이 업무, AI에게 어디까지 맡겨도 될까요?
같은 AI를 쓰고 있어도, 데이터·연결·권한이 달라지면 필요한 환경도 달라집니다. A사 영업팀 직원 한 명의 하루를 따라가며, 우리 회사의 AI 업무환경을 함께 점검해봅니다.
AI가 다 만들어준다는 착각 — 영상 한 편을 만들며 배운 것
이번 모듈의 A사 직원 시나리오를 보기 전에, 저희 팀이 실제로 AI와 협업하며 무엇을 판단했는지 먼저 확인하시는 걸 추천합니다.
모듈2. 제작기 다시 보기 →판단을 어디서 실행할 것인가
모듈1에서는 AI 시대에도 사람이 무엇을 판단해야 하는지 살펴봤고, 모듈2에서는 그 판단을 실제 제작 과정에 어떻게 적용하는지 다뤘습니다. 모듈3은 한 단계 더 나아갑니다. 그 업무를 어떤 환경에서, 어떤 권한과 통제 아래 실행할 것인가의 문제입니다.
이 모듈은 가상의 중소기업 A사 영업팀 직원 한 명의 하루를 따라갑니다. 아주 평범하고 성실한 직원이 업무 효율을 높이려다 데이터·연동·권한을 조금씩 넓히는 과정을 통해, 우리 회사에도 똑같이 일어날 수 있는 판단 지점을 짚어봅니다.
※ 이후 등장하는 A사와 직원의 사례는 실제 기업이나 실제 사고를 재현한 것이 아니라, 교육 목적으로 구성한 가상 시나리오입니다.
회사 홈페이지에 이미 공개되어 있는 제품소개서와 브로슈어를 AI에게 넣고 요청합니다. “고객에게 설명하기 쉽게 핵심 내용만 정리해줘.” 여기까지 보면 별다른 문제가 없어 보입니다.
오전 9시에 했던 업무와 지금 업무를 같은 방식으로 처리해도 될까요? AI가 바뀐 것은 아닙니다. 달라진 것은 AI에게 들어가는 데이터입니다.
회사가 허용한 협업도구나 AI 환경을 사용하면서도, 개인 계정으로 접속하거나, 승인되지 않은 자료를 업로드하거나, 외부 서비스를 추가로 연결하거나, 조직이 파악하지 못한 방식으로 AI 기능을 사용하는 경우가 생길 수 있습니다.
“그럼 AI 사용 금지.” 또는 “어차피 다 쓰는데 그냥 알아서 쓰게 두자.” 둘 다 간단해서 매력적입니다. 중요한 것은 차단과 방치 사이에서 업무별 기준을 만드는 것입니다.
“AI가 회사 자료를 직접 읽게 하면 더 편하지 않을까?” 여기서부터 AI에게 하나씩 열쇠를 주기 시작합니다.
1차시 정리
AI 업무환경은 사용하는 도구 이름만으로 결정되지 않습니다. 같은 AI라도 업무와 데이터가 달라지면 필요한 관리 기준도 달라질 수 있습니다.
자료를 읽게 하는 것과 회사 시스템에 직접 쓰게 하는 것은 같은 권한일까요?
읽기 → 작성 → 수정 → 전송 → 실행. 열쇠가 많아질수록 AI가 더 똑똑해지는 것은 아닙니다. AI가 실제 업무에 미칠 수 있는 영향의 범위가 커지는 것입니다.
[교육용 재구성 예시] 외부 입력 + 넓은 권한 + 자동실행. 이 세 가지가 만날 때 사람이 확인해야 할 지점이 더 중요해집니다. (실제 사고 사례가 아닌 보안 문헌 기반 재구성 예시)
2차시 정리
이 업무에서 AI에게 어떤 권한이 필요한가? 그 권한 중 어디까지 사람이 확인하고 승인해야 하는가?
이제 이 결정을 직원 개인에게 맡겨도 될까요?
ISO/IEC 42001은 특정 AI 제품을 골라주지 않습니다. 이 차시에서 보는 것은 조직이 확인해야 하는 관리 관점입니다.
3차시 정리
용도, 공급자, 책임, 데이터. 조항 번호를 외울 필요는 없습니다. 이 네 가지가 달라지면 필요한 업무환경과 통제도 다시 검토해야 한다는 것만 기억하면 됩니다.
A사 직원의 책상 위에 오늘 하루 생긴 다섯 가지 업무가 놓여 있습니다.
이 다섯 가지 업무를 모두 같은 AI 환경에서 처리하시겠습니까?
