거버넌스와 정책: 사내 AI 사용 지침 · 데이터 분류 · 섀도 AI · NIST AI RMF · ISO/IEC 42001

거버넌스와 정책: 사내 AI 사용 지침 · 데이터 분류 · 섀도 AI · NIST AI RMF · ISO/IEC 42001

AX가 커질수록 "누가 어떤 도구에 어떤 데이터를 넣어도 되는가", "문제가 생기면 누가 책임지는가"를 정해야 합니다. 이 수업은 사내 AI 사용 지침의 뼈대, 데이터 분류와 도구 허용 매트릭스, 섀도 AI를 금지가 아닌 양지화 로 다루는 법, 위험을 점수로 매기는 위험 등록부를 다루고, 공식 문서로 확인한 두 표준 틀인 NIST AI RMF 1.0 과 ISO/IEC 42001:2023 의 구조를 정리합니다. 법 규정은 AI 규제 개요에서 다룹니다. 이 글은 법률 자문이 아니며 2026-10-22 기준입니다.

들어가기 전에

• AX란 무엇인가 — 0단계(개인 실험)와 섀도 AI
• AI 규제 · 저작권 · 책임 있는 AI 개요 — EU AI법 · 한국 AI 기본법

한눈에 보기

• 사내 AI 지침에 들어갈 열 가지 항목을 압니다.
• 데이터 등급과 도구 종류를 교차한 허용 매트릭스 를 만듭니다.
• 섀도 AI는 막기만 하면 숨어든다는 점과 양지화 방법을 압니다.
• 가능성 × 영향으로 위험 점수를 매기고 등록부로 관리합니다.
• NIST AI RMF의 4기능 · 7가지 신뢰성 특성, ISO/IEC 42001의 성격을 공식 문서 기준으로 압니다.

1. 왜 거버넌스인가

직관(해설용 비유). 법인카드는 누구에게나 주지만 "어디에, 얼마까지, 어떤 증빙으로" 쓸지 규칙이 있습니다. 규칙이 없으면 모두가 조심하느라 안 쓰거나, 각자 다르게 써서 사고가 납니다. AI 지침도 쓰게 하려고 만드는 규칙 입니다.

섀도 AI의 규모. Microsoft Work Trend Index 2024(31개국 3만 1천 명)는 AI 사용자의 78%가 자기 AI 도구를 직장에 가져온다(BYOAI) 고 보고했습니다. 개인정보보호위원회 「공공 AX 프라이버시 보호 안내서」도 적절한 관리 체계가 없으면 "소속기관의 승인 · 통제 없이 개인이 임의로 이용하는 비인가 AI 활용"이 우려된다고 적었습니다.

2. 사내 AI 사용 지침의 뼈대

왜 짧게 쓰나. 지침이 길면 읽지 않습니다. 본문은 두 쪽 이내로, 세부는 부록과 FAQ로 뺍니다(해설용 권장).

3. 데이터 분류 × 도구 허용 매트릭스(해설용 예)

마지막 줄의 근거: 개인정보 보호법은 민감정보 · 고유식별정보 · 주민등록번호 처리를 따로 제한하며(제23조 · 제24조 · 제24조의2), 개인정보보호위원회 안내서는 이 정보 처리 시 "처리제한 예외에 해당해야 함"이라고 정리합니다. 등급 이름 · 칸은 조직에 맞게 바꿉니다.

4. 섀도 AI: 금지보다 양지화

단계(해설).

1. 현황 조사 — 익명 설문 + 네트워크 · 경비 기록으로 실제 쓰는 도구를 파악합니다. 처벌 목적이 아님을 먼저 알립니다.
2. 대체재 제공 — 많이 쓰는 용도에 승인 도구를 빨리 제공합니다. 대체재 없이 금지만 하면 숨어서 씁니다.
3. 신청 경로 — 새 도구를 2주 안에 검토해 주는 빠른 절차를 둡니다.
4. 교육 · 신고 — 잘못 넣었을 때 빨리 신고하면 불이익을 줄이는 원칙을 둡니다.
5. 기술 통제 — 고위험 등급 데이터의 외부 전송 차단(DLP)은 보조 수단으로 씁니다.

5. 역할과 책임(해설용 RACI)

R = 실행, A = 최종 책임, C = 협의, I = 보고 받음.

6. 위험 등록부: 숫자로 해 보기(해설용)

위험 점수 = 가능성(1~5) × 영향(1~5). 15 이상은 '높음', 8~14는 '중간', 7 이하는 '낮음'으로 둡니다.

대응 후 남는 위험(잔여 위험)도 다시 점수로 적고, 분기마다 갱신합니다.

7. NIST AI 위험관리 프레임워크(AI RMF 1.0)

NIST가 2023년 1월 26일 공개한 자율(voluntary) 프레임워크(문서 번호 NIST AI 100-1)입니다. NIST 페이지는 현재 AI RMF 1.0이 개정 중이라고 밝히고 있습니다.

네 가지 기능. 원문은 GOVERN을 "다른 세 기능 전체에 스며드는 교차 기능(cross-cutting)"으로 설명합니다.

신뢰할 수 있는 AI의 특성(원문 7가지). 타당하고 신뢰할 수 있음(valid and reliable), 안전함(safe), 보안 · 회복력(secure and resilient), 책임성 · 투명성(accountable and transparent), 설명 · 해석 가능성(explainable and interpretable), 프라이버시 강화(privacy-enhanced), 해로운 편향이 관리된 공정성(fair with harmful bias managed).

