기업 AI 사용가이드
설계 핸드북
AI 도입 전 조직이 결정해야 할 15가지 운영 기준
AI 사용가이드는 금지사항을 모아 놓은 문서가 아닙니다.
어떤 AI 도구를 허용할지, 누가 사용할지, 어떤 데이터를 입력할 수 있는지, AI 결과를 누가 검토하고 문제가 생기면 어떻게 대응할지를 조직이 먼저 결정해야 합니다.
회사 자료를 생성형 AI에 입력해도 될까요?
영업팀 직원이 고객 제안서를 작성하기 위해 생성형 AI를 사용하려고 합니다. 하지만 회사에는 승인된 AI 도구, 입력 가능한 데이터 기준, 결과 검토 책임자와 사고 보고 절차가 없습니다.
이때 필요한 것은 “주의해서 사용하세요”라는 문장이 아니라 조직의 구체적인 결정입니다.
이 한 가지 상황에서도 조직은 최소한 다음 질문에 답할 수 있어야 합니다.
- 도구 어떤 AI 서비스와 계정을 사용할 수 있는가?
- 데이터 고객자료 중 무엇을 어떤 조건에서 입력할 수 있는가?
- 검토 AI가 만든 제안서를 누가 무엇을 기준으로 확인하는가?
- 승인 외부 제출 전에 누가 최종 승인하는가?
- Evidence 검토와 승인이 이루어졌음을 무엇으로 확인하는가?
- 대응 오류나 정보 노출이 발견되면 누가 중단하고 보고하는가?
“기밀정보를 입력하지 마세요”만으로는 부족합니다
주의사항은 출발점일 수 있지만, 실제 업무에서는 누가 어떤 기준으로 판단하고 예외와 문제에 어떻게 대응할지가 함께 정해져야 합니다.
일반적인 사용 주의사항
“회사 기밀정보를 AI에 입력하지 마십시오.”
- 무엇이 기밀정보인지 사용자가 판단하기 어렵습니다.
- 승인된 기업용 서비스에도 같은 기준을 적용하는지 알 수 없습니다.
- 예외가 필요할 때 누구에게 문의할지 정해져 있지 않습니다.
- 실제 준수 여부를 확인할 Evidence가 연결되지 않습니다.
GAON이 확인하는 운영 결정
“어떤 데이터를 어떤 조건에서 입력하도록 허용할 것인가?”
- 조직의 데이터 분류와 업무 상황을 확인합니다.
- 사용할 AI 서비스, 계정과 계약조건을 함께 검토합니다.
- 허용·조건부 허용·금지와 예외 승인기준을 구분합니다.
- 승인 목록, 데이터 기준과 검토 기록 등 Evidence를 연결합니다.
15가지가 부담스럽다면, 이 5가지부터 결정하세요
처음부터 완전한 가이드라인을 만들 필요는 없습니다. 현재 상태를 확인하고 가장 기본적인 운영 결정부터 합의하는 것이 먼저입니다.
누가 AI를 사용할 수 있는가?
사용 대상, 역할별 권한, 교육과 계정 발급조건을 정합니다.
Evidence 예: 사용자·권한 목록, 교육 기록어떤 AI를 사용할 수 있는가?
승인할 서비스, 계정 유형, 도입·변경 검토 책임자를 정합니다.
Evidence 예: 승인 도구 목록, 도입 검토 기록어떤 데이터를 입력할 수 있는가?
데이터 유형별 허용·조건부 허용·금지와 예외기준을 정합니다.
Evidence 예: 데이터 분류기준, 계약 검토AI 결과는 누가 검토하는가?
결과의 사용처와 영향에 따라 검토자, 기준과 승인절차를 정합니다.
Evidence 예: 검토기준, 수정·승인 기록문제가 생기면 누가 대응하는가?
오류·위반·정보 노출의 보고, 중단, 조사와 개선책임을 정합니다.
