AI 거버넌스 정책 템플릿

Summary

AI 거버넌스 정책은 조직이 AI를 안전하고 책임감 있게 사용하기 위한 원칙, 역할, 프로세스를 정의한다. 이 템플릿은 중소규모 조직에서 바로 활용할 수 있는 AI 정책 초안을 제공한다.

When to Use

• 조직에 AI 사용 정책이 없을 때
• AI 도입이 확대되면서 일관된 가이드라인이 필요할 때
• 보안/법무팀에서 AI 정책을 요청할 때
• 규제 대응을 위해 문서화가 필요할 때

---

Template

표지

[회사명]

AI 거버넌스 정책

버전: 1.0
시행일: YYYY-MM-DD
관리 부서: [담당 부서]
승인자: [직책/이름]

---

1. 목적 및 범위

1.1 목적

본 정책은 [회사명]이 인공지능(AI) 기술을 안전하고 책임감 있게 활용하기 위한 원칙, 역할, 프로세스를 정의한다.

1.2 적용 범위

본 정책은 다음에 적용됩니다.

• 모든 임직원의 업무 목적 AI 도구 사용
• 사내에서 개발/운영하는 AI 기반 서비스
• 외부 AI 서비스(SaaS) 도입 및 사용
• AI 관련 데이터 처리

1.3 예외

• 개인적 학습 목적의 공개 AI 도구 사용 (단, 회사 데이터 입력 금지)
• 명시적으로 예외 승인을 받은 경우

---

2. AI 사용 원칙

2.1 책임성 (Accountability)

• AI 시스템의 출력에 대한 최종 책임은 사람에게 있다
• 모든 AI 시스템에는 담당자가 지정되어야 한다

2.2 투명성 (Transparency)

• 고객/사용자에게 AI가 사용되고 있음을 적절히 공지한다
• AI 의사결정의 근거를 설명할 수 있어야 한다

2.3 공정성 (Fairness)

• AI 시스템이 특정 집단에 불공정한 결과를 초래하지 않도록 한다
• 편향 가능성을 정기적으로 모니터링한다

2.4 프라이버시 (Privacy)

• 개인정보보호법 등 관련 법규를 준수한다
• 최소한의 데이터만 수집하고 처리한다

2.5 보안 (Security)

• AI 시스템의 보안 위협을 식별하고 관리한다
• 민감 데이터의 외부 유출을 방지한다

---

3. 역할 및 책임

3.1 AI 거버넌스 위원회 (해당 시)

역할	책임
의장	[C레벨] - 최종 의사결정
멤버	IT, 보안, 법무, 현업 대표
사무국	AI 정책 관리, 회의 운영

3.2 역할별 책임

역할	책임
경영진	AI 전략 승인, 자원 배분
IT/개발팀	AI 시스템 구축, 운영, 보안
보안팀	보안 검토, 리스크 평가
법무팀	규제 준수, 계약 검토
현업 부서	Use Case 발굴, 품질 검증
전 임직원	정책 준수, 이상 징후 보고

---

4. AI 도구 사용 가이드라인

4.1 허용되는 사용

• 승인된 Enterprise AI 도구 사용
• 비민감 업무 데이터 처리
• 문서 초안 작성 지원
• 코드 작성 지원 (검토 후 사용)
• 정보 검색 및 요약

4.2 금지되는 사용

• 개인정보(PII)를 외부 AI에 입력
• 영업 비밀, 소스코드를 무허가 AI에 입력
• AI 출력물을 검토 없이 최종 산출물로 사용
• 허가되지 않은 AI 도구 설치/사용
• AI를 이용한 허위 정보 생성
• AI를 이용한 타인 사칭

4.3 승인된 AI 도구 목록

도구	용도	승인 등급	데이터 허용 범위
[도구1]	일반 업무	전사	비민감 데이터
[도구2]	개발	개발팀	코드 (비밀 제외)
[도구3]	고객 서비스	CS팀	승인된 범위