위험등급표가 환경을 자동으로 골라주지 않습니다. 같은 업무라도 기업 정책·계약조건·데이터 처리 기준에 따라 허용 가능한 환경이 달라질 수 있습니다.
4차시 정리
먼저 제품을 고르지 않았습니다. 먼저 업무를 봤습니다. 위험도 → 통제 수준 → 환경 선택 순서로 판단했습니다.
AI는 같은 AI였습니다. 그런데 우리가 확인해야 할 것은 계속 늘어났습니다. AI가 달라진 것이 아니라 업무환경이 달라졌기 때문입니다.
월요일 출근하면 무엇부터 볼 것인가
우리 회사 AI 업무환경 점검표
AI 업무를 시작하기 전 다섯 가지를 먼저 확인합니다: ① 업무(어디까지 맡길 것인가) · ② 데이터(무엇을 입력하는가) · ③ 연결(어디와 연결되는가) · ④ 행동(읽기에서 실행까지) · ⑤ 승인(사람이 언제 개입하는가)
환경을 먼저 고르지 않습니다. 업무와 위험을 확인한 뒤, 필요한 통제를 판단하고 그 통제를 충족하는 환경과 권한을 선택합니다.
체크리스트 다운로드 →AI는 운영 중인데, 책임은 설명할 수 있습니까?
방금 받으신 「우리 회사 AI 업무환경 점검표」가 업무 하나하나를 확인하는 도구였다면, GAON Lite는 그 다음 단계입니다. 국제AI교육원이 ISO/IEC 42001 관점을 바탕으로 개발한 무료 AI 거버넌스 진단 챗봇으로, 조직 전체의 책임 구조를 확인합니다.
GAON Lite는 AI 모델의 성능을 평가하지 않습니다. 누가 승인하고, 누가 중단하며, 어떤 Evidence로 설명할 수 있는지를 점검합니다.
AI를 도입한 것과 책임 있게 운영하는 것은 다릅니다. 대부분의 리스크는 기술 문제가 아니라 책임 공백에서 시작됩니다.
GAON Lite에 들어가시면, 이렇게 시작해보세요
일반 AI에게 물어보면 어디서나 통하는 범용 가이드 문안부터 내놓습니다. GAON Lite는 방금 확인하신 업무·데이터·연결·행동·승인 구조를 그대로 이어받아, 우리 조직의 실제 업무부터 하나씩 확인하도록 설계됐습니다. 아래 문장을 그대로 입력해보세요.
이렇게 하면 GAON Lite는 정답을 던져주는 문서 생성기가 아니라, 우리 조직에 맞는 운영기준을 질문을 통해 함께 설계하는 의사결정 가이드로 작동합니다.
모듈1·2·3, 결국 하나의 질문입니다
AI에게 무엇을 맡기고, 사람은 무엇을 판단할 것인가?
AI에게 허용할 업무와 책임의 경계를 정하는 판단입니다.
자주 묻는 질문
섀도우 AI(Shadow AI)란 무엇인가요?
조직이 승인하지 않았거나 파악하지 못한 방식으로 AI가 사용되는 것을 말합니다. 직원이 몰래 다른 AI 서비스에 가입하는 경우만이 아니라, 회사가 이미 승인한 도구 안에서 개인 계정으로 접속하거나, 승인되지 않은 자료를 업로드하거나, 파악되지 않은 외부 서비스와 연동하는 경우도 섀도우 AI에 포함됩니다. 실제로 업무 현장 AI 사용의 89%가 승인된 플랫폼을 통해 거버넌스 범위를 벗어난다는 조사 결과도 있습니다(Teramind, Shadow AI Report 2026).
회사에서 직원의 AI 사용을 어떻게 관리해야 하나요?
AI 도구 하나를 승인했다고 해서 모든 업무와 데이터 사용까지 자동으로 승인되는 것은 아닙니다. 새로운 업무나 AI 사용 요청이 생길 때마다 ① 무슨 업무인지 ② 어떤 데이터가 들어가는지 ③ 무엇과 연결되는지 ④ AI가 어디까지 행동할 수 있는지 ⑤ 사람은 어디에서 확인하고 승인하는지, 이 다섯 가지를 확인하는 것이 출발점입니다.
회사 AI 사용을 전면 금지해야 하나요, 아니면 그냥 두어도 되나요?
둘 다 권장하지 않습니다. 전면 금지와 방치 모두 간단하지만, 공개자료를 요약하는 업무와 고객정보가 포함된 업무를 같은 기준으로 다루게 되는 문제가 생깁니다. 차단과 방치 사이에서 업무별로 허용 기준을 세우는 것이 더 안전하고 현실적인 접근입니다.