Evidence 예: 사고 기록, 조치·개선 기록AI 사용가이드 작성 전에
조직은 무엇을 결정해야 할까요?
AI 사용 기준은 문장을 작성하는 것부터 시작하지 않습니다. 조직의 실제 사용상황을 확인하고 다음 15가지 운영 결정을 검토해야 합니다.
적용과 도입
AI를 왜, 어디에, 어떤 도구로 사용할지 정합니다.
AI 사용 목적
AI로 해결하려는 업무 문제와 기대효과는 무엇이며, 사용하지 않을 목적은 무엇인가?
Evidence 예: 도입 검토자료, Pilot 결과, 경영진 회의 기록
적용범위
어떤 조직·부서·사용자·업무·시스템과 외부 인력에게 적용할 것인가?
Evidence 예: 조직도, 업무목록, 사용자·외부 인력 목록
AI 도구와 서비스
어떤 AI 서비스·모델·기능·계정 유형을 허용하고 누가 검토할 것인가?
Evidence 예: 승인 도구 목록, 계약·보안 검토, 계정 설정
사용자와 사용방식
누가 어떤 조건으로 사용하고, 무엇을 허용·제한할지 정합니다.
사용자와 권한
누가 어떤 도구와 기능을 사용할 수 있으며, 교육·승인·권한 회수 조건은 무엇인가?
Evidence 예: 사용자·권한 목록, 계정 발급·회수 기록, 교육 기록
허용되는 사용
별도 승인 없이 사용할 수 있는 업무와 사용조건은 무엇인가?
Evidence 예: 허용 사용사례, 업무별 지침, 승인된 Pilot 사례
제한 및 금지되는 사용
어떤 사용을 금지·조건부 허용·추가 승인 대상으로 구분할 것인가?
Evidence 예: 제한·금지 사례, 위험 검토, 예외 승인 기록
데이터와 입력
어떤 정보를 어떤 조건과 보호조치 아래 입력할지 정합니다.
입력 가능한 데이터
개인정보·고객정보·내부자료·기밀정보를 어떤 기준으로 허용·제한·금지할 것인가?
Evidence 예: 데이터 분류기준, 고객계약, 서비스 데이터 처리조건
프롬프트와 연결정보
프롬프트·첨부파일·커넥터·연결 데이터와 공식 템플릿을 어떻게 관리할 것인가?
Evidence 예: 승인 프롬프트, 첨부·연결 목록, 설정·변경 기록
결과와 사람의 판단
AI 결과를 어떻게 검토하고, 사람이 언제 개입할지 정합니다.
AI 결과 검토
누가 언제 정확성·출처·편향·보안 등을 무엇을 기준으로 확인할 것인가?
Evidence 예: 검토기준, 수정·검토·승인 기록, 출처 확인
Human Oversight와 개입 권한
누가 AI 사용 또는 결과를 변경·거부·중단할 수 있으며 언제 반드시 개입하는가?
Evidence 예: 역할·권한 정의, 거부·중단 기록, 에스컬레이션
외부 제공과 중요한 의사결정
고객 제공·대외 공개·중요한 판단에 AI 결과를 사용할 조건과 추가 승인은 무엇인가?
Evidence 예: 외부 공개기준, 최종 승인, 이의제기·재검토 기록
책임·승인·대응
누가 최종 책임을 지고, 예외와 사고에 어떻게 대응할지 정합니다.
역할과 최종 책임
사용자·검토자·승인자·운영관리자와 최종 업무 판단의 책임은 어떻게 구분하는가?
Evidence 예: 역할·책임표, 업무분장, 권한위임·협의체 기록
승인과 예외
신규 도구·사용사례·제한 데이터·자동화와 예외를 누가 어떤 기준으로 승인하는가?
Evidence 예: 승인기준, 예외 신청·승인, 유효기간·재검토
오류·위반·사고와 중단
무엇을 보고하고 언제 사용을 중단하며, 영향·조치·재발방지를 어떻게 기록하는가?
