사내 AI 사용정책은 어떻게 만드나요?

① 승인 도구 목록 · 허용 도구와 요청 절차

전면 금지 방식의 정책은 업무 수요와 충돌해 실효성이 낮아질 수 있습니다. 승인 도구를 몇 개 정해 주고, 그 밖의 도구를 쓰려면 어디에 요청하는지를 적는 방식이 현실적입니다.

목록에는 도구 이름, 허용 업무, 계정 형태(회사 계약·개인 계정 허용 여부), 데이터 학습 사용 설정 상태를 함께 적습니다.

② 입력 금지 정보 · 유형별 예시

「기밀정보 입력 금지」처럼 추상적으로 적으면 판단이 개인에게 넘어갑니다. 실제로 사고가 나는 자료를 예시로 나열하는 편이 낫습니다.

• 고객 개인정보 · 이름·연락처·주민등록번호·계좌·거래내역
• 계약 관련 · 체결 전 계약서 초안, 단가표, 입찰 자료
• 미공개 경영정보 · 재무자료, 인수합병 검토, 미공개 실적
• 인증정보 · API 키, 비밀번호, 접근 토큰
• 타사 자료 · 비밀유지 의무가 있는 문서

③ 결과물 검수 · 외부 제공 전 검토 절차와 책임자 지정

AI 결과물이 외부로 나가기 전에 누가 확인하는지를 정합니다. 고영향 인공지능에 해당한다면 제34조제1항제4호가 사람의 관리·감독을 조치로 두고 있고, 시행령 제27조제1항제4호는 관리·감독하는 사람의 성명과 연락처를 게시하도록 하고 있습니다.

고영향이 아니더라도 검수 담당을 정해두면 표시 누락과 사실관계 오류를 같은 지점에서 잡을 수 있습니다.

④ 표시 규칙 · 채널별 고지·표시 기준

제31조제1항은 고영향 또는 생성형 인공지능 기반 제품·서비스라는 사실의 사전 고지를, 제2항은 생성형 인공지능 결과물의 생성 사실 표시를, 제3항은 실제와 구분하기 어려운 음향·이미지·영상에 대한 명확한 인식이 가능한 고지 또는 표시를 정합니다.

시행령 제23조제1항은 사전 고지 방법으로 제품에 직접 기재하거나 계약서·사용설명서·이용약관 기재, 이용자 화면이나 단말기 표시, 제공 장소 게시 등을 듭니다. 제2항은 표시 방법으로 사람이 인식할 수 있는 방법과 기계가 판독할 수 있는 방법을 제시합니다.

정책 문서에는 채널별 고지·표시 문구와 표시 위치까지 적어두는 편이 좋습니다. 문구를 정하지 않으면 부서마다 다른 표기가 나갑니다.

⑤ 기록 · 점검·승인 이력의 기록과 보관

정책 문서와 함께 「언제 무엇을 확인했는지」를 기록해야 합니다. 도구 승인 이력, 점검 일자, 확인 필요로 남은 항목, 처리 담당자와 기한을 한 곳에 모읍니다.

고영향 인공지능에 해당하면 시행령 제27조제2항이 조치 근거를 문서로 5년간 보관하도록 정하므로, 기록 위치와 보관 기간을 정책에 함께 적어야 합니다.

민간자율인공지능윤리위원회

제27조는 정부가 인공지능 윤리원칙을 제정·공표하도록 하고, 제28조는 일정 기관·단체가 윤리원칙을 준수하기 위하여 민간자율인공지능윤리위원회를 설치할 수 있도록 하고 있습니다. 규모가 있는 조직이라면 검수 책임을 이 구조에 얹는 방법도 있습니다.