생성형 AI 프로파일(NIST AI 600-1, 2024-07-26). 생성형 AI 고유 위험 12가지를 듭니다: CBRN 정보 · 능력, 작화(confabulation, 그럴듯한 거짓), 위험 · 폭력 · 혐오 콘텐츠, 데이터 프라이버시, 환경 영향, 해로운 편향 · 획일화, 사람-AI 구성(human-AI configuration), 정보 무결성, 정보 보안, 지식재산, 음란 · 모욕 콘텐츠, 가치 사슬 · 구성 요소 통합.

쓰는 법(해설). 앞의 위험 등록부를 MAP(위험 찾기) → MEASURE(점수 · 지표) → MANAGE(대응)로 돌리고, 지침 · RACI를 GOVERN으로 둡니다.

8. ISO/IEC 42001:2023

IEC 웹스토어 공식 서지 기준으로 ISO/IEC 42001:2023 「Information technology — Artificial intelligence — Management system」 은 2023-12-18 발행된 1판 국제 표준(ISO/IEC JTC 1/SC 42)입니다. 원문 범위(scope)는 조직 맥락에서 AI 경영시스템을 수립 · 실행 · 유지 · 지속적으로 개선하기 위한 요구사항과 지침 을 정한다고 밝히고, AI 시스템을 활용하는 제품 · 서비스를 제공하거나 사용하는 조직이면 규모 · 유형과 관계없이 적용할 수 있다고 적습니다.

NIST RMF와의 차이(해설). NIST RMF는 자율 지침서이고, ISO/IEC 42001은 요구사항을 담은 경영시스템 표준이라 외부 심사 · 인증의 기준으로 쓰일 수 있습니다. 본문은 유료라 이 수업에서는 조항 내용을 옮기지 않습니다.

9. 교육 의무: EU AI 리터러시

EU 집행위원회 AI 리터러시 Q&A에 따르면 EU AI법 제4조는 AI 시스템 제공자와 배포자(사용 조직)에게 직원의 AI 리터러시 개발을 지원하는 조치 를 요구하며, 2025년 2월 2일부터 적용되었습니다. Q&A는 디지털 옴니버스 개정 후 특정('충분한') 수준을 강제하지 않으며, 인증서는 필요 없고 교육 기록을 내부에 남기면 된다고 설명하고, 각국 시장감시 당국의 감독 · 집행은 2026년 8월 2일부터라고 밝힙니다. EU에서 AI를 쓰는 한국 기업도 해당될 수 있으니 확인합니다.

123456789flowchart LR
  A[현황 조사<br/>섀도 AI 포함] --> B[데이터 분류 · 도구 매트릭스]
  B --> C[사내 AI 지침 · RACI]
  C --> D[사용 사례 위험 평가<br/>MAP]
  D --> E[위험 점수 · 지표<br/>MEASURE]
  E --> F[대응 · 잔여 위험<br/>MANAGE]
  F --> G[교육 · 기록]
  G --> H[분기 재검토<br/>GOVERN]
  H --> B

연습 문제

1. 가능성 3, 영향 5인 위험의 점수와 등급은?
   • 풀이: $3\times5 = 15$, 높음입니다.
2. 영업팀이 고객 연락처가 담긴 엑셀을 개인 무료 계정 챗봇에 올렸습니다. 매트릭스상 무엇이 문제이고, 지침의 어느 항목이 작동해야 하나요?
   • 풀이: 개인정보를 개인 · 무료 계정에 넣은 것으로 금지 칸입니다. '보안 사고 신고'(8번) 경로로 즉시 신고하고, '데이터 규칙'(3번) · '교육'(9번)을 보완합니다.
3. NIST AI RMF의 네 기능 가운데 나머지 세 기능 전체에 걸치는 것은?
   • 풀이: GOVERN입니다.

스스로 점검

1. 섀도 AI를 금지만 하면 생기는 문제는?
   • 답: 대체재가 없으면 직원이 숨어서 쓰게 되어 오히려 보이지 않는 위험이 커집니다.
2. NIST AI RMF와 ISO/IEC 42001의 성격 차이는?
   • 답: NIST RMF는 자율 프레임워크이고, ISO/IEC 42001은 AI 경영시스템 요구사항을 담은 국제 표준으로 심사 · 인증의 기준이 될 수 있습니다.
3. EU AI법의 AI 리터러시 의무에 인증서가 필요한가요?
   • 답: 집행위원회 Q&A는 인증서가 필요 없고 교육 기록을 내부에 남기면 된다고 설명합니다.

용어 정리

더 깊이 보려면

• NIST AI RMF: https://www.nist.gov/itl/ai-risk-management-framework
• ISO/IEC 42001:2023 서지(IEC 웹스토어): https://webstore.iec.ch/publication/90574
• EU AI 리터러시 Q&A: https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers

다음에 볼 것

• 보안 · 개인정보 실무
• AI 규제 · 저작권 개요

라이선스

본문은 KAITABASE 자체 해설입니다. 표준 · 공식 문서는 짧게 인용 · 요약했습니다. 매트릭스 · 위험 점수 · RACI는 해설용 예입니다. 법률 자문 아님 · 2026-10-22 기준 확인.

출처

• NIST, AI Risk Management Framework (AI RMF 1.0, NIST AI 100-1, 2023-01-26): https://www.nist.gov/itl/ai-risk-management-framework · PDF: https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.100-1.pdf
• NIST, AI 600-1 Generative AI Profile (2024-07-26): https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf
• ISO/IEC 42001:2023, Information technology — Artificial intelligence — Management system (IEC webstore, 2023-12-18): https://webstore.iec.ch/publication/90574
• European Commission, AI Literacy — Questions & Answers: https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
• Microsoft, 2024 Work Trend Index (2024-05-08): https://www.microsoft.com/en-us/worklab/work-trend-index/ai-at-work-is-here-now-comes-the-hard-part
• 개인정보보호위원회, 공공 AX 프라이버시 보호 안내서 (2026-07-23): https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=D010030000&nttId=12436