목록은 IT 부서에서 분기별 업데이트

---

5. AI 도입 프로세스

5.1 신규 AI 도구/서비스 도입 절차

1. 도입 요청
   ↓ (현업 → IT)
2. 보안 검토
   ↓ (IT/보안팀)
3. 법무 검토 (필요 시)
   ↓ (법무팀)
4. 승인
   ↓ ([승인권자])
5. 도입 및 교육
   ↓ (IT + 현업)
6. 운영 및 모니터링

5.2 승인 권한

구분	승인권자	비고
무료/개인 도구	팀장	비민감 데이터 한정
유료 SaaS	IT 담당 임원	보안 검토 필수
자체 개발 AI	CTO/CIO	보안+법무 검토
고위험 AI	CEO/위원회	전체 검토

---

6. 데이터 처리 원칙

6.1 데이터 분류

등급	정의	AI 처리 가능 여부
공개	공개된 정보	허용
내부	일반 업무 데이터	승인된 도구에 한해 허용
기밀	영업 비밀, 전략	제한적 허용 (승인 필요)
극비	PII, 민감 개인정보	원칙적 금지

6.2 외부 AI 서비스 데이터 전송 원칙

• Enterprise 플랜 사용 (데이터 학습 차단)
• DPA(Data Processing Agreement) 체결
• PII는 전송 전 마스킹/가명화
• 데이터 보존 정책 확인 (ZDR 권장)

---

7. 리스크 관리

7.1 주요 리스크 영역

리스크	설명	통제 방안
데이터 유출	민감 정보가 외부로 노출	접근 제어, 마스킹, 승인된 도구
환각/오류	AI가 잘못된 정보 생성	인간 검토, 품질 모니터링
편향	AI가 불공정한 결과 생성	정기 편향 테스트
규제 위반	법률/규정 위반	법무 검토, 규제 모니터링
보안 취약점	프롬프트 인젝션 등	입력 검증, 보안 테스트

7.2 사고 대응

AI 관련 보안 사고 발생 시 다음 절차를 따른다.

1. 즉시 서비스 중단 검토
2. [보안팀] 보고 (영업일 기준 24시간 내)
3. 원인 분석 및 영향 평가
4. 재발 방지 대책 수립
5. 필요 시 외부 보고 (규제 기관, 고객)

---

8. 교육 및 인식

8.1 필수 교육

대상	교육 내용	주기
전 임직원	AI 정책 인식 교육	연 1회
AI 사용 부서	AI 도구 사용법, 주의사항	도입 시 + 연 1회
개발팀	AI 보안, 프롬프트 인젝션 대응	연 2회
경영진	AI 리스크, 거버넌스	연 1회

---

9. 규제 준수

9.1 관련 법규

• 개인정보보호법
• 정보통신망법
• AI 기본법 (시행 시)
• EU AI Act (해당 시)
• 산업별 규제 (금융, 의료 등)

9.2 규제 모니터링

• [담당 부서]가 AI 관련 규제 변화를 분기별 모니터링
• 주요 변경 사항은 정책에 반영

---

10. 정책 관리

10.1 정책 검토 및 개정

• 정기 검토: 연 1회
• 수시 검토: 중대한 사고, 규제 변화, 기술 변화 시

10.2 버전 관리

버전	날짜	변경 내용	승인자
1.0	YYYY-MM-DD	최초 제정	[이름]

10.3 문의

• 정책 관련 문의: [담당 부서/연락처]
• 보안 사고 신고: [보안팀 연락처]

---

별첨

• A. 승인된 AI 도구 상세 목록
• B. AI 보안 검토 체크리스트
• C. AI 도입 요청서 양식
• D. AI 리스크 레지스터

---

Checklist

정책 수립 전 다음 항목을 확인하세요.

• 경영진 스폰서 확보
• 관련 부서 (IT, 보안, 법무, HR) 협의
• 현재 AI 사용 현황 파악
• 적용 범위 정의
• 승인 프로세스 설계
• 교육 계획 수립
• 시행일 결정

Related

• 보안팀 설득 가이드
• 보안 검토 체크리스트
• AI 리스크 레지스터 작성법