 검토 기록 | 인증서 범위와 실제 운영 범위가 다름 |
실제 사례로 보기 · 삼성SDS 사례: 인증 범위와 AI 이용 조직의 책임 · KPMG 사례: AI 사용 목록과 법인별 인증 범위
리더십: AI 책임은 누가 지고, 누가 멈출 수 있나요?
조항 5는 경영진의 방향 설정과 AI 책임 구조(Accountability)를 확인하는 조항입니다.
최고경영자는 AI 정책을 세우고, AIMS가 조직의 전략과 업무 안에서 작동하도록 이끌어야 합니다. AI와 관련된 역할·책임·권한은 정해지고 공유되어야 하며, 실제 의사결정과 승인 흐름 속에서 작동해야 합니다.
| 심사원이 묻는 질문 | 확인할 증거 | 자주 보이는 공백 |
|---|---|---|
| AI 정책은 누가 승인했고, 최근 언제 검토했나요? | AI 정책, 승인·검토 기록 | 정책은 있지만 검토 이력이 없음 |
| AI 시스템의 배포를 승인하거나 중단할 권한은 누구에게 있나요? | 역할·책임·권한 문서, 승인 기록 | 운영 책임자는 있으나 중단 권한자가 없음 |
| 경영진은 AI 관련 결정에 어떻게 관여했나요? | 경영회의·위원회 회의록 | AI 도입 결정이 실무 부서에서만 이루어짐 |
실제 사례로 보기 · 카카오뱅크 사례: AI 위험수준 평가와 검토 책임
기획: AI 위험과 영향을 평가해 통제로 연결합니다
조항 6은 AI 위험과 사회적 영향을 분석하고, 그 결과를 통제 계획으로 연결하는 단계입니다.
조직은 AI 위험 평가 기준을 정해 위험을 평가하고, 처리 방법을 정하며, 필요한 통제를 부속서 A와 비교해 적용성 보고서(SoA)로 정리합니다. AI 시스템이 개인·집단·사회에 줄 수 있는 영향을 평가하는 AI 시스템 영향평가도 이 단계에서 요구됩니다. 여기에 AI 목표와 달성 계획이 더해집니다.
| 심사원이 묻는 질문 | 확인할 증거 | 자주 보이는 공백 |
|---|---|---|
| 이 AI 시스템의 위험 등급은 어떤 기준으로 정했나요? | 위험 평가 기준, 위험 대장 | 기준 없이 담당자 판단으로 등급을 매김 |
| 영향평가 결과가 어떤 통제로 이어졌나요? | AI 시스템 영향평가 기록, 위험 처리 계획 | 영향평가는 했지만 통제 선택과 연결되지 않음 |
| 적용하지 않기로 한 통제는 왜 제외했나요? | 적용성 보고서(SoA) | 제외 근거가 비어 있음 |
실제 사례로 보기 · Unique AG 사례: 정보보호에서 AI 위험관리로 · 한화비전 사례: 영상 AI의 사용 목적별 위험평가
지원: 사람의 감독을 가능하게 하는 역량과 자원
조항 7은 사람의 감독(Human Oversight)과 운영 역량이 실제 조직 구조에 반영되는지를 확인합니다.
AI 운영에 필요한 자원(데이터, 도구, 컴퓨팅, 인력), 역량, 인식, 의사소통, 문서화된 정보를 갖춰야 합니다. 심사원은 특히 AI 결과를 검토하고 판단하는 사람이 그 일을 할 수 있는 역량과 권한을 갖췄는지를 봅니다.
| 심사원이 묻는 질문 | 확인할 증거 | 자주 보이는 공백 |
|---|---|---|
| AI 결과를 검토하는 담당자에게 필요한 역량은 어떻게 정했나요? | 역량 기준, 교육·평가 기록 | 검토자가 정해져 있지만 교육 기록이 없음 |
| AI 시스템에 쓰는 데이터와 도구는 어떻게 관리하나요? | 자원 목록, 데이터 관리 기록 | 외부 데이터의 출처와 권리 확인이 없음 |
| AI 관련 문서는 최신본으로 관리되나요? | 문서 관리 이력 | 현장에서 쓰는 절차와 등록된 절차가 다름 |
실제 사례로 보기 · 한화생명 사례: AI 데이터와 보안 관리
운영: 계획한 통제가 실제 기록으로 남는지 봅니다
조항 8은 영향평가와 운영 통제가 실제 증거의 흐름으로 이어지는지를 확인합니다.
