ISO 42001 공개 실제 사례 03 · 삼성SDS
도입하려는 AI 서비스의 공급자가 ISO 42001 인증을 받았다면, 우리 조직은 무엇을 더 확인해야 할까요?
이번 ISO 42001 실제 사례에서는 삼성SDS의 공개 발표를 통해 인증 범위를 읽고, 공급자의 자료를 이용 조직의 사용 목적·설정·검토 기록과 연결해 봅니다. ISO 42001 심사원 교육과 AI 도입 검토에서 활용할 수 있도록 질문·증거·가상 실습으로 구성했습니다.
1. 삼성SDS의 인증 범위는 어떻게 소개돼 있나요?
삼성SDS는 2024년 8월 9일 AI 경영시스템 인증 취득을 발표했습니다. 공식 페이지에 게시된 인증서 설명 텍스트에서 다음 항목을 확인할 수 있습니다.
| 인증 조직 | 삼성에스디에스(주) |
|---|---|
| 표준·인증기관 | ISO/IEC 42001:2023 · 한국표준협회(KSA) |
| 인증번호 | AIMS-0005 |
| 인증 범위 | AI기술을 적용한 B2B 상품/서비스의 개발, 운영 및 공급 |
| 기재 기간 | 2024년 8월 8일~2027년 8월 7일 |
| 근거와 확인 범위 | 회사 공식 발표 및 인증서 설명 텍스트. 최신 인증서·부속 범위와 인증기관의 현재 등록 상태는 별도 확인 대상입니다. |
인증서의 기간과 현재 상태를 함께 확인합니다.
기재된 만료일이 남아 있어도 정지·취소·범위 변경 여부까지 그 날짜만으로 알 수는 없습니다. 도입 검토에서는 최신 인증서와 등록 정보를 요청하고, 계약할 법인·서비스·운영 형태가 범위와 어떻게 연결되는지 확인합니다.
2. 서비스 이름과 경영시스템 인증 범위를 나누어 읽습니다
발표는 FabriX, Brity Copilot, Brity Automation을 관련 서비스로 소개합니다. 각각 기업 자원과 생성형 AI의 연결, 협업 업무 지원, 업무프로세스 자동화라는 맥락으로 설명됩니다.
회사는 AI 방침·위험관리와 설계·개발·품질·데이터 관리 프로세스 등에 대한 평가를 받았다고 설명합니다. 디지털 책임관리 체계를 고도화하고 전체 상품·서비스로 표준 적용을 확대하겠다는 방향도 제시합니다. 발표 당시의 향후 계획을 이미 완료된 적용 범위로 읽지 않도록 구분합니다.
이 자료가 소개하는 것은 조직의 AI 경영시스템입니다. 세 제품이 각각 별도의 제품 인증을 받았다거나, 이용 고객의 모든 AI 업무가 인증됐다는 의미로 확대하지 않습니다. 회사는 신뢰와 책임을 강조하지만 정량적인 오류 감소나 비용 절감 수치는 제시하지 않습니다.
3. ISO 42001 심사원 교육에서 연결할 질문과 증거
다음은 공개 사례를 바탕으로 구성한 교육용 확인 관점입니다. 삼성SDS의 실제 계약 조건이나 고객의 내부 절차를 설명하는 표가 아닙니다. 책임의 구체적인 분담은 계약과 실제 운영 조건을 대조해 확인합니다.
| 주제 | 공급자에게 확인할 것 | 우리 조직에서 대조할 증거 |
|---|---|---|
| 인증 범위 | 계약 서비스와 운영 형태는 인증 범위의 어떤 활동에 해당하나요? | 최신 인증서·부속 범위, 계약 법인과 서비스 명세, 공급자의 범위 설명 |
| 사용 목적 | 권장 용도와 제약, 결과 사용 시 유의할 사항은 무엇인가요? | 도입 목적, 허용·제한 업무, 위험·영향 검토와 사용 승인 |
| 데이터와 권한 | 입력 정보의 보관·이용·삭제 조건과 제공되는 권한 기능은 무엇인가요? | 계약상 조건과 실제 설정, 입력 정보 기준, 계정·접근권한 기록 |
| 결과 검토 | 오류 가능성과 검토를 지원하는 기능·자료는 어떻게 안내하나요? | 업무별 검토 기준, 검토자 권한, 결과 수정·승인·보류 기록 |
| 변경과 사고 | 모델·기능 변경과 사고를 어떤 경로로 통지하고 대응하나요? | 통지 조건, 연락 담당자, 변경 영향 재검토와 후속 조치 기록 |
예를 들어 서비스에 접근권한 기능이 있다는 설명을 확인했다면, 우리 조직에서 누가 권한을 설정하고 점검하는지 이어서 살펴봅니다. 기능의 제공과 실제 설정·운영을 연결하면 확인해야 할 기록이 구체화됩니다.