AI 에이전트에게 어디까지 권한을 줘도 되나요?
권한은 읽기 → 작성 → 수정 → 외부 전송 → 실제 업무 실행 순서로 점점 넓어집니다. OWASP AI Agent Security Cheat Sheet는 업무에 필요한 최소한의 권한만 부여하고, 영향이 큰 행동(전송, 결제, 실행 등)에는 사람의 명시적 승인을 두는 것을 권고합니다. 권한이 넓어질수록 AI가 똑똑해지는 것이 아니라, AI가 실제 업무에 미칠 수 있는 영향의 범위가 커진다는 점이 핵심입니다.
ISO/IEC 42001은 무엇이고 AI 업무환경과 어떤 관련이 있나요?
ISO/IEC 42001은 AI 경영시스템에 관한 국제표준입니다. 특정 AI 제품을 지정하지는 않지만, 조직이 AI의 용도(A.9.4)·공급자(A.10.3)·책임 배분(A.10.2)·데이터 관리(A.7)를 어떻게 관리해야 하는지에 대한 관점을 제공합니다. 업무환경을 선택할 때 이 네 가지 관점으로 점검하면 실무에 바로 적용할 수 있습니다.
AI 업무환경 체크리스트는 ISO 인증에 쓸 수 있는 공식 문서인가요?
아닙니다. 「우리 회사 AI 업무환경 점검표」는 ISO/IEC 42001의 관리 관점을 참고해 국제AI교육원이 교육 목적으로 재구성한 실무 워크시트이며, 공식 인증 심사 문서는 아닙니다. 다만 업무·데이터·연결·권한·승인 지점을 기록해두면 향후 인증 준비에도 참고 자료로 활용할 수 있습니다.
이 모듈은 이렇게 만들어졌습니다
| 구분 | 내용 |
|---|---|
| FACT | Teramind Shadow AI Report 2026(89%), Cisco Cybersecurity Readiness Index 2025(60%), OWASP AI Agent Security Cheat Sheet·Agentic Skills Top 10, Gartner 전망 수치 — 모두 원문 직접 대조로 검증 |
| OBSERVATION | 승인된 도구 안에서도 관리 사각지대가 발생하며, 위험은 한 번에 발생하지 않고 데이터→연결→권한→자동실행 순으로 단계적으로 커짐 |
| JUDGMENT | ISO/IEC 42001 인용은 원문 보유 전문가가 A.9.4·A.10.3·A.10.2·A.7 조항을 직접 대조 검증. 위험등급-환경 1:1 매핑은 오독 소지가 있어 “위험도→통제수준→환경선택” 3단계로 재구성 |
| PROPOSAL | 체크리스트는 “사용 가능/금지” 판정표가 아니라, 업무마다 판단 근거를 기록해 다음 판단의 기준으로 재사용할 수 있게 설계 |
AI에게 권한을 얼마나 줘도 될까요?
이번 모듈은 어떤 환경에서 AI를 쓸 것인가의 문제였습니다. 다음 모듈은 그 환경 안에서 AI에게 얼마나 맡길 것인가의 문제입니다. 오늘 만난 그 직원을 지켜본 팀장이, 팀의 권한·승인 기준을 세우는 하루를 함께 따라가 보세요.
모듈4 보러가기 →나에게 필요한 AI교육을 선택해 보세요
AI 도구를 많이 사용하는 것보다 중요한 것은 목적에 맞는 역할을 정하고, 결과를 검증하며 실제 업무와 책임 구조에 연결하는 것입니다.
프롬프트 엔지니어
단순한 질문 작성법을 넘어 목적·맥락·검증 기준을 구조화하고, AI 결과의 방향과 품질을 판단하는 역량을 학습합니다.
AI 크리에이터
이미지와 영상을 생성하는 데서 끝나지 않고, 콘텐츠를 기획하고 비교·검수하여 목적에 맞는 결과를 채택하는 과정을 학습합니다.
ISO/IEC 42001 교육
AI의 도입과 운영 과정에서 필요한 책임, 위험관리, Human Oversight, 검증 및 운영 증거의 기준을 학습합니다.
중소기업 AI 활용교육
일률적인 도구 시연이 아니라 기업의 실제 업무와 제품을 바탕으로 AI 적용 가능성, 비용, 품질, 보안과 운영 기준을 함께 검토합니다.
AI 서비스의 기능·가격·사용 조건은 변경될 수 있습니다. 교육 신청 전 각 과정의 상세 내용과 준비사항을 확인해 주세요.