조직은 조항 6에서 계획한 대로 AI 시스템을 운영하고 관리해야 합니다. 정해진 주기와 중요한 변경이 있을 때 AI 위험 평가와 영향평가를 다시 수행하고, 위험 처리 계획을 실행합니다. 외부에서 들여온 AI 시스템이나 서비스도 관리 대상입니다. 예외 상황, 변경, 운영 기록은 심사에서 추적할 수 있어야 합니다.
| 심사원이 묻는 질문 | 확인할 증거 | 자주 보이는 공백 |
|---|---|---|
| 모델이나 프롬프트를 바꾼 뒤 위험을 다시 평가했나요? | 변경 기록, 재평가 기록 | 변경은 했지만 재평가 기록이 없음 |
| “사람이 확인한다”면, 어떤 경우에 누가 확인하고 어디에 기록하나요? | 예외 처리 기준, 검토·승인 기록 | 넘기는 조건과 기록 없이 선언만 있음 |
| 외부 AI 서비스는 어떻게 관리하나요? | 공급자 평가, 계약, 모니터링 기록 | 공급자 인증서만 받고 사용 조건은 확인하지 않음 |
실제 사례로 보기 · 식품안전정보원 사례: AI 서류 검토와 사람의 확인 · UiPath 사례: AI 에이전트와 사람의 개입 · LG전자 사례: AI 생애주기와 변경 관리
ISO/IEC 42001 AI 심사 교육, 교재로 먼저 확인해 보세요
국제AI교육원 42001 과정에서 쓰는 교재 세 가지를 조금씩 발췌했습니다. 이메일 입력 없이 바로 내려받을 수 있습니다.
- AI 심사 인터뷰 프레임워크인터뷰 구조, PLCE 보고서 공식, Q1 전체
- 실제 사례집식품안전정보원 사례 전체
- 실전 판단 워크북UiPath 사례의 판정과 보고서 예시
성과 평가: 스스로 점검하고 경영진이 판단했는지 봅니다
조항 9는 AIMS가 제대로 돌아가는지 조직이 스스로 측정하고, 내부심사와 경영검토로 확인했는지를 봅니다.
조직은 무엇을, 언제, 어떤 방법으로 모니터링하고 측정할지 정하고 그 결과를 분석·평가해야 합니다. 계획된 주기로 내부심사를 실시하고, 최고경영진은 경영검토에서 AI 위험의 변화, 목표 달성 정도, 심사 결과, 이해관계자 의견을 검토해 필요한 결정을 내립니다. 심사원은 이 결과가 실제 개선 결정으로 이어졌는지를 확인합니다.
| 심사원이 묻는 질문 | 확인할 증거 | 자주 보이는 공백 |
|---|---|---|
| AI 시스템의 성능과 위험을 어떤 지표로 보고 있나요? | 모니터링 항목, 측정 결과, 분석 기록 | 지표는 정했지만 결과를 검토한 기록이 없음 |
| 내부심사에서 AI 운영 현장까지 확인했나요? | 내부심사 계획·체크리스트·보고서 | 문서 존재 여부만 점검하고 운영 기록은 보지 않음 |
| 경영검토에서 무엇을 결정했나요? | 경영검토 입력 자료, 회의록, 후속 조치 | 보고만 있고 결정 사항과 담당자가 없음 |
실제 사례로 보기 · StackAware 사례: 심사에서 확인하는 증거
개선: 같은 문제가 다시 생기지 않도록 원인을 다뤘는지 봅니다
조항 10은 부적합을 고치는 데서 끝나지 않고, 원인을 찾아 재발을 막았는지를 확인합니다.
조직은 AIMS의 적합성과 효과성을 지속적으로 개선해야 합니다. 부적합이 생기면 즉시 조치하고, 원인을 분석해 필요한 시정조치를 하며, 그 조치가 효과가 있었는지 검토합니다. AI 시스템에서는 모델 오류, 데이터 문제, 사람의 확인 누락처럼 운영 중 드러나는 문제가 이 흐름으로 들어옵니다.
| 심사원이 묻는 질문 | 확인할 증거 | 자주 보이는 공백 |
|---|---|---|
| AI 관련 부적합이나 사고는 어떻게 기록하나요? | 부적합·사고 기록, 보고 경로 | 현장에서 고치고 기록을 남기지 않음 |
| 원인은 어떻게 분석했나요? | 원인 분석 기록, 시정조치 계획 | “담당자 주의” 같은 조치로 끝나 원인이 남아 있음 |
| 시정조치가 효과가 있었는지 어떻게 확인했나요? | 효과성 검토 기록, 재발 여부 확인 | 조치 완료만 표시하고 효과를 확인하지 않음 |
실제 사례 모아 보기 · ISO/IEC 42001 실제 사례 모음
부속서 A~D와 적용성 보고서(SoA)는 어떻게 연결되나요?
조항 4~10이 경영시스템의 뼈대라면, 부속서는 AI 위험을 다루는 통제와 그 해설입니다. 통제 항목이 들어 있는 곳은 부속서 A뿐이고, 부속서 B~D는 통제를 구현하고 활용하는 데 참고하는 내용입니다.
통제 목표와 통제
9개 통제 목표, 38개 통제. AI 정책, 내부 조직, 자원, 영향평가, 생애주기, 데이터, 이해관계자 정보, 사용, 제3자 관계를 다룹니다.
통제 구현 지침
부속서 A의 각 통제를 어떻게 구현할 수 있는지 설명합니다.
AI 관련 목표와 위험 원천
조직이 고려할 수 있는 AI 목표와 위험 원천의 예시입니다.
영역·산업별 활용
여러 영역과 산업에서 AIMS를 활용하는 방법을 설명합니다.
적용성 보고서(SoA)는 선택의 근거를 남기는 문서입니다
조직은 AI 위험 평가 결과에 따라 필요한 통제를 정하고, 부속서 A의 통제와 비교해 빠진 것이 없는지 확인합니다. 그 결과를 적용성 보고서(Statement of Applicability, SoA)로 만들고, 각 통제를 적용하거나 제외한 근거를 남깁니다. 부속서 A를 모두 적용해야 하는 것은 아니지만, 제외했다면 그 이유를 위험 평가로 설명할 수 있어야 합니다.
| 위험 평가에서 나온 위험 | 연결되는 부속서 A 통제 예시 | 심사에서 확인할 증거 |
|---|---|---|
| 학습·운영 데이터의 품질이 낮아 결과가 틀릴 수 있음 | A.7.4 데이터 품질 | 데이터 품질 기준, 점검 기록 |
| AI 결과가 개인이나 집단에 불리한 영향을 줄 수 있음 | A.5.4 개인·집단에 대한 영향 평가 | AI 시스템 영향평가 기록 |
| 운영 중 성능이 떨어져도 알아차리지 못함 | A.6.2.6 운영과 모니터링 | 모니터링 기준, 이상 대응 기록 |
| 외부 AI 서비스에 책임이 불분명하게 넘어감 | A.10.3 공급자 | 공급자 평가, 계약상 책임 분담 |
SoA는 통제 목록표가 아니라, “왜 이 통제를 적용했고 왜 저 통제는 제외했는가”를 위험 평가로 설명하는 문서입니다.
부속서 A 통제별 심사 포인트와 SoA 작성 방법은 ISO 42001 부속서 A와 SoA 심사 가이드에서 이어서 다룹니다.
다른 ISO 경영시스템과 함께 운영할 수 있나요?
ISO/IEC 42001은 ISO 9001, ISO/IEC 27001, ISO 14001과 같은 경영시스템 공통 구조를 따릅니다. 그래서 조직의 맥락, 리더십, 내부심사, 경영검토, 시정조치 같은 요소는 기존 체계와 함께 운영할 수 있습니다. 다만 AI 위험 평가, AI 시스템 영향평가, 데이터와 생애주기 통제처럼 42001에만 있는 요구사항은 따로 설계해야 합니다.
방침 체계, 문서 관리, 역량·교육 기록, 내부심사, 경영검토, 부적합과 시정조치
AI 위험 기준, AI 시스템 영향평가, 데이터 품질과 출처 관리, AI 생애주기 통제, 사람의 감독 기준
여러 표준을 한 번에 심사하는 방법은 통합 내부심사원 과정에서 다룹니다.