Evidence 예: 사고 기록, 접근차단, 영향분석, 시정·개선조치
운영과 개선
기준이 실제로 작동하는지 확인하고 지속적으로 개선합니다.
기록·교육·점검·개선
무엇을 기록하고 누가 교육받으며, 준수와 효과성을 어떻게 점검·개선할 것인가?
Evidence 예: 교육 기록, 사용·승인 로그, 점검·내부심사, 개정이력
15개 결정을 문서와 운영으로 연결
모든 항목을 한 번에 완성할 필요는 없습니다. 확인됨·관행·미확인·미결정·전문 검토로 구분해 다음 행동을 정합니다.
다음 단계: Handbook → Starter Kit → GAON → Guideline Draft
15가지의 목적은 문서를 길게 만드는 것이 아닙니다
조직이 자신의 AI 사용현황을 확인하고, 필요한 결정을 빠뜨리지 않으며, 책임과 Evidence를 실제 운영으로 연결하기 위한 공통 기준입니다.
45페이지 PDF · 15개 운영 결정 · 핵심 질문 · Evidence 예시 · 조직 작성표
기업 AI 사용가이드에 관해
자주 묻는 질문
문서의 명칭보다 중요한 것은 조직의 실제 AI 사용, 책임과 운영 기준이 서로 연결되는 것입니다.
1. AI 사용가이드와 AI Policy는 무엇이 다른가요?
AI Policy는 조직이 AI를 어떤 방향과 원칙으로 관리할 것인지 선언하는 상위 문서입니다. 경영진의 의지, 적용방향, 주요 원칙과 책임체계를 중심으로 구성할 수 있습니다.
AI 사용가이드는 사용자가 실제 업무에서 AI를 어떤 조건으로 사용할 것인지 구체화합니다. 허용·제한·금지되는 사용, 데이터 입력, 결과 검토, 승인, 예외와 사고 보고 등이 주요 내용입니다.
조직 규모와 운영방식에 따라 두 내용을 하나의 문서로 통합하거나 별도로 관리할 수 있습니다. 중요한 것은 문서 수가 아니라 상위 원칙과 실제 사용기준이 일치하는가입니다.
2. 중소기업도 AI 사용가이드가 필요한가요?
문서의 분량이나 형식은 조직 규모에 맞게 조정할 수 있지만, 업무에서 AI를 사용한다면 최소한의 운영 기준은 필요합니다.
- 누가 어떤 AI 도구를 사용할 수 있는가
- 어떤 데이터를 입력할 수 있는가
- AI 결과를 누가 검토하는가
- 어떤 사용에 승인이 필요한가
- 오류나 정보 노출이 발생하면 누가 대응하는가
중소기업에는 긴 규정보다 담당자, 핵심 5가지 결정과 간단한 Evidence가 연결된 실행 가능한 기준이 더 중요합니다.
3. 회사 자료를 ChatGPT 같은 생성형 AI에 입력해도 되나요?
모든 회사 자료를 일괄적으로 허용하거나 금지하는 방식으로는 정확하게 판단하기 어렵습니다. 데이터 유형뿐 아니라 사용하는 서비스와 계정, 계약조건, 데이터 처리방식, 접근권한과 적용되는 법률·고객 요구를 함께 확인해야 합니다.
- 입력하려는 정보의 분류와 민감도
- 개인정보·고객정보·비밀유지 의무 여부
- 승인된 기업용 서비스와 개인용 서비스의 차이
- 데이터 보존·재사용·학습 관련 서비스 조건
- 최소화·비식별화·마스킹 등 보호조치
필요한 운영 결정은 “ChatGPT를 사용할 수 있는가”보다 “어떤 데이터를 어떤 서비스에서 어떤 조건으로 입력하도록 허용할 것인가”입니다.
4. AI 사용가이드에 반드시 포함해야 할 항목은 무엇인가요?
모든 조직에 동일하게 적용되는 하나의 고정 목차가 있는 것은 아닙니다. 조직의 업무, 데이터, 위험과 운영방식에 따라 필요한 내용은 달라질 수 있습니다.
