지난 회에서 우리는 첫 번째 항목으로 ‘입력금지 정보 분류’를 다뤘습니다. 무엇을 지킬지 정하는 일이었습니다. 오늘은 구체적인 실행방안에 대해 살펴봅니다. 하나는 규정, 다른 하나는 교육입니다.
1. 조직에 ‘AI 사용규정과 교육체계’가 필요한 이유
우리 회사의 입력금지 목록은 “이것은 AI에 입력하지 마라”는 판단 기준입니다. 그러나 기준이 있다고 사람이 저절로 따르지는 않습니다. AI 사용규정은 이 기준에 “누가·어떤 도구로·어겼을 때 어떻게”라는 절차와 효력을 제시하여 작동하게 합니다.
비밀관리성은 회사가 정보를 비밀로 관리해 왔는지를 따지는 요건입니다. 이때 정보를 다루는 직원들이 “이것은 비밀이고, 이렇게 다뤄야 한다”는 사실을 알고 있었는지가 중요하게 평가됩니다. 규정으로 알리고, 교육으로 반복하고, 서약으로 확인하는 과정은 임직원의 ‘인지(認知)’를 증명하는 자료가 됩니다.
따라서 규정이 필요합니다. 규정이 없으면 사고가 나도 회사에는 “아무것도 정해 두지 않았다”는 사실만 남습니다. 이는 비밀관리성을 스스로 부정하는 자료가 됩니다. 반대로 규정이 있으면 회사는 관리 주체로 서고 개별 사안은 ‘규정 위반’으로 좁혀집니다. AI 사용규정과 교육체계가 필요한 이유입니다.
2. 조직은 무엇을 갖춰야 할까?
가. AI 사용규정의 뼈대를 세운다
규정은 길 필요가 없습니다. 다음 네 가지만 들어 있으면 충분합니다.
· 허용 도구 ― 업무에 쓸 수 있는 AI 서비스를 명시한다(조직이 지정한 것을 쓴다).
· 입력금지 정보 ― 입력금지 정보를 특정하여, AI 사용규정과 입력금지 분류표가 따로 놀지 않게 한다.
· 예외 승인 ― 꼭 필요할 때 누구의 승인을 받아 어떤 조건으로 처리하는지를 명시한다.
· 위반 시 조치 ― 어겼을 때 어떤 절차와 책임이 따르는지를 사전에 고지한다.
나. 규정을 ‘살아 있는’ 상태로 유지한다
요즘 AI 모델의 발전 속도가 너무 빠르고, 몇 달 단위로 바뀝니다. 프런티어 AI 업체의 서비스 약관도 수시로 바뀝니다. 따라서 우리 회사(또는 조직)도 허용 도구 목록에 AI 모델의 버전과 갱신일을 붙이고, 새로운 AI 모델을 도입할 때 거치는 검토 절차를 규정에 넣어 두어야 합니다.
다. 교육을 일회성이 아니라 ‘반복’으로 설계한다
교육은 정기적으로, 그리고 새로운 위험이 생길 때 수시로 이뤄져야 합니다. 내용도 ‘비밀을 지킵시다’ 같은 형식적인 구호가 아니라 우리 회사에서 실제로 무엇이 입력금지인지, 왜 그런지를 구체적 사례로 보여 주는 것이어야 합니다. 직원이 자기 업무 관련 파일을 떠올릴 수 있어야 교육이 기억에 남습니다.
라. 서약을 ‘생애주기’로 관리한다
포괄적인 입사 서약서 한 장으로는 부족합니다. 생성형 AI라는 새로운 위험에는 그에 맞춘 별도의 서약이 필요합니다. 입사 시점뿐 아니라 재직 중 규정이 바뀔 때, 직무가 바뀔 때, 그리고 퇴직 시점에 다시 확인받는 방식으로 설계하시기 바랍니다. 서약은 겁을 주기 위한 문서가 아니라 “당신은 이 규정을 알고 있었다(認知)”를 남기는 기록입니다.
마. 규정·교육·서약을 하나의 고리로 연결한다
규정·교육·서약은 따로 있으면 힘이 약합니다. 교육에서 실제 규정을 펼쳐 보여 주고, 그 자리에서 서약을 받고, 서약서에 어떤 규정을 확인했는지가 적히게 하는 방식으로 묶어야 세 문서가 서로를 뒷받침합니다. 분쟁에서 강한 것은 흩어진 문서 여러 장이 아니라 하나로 연결된 기록입니다.
3. 무엇을 기록으로 남겨야 할까?
· 규정 제정·개정 이력과 승인권자 ― 언제, 누가 정했는가가 규정의 효력을 뒷받침합니다
· 전사 공지·게시 이력 ― 규정을 직원이 알 수 있는 상태에 두었는지를 보여 줍니다
· 교육 실시 기록 ― 일자, 대상, 내용, 이수자 명단을 기록으로 남깁니다
· 서약서 원본과 갱신 이력 ― 언제 어떤 버전의 규정에 대해 서약했는지가 드러나게 합니다
· 허용 도구 목록의 버전 관리 ― 목록이 언제 어떻게 바뀌었는지
· 위반 적발과 조치 기록 ― 규정을 실제로 집행했다는 사실이 ‘규정의 실효성’을 증명합니다
마지막 항목을 특히 강조하고 싶습니다. 규정을 만들어 두고 위반을 방치하면 그 규정은 “있지만 지켜지지 않은 규정”이 되어 오히려 관리 부실의 근거가 됩니다. 일관된 집행 자체가 관리의 증거입니다.
4. 실무에서 자주 나오는 질문
Q. 규정을 만들어 게시판에 올려 두었습니다. 그것으로 충분합니까?
게시는 출발점이지 완성이 아닙니다. 비밀관리성은 ‘알 수 있는 상태’와 ‘실제로 알린 노력’을 함께 봅니다. 올려 두기만 하고 아무도 열어 보지 않았다면 인지의 증거로 약합니다. 교육과 서약으로 ‘알렸다’는 사실까지 남겨야 한 세트가 됩니다.
Q. 교육은 얼마나 자주 해야 합니까?
법으로 정해진 주기가 있는 것은 아닙니다. 실무적으로는 최소 연 1회를 정기 교육으로 두고, 새로운 AI 서비스를 도입하거나 규정을 바꿀 때 수시 교육을 더하는 방식을 권합니다. 핵심은 횟수가 아니라 ‘반복했다는 사실’과 ‘그 기록’입니다.
Q. 입사 때 포괄적 비밀유지 서약을 이미 받았습니다. 또 받아야 합니까?
포괄 서약은 넓지만 얕습니다. 생성형 AI라는 구체적 위험을 특정하지 못하기 때문입니다. 새로 생긴 위험에는 새로운 인지가 필요합니다. 기존 서약을 없애라는 뜻이 아니라, AI 사용에 관한 별도 서약을 더하시라는 뜻입니다.
5. 맺으며
규정과 교육은 직원을 감시하기 위한 장치가 아닙니다. 회사가 지킬 것을 스스로 정하고, 그 정함을 직원과 나누어 함께 지키자는 약속입니다. 다음 회에서는 「③ 업무용 AI의 선택 ― 약관·학습·보관·삭제 정책을 어떻게 확인할 것인가」를 다루겠습니다.