ISO/IEC 42001 요구사항 자주 묻는 질문
ISO/IEC 42001 요구사항은 어디에 있나요?
인증에 쓰이는 요구사항은 조항 4~10에 있습니다. 조직의 맥락, 리더십, 기획, 지원, 운영, 성과 평가, 개선의 순서입니다. AI 위험을 다루는 통제는 부속서 A에 있고, 9개 통제 목표와 38개 통제로 구성됩니다.
조항 1~3도 심사 대상인가요?
조항 1~3은 적용 범위, 인용 표준, 용어와 정의입니다. 조직에 직접 요구하는 내용은 아니지만, AI 시스템과 이해관계자 같은 용어를 표준의 정의대로 이해해야 요구사항을 정확히 해석할 수 있습니다. 용어는 ISO/IEC 22989를 함께 참조합니다.
부속서 A의 통제는 모두 적용해야 하나요?
모두 적용해야 하는 것은 아닙니다. 조직은 AI 위험 평가 결과에 따라 필요한 통제를 정하고, 적용성 보고서(SoA)에 각 통제를 적용하거나 제외한 근거를 남깁니다. 심사원은 제외한 통제의 근거가 위험 평가와 맞는지 확인합니다.
AI 위험 평가와 AI 시스템 영향평가는 어떻게 다른가요?
AI 위험 평가는 조직 전체의 AI 위험을 찾아 분석하고 우선순위를 정하는 절차입니다. AI 시스템 영향평가는 특정 AI 시스템이 개인, 집단, 사회에 줄 수 있는 결과에 집중합니다. 두 평가는 초점이 다르지만, 영향평가 결과는 위험 평가와 위험 처리에 반영되어야 합니다.
“사람이 확인한다”는 운영은 심사에서 어떻게 확인하나요?
사람이 확인한다는 선언만으로는 부족합니다. 어떤 조건에서 AI 결과를 사람에게 넘기는지, 누가 어떤 권한으로 판단하는지, 그 결과가 어디에 기록되는지를 확인합니다. 기준, 담당자, 검토 기록이 함께 있어야 사람의 감독이 실제로 작동한다고 볼 수 있습니다.
ISO 9001이나 ISO/IEC 27001이 있으면 42001 준비가 쉬워지나요?
공통 구조를 따르기 때문에 문서 관리, 내부심사, 경영검토, 시정조치 같은 체계는 함께 쓸 수 있습니다. 그러나 AI 위험 평가, AI 시스템 영향평가, 데이터와 생애주기 통제는 42001에서 새로 설계해야 하므로 기존 인증만으로 요구사항이 충족되지는 않습니다.
요구사항을 아는 것과 심사할 수 있는 것은 다릅니다
요구사항을 읽는 것만으로는 무엇을 질문하고 어떤 증거로 판단할지 정하기 어렵습니다. 국제AI교육원 ISO/IEC 42001 과정은 조항 4~10과 부속서 A를 실제 사례에 적용해 질문, 증거, 판단, 보고서 작성까지 연습합니다.
AI Governance와 ISO/IEC 42001, 최근 글도 함께 살펴보세요.
글로벌 AI 규제 동향과 실제 기업 사례를 통해 ISO/IEC 42001 요구사항이 현장에서 어떻게 연결되는지 확인할 수 있습니다.
이 글의 작성·검토 기준
국제AI교육원의 ISO/IEC 42001 해설 글은 아래 기준으로 작성하고 검토합니다.
- 기준 문서: ISO/IEC 42001:2023 원문을 기준으로 합니다. 원문은 유료 문서이므로 그대로 옮기지 않고, 요구사항의 취지를 심사 관점에서 해설합니다.
- AI 활용과 사람의 검토: 초안 작성과 도식 제작에 AI 도구를 활용했습니다. 조항 번호, 용어, 사실관계는 게시 전에 사람이 원문과 대조해 검토했습니다.
- 이용 시 유의: 이 글은 학습을 위한 해설이며 표준 원문을 대신하지 않습니다. 인증과 심사 판단은 표준 원문과 인증기관의 기준을 따르시기 바랍니다.