GAON 핸드북에서는 누락 가능성을 줄이기 위해 목적, 적용범위, AI 도구, 사용자와 권한, 허용·제한 사용, 데이터, 결과 검토, Human Oversight, 책임, 승인, 사고 대응과 개선 등 15개 운영 결정을 검토하도록 제안합니다.
이 15개 항목은 특정 표준의 공식 필수 목차가 아니라, 조직이 AI 사용 기준을 설계할 때 확인할 GAON의 실무 프레임입니다.
5. AI가 작성한 결과는 누가 검토해야 하나요?
검토자는 AI 결과의 사용목적과 영향에 따라 달라져야 합니다. 개인적인 아이디어 참고와 고객 제출자료, 재무·법률·안전 관련 판단에 동일한 검토수준을 적용하기는 어렵습니다.
- 업무 담당자: 사실, 맥락과 업무 적합성 검토
- 전문 담당자: 법률·재무·안전·보안 등 전문영역 검토
- 관리자 또는 승인자: 외부 제공과 중요한 업무 판단의 최종 승인
“사람이 확인한다”는 문장보다 검토자, 시점, 기준, 변경·거부·중단 권한과 검토 Evidence를 구체화해야 합니다.
6. ISO/IEC 42001이 AI 사용가이드 작성을 요구하나요?
ISO/IEC 42001이 모든 조직에 특정 명칭과 형식의 “AI 사용가이드” 문서를 반드시 작성하라고 요구하는 것으로 표현해서는 안 됩니다.
조직은 적용되는 요구사항에 따라 역할과 책임, 위험과 기회, 운영 통제, 문서화된 정보, 성과평가와 개선 등을 경영시스템 안에서 관리해야 합니다. AI 사용가이드는 이러한 운영기준을 사용자에게 전달하고 실행하기 위해 조직이 선택할 수 있는 하나의 운영 자산입니다.
인증 또는 적합성 판단을 위해서는 적용하는 표준의 정확한 판본과 원문 요구사항, 조직의 적용범위와 실제 운영 Evidence를 별도로 검토해야 합니다.
7. 다른 회사의 AI 사용가이드 예시를 그대로 사용해도 되나요?
다른 조직의 예시는 목차와 표현을 참고하는 데 도움이 될 수 있습니다. 그러나 사용하는 AI, 업무, 데이터, 고객계약, 역할과 위험이 다르기 때문에 그대로 복사하면 실제 운영과 맞지 않는 기준이 만들어질 수 있습니다.
- 우리 조직의 실제 AI 사용현황과 일치하는가
- 담당자와 승인자가 실제로 그 역할을 수행할 수 있는가
- 허용·제한·금지 기준의 근거가 있는가
- 교육·승인·점검·사고 대응 Evidence를 만들 수 있는가
예시는 출발점으로 사용하되, 최종 문서에는 조직이 검토하고 승인한 결정만 반영해야 합니다.
작성 및 검토 정보
이 콘텐츠는 조직의 AI 사용 관련 운영 결정을 지원하기 위한 교육·실무 자료입니다. 특정 법률, 규제, 계약 또는 ISO 표준의 공식 해석을 대신하지 않으며, 인증 또는 적합성을 보장하지 않습니다.
좋은 AI 사용가이드는 규칙을 많이 담은 문서가 아니라, 조직의 실제 운영·책임·Evidence와 다음 결정을 연결하는 자산입니다.
AI 도입의 시작은 기술이 아니라
운영 기준입니다.
AI 사용 가이드라인은 단순한 문서가 아닙니다.
운영 기준이 있어야 AI는 조직의 자산이 됩니다.
우리 회사가 AI를 어디까지 활용할 수 있는지,
어떤 기준으로 운영해야 하는지를 먼저 결정해야 합니다.
기업 상황을 확인한 후 적합한 AI 도입 방향을 안내해 드립니다.