인증서를 확인한 다음에는 사용 사례 한 건을 따라가 봅니다.
누가 어떤 정보를 넣었고, 결과를 어떤 업무에 사용했으며, 필요한 검토와 승인이 어떻게 이루어졌는지를 확인합니다. 공급자의 자료와 우리 조직의 기록이 같은 사용 조건을 설명하는지가 중요한 대조 지점입니다.
4. 가상 실습: AI 회의 요약을 외부에 공유하려 한다면?
교육용 가상 상황 · 삼성SDS나 특정 제품에서 발생한 사건이 아닙니다
가상의 기업이 인증받은 공급자의 생성형 AI 서비스를 이용해 회의 요약을 만들었습니다. 직원은 이를 외부 협력사에 전달하려고 합니다. 담당자는 “공급자가 ISO 42001 인증을 받았으니 사용해도 됩니다”라고 설명하지만, 이 요약의 수신 대상과 검토 책임이 정해져 있는지는 아직 확인하지 못했습니다.
확인된 사실과 미확인 정보를 구분합니다
- 확인된 사실: AI 요약물이 있고 외부 공유를 계획하고 있습니다.
- 담당자 설명: 공급자의 인증을 사용 가능 판단의 근거로 들었습니다.
- 미확인: 실제 전송 여부, 요약의 정확성, 포함된 정보의 성격, 계약·내부 기준상 허용 범위, 수신자 권한, 검토·승인 여부입니다.
질문과 증거 확인
- 공급자 인증 범위와 실제 계약 서비스를 확인합니다.
- 외부 공유가 허용되는 정보·대상·절차를 계약 및 내부 기준에서 확인합니다.
- 원본 회의 자료와 요약을 대조하고, 검토자와 수정·승인 기록을 확인합니다.
- 전달 여부와 수신 대상을 확인하고, 필요한 경우 접근·공유 이력을 살펴봅니다.
판단과 해설
검토 책임을 아직 확인하지 못했다는 상황과 검토 책임이 실제로 없다는 결론은 구분해야 합니다. 필요한 기준과 기록을 확인한 뒤 판단합니다. 공유 전에 검토를 요청하고 보류했다면 통제가 작동한 증거일 수 있습니다.
반대로 적용되는 내부 기준이 외부 공유 전 승인을 요구하는데, 승인 없이 전달한 사실이 확인된다면 그 기준과 실행의 불일치를 검토할 수 있습니다. 요구사항·객관적 증거·충족되지 않은 내용을 연결하고, 확인하지 않은 유출이나 피해를 단정하지 않습니다.
5. 우리 조직의 AI 도입 검토에 적용해 보세요
도입했거나 검토 중인 AI 서비스 한 가지를 골라 아래 항목을 적어 보세요. 내부심사 준비와 심사원 교육 토의에서는 각 답변 옆에 확인할 문서·설정·기록을 붙여 보면 좋습니다.
- 서비스와 계약: 계약 법인·서비스명·운영 형태와 인증 범위의 연결
- 사용 목적: 허용할 업무와 사용을 제한할 상황
- 정보와 권한: 입력 가능한 정보, 접근권한, 결과의 수신 대상
- 검토와 승인: 사람이 확인할 조건, 담당자와 판단 근거
- 변경과 대응: 공급자 통지를 받을 사람, 재검토와 사고 대응 경로
공급자가 제공하는 설명만으로 답할 수 있는 항목과 우리 조직이 운영 기록으로 입증해야 할 항목을 표시해 보세요. 확인되지 않은 부분은 추가 질문으로 남기고, 계약·기준·실제 운영 사이의 차이를 살펴봅니다.
공급자의 인증 범위를 확인한 뒤, 우리 조직의 사용 조건과 운영 증거까지 연결합니다.
클라우드 공급자와 이용 조직의 정보보호 책임도 함께 살펴보려면 ISO 27001·27701 클라우드 공급자 심사 사례를 참고하세요.
출처와 이 글의 확인 범위
삼성SDS — ‘AI 경영시스템(ISO/IEC 42001) 인증’ 획득. 발표일: 2024년 8월 9일. 자료 확인일: 2026년 9월 29일.
인증 정보는 회사 공식 페이지의 인증서 설명 텍스트를 근거로 정리했습니다. 인증기관의 현재 등록 상태, 최신 인증서·부속 범위, 개별 고객의 계약과 내부 기록은 확인 범위에 포함되지 않습니다. 3~5절은 교육용 질문과 가상 실습이며, 이미지의 인물·문서·도식도 교육용으로 생성했습니다.
조항을 이해하는 것을 넘어 Process·Risk·Evidence를 연결하는 심사 역량을 훈련합니다.
국제AI교육원은 요구사항의 이해, 프로세스 분석, 객관적 증거 확인과 심사 판단을 사례로 학습하는 ISO 심사원 교육을 운